Θόρστεν Ντελμπρούκ, Όμιλος CSO στην Giesecke+Devrient – Σειρά Συνεντεύξεων

Θόρστεν Ντελμπρούκ, Όμιλος CSO στην Giesecke+Devrient, είναι ένας βετεράνος εκτελεστικός της κυβερνοασφάλειας με περισσότερες από δύο δεκαετίες εμπειρίας στην ασφάλεια της επιχειρηματικής υποδομής, των ψηφιακών ταυτοτήτων και των κρίσιμων συστημάτων. Από την ένταξή του στην Giesecke+Devrient (G+D) το 2011 ως Corporate Chief Information Security Officer, έχει ηγηθεί της εταιρικής στρατηγικής ασφάλειας σε υψηλά ρυθμιζόμενους τομείς, συμπεριλαμβανομένων των χρηματοοικονομικών, των τηλεπικοινωνιών και της κυβερνητικής υποδομής. Το 2020, επέκτεινε τον ρόλο του ως Group Vice President, Head of Security και CISO. Ο Ντελμπρούκ υπηρετεί επίσης ως Πρόεδρος του Information Security Forum (ISF), một ηγετική παγκόσμια αρχή για την κυβερνοασφάλεια και τη διαχείριση κινδύνων, και έχει διατελέσει σε υψηλά ασφαλιστικά ηγετικά ρόλους στις Infineon Technologies (IFX.SW ), COMLINE και TÜV Secure iT.

Giesecke+Devrient (G+D) είναι μια Μοναχική παγκόσμια εταιρεία SecurityTech που έχει εξελιχθεί από einen ιστορικό τυπογράφο τραπεζογραμματίων που ιδρύθηκε το 1852 σε einen σημαντικό παροχέα ψηφιακής ασφάλειας, χρηματοοικονομικής τεχνολογίας και υποδομών νομίσματος. Η εταιρεία λειτουργεί σε τρεις πυλώνες: Ψηφιακή Ασφάλεια, Χρηματοοικονομικές Πλατφόρμες και Τεχνολογία Νομίσματος, παρέχοντας τεχνολογίες που ασφαλίζουν την κινητή σύνδεση, τις ψηφιακές ταυτότητες, τα τραπεζικά συστήματα, τις πλατφόρμες πληρωμών, καθώς και τα φυσικά και ψηφιακά νομίσματα. Η G+D συνεργάζεται με κυβερνήσεις, κεντρικές τράπεζες, χρηματοοικονομικές ιδρύματα και επιχειρήσεις παγκοσμίως, παρέχοντας λύσεις για eSIM, συστήματα αυθεντικοποίησης, ψηφιακές πληρωμές, κυβερνοασφάλεια και Ψηφιακά Νομίσματα Κεντρικής Τράπεζας (CBDC). Η εταιρεία θέτει τον εαυτό της ως einen αξιόπιστο παρόχο υποδομής για την ψηφιακή οικονομία, με περισσότερους από 14.000 υπαλλήλους παγκοσμίως και δεκαετίες εμπειρίας στην ασφάλεια κρίσιμων συστημάτων και οικονομικών οικοσυστημάτων.

Έχετε περάσει σχεδόν τρεις δεκαετίες σε ηγετικές θέσεις κυβερνοασφάλειας που εκτείνονται στις TÜV Secure iT, Infineon και τώρα πάνω από 15 χρόνια στην Giesecke+Devrient. Πώς έχει εξελιχθεί το τοπίο απειλών από τα παραδοσιακά рисκ επιχειρηματικής ασφάλειας στα σημερινά προκλήματα κυβερνοασφάλειας που οδηγούνται από την τεχνητή νοημοσύνη, και τι σας ανησυχεί περισσότερο για την τρέχουσα κατεύθυνση του κλάδου;

Νομίζω ότι η κύρια αλλαγή κατά τη διάρκεια της καριέρας μου είναι η ταχύτητα και η επίδραση. Όταν ξεκίνησα τη διαχείριση ασφάλειας στα τέλη της δεκαετίας του 1990, ένα σοβαρό ζήτημα ασφάλειας σήμαινε μια λανθασμένη διαμόρφωση του τείχους προστασίας ή einen μη ενημερωμένο διακομιστή, η έκταση του ζητήματος ήταν συνήθως περιορισμένη. Κατά τη διάρκεια των τελευταίων τριών δεκαετιών, έχω δει τις συνέπειες μιας đơnικής παραβίασης να αυξάνονται από λειτουργική ανακολουθία σε συστημικό κίνδυνο.

