Mark Nicholson, vedoucí kybernetické modernizace Deloitte USA – Interview Series: Návratový rozhovor

Mark Nicholson, vedoucí kybernetické modernizace Deloitte USA, je partnerem ve společnosti Deloitte s více než dvěma desetiletími zkušeností na rozhraní kybernetické bezpečnosti, umělé inteligence a firemního rizika. Řídí iniciativy kybernetické bezpečnosti AI a komerční strategii pro kybernetickou praxi Deloitte, pomáhá velkým organizacím modernizovat své bezpečnostní rámce a sladit kybernetické investice s měnícími se riziky. Předtím, než nastoupil do Deloitte, spoluzaložil a působil jako provozní ředitel ve společnosti Vigilant, Inc., poradenské firmě pro informační bezpečnost se zaměřením na hrozby a monitorování škodlivých událostí. Jeho dřívější kariéra v prodeji a obchodních rolích napříč několika technologickými společnostmi mu poskytla silný základ v technických i obchodních aspektech kybernetické bezpečnosti.

Deloitte je jednou z největších profesních služeb na světě, nabízející auditorské, poradenské, daňové a poradenské služby organizacím napříč téměř všemi průmyslovými odvětvími. Jeho kybernetická praxe se zaměřuje na pomoc podnikům navigovat v stále složitějším prostředí hrozeb a zároveň umožnit digitální transformaci prostřednictvím technologií, jako je umělá inteligence. Společnost poskytuje služby zahrnující kybernetickou strategii, odolnost, řízení rizik a firemní bezpečnost, čímž kybernetickou bezpečnost staví jako ochrannou funkci a strategického hybného faktoru inovací a růstu.

Tohoto rozhovoru předcházelo předchozí interview, které bylo zveřejněno v roce 2025.

Byl jste zapojen do kybernetické bezpečnosti od počátků moderního monitorování hrozeb, včetně spoluzaložení Vigilant a pomoci uvést na trh první SIEM a hrozbové inteligence. Jak se změnilo od těch raných monitorovacích systémů k dnešním AI-poháněným kybernetickým obranným platformám, pokud jde o to, jak organizace detekují a reagují na hrozby?

Když jsme poprvé začali budovat monitorovací platformy v raných dnech SIEM, byla hlavní výzvou shromáždit data na jednom místě a dát jim smysl. Pamatuji si, když analytici každý den tiskli protokoly firewall a manuálně je procházeli, aby našli anomálie. I když SIEM zralo, existoval problém s měřítkem. Lidská rychlost nebyla schopna držet krok s obrovským množstvím detekovaných událostí. Navzdory použití automatizace měli kybernetičtí obránci stále problém s korelací dat a analytikou, neustále se snažili vyvinout nová pravidla, často v reakci na selhání monitorování.

Jedním z nadějí je, že AI změní tuto dynamiku fundamentálním způsobem. Kromě nasazení agenticích schopností pro automatizaci úrovní 1 bezpečnostních operací slibuje AI pomoci přesunout detekci a reakci z „po skutečnosti“ na „při skutečnosti“ pomocí dynamického strojového ladění monitorovacích algoritmů. V některých případech budou kybernetické organizace také moci nechat AI iniciovat akty nápravy.

Ale tvrdá část nezmizí, pouze se posune. Jak systémy rostou v autonomii a komplexitě, stává se důvěra a pozorovatelnost bitevními poli: Co dělá systém, proč to dělá a jak víme, že nebyl manipulován? Možnost s AI je obrovská, ale také zvyšuje sázky, když prostředí funguje na rychlosti strojů.

Uvedl jste, že AI umožňuje útočníkům automatizovat průzkum, generovat exploity a zrychlovat útočné cykly. V praktickém smyslu, o kolik se zkrátil čas mezi objevením zranitelnosti a jejím využitím?

