Agnidipta Sarkar, Chief Evangelist, ColorTokens – Interviewserie

Agnidipta Sarkar, Chief Evangelist, ColorTokens er en leder inden for cybersikkerhed og digital modstandsdygtighed med mere end tre årtiers erfaring inden for cyberforsvar, risikostyring, forretningskontinuitet, privatliv og Zero Trust. Hos ColorTokens arbejder han med bestyrelser, topledere og sikkerhedsansvarlige for at styrke beredskabet mod brud og forbinde cybersikkerhedsprogrammer med forretningsprioriteter, samtidig med at han bidrager til internationale standarder og brancheinitiativer gennem organisationer som ISO, Cloud Security Alliance, NIST og ISA. Før han sluttede sig til ColorTokens, var Sarkar Group CISO hos Biocon og havde seniorroller inden for informationssikkerhed og risikostyring i organisationer som DXC Technology, Hewlett Packard Enterprise og HP.

ColorTokens er et cybersikkerhedsfirma, der fokuserer på mikrosegmentering, Zero Trust og hjælper virksomheder med at blive mere modstandsdygtige, når angribere bryder igennem traditionelle perimeterforsvar. Dets flagskibsprodukt Xshield Enterprise Microsegmentation Platform er designet til at forhindre angribere og malware i at bevæge sig lateralt i en organisation ved at skabe granulære sikkerhedsgrænser omkring arbejdsbelastninger og aktiver, der spænder over datacentre, cloud‑infrastruktur, slutpunkter, Kubernetes‑miljøer, operationel teknologi (OT) og Internet of Things (IoT)-enheder. Platformen indeholder også AI‑assisterede arbejdsgange til at opdage miljøer, oprette segmenteringspolitikker og accelerere udrulning af politikker, med det overordnede mål at reducere en organisations angrebsoverflade og begrænse den potentielle påvirkning, eller “blast radius”, af et vellykket brud.

Du har tilbragt mere end tre årtier med at gå fra praktiske netværks‑ og sikkerhedsroller hos HCL, Wipro, HP, HPE og DXC til at fungere som Group Chief Information Security Officer hos Biocon og bidrage til internationale sikkerhedsstandarder. Hvordan har disse frontlinjeerfaringer formet din overbevisning om, at organisationer skal forberede sig på at indeholde brud i stedet for at antage, at de kan forhindre enhver indtrængen?

I mine tidlige dage hos HCL og Wipro føltes cybersikkerhed som det vilde vesten, spændende, kaotisk og fuld af muligheder. Jeg kastede mig ud i det, eksperimenterede, fejlede, lærte og lykkedes med alt, hvad teknologien kunne kaste på mig: firewalls, IDS, MFA, kryptering, revisioner, governance. Men den egentlige undervisning kom, da jeg så min første sikkerhedshændelse udfolde sig. Pludselig gik alle de bedste praksisser i stykker under presset. Det var min vækkende alarm.

Hos HP fik jeg en første‑rækkeplads til kaos, først som en flue på væggen, derefter som en operationel leder, der så kaos udfolde sig på nært hold. Hver hændelse understregede den samme lektie: IT står aldrig stille, og ingen investering kan garantere sikkerhed. Da jeg endelig overtog roret som Group CISO, vidste jeg, at min opgave var at bygge en playbook til håndtering af brud, ikke kun for mine sikkerhedsoperationer, men for hele organisationen. En, der var gentagelig, forudsigelig og kunne holde forretningen kørende, når stormen ramte, samtidig med at sikkerhedsoperationerne løbende blev forbedret.

På papiret så værktøjerne perfekte. I virkeligheden afslørede IT Service Management revner, du aldrig så komme. Asset‑styring, patching, konfiguration, ændringer, risici – alt sammen sammenfiltret med menneskelige fejl. Det er her digital svaghed gemmer sig, og når alarmen går, er det et mareridt at rydde op. Der findes ingen manuskript til krigsrummet, når et brud indtræffer. Kaos er reglen, ikke undtagelsen. Derfor har jeg brugt min karriere på at opbygge struktur i stormens øje og hjælpe ledere med at skære gennem støjen og styre risikoen i stedet for at blive fejet væk af den.