Και όλα είναι ταχύτερα. Διαχειριζόμαστε περισσότερα συστήματα και υψηλότερες ταχύτητες. Σήμερα, λιγότερο από το μισό του συνολικού κυκλοφορίας του διαδικτύου παράγεται από ανθρώπους – και από κάποιες εκτιμήσεις περίπου 40% του συνολικού κυκλοφορίας αποτελείται από κακόβουλη δραστηριότητα όπως κακόβουλοι σαρώσεις, malware και DDoS.

Ταυτόχρονα, το τοπίο έχει γίνει έντονα συντηρημένο και συγκεντρωμένο. Η αρχική φιλοσοφία σχεδιασμού του διαδικτύου για ανακύκλωση και αποκεντρωτισμό έχει χαθεί. Jako αποτέλεσμα, οι επιθέσεις που στοχεύουν μόνο quelques κεντρικά σημεία αποτυχίας έχουν πολύ πιο καταστροφικές συνέπειες από ό,τι είχαν στο παρελθόν. Αυτό αφήνει σχεδόν κανένα χώρο για λάθη στη διαμόρφωση και λειτουργία των σύγχρονων συστημάτων IT. Και τώρα η τεχνητή νοημοσύνη συμπιέζει τους χρονους των επιτιθέμενων ακόμη περισσότερο.

Πρόσφατες δηλώσεις του Dario Amodei έχουν αναζωπυρώσει τους φόβους γύρω από τα προηγμένα συστήματα τεχνητής νοημοσύνης που αναγνωρίζουν τις αδυναμίες του λογισμικού σε κλίμακα. Πιστεύετε ότι οι επιχειρήσεις υποτιμούν πόσο γρήγορα η ανάπτυξη με τη βοήθεια της τεχνητής νοημοσύνης θα υπερβεί τις υπάρχουσες διαδικασίες ασφάλειας;

Ναι, πιστεύω ότι πολλές επιχειρήσεις υποτιμούν την ταχύτητα αυτής της αλλαγής. Αρχικά, φαινόταν ότι η τεχνητή νοημοσύνη θα ωφελήσει και τις δύο πλευρές, επιτιθέμενους και υπερασπιστές, περίπου ισότιμα. Αλλά μια ανησυχητική πραγματικότητα εμφανίζεται: η τεχνητή νοημοσύνη δεν έχει εφεύρει εντελώς νέες κατηγορίες κυβερνοεγκλήματος, αλλά έχει δημοκρατίσει τις ικανότητες επιθέσεων, επιτρέποντας στους θυματοποιημένους να αυτοματοποιήσουν την αναγνώριση, να εξαφανίσουν τις γλωσσικές барριέρες στο phishing και να ανακαλύψουν αδυναμίες λογισμικού σε ταχύτητα και κλίμακα που οι ανθρώπινοι υπερασπιστές αγωνίζονται να απορροφήσουν.

Το πρόβλημα είναι ότι ενώ η τεχνητή νοημοσύνη έχει προκαλέσει μια τεράστια αύξηση στην αναγνώριση των αδυναμιών, δεν έχει ακόμη αναπτυχθεί στην ίδια έκταση στη διαδικασία επιδιόρθωσης. Αυτό δημιουργεί μια επικίνδυνη ανισορροπία. Η αναγνώριση των αδυναμιών με τη βοήθεια της τεχνητής νοημοσύνης παράγει απλώς περισσότερη δουλειά από ό,τι μπορούν να χειριστούν οι υπερασπιστές. Αυτό μπορεί να βελτιωθεί σε quelques χρόνια, καθώς η τεχνητή νοημοσύνη για επιδιόρθωση θα προλάβει, αλλά για τώρα είναι ένα αυξανόμενο ζήτημα.

Επιπλέον, δεν είναι χωρίς ειρωνεία ότι οι ίδιες εταιρείες που παρουσιάζουν τα τελευταία μοντέλα τους ως σωτηρία από τις κυβερνοαπειλές είναι, ταυτόχρονα, μέρος του προβλήματος. Τα εργαλεία κωδικοποίησης που βοηθούν την τεχνητή νοημοσύνη επιταχύνουν την παραγωγή λογισμικού, αλλά συχνά παράγουν χαλαρά, ευάλωτα κώδικα – επεκτείνοντας την ίδια επιφάνεια επιθέσεων που οι ασφαλιστικές τους λύσεις υπόσχονται να μειώσουν. Από οικονομικής πλευράς, αυτό είναι εξαιρετικό. Από ασφαλιστικής πλευράς, όχι τόσο.