Historicky existoval často časový interval mezi objevením zranitelnosti a jejím využitím. Existovala určitá naléhavost, ale obecně, pokud jste nebyli zasaženi zero-day útokem, existoval čas pochopit hrozbu, opravit a zmírnit, než útočník mohl nasadit exploity ve velkém měřítku. AI téměř eliminuje tento časový interval.

Útočníci mohou automatizovat průzkum, nepřetržitě skenovat expozici a použít AI-poháněné nástroje pro urychlení částí vývoje exploitů a cílení. Ve mnoha případech může to, co dříve trvalo týdny, zkrátit na hodiny, a v vysoce automatizovaných scénářích může být rychlejší, než většina bezpečnostních programů je schopna zvládnout.

Podstatou je, že bezpečnostní týmy potřebují automatizaci a AI na obranné straně, spojené se silnými kontrolami, pokud chtějí držet krok.

Bezpečnostní týmy přecházejí stále častěji z „člověk v smyčce“ na „člověk na smyčce“ modely dohledu. Jak vypadá tato změna operativně uvnitř moderního Bezpečnostního operačního centra (SOC), a jak by organizace měly přehodnotit role analytiků, když AI přebírá více autonomních úkolů?

V tradičním SOC sedí analytici ve středu každého rozhodovacího bodu. Přicházejí upozornění, analytici je třídí, vyšetřují a určují, jaké akce by měly být podniknuty. Tento přístup fungoval, když objem upozornění a tempo útoků byly zvladatelné. Ale v dnešním prostředí je měřítko aktivit prostě příliš velké pro to, aby lidé mohli fungovat jako brána pro každé rozhodnutí.

Přechod na „člověk na smyčce“ znamená, že AI systémy mohou provádět mnoho rutinních úkolů, které dříve zpracovávali analytici, jako je třídění upozornění, shromažďování kontextu, korelace dat a provádění určitých akcí nápravy. Role člověka se stává rolí dohledu a ověření spíše než manuální realizace.

Operativně to posunuje čas analytiků pryč od „broušení upozornění“ a směrem k vysoce hodnocené práci, jako je lov hrozeb, inženýrství detekce, simulace nepřítele a zlepšování obranné architektury. Lidé zůstávají nezbytní, ale jejich role se vyvíjí směrem k dohledu, úsudku a strategii spíše než k tomu, aby fungovali jako primární procesor bezpečnostních dat.

Mluvíme o „Bezpečném AI podle návrhu“. Z vašeho pohledu, proč musí tento koncept přesahovat rámec bezpečnosti modelu do systémů identity, architektury oprávnění a orchestrace?

Mnohé diskuse o bezpečném AI se soustředí silně na samotný model, jako je ochrana trénovacích dat, prevence otrávení modelu nebo obrana proti útokům na vstupy. Tyto jsou skutečné problémy, ale jsou pouze částí rizika.

V praxi AI systémy fungují jako součást větších digitálních ekosystémů. Přístup k datům, interagují s API, spouštějí pracovní postupy a stále častěji fungují prostřednictvím agentů, kteří mohou jednat s určitým stupněm autonomie.

Když k tomu dochází, stávají se identita a oprávnění řídicí rovinou. AI agenti jsou efektivními novými digitálními identitami uvnitř podniku. Pokud tyto identity nejsou řádně spravovány, mohou zavést významná rizika.

Bezpečné AI podle návrhu musí tedy přesahovat do správy identity, řízení přístupu, vrstev orchestrace a monitorovacích systémů, které sledují, co tyto agenti dělají. Organizace potřebují zacházet s AI agenty podobně jako s lidskými uživateli, s definovanými oprávněními, auditem a dohledem, jinak se útočný povrch rychle rozšiřuje.

Mnohé podniky vrství AI nástroje na top existujících bezpečnostních pracovních postupů, které byly navrženy pro lidskou rychlost. Jaké jsou největší architektonické změny, které organizace potřebují provést, aby skutečně využily AI v kybernetické obraně?

