Mark Fetches, CTO von Spinnaker Support – Interview-Serie

Mark Fetches ist Chief Technology Officer für EMEA bei Spinnaker Support, wo er Unternehmen bei der Technologie-Strategie, Sicherheit, Cloud, KI und großen Transformationsinitiativen berät. Mit über 30 Jahren Beratungs- und Führungserfahrung bei Accenture, Deloitte und PwC hat Mark eng mit Vorständen und Aufsichtsräten zusammengearbeitet, um komplexe Unternehmensumgebungen zu modernisieren und Technologie-Entscheidungen mit langfristigen Geschäftszielen abzustimmen. Mit Sitz im Vereinigten Königreich spezialisiert er sich darauf, Unternehmen bei der Bewältigung von Legacy-Technologie-Herausforderungen, operativen Risiken und digitaler Transformation mit praktischen, geschäftsorientierten Richtlinien zu helfen.

Spinnaker Support ist ein führender globaler Anbieter von Drittanbieter-Software-Support, Managed Services und Sicherheitsberatung für Unternehmen, die Oracle (ORCL ), SAP, JD Edwards und andere kritische Plattformen nutzen.

Sie haben über 20 Jahre damit verbracht, Unternehmen bei Accenture, Deloitte und PwC zu beraten, bevor Sie CTO bei Spinnaker Support wurden. Wenn Sie auf diese Reise zurückblicken, welche sind die größten Missverständnisse, die Führungskräfte über das Technik-Risiko hatten, und wie hat die Aufkommen von KI diese Gespräche verändert?

Ich denke, das größte Missverständnis war immer, dass Technik-Risiko irgendwo außerhalb des Geschäfts liegt und als Spezialthema behandelt werden kann. Ich habe das nie so gesehen.

Die meisten ernsthaften Risiken, die ich gesehen habe, kommen von Führungsentscheidungen. Wie viel Komplexität man toleriert. Wie abhängig man von alten Plattformen oder Schlüssel-Anbietern wird. Wie sehr man auf Geschwindigkeit drängt. Ob man dem Datenvertrauen, auf dem das Geschäft läuft, wirklich vertraut. Technologie ist, wo diese Entscheidungen sichtbar werden, aber es ist nicht, wo sie beginnen.

Im Laufe der Jahre habe ich viele Führungskräfte gesehen, die sich auf offensichtliche Dinge wie Cyber-Sicherheit, Compliance und Kostensenkung konzentrieren. Das sind echte Probleme, natürlich. Aber die Risiken, die Unternehmen oft aus dem Gleichgewicht bringen, sind oft leiser als das. Es ist die Plattform, die jeder weiß, dass sie brüchig ist, aber deren Ersetzung immer wieder aufgeschoben wird. Es ist das Datenproblem, das niemand wirklich besitzt. Es ist die ausgelagerte Abhängigkeit, die effizient aussieht, bis sie zu einem Engpass wird. Das sind die Dinge, die im Hintergrund jahrelang bleiben können und dann plötzlich sehr sichtbar werden, wenn etwas schiefgeht.

Ich denke auch, dass es ein langer bestehender Brauch gibt, Compliance mit Widerstandsfähigkeit zu verwechseln. Sie sind nicht dasselbe. Sie können eine Prüfung bestehen und dennoch viel mehr exponiert sein, als Sie denken. Eine Checkliste sagt Ihnen nicht, wie das Geschäft unter Druck reagieren wird, wie schnell es sich erholen kann oder ob Führungskräfte das Problem wirklich klar genug verstehen, um zu handeln.

Was KI geändert hat, ist das Maß an Aufmerksamkeit. Diese Gespräche fanden früher weiter unten im Unternehmen statt. Jetzt stehen sie mitten in den Diskussionen im Vorstand über Wachstum, Vertrauen, Produktivität und Marke. Das ist eine sehr gute Sache. Aber es hat auch eine neue Vereinfachung eingeführt, nämlich die Idee, dass das KI-Modell, das verwendet wird, das Risiko ist. Normalerweise ist es größer als das. Die schwierigeren Fragen sind die nach den Daten und der Governance um es herum, den Entscheidungen, die es beeinflusst, und dem Punkt, an dem menschliche Urteilsfähigkeit immer noch zählen muss.