Στην G+D, αξιολογούμε τις περιπτώσεις χρήσης της τεχνητής νοημοσύνης με έναν δομημένο τρόπο μέσω ενός Συμβουλίου Τεχνητής Νοημοσύνης και δεν τις κλιμάκωνουμε με αδιανόητο τρόπο. Το πρόβλημα δεν είναι η τεχνητή νοημοσύνη per se – είναι η έλλειψη διακυβέρνησης στη διαμόρφωσή της. Αυτό συμφωνεί με τον κανόνα που εφαρμόζει η G+D επίσης εσωτερικά: η τεχνητή νοημοσύνη απαιτεί όχι μόνο καινοτομία, αλλά και θεσμική αξιολόγηση και διαδικασίες έγκρισης.

Πολυάριθμες οργανώσεις θεωρούν την τεχνητή νοημοσύνη κυρίως ως ένα αμυντικό εργαλείο κυβερνοασφάλειας. Από την άποψή σας, πού η τεχνητή νοημοσύνη δημιουργεί περισσότερο κίνδυνο παρά προστασία μέσα στα περιβάλλοντα των επιχειρήσεων;

Οι περισσότερες ομάδες κυβερνοασφάλειας έχουν ήδη αναπτύξει την τεχνητή νοημοσύνη σε διάφορα επίπεδα για την ανίχνευση, την ταξινόμηση, την αξιολόγηση και την αντιμετώπιση των συμβάντων ασφάλειας – και λειτουργεί εξαιρετικά.

Ωστόσο, νέοι κίνδυνοι εμφανίζονται δίπλα σε αυτά τα οφέλη. Οι αδυναμίες που είναι ιδιαίτερες για την αρχιτεκτονική της τεχνητής νοημοσύνης είναι ήδη ευρέως συζητημένες και κυρίως κατανοητές. Δεν ασφαλίζουμε πλέον μόνο στατικά κώδικα, ασφαλίζουμε μη-καθορισμένα συστήματα. Αυτό εισάγει εντελώς νέες διανυσίες απειλών, όπως η ένεση προώθησης (όπου τα κακόβουλα δεδομένα πείθουν ένα LLM να αγνοήσει τις φυλακές του), η δηλητηρίαση δεδομένων για να διαβρώσει τη λογική του μοντέλου κατά την εκπαίδευση και η διαρροή δεδομένων, όπου τα ιδιωτικά δεδομένα της επιχείρησης εκθέτονται τυχαία μέσω των εξόδων του μοντέλου. Αυτό αλλάζει ουσιαστικά τον ορισμό της εκμετάλλευσης.

Αλλά οι παραδοσιακές, καλά εξασκημένες άμυνές μας πρέπει να προσαρμοστούν επίσης. Για πολλές οργανώσεις, η ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) είναι ακόμη ένα σχετικά νέο概念. Πράγματι, πολλές εταιρείες δεν έχουν πλήρως υιοθετήσει эту προσέγγιση λόγω αυστηρών κανονισμών προστασίας δεδομένων, αυστηρών εργατικών νόμων και δικαιωμάτων των εργατικών συμβουλίων. Τώρα, η βάση έχει μετατοπιστεί και είναι αβέβαιο πόσο αποτελεσματική θα παραμείνει η UEBA σε ένα μέλλον όπου η τεχνητή νοημοσύνη μπορεί να μάθει και να μιμηθεί την ανθρώπινη συμπεριφορά χωρίς να την επηρεάσει.

Πηγαίνοντας μπροστά, θα είναι η UEBA σε θέση να διακρίνει την ανθρώπινη συμπεριφορά από τις αυτοματοποιημένες επιθέσεις ή να αναγνωρίσει ένα αβλαβές μοντέλο τεχνητής νοημοσύνης από ένα κακόβουλο; Υπάρχουν ήδη προϊόντα που υπόσχονται ακριβώς αυτό, αλλά συνήθως χρειάζεται κάποιο χρόνο για να περάσει από τις υποσχέσεις της αγοράς στις πραγματικές, λειτουργικές επιδόσεις. Θα χρειαστούμε νέες концепτικές με σύγχρονες αρχιτεκτονικές ασφάλειας για να αντιμετωπίσουμε αυτό.

