Jack Cherkas, Director de Seguridad Global en Syntax – Serie de Entrevistas

Jack Cherkas, Director de Seguridad Global en Syntax, es un ejecutivo de seguridad con una amplia experiencia en seguridad en la nube, resiliencia cibernética, arquitectura empresarial y seguridad de la inteligencia artificial. Ha ocupado puestos senior en Syntax, PwC Reino Unido, Kyndryl e IBM, donde ayudó a construir y escalar operaciones de seguridad, gestionó esfuerzos de respuesta a incidentes importantes y desarrolló estrategias de resiliencia cibernética para entornos de empresa grande. En Syntax, lidera la seguridad cibernética global en toda la compañía, incluyendo personas, sistemas, centros de datos, servicios de nube administrados y ofertas de seguridad orientadas al cliente, supervisando un equipo de más de 65 profesionales de seguridad en ocho países.

Syntax es un proveedor global de servicios de TI y nube administrada que se especializa en aplicaciones empresariales de misión crítica, en particular entornos de SAP y Oracle. La compañía apoya a las organizaciones con la migración a la nube, alojamiento administrado, ciberseguridad, administración de aplicaciones empresariales y operaciones habilitadas por inteligencia artificial en infraestructuras híbridas y de múltiples nubes. Su trabajo se centra en ayudar a las empresas a modernizar, asegurar y operar sistemas de negocio complejos a gran escala.

Ha liderado iniciativas de ciberseguridad en IBM, Kyndryl, PwC y ahora Syntax. A lo largo de ese viaje, ¿cómo ha evolucionado su perspectiva sobre la seguridad de las tecnologías emergentes como la inteligencia artificial, especialmente a medida que las organizaciones pasan de la experimentación a la producción?

Mi carrera ha seguido una serie de interrupciones, cada una exigiendo que la seguridad se ponga al día con una nueva superficie de control. En IBM, en los primeros días de la nube, la pregunta era si podríamos confiar en la infraestructura de alguien más para ejecutar cargas de trabajo de misión crítica. La respuesta fue un modelo de responsabilidad compartida y una generación de controles nativos de la nube.

Luego vino la era del ransomware. NotPetya en 2017 deshabilitó a las empresas en cuestión de horas, y la industria aprendió que el malware gusano podría desactivar las cadenas de suministro globales en una noche. La respuesta fue prepararse para cuándo (no si) ocurriría un ciberataque, segmentación de redes, copias de seguridad inmutables y un empujón serio en la identidad.

A lo largo de mi tiempo en Kyndryl y PwC, SaaS pasó de los bordes al centro de cada estado. Las cargas de trabajo se movieron fuera de los centros de datos y hacia la pila de alguien más, la identidad se convirtió en el perímetro y Zero Trust dejó de ser un diagrama y comenzó a ser un modelo operativo.

Ahora en Syntax, estamos en la ola de GenAI, donde el sistema en sí razona, genera y actúa. Cada ola nos dio una nueva superficie de control, sin suficiente advertencia y una ventana más corta entre experimentación y producción. La nube tardó años. SaaS tardó trimestres. GenAI tarda semanas. Los CISO que siguen el ritmo son aquellos que dejaron de tratar cada ola como una excepción y comenzaron a tratar la adopción rápida como el estado estable.

A medida que las organizaciones aceleran la adopción de la inteligencia artificial, ¿cómo evalúa el riesgo de que la confianza, no solo la conformidad, se vea comprometida? ¿Cuáles son los indicadores más tempranos de que esto está comenzando a suceder?

La confianza es la base de cualquier buena adopción de inteligencia artificial. Los indicadores más tempranos no están en el informe de auditoría, están en las señales operativas. Despliegues de inteligencia artificial en la sombra que nadie posee. Aprobación de proveedores de GenAI sin revisión de seguridad. Linaje de datos que se rompe en el momento en que se pregunta de dónde proviene el conjunto de datos de entrenamiento. Agentes de inteligencia artificial con permisos de administrador porque nadie quería ralentizar el proyecto. Cuando vea esas cuatro señales en una organización, la confianza ya se está gastando más rápido de lo que se está ganando. El liderazgo suele ser el último en enterarse.

Muchas empresas están adoptando la inteligencia artificial más rápido de lo que pueden asegurarla. ¿Cuáles son los riesgos más comunes que ve en la actualidad cuando la gobernanza se queda atrás de la innovación?