Also, wenn ich es zusammenfassen müsste, würde ich sagen, dass Technik-Risiko nie wirklich nur um die Technologie selbst ging. Es war immer ein Spiegelbild der Führungsentscheidung. KI hat das nur noch schwerer zu ignorieren gemacht.

Sicherheitsteams haben jetzt Zugang zu mehr Anfälligkeitsinformationen als je zuvor, und dennoch haben Unternehmen weiterhin Schwierigkeiten bei der Priorisierung. Warum glauben Sie, dass die Branche ein Signal-Rausch-Problem hat und kein Erkennungsproblem?

Ich würde es einfach ausdrücken: Die Branche ist nicht knapp an Anfälligkeitsdaten. Sie ist knapp an Klarheit.

Die meisten Sicherheitsteams haben bereits mehr als genug Eingaben, Scanner-Ausgaben, Bedrohungs-Intelligence, Schweregrad-Bewertungen, Patch-Empfehlungen, Exploit-Berichte. Das Problem ist nicht, ob sie Schwächen finden können. Es ist, ob sie die wenigen, die das Geschäft wirklich schädigen könnten, von den vielen unterscheiden können, die technisch interessant, aber weniger folgenschwer sind.

Das ist, warum ich es als ein Signal-Rausch-Problem sehe. Die Erkennung hat sich enorm verbessert. Was nicht Schritt gehalten hat, ist die Fähigkeit, Kontext anzuwenden. Eine Anfälligkeit wird erst zu einer echten Priorität, wenn Sie verstehen, wo sie sitzt, wie exponiert sie ist, wie kritisch das betroffene Asset ist, welche Kompensationskontrollen existieren und welche geschäftlichen Auswirkungen es hätte, wenn sie ausgenutzt würde.

In der Praxis fallen viele Unternehmen immer noch auf die Metriken zurück, die am einfachsten zu produzieren sind, wie Schweregrad-Bewertungen, Patch-Zahlen und Alterungsberichte. Das sind nützlich, aber sie sind nicht dasselbe wie menschliche Urteilsfähigkeit. Eine hoch bewertete Angelegenheit in einem niedrig wertvollen internen System kann viel weniger zählen als eine niedriger bewertete Schwäche, die auf etwas kundenorientiertem oder operativ kritischen System sitzt.

Also denke ich nicht, dass dies grundlegend ein Sichtbarkeitsproblem ist. Es ist ein Geschäfts-Priorisierungsproblem, das von den Sicherheitsteams gelernt werden muss. Wir sind sehr gut darin geworden, Ergebnisse zu generieren. Wir sind weniger konsequent darin, diese Ergebnisse in eine kurze Liste von Maßnahmen umzuwandeln, die die Führung mit Vertrauen unterstützen kann.

Und aus meiner Perspektive ist das die echte Veränderung, die die Branche noch vor sich hat, ein Schritt weg von der Messung dessen, was wir erkennen können, hin zu der Entscheidung, was wirklich wichtig ist in Bezug auf geschäftliche Auswirkungen.

Im Vorstand ist dies wirklich eine Frage der Risiko-Übersetzung: Kann die Organisation technische Exposition in eine kleine Anzahl klarer, umsetzbarer Geschäfts-Prioritäten umwandeln? Diejenigen, die das gut können, sind diejenigen, die von Rauschen zu Signal wechseln.

Viele Cybersicherheits-Anbieter behaupten, dass KI Anfälligkeiten automatisch priorisieren und Bedrohungen vorhersagen kann. Wo sehen Sie die Lücke zwischen der Marketing-Erzählung und dem, was KI realistisch heute in Unternehmensumgebungen liefern kann?

Ich denke, der einfachste Weg, es auszudrücken, ist, dass die Marketing-Kampagne oft ein Maß an Sicherheit verspricht, das reale Unternehmensumgebungen einfach nicht zulassen.

Anbieter beschreiben KI oft so, als ob sie über das Rauschen hinauskommen, alles aufnehmen und zuverlässig sagen kann, was am wichtigsten ist und was als Nächstes passieren wird. Es ist ein überzeugendes Argument, weil jeder Sicherheitsleiter weniger Lärm und mehr Vertrauen möchte. Aber sobald man innerhalb eines großen Unternehmens ist, sind die Dinge selten so sauber, dass dieses Versprechen so einfach gehalten werden kann.