Ως Πρόεδρος του Information Security Forum, έρχεστε σε επαφή με ηγέτες ασφάλειας σε μεγάλες παγκόσμιες επιχειρήσεις. Είναι οι CISOs όλο και πιο ανήσυχοι για την ποιότητα του κώδικα που παράγεται από την τεχνητή νοημοσύνη ή είναι το μεγαλύτερο ζήτημα η λειτουργική επιβάρυνση της ασφάλειας των εξαιρετικά μεγαλύτερων κωδικών;

Και τα δύο ζητήματα είναι πραγματικά. Η ποιότητα του κώδικα που παράγεται από την τεχνητή νοημοσύνη είναι ένα αληθινό ζήτημα. Ο κώδικας που παράγει η τεχνητή νοημοσύνη συχνά φαίνεται καθαρός αλλά μπορεί να μεταφέρει λεπτές λογικές ελαττώματα, ασφαλείς προεπιλογές ή κακόβουλα βιβλιοθήκες που είναι πιο δύσκολο να αναγνωριστούν ακριβώς επειδή φαίνονται πιθανές. Οι CISOs έχουν δίκιο να ανησυχούν γι’ αυτό.

Ωστόσο, στις συνομιλίες μου με ειδικούς ασφάλειας σε οργανισμούς μέλη του ISF, η πιο έντονη συναγερμός είναι λειτουργικός: είναι το απίστευτο όγκο κώδικα που μπορεί να φέρει αδυναμίες και έτσι χρειάζεται να ελεγχθεί.

Τι ακούω συνεχώς από ομότιμους σε διάφορους κλάδους είναι ότι το πρόβλημα των εξαρτήσεων έχει γίνει το καθοριστικό βάρος. Η βαθιά εξάρτηση από εξωτερικά στοιχεία και βιβλιοθήκες τρίτων μερών σημαίνει ότι κάθε εξάρτηση πρέπει να παρακολουθείται, να διαχειρίζεται και να ενημερώνεται συνεχώς. Αυτό ήταν ήδη ένα σημαντικό πρόβλημα. Η ανάπτυξη με τη βοήθεια της τεχνητής νοημοσύνης το ενισχύει. Δεν επειδή το πρόβλημα έχει αλλάξει, αλλά επειδή η κλίμακα έχει εκραγεί. Περισσότερος κώδικας, παραγόμενος γρηγορότερα, με περισσότερες εξαρτήσεις, σε περισσότερες αποθήκες.

Έτσι, αν έπρεπε να προτεραιοποιήσω: η ποιότητα του κώδικα είναι ένα λύσιμο πρόβλημα – καλύτερο εργαλείο, αυστηρότερες αναθεωρήσεις, στενότερες φυλακές στη διαδικασία ανάπτυξης. Η λειτουργική επιβάρυνση της ασφάλειας ενός εξαιρετικά αυξανόμενου κώδικα και των διασκορπισμένων αλυσίδων εξαρτήσεων είναι το πιο δομικό, πιο επίμονο πρόβλημα. Εκεί βρίσκεται η πραγματική πίεση, και εκεί είναι που ανησυχούν οι υπερασπιστές.

Η Giesecke+Devrient λειτουργεί σε υψηλά ευαίσθητους τομείς, συμπεριλαμβανομένης της ψηφιακής ταυτότητας, των πληρωμών, της τραπεζικής υποδομής, της τεχνολογίας eSIM και των ψηφιακών νομισμάτων της κεντρικής τράπεζας. Πώς διαφέρει η ασφάλεια της κρίσιμης υποδομής στην εποχή της τεχνητής νοημοσύνης σε σύγκριση με την προστασία των παραδοσιακών επιχειρηματικών συστημάτων;

Στην G+D, αντιμετωπίζουμε τις ίδιες βασικές ευθύνες όπως κάθε οργανισμός που λαμβάνει την ασφάλεια σοβαρά. Ωστόσο, τα πρότυπά μας είναι εξαιρετικά υψηλά, και το περιθώριο για λάθη είναι πολύ μικρό. Είμαστε ιδιαίτερα συνειδητοί ότι ένα ζήτημα ασφάλειας στην υποδομή μας έχει πολύ ευρύτερες επιπτώσεις από μια παραβίαση σε μια τυπική επιχείρηση – και αυτό είναι το λόγο που η ανεκτικότητα μας για κίνδυνο κυβερνοασφάλειας είναι εξαιρετικά χαμηλή.

Όπου η τεχνητή νοημοσύνη προσθέτει μια ιδιαίτερη στρώση πολυπλοκότητας για εμάς είναι στην αρχιτεκτονική λειτουργίας. Πολλά από τα υψηλής ασφάλειας συστατικά μας, ιδιαίτερα αυτά που συνδέονται με συστήματα πληρωμών, ψηφιακές ταυτότητες ή προϊόντα για κεντρικές τράπεζες, είναι υψηλής αξίας περιουσίες και υπόκεινται σε αυστηρές απαιτήσεις πιστοποίησης και ασφάλειας. Αυτά τα συστατικά πρέπει να αναπτυχθούν, να ελεγχθούν και να λειτουργήσουν σε ξεχωριστά περιβάλλοντα, που κυμαίνονται από καθαρή λογική διάκριση μέχρι πλήρως απομονωμένα δίκτυα χωρίς εξωτερική σύνδεση.

Αυτό ήταν ήδη απαιτητικό πριν από την τεχνητή νοημοσύνη, αλλά τώρα οι οργανώσεις παντού ενσωματώνουν εργαλεία που βοηθούν την τεχνητή νοημοσύνη στις διαδικασίες ανάπτυξης και λειτουργίας. Εργαλεία που συνήθως εξαρτώνται από σύνδεση στο cloud, πρόσβαση σε μεγάλης κλίμακας δεδομένα και συνεχείς ενημερώσεις μοντέλων. Η συμφιλίωση αυτού με περιβάλλοντα όπου ακόμη και ένα καλώδιο δικτύου που συνδέεται στο λάθος θύρα θα ήταν μια σοβαρή παραβίαση πολιτικής είναι một πραγματικό πρόκληση μηχανικής και διακυβέρνησης.

Это迫使 нас να είμαστε ιδιαίτερα προσεκτικοί στην ενσωμάτωση της τεχνητής νοημοσύνης. Δεν επιλέγουμε απλώς το σωστό μοντέλο τεχνητής νοημοσύνης, λαμβάνουμε στρατηγικές αποφάσεις σε επίπεδο υποδομής σχετικά με το αν αυτά τα εργαλεία πρέπει να αναπτυχθούν τοπικά ή μπορούν να χρησιμοποιηθούν μέσω του cloud.

Θα αναμένετε τις επιχειρήσεις να απαιτούν τελικά την κωδικοποίηση που παράγεται από την τεχνητή νοημοσύνη να υποβληθεί σε ξεχωριστή επαλήθευση και πιστοποίηση πριν από την ανάπτυξή της;

Δεν νομίζω ότι το決定τικό κριτήριο πρέπει να είναι αν ο κώδικας γράφτηκε από άνθρωπο ή τεχνητή νοημοσύνη. Το決定τικό κριτήριο είναι ο κίνδυνος. Αλλά ο κώδικας που παράγεται από την τεχνητή νοημοσύνη θα χρειαστεί προέλευση, αναγνωρισιμότητα και αυστηρότερη αναθεώρηση σε ρυθμιζόμενους ή υψηλής ασφάλειας περιβάλλοντα.

Η μοντελοποίηση απειλών, οι πολιτικές ασφαλούς κωδικοποίησης και η ενσωμάτωση εργαλείων SAST στη διαδικασία ανάπτυξης είναι ήδη τυπική πρακτική σήμερα, και τα εργαλεία γίνονται φυσικά ενισχυμένα από την τεχνητή νοημοσύνη. Επιπλέον, οι ομάδες ανάπτυξης πρέπει να παρακολουθούν με προσοχή ποιες λειτουργίες είναι κρίσιμες για την ασφάλεια ή ανήκουν σε ρυθμιζόμενους, υψηλής ευαισθησίας συστατικά. Πέρα από αυτό, οι υποκείμενες εξαρτήσεις πρέπει να κατανοηθούν και να ελεγχθούν συνεχώς.