Cuando la gobernanza se queda atrás, tres cosas suceden, y ninguna de ellas se muestra como incidentes de seguridad hasta mucho más tarde. Primero, la exposición regulatoria se acumula silenciosamente: un despliegue de inteligencia artificial que viola los requisitos de transparencia de la Ley de Inteligencia Artificial de la UE no dispara una alarma; se muestra en una auditoría dos años después como una multa. Segundo, la confianza del cliente se erosiona en transacciones que nunca se ven: los prospectos eligen a los competidores que pueden demostrar la gobernanza, y su equipo de ventas nunca se entera de por qué. Tercero, la calidad de la decisión se deteriora: la organización toma más decisiones influenciadas por la inteligencia artificial, pero no puede explicarlas ni auditarlas, y las malas decisiones se acumulan en lugares donde nadie está mirando. El costo de una gobernanza de inteligencia artificial débil es la erosión lenta de la auditoría, las ventas y la calidad de la decisión, que termina en una violación de la reputación.

Basándose en su experiencia en la construcción y escalado de servicios de seguridad administrados y operaciones de SOC, ¿cómo deberían replantear las organizaciones sus modelos de seguridad para manejar sistemas y toma de decisiones autónomos impulsados por la inteligencia artificial?

La inteligencia artificial es un nuevo vector de ataque, un multiplicador de amenazas y una pieza crítica del rompecabezas defensivo, y el modelo de seguridad debe adaptarse para cubrir los tres al mismo tiempo.

Como vector de ataque, las plataformas de GenAI en sí se convierten en objetivos que deben defenderse. Como multiplicador de amenazas, los atacantes están utilizando la GenAI para crear phishing a gran escala, generar código de explotación, automatizar la exploración y descubrir vulnerabilidades a velocidad de máquina. Como pieza defensiva, la misma tecnología girada en la otra dirección es la única respuesta realista: la triage impulsada por la inteligencia artificial, la caza de amenazas automatizada y la mejora del analista ya no son opcionales; son la forma en que un SOC mantiene el ritmo con un adversario aumentado por la inteligencia artificial. Si ellos están aumentados por la inteligencia artificial y nosotros no, la brecha se acumula con cada ciclo.

Eso también crea un nuevo tipo de actor que el modelo debe gobernar. En Syntax, ya pensamos en los agentes de inteligencia artificial como si se unieran al organigrama, junto con los humanos, lo que establece la barra para cómo los seguramos. Los agentes de inteligencia artificial necesitan todo lo que les damos a los usuarios humanos (identidad, permisos basados en roles, registros de actividad, líneas base de comportamiento) más las mismas palancas de contención que usamos en cuentas comprometidas: la capacidad de deshabilitar, aislar y revocar. La diferencia está en la velocidad. Los agentes actúan en milisegundos, por lo que esas palancas deben ser inmediatas y automatizadas, no la parte posterior de un flujo de trabajo de respuesta a incidentes.

En Syntax, nuestro Centro de Operaciones de Seguridad Global ha estado evolucionando para que la inteligencia artificial aumente al analista humano, mientras que nuestros empleados construyen flujos de trabajo agenticos y agentes dentro de la Plataforma de GenAI de Syntax, que proporciona guardias fuera de la caja contra el sesgo, la toxicidad y los controles para la privacidad y la seguridad por defecto.

Esa es la replantación. Defender la inteligencia artificial como un objetivo. Desplegar la inteligencia artificial como defensor. Gobernar el uso de la inteligencia artificial.

Con frecuencia hay tensión entre la velocidad y el control. ¿Cómo pueden las organizaciones mantener la velocidad de innovación mientras implementan una supervisión y guardias significativas para los sistemas de inteligencia artificial?

La velocidad y el control parecen opuestos hasta que se construye una gobernanza que viaja con el proyecto en lugar de bloquearlo. El error es poner la gobernanza en la puerta: un comité, una aprobación, una revisión trimestral. Para cuando se abre la puerta, el equipo ya ha pasado por alto o ha perdido el impulso. El modelo que funciona es procesos redefinidos con la gobernanza integrada. La comunicación clara y consistente es el punto de partida, seguida de patrones preaprobados, flujos de datos preautorizados y plantillas de permisos predefinidos. Los equipos obtienen velocidad, los equipos de seguridad obtienen visibilidad y el intercambio que todos asumen existe resulta ser un proceso mal diseñado. Esto se trata de equilibrar la seguridad con la innovación contra el apetito de riesgo de cada organización.

Ha trabajado en estrategias de resiliencia cibernética y respuesta a incidentes a gran escala. ¿Cómo cambia la introducción de la inteligencia artificial la naturaleza de las amenazas cibernéticas y la forma en que las organizaciones deben prepararse para ellas?

