Agnidipta Sarkar, Chief Evangelist, ColorTokens – Haastattelusarja

Agnidipta Sarkar, Chief Evangelist, ColorTokens on kyberturvallisuuden ja digitaalisen resilienssin johtaja, jolla on yli kolmen vuosikymmenen kokemus kybersuojelusta, riskienhallinnasta, liiketoiminnan jatkuvuudesta, tietosuojasta ja Zero Trust -periaatteesta. ColorTokensissa hän työskentelee hallitusten, C‑tason johtajien ja turvallisuusjohtajien kanssa vahvistaakseen läpivientivalmiutta ja yhdistääkseen kyberturvallisuusohjelmat liiketoiminnan prioriteetteihin, samalla kun hän osallistuu kansainvälisiin standardeihin ja alan aloitteisiin organisaatioiden, kuten ISO, Cloud Security Alliance, NIST ja ISA, kautta. Ennen ColorTokensiin liittymistään Sarkar toimi Group CISO:na Bioconissa ja on toiminut senior‑tason tietoturva‑ ja riskijohtotehtävissä organisaatioissa, kuten DXC Technology, Hewlett Packard Enterprise ja HP.

ColorTokens on kyberturvallisuusyhtiö, joka keskittyy mikrosegmentointiin, Zero Trust -malliin ja yritysten resilienssin parantamiseen, kun hyökkääjät murtautuvat perinteisten suojarakenteiden läpi. Sen lippulaiva Xshield Enterprise Microsegmentation Platform on suunniteltu estämään hyökkääjiä ja haittaohjelmia liikkumasta sivuttaisesti organisaatiossa luomalla tarkkoja turvallisuusrajoja työkuormien ja resurssien ympärille, jotka kattavat datakeskukset, pilvi-infrastruktuurin, päätelaitteet, Kubernetes‑ympäristöt, operatiivisen teknologian (OT) ja esineiden internetin (IoT) laitteet. Alusta sisältää myös tekoälyavusteisia työnkulkuja ympäristöjen kartoittamiseen, segmentointipolitiikkojen luomiseen ja politiikkojen käyttöönoton nopeuttamiseen, laajempana tavoitteena vähentää organisaation hyökkäyspintaa ja rajoittaa mahdollisen hyökkäyksen “räjähdysradiaalia”.

Olet työskennellyt yli kolmen vuosikymmenen ajan kädet‑päällä verkko‑ ja turvallisuusrooleissa HCL:ssä, Wiprossa, HP:ssä, HPE:ssä ja DXC:ssä, ja sen jälkeen toiminut Group Chief Information Security Officerina Bioconissa sekä osallistunut kansainvälisten turvallisuusstandardien kehittämiseen. Miten nämä etulinjan kokemukset muovasivat vakaumustasi siitä, että organisaatioiden on valmistettava itsensä rajoittamaan tietomurtomia sen sijaan, että oletetaan niiden pystyvän estämään jokainen tunkeutuminen?

Varhaisina vuosina HCL:ssä ja Wiprossa kyberturvallisuus tuntui villiltä lännekentältä – jännittävältä, kaoottiselta ja täynnä mahdollisuuksia. Sukelsin sisään, kokeilin, epäonnistuin, opin ja onnistuin kaikessa, mitä teknologia tarjosi: palomuureissa, IDS‑järjestelmissä, MFA‑ratkaisuissa, salauksessa, auditoinneissa, hallinnassa. Mutta todellinen oppitunti tuli, kun näin ensimmäisen turvallisuusincidentin kehittyvän. Yhtäkkiä kaikki parhaat käytännöt romahtivat paineen alla. Se oli herätyskelloni.

HP:ssä sain läheltä katsottua kaaosta, ensin kuin tarkkailija, sitten operatiivisena johtajana, nähden kaaoksen lähietäisyydeltä. Jokainen incidentti vahvisti samaa oppia: IT ei koskaan pysy paikallaan, eikä mikään investointi takaa turvallisuutta. Kun lopulta otin Group CISO:n roolin, tiesin, että tehtäväni on rakentaa pelikirja tietomurtojen käsittelemiseksi, ei vain turvallisuustoiminnoille, vaan koko organisaatiolle. Kirja, joka on toistettavissa, ennustettavissa ja pitää liiketoiminnan käynnissä myrskyn iskiessä, samalla kun turvallisuustoimintoja parannetaan jatkuvasti.

Paperilla työkalut näyttivät täydellisiltä. Todellisuudessa IT‑palvelunhallinta paljasti halkeamia, joita et osannut ennakoida. Omaisuudenhallinta, paikkapäivitykset, konfiguraatio, muutokset, riskit – kaikki sotkeutui inhimillisiin virheisiin. Siellä digitaalinen heikkous piilee, ja kun hälytykset soi, sen purkaminen on painajainen. Ei ole skriptiä sotahuoneelle, kun murto iskee. Kaaos on sääntö, ei poikkeus. Siksi olen urani ajan rakentanut rakenteita myrskyn silmässä ja auttanut johtajia leikkaamaan läpi melun ja hallitsemaan riskejä sen sijaan, että ne vetäisivät heitä mukanaan.

Katsoessani taaksepäin olen kiitollinen jokaisesta oppitunnista – katselusta sivurajalta, käden likaamisesta hyökkäysten keskellä ja lopulta johtamisesta eturintamassa. Siksi puolustan läpivientivalmiutta taiteena, ei pelkästään tieteenä. Voit kartoittaa hyökkäyskuvioita koko päivän, mutta tärkeintä on, mitä tapahtuu sotahuoneessa, kun johtajien on pidettävä linja. Tämä selkeys syntyy vain elämällä sen läpi.

Sen vuoksi rakensin läpivientivalmiuskehyksen, jonka avulla organisaatiot voivat ennakoida, kestää ja kehittää kykyään kohdata seuraava kyberhyökkäys. Kehys auttaa organisaatioita liikkumaan myrskyn mukana, ei vastaan sitä. Lopullisena tavoitteena on saavuttaa Koun Ryusui, kuten pilvet leijuvat, vesi virtaa, niin että kun seuraava ennennäkemätön hyökkäys iskee, yritykset eivät kohtaa kaaosta, vaan toimivat rakenteellisen joustavuuden ja resilienssin avulla, hyödyntäen teknologiasijoituksiaan vahvistuakseen ja luottavaisemmiksi.

AI auttaa hyökkääjiä automatisoimaan tiedustelua, haavoittuvuuksien hyväksikäyttöä ja sivuttaisliikettä, mahdollistaen toimien tiivistymisen viikoista tunneiksi tai minuuteiksi. Mitkä perinteisen incident‑response‑mallin osat muuttuvat tehottomiksi, kun hyökkäykset alkavat toimia koneen nopeudella?

Kun hyökkäykset etenevät koneen nopeudella, ne puolustajat, jotka selviävät, ovat ne, jotka pystyvät analysoimaan ja toimimaan nopeammin kuin vastustaja. Kyllä, AI tarjoaa hyökkääjille uusia työkaluja, mutta se vahvistaa myös puolustajia. Kokemukseni mukaan on kaksi tapaa käsitellä näitä ennennäkemättömiä, AI‑voimaisia hyökkäyksiä.

Ensinnäkin on suunniteltava digitaalinen maisema uudelleen. Rakennetaan läpivientivalmiita alueita ja mikrosegmenttejä, jotka erottavat kruunukorut muusta. Ajattele sitä kuin labyrinttia: osa poluista on avoin, osa suljettu, mikä tekee luvattomien identiteettien liikkumisesta vaikeaa. Näin pidät AI‑voimaiset hyökkäykset loitolla hidastamalla niitä, koska labyrintti muuttuu digitaalisten järjestelmien muuttuessa.

Toiseksi tarvitaan mallipohjia, pelikirjoja ja selkeitä rooleja valmiina ennen kuin hälytys soi. Näin kun se tapahtuu, jokainen ihminen ja kone tietävät, mitä pitää tehdä ja missä prioriteetissa. Temppu on ostaa aikaa ja hidastaa AI:ta, pakottaa se tekemään enemmän työtä ja estää helpon liikkumisen. Näin pidät puolustuksesi mukana taistelussa, kun jokainen millisekunti on ratkaiseva.

Kysy keneltä tahansa merimieheltä, joka on selvinnyt sukellusveneessä syntyneestä vuotokohdasta. Kun vesi virtaa sisään, ei ole aikaa arvailla sen seuraavaa liikettä. Olet jo etukäteen vahvistanut oikeat ovet, tietäen, mitä pitää pitää toiminnassa ja missä paine iskee. Kun vuoto tapahtuu, ainoa mahdollinen toimenpide on eristää tulvattu osasto ja pitää aluksen muu osa toiminnassa. Näin suojaat vähimmäistoimivan liiketoimintasi. Digitaalisessa maailmassa se tarkoittaa vähimmäistoimivaa digitaalista yritystä.

Tämä on läpivientivalmiuden ydin. Jos hyökkäys pääsee läpi, eristät vaikutusalueen, käynnistät BCP:n ja pidät koskemattoman ydinliiketoiminnan käynnissä. Ei sammutuksia, ei kriisiä. Vain incident‑hätätilanne.

Kannatat keskustelua läpivientivalmiudesta liiketoiminnan ja talouden näkökulmasta sen sijaan, että käsittelisit sitä pelkästään teknisenä ongelmana. Mitä mittareita hallitusten tulisi käyttää määrittääkseen, voisiko organisaatio jatkaa toimintaansa vakavan kyberhyökkäyksen aikana?

Murrot eivät osu vain järjestelmiisi; ne vaikuttavat kaikkeen ja kaikkiin, jotka niistä riippuvat. Kysy potilasta, jolle on kieltäytynyt sairaalan hoito, matkustajaa, joka on jumiutunut lentokentälle, tai autonmyyjää, jonka velat ovat kertyneet kuukausiksi. Tämä on kyberhyökkäyksen todellinen kustannus. Kyse ei ole “jos”, vaan “milloin”. Siksi hallitusten on tarkasteltava läpivientivalmiutta liiketoiminnan ja talouden pakollisena asiana.

On kaksi mittaria, jotka jokaisen hallituksen tulisi seurata.

Ensinnäkin on määritettävä, kuinka paljon materiaalista vaikutusta hallitus on valmis hyväksymään digitaalisten ja AI‑tavoitteiden saavuttamiseksi. Tämä asettaa rajan sille, kuinka suuri osa digitaalisesta yrityksestäsi on pidettävä toiminnassa murroksen aikana. Kutsun tätä Maximum Acceptable Material Impact (MAMI) – suurimmaksi hyväksyttäväksi materiaaliseksi vaikutukseksi – ja Minimum Viable Digital Enterprise (MVDE) – vähimmäistoimivaksi digitaaliseksi yritykseksi.

Monet sekoittavat MVDE:n ja liiketoiminnan jatkuvuuden, mutta ne eