Craig Riddell, Global Field CISO hos Wallarm – Intervju-serie

Craig Riddell, Global Field CISO hos Wallarm, er en erfaren cybersecurity-ekspert, der fokuserer på at hjælpe virksomheder med at håndtere de voksende risici, der er forbundet med API’er og AI-drevne systemer. I sin nuværende rolle arbejder han tæt sammen med CISO’er, CIO’er og tekniske ledere for at omsætte virkelige angrebsmønstre og misbrugs-scenarier til håndterbare sikkerhedsstrategier, med stærk vægt på observabilitet – forståelse af, hvordan API’er og AI-systemer opfører sig i produktionen på tværs af brugere, applikationer og integrationer. Hans karriere spænder over ledelsesroller inden for identitet og adgangsadministration, zero trust-arkitektur og virksomhedssikkerhed i organisationer, herunder Netwrix, Kron og HP, hvor han har gennemført store skala IAM-transformationer og moderniseret sikkerhedsrammer. Riddells ekspertise er centreret omkring nye trusler såsom business logic-angreb, API-misbrug, AI-systemdrift og svindel, med en konstant fokus på at brokke gabets mellem højt niveau sikkerhedsstrategi og operationel gennemførelse.

Wallarm er et cybersecurity-selskab, der specialiserer sig i beskyttelse af API’er, applikationer og AI-drevne systemer i moderne cloud-miljøer. Deres platform leverer kontinuerlig opdagelse, test og realtidsbeskyttelse mod trusler såsom API-misbrug, business logic-angreb og automatiserede udnyttelser, samtidig med at de tilbyder dyb indsigt i, hvordan systemerne opfører sig på tværs af komplekse infrastrukturer. Designet til multi-cloud og cloud-native-arkitekturer integrerer Wallarm i eksisterende DevOps- og sikkerhedsarbejdsgange, hvilket ermöglicher organisationer at opdage og blokere angreb, mens de sker, i stedet for efterfølgende. Ved at kombinere API-inventar, AI-drevet truseldetektion og automatiseret responskapacitet adresserer platformen en voksende realitet, hvor API’er og AI-systemer er blevet det primære angrebsOverflade for moderne digitale virksomheder.

I begyndelsen af din karriere arbejdede du direkte med systemer og infrastruktur og er herefter rykket ind i ledelsesroller, der fokuserer på identitet, adgang, API og AI-sikkerhed. Hvad var de væsentligste skift i denne rejse, der fik dig til at konkludere, at den virkelige risiko er flyttet væk fra periferien og ind i API’er og maskindrevne systemer?

Tidligt i min karriere var fokus på at beskytte kanten. Firewalls, segmentering, hardening af infrastruktur. Denne model fungerede, da systemerne var mere statiske, og tillidsgrænserne var lettere at definere.

Hvad ændrede sig, var, hvordan applikationer blev bygget, og hvordan systemerne interagerede. API’er blev det forbinderende væv for alt, og AI accelererede det yderligere. Nu tager systemerne beslutninger, kalder andre systemer og udfører handlinger i en skala og hastighed, der ikke involverer mennesker i løkken.

På det tidspunkt bliver periferien mindre relevant. Den virkelige risiko flytter sig til, hvor beslutninger træffes og handlinger udføres, inde i API’er og maskindrevne arbejdsgange.

Hvis du ikke har indsigt og kontrol der, så tillider du adfærd, som du ikke fuldt ud kan se. Det er, hvor virksomhedsrisikoen viser sig, fra finansielt eksponering til uventede resultater og operationelle afbrydelser.

Du har beskrevet den cybernetiske håndtryk som brudt, henvisende til, hvordan systemer etablerer tillid og udveksler handlinger på tværs af stadig mere komplekse kæder af API’er og automatiserede processer. Hvad ser denne sammenbrud ud til i en virkelig verden-virksomheds miljø i dag?

I de fleste miljøer tillider systemer hinanden baseret på identitet og autentificering. En token er gyldig, en anmodning er velformuleret, og interaktionen er tilladt.

Problemet er, at dette antager, at gyldig betyder sikkert. Det er ikke længere sandt.

Vi autentificerer identitet, men vi validerer ikke intention. Vi verificerer adgang, men ikke adfærd på tværs af kæden.

En service kan være autoriseret til at kalde en anden service, som udløser downstream-handlinger på tværs af flere API’er. Hver trin ser legitimt ud i isolation, men på tværs af den fulde kæde begynder du at se uventet adfærd eller misbrug af logik.

I AI-drevne miljøer er dette forstærket. Agenter kan kæde handlinger og udføre arbejdsgange uden menneskelig gennemgang.

Håndtrykket sker stadig, men ingen spørger, om adfærden har mening i kontekst. Tillid etableres, men ikke kontinuerligt valideret.

Hvorfor falder AI- og API-risiko så ofte mellem organisationsgrænser i stedet for at være klart ejet?

Fordi systemerne ikke er i harmoni med, hvordan organisationer er struktureret.

DevOps ejer leveringen. Sikkerhed ejer politik. Forretningshold ejer resultater. Datahold ejer modeller. Hver gruppe ejer en del, men ingen ejer systemet, som det opfører sig i produktionen.

API’er udfører forretningslogik på tværs af systemer. AI introducerer ikke-deterministisk beslutningstagning oven på det. Sammen skærer de på tværs af hver grænse.

De er bygget af ét hold, sikret af et andet og forbrugt af en tredje, med inkonsistent overvågning på tværs af alle af dem.

Gapperne, som dette skaber, er ikke fejl fra hold. De er fejl i driftsmodellen til at reflektere, hvordan moderne systemer faktisk fungerer.

