Jack Cherkas, Director de Seguridad Global en Syntax – Serie de Entrevistas

Jack Cherkas, Director de Seguridad Global en Syntax, es un ejecutivo de seguridad con experiencia profunda en seguridad en la nube, resiliencia cibernética, arquitectura empresarial y seguridad de la inteligencia artificial. Ha ocupado puestos senior en Syntax, PwC UK, Kyndryl y IBM, donde ayudó a construir y escalar operaciones de seguridad, gestionó esfuerzos de respuesta a incidentes importantes y desarrolló estrategias de resiliencia cibernética para entornos empresariales grandes. En Syntax, lidera la seguridad cibernética global en todo el personal, sistemas, centros de datos, servicios de nube administrados y ofertas de seguridad orientadas al cliente de la empresa, supervisando un equipo de más de 65 profesionales de seguridad en ocho países.

Syntax es un proveedor global de servicios de TI y servicios de nube administrados especializado en aplicaciones empresariales de misión crítica, particularmente entornos de SAP y Oracle. La empresa apoya a las organizaciones con la migración a la nube, alojamiento administrado, ciberseguridad, gestión de aplicaciones empresariales y operaciones habilitadas por inteligencia artificial en infraestructuras híbridas y multi-nube. Su trabajo se centra en ayudar a las empresas a modernizar, asegurar y operar sistemas de negocios complejos a gran escala.

Ha liderado iniciativas de ciberseguridad en IBM, Kyndryl, PwC y ahora Syntax. A lo largo de este viaje, ¿cómo ha evolucionado su perspectiva sobre la seguridad de las tecnologías emergentes como la inteligencia artificial, particularmente a medida que las organizaciones pasan de la experimentación a la producción?

Mi carrera ha seguido una serie de interrupciones, cada una exigiendo que la seguridad se ponga al día con una nueva superficie de control. En IBM, en los primeros días de la nube, la pregunta era si podíamos confiar en que la infraestructura de alguien más ejecutara cargas de trabajo de misión crítica. La respuesta fue un modelo de responsabilidad compartida y una generación de controles nativos de la nube.

Luego vino la era del ransomware. NotPetya en 2017 inhabilitó a las empresas en cuestión de horas, y la industria aprendió que el malware que se puede propagar podría desactivar las cadenas de suministro globales de la noche a la mañana. La respuesta fue prepararse para cuando (no si) ocurriría un ciberataque, segmentación de redes, copias de seguridad inmutables y un empujón serio en la identidad.

A lo largo de mi tiempo en Kyndryl y PwC, el software como servicio (SaaS) pasó de los bordes al centro de cada estado. Las cargas de trabajo se movieron fuera de los centros de datos y hacia la pila de alguien más, la identidad se convirtió en el perímetro y la confianza cero dejó de ser un diagrama y comenzó a ser un modelo operativo.

Ahora en Syntax, estamos en la ola de la inteligencia artificial de generación (GenAI), donde el sistema en sí razona, genera y actúa. Cada ola nos dio una nueva superficie de control, no suficiente advertencia y una ventana más corta entre experimentación y producción. La nube tardó años. El SaaS tardó trimestres. La GenAI tarda semanas. Los directores de seguridad informática (CISO) que siguen el ritmo son aquellos que dejaron de tratar cada ola como una excepción y comenzaron a tratar la adopción rápida como el estado estable.

A medida que las organizaciones aceleran la adopción de la inteligencia artificial, ¿cómo evalúa el riesgo de que la confianza, no solo el cumplimiento, se vea comprometida? ¿Cuáles son los indicadores más tempranos de que esto está comenzando a suceder?

La confianza es la base de cualquier buena adopción de inteligencia artificial. Los indicadores más tempranos no están en el informe de auditoría, están en las señales operativas. Despliegues de inteligencia artificial en la sombra que nadie posee. Aprobación de proveedores de inteligencia artificial de generación sin revisión de seguridad. Linaje de datos que se rompe en el momento en que se pregunta de dónde proviene los datos de entrenamiento. Agentes de inteligencia artificial con permisos de administrador porque nadie quería ralentizar el proyecto. Cuando vea esas cuatro señales en una organización, la confianza ya se está gastando más rápido de lo que se está ganando. El liderazgo suele ser el último en enterarse.

Muchas empresas están adoptando la inteligencia artificial más rápido de lo que pueden asegurarla. ¿Cuáles son los riesgos más comunes del mundo real que ve hoy en día cuando la gobernanza se queda atrás de la innovación?