La inteligencia artificial está impulsando las amenazas en diferentes vectores. Escala: phishing y exploración a velocidad de máquina contra miles de objetivos simultáneamente. Sofisticación: ingeniería social impulsada por deepfakes que derrota la verificación de voz y video. Identidad: identidades sintéticas que pasan las verificaciones de identidad diseñadas para humanos.

Para la respuesta a incidentes, las implicaciones son operativas. Necesita detección que no dependa de que los humanos reconozcan patrones a velocidad humana. Necesita protocolos de verificación que asuman que la voz y el video pueden ser falsificados. Y necesita libros de juego de respuesta a incidentes que cubran explícitamente incidentes relacionados con la inteligencia artificial, porque los pasos de recuperación no son los mismos que los de un evento de ransomware.

En Syntax, ¿cómo se ve la “seguridad por diseño” de la inteligencia artificial en un entorno empresarial complejo y real?

En Syntax, significa equilibrar la innovación y la seguridad a través de la adopción de nuestra Plataforma de GenAI con guardias integradas, nuestros Servicios y Aplicaciones de GenAI aprobados, restringidos y prohibidos, y impulsando una cultura de seguridad primero a través de nuestra Oficina de Gobernanza de Inteligencia Artificial. Para nuestra Organización de Seguridad Global, significa posicionarnos como habilitadores para el negocio, no como bloqueadores, apoyando al negocio con sus prioridades estratégicas mientras protegemos a Syntax de acuerdo con nuestro apetito de riesgo.

Hay una narrativa creciente de que la seguridad y la conformidad ya no son bloqueadores, sino habilitadores del crecimiento. ¿Qué debe cambiar cultural y operativamente para que las organizaciones adopten realmente esa mentalidad?

El mayor cambio es lo que se considera el éxito. Los equipos de seguridad han sido medidos durante décadas por lo que no sucedió: no hubo violaciones, no hubo incidentes, no hubo hallazgos de auditoría. Esa métrica recompensa decir que no. Los equipos que operan como habilitadores miden algo diferente: tratos ganados porque los controles eran demostrables, lanzamientos que cumplieron con la fecha porque la seguridad despejó el camino, e innovaciones que se movieron a través de la gobernanza en lugar de alrededor de ella.

Operativamente, necesita procesos redefinidos con la gobernanza integrada, combinados con habilitación activa como nuestra Plataforma de GenAI que hace que la seguridad sea el camino más fácil, y educación y programas de inteligencia artificial accesibles, como nuestra iniciativa de Campeones de Inteligencia Artificial.

La cultura sigue lo que se incentiva y lo que se habilita. Cambie lo que se recompensa, equipe a las personas con las herramientas y la formación adecuadas en el momento adecuado, y cambie lo que hacen. Este es el viaje que Syntax está emprendiendo.

Con la inteligencia artificial cada vez más integrada en los flujos de trabajo empresariales, ¿cómo deberían colaborar los CISO con los líderes de inteligencia artificial, científicos de datos y equipos de productos para garantizar la rendición de cuentas sin frenar el progreso?

El CISO que espera ser invitado llegará tarde. El CISO que se presenta temprano, con patrones prácticos en lugar de objeciones de política, se convierte en el socio que los proyectos de inteligencia artificial realmente quieren en la mesa. En la práctica, eso significa sesiones de diseño conjuntas con los equipos de inteligencia artificial, aprobaciones de seguridad que se sientan junto a las aprobaciones funcionales en lugar de después de ellas, y una política de puerta abierta. Esto cambia la conversación de ser el “Departamento de No” a “Sí, pero” o “No, pero” como un socio dispuesto y colaborador para el negocio.

Mirando hacia adelante, ¿cree que veremos un marco de gobernanza de inteligencia artificial estandarizado a nivel global, o las organizaciones necesitarán construir sus propias arquitecturas de confianza internas independientemente de la regulación?

Ambas cosas, en ese orden. Veremos una convergencia por fases en un pequeño número de marcos regionales, la Ley de Inteligencia Artificial de la UE primero, otros siguiendo con variaciones locales. No veremos un estándar global único en esta década debido a la fragmentación geopolítica. Así, las organizaciones terminarán haciendo dos cosas en paralelo: cumplir con el marco que se aplica a su mercado más grande y ejecutar una arquitectura de confianza interna que supere el estándar más débil. La arquitectura interna importa más que el estándar externo, porque los reguladores se mueven lentamente y las amenazas no. Las compañías que construyen arquitecturas de confianza internas ahora pasarán la próxima década diciendo “ya lo hacemos” a cada nuevo regulador que llegue.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Syntax.