Set tilbage ser jeg taknemmelig på hver lektie – at observere fra sidelinjen, få hænderne beskidte i angrebenes centrum og endelig lede fra fronten. Derfor går jeg ind for beredskabet mod brud som en kunst, ikke kun en videnskab. Du kan kortlægge angrebsmønstre hele dagen, men det, der betyder noget, er, hvad der sker i krigsrummet, når ledere skal holde linjen. Den klarhed kommer kun fra at have levet det.

Derfor har jeg bygget en ramme for beredskab mod brud, der kan forudse, modstå og udvikle evnerne til at håndtere det næste cyberangreb. Rammen hjælper organisationer med at bevæge sig med stormen, ikke imod den. Det endelige mål er at realisere Koun Ryusui, som driver som skyer, flyder som vand, så når det næste hidtil usete angreb rammer, erstatter struktureret fleksibilitet og modstandsdygtighed kaos, og virksomheder udnytter deres teknologiinvesteringer til at komme stærkere og mere selvsikre ud.

AI hjælper angribere med at automatisere rekognoscering, udnyttelse af sårbarheder og laterale bevægelser, hvilket potentielt komprimerer aktiviteter, der før tog uger, til timer eller minutter. Hvilke dele af den konventionelle hændelses‑responsmodel bliver ineffektive, når angreb begynder at operere med maskinhastighed?

Når angreb bevæger sig med maskinhastighed, er de forsvarere, der overlever, dem, der kan analysere og handle hurtigere end modstanderen. Ja, AI giver angribere nye værktøjer, men det styrker også forsvarerne. Efter min erfaring er der to måder at håndtere disse hidtil usete, AI‑drevne angreb på.

Først skal du redesigne din digitale landskab. Byg brud‑klare zoner og mikrosegmenter, der adskiller dine mest værdifulde aktiver fra resten. Tænk på det som en labyrint: nogle stier er åbne, andre er blokerede, hvilket gør det svært for uautoriserede identiteter at bevæge sig frit. Sådan holder du AI‑drevne angreb på afstand ved at sænke deres hastighed, fordi labyrinten konstant ændrer sig i takt med ændringer i digitale systemer.

For det andet har du brug for skabeloner, playbooks og klare roller, der er klar, før alarmen overhovedet lyder. Så når den lyder, ved både mennesker og maskiner, hvad der skal gøres, og i hvilken prioritet. Tricket er at købe tid og sænke AI’en, tvinge den til at arbejde hårdere og nægte den let bevægelse. Sådan holder du dine forsvar i kampen, når hver millisekund tæller.

Spørg enhver sømand, der har overlevet et ubådsbrud. Når vandet strømmer ind, har du ikke tid til at gætte dets næste træk. Du skal have forstærket de rigtige døre på forhånd, vide hvad du skal holde i drift, og hvor presset vil ramme. Når bruddet sker, er alt du kan gøre at karantæne den oversvømmede sektion og holde resten af fartøjet i gang. Så beskytter du din minimum levedygtige forretning. I den digitale verden betyder det din minimum levedygtige digitale virksomhed.

Det er, hvad beredskab mod brud handler om. Hvis et angreb alligevel kommer igennem, karantæner du det berørte område, udløser din BCP, og holder den uberørte kerneforretning i gang. Ingen nedlukning, ingen krise. Kun en hændelses‑nødsituation.

Du går ind for at diskutere beredskab mod brud i forretnings‑ og finansielle termer i stedet for kun at behandle det som et teknisk problem. Hvilke målinger bør bestyrelser bruge for at afgøre, om organisationen kan fortsætte driften under et alvorligt cyberangreb?