Obvyklý vzorec je přidání AI k legacy procesům a pracovním postupům, které byly navrženy pro lidskou operaci. To není špatný první přístup, zejména když počítačové vidění se stalo realitou. Například Deloitte vytvořil agenta, který může být trénován k nahrazení člověka v procesu správy identity a administrace bez vyřazení stávajících specializovaných softwarových řešení, která by byla obtížná ukončit. To může přinést dramatické úspory nákladů.

Budoucí benefit spočívá v tom, že podniky budou pravděpodobně začínat přehodnocovat bezpečnostní pracovní postupy od začátku do konce: modernizovat datové základy, aby bezpečnostní nástroje mohly spolehlivě přistupovat k vysoce kvalitním, dobře strukturovaným telemetrickým datům; budovat orchestraci, aby detekce, reakce a identita fungovaly jako koordinovaný systém, ne jako odpojené nástroje.

Identita převládá jako jedna z nejkritičtějších kontrol. Když jsou zavedeny více automatizace a AI agenti, počet ne-lidských identit se významně zvyšuje. Efektivní správa těchto identit se stává nezbytnou pro udržení kontroly.

AI-rodaná bezpečnost je v konečném důsledku mixem lepších dat, lepší orchestrace a správy, která zohledňuje jak lidské, tak strojové aktéry.

Jak AI systémy získávají více autonomie, útočný povrch se rozšiřuje do oblastí, jako je orchestrace agentů, řetězce API a automatizované rozhodovací kanály. Která z těchto nově se objevujících ploch vás nejvíce znepokojuje?

Když bych musel vybrat jednu oblast, která si zaslouží okamžitou pozornost, je to identita a oprávnění přístupu uvnitř agent-driven systémů.

Když organizace zavádějí více agenticích AI, vytvářejí rostoucí populaci autonomních aktérů uvnitř podniku. Tyto agenti mohou mít přístup k datům, API a pracovním postupům, které jsou neuvěřitelně silné, a to je činí atraktivní cestou pro útočníka, pokud nejsou oprávnění navržena, monitorována a audity přísně. Je důležité zacházet s každým agentem jako s novým zaměstnancem: pojmenovat ho, definovat jeho rozsah, monitorovat ho a umožnit jeho rychlé odpojení, pokud je to potřeba.

Řetězce API a automatizované rozhodovací kanály také zavádějí rizika, ale správa identity je často základní kontrolou. Pokud nemůžete jasně odpovědět, kdo je agent, co může dotknout a co udělal, nemáte skutečnou kontrolu nad ním.

Z pohledu představenstva, jak současní výkonní ředitelé a členové představenstva uvažují o AI-poháněném kybernetickém riziku, a kde vidíte největší mezеру mezi technickou realitou a porozuměním na úrovni představenstva?

Představenstva jsou stále více vědoma toho, že zatímco AI přináší enormní příležitosti, může také přinést významná rizika. Většina ředitelů rozumí, že AI bude formovat obchodní transformaci, a začínají klást otázky o správě, bezpečnosti a odolnosti.

Místo, kde se objevuje mezera, je často rychlost a komplexita. Mnohé diskuse představenstva stále defaultují na tradiční kybernetické rámce — které zůstávají důležité — ale ne vždy odrážejí, jak rychle AI-poháněné hrozby mohou evoluvovat a měnit se.

Další disproporce spočívá v tom, že „Je naše AI zabezpečena?“ zní jako jednoduchá otázka, ale odpověď žije napříč správou dat, integritou modelu, správou identity a orchestrací napříč několika systémy. Představenstva, která uzavírají mezeru, tlačí na reportování založené na kontrole, které činí tyto pohyblivé části viditelnými a testovatelnými, a investují čas do budování znalostí ředitelů, aby dohled nad technologií zůstal v souladu.