Cuando la gobernanza se queda atrás, tres cosas suceden, y ninguna de ellas se muestra como incidentes de seguridad hasta mucho más tarde. Primero, la exposición regulatoria se acumula silenciosamente: un despliegue de inteligencia artificial que viola los requisitos de transparencia de la Ley de Inteligencia Artificial de la UE no activa una alarma; se muestra en una auditoría dos años después como una multa. Segundo, la confianza del cliente se erosiona en transacciones que nunca se ven: los prospectos eligen a los competidores que pueden demostrar la gobernanza, y su equipo de ventas nunca se entera de por qué. Tercero, la calidad de la decisión se deteriora: la organización toma más decisiones influenciadas por la inteligencia artificial, pero no puede explicarlas ni auditarlas, y las malas decisiones se acumulan en lugares donde nadie está mirando. El costo de una gobernanza de inteligencia artificial débil es la erosión lenta de la auditoría, las ventas y la calidad de la decisión, que termina en una violación de la reputación.

Basado en su experiencia en la construcción y escalado de servicios de seguridad administrados y operaciones de Centro de Operaciones de Seguridad (SOC), ¿cómo deberían replantear las organizaciones sus modelos de seguridad para manejar sistemas y toma de decisiones autónomos impulsados por inteligencia artificial?

La inteligencia artificial es un nuevo vector de ataque, un multiplicador de amenazas y una pieza crítica del rompecabezas defensivo, y el modelo de seguridad tiene que adaptarse para cubrir los tres al mismo tiempo.

Como vector de ataque, las plataformas de inteligencia artificial de generación en sí se convierten en objetivos que defender. Como multiplicador de amenazas, los atacantes están utilizando la inteligencia artificial de generación para crear phishing a gran escala, generar código de explotación, automatizar la reconnaissance y descubrir vulnerabilidades a velocidad de máquina. Como pieza defensiva, la misma tecnología dirigida en la otra dirección es la única respuesta realista: la triage impulsada por inteligencia artificial, la caza de amenazas automatizada y la mejora del analista ya no son opcionales; son cómo un Centro de Operaciones de Seguridad mantiene el ritmo con un adversario aumentado por inteligencia artificial. Si están aumentados por inteligencia artificial y nosotros no, la brecha se acumula con cada ciclo.

Eso también crea un nuevo tipo de actor que el modelo tiene que gobernar. En Syntax, ya pensamos en los agentes de inteligencia artificial como si se unieran al organigrama, junto con los humanos, lo que establece la barra para cómo los seguramos. Los agentes de inteligencia artificial necesitan todo lo que les damos a los usuarios humanos (identidad, permisos basados en roles, registros de actividad, líneas base de comportamiento) más las mismas palancas de contención que usamos en cuentas comprometidas: la capacidad de deshabilitar, aislar y revocar. La diferencia está en la velocidad. Los agentes actúan en milisegundos, por lo que esas palancas tienen que ser inmediatas y automatizadas, no el final de un flujo de trabajo de respuesta a incidentes.

En Syntax, nuestro Centro de Operaciones de Seguridad Global ha estado evolucionando para que la inteligencia artificial aumente al analista humano, mientras que nuestros empleados construyen flujos de trabajo y agentes dentro de la Plataforma de Inteligencia Artificial de Generación de Syntax, que proporciona guardias contra el sesgo, la toxicidad y los controles para la privacidad y la seguridad por defecto.

Esa es la replantación. Defender la inteligencia artificial como un objetivo. Desplegar la inteligencia artificial como defensor. Gobernar el uso de la inteligencia artificial.

Hay una tensión frecuente entre la velocidad y el control. ¿Cómo pueden las organizaciones mantener la velocidad de innovación mientras implementan una supervisión y guardias significativas para los sistemas de inteligencia artificial?

La velocidad y el control parecen opuestos hasta que se construye una gobernanza que viaja con el proyecto en lugar de bloquearlo. El error es poner la gobernanza en la puerta: un comité, una aprobación, una revisión trimestral. Para cuando se abre la puerta, el equipo ya ha pasado por alto o ha perdido el impulso. El modelo que funciona es procesos redefinidos con la gobernanza integrada. La comunicación clara y consistente es el punto de partida, seguida de patrones preaprobados, flujos de datos preautorizados y plantillas de permisos predefinidos. Los equipos obtienen velocidad, los equipos de seguridad obtienen visibilidad, y el intercambio que todos asumen existe resulta ser un proceso mal diseñado. Esto se trata de equilibrar la seguridad con la innovación contra el apetito de riesgo de cada organización.

Ha trabajado en estrategias de resiliencia cibernética y respuesta a incidentes a gran escala. ¿Cómo cambia la introducción de la inteligencia artificial la naturaleza de las amenazas cibernéticas y la forma en que las organizaciones deberían prepararse para ellas?

La inteligencia artificial está impulsando las amenazas a través de diferentes vectores. Escala: phishing y reconocimiento a velocidad de máquina contra miles de objetivos simultáneamente. Sofisticación: ingeniería social impulsada por deepfakes que supera la verificación de voz y video. Identidad: identidades sintéticas que pasan las verificaciones de identidad diseñadas para humanos.

Para la respuesta a incidentes, las implicaciones son operativas. Necesita detección que no dependa de que los humanos reconozcan patrones a velocidad humana. Necesita protocolos de verificación que asuman que la voz y el video pueden ser falsificados. Y necesita libros de juego de respuesta a incidentes que cubran explícitamente incidentes relacionados con la inteligencia artificial, porque los pasos de recuperación no son los mismos que recuperarse de un evento de ransomware.

En Syntax, ¿cómo se ve la “seguridad por diseño” de la inteligencia artificial en un entorno empresarial complejo y real?

En Syntax, significa equilibrar la innovación y la seguridad a través de la adopción de nuestra Plataforma de Inteligencia Artificial de Generación con guardias integradas, nuestros Servicios y Aplicaciones de Inteligencia Artificial de Generación aprobados, restringidos y prohibidos, y impulsando una cultura de seguridad primero a través de nuestra Oficina de Gobernanza de Inteligencia Artificial. Para nuestra Organización de Seguridad Global, significa posicionarse como un habilitador para el negocio, no un bloqueador, apoyando al negocio con sus prioridades estratégicas mientras protege a Syntax de acuerdo con nuestro apetito de riesgo.

Hay una narrativa creciente de que la seguridad y el cumplimiento ya no son bloqueadores, sino habilitadores del crecimiento. ¿Qué tiene que cambiar cultural y operativamente para que las organizaciones adopten realmente esta mentalidad?

El mayor cambio es lo que se considera éxito. Los equipos de seguridad han sido medidos durante décadas por lo que no sucedió: no hubo violaciones, no hubo incidentes, no hubo hallazgos de auditoría. Esa métrica recompensa decir que no. Los equipos que operan como habilitadores miden algo diferente: tratos ganados porque los controles eran demostrables, lanzamientos que cumplieron con la fecha porque la seguridad despejó el camino, e innovaciones que pasaron por la gobernanza en lugar de rodearla.

Operativamente, necesita procesos redefinidos con la gobernanza integrada, combinados con habilitación activa como nuestra Plataforma de Inteligencia Artificial de Generación que hace que la seguridad sea el camino más fácil, y educación y programas de inteligencia artificial accesibles, como nuestra iniciativa de Campeones de Inteligencia Artificial.

La cultura sigue lo que se incentiva y lo que se habilita. Cambie lo que se recompensa, equipe a las personas con las herramientas y la formación adecuadas en el momento adecuado, y cambie lo que hacen. Este es el viaje que Syntax está emprendiendo.

Con la inteligencia artificial cada vez más integrada en los flujos de trabajo empresariales, ¿cómo deberían colaborar los directores de seguridad informática con los líderes de inteligencia artificial, científicos de datos y equipos de productos para garantizar la responsabilidad sin frenar el progreso?

El director de seguridad informática que espera ser invitado llegará tarde. El director de seguridad informática que se presenta temprano, con patrones prácticos en lugar de objeciones de política, se convierte en el socio que los proyectos de inteligencia artificial realmente quieren en la mesa. En la práctica, esto significa sesiones de diseño conjuntas con los equipos de inteligencia artificial, aprobaciones de seguridad que se sientan junto a las funcionales en lugar de después de ellas, y una política de puerta abierta. Esto cambia la conversación de ser el “Departamento de No” a “Sí, pero” o “No, pero” como un socio colaborador y dispuesto para el negocio.

Mirando hacia adelante, ¿cree que veremos un marco global estandarizado para la gobernanza de la inteligencia artificial, o las organizaciones necesitarán construir sus propias arquitecturas de confianza internas independientemente de la regulación?

Ambos, en ese orden. Veremos una convergencia por fases en un pequeño número de marcos regionales, la Ley de Inteligencia Artificial de la UE primero, otros siguiendo con variaciones locales. No veremos un estándar global en esta década debido a la fragmentación geopolítica. Por lo tanto, las organizaciones terminarán haciendo dos cosas en paralelo: cumplir con el marco que se aplica a su mercado más grande y ejecutar una arquitectura de confianza interna que supere el marco más débil. La arquitectura interna importa más que el estándar externo, porque los reguladores se mueven lentamente y las amenazas no. Las empresas que construyan arquitecturas de confianza internas ahora pasarán la próxima década diciendo “ya lo hacemos” a cada nuevo regulador que llegue.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Syntax.