Mark Fetches, CTO της Spinnaker Support – Σειρά Συνεντεύξεων

Mark Fetches είναι ο Chief Technology Officer για την EMEA στη Spinnaker Support, όπου συμβουλεύει επιχειρήσεις για στρατηγική τεχνολογίας, ασφάλεια, cloud, AI και πρωτοβουλίες μετασχηματισμού μεγάλης κλίμακας. Με περισσότερες από 30 χρόνια εμπειρίας συμβούλου και ηγεσίας σε εταιρείες όπως Accenture, Deloitte και PwC, ο Mark έχει συνεργαστεί στενά με εκτελεστικά στελέχη και διοικητικά συμβούλια για την moderneποίηση σύνθετων περιβαλλόντων επιχειρήσεων και την ευθυγράμμιση αποφάσεων τεχνολογίας με μακροπρόθεσμους επιχειρηματικούς στόχους. Βασισμένος στο Ηνωμένο Βασίλειο, ειδικεύεται στην βοήθεια οργανισμών να διαπερνούν προκλήσεις τεχνολογίας κληρονομιάς, επιχειρηματικού κινδύνου και ψηφιακού μετασχηματισμού με πρακτικές, επιχειρηματικά εστιασμένες οδηγίες.

Spinnaker Support είναι ένας ηγέτης παγκόσμιος πάροχος τρίτου μέρους υποστήριξης λογισμικού, διαχειριζόμενων υπηρεσιών και συμβουλευτικής ασφάλειας για επιχειρήσεις που εκτελούν Oracle (ORCL ), SAP, JD Edwards και άλλες κρίσιμες πλατφόρμες.

Έχετε περάσει περισσότερα από 20 χρόνια συμβουλεύοντας επιχειρήσεις στην Accenture, Deloitte και PwC πριν γίνετε CTO στη Spinnaker Support. Κοίταξτε πίσω σε αυτό το ταξίδι, ποια είναι οι μεγαλύτερες λάθη που οι εκτελεστικοί έχουν συνεχώς για τον τεχνολογικό κίνδυνο, και πώς έχει αλλάξει η άνοδος της AI αυτές τις συζητήσεις;

Νομίζω ότι το μεγαλύτερο λάθος ήταν πάντα ότι ο τεχνολογικός κίνδυνος κάθονταν κάπου στην άκρη της επιχείρησης και μπορούσε να διαχειριστεί ως ένα ειδικό ζήτημα. Δεν το έβλεπα ποτέ με αυτόν τον τρόπο.

Οι περισσότεροι σοβαροί κίνδυνοι που έχω δει προέρχονται από επιλογές ηγεσίας. Πόσο σύνθετο ανεχόμαστε. Πόσο εξαρτημένοι γινόμαστε από παλιές πλατφόρμες ή κρίσιμους προμηθευτές. Πόσο πολύ πιέζουμε για ταχύτητα. Αν πραγματικά εμπιστευόμαστε τα δεδομένα που η επιχείρηση εκτελεί. Η τεχνολογία είναι όπου εμφανίζονται αυτές οι επιλογές, αλλά συνήθως δεν είναι εκεί όπου ξεκινούν.

Κατά τη διάρκεια των ετών, έχω δει πολλούς εκτελεστικούς να εστιάζουν στα προφανή πράγματα, όπως η κυβερνοασφάλεια, η συμμόρφωση και η μείωση του κόστους. Αυτά είναι πραγματικά ζητήματα, βέβαια. Αλλά οι κίνδυνοι που τείνουν να πιάσουν τις εταιρείες είναι συχνά πιο ήσυχοι από αυτά. Είναι η πλατφόρμα που όλοι γνωρίζουν ότι είναι εύθραυστη αλλά συνεχίζουν να αναβάλλουν την αντικατάστασή της. Είναι το πρόβλημα δεδομένων που κανείς δεν κατέχει πραγματικά. Είναι η εξωτερική εξάρτηση που φαίνεται αποτελεσματική μέχρι να γίνει εμπόδιο. Αυτά είναι τα πράγματα που μπορούν να παραμείνουν στο παρασκήνιο για χρόνια και στη συνέχεια να γίνουν πολύ ορατά όταν κάτι σπάσει.

Νομίζω ότι υπάρχει επίσης μια μακροχρόνια συνήθεια να συγχέεται η συμμόρφωση με την ανθεκτικότητα. Δεν είναι το ίδιο πράγμα. Μπορείτε να περάσετε μια επιθεώρηση και να είστε ακόμη πολύ πιο εκτεθειμένοι από ό,τι νομίζετε. Ένα checklist δεν σας λέει πώς η επιχείρηση θα ανταποκριθεί υπό πίεση, πώς γρήγορα μπορεί να ανακτήσει ή αν οι ηγέτες βλέπουν πραγματικά το πρόβλημα αρκετά καλά για να ενεργήσουν.

Τι έχει αλλάξει η AI είναι το επίπεδο προσοχής. Αυτές οι συζητήσεις χρησιμοποιούσαν να βρίσκονται πιο κάτω στην οργάνωση. Τώρα βρίσκονται ακριβώς στο κέντρο των συζητήσεων στη διοικητική επιτροπή για ανάπτυξη, εμπιστοσύνη, παραγωγικότητα και εμπορικό σήμα. Αυτό είναι ένα πολύ καλό πράγμα. Αλλά έχει επίσης εισαγάγει μια νέα απλοποίηση, η οποία είναι η ιδέα ότι το μοντέλο AI που χρησιμοποιείται είναι ο κίνδυνος. Συνήθως, είναι μεγαλύτερο από αυτό. Τα σκληρά ερωτήματα είναι για τα δεδομένα και τη διακυβέρνηση γύρω από αυτό, τις αποφάσεις που επηρεάζει και το σημείο στο οποίο η ανθρώπινη κρίση πρέπει ακόμη να μετράει.