KI kann absolut helfen. Es kann Muster zusammenziehen, manuelles Sortieren reduzieren, Anomalien hervorheben und Teams dabei helfen, durch Informationsmengen zu arbeiten, die sonst schwierig zu bewältigen wären, und das hat einen echten Wert. Aber es gibt einen Unterschied zwischen einem Team, das schneller arbeiten hilft, und der Fähigkeit, mit zuverlässiger Präzision zu wissen, was in dieser spezifischen Umgebung am wichtigsten ist.

Das ist, wo die Lücke auftritt. Die meisten Unternehmen sind voller ungleichmäßigen Kontexts. Asset-Inventare sind unvollständig. Eigentümerschaft ist nicht immer klar. Geschäftskritikalität ändert sich. Kontrollen variieren von einem Teil des Anwesens zum anderen. Datenqualität ist gemischt. Wenn das zugrunde liegende Bild patchy ist, dann ist die Ausgabe der KI auch patchy, egal wie poliert die Oberfläche aussehen mag.

Ich denke, das ist besonders wahr, wenn Anbieter von Vorhersage sprechen. Es gibt einen bedeutenden Unterschied zwischen “dieses Muster sieht riskant aus” und “das ist, was als Nächstes passieren wird”. Ersteres kann nützlich sein. Letzteres ist, wo die Sprache oft vor der Realität herläuft.

Also denke ich, dass KI heute am besten als Verstärker und nicht als Autorität verstanden werden sollte. Es kann Teams helfen, zu sortieren, zu korrelieren und zu fokussieren. Was es nicht konsequent ersetzen kann, ist die Notwendigkeit menschlicher Urteilsfähigkeit, lokales Wissen und ein klares Verständnis davon, was das Geschäft wirklich wichtig findet.

Das ist wirklich der Unterschied. Die Erzählung suggeriert Sicherheit. Die Realität ist bescheidener und nützlicher als der Hype, wenn man ehrlich darüber ist. KI kann die Qualität und Geschwindigkeit der Analyse verbessern, aber es entfernt nicht die Unordnung der Unternehmenssicherheits-Entscheidungsfindung.

Spinnaker Support arbeitet umfassend mit Oracle-, SAP- und JD-Edwards-Deployments. Was macht hochgradig angepasste ERP-Umgebungen besonders schwierig für KI-gesteuerte Sicherheits-Tools, um sie genau zu verstehen und zu bewerten?

Was diese Umgebungen schwierig macht, ist, dass sie nach enough Jahren aufhören, wie Standard-Software zu funktionieren, auf die die KI trainiert wurde, und anfangen, mehr wie ein Verzeichnis zu funktionieren, wie das Geschäft wirklich arbeitet.

Ich habe das besonders bei stark angepassten Oracle-, SAP- und JD-Edwards-Anwesen gesehen. Auf dem Papier sehen Sie vielleicht immer noch eine bekannte Plattform. In der Realität sehen Sie oft Jahre lokaler Anpassungen, benutzerdefinierter Code, geerbter Integrationen, Berechtigungsstrukturen, Berichtslogik und Workarounds, die für sehr spezifische operative Gründe erstellt wurden. Für ein KI-gesteuertes Sicherheits-Tool kann das schwer zu lesen sein, mit irgendeiner Zuverlässigkeit.

Viele dieser Tools funktionieren am besten, wenn die Umgebung relativ konsistent ist und die Muster leichter zu vergleichen sind. Hochgradig angepasste ERP-Umgebungen sind selten so. Die Logik ist verwirrender. Die Dokumentation ist oft unvollständig. Eigentümerschaft kann über Teams verteilt sein. Was ungewöhnlich aussieht, kann perfekt beabsichtigt sein, und was routinemäßig aussieht, kann sich als etwas wirklich kritisch in Finanzen, Lieferkette oder Betrieb herausstellen.

Das ist, wo die Schwierigkeit liegt. Das Tool wird nicht nur gebeten, eine Schwachstelle oder eine Fehlkonfiguration zu erkennen. Es wird gebeten, zu verstehen, was diese Angelegenheit in der Kontext eines Geschäftsprozesses, einer benutzerdefinierten Abhängigkeit oder einer Kontrollstruktur bedeutet, die möglicherweise nirgendwo anders existiert.

Und das ist ein viel schwierigeres Problem, als das Marketing oft impliziert. KI kann Muster zur Oberfläche bringen, manuelles Analysieren reduzieren und Teams helfen, durch Informationsmengen zu arbeiten, die sonst schwierig zu bewältigen wären, und das hat einen echten Wert. Aber wenn das Anwesen nur teilweise dokumentiert ist, von Jahren von Ausnahmen geprägt ist und tief mit der Art und Weise verbunden ist, wie das Unternehmen operiert, gibt es eine Grenze dafür, wie genau ein automatisiertes System es allein interpretieren kann.

Also denke ich, dass das echte Problem nicht darin besteht, ob KI etwas sehen kann. Es besteht darin, ob es genug Kontext versteht, um es ordnungsgemäß zu beurteilen. In hochgradig angepassten ERP-Umgebungen ist das immer noch, wo menschliche Expertise den Unterschied ausmacht.

Eines Ihrer Hauptargumente ist, dass menschliche Expertise kein Engpass ist, den man eliminieren sollte, sondern ein wesentlicher Teil des Sicherheitsprozesses. Können Sie Beispiele nennen, wo menschliche Urteilsfähigkeit Risiken identifizierte, die ein KI-gesteuertes Priorisierungs-Tool wahrscheinlich übersehen hätte?

Ja, absolut. Und für mich ist das, wo die Grenzen der automatisierten Priorisierung sehr offensichtlich werden.

Einige Risiken machen nur Sinn, wenn man die Umgebung gut genug kennt, um zu verstehen, was hinter den Daten steckt. Ein System mag von außen nicht besonders wichtig aussehen. Die Schwachstellen-Bewertung mag unremarkabel sein. Aber jemand, der das Anwesen kennt, weiß, dass es Lohnabrechnung, Quartalsberichterstattung, eine fragile Integration oder einen Geschäftsprozess unterstützt, den das Unternehmen einfach nicht unterbrechen kann. Das Signal in den Daten mag normal aussehen. Die realen Konsequenzen sind nicht.

Ich habe auch Fälle gesehen, in denen das Kontrollbild in der Theorie besser aussieht als in der Praxis. Ein KI-Engine könnte annehmen, dass ein Risiko reduziert ist, weil Segmentierung vorhanden ist, oder weil Zugriff eingeschränkt ist, oder weil eine Überwachungskontrolle existiert. Aber eine Person, die nahe am Anwesen ist, weiß, dass eine Kontrolle inkonsistent angewendet wird, eine andere umgangen wird, wenn der Betrieb unter Druck steht, und eine dritte stillschweigend aufgehört hat, zuverlässig zu sein. Diese Lücke zeigt sich nicht immer sauber im System der Aufzeichnungen.

Das Gleiche passiert in angepassten Umgebungen. Ein Skript, ein Workflow oder ein Berechtigungsmodell kann bei der Überprüfung von Mustern im großen Maßstab routinemäßig aussehen. Für jemanden, der versteht, wie das System im Laufe der Zeit angepasst wurde, kann dieselbe Detail sofort als echte Quelle der Exposition hervorstechen.

Zeit spielt auch eine Rolle. Eine Schwachstelle mag in Isolation handhabbar aussehen, dann aber viel ernster werden, weil das Unternehmen mitten in einer Migration, einer Übernahme, einer regulatorischen Frist oder einem Spitzenbetriebszeitraum ist. Diese Art von Verschiebung ist nicht immer leicht für einen automatisierten Motor zu interpretieren, mit dem richtigen Gewicht.

Also, wenn ich von menschlicher Expertise spreche, spreche ich nicht von Instinkt in einem vagen Sinne. Ich meine lokales Wissen. Gedächtnis. Urteilsfähigkeit. Die Fähigkeit, zu sehen, wenn ein kleines technisches Problem mit etwas viel Konsequenterem verbunden ist.

Das ist, warum ich menschliche Expertise nicht als Engpass sehe, den man entfernen sollte. Ich sehe sie als den Teil, der falsches Vertrauen verhindert. KI kann helfen, Daten zu sortieren und zu verengen. Aber die Risiken, die am meisten zählen, sind oft diejenigen, die nur offensichtlich werden, wenn jemand versteht, wie das Geschäft wirklich funktioniert.

Wenn Unternehmen sich beeilen, KI überall in der Sicherheits-Operation einzusetzen, welche sind die größten Risiken, die durch die Über-Automatisierung der Anfälligkeits-Verwaltung und der Exposition-Bewertung entstehen?

Das größte Risiko, das ich sehe, ist, dass Sie die Illusion der Kontrolle schaffen, ohne die Realität davon zu haben, dass Sie wirklich im Griff haben.

Anfälligkeits-Verwaltung ist eines dieser Bereiche, in denen Automation offensichtlich wertvoll ist. Im Unternehmensmaßstab benötigen Sie Automation, um Probleme zu finden, Daten zu korrelieren, Prioritäten in großen Mengen zu setzen und den gesamten Prozess am Laufen zu halten. Kein ernstes Unternehmen kann das manuell bewältigen.

Aber die Gefahr kommt, wenn Automation beginnt, das Programm ohne genug menschliche Herausforderung zu antreiben.

Das erste offensichtliche Risiko ist falsche Priorisierung. Wenn Sie sich zu sehr auf automatisierte Bewertung verlassen, können Sie damit enden, technische Schwere als dasselbe wie geschäftliches Risiko zu behandeln. Es ist nicht dasselbe. Eine kritische Schwachstelle in einem isolierten oder kompensierend kontrollierten Asset mag in der Praxis weniger zählen als eine niedriger bewertete Angelegenheit, die auf einem hoch exponierten System sitzt, das an einen kritischen Geschäftsprozess geknüpft ist.

Das zweite Risiko, das ich sehe, ist der Verlust des Kontexts. Automatisierte Programme sind nur so gut wie die Asset-Daten, Eigentümerschafts-Daten, Abhängigkeits-Karten und Ausnahmen-Verarbeitung, die dahinter stecken. Wenn diese Informationen unvollständig sind, und in den meisten Unternehmen ist ein Teil davon normalerweise unvollständig, dann kann die Automation sehr effizient dabei werden, fehlerhafte Entscheidungen durch das System zu bewegen.

Das dritte Risiko ist verhaltensbedingt. Sobald Menschen beginnen, dem Workflow zu sehr zu vertrauen, hören sie auf, dessen Ausgaben zu hinterfragen. Teams nehmen an, dass das, was an die Spitze kommt, das ist, was am wichtigsten ist, und was nicht an die Spitze kommt, kann warten. Das ist verständlich, aber ich denke, gefährlich. Weil es die Kultur von informiertem Risiko-Management zu passiver Akzeptanz maschinen-gesteuerter Ordnung verschiebt.

Und dann gibt es ein umfassenderes strategisches Risiko, nämlich dass Organisationen anfangen, Durchsatz mit Sicherheitsverbesserung zu verwechseln. Die Schließung einer hohen Anzahl von Schwachstellen sieht operativ gut aus. Es schafft Dashboards, Metriken und ein Gefühl von Schwung. Aber wenn Sie die Expositionen, die dem Geschäft am meisten zählen, nicht reduzieren, können Sie einfach schneller darin werden, beschäftigt zu erscheinen.

Also denke ich, dass Automation auf jeden Fall die schwere Arbeit leisten sollte. Aber sie sollte Urteilsfähigkeit unterstützen, nicht ersetzen. Andernfalls enden Sie mit einem Prozess, der effizient, messbar und skalierbar ist, aber nicht unbedingt sicherer.

Sie haben umfassend in IT-Transformation und Unternehmens-Architektur gearbeitet. Wie sollten CISOs das Bedürfnis, Schwachstellen schnell zu beheben, mit den operativen Risiken abwägen, die mit der Störung mission-kritischer Geschäftssysteme verbunden sind?

Gute Frage, da dies eines dieser Bereiche ist, in denen die einfache Antwort normalerweise die falsche ist.

Natürlich wollen Sie schnell patchen. Kein CISO wird argumentieren, dass er bekannte Schwachstellen länger als notwendig offen lassen sollte. Aber in einem realen Unternehmen, insbesondere einem, das kritische Systeme ausführt, ist Geschwindigkeit allein nicht das Ziel. Wenn Sie schlecht patchen und etwas unterbrechen, auf das das Geschäft angewiesen ist, haben Sie ein Problem gelöst, indem Sie ein anderes geschaffen haben.

Also ist das Gleichgewicht wirklich darin, zu verstehen, welche Risiken lebendig sind, welche theoretisch sind und welche Systeme Veränderungen tolerieren können, ohne anderswo Probleme zu verursachen.

Einige Schwachstellen erfordern tatsächlich dringendes Handeln. Wenn etwas exponiert, ausnutzbar und in einem Teil des Anwesens sitzt, der zählt, dann handeln Sie. Aber die meiste Zeit ist die Entscheidung weniger absolut, als die Leute es oft machen. Sie können andere Kontrollen um die Angelegenheit herum haben. Das betroffene System kann eng umschlossen sein. Das operative Risiko, die Änderung heute vorzunehmen, kann höher sein als das, wenn Sie die Position für eine kurze Zeit halten und es ordnungsgemäß tun.

Das ist, warum die besseren CISOs tendenziell diejenigen sind, die ein erwachsenes Gespräch mit dem Geschäft führen können. Nicht nur “Dies ist kritisch, patchen Sie es jetzt”, sondern “Hier ist die Exposition, hier ist, was passieren könnte, hier ist, was schiefgehen könnte, wenn wir schlecht intervenieren, und hier ist der sicherste Weg durch es”. Das ist eine glaubwürdigere Form der Führung als die Behandlung jeder Schwachstelle, als ob sie in Isolation existiert.

Ich denke auch, dass diese Momente etwas Tieferes über das Anwesen selbst enthüllen. Wenn ein Unternehmen ständig Angst hat, Kernsysteme zu patchen, weil jede Änderung gefährlich erscheint, sagt das normalerweise, dass die Umgebung brüchig geworden ist. Zu viele versteckte Abhängigkeiten, nicht genug Testvertrauen, zu wenig Widerstandsfähigkeit in der Architektur. In dieser Situation ist die Debatte über das Patchen wirklich ein Symptom eines viel älteren Problems.

Also, ja, patchen Sie schnell, wenn das Risiko real ist und der Weg klar ist. Aber wo die Umgebung empfindlich ist, ist die Aufgabe, Risiken zu reduzieren, ohne ein größeres Durcheinander zu schaffen. Das ist das Gleichgewicht.

Und um ehrlich zu sein, wissen die meisten erfahrenen CISOs das bereits. Die Herausforderung ist, diese Entscheidung unter Druck zu treffen, wenn die Uhr tickt und niemand die Konsequenzen eines Fehlers tragen will.

Die Ansatz von Spinnaker kombiniert KI-gesteuerte Analyse mit Experten-Validierung. Welche spezifischen Aufgaben sollten KI übernehmen und welche Entscheidungen sollten fest in den Händen erfahrener Sicherheits-Experten bleiben?

Ich denke, die Trennlinie ist eigentlich ziemlich einfach.

KI sollte die Arbeit übernehmen, die von Geschwindigkeit, Skalierbarkeit und Konsistenz profitiert. Durch große Mengen an Daten gehen, Signale zusammenziehen, Muster erkennen, Anomalien hervorheben, Teams helfen, das Feld zu verengen, das ist genau die Art von Arbeit, für die Maschinen nützlich sind. Es spart Zeit, reduziert manuelles Aufwand und gibt Sicherheitsteams einen besseren Ausgangspunkt.

Es eignet sich auch gut für die wiederkehrenden Teile der Arbeit. Die erste Ebene der Triagerie. Zusammenfassung von Ergebnissen. Verbindung ähnlicher Probleme. Verfolgung wiederkehrender Ausnahmen. Hervorhebung, wo bestimmte Arten von Kontroll-Schwächen immer wieder auftauchen. Keines davon ersetzt Expertenwissen, aber es macht besseren Gebrauch davon.

Wo ich viel vorsichtiger wäre, ist, wenn man von Analyse zu Entscheidungsfindung übergeht.

Die wichtigen Anrufe sollten immer noch bei erfahrenen Sicherheits-Experten liegen. Ist dies wirklich ein ernstes Risiko in diesem Geschäft oder sieht es nur im Abstrakten ernst aus? Ist dies ein echter Kontroll-Verlust oder ist es eine unordentliche, aber verstandene Ausnahme? Wenn wir dies jetzt beheben, was anders wird gestört? Wenn wir warten, was akzeptieren wir wirklich? Das sind Urteilsanrufe.

Und das ist, bevor man sogar die menschliche Seite davon berücksichtigt. Warum passiert dies immer wieder? Ist das Unternehmen bewusst mit diesem Risiko verbunden oder hat es einfach aufgehört, es zu bemerken? Ist dies ein isoliertes Problem oder ein Zeichen von etwas Kulturellem darunter? Diese Art von Interpretation zählt immer noch sehr.

Also würde ich KI die Sortierung, das Clustering, den ersten Durchgang, die schwere Arbeit überlassen. Aber ich würde es nicht entscheiden lassen, was das Geschäft am meisten kümmern sollte oder welche Aktion ohne menschliche Überprüfung ergriffen werden sollte.

Weil sobald eine Entscheidung Konsequenzen hat, entweder operativ, finanziell oder reputationsmäßig, sind Sie nicht mehr nur Informationen verarbeitend. Sie treffen eine Entscheidung.

Und in der Sicherheit denke ich, dass das immer noch eine Person mit echter Intelligenz sein sollte.

Viele Organisationen konzentrieren sich immer noch stark auf Schwachstellen-Zahlen und Schweregrad-Bewertungen. Warum glauben Sie, dass echte Exposition-Verwaltung eine breitere Sicht erfordert, die Kompensations-Kontrollen, Zugriffs-Beschränkungen, System-Architektur und Geschäfts-Kontext umfasst?

Es erfordert eine breitere Sicht, weil eine Zahl allein nicht viel über die tatsächliche Exposition sagt.

Schweregrad-Bewertungen haben ihren Platz. Schwachstellen-Zahlen haben ihren Platz. Sie helfen, das Problem zu bewerten. Sie helfen, die Rückstandliste zu organisieren. Aber sie sind nicht dasselbe wie das Verständnis der Exposition, und das ist, wo ich denke, viele Organisationen immer noch falsch liegen.

Eine Schwachstelle kann in der Theorie schwerwiegend aussehen und dennoch in der Praxis relativ gut enthalten sein. Wenn der Zugriff auf das System eng begrenzt ist, wenn andere Kompensations-Kontrollen um sie herum sind, wenn es in einem Teil der Umgebung sitzt, der schwer zu erreichen ist, dann kann die tatsächliche Wahrscheinlichkeit, dass diese Angelegenheit Schaden anrichtet, sehr unterschiedlich von dem sein, was der rohe Schweregrad nahelegt.

Und dann gibt es den umgekehrten Fall, der oft der interessantere ist. Etwas, das weiter unten auf der Liste steht, kann sich als viel wichtiger herausstellen, weil es woanders sitzt. Es berührt einen kritischen Dienst. Es ist leichter zu erreichen. Es sitzt in einem Teil der System-Architektur, in dem ein Kompromiss Raum zum Manövrieren gibt. Das ist die Art von Sache, die eine einfache Schweregrad-Bewertung nicht gut erklären kann.

Also, wenn Menschen von Exposition-Verwaltung sprechen, muss es für mich mehr bedeuten als nur Schwachstellen nach Bewertung zu sortieren und die Liste abzuarbeiten.

Sie müssen wissen, was um die Angelegenheit herum sitzt. Welche Kontrollen sind bereits vorhanden. Wer Zugriff hat. Ob das System isoliert oder mit etwas Wichtigerem verbunden ist. Und was passiert, wenn es ausgenutzt wird. Sonst verwalten Sie das Bild des Risikos und nicht das Risiko selbst.

Ich denke, ein Teil des Grundes, warum das passiert, ist, dass Zahlen beruhigend sind. Sie sehen objektiv aus. Sie geben den Leuten etwas Ordentliches, das sie präsentieren können. Sie schaffen das Gefühl, dass das Problem auf etwas Messbares und Kontrollierbares reduziert wurde. Aber echte Exposition ist normalerweise viel unordentlicher als das.

Es sitzt in der Überlappung zwischen der Schwachstelle, den Kontrollen um sie herum, der Architektur, in der sie lebt, und den geschäftlichen Konsequenzen, wenn etwas schiefgeht.

Also, ja, verwenden Sie die Bewertungen. Verwenden Sie die Zahlen. Natürlich. Aber verwechseln Sie sie nicht mit Verständnis.

Wenn Sie wissen wollen, wo die echte Exposition ist, denke ich, müssen Sie die gesamte Umgebung betrachten, nicht nur eine Zahl, die an sie angehängt ist.

Unternehmens-Software-Umgebungen betreten eine Periode erheblicher Veränderung, da Unternehmen Legacy-Systeme modernisieren, während sie gleichzeitig KI-Technologien einführen. Wenn Sie in den nächsten drei bis fünf Jahren blicken, wie sehen Sie die Beziehung zwischen KI, Cybersicherheit und Unternehmens-Plattformen sich entwickeln, und worauf sollten Technologie-Führer sich heute vorbereiten?

Ich denke, die nächsten drei bis fünf Jahre werden ziemlich definierend sein.

Hauptsächlich, weil Unternehmen versuchen, alte Unternehmens-Anwesen zu modernisieren, während sie gleichzeitig KI in den Mix bringen, und keines von beiden ist auf sich allein gestellt leicht. Beides zusammen zu tun, erhöht den Einsatz.

Was sich zuerst ändert, denke ich, ist, dass KI aufhört, ein Seiten-Experiment zu sein, und beginnt, Teil davon zu werden, wie das Geschäft wirklich läuft. Es zeigt sich in Workflows, Support, Entwicklung, Sicherheits-Operationen und Plattform-Verwaltung, nicht als Neuigkeit, sondern als Teil der Verkabelung.

Und sobald das passiert, wird das Cyber-Gespräch ernster. Sie fragen nicht mehr nur, ob das Tool nützlich ist. Sie fragen, was es erreichen kann, was es beeinflussen kann, welche Daten es füttert und welche Konsequenzen es hat, wenn es etwas falsch macht.

Ich denke auch, dass wir sehen werden, wie Sicherheit und Architektur immer schwerer zu trennen sind. In vielen älteren Umgebungen ist das, was wie ein Sicherheits-Problem aussieht, oft in Wirklichkeit ein Architektur-Problem, das ein Sicherheits-Problem trägt. Schwache Identitäts-Design, zu viele Abhängigkeiten, unklare Eigentümerschaft, brüchige Integrationen, schlechte Sichtbarkeit, das sind die Dinge, die normalerweise unter dem sichtbaren Problem liegen. KI wird das nicht glätten. Wenn überhaupt, wird es den Schaden schneller enthüllen.

Also denke ich, dass die Organisationen, die dies gut bewältigen, diejenigen sein werden, die aufhören, KI-Adoption, Cybersicherheit und Plattform-Modernisierung als drei separate Arbeitsstränge zu behandeln. Sie sind immer mehr dieselbe Konversation.

Wenn ich Technologie-Führer jetzt beraten würde, würde ich mit Sichtbarkeit beginnen. Sie benötigen ein viel klareres Verständnis davon, was Sie haben, wie es verbunden ist, wer Zugriff auf was hat, wo sensible Daten bewegt werden und wo Ihre echten Kontrollpunkte sind. Ohne das wird das Hinzufügen von KI nur die Anzahl der Dinge erhöhen, die Sie nicht vollständig verstehen.

Das nächste ist Governance, aber nicht die performative Art. Echte Entscheidungen. Wo kann KI eingesetzt werden? Wo muss menschliche Überprüfung bleiben? Wie werden Ausgaben überprüft? Welche Daten sind tabu? Wer besitzt die Konsequenzen, wenn das System die falsche Aktion antreibt? Diese Fragen müssen jetzt beantwortet werden, nicht später.

Und ehrlich gesagt, zählt Vereinfachung mehr, als viele Leute zugeben wollen. Je verwickelter das Anwesen, desto schwieriger ist es, zu sichern, desto schwieriger ist es, zu modernisieren, und desto schwieriger ist es, KI ohne neue Unsicherheit zu verwenden.

Dann gibt es die menschliche Seite davon. Die besseren Organisationen werden diejenigen sein, die wissen, wie man Automation mit Urteilsfähigkeit kombiniert. Sie werden nicht einfach KI-Ausgaben konsumieren, weil sie schnell oder poliert sind. Sie werden sie herausfordern. Testen. Wenn nötig, zurückdrängen.

Also, ja, in den nächsten Jahren denke ich, dass KI, Cyber-Sicherheit und Unternehmens-Plattformen immer enger miteinander verknüpft werden.

Und ich denke, die Führer, die sich gut vorbereiten, werden diejenigen sein, die verstehen, dass dies nicht nur ein Technologie-Wechsel ist. Es ist eine Veränderung in der Art und Weise, wie Entscheidungen getroffen werden, wie Kontrolle ausgeübt wird und wie resilient ihre Organisation wirklich ist.