Οι οικονομικές πιέσεις θα παίξουν αναπόφευκτα ένα αυξανόμενο ρόλο. Τώρα, η τιμολόγηση token από τους μεγάλους παρόχους τεχνητής νοημοσύνης δεν είναι κερδοφόρα. Οι μεγάλοι παρόχοι τεχνητής νοημοσύνης απορροφούν τεράστιες ελλείψεις υποδομής και ερμηνείας για να εξασφαλίσουν μερίδιο αγοράς. Ένα επιχορηγούμενο μοντέλο που είναι οικονομικά μη βιώσιμο μακροπρόθεσμα. Όταν οι εμπορικοί κόστος της ανάπτυξης της τεχνητής νοημοσύνης σε εταιρικά ροή εργασίας θα προσαρμοστούν προς τα πάνω για να αντανακλούν τις πραγματικές υποδομικές δαπάνες, θα έχουμε ένα ζήτημα. Σε εκείνο το σημείο, η βιομηχανία θα πρέπει να μετατοπιστεί προς μικρότερες, τοπικές και ειδικές μοντέλα. Η εκπαίδευση αυτών των μικρότερων μοντέλων για στοχευμένες περιπτώσεις χρήσης θα γίνει μια ζωτική στρατηγική για να μετριάσει την αυξανόμενη αύξηση του κόστους.

Και για τις κατηγορίες με τις υψηλότερες απαιτήσεις ασφάλειας, η ανθρώπινη επιτήρηση θα παραμείνει υποχρεωτική και εκεί είναι που βρίσκεται η πρόκληση: να αξιοποιήσουμε την πεπερασμένη ανθρώπινη ικανότητα όσο το δυνατόν πιο αποτελεσματικά.

Τα συστήματα τεχνητής νοημοσύνης μπορούν τώρα να αναγνωρίσουν αδυναμίες πολύ γρηγορότερα από τους ανθρώπινους αναλυτές, αλλά η επιδιόρθωση εξακολουθεί να εξαρτάται σε μεγάλο βαθμό από ανθρώπινες ροές εργασίας. Είναι οι επιχειρήσεις κοντά σε ένα σημείο όπου η διαχείριση των ενημερώσεων πρέπει να γίνει αυτόματη;

Ναι, η αυτόματη διαχείριση ενημερώσεων δεν είναι πλέον ένα πολυτέλεο – είναι μια λειτουργική αναγκαιότητα. Ο απίστευτος όγκος των αδυναμιών σήμερα απλώς υπερβαίνει την ανθρώπινη ικανότητα αντιμετώπισης.

Ωστόσο, πιστεύω ότι η πραγματική ανάπτυξη πρέπει να ακολουθήσει μια βαθμιαία, πρακτική προσέγγιση. Για τυπικά, μη κρίσιμα περιβάλλοντα, η πλήρης αυτοματοποίηση πρέπει να είναι εντελώς εφικτή, υπό την προϋπόθεση ότι τα σωστά φράγματα είναι στη θέση τους. Η πλήρως αυτόματη επιδιόρθωση σε κρίσιμα, υψηλής επίδρασης συστήματα, ενώ είναι σίγουρα απαραίτητη, θα παραμείνει πολύ δύσκολο να εφαρμοστεί για το προβλέψιμο μέλλον.

Αυτό είναι όπου τα βασικά πράγματα έχουν πραγματική σημασία. Η διάκριση μεταξύ αυτών των δύο κατηγοριών φαίνεται απλή, αλλά στην πράξη απαιτεί eine τεράστια ποσότητα ακριβούς, λεπτομερής και συνεχούς διαχείρισης για να λειτουργήσει ένα σύνθετο περιβάλλον με τέτοιες διαφορετικές προσεγγίσεις σε ένα καθαρό και αυτόματο τρόπο. Αυτή η δουλειά είναι εύκολο να υποτιμηθεί.

Η πραγματική πρόκληση, όπως συνήθως, δεν είναι η μηχανική εκτέλεση της διαδικασίας herself – είναι το ευρύτερο σύστημα. Η έξυπνη λήψη αποφάσεων είναι δυνατή μόνο όταν το σύστημα υποστηρίζει. Η διαχείριση ενημερώσεων πρέπει να γίνει σημαντικά έξυπνη και ταχύτερη, όχι απλώς πιο αυτόματη.

Και, όπως πάντα: σε υψηλά ευαίσθητα περιβάλλοντα, η ελεγχόμενη σταθερότητα και η υψηλή ταχύτητα πρέπει να πάνε χέρι-χέρι. Αυτή η τάση είναι το σκληρό μέρος – και το μέρος που οι περισσότερες οργανώσεις δεν είναι ακόμη έτοιμες για αυτό.

