Rami Habal, Ιδρυτής και Διευθύνων Σύμβουλος της Magnitude – Σειρά Συνεντεύξεων

Rami Habal, Ιδρυτής και Διευθύνων Σύμβουλος της Magnitude είναι ένας βετεράνος εκτελεστικός στελεχός σε προϊόντα κυβερνοασφάλειας και AI με καριέρα που εκτείνεται στην επιχειρηματική ασφάλεια, τη μηχανική μάθηση, την καταναλωτική τεχνολογία και τις startups με χρηματοδότηση από venture capital. Πριν ιδρύσει τη Magnitude, υπηρέτησε ως Entrepreneur in Residence στο Ballistic Ventures και πέρασε πάνω από τέσσερα χρόνια στην Abnormal Security, συμπεριλαμβανομένων των ρόλων του Chief Product Officer και Chief Customer Officer. Πριν από αυτό, ο Habal ηγήθηκε της εμπειρίας πολλαπλών συσκευών για το Amazon Alexa, διηύθυνε προϊόντα στη Reverb, και ήταν ένας από τους πρώτους υπαλλήλους στην Proofpoint, όπου συνέβαλε στην κατασκευή και εμπορευματοποίηση προϊόντων ασφαλείας καθώς η εταιρεία εξελισσόταν από startup προς την τελική IPO. Η καριέρα του περιλαμβάνει επίσης εμπειρία σε venture capital, κινητή τεχνολογία, APIs και στρατηγική προϊόντων, δίνοντάς του ευρύ υπόβαθρο στη διασταύρωση της κυβερνοασφάλειας, AI και λογισμικού επιχειρήσεων.

Magnitude είναι μια εταιρεία κυβερνοασφάλειας με AI‑φυσική προσέγγιση που εστιάζει στη μετατροπή της διαχείρισης κινδύνου τρίτων (TPRM) από περιοδικές αξιολογήσεις συμμόρφωσης σε μια συνεχόμενη λειτουργία ασφαλείας. Η πολυ‑πράκτορη πλατφόρμα της χρησιμοποιεί εξειδικευμένους AI πράκτορες για την αξιολόγηση προμηθευτών και προϊόντων, τη συνεχόμενη παρακολούθηση ευπαθειών και άλλων αλλαγών κινδύνου, τη χαρτογράφηση εξαρτήσεων τέταρτης, πέμπτης και βαθύτερων επιπέδων, την αυτοματοποίηση επικοινωνίας με προμηθευτές, και τη διαχείριση αποκατάστασης. Αντί να βασίζεται κυρίως σε ερωτηματολόγια και αξιολογήσεις στιγμιαίας φύσης, η Magnitude σχεδιάστηκε για να λογίζει βάσει των δικών της πολιτικών και να παρέχει αποφάσεις βασισμένες σε αποδείξεις με ιχνηλατήσιμες πηγές και λογική. Ο ευρύτερος στόχος είναι να προσφέρει στις ομάδες ασφαλείας συνεχή ορατότητα σε ολοένα πιο σύνθετα οικοσυστήματα λογισμικού και προμηθευτών, ενώ επιτρέπει στους ανθρώπινους αναλυτές να επικεντρωθούν σε υψηλότερης αξίας κρίσεις.

Αφού βοηθήσατε στην ανάπτυξη προϊόντων στην Proofpoint, Amazon Alexa και Abnormal Security, τι σας έπεισε ότι τώρα ήταν η κατάλληλη στιγμή για τη δημιουργία της Magnitude; Υπήρξε κάποια συγκεκριμένη συνειδητοποίηση ή πόνος πελάτη που σας έκανε να πιστέψετε ότι η αυτόνομη διαχείριση κινδύνου τρίτων πρέπει να γίνει δική της εταιρεία;

Ήξερα ότι μετά τη χρονική μου περίοδο στην Abnormal ήθελα να ιδρύσω μια εταιρεία. Αυτό που δεν ήξερα ήταν ποιο πρόβλημα άξιζε να στηθεί μια εταιρεία γύρω του. Σε όλη μου την καριέρα, με τράβηξαν προϊόντα μηχανικής μάθησης που απευθύνονται σε ευρείες, καθολικές ανάγκες, όπως η ασφάλεια email στην Proofpoint, η φωνητική υπολογιστική με το Alexa και η συμπεριφορική ασφάλεια στην Abnormal. Ήθελα να βρω ένα άλλο πρόβλημα με το ίδιο εύρος για να βοηθήσει τις επιχειρήσεις.

Τότε ήρθαν οι πράκτορες. Έχοντας εργαστεί μέσα από το προηγούμενο κύμα της μηχανικής μάθησης, μπορούσα να δω ότι αυτό δεν ήταν απλώς μια ακόμη λειτουργία προϊόντος. Ήταν μια αλλαγή πλατφόρμας, και τέτοιες δεν εμφανίζονται συχνά.

Κατά τη διάρκεια της παραμονής μου ως entrepreneur‑in‑residence στο Ballistic Ventures, άρχισα να συζητώ με CISO για το πού θα μπορούσε αυτή η αλλαγή να έχει τη μεγαλύτερη επίδραση. Ο κίνδυνος τρίτων εμφανιζόταν επανειλημμένα. Ιστορικά, είχε νόημα το TPRM να ενσωματώνεται στη λειτουργία GRC επειδή ο κίνδυνος προμηθευτών προχωρούσε αργά αρκετό για να συμβαδίζουν οι περιοδικές αξιολογήσεις. Αλλά αυτή η υπόθεση άρχισε να καταρρέει. Όλοι συμφώνησαν ότι ήταν ένα σημαντικό πρόβλημα, αλλά οι περισσότερες οργανώσεις το διαχειριζόταν ακόμη με ερωτηματολόγια ετήσιας συχνότητας, λογιστικά φύλλα, περιοδικές αξιολογήσεις και εκτεταμένη χειροκίνητη εργασία. Η αντίδραση ήταν συνεπής: η διαχείριση κινδύνου τρίτων είναι κρίσιμη, αλλά ακόμη δεν έχουμε έναν καλό τρόπο να το λύσουμε.

Αυτή ήταν η συνειδητοποίηση πίσω από τη Magnitude. Ήξερα ότι το παραδοσιακό μοντέλο δεν λειτουργούσε πλέον, και χρειάζονταν μια τεχνολογία ικανή να αλλάξει εντελώς το λειτουργικό μοντέλο, όχι απλώς να κάνει τη διαδικασία που βασιζόταν σε λογιστικά φύλλα λίγο πιο γρήγορη. Από την αρχή, η άποψή μου ήταν ότι κάθε προμηθευτής θα είχε τελικά ένα σμήνος πρακτόρων που θα αξιολογούν συνεχώς τους κινδύνους που τον περιβάλλουν. Η Magnitude αναπτύχθηκε από αυτήν την πεποίθηση.

Περιγράφετε την άφιξη της «εποχής Mythos», όπου η AI μπορεί να εντοπίσει και να εξοπλίσει ευπάθειες πιο γρήγορα από ό,τι μπορούν να αντιδράσουν οι άνθρωποι. Ποιες αλλαγές έχετε παρατηρήσει τον τελευταίο χρόνο που σας έπεισαν ότι αυτή η αλλαγή είναι ήδη σε εξέλιξη και όχι μόνο ένα μελλοντικό ζήτημα;

Η μεγαλύτερη αλλαγή που έχω παρατηρήσει είναι πόσο γρήγορα συμβαίνουν τώρα αυτές οι επιθέσεις. Πριν από ένα χρόνο, μεγάλο μέρος της συζήτησης αφορούσε ακόμη το τι θα μπορούσε τελικά να επιτρέψει η AI σε έναν επιτιθέμενο. Τώρα βλέπουμε αυτές τις δυνατότητες να διαμορφώνονται σε πραγματικό χρόνο. Η AI μπορεί να βοηθήσει έναν επιτιθέμενο να εξετάσει ένα πολύ μεγαλύτερο οικοσύστημα λογισμικού, να ανακαλύψει αδυναμίες που προηγουμένως ίσως ήταν άγνωστες, και να επιτεθεί σε αυτές τις αδυναμίες σε κλίμακα που θα ήταν δύσκολη για μια ανθρώπινη ομάδα να ανταποκριθεί.

Στην εποχή Mythos, τα συστήματα AI έχουν δείξει την ικανότητα να αποκαλύπτουν περισσότερα από 2.000 προηγουμένως άγνωστα σφάλματα σε οικοσυστήματα λογισμικού, και ο μέσος χρόνος από την ανακάλυψη της ευπάθειας μέχρι την εξοπλισμένη εκμετάλλευση προβλέπεται να πέσει κάτω από μία ώρα μέχρι το τέλος του 2026. Ενώ ο χρόνος μεταξύ της ανακάλυψης και της εξοπλισμένης εκμετάλλευσης συνεχίζει να μειώνεται, αυτό δημιουργεί ένα κενό μεταξύ του πόσο γρήγορα μπορεί να εμφανιστεί η έκθεση και του πόσο γρήγορα μπορούν να ανταποκριθούν οι παραδοσιακοί κύκλοι αξιολόγησης.

Βλέπουμε επίσης το μοτίβο των περιστατικών να κινείται προς την ίδια κατεύθυνση. Στην ανάλυσή μας, η συχνότητα των επιθέσεων αλυσίδας εφοδιασμού αυξήθηκε από περίπου 13 περιστατικά ανά μήνα το 2024 σε 41 ανά μήνα το 2026. Παρατηρήσαμε ότι η δραστηριότητα αυξάνεται παράλληλα με τις σημαντικές βελτιώσεις στα μοντέλα αιχμής. Δεν θα ισχυριζόμουν ότι κάθε κυκλοφορία μοντέλου προκαλεί άμεσα περισσότερες επιθέσεις, αλλά η τάση είναι δύσκολο να αγνοηθεί. Τα εργαλεία γίνονται πιο ικανοί καθώς ο ρυθμός των επιθέσεων επιταχύνεται.

Αυτό που πραγματικά επιβεβαιώνει αυτήν την αλλαγή για μένα είναι οι συνομιλίες που έχω με ηγέτες ασφαλείας. Δεν μιλούν πλέον για τον κίνδυνο τρίτων ως κάτι που μπορεί να αντιμετωπιστεί μέσω ετήσιας ανασκόπησης και να επανεξεταστεί κατά την ανανέωση. Νιώθουν εκτεθειμένοι στους μήνες μεταξύ αυτών των ανασκοπήσεων, επειδή οι προμηθευτές τους, οι εξαρτήσεις λογισμικού και οι κάτω-αλυσίδες προμηθευτών αλλάζουν συνεχώς.

Αυτό είναι το νόημα της εποχής Mythos για μένα. Το παράθυρο για την κατανόηση και την ανταπόκριση στον κίνδυνο στενεύει, ενώ η πιθανή επίπτωση ενός μόνο παραβιασμένου προμηθευτή διευρύνεται. Μια περιοδική διαδικασία συμμόρφωσης απλώς δεν σχεδιάστηκε για αυτό το περιβάλλον.

Πολλές επιχειρήσεις αναπτύσσουν γρήγορα AI πράκτορες σε όλη την οργάνωσή τους. Πώς πρέπει οι ηγέτες ασφαλείας να επανεξετάσουν τη διακυβέρνηση όταν αυτοί οι πράκτορες αλληλεπιδρούν όλο και περισσότερο με εξωτερικούς προμηθευτές, APIs και κάτω-αλυσίδες εξαρτήσεων;

Το πρώτο που πρέπει να συνειδητοποιήσουν οι ηγέτες ασφαλείας είναι ότι ακόμη και ένας AI πράκτορας που δημιουργείται εντός της εταιρείας μπορεί να μην είναι εντελώς εσωτερικός. Μπορεί να βασίζεται σε εξωτερική πλατφόρμα, σε δεξιότητα τρίτου μέσω MCP, σε υπηρεσία όπως το Google Drive ή σε άλλη τεχνολογία που η οργάνωση δεν ελέγχει άμεσα. Και καθένας από αυτούς τους παρόχους μπορεί να έχει τους δικούς του προμηθευτές.

Δεν αρκεί πλέον να εγκριθεί μόνο ο πράκτορας. Οι ηγέτες πρέπει να κατανοήσουν ποια πληροφορία μπορεί να προσπελάσει, ποιες ενέργειες μπορεί να εκτελέσει, σε ποιες εξωτερικές υπηρεσίες εξαρτάται και πότε απαιτείται ανθρώπινη έγκριση. Πρέπει επίσης να καταλάβουν πώς αυτές οι εξαρτήσεις μπορούν να αλλάξουν με την πάροδο του χρόνου καθώς ο πράκτορας αποκτά νέες δυνατότητες, συνδέεται με νέα συστήματα ή αρχίζει να βασίζεται σε επιπλέον κάτω-προμηθευτές. Αυτοί οι έλεγχοι δεν μπορούν να οριστούν μία φορά και να ξεχαστούν. Καθώς ο πράκτορας αποκτά νέες δυνατότητες ή συνδέσεις, η διακυβέρνησή του πρέπει να προσαρμόζεται ανάλογα.

Ο στόχος δεν πρέπει να είναι η επιβράδυνση της υιοθέτησης AI. Πρέπει να είναι η παροχή επαρκούς διαφάνειας στις εταιρείες ώστε να χρησιμοποιούν τους πράκτορες με σιγουριά. Η διακυβέρνηση πρέπει να γίνει μια συνεχής πρακτική ασφαλείας, όχι μια εφάπαξ έγκριση που ολοκληρώνεται όταν εισαχθεί ένα νέο εργαλείο.

Η διαχείριση κινδύνου τρίτων βασιζόταν παραδοσιακά σε ερωτηματολόγια και περιοδικές ανασκοπήσεις. Γιατί πιστεύετε ότι αυτό το μοντέλο καταρρέει θεμελιωδώς σε ένα περιβάλλον που κινείται από AI; 

Το πρόβλημα του παραδοσιακού μοντέλου TPRM είναι ότι παρέχει μια στιγμιότυπη εικόνα του τι δήλωσε ένας προμηθευτής ως αληθές σε συγκεκριμένη χρονική στιγμή. Μια εταιρεία μπορεί να συμπληρώσει ένα ερωτηματολόγιο όταν εγκριθεί για πρώτη φορά και στη συνέχεια να μην επανεξεταστεί μέχρι την ανανέωση, που μπορεί να είναι χρόνια αργότερα. Στο μεταξύ, η τεχνολογία, οι πρακτικές ασφαλείας, τα μοντέλα AI, η χρήση δεδομένων και οι προμηθευτές της μπορεί να έχουν αλλάξει. Μπορούμε μόλις να προβλέπουμε τι θα αλλάξει τις επόμενες εβδομάδες, επομένως η εξάρτηση από μια αξιολόγηση πολλών ετών δεν έχει πλέον νόημα.

Υπάρχει επίσης το ερώτημα της αξιοπιστίας των πληροφοριών. Μια αναφερόμενη απάντηση που εισάγει κάποιος για να προωθήσει μια συμφωνία δεν είναι το ίδιο με ένα γεγονός που υποστηρίζεται από ανεξάρτητο έλεγχο, υπογεγραμμένη εταιρική δήλωση ή άλλη επαληθεύσιμη πηγή. Οι ηγέτες ασφαλείας πρέπει να γνωρίζουν όχι μόνο ποια είναι η απάντηση, αλλά και από πού προέρχεται και αν είναι ακόμη ενημερωμένη.

Τέλος, τα ερωτηματολόγια συνήθως σταματούν στον άμεσο προμηθευτή. Σπάνια αποκαλύπτουν τα N‑οστούς παράγοντες, παρόλο που αυτές οι κρυφές σχέσεις 4ου και 5ου επιπέδου μπορούν να δημιουργήσουν πραγματική έκθεση. Οι επιτιθέμενοι πλέον γνωρίζουν ότι το πιο αδύναμο κρίκο μιας επιχείρησης δεν είναι η ίδια η επιχείρηση, αλλά ένας από αυτούς τους κάτω‑προμηθευτές. Η επίθεση σε αυτούς τους προμηθευτές μπορεί τελικά να δώσει πρόσβαση στην επιχείρηση. Είναι απλώς φθηνότερο και πιο εύκολο.

Γι’ αυτό δεν θεωρώ ότι η λύση είναι απλώς η χρήση AI για την ταχύτερη συμπλήρωση των ερωτηματολογίων. Σε αυτό το μοντέλο θα υπάρχουν πάντα κενά. Το μοντέλο πρέπει να αλλάξει, από περιοδικά, αυτοαναφερόμενα στιγμιότυπα σε μια συνεχόμενη, πραγματικού χρόνου, αποδεικτική κατανόηση του κινδύνου όσο βαθιά φτάνει η αλυσίδα εφοδιασμού μιας εταιρείας.

Η Magnitude εισάγει την έννοια ενός αυτόνομου εργατικού δυναμικού AI για τις ομάδες ασφαλείας. Πού βλέπετε την ισορροπία μεταξύ λήψης αποφάσεων με AI και ανθρώπινης εποπτείας, ιδιαίτερα για αποφάσεις ασφαλείας υψηλού αντίκτυπου; 

Αυτόνομο δεν σημαίνει απαράδεκτο. Ο τρόπος που το σκέφτομαι είναι ότι το AI πρέπει να αναλαμβάνει την κρίσιμη αλλά επαναλαμβανόμενη εργασία που καταναλώνει τόσο πολύ χρόνο μιας ομάδας ασφαλείας, ενώ οι άνθρωποι παραμένουν εμπλεκόμενοι όταν μια απόφαση απαιτεί κρίση, συμφραζόμενα ή φέρει σημαντικές επιχειρηματικές συνέπειες. Το γεγονός είναι ότι καμία ομάδα ασφαλείας δεν διαθέτει σήμερα επαρκείς πόρους για να καλύψει το τρέχον έργο. Το AI μπορεί να καλύψει αυτό το κενό.

Η ποιότητα του AI έχει τεράστια σημασία. Όταν υλοποιείται καλά, το AI είναι πολλαπλασιαστής δυνάμεων. Δίνει στην ομάδα περισσότερη χωρητικότητα και βοηθά τους ανθρώπους να εστιάσουν σε εργασίες υψηλότερης αξίας. Όταν υλοποιείται άσχημα, έχει το αντίθετο αποτέλεσμα, επειδή κάποιος πρέπει να ελέγχει διπλά κάθε έξοδο. Για αποφάσεις ασφαλείας υψηλού αντίκτυπου, το σύστημα πρέπει να είναι υψηλής ποιότητας και να μπορεί να δείξει ποια αποδεικτικά στοιχεία χρησιμοποίησε και πώς έφτασε στη σύστασή του, δημιουργώντας ένα ελεγκτικό αρχείο.

Το κατάλληλο επίπεδο εποπτείας θα διαφέρει επίσης ανά οργανισμό. Μια μεγάλη εταιρεία με εδραιωμένη ομάδα ασφαλείας μπορεί να χρησιμοποιεί το AI περισσότερο ως αυτόματο πιλότο, με ανθρώπους που επιβλέπουν τη δουλειά και παρεμβαίνουν σε εξαιρέσεις. Μια μικρότερη οργάνωση μπορεί να επιλέξει να αυτοματοποιήσει περισσότερο το πρόγραμμα επειδή δεν διαθέτει το προσωπικό ή τον προϋπολογισμό για να δημιουργήσει μια μεγάλη ομάδα. Σε κάθε περίπτωση, πρέπει να υπάρχουν σαφή σημεία όπου ένα ζήτημα κλιμακώνεται σε άτομο.

Τελικά, ο οργανισμός θα πρέπει να μπορεί να αποφασίζει πόση ανθρώπινη εμπλοκή θέλει ανάλογα με τη σημασία της απόφασης. Ο στόχος δεν είναι να αφαιρεθούν οι άνθρωποι από την ασφάλεια. Είναι να τους βοηθήσει να αξιοποιούν καλύτερα το χρόνο τους, να λαμβάνουν πιο γρήγορες επιχειρηματικές αποφάσεις και να διατηρούν την ανθρώπινη προσοχή για τις αποφάσεις όπου προσθέτει τη μεγαλύτερη αξία.

Η ομάδα σας συνδυάζει εξειδίκευση από AI, κυβερνοασφάλεια και πλατφόρμες καταναλωτικής κλίμακας. Πώς έχει επηρεάσει αυτός ο συνδυασμός τον τρόπο που σχεδιάσατε το Magnitude σε σύγκριση με τα παραδοσιακά προϊόντα κυβερνοασφάλειας; 

Κάθε ένα από τα υπόβαθρά μας μας δίδαξε κάτι διαφορετικό για το τι πρέπει να κάνει καλά ένα προϊόν AI ασφάλειας. Στην κυβερνοασφάλεια, μια απάντηση είναι χρήσιμη μόνο αν μπορείτε να την εμπιστευτείτε, να την ανιχνεύσετε πίσω σε αποδείξεις και να δράσετε βάσει αυτής. Από τη δουλειά μας στην AI και τη μηχανική μάθηση, μάθαμε ότι η πραγματική ευκαιρία δεν είναι απλώς η σύνοψη πληροφοριών, αλλά η μετατροπή της εξειδικευμένης εργασίας σε σύστημα που μπορεί να εκτελεί αυτή τη δουλειά σταθερά. Η δημιουργία πλατφορμών όπως η Alexa και η Pandora μας έμαθε να σκεφτόμαστε την αξιοπιστία και τη χρηστικότητα σε πολύ μεγάλη κλίμακα.

Αυτά τα μαθήματα μας οδήγησαν μακριά από το παραδοσιακό μοντέλο κυβερνοασφάλειας που παράγει έναν ακόμη πίνακα ελέγχου ή μια ακόμη ροή ειδοποιήσεων για μια ήδη υπερφορτωμένη ομάδα που πρέπει να τις διερευνήσει. Σχεδιάσαμε το Magnitude ώστε να εκτελεί τη δουλειά: να συλλέγει και να επαληθεύει πληροφορίες, να αξιολογεί προμηθευτές, να παρακολουθεί αλλαγές, να συνδέει νέες πληροφορίες με επιχειρηματικό κίνδυνο και να βοηθά στην προώθηση των ζητημάτων προς επίλυση.

Πίσω από τις σκηνές, αυτό περιλαμβάνει πολλούς εξειδικευμένους πράκτορες AI που συνεργάζονται. Αλλά η εμπειρία του πελάτη πρέπει να παραμένει απλή. Οι ομάδες ασφάλειας δεν πρέπει να χρειάζεται να γίνουν ειδικοί AI για να καταλάβουν τι βρήκε το σύστημα, γιατί είναι σημαντικό ή ποια ενέργεια πρέπει να ληφθεί.

Το αποτέλεσμα είναι ένα προϊόν σχεδιασμένο να λειτουργεί συνεχώς σε χιλιάδες προμηθευτές, ενώ εξακολουθεί να πληροί το πρότυπο που απαιτείται για αποφάσεις υψηλής επίπτωσης στην ασφάλεια. Δεν είναι AI που προστίθεται σε μια παλαιότερη ροή εργασίας. Χτίστηκε από την αρχή γύρω από την ιδέα ότι η AI μπορεί να εκτελεί μεγάλο μέρος της ροής εργασίας από μόνη της, παρέχοντας στους ανθρώπους τις αποδείξεις, τη διαφάνεια και τον έλεγχο που χρειάζονται.

Ένα από τα μεγαλύτερα ζητήματα που περιβάλλουν την AI στην κυβερνοασφάλεια είναι ότι ενδυναμώνει τόσο τους υπερασπιστές όσο και τους επιτιθέμενους. Πιστεύετε ότι το πλεονέκτημα αυτή τη στιγμή βρίσκεται στους υπερασπιστές ή στους αντιπάλους, και τι θα καθορίσει ποιος θα παραμείνει μπροστά τα επόμενα λίγα χρόνια;

Νομίζω ότι το πλεονέκτημα σήμερα κλίνει προς τους αντιπάλους, ιδιαίτερα στις επιθέσεις αλυσίδας εφοδιασμού. Δεν θα έλεγα ότι οι υπερασπιστές είναι αβοήθητοι. Η κλήση για δράση των υπερασπιστών είναι να σταματήσουν να αντιμετωπίζουν αυτό ως πρόβλημα του μέλλοντος και να κινηθούν πιο γρήγορα τώρα. Και οι δύο πλευρές έχουν πρόσβαση στα ίδια εργαλεία AI, αλλά η οικονομία και ο χρόνος εισόδου στην αγορά αυτή τη στιγμή ευνοούν τον επιτιθέμενο.

Η AI κάνει φθηνότερο και πιο εύκολο να δοκιμάζονται περισσότερα μονοπάτια επίθεσης, να λανσάρονται περισσότερες προσπάθειες σε N-βάθη βάθος, και να επαναλαμβάνεται αυτή η διαδικασία σε κλίμακα. Όταν ένας επιτιθέμενος παραβιάζει έναν ευρέως χρησιμοποιούμενο προμηθευτή ή στοιχείο λογισμικού, μια επιτυχημένη επίθεση μπορεί να εξαπλωθεί σε εκατοντάδες ή ακόμη και χιλιάδες εταιρείες.

Οι υπερασπιστές έχουν τη δυσκολότερη δουλειά επειδή πρέπει να κατανοήσουν και να προστατεύσουν ένα μεγάλο δίκτυο προμηθευτών, στοιχείων λογισμικού και κατώτερων προμηθευτών, και επίσης απαιτείται χρόνος για τις επιχειρήσεις να αντιδράσουν, να προμηθευτούν λογισμικό που βοηθά, και να λειτουργικοποιήσουν αυτά τα εργαλεία, δημιουργώντας ένα παράθυρο που οι επιτιθέμενοι μπορούν να εκμεταλλευτούν.

Το τι θα καθορίσει ποιος θα παραμείνει μπροστά θα είναι αν οι υπερασπιστές μπορούν να αλλάξουν αυτή την εξίσωση. Πρέπει να περάσουν από περιστασιακές ανασκοπήσεις και χειροκίνητες παρακολουθήσεις σε συνεχή παρακολούθηση και ταχύτερη δράση. Τα αυτοματοποιημένα συστήματα διακυβέρνησης και άμυνας που παρακολουθούν συνεχώς τις αλλαγές, τις συνδέουν με επιχειρηματικό κίνδυνο και μπορούν να ανταποκριθούν γρήγορα θα κάνουν τις επιθέσεις πιο δύσκολες στην κλιμάκωση και πιο ακριβές στην επανάληψη.

Η κυβερνοασφάλεια ήταν πάντα ένα παιχνίδι αλιείας-παιχνιδιού κυνηγού. Η AI δεν αλλάζει αυτό, αλλά αυξάνει την ταχύτητα και το βάρος των στοιχείων. Οι υπερασπιστές χρειάζονται συστήματα που μπορούν να μαθαίνουν, να προσαρμόζονται και να ενεργούν με τον ίδιο ρυθμό με τον οποίο οι επιτιθέμενοι αρχίζουν να λειτουργούν.

Οι αλυσίδες εφοδιασμού AI γίνονται όλο και πιο πολύπλοκες, με οργανισμούς που βασίζονται σε πολυάριθμα μοντέλα βάσης, προμηθευτές SaaS και αυτόνομους πράκτορες. Ποιοι αναδυόμενοι κίνδυνοι, κατά τη γνώμη σας, υποτιμώνται ακόμη από τις επιχειρήσεις;

Ο πιο υποτιμημένος κίνδυνος είναι η τεχνολογία που βρίσκεται πίσω από το προϊόν που μια εταιρεία πιστεύει ότι έχει εγκρίνει. Ακόμη και ένας εσωτερικά κατασκευασμένος πράκτορας μπορεί να εξαρτάται από εξωτερικές πλατφόρμες, πρόσθετα, εργολάβους ή στοιχεία λογισμικού. Αυτές οι κρυφές σχέσεις δημιουργούν κίνδυνο N‑th‑party, τους προμηθευτές πίσω από έναν άμεσο προμηθευτή.

Οι περισσότερες επιχειρήσεις εξακολουθούν να έχουν πολύ περιορισμένη ορατότητα σε αυτό το βαθύτερο επίπεδο. Μπορεί να γνωρίζουν με ποιον υπέγραψαν σύμβαση, αλλά όχι κάθε εξωτερική υπηρεσία, στοιχείο λογισμικού ή υπεργολάβο που τελικά υποστηρίζει το προϊόν.

Το άλλο ζήτημα είναι πόσο συνδεδεμένα έχουν γίνει αυτά τα συστήματα. Μια αδυναμία σε ένα πρόσθετο ή υποστηρικτική υπηρεσία μπορεί να μην παραμείνει απομονωμένη σε αυτόν τον πάροχο. Μπορεί να δημιουργήσει ένα μονοπάτι σε μια μεγαλύτερη πλατφόρμα και στη συνέχεια να επηρεάσει πολλές οργανώσεις που εξαρτώνται από αυτήν. Αυτό σημαίνει ότι ένας σχετικά μικρός προμηθευτής μπορεί να γίνει πολύ μεγαλύτερη πηγή έκθεσης.

Έτσι, οι ηγέτες κινδύνου δεν πρέπει να ρωτούν απλώς «Ποιο μοντέλο AI χρησιμοποιούμε;». Πρέπει να ρωτούν «Από τι εξαρτάται αυτό το σύστημα, από τι εξαρτώνται αυτοί οι πάροχοι και πώς ένα πρόβλημα οπουδήποτε στην αλυσίδα θα μας φτάσει;». Μέχρι οι εταιρείες να μπορούν να απαντήσουν σε αυτές τις ερωτήσεις, θα συνεχίσουν να κληρονομούν κινδύνους που δεν μπορούν να δουν.

Κοιτάζοντας πέρα από τα σημερινά μεγάλα μοντέλα γλώσσας, ποιες τεχνολογικές εξελίξεις τα επόμενα πέντε χρόνια αναμένετε ότι θα διαμορφώσουν πιο σημαντικά την κυβερνοασφάλεια και τη διαχείριση κινδύνων των επιχειρήσεων; 

Δεν πιστεύω ότι η καθοριστική αλλαγή θα είναι ένα νέο μοντέλο. Θα είναι η μετάβαση από AI που απαντά σε ερωτήσεις σε συστήματα AI που μπορούν συνεχώς να παρακολουθούν τι συμβαίνει, να συνδέουν πληροφορίες από διαφορετικές πηγές και να αναλαμβάνουν δράση.

Η επόμενη γενιά μοντέλων δεν θα είναι απλώς λίγο καλύτερη· θα είναι πολύ πιο ικανή. Ωστόσο, η μεγαλύτερη αλλαγή θα προέλθει από εξειδικευμένους πράκτορες που συνεργάζονται σε όλο το πεδίο των λειτουργιών ασφαλείας. Σήμερα, οι αξιολογήσεις προμηθευτών, οι πληροφορίες απειλών, ο επιχειρηματικός κίνδυνος και η αποκατάσταση συχνά διαχειρίζονται με ξεχωριστά εργαλεία και από ξεχωριστές ομάδες. Με την πάροδο του χρόνου, αυτές οι λειτουργίες θα αρχίσουν να ενώνουν.

Προσδοκώ ότι τα συστήματα ασφαλείας θα γίνουν πολύ πιο συνδεδεμένα, φέρνοντας τις πληροφορίες απειλών, το επιχειρηματικό πλαίσιο, τις πολιτικές της εταιρείας και τις ενέργειες ανταπόκρισης μαζί, αντί να τα διαχειρίζονται σε ξεχωριστά εργαλεία. Θα μπορούσαν να αναγνωρίσουν ότι ένας προμηθευτής έχει εκτεθεί σε νέα απειλή, να καταλάβουν ποια τμήματα της επιχείρησης ενδέχεται να επηρεαστούν και να βοηθήσουν στην έναρξη της ανταπόκρισης χωρίς να περιμένουν πολλαπλές χειροκίνητες μεταβιβάσεις.

Αυτό θα μετατρέψει τη διαχείριση κινδύνων από μια σειρά περιοδικών ασκήσεων σε μια συνεχόμενη λειτουργική ικανότητα. Τα πιο ισχυρά προγράμματα διαχείρισης κινδύνου θα στηρίζονται στο επιχειρηματικό πλαίσιο, αξιόπιστα στοιχεία και τη δυνατότητα να μετατρέπουν τις πληροφορίες σε αξιόπιστες ενέργειες.

Αν μπορούσατε να δώσετε μία συμβουλή σε CISO και ηγέτες επιχειρήσεων που προετοιμάζονται για την επόμενη γενιά απειλών με τεχνητή νοημοσύνη, ποια θα ήταν και ποιες ενέργειες θα πρέπει να δώσουν προτεραιότητα σήμερα;

Η συμβουλή μου θα ήταν να σταματήσετε να διαχειρίζεστε τον κίνδυνο της εφοδιαστικής αλυσίδας ως ετήσια άσκηση. Ο κίνδυνος μεταβάλλεται συνεχώς και η προσέγγισή σας πρέπει να συμβαδίζει. Το περιβάλλον είναι ζωντανό και αναπνέει. Είναι υπερβολικά συνδεδεμένο και αλλάζει τόσο γρήγορα ώστε μια σειρά ξεχωριστών αξιολογήσεων και εργαλείων να μην μπορεί να το ακολουθήσει.

Ο τρόπος με τον οποίο προστατεύετε αυτήν την αναδυόμενη επιφάνεια επίθεσης είναι μέσω μιας ενιαίας, AI-φυσικής ελεγκτικής επιφάνειας για συνεχή, αυτόνομη διακυβέρνηση και άμυνα σε όλους τους εξωτερικούς κινδύνους σας.

Το σημείο εκκίνησης είναι τα τμήματα της επιχείρησης που έχουν τη μεγαλύτερη σημασία. Εντοπίστε τους προμηθευτές και τις εξωτερικές υπηρεσίες που υποστηρίζουν αυτές τις κρίσιμες λειτουργίες, κατανοήστε πού κρύβονται οι κρυφές εξαρτήσεις και καθορίστε σαφή ευθύνη για το τι συμβαίνει όταν εντοπιστεί κίνδυνος. Στη συνέχεια, αυτοματοποιήστε όσο το δυνατόν περισσότερο τη συνεχή παρακολούθηση και τη ρουτινική ανταπόκριση, διατηρώντας τους ανθρώπους εμπλεκόμενους για αποφάσεις με σημαντικές επιχειρηματικές συνέπειες.

Ο στόχος δεν είναι απλώς η συλλογή περισσότερων πληροφοριών. Πρόκειται για τη συνεχή σύνδεση ό,τι γνωρίζετε, την απόφαση για το τι είναι σημαντικό και τη λήψη δράσης πριν ένα ζήτημα προμηθευτή μετατραπεί σε πρόβλημα σε επίπεδο ολόκληρης της εταιρείας.

Σας ευχαριστούμε για τη σπουδαία συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα θα πρέπει να επισκεφθούν το Magnitude.