Οπότε, αν έπρεπε να το συνοψίσω, θα έλεγα ότι ο τεχνολογικός κίνδυνος δεν ήταν ποτέ πραγματικά για την τεχνολογία μόνο. Ήταν πάντα μια αντανάκλαση της κρίσης της ηγεσίας. Η AI έχει просто κάνει αυτό πολύ πιο δύσκολο να αγνοηθεί.

Οι ομάδες ασφάλειας έχουν τώρα πρόσβαση σε περισσότερες πληροφορίες για την ευπάθεια από ποτέ πριν, ωστόσο οι οργανώσεις συνεχίζουν να αγωνίζονται με την προτεραιότητα. Γιατί πιστεύετε ότι η βιομηχανία έχει ένα πρόβλημα σήματος προς θόρυβο αντί για ένα πρόβλημα ανίχνευσης;

Θα το έβαζα khá απλά, η βιομηχανία δεν είναι短 της ευπάθειας δεδομένων. Είναι短 της σαφής.

Οι περισσότερες ομάδες ασφάλειας έχουν ήδη περισσότερες από assez εισροές, έξοδο scanner, πληροφορίες απειλής, βαθμοί σοβαρότητας, συμβουλές για επιδιόρθωση, αναφορά εκμετάλλευσης. Το ζήτημα δεν είναι αν μπορούν να βρουν αδυναμίες. Είναι αν μπορούν να ξεχωρίσουν τις λίγες που θα μπορούσαν πραγματικά να βλάψουν την επιχείρηση από τις πολλές που είναι τεχνικά ενδιαφέρουσες αλλά λιγότερο σημαντικές.

Αυτό είναι γιατί το βλέπω ως ένα πρόβλημα σήματος προς θόρυβο. Η ανίχνευση έχει βελτιωθεί enormemente. Τι δεν έχει κρατήσει το ρυθμό είναι η ικανότητα να εφαρμόσει το контекст. Μια ευπάθεια γίνεται πραγματικά μια προτεραιότητα μόνο όταν καταλαβαίνετε πού βρίσκεται, πόσο εκτεθειμένη είναι, πόσο κρίσιμη είναι η περιουσία, ποιες αποζημιωτικές ελέγχοι υπάρχουν και τι θα ήταν η επιχειρηματική επίδραση αν εκμεταλλευτεί.

Στην πράξη, πολλές οργανώσεις ακόμη επαναλαμβάνουν τα μετρικά που είναι πιο εύκολα να παραχθούν, όπως βαθμοί σοβαρότητας, μετρήσεις επιδιόρθωσης και αναφορές παλαιότητας. Αυτά είναι χρήσιμα, αλλά δεν είναι το ίδιο με την ανθρώπινη κρίση. Ένα υψηλόβαθμο ζήτημα σε ένα χαμηλό-τιμωμένο εσωτερικό σύστημα μπορεί να μετράει πολύ λιγότερο από ένα χαμηλότερο-βαθμό αδυναμία που βρίσκεται σε κάτι που είναι εξωτερικά ή λειτουργικά κρίσιμο.

Οπότε, δεν νομίζω ότι αυτό είναι ουσιαστικά ένα πρόβλημα ορατότητας. Είναι ένα πρόβλημα προτεραιότητας επιχείρησης που πρέπει να μάθουν οι ομάδες ασφάλειας. Έχουμε γίνει πολύ καλοί στην παραγωγή ευρημάτων. Είμαστε ακόμη λιγότερο συνεπείς στο να μεταφράζουμε αυτά τα ευρήματα σε μια σύντομη λίστα δράσεων που η ηγεσία μπορεί να υποστηρίξει με εμπιστοσύνη.

Και από την οπτική μου, αυτό είναι η πραγματική αλλαγή που η βιομηχανία ακόμη χρειάζεται να κάνει, μια κίνηση μακριά από τη μέτρηση του πόσο πολύ μπορούμε να ανιχνεύσουμε προς την απόφαση τι πραγματικά μετράει σε σχέση με την επιχειρηματική επίδραση.

Στο επίπεδο διοικητικής επιτροπής, αυτό είναι πραγματικά ένα ζήτημα μετάφρασης κινδύνου, μπορεί η οργάνωση να μετατρέψει την τεχνική έκθεση σε ένα μικρό αριθμό σαφών, δραστικών επιχειρηματικών προτεραιοτήτων; Αυτοί που μπορούν να το κάνουν είναι αυτοί που μετακινούνται από θόρυβο σε σήμα.

Πολλοί κυβερνοπρομηθευτές ισχυρίζονται ότι η AI μπορεί να προτεραιότητα αυτόματα τις ευπάθειας και να προβλέψει απειλές. Πού βλέπετε το κενό μεταξύ της αφηγηματικής μάρκετινγκ και τι η AI μπορεί πραγματικά να παραδώσει σήμερα σε περιβάλλοντα επιχειρήσεων;

Νομίζω ότι ο εύκολος τρόπος να το πω είναι ότι η μάρκετινγκ γύρω από αυτό συνήθως υπόσχεται ένα επίπεδο βεβαιότητας που τα πραγματικά περιβάλλοντα επιχειρήσεων απλά δεν επιτρέπουν.

Οι προμηθευτές συχνά περιγράφουν την AI ως αν μπορεί να ανυψωθεί πάνω από τον θόρυβο, να λάβει όλα και να πει με βεβαιότητα στην ομάδα ασφάλειας τι μετράει περισσότερο και τι είναι πιθανό να συμβεί επόμενο. Είναι μια πειστική πίτα επειδή κάθε ηγέτης ασφάλειας θέλει λιγότερο θόρυβο και περισσότερη εμπιστοσύνη. Αλλά μια φορά που είσαι μέσα σε μια μεγάλη οργάνωση, τα πράγματα είναι σπάνια καθαρά enough για αυτή την υπόσχεση να κρατήσει σε ένα τόσο απλό τρόπο.

Η AI μπορεί να βοηθήσει. Μπορεί να τραβήξει muster, να μειώσει κάποιο από το χειροκίνητο ταξίδι, να υπογραμμίσει ανωμαλίες και να βοηθήσει τις ομάδες να δουλέψουν μέσα από όγκους πληροφοριών που θα ήταν διαφορετικά δύσκολο να διαχειριστούν, και αυτό έχει πραγματική αξία. Αλλά υπάρχει μια διαφορά μεταξύ βοηθώντας μια ομάδα να κινηθεί γρηγορότερα και πραγματικά να ξέρει, με κάποια αξιόπιστη ακρίβεια, τι πρέπει να μετράει περισσότερο σε αυτό το συγκεκριμένο περιβάλλον.

Αυτό είναι όπου το κενό εμφανίζεται. Οι περισσότερες επιχειρήσεις είναι πλήρεις από ανώμαλο контекστ. Τα αποθέματα περιουσίας είναι ατελή. Η ιδιοκτησία δεν είναι πάντα σαφής. Η επιχειρηματική κρίσιμη σημασία μεταβάλλεται. Οι ελέγχοι ποικίλλουν από ένα μέρος της περιουσίας στο άλλο. Η ποιότητα των δεδομένων είναι μικτή. Αν η υποκείμενη εικόνα είναι patchy, τότε η έξοδος της AI θα είναι patchy επίσης, όσο γυαλισμένο το interface μπορεί να φαίνεται.

Νομίζω ότι αυτό είναι ιδιαίτερα αλήθεια όταν οι προμηθευτές μιλάνε για πρόβλεψη. Υπάρχει μια σημαντική διαφορά μεταξύ του να λέει, “αυτή η τάση φαίνεται κίνδυνος,” και του να λέει, “αυτό είναι τι θα συμβεί επόμενο.” Το πρώτο μπορεί να είναι χρήσιμο. Το δεύτερο είναι όπου η γλώσσα συχνά τρέχει μπροστά από την πραγματικότητα.

Οπότε, για μένα, η AI είναι καλύτερα να κατανοηθεί σήμερα ως ένα ενισχυτής, όχι μια εξουσία. Μπορεί να βοηθήσει τις ομάδες να ταξινομήσουν, να συσχετίσουν και να εστιάσουν. Τι δεν μπορεί να κάνει συνεχώς είναι να αντικαταστήσει την ανάγκη για ανθρώπινη κρίση, τοπική γνώση και μια σαφή κατανόηση του τι η επιχείρηση πραγματικά μετράει.

Αυτό είναι πραγματικά η διαίρεση. Η αφήγηση υποσχεται βεβαιότητα. Η πραγματικότητα είναι πιο μετρημένη και πιο χρήσιμη από την υπερβολή αν είσαι ειλικρινής γι’ αυτό. Η AI μπορεί να βελτιώσει την ποιότητα και την ταχύτητα της ανάλυσης, αλλά δεν μπορεί να αφαιρέσει την ανάγκη για ανθρώπινη κρίση.

Η Spinnaker Support εργάζεται εκτενώς με αναπτύξεις Oracle, SAP και JD Edwards. Τι κάνει τα περιβάλλοντα ERP υψηλής προσαρμογής ιδιαίτερα δύσκολα για τα εργαλεία ασφάλειας AI-κίνησης να κατανοήσουν και να αξιολογήσουν ακριβώς;

Τι κάνει αυτά τα περιβάλλοντα δύσκολα είναι ότι, μετά από αρκετά χρόνια, σταματούν να συμπεριφέρονται σαν τυπικό λογισμικό που η AI έχει εκπαιδευτεί και αρχίζουν να συμπεριφέρονται περισσότερο σαν ένα αρχείο του πώς η επιχείρηση λειτουργεί πραγματικά.

Έχω δει ότι αυτό είναι ιδιαίτερα αλήθεια σε περιβάλλοντα Oracle, SAP και JD Edwards που έχουν προσαρμοστεί πολύ. Σε χαρτί, μπορείτε ακόμη να κοιτάζετε μια γνωστή πλατφόρμα. Στην πραγματικότητα, κοιτάζετε χρόνια τοπικών προσαρμογών, προσαρμοσμένου κώδικα, κληρονομημένων ολοκληρώσεων, δομών разрешений, λογικής αναφοράς και εργασιών που έχουν κατασκευαστεί για πολύ συγκεκριμένους επιχειρηματικούς λόγους. Σε ένα εργαλείο ασφάλειας AI-κίνησης, αυτό μπορεί να είναι δύσκολο να διαβαστεί με οποιαδήποτε πραγματική βεβαιότητα.

Πολλοί από αυτούς τους ελέγχους λειτουργούν καλύτερα όταν το περιβάλλον είναι σχετικά συνεπές και τα μοτίβα είναι πιο εύκολο να συγκριθούν. Περιβάλλοντα ERP υψηλής προσαρμογής σπάνια είναι così. Η λογική είναι πιο μπερδεμένη. Η τεκμηρίωση είναι συχνά ατελή. Η ιδιοκτησία μπορεί να είναι διασκορπισμένη σε ομάδες. Τι φαίνεται ασυνήθιστο μπορεί να είναι完全LY εσκεμμένο και τι φαίνεται κανονικό μπορεί να υποστηρίζει κάτι πραγματικά κρίσιμο στις χρηματοοικονομικές, την αλυσίδα εφοδιασμού ή τις επιχειρηματικές λειτουργίες.

Αυτό είναι όπου η δυσκολία εμφανίζεται. Το εργαλείο δεν ζητάει μόνο να αναγνωρίσει μια αδυναμία ή μια λανθασμένη διαμόρφωση. Ζητάει να κατανοήσει τι σημαίνει αυτό το ζήτημα στο контекστ του επιχειρηματικού διαδικασίας, μιας προσαρμοσμένης εξάρτησης ή μιας δομής ελέγχου που μπορεί να μην υπάρχει πουθενά αλλού.