Brud rammer ikke kun dine systemer; de rammer alt og alle, der er afhængige af dem. Spørg den patient, der blev afvist fra et hospital, den rejsende, der er strandet i en lufthavn, eller bilforhandleren, der har været i gæld i måneder. Det er den reelle omkostning ved et cyberangreb. Det er ikke et spørgsmål om hvis, men hvornår. Derfor skal bestyrelser betragte beredskab mod brud som en forretnings‑ og finansiel nødvendighed.

Der er to målinger, som enhver bestyrelse bør følge.

Først skal du fastlægge mængden af væsentlig påvirkning, som bestyrelsen er villig til at acceptere i jagten på digitale og AI‑ambitioner. Det fastsætter grænsen for, hvor meget af din digitale virksomhed der skal forblive i drift under et brud. Jeg kalder disse Maximum Acceptable Material Impact (MAMI) og Minimum Viable Digital Enterprise (MVDE).

Mange forveksler MVDE med forretningskontinuitet, men de er ikke det samme. Hvis du siger, at mindre end 10 % påvirkning er acceptabelt, skal 90 % af din forretning fortsætte, selv under et brud. De fleste forretningskontinuitetsplaner får dig kun tilbage til højst 30 %, hvilket efterlader 60 % af din digitale forretning udsat. Det paradoks holder ledere vågne om natten.

Hvis du fastsætter din MVDE til 70 %, kan du forsikre interessenterne om, at du investerer i forsvar, der holder forretningen i gang, selv når det værste sker, ved at bygge en labyrint, der er svær for både menneskelige og AI‑angribere at bryde igennem, samt evnen til at karantæne angreb med maskinhastighed. Det er her mikrosegmentering fungerer som en grundlæggende lego‑klods. Du kan nu integrere de fleste af dine cybersikkerhedsinvesteringer som EDR, firewalls, SASE, identitet (menneskelig og ikke‑menneskelig), adgang, autorisation og OT‑cybersikkerhed i én problemfrit forbundet signalplan, som dit SOC kan operere i under aktive brud for at indeholde cyberangreb og isolere MVDE.

Følg MAMI og MVDE hver kvartal for hver ny digital og AI‑initiativer, og dine investorer og interessenter vil kun søge beviser på, hvor godt modstandsdygtigheden håndteres.

“Blast radius” bruges i stigende grad som et mål for cyber‑modstandsdygtighed. Hvordan kan en organisation beregne sin potentielle blast radius, før et angreb indtræffer, og hvad vil udgøre et acceptabelt eksponeringsniveau?

Blast radius er vigtigt. Betydeligt.

Men det er ikke den eneste måling, der tæller. Jeg anbefaler altid at vurdere din nuværende blast radius som det første skridt i at bygge en zero‑trust, brud‑klar virksomhed. Alt, du behøver, er en Breach Readiness Impact Assessment (BRIA), en ikke‑invasiv, API‑drevet stikprøveanalyse, der udnytter din eksisterende EDR. For OT og mainframes kan du have brug for agenter eller appliances.

Ikke al blast radius er dårlig. Nogle gange er den kritisk for applikationsydelsen. Djævelen gemmer sig i detaljerne. Tag for eksempel en cache‑service, der fremskynder opslag af produktinformation og brugersessioner. Den kræver system‑til‑system‑forbindelse for at køre en e‑commerce‑platform med flere mikroservices. Men den samme blast radius bliver et udnyttelsespunkt, hvis uautoriserede brugere eller systemer kan få adgang til den.

Du kan ikke se på blast radius isoleret. Kombinér den med andre sikkerhedsmønstre som adfærdsanomalier, misbrug af adgang, privilegiekryb, overskridelse af autorisationer og autentificeringsfejl for virkelig at forstå din brud‑eksponering. Og husk, hvad der er acceptabelt i én branche, kan være en deal‑breaker i en anden.

Hvordan adskiller beredskab mod brud sig fra traditionel hændelses‑respons, katastrofe‑gendannelse, forretningskontinuitet og zero‑trust‑programmer, og hvor bør ansvaret for koordinering af disse discipliner ligge?

Disse er ikke separate emner; de er sammenvævede discipliner, der skal koordineres omkring et enkelt forretningsresultat.

Jeg definerer beredskab mod brud som en disciplin for virksomhedens modstandsdygtighed: kontinuerligt forberede, designe, øve og styre organisationen for at forudse angreb, begrænse blast radius, opretholde Minimum Viable Digital Enterprise inden for organisationens foruddefinerede Maximum Acceptable Material Impact, og genoprette kapaciteter, mens angrebet indeholdes. Beredskab mod brud er weaponization af zero‑trust‑arkitektur og fastlægger, hvad der skal ske før, under og efter et cyberangreb. Beredskab mod brud flytter spørgsmålet fra “Hvordan holder vi angribere ude?” til “Hvordan sikrer vi, at en hændelse ikke kan forårsage mere skade, end vi er villige til at tolerere, og hvor meget af forretningen kan fortsætte, mens vi responderer?” Beredskab mod brud handler om overlevelse, mens hændelsen stadig pågår.

Det konceptuelle spring er betydeligt. Forskellige virksomhedspraksisser inden for backup og genoprettelse, hændelses‑respons, katastrofe‑gendannelse og forretningskontinuitet spiller alle vigtige roller i at være brud‑klar, fordi de håndterer forstyrrelsen. De starter, når systemer bliver angrebet. Alle tre programmer – hændelses‑respons, katastrofe‑gendannelse og forretningskontinuitet – fokuserer på “Hvor hurtigt kan vi genoprette det, der er blevet forstyrret?”. Beredskab mod brud fokuserer på “Hvor meget af det kan forblive tilgængeligt fra starten?”.

Beredskab mod brud nedbryder siloer for at sikre, at forretningskonsekvenserne af et kompromis håndteres, og interessenter er trygge ved at fokusere på, hvordan man holder størstedelen af virksomheden “upåvirket” og indkalder en BC/DR for den del, der er berørt. Ansvar og ejerskab for at være brud‑klar ligger hos den øverste ledelse. CEO/bestyrelsen ejer risikotolerancen og det acceptable forretningsresultat. COO eller en tilsvarende leder for virksomhedens modstandsdygtighed bør koordinere beredskab mod brud på tværs af organisationen, mens CISO ejer cybersikkerhedsdimensionen.

For virksomheder, der ønsker at opnå en tilstand af Kuon Ryushi, er fuld organisatorisk deltagelse, der bruger teknologi og AI til at håndtere virkningerne af et cyberangreb, afgørende.

ColorTokens bruger AI til at hjælpe sikkerhedsteams med at analysere miljøer og generere mikrosegmenteringspolitikker hurtigere. Hvor bør organisationer stole på AI til at automatisere defensive beslutninger, og hvilke indeholdelseshandlinger skal fortsat kræve menneskelig godkendelse?

Absolut. Vi gør netop det.

Men lad os være klare: ‘at bruge AI til at hjælpe sikkerhedsteams’ er kun toppen af isbjerget. Hos ColorTokens tror vi på at bruge AI ansvarligt for at gøre virksomheder virkelig brud‑klare. Der er en langt større historie end blot ‘AI gør mikrosegmentering lettere.’

Seneste hændelser med Anthropic, OpenAI, AISI og endda gym‑booking‑sagen i Australien er fejl i arkitekturen, ikke i governance. Når autonom AI undslipper sin sandbox, er den ikke altid ondsindet eller upålidelig. Det handler om, hvordan arkitekturen er bygget. Mennesker skal klart definere driftsområdet, og AI skal holde sig inden for det. Det er her governance kommer ind.

For eksempel kan du tillade AI at isolere ethvert slutpunkt, der er markeret som kompromitteret med en sikkerhed over en vis tærskel, medmindre det er et OT‑sikkerhedssystem, domænekontroller, betalingssystem eller produktions‑kontrol‑aktiv. Det er begrænset autonomi. Men det er lettere sagt end gjort, fordi du har brug for en arkitektur, der er kontekstspecifik og tydeligt udformet med hjælp fra fagfolk.

Efter min mening og erfaring skal virksomheder bruge AI til at udføre opdagelse, korrelation, afhængighedskortlægning, analyse af angrebsstier, blast‑radius‑analyse, politik‑anbefalinger, politik‑syntese, politik‑simulation, lav‑risiko politik‑optimering, forudautoriseret indeholdelse og kontinuerlig verifikation, mens beslutninger om forretningskritikalitet, acceptabel forstyrrelse, sikkerhedsgrænser, definitioner af kronjuveler, sikkerhedsbegrænsninger (i OT), maksimal acceptabel påvirkning, autonomi‑tærskler, undtagelsesgodkendelser, større produktions‑isolering og irreversible handlinger overlades til mennesker.

Bundlinjen – AI bør have tilstrækkelig frihed til at udføre sin opgave, men under eksplicitte betingelser håndhævet af infrastruktur uden for dens kontrolområde. AI bør foreslå handlinger, skal vente på menneskelig godkendelse og derefter gennemføre ændringer med maskinhastighed. Målet er ikke at gøre AI autonom, men at gøre defensiv autonomi begrænset.

Hos ColorTokens bruger vi AI til at gøre forsvarerens kontrolsløjfe hurtig nok til at følge med angriberne. Centraliseret politik‑beslutningstagning, flere håndhævelsesmekanismer, rig telemetri, agent‑fri beskyttelse for systemer, der ikke kan køre agenter, cloud‑ og container‑support samt AI‑assisteret opdagelse og politik‑syntese – alt dette er en del af AI‑assisteret beredskab mod brud.

Mikrosegmentering har eksisteret som et koncept i årevis, men organisationer forbinder det ofte med komplekse implementeringer og stive politikker. Hvad har ændret sig teknologisk, så det er mere praktisk på tværs af cloud‑infrastruktur, Kubernetes‑miljøer, slutpunkter, ældre systemer og operationel teknologi?

Flere ting.

Det, der startede som en fancy metode til at forbinde og kontrollere netværk, sikre dedikeret forbindelse og båndbredde, er udviklet til en grundlæggende cybersikkerhedskapacitet. I dag kan mikrosegmentering omdanne store virksomheder til brud‑klare organisationer, hurtigt og selvsikkert. Teknologiske skift har hjulpet os med at komme forbi de gamle hovedpiner: kortlægning af afhængigheder, redesign af netværksgrænser, konfiguration af VLAN‑er og firewalls, manuel skrivning af regler og bekymring for at bryde forretningstrafik. Segmentering var engang langsom, dyr og begrænset til datacentret. Ikke længere.

Først er identitet nu den primære kanal for cyberangreb. Derfor er forbedret identitetsstyring det første princip i zero trust. I moderne cloud‑miljøer er IP‑adresser meningsløse for sikkerhed. Moderne mikrosegmentering bruger identitet, adgang, arbejdsbelastning, applikation, service og kontekst, ikke kun netværksplacering. Sikkerhedsgrænsen følger identitet, adgang og applikationen, ikke kun den underliggende infrastruktur alene.

For det andet går agent‑fri mikrosegmentering nu ud over appliances. Den udvider beskyttelsen til ældre systemer, IoT‑enheder og OT, der ikke kan køre agenter. Moderne mikrosegmentering integrerer med EDR, udvider dækningen og reducerer implementeringstiden fra måneder til timer, fordi EDR allerede har den telemetri, mikrosegmentering har brug for.

Endelig fjerner AI den sidste store flaskehals: kontekstspecifik brud‑klar politik‑engineering. AI kan analysere flere datapunkter for kontekst, kortlægge afhængigheder og angrebsstier, anbefale zonering og mikrosegmenteringspolitikker og simulere deres indvirkning før håndhævelse. Moderne mikrosegmentering håndhæver politik direkte på slutpunkter og arbejdsbelastninger ved hjælp af native OS‑kontroller. Du behøver ikke længere at redesigne netværket; mikrosegmentering er nu sømløs, og politik følger arbejdsbelastningen, uanset hvor den befinder sig.

Målet er ikke kun at blokere hver laterale bevægelsesforsøg. Men at analysere nok signaler med maskinhastighed for at sikre, at når en angriber kommer ind, bliver den kompromitterede arbejdsbelastning ikke en motorvej til alt andet. Moderne mikrosegmentering handler ikke længere kun om at opdele netværk, men om at kontrollere og overvåge blast radius.

Hvilke beviser bør ledere kræve, når de vurderer den finansielle sag for mikrosegmentering, især med hensyn til ransomware‑nedetid, cyber‑forsikringspræmier, regulatorisk eksponering og omkostningerne ved at holde kritiske tjenester i drift under et angreb?

Finansiel fastlæggelse af brudspåvirkning og korrelation af en mikrosegmenteringsinvestering, der kan sikre uforstyrret drift under et brud, kræver, at ledere først indser, at cyberangreb vil lykkes, uanset investeringerne i cybersikkerhed. I 2025 og 2026 inkluderer organisationer, der faldt for cyberangreb og oplevede uforudset nedetid, mange økonomisk stærke virksomheder som JLR, Nike og Stryker. Derfor er det ikke et spørgsmål om, hvis de vil blive brudt, men hvornår.

Når du accepterer denne realitet, bliver investering i grundlæggende beredskab mod brud akut og en sag om forretningsoverlevelse. For at investere klogt, lad os forstå de to bestyrelses‑niveau indikatorer i mere detaljer.

Den første er et mål for overlevelse. Maximum Acceptable Material Impact (MAMI), som den øverste ledelse og styrende organ er villige til at acceptere for digitale transformations‑ eller AI‑adoptionsambitioner. Det kan starte som et omsætningstal, men skal udvide sig til finansiel levedygtighed, kundetillid, omdømme eller brand over tid.

Den anden er en indikator for konkurrencefordel. Minimum Viable Digital Enterprise (MVDE), som skal forblive i drift, selv når de mest hidtil usete cyberangreb indtræffer. Alle forretningscases for nye initiativer skal tage begge faktorer i betragtning. MVDE kan starte fra 70 % og fortsætte med at stige baseret på succesen af den underliggende identitets‑ og mikrosegmenteringsprogram.

Her er, hvad ledere bør kigge efter, når de evaluerer mikrosegmentering: beviser på, at den kan håndtere ransomware‑nedetid, sænke cyber‑forsikringspræmier, reducere regulatorisk eksponering og holde kritiske tjenester i drift under et angreb.

1. Tillader mikrosegmenteringsplatformen en enkelt platform på tværs af datacentre, brugere, OT‑systemer og cloud?
2. Hvilken procentdel af vores virksomhed er struktureret i zoner og mikrosegmenter baseret på væsentlig påvirkning af forretningen i forhold til den foregående gennemgang?
3. Hvor hurtigt kan mikrosegmenteringsløsningen blive operationel med zoner, mikrosegmenter og kontrollerede kanaler, designet til at holde MVDE i drift?
4. Kan mikrosegmenteringsløsningen integrere med EDR og bruge den som en agent for at reducere agent‑fodaftrykket?
5. Bruger mikrosegmenteringsplatformen nogen samtalebaseret kunstig intelligens til at bestemme kontekstspecifikke regler og politikker?
6. Har vi mulighed for at overvåge ændringer i adfærden hos gyldige brugere i applikationer og begrænse fejlagtige brugere efter identitet