Οι κυβερνήσεις σε όλο τον κόσμο αγωνίζονται να εφαρμόσουν συστήματα ψηφιακής ταυτότητας, ψηφιακά νομίσματα κεντρικής τράπεζας και συνδεδεμένη υποδομή. Πόσο ανησυχείς ότι οι κυβερνοαπειλές που οδηγούνται από την τεχνητή νοημοσύνη θα υπερβούν την προετοιμασία ασφάλειας και την εθνική ασφάλεια;

Οι ρυθμιστικοί πλαισμοί όπως το NIS2 και ο νόμος για την κυβερνοασφάλεια推ουν τα πράγματα προς τη σωστή κατεύθυνση, αλλά η ρύθμιση είναι τελικά μόνο ένα μέρος του παζλ. Η ρύθμιση έχει σημασία για το σύνολο του συστήματος, αλλά δεν μπορούμε να υποθέσουμε ότι η έκδοση ενός κανόνα λύνει αμέσως το πρόβλημα. Οι εταιρείες πρέπει ακόμη να εφαρμόσουν τις οδηγίες, να διατηρήσουν τα συστήματά τους μόνιμα ασφαλή και να έχουν μια στερεή κατανόηση του τοπίου απειλών και των στόχων προστασίας, να τους βελτιώσουν συνεχώς και να τους κρατήσουν συγχρονισμένους.

Είμαι προσεκτικά αισιόδοξος, υπό την προϋπόθεση ότι οι οργανώσεις δεν αντιμετωπίζουν τη συμμόρφωση με την ρύθμιση ως αντικατάσταση της πραγματικής ασφάλειας. Και η σύγχρονη διαχείριση ασφάλειας δεν περιμένει τη ρύθμιση. Αν κάτι, πρέπει να είναι το αντίθετο: η καλύτερη πρακτική του πραγματικού κόσμου πρέπει να ρέει στη ρύθμιση, όχι το αντίστροφο.

Σε τομείς υψηλής ασφάλειας όπως η ψηφιακή ταυτότητα και η υποδομή πληρωμών, η λειτουργική προετοιμασία δεν είναι δεδομένη. Η G+D δεν είναι μόνο προμηθευτής εδώ, αλλά και διάλογος για κεντρικές τράπεζες και κυβερνήσεις σε όλο τον κόσμο. Η G+D είναι επίσης ενεργά εμπλεγμένη στην προστασία των κρίσιμων ψηφιακών υποδομών – για παράδειγμα, μέσω της Secunet ως εταίρου ασφάλειας της Ομοσπονδιακής Δημοκρατίας της Γερμανίας.

Ορισμένοι εμπειρογνώμονες περιγράφουν τα προηγμένα μοντέλα τεχνητής νοημοσύνης ως “κυβερνοόπλα”, ενώ άλλοι υποστηρίζουν ότι αυτή η περιγραφή είναι υπερβολική. Από την άποψή σας, τι λάθος κάνουν οι άνθρωποι σχετικά με τους πραγματικούς κινδύνους που αντιπροσωπεύουν τα σύγχρονα συστήματα τεχνητής νοημοσύνης;

Τι λάθος κάνουν οι άνθρωποι είναι η υπόθεση ότι οι κυβερνοσυγκρούσεις ακολουθούν τη λογική του φυσικού πολέμου. Ότι ένα αρκετά ισχυρό όπλο θα παραβιάσει απαραίτητα οποιαδήποτε άμυνα. Πολύ από το “κυβερνοόπλο” στυλ δανείζεται από αυτήν την κινητική σκέψη: μεγαλύτερο κανόνι νικά παχύτερο τοίχωμα, έξυπνο βλήμα νικά ταχύτερο αεροσκάφος. Αλλά η κυβερνοασφάλεια δεν λειτουργεί così.

Μια επιτυχημένη κυβερνοεπίθεση σχεδόν ποτέ δεν επιτυγχάνει μέσω της υπέρτατης δύναμης. Επιτυγχάνει μέσω της εκμετάλλευσης ενός κενού: μιας λανθασμένης διαμόρφωσης, μιας μη ενημερωμένης αδυναμίας, ενός ανθρώπινου λάθους, ενός αδύνατου συνδέσμου στην αλυσίδα εφοδιασμού. Η τεχνητή νοημοσύνη δεν αλλάζει αυτήν τη βασική δυναμική. Κάνει την αναζήτηση αυτών των κενών ταχύτερη και φθηνότερη, και μειώνει το κατώφλι δεξιοτήτων για την εκμετάλλευσή τους. Αυτό είναι ένα σοβαρό πρόβλημα, αλλά είναι ένα πολύ διαφορετικό πρόβλημα από το “απαράμιλλο όπλο” αφήγηση.

Η πραγματική απειλή δεν είναι ότι η τεχνητή νοημοσύνη δημιουργεί κάποιο πανίσχυρο επιθετικό μέσο που καμία άμυνα δεν μπορεί να αντέξει. Η πραγματική απειλή είναι ότι η τεχνητή νοημοσύνη επιταχύνει και κλιμακώνει την εκμετάλλευση των κοινοπρακτικών αδυναμιών – τις ίδιες που έχουμε αγωνιστεί να διορθώσουμε για δεκαετίες – σε ένα ρυθμό που υπερβαίνει την ικανότητά μας να τις κλείσουμε.

Η περιγραφή της τεχνητής νοημοσύνης ως “κυβερνοόπλου” απομακρύνει από αυτό. Ενθαρρύνει μια νοοτροπία αγώνων όπλων όταν αυτό που χρειάζεται είναι καλύτερη λειτουργική υγιεινή, ταχύτερη επιδιόρθωση και πιο ανθεκτικές αρχιτεκτονικές. Η απειλή δεν είναι ένα νέο σούπερ-όπλο. Είναι τα παλιά κενά, εκμεταλλευμένα σε νέο ρυθμό. Ναι, η περιγραφή της τεχνητής νοημοσύνης ως “κυβερνοόπλου” είναι μια σημαντική υπερβολή.

Βλέποντας μπροστά, πιστεύετε ότι η μεγαλύτερη απειλή κυβερνοασφάλειας από την τεχνητή νοημοσύνη θα έρθει από τις εξελιγμένες επιθέσεις κρατών, την αυτοματοποιημένη εκμετάλλευση σε κλίμακα, την εσωτερική κακοποίηση, τις αδυναμίες της αλυσίδας εφοδιασμού ή κάτι που ο κλάδος δεν δίνει ακόμη αρκετή προσοχή;

Η πρόβλεψη του μελλοντικού ασφαλείας είναι πάντα ιδιαίτερα δύσκολο. Οι επιθέσεις κρατών, η αυτοματοποιημένη εκμετάλλευση, η εσωτερική κακοποίηση, η αλυσίδα εφοδιασμού – όλα αυτά είναι πραγματικές και αυξανόμενες απειλές, και δεν θα απορρίψω καμία από αυτές. Αλλά θα επιχειρήσω να πω ότι όλα αυτά είναι συνέπειες, όχι ριζικές αιτίες. Επιτυγχάνουν όταν οι υπερασπιστές δεν μπορούν πλέον να跟ere. Ένα κενό μπορεί να μην είναι ακόμη δημόσια γνωστό, μια ενημέρωση μπορεί να μην είναι ακόμη διαθέσιμη ή η εργασία μπορεί να είναι πολύ υψηλή.

Και αυτό το τελευταίο σημείο είναι όπου βλέπω τον κορυφαίο κίνδυνο να κοιτάζει δύο έως τρία χρόνια μπροστά: οι ομάδες ασφάλειας να είναι υπερφορτωμένες από την απίστευτη εργασία.

Όλα τα τρέχοντα και αναδυόμενα θέματα – ρύθμιση, κυριαρχία, σύνθετες υποδομές cloud και όλα όσα έρχονται μαζί τους – είναι όλα αυτά που πέφτουν στις ομάδες που είναι ήδη τεντωμένες από την αντιμετώπιση συναγερμών, αντίδραση σε περιστατικά, ανάλυση phishing, διαχείριση αδυναμιών και ενημερώσεων, έγγραφα, ελέγχους και αναφορές. Η εργασία που προστίθεται από όλα αυτά που μπορεί να κάνει η τεχνητή νοημοσύνη θα είναι η στάχτη που θα σπάσει την καμήλα.

Και δεδομένης της τρέχουσας παγκόσμιας οικονομικής κατάστασης, όλα αυτά χτυπούν τις οργανώσεις υπό πραγματική πίεση κόστους, σε όλο το φάσμα. Αν αυτό δεν διαχειριστεί εξαιρετικά καλά, θα γίνει τελικά πολύ περισσότερο.

Ευχαριστώ πολύ για τη μεγάλη συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα πρέπει να επισκεφθούν την Giesecke+Devrient.