Και αυτό είναι ένα πολύ πιο δύσκολο πρόβλημα από ό,τι συνήθως υποδηλώνεται. Η AI μπορεί να βοηθήσει να επιφανείσει μοτίβα, να μειώσει κάποιο από την χειροκίνητο ανάλυση και να βοηθήσει τις ομάδες να δουλέψουν μέσα από όγκους πληροφοριών που θα ήταν διαφορετικά δύσκολο να διαχειριστούν, και αυτό έχει πραγματική αξία. Αλλά υπάρχει ένα όριο στο πόσο ακριβώς ένα αυτόματο σύστημα μπορεί να ερμηνεύσει μόνη της.

Οπότε, το πραγματικό ζήτημα δεν είναι αν η AI μπορεί να δει κάτι. Είναι αν μπορεί να κατανοήσει достаточно του περιβάλλοντος για να το κρίνει σωστά. Σε περιβάλλοντα ERP υψηλής προσαρμογής, αυτό είναι ακόμη όπου η ανθρώπινη εμπειρία κάνει τη διαφορά.

Μια από τις βασικές σας επιχειρήσεις είναι ότι η ανθρώπινη εμπειρία δεν είναι ένα μπουκάλι να αφαιρεθεί αλλά ένα απαραίτητο μέρος της διαδικασίας ασφάλειας. Μπορείτε να μοιραστείτε παραδείγματα όπου η ανθρώπινη κρίση αναγνώρισε κινδύνους που ένα μηχάνημα προτεραιότητας AI-κίνησης θα είχε πιθανώς παραλείψει;

Ναι, απολύτως. Και για μένα, αυτό είναι όπου τα όρια της αυτόματης προτεραιότητας γίνονται πολύ εμφανή.

Ορισμένοι κίνδυνοι μόνο έχουν νόημα μια φορά που γνωρίζετε το περιβάλλον αρκετά καλά για να κατανοήσετε τι βρίσκεται πίσω από τα δεδομένα. Ένα σύστημα μπορεί να μην φαίνεται ιδιαίτερα σημαντικό από έξω. Ο βαθμός ευπάθειας μπορεί να είναι αξιόλογος. Αλλά κάποιος που γνωρίζει την περιουσία μπορεί να γνωρίζει ότι υποστηρίζει μισθοδοσία, τριμηνιαία αναφορά, μια εύθραυστη ολοκλήρωση ή μια επιχειρηματική διαδικασία που η εταιρεία απλά δεν μπορεί να διακόψει. Το σήμα στα δεδομένα μπορεί να φαίνεται κανονικό. Η πραγματική συνέπεια δεν είναι.

Έχω επίσης δει περιπτώσεις όπου η εικόνα ελέγχου φαίνεται καλύτερη στην θεωρία παρά στην πράξη. Ένα μηχάνημα AI μπορεί να υποθέσει ότι ο κίνδυνος μειώνεται επειδή η διαχωριστική γραμμή είναι σε θέση, ή επειδή η πρόσβαση είναι περιορισμένη ή επειδή ένας έλεγχος παρακολούθησης υπάρχει. Αλλά κάποιος που είναι κοντά στο περιβάλλον μπορεί να γνωρίζει ότι ένας έλεγχος εφαρμόζεται ασυνεπώς, ένας άλλος παρακαμπάει όταν οι επιχειρήσεις είναι υπό πίεση και ένας τρίτος έχει σταματήσει να είναι αξιόπιστος. Αυτό το είδος κενών δεν εμφανίζεται πάντα καθαρά στο σύστημα εγγραφής.

Το ίδιο συμβαίνει σε περιβάλλοντα που έχουν προσαρμοστεί. Ένα σενάριο, μια ροή εργασίας ή ένα μοντέλο разрешений μπορεί να φαίνεται κανονικό αν σκανάρετε για μοτίβα σε κλίμακα. Σε κάποιον που κατανοεί πώς αυτό το σύστημα έχει προσαρμοστεί με την πάροδο του χρόνου, το ίδιο λεπτό μπορεί να ξεχωρίσει αμέσως ως μια πραγματική πηγή έκθεσης.

Ο χρόνος μετράει επίσης. Μια ευπάθεια μπορεί να φαίνεται διαχειρίσιμη σε απομόνωση, τότε να γίνει πολύ πιο σοβαρή επειδή η επιχείρηση είναι στη μέση μιας μετεγκατάστασης, μιας απόκτησης, μιας ρυθμιστικής προθεσμίας ή μιας περιόδου αιχμής. Αυτό το είδος αλλαγής δεν είναι πάντα εύκολο για ένα αυτόματο μηχάνημα να ερμηνεύσει με το σωστό βάρος.

Οπότε, όταν μιλάω για ανθρώπινη εμπειρία, δεν μιλάω για ενστικτώδη σε κάποιο αόριστο τρόπο. Νομίζω τοπική γνώση. Μνήμη. Κρίση. Η ικανότητα να δείτε όταν ένα μικρό τεχνικό ζήτημα είναι συνδεδεμένο με κάτι πολύ πιο σημαντικό.

Αυτό είναι γιατί δεν βλέπω την ανθρώπινη εμπειρία ως ένα μπουκάλι να αφαιρεθεί. Το βλέπω ως το μέρος που αποτρέπει την ψευδή εμπιστοσύνη. Η AI μπορεί να βοηθήσει να ταξινομήσει και να στενεύσει τα δεδομένα. Αλλά οι κίνδυνοι που μετράνε περισσότερο είναι συχνά αυτοί που μόνο γίνονται εμφανείς όταν κάποιος κατανοεί πώς λειτουργεί πραγματικά η επιχείρηση.

Καθώς οι οργανώσεις βιάζονται να υιοθετήσουν την AI σε επιχειρησιακές λειτουργίες ασφάλειας, ποια είναι τα μεγαλύτερα κινδύνους της υπερ-αυτοματοποίησης της διαχείρισης ευπαθειών και της αξιολόγησης έκθεσης;

Ο μεγαλύτερος κίνδυνος που βλέπω είναι ότι δημιουργείτε την εμφάνιση ελέγχου χωρίς την πραγματικότητα του ότι πραγματικά είστε υπό έλεγχο.

Η διαχείριση ευπαθειών είναι ένα από αυτά τα πράγματα όπου η αυτοματοποίηση είναι rõ ràng χρήσιμη. Σε κλίμακα επιχείρησης, χρειάζεστε αυτοματοποίηση για να βρείτε ζητήματα, να συσχετίσετε δεδομένα, να προτεραιότητα σε όγκο και να διατηρήσετε ολόκληρη τη διαδικασία σε κίνηση. Καμία σοβαρή οργάνωση δεν μπορεί να διαχειριστεί αυτό χειροκίνητα.

Αλλά ο κίνδυνος έρχεται όταν η αυτοματοποίηση αρχίζει να οδηγεί το πρόγραμμα χωρίς αρκετή ανθρώπινη πρόκληση γύρω από αυτό.

Ο πρώτος σαφής κίνδυνος είναι η ψευδής προτεραιότητα. Αν εξαρτηθείτε πολύ από την αυτόματη βαθμολογία, μπορείτε να αντιμετωπίσετε τεχνική σοβαρότητα ως αν η επιχειρηματική έκθεση ήταν το ίδιο. Δεν είναι.

Ο δεύτερος κίνδυνος που βλέπω είναι η απώλεια του контекστ. Τα προγράμματα αυτοματοποίησης είναι μόνο τόσο καλά όσο τα δεδομένα περιουσίας, τα δεδομένα ιδιοκτησίας, η χαρτογράφηση εξαρτήσεων και η διαχείριση εξαιρέσεων πίσω από αυτά. Αν αυτή η πληροφορία είναι ατελής, και στις περισσότερες επιχειρήσεις κάποια από αυτή είναι συνήθως, τότε η αυτοματοποίηση μπορεί να γίνει πολύ αποτελεσματική στο να κινεί ελαττωματικές αποφάσεις μέσα στο σύστημα.

Ο τρίτος κίνδυνος είναι συμπεριφορικός. Μόλις οι άνθρωποι αρχίσουν να εμπιστεύονται πολύ το workflow, σταματούν να διερευνούν τις εξόδους του. Οι ομάδες υποθέτουν ότι ό,τι ανεβαίνει στην κορυφή πρέπει να μετράει περισσότερο και ό,τι δεν ανεβαίνει στην κορυφή μπορεί να περιμένει. Αυτό είναι κατανοητό, αλλά νομίζω ότι είναι επικίνδυνο. Επειδή μεταφέρει την κουλτούρα από την ενημερωμένη διαχείριση κινδύνου στην παθητική αποδοχή της μηχανικής-οδηγούμενης τάξης.

Και τότε υπάρχει ένας ευρύτερος στρατηγικός κίνδυνος, ο οποίος είναι ότι οι οργανώσεις αρχίζουν να συγχέουν την απόδοση με τη βελτίωση της ασφάλειας. Η κλείσιμο ενός υψηλού όγκου ευπαθειών φαίνεται καλά λειτουργικά. Δημιουργεί πίνακες ελέγχου, μετρήσεις, και μια αίσθηση ορμής. Αλλά αν δεν μειώνετε τις εκθέσεις που μετράνε περισσότερο στην επιχείρηση, μπορείτε απλά να γίνετε γρηγορότεροι στο να φαίνετε απασχολημένοι.

Οπότε, η άποψή μου είναι ότι η αυτοματοποίηση πρέπει να κάνει το βαρύ έργο. Αλλά πρέπει να υποστηρίζει την κρίση, όχι να την αντικαταστήσει. Διαφορετικά, έχετε μια διαδικασία που είναι αποτελεσματική, μετρήσιμη και κλιμακωτή, αλλά όχι απαραίτητα ασφαλέστερη.

Έχετε εργαστεί εκτενώς σε μετασχηματισμό IT και αρχιτεκτονική επιχείρησης. Πώς πρέπει οι CISOs να ισορροπήσουν την ανάγκη να επιδιορθώσουν ευπάθειας γρήγορα έναντι των επιχειρηματικών κινδύνων της διατάραξης των κρίσιμων επιχειρηματικών συστημάτων;

Καλή ερώτηση, επειδή αυτό είναι ένα από αυτά τα πράγματα όπου η εύκολη απάντηση είναι συνήθως η λάθος.

Βέβαια, θέλετε να επιδιορθώσετε γρήγορα. Κανείς CISO δεν θα υποστηρίξει να καθίσει σε γνωστές ευπάθειας για περισσότερο χρόνο από ό,τι είναι απαραίτητο. Αλλά σε μια πραγματική επιχείρηση, ιδιαίτερα μια που τρέχει κρίσιμα συστήματα, η ταχύτητα από μόνη της δεν είναι ο στόχος. Αν επιδιορθώσετε κακώς και σταματήσετε κάτι που η επιχείρηση εξαρτάται, έχετε λύσει ένα πρόβλημα δημιουργώντας ένα άλλο.

Οπότε, η ισορροπία είναι πραγματικά για να κατανοήσετε ποιοι κίνδυνοι είναι ζωντανοί, ποιοι είναι θεωρητικοί και ποια συστήματα μπορούν να ανεχθούν αλλαγή χωρίς να προκαλέσουν προβλήματα αλλού.

Ορισμένες ευπάθειας πραγματικά χρειάζονται επείγουσα δράση. Αν κάτι είναι εκτεθειμένο, εκμεταλλεύσιμο και κάθεται σε ένα μέρος της περιουσίας που μετράει, τότε κινείστε. Αλλά πολλές φορές, η απόφαση είναι λιγότερο απολύτως σαφής από ό,τι οι άνθρωποι το κάνουν να φαίνεται. Μπορείτε να έχετε άλλους ελέγχους γύρω από το ζήτημα. Το επηρεαζόμενο σύστημα μπορεί να είναι στενά περιεχόμενο. Ο επιχειρηματικός κίνδυνος της αλλαγής σήμερα μπορεί να είναι υψηλότερος από το να κρατήσετε τη θέση για μια σύντομη περίοδο και να το κάνετε σωστά.

Αυτό είναι γιατί οι καλύτεροι CISOs τείνουν να είναι αυτοί που μπορούν να έχουν μια ενήλικη συζήτηση με την επιχείρηση. Όχι μόνο, “Αυτό είναι κρίσιμο, επιδιορθώστε το τώρα,” αλλά “Εδώ είναι η έκθεση, εδώ είναι τι θα μπορούσε να συμβεί, εδώ είναι τι θα μπορούσε να πάει λάθος αν παρέμβουμε κακώς και εδώ είναι ο ασφαλέστερος δρόμος μέσα από αυτό.” Αυτό είναι ένα πιο αξιόπιστο είδος ηγεσίας από το να αντιμετωπίζετε κάθε ευπάθεια ως αν ήταν σε απομόνωση.

Νομίζω επίσης ότι αυτές οι στιγμές αποκαλύπτουν κάτι βαθύτερο για την περιουσία. Αν μια οργάνωση είναι συνεχώς φοβισμένη να επιδιορθώσει κρίσιμα συστήματα επειδή κάθε αλλαγή φαίνεται επικίνδυνη, αυτό συνήθως λέει ότι το περιβάλλον έχει γίνει εύθραυστο. Πολύ κρυφό εξαρτημένο, δεν υπάρχει αρκετή εμπιστοσύνη δοκιμής, πολύ λίγη ανθεκτικότητα στην αρχιτεκτονική. Σε αυτή τη θέση, η συζήτηση για επιδιόρθωση είναι πραγματικά ένα σύμπτωμα ενός πολύ παλαιότερου προβλήματος.

Οπότε, ναι, επιδιορθώστε γρήγορα όπου ο κίνδυνος είναι πραγματικός και ο δρόμος είναι σαφής. Αλλά όπου το περιβάλλον είναι ευαίσθητο, η δουλειά είναι να μειώσετε τον κίνδυνο χωρίς να δημιουργήσετε ένα μεγαλύτερο χάος. Αυτή είναι η ισορροπία.

Και να είμαι ειλικρινής, οι περισσότεροι έμπειροι CISOs ήδη γνωρίζουν αυτό. Η πρόκληση είναι να εφαρμόσουν την απόφασή τους υπό πίεση, όταν ο χρόνος τρέχει και κανείς δεν θέλει να ιδιοποιηθεί τις συνέπειες του να το κάνει λάθος.

Η προσέγγιση της Spinnaker συνδυάζει την ανάλυση AI-κίνησης με την επαλήθευση εμπειρογνωμόνων. Ποια συγκεκριμένα καθήκοντα πρέπει να χειρίζεται η AI και ποίες αποφάσεις πρέπει να παραμείνουν στα χέρια των εμπειρογνωμόνων ασφάλειας;

Νομίζω ότι η διαίρεση είναι πραγματικά khá απλή.

Η AI πρέπει να κάνει το έργο που ωφελείται από ταχύτητα, κλίμακα και συνεπή. Περνάει μέσα από μεγάλα όγκους δεδομένων, τραβώντας σήματα μαζί, αναγνωρίζοντας μοτίβα, υπογραμμίνοντας πράγματα που φαίνονται εκτός, βοηθώντας τις ομάδες να στενεύσουν το πεδίο, αυτό είναι ακριβώς το είδος εργασίας που τα μηχανήματα είναι χρήσιμα για. Αυτό σώζει χρόνο, μειώνει την χειροκίνητη προσπάθεια και δίνει στις ομάδες ασφάλειας ένα καλύτερο σημείο εκκίνησης.

Είναι επίσης καλά προσαρμοσμένο για τα επαναλαμβανόμενα μέρη της δουλειάς. Το πρώτο στρώμα της τριβής. Περίληψη ευρημάτων. Συνδέοντας παρόμοια ζητήματα. Ακολουθώντας επαναλαμβανόμενες εξαιρέσεις. Δείχνοντας πού bestimmte τύποι αδυναμιών συνεχίζουν να εμφανίζονται. Κανένα από αυτά δεν αντικαθιστά την εμπειρία, αλλά κάνει καλύτερη χρήση της.

Όπου θα ήμουν πολύ πιο προσεκτικός είναι όταν μετακινούμαστε από ανάλυση σε λήψη αποφάσεων.

Οι σημαντικές αποφάσεις πρέπει ακόμη να κάθονται με τους εμπειρογνωμόνες ασφάλειας. Είναι αυτό πραγματικά ένα σοβαρό κίνδυνο σε αυτή την επιχείρηση ή μόνο φαίνεται σοβαρό στην αφηγή; Είναι αυτό μια πραγματική αδυναμία ελέγχου ή είναι ένα μπερδεμένο αλλά κατανοητό εξαίρεμα; Αν το διορθώσουμε τώρα, τι άλλο μπορεί να διαταράξουμε; Αν περιμένουμε, τι πραγματικά αποδεχόμαστε; Αυτά είναι αποφάσεις κρίσης.

Και αυτό είναι πριν ακόμη φτάσουμε στο ανθρώπινο μέρος του. Γιατί αυτό συνεχίζει να συμβαίνει; Είναι η οργάνωση γνωρίζει ότι φέρει αυτόν τον κίνδυνο ή έχει απλά σταματήσει να το παρατηρεί; Είναι αυτό ένα απομονωμένο ζήτημα ή ένα σημάδι κάτι πολιτισμικού κάτω από; Αυτό το είδος ερμηνείας μετράει ακόμη πολύ.

Οπότε, θα άφηνε την AI να κάνει το ταξίδι, το clustering, το πρώτο πέρασμα, το βαρύ έργο. Αλλά δεν θα άφηνε να αποφασίσει τι η επιχείρηση πρέπει να μετράει περισσότερο ή ποια δράση πρέπει να ληφθεί χωρίς ανθρώπινη επανεξέταση.

Επειδή μια φορά που μια απόφαση έχει συνέπειες, είτε λειτουργικά, οικονομικά ή σε σχέση με το σήμα, δεν επεξεργάζεστε μόνο πληροφορίες. Κάνετε μια κρίση.

Και στην ασφάλεια, νομίζω ότι αυτό vẫn πρέπει να είναι ένα άτομο με πραγματική νοημοσύνη.

Πολυάριθμες οργανώσεις vẫn εστιάζουν έντονα στις καταμετρήσεις ευπαθειών και τους βαθμούς σοβαρότητας. Γιατί πιστεύετε ότι η πραγματική διαχείριση έκθεσης απαιτεί μια ευρύτερη άποψη που περιλαμβάνει αποζημιωτικούς ελέγχους, περιορισμούς πρόσβασης, αρχιτεκτονική συστήματος και επιχειρηματικό контекστ;

Απαιτεί μια ευρύτερη άποψη επειδή ένα νούμερο από μόνο του δεν σας λέει πολύ για πόσο πραγματικά είστε σε μπελάδες.

Οι βαθμοί σοβαρότητας έχουν τον τόπο τους. Οι καταμετρήσεις ευπαθειών έχουν τον τόπο τους. Βοηθούν να μετρήσετε το πρόβλημα. Βοηθούν να οργανώσετε την ουρά. Αλλά δεν είναι το ίδιο πράγμα με την κατανόηση της έκθεσης, και αυτό είναι όπου νομίζω ότι πολλές οργανώσεις ακόμη το κάνουν λάθος.

Μια ευπάθεια μπορεί να φαίνεται σοβαρή στην θεωρία και να είναι ακόμη σχετικά καλά περιεχόμενη στην πράξη. Αν η πρόσβαση στο σύστημα είναι στενά περιορισμένη, αν υπάρχουν άλλες αποζημιωτικές ελέγχοι γύρω από αυτό, αν βρίσκεται σε ένα μέρος του περιβάλλοντος που είναι δύσκολο να φτάσει μέσω περιορισμών πρόσβασης, τότε η πραγματική πιθανότητα ότι αυτό το ζήτημα θα προκαλέσει ζημιά μπορεί να είναι πολύ διαφορετική από ό,τι υποδηλώνει ο сырой βαθμός.

Και τότε έχετε την αντίθετη περίπτωση, η οποία είναι συχνά το πιο ενδιαφέρον. Κάτι χαμηλότερα στη λίστα μπορεί να αποδειχθεί ότι μετράει πολύ περισσότερο επειδή του nơi που βρίσκεται. Αφής μια κρίσιμη υπηρεσία. Είναι πιο εύκολο να φτάσετε. Βρίσκεται σε ένα μέρος της αρχιτεκτονικής του συστήματος όπου μια συμβιβαστική δίνει χώρο να κινηθεί. Αυτό είναι το είδος του πράγματος που μια απλή κατάταξη σοβαρότητας δεν θα εξηγήσει καλά.

Οπότε, όταν οι άνθρωποι μιλάνε για διαχείριση έκθεσης, για μένα αυτό πρέπει να σημαίνει περισσότερο από το να ταξινομήσετε τις ευπάθειας κατά βαθμό και να δουλέψετε xuống την λίστα.

Χρειάζεστε να γνωρίζετε τι βρίσκεται γύρω από το ζήτημα. Ποιοι ελέγχοι είναι ήδη εκεί. Ποιοι έχουν πρόσβαση σε αυτό. Αν το σύστημα είναι απομονωμένο ή συνδεδεμένο με κάτι πιο σημαντικό. Και αν εκμεταλλευτεί, τι πραγματικά συμβαίνει επόμενο.

Διότι αλλιώς, έχετε διαχείριση της εικόνας του κινδύνου αντί για τον κίνδυνο نفسه. Ο πίνακας ελέγχου βελτιώνεται. Τα νούμερα των tickets κινηθούν. Η αναφορά φαίνεται καλύτερη. Αλλά δεν είστε απαραίτητα ασφαλέστεροι.

Νομίζω ότι μέρος του λόγου που αυτό συμβαίνει είναι ότι τα νούμερα είναι ανακουφιστικά. Φαίνονται αντικειμενικά. Δίνουν людям κάτι ωραίο να παρουσιάσουν. Δημιουργούν την αίσθηση ότι το πρόβλημα έχει μειωθεί σε κάτι μετρήσιμο και υπό έλεγχο. Αλλά η πραγματική έκθεση είναι συνήθως πολύ πιο μπερδεμένη από αυτό.

Βρίσκεται στην επικάλυψη μεταξύ της αδυναμίας, των ελέγχων γύρω από αυτό, της αρχιτεκτονικής που ζει και της επιχειρηματικής συνέπειας αν κάτι πάει λάθος.

Οπότε, ναι, χρησιμοποιήστε τους βαθμούς. Χρησιμοποιήστε τις καταμετρήσεις. Βέβαια. Αλλά μην τους συγχέετε με την κατανόηση.

Αν θέλετε να γνωρίζετε πού είναι η πραγματική έκθεση, πιστεύω ότι πρέπει να κοιτάξετε ολόκληρο το περιβάλλον, όχι μόνο ένα νούμερο που είναι συνδεδεμένο με αυτό.

Τα περιβάλλοντα λογισμικού επιχείρησης εισέρχονται σε μια περίοδο σημαντικών αλλαγών καθώς οι οργανώσεις modernize παλιές συστήματα ενώ ταυτόχρονα υιοθετούν τεχνολογίες AI. Κοίταξτε μπροστά στα επόμενα τρία έως πέντε χρόνια, πώς βλέπετε τη σχέση μεταξύ AI, κυβερνοασφάλειας και πλατφόρμων επιχείρησης να εξελίσσεται, και τι πρέπει οι ηγέτες τεχνολογίας να προετοιμάζονται σήμερα;

Νομίζω ότι τα επόμενα τρία έως πέντε χρόνια θα είναι khá οριστικά.

Κύρια因为 ότι οι εταιρείες προσπαθούν να modernize παλιές περιουσίες επιχείρησης την ίδια στιγμή που φέρνουν την AI στο μείγμα και κανένα από αυτά τα δύο δεν είναι εύκολο από μόνο του. Κάνωντας και τα δύο μαζί αυξάνει τον κίνδυνο.

Τι αλλάζει πρώτα, νομίζω, είναι ότι η AI σταματά να είναι ένα πλάγιο πείραμα και αρχίζει να γίνεται μέρος του τρόπου που η επιχείρηση πραγματικά λειτουργεί. Εμφανίζεται σε ροές εργασίας, υποστήριξη, ανάπτυξη, επιχειρησιακές λειτουργίες ασφάλειας και διαχείριση πλατφόρμας, όχι ως eine νέα, αλλά ως μέρος του πλυντηρίου.

Και μια φορά που αυτό συμβαίνει, η συζήτηση κυβερνοασφάλειας γίνεται πιο σοβαρή. Δεν ρωτάτε πλέον αν το εργαλείο είναι χρήσιμο. Ρωτάτε τι μπορεί να φτάσει, τι μπορεί να επηρεάσει, ποια δεδομένα ταΐζει και ποιες είναι οι συνέπειες όταν κάτι πάει λάθος.

Νομίζω ότι επίσης θα δούμε την ασφάλεια και την αρχιτεκτονική να γίνονται ακόμη πιο δύσκολο να χωριστούν. Σε πολλά παλιότερα περιβάλλοντα, το πράγμα που φαίνεται σαν πρόβλημα ασφάλειας είναι συχνά πραγματικά ένα πρόβλημα αρχιτεκτονικής που φορούσε ένα σήμα ασφάλειας. Αδύναμη σχεδίαση ταυτότητας, πολλές εξαρτήσεις, ασαφής ιδιοκτησία, εύθραυστες ολοκληρώσεις, κακή ορατότητα, αυτά είναι τα πράγματα που τείνουν να βρίσκονται κάτω από το ορατό ζήτημα. Η AI δεν θα λείψει αυτό. Αν κάτι, μπορεί να το εκθέσει γρηγορότερα.

Οπότε, οι οργανώσεις που χειρίζονται αυτό καλά, νομίζω, θα είναι αυτές που σταματούν να αντιμετωπίζουν την υιοθέτηση AI, την κυβερνοασφάλεια και την modernization της πλατφόρμας ως τρία ξεχωριστά ρεύματα. Είναι ολοένα και περισσότερο η ίδια συζήτηση.

Αν συμβουλεύα τους ηγέτες τεχνολογίας τώρα, θα ξεκινούσα με την ορατότητα. Χρειάζεστε μια πολύ πιο σαφή χειροποίηση του τι έχετε, πώς συνδέεται, ποιος έχει πρόσβαση σε τι, πού μετακινούνται τα ευαίσθητα δεδομένα και πού είναι τα πραγματικά σημεία ελέγχου. Χωρίς αυτό, το να στρώσετε την AI πάνω από αυτό αυξάνει τον αριθμό των πραγμάτων που δεν κατανοείτε πλήρως.

Το επόμενο πράγμα είναι η διακυβέρνηση, αλλά όχι το είδος που φαίνεται. Πραγματικές αποφάσεις. Πού μπορεί να χρησιμοποιηθεί η AI; Πού πρέπει να μείνει η ανθρώπινη επανεξέταση; Πώς ελέγχονται οι εξόδους; Ποια δεδομένα είναι εκτός ορίων; Ποιος ιδιοκτησία τις συνέπειες αν το σύστημα οδηγήσει την λάθος δράση; Αυτά τα ερωτήματα χρειάζονται απάντηση τώρα, όχι αργότερα.

Και ειλικρινά, η απλοποίηση μετράει περισσότερο από ό,τι πολλοί άνθρωποι θέλουν να ομολογήσουν. Το πιο μπερδεμένο το περιβάλλον, το πιο δύσκολο είναι να ασφαλίσει, το πιο δύσκολο είναι να modernize, και το πιο δύσκολο είναι να χρησιμοποιήσετε την AI χωρίς να δημιουργήσετε φρέσκο αβεβαιότητα.

Τότε υπάρχει το ανθρώπινο μέρος του. Οι καλύτερες οργανώσεις θα είναι αυτές που γνωρίζουν πώς να συνδυάσουν την αυτοματοποίηση με την κρίση. Δεν θα καταναλώσουν μόνο την έξοδο AI επειδή είναι γρήγορη ή γυαλισμένη. Θα την προκαλέσουν. Θα την δοκιμάσουν. Θα την πιέσουν πίσω όταν χρειάζεται.

Οπότε, ναι, τα επόμενα τρία έως πέντε χρόνια, νομίζω ότι η AI, η κυβερνοασφάλεια και οι πλατφόρμες επιχείρησης θα γίνουν πολύ πιο στενά συνδεδεμένες.

Και νομίζω ότι οι ηγέτες που προετοιμάζονται καλά θα είναι αυτοί που κατανοούν ότι αυτό δεν είναι μόνο μια τεχνολογική αλλαγή. Είναι μια αλλαγή στο πώς λαμβάνονται οι αποφάσεις, πώς ασκείται ο έλεγχος, και πώς ανθεκτική είναι πραγματικά η οργάνωση τους.

Ευχαριστώ πολύ για τη μεγάλη συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα πρέπει να επισκεφθούν Spinnaker Support.