AI je stále více používána na obou stranách bojiště. Vstupujeme do permanentní AI-versus-AI kybernetické bezpečnostní závody, a pokud ano, jaké výhody mají obránci, které útočníci mohou mít problém replikovat?

Jasně jsme v éře, kdy AI je používána jak útočníky, tak obránci. Útočníci již aplikují AI na urychlení průzkumu, identifikaci zranitelností a automatizaci částí útočného cyklu. Ale obránci stále mají skutečné výhody, pokud je zvolí použít.

Obránci mají přehled o svém vlastním prostředí, přístup k interní telemetrické datové základně a schopnost budovat vrstvené architektury, které útočníci musí navigovat. AI může pomoci obráncům analyzovat enormní objemy dat napříč sítěmi, koncovými body a identitami, poskytujícím potenciál detekovat anomální chování mnohem dříve.

Chycení spočívá v adopci. Pokud obránci zůstávají uvězněni v manuálních pracovních postupech, zatímco útočníci automatizují, asymetrie se stává brutální. Závody jsou skutečné, a vítězi budou ti, kteří nasadí AI s silnou správou, ne ti, kteří ji pouze pilotují.

V rámci vaší práce při poradenství velkým podnikům, jaké jsou nejčastější chyby, které organizace dělají, když se snaží integrovat AI do své kybernetické bezpečnostní strategie?

Jedna z nejčastějších chyb, které vidíme, je zacházení s AI jako s samostatným nástrojem místo architektonického posunu. Týmy provádějí izolované experimenty bez vylepšení datové základny, modelu správy nebo provozních procesů potřebných pro udržení dopadu, vedoucí k plochému výsledku.

Další chybou je nasazení AI schopností bez plného zohlednění nových rizik: nových identit, nových toků dat a automatizovaných rozhodovacích cest, které rozšiřují útočný povrch. Pokud jsou tyto přidány bez správných kontrol, AI může přidat křehkost místo odolnosti.

Nakonec mnoho organizací podceňuje důležitost zapojení pracovníků. Praktici, kteří provozují bezpečnostní operace každý den, znají, kde je tření a co „dobré“ vypadá. Nej silnější transformace zahrnují tyto týmy brzy, aby technologie amplifikovala jejich úsudek spíše než jej narušila.

Pohledem do budoucnosti tři až pět let, jak vypadá AI-rodoucí bezpečnostní operační centrum ve srovnání se současným SOC prostředím?

Pravděpodobně bude vypadat velmi odlišně, mnoha způsoby, které nedokážu předpovědět. SOC budoucnosti bude pravděpodobně fungovat jako hybridní lidsko-digitální pracovní síla. AI systémy budou zpracovávat většinu datové analýzy, korelace a počáteční reakce. Agenticí systémy budou pomáhat automatizovat pracovní postupy napříč správou zranitelností, správou identity, reakcí na incidenty a kontinuální kontrolou.

Lidští analytici zůstávají nezbytní, ale středisko se posouvá: dohled nad AI systémy, ověřování detekčních případů (místo jejich psaní), vyšetřování složitých hrozeb a zlepšování obranné architektury. Cílem není odstranit lidi, ale spíše povысit jejich role. Místo toho, aby trávili čas tříděním upozornění a manuálním sestavováním dat, analytici se budou soustředit na strategické aspekty kybernetické bezpečnosti. Otázkou bude, „jak budeme trénovat příští generaci bezpečnostních odborníků, když úroveň 1 a 2 jsou kompletně automatizovány?“ Možná odpověď leží v dramatickém zlepšení simulace a tréninkové technologie, kterou může AI pomoci vyvinout.

Organizace, které úspěšně vytvářejí hybridní pracovní sílu, kombinující lidskou odbornost s AI-poháněnou automatizací, budou pravděpodobně nejlépe vybaveny pro fungování na rychlosti vyžadované v moderním prostředí hrozeb.

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Deloitte nebo přečíst náš předchozí rozhovor.