I din erfaring, hvilke hold antager typisk, at de ejer AI-risiko, og hvor findes de største blinde pletter mellem sikkerhed, DevOps og forretningsenheder?

Sikkerhedshold tenderer til at eje AI-risiko fra et governance- og compliance-perspektiv. DevOps ejer deployment og pålidelighed. Forretningsenheder fokuserer på resultater.

De blinde pletter viser sig mellem disse områder.

Sikkerhed definerer, hvad der skal ske. DevOps sikrer, at systemet kører. Forretningsenheder fokuserer på resultater. Men meget få hold kigger konstant på, hvad systemet faktisk gør i realtid.

Det gab, som dette skaber, er, hvor risikoen bor, især når adfærd er teknisk gyldig, men kontekstuelt forkert.

Mange moderne angreb viser sig som gyldig og autentificeret adfærd i stedet for åbenlyse intrusionsforsøg. Hvordan bør organisationer omdefinere opdagelse i denne nye virkelighed?

Vi skal flytte os væk fra at identificere “dårlige” anmodninger.

I mange tilfælde er anmodningen gyldig. Legitimationsoplysningerne er legitime. API-opkaldet er forventet. Hvad ikke er forventet, er sekvensen af handlinger, mængden eller resultatet.

Opdagelse skal blive adfærds- og kontekstuel. Det handler mindre om at blokere en enkelt anmodning og mere om at forstå, hvordan systemer interagerer over tid.

Tilgangene, der faktisk holder i skala, flytter sig ud over mønster-matching. De dekomponerer anmodninger strukturelt, hvor hver interaktion behandles som en sæt af adfærds-token i stedet for at prøve at matche mod kendte dårlige mønstre.

Dette giver mulighed for at forstå, hvordan adfærd udvikler sig og hvor den afviger, selv når alt ser gyldigt ud på overfladen.

Hvis du afhænger af statiske regler eller signaturer, vil du misse det meste af, hvad der betyder noget.

Du har understreget vigtigheden af indsigt i virkelig adfærd. Hvad ligner meningsfuld indsigt for API’er og AI-systemer i produktion?

Meningsfuld indsigt er ikke kun logs og metrikker. Det handler om at forstå adfærd i kontekst.

For API’er betyder det fuld anmodning og respons-indsigt, hvordan slutpunkter bruges og hvordan interaktioner udvikler sig over tid.

For AI-systemer betyder det at forstå input, beslutninger og resulterende handlinger.

Det vigtigste er at forbinde disse på tværs af systemer til fulde arbejdsgange, ikke isolerede begivenheder.

Uden det opererer du på antagelser om systemadfærd i stedet for virkeligheden.

Hvorfor bliver traditionel menneskelig gennemgang og godkendelse mindre effektive i maskindrevne miljøer?

Fordi hastigheden og skalaen er ændret.

Systemer tager millioner af opkald per minut, og angreb eller uventet adfærd kan udvikle sig på få minutter eller sekunder. Du kan ikke realistisk sætte et menneske i løkken for hver beslutning uden at bryde ydeevnen.

AI-systemer er heller ikke altid deterministiske, hvilket gør forhånds-godkendelsesmodeller mindre effektive.

Menneskelig oversigt er stadig vigtig, men den skal flytte sig fra at godkende enkelt handlinger til at definere guardrails og overvåge resultater.

Hvad er de mest almindelige operationelle huller, du ser, når virksomheder forsøger at sikre AI-systemer ved hjælp af legacy-sikkerhedsrammer?

Det største hul er over-afhængighed af design-tid kontroller.

Virksomheder fokuserer på at sikre modeller, gennemgå kode og definere politikker før deployment. Det er vigtigt, men det antager, at systemerne vil opføre sig, som forventet, når de er live.

I virkeligheden udvikler systemerne sig. API’er ændrer sig. AI-modeller interagerer med nye data og arbejdsgange. Adfærd skifter over tid.

Uden kontinuerlig validering af adfærd i produktionen er virksomhederne efektivt blinde efter deployment.

Hvad ligner en praktisk driftsmodel, når flere interessenter deler ansvar for AI- og API-risiko?

Det starter med at anerkende, at ingen enkelt hold kan eje dette fra ende til anden.

En praktisk model definerer delt ansvar, forankret omkring en fælles kilde til sandhed: køretidsadfærd.

Sikkerhed definerer risiko og politik. Ingeniører bygger og opererer systemer. Forretningsenheder definerer acceptabelt resultat.

Holdene, der kommer i front, opererer i en lukket cirkel. Kontinuerlig opdagelse, gennemførelse og forbedring drevet af, hvad systemerne faktisk gør i produktionen, og ikke hvad der antages på design-tid.

Alle interessenter har brug for indsigt i, hvordan systemerne opererer i produktionen. Herfra kan holdene justere, hvad “godt” ser ud til, opdage afvigelser og reagere.

Skiftet er fra silo-ejet til koordineret ansvar, grundlagt i køretids indsigt.

Set fremad, forventer du, at sikkerhedsansvaret bliver mere centraliseret igen, eller vil det fortsætte med at fragmentere, mens systemerne bliver mere autonome?

Ansvaret vil forblive fordelt, fordi det afspejler, hvordan systemerne er bygget.

Hvad der vil ændre sig, er, hvordan dette ansvar koordineres.

Vi vil se mere enhedlige governance-modeller, hvor hold ejer deres domæner, men opererer med fælles indsigt og kontekst.

De organisationer, der lykkes, vil ikke være dem, der prøver at centralisere alt. De vil være dem, der justerer interessenter omkring, hvordan systemerne faktisk opfører sig i den virkelige verden.

For hvis ingen forstår køretidsadfærd, så ejer ingen virkelig risikoen.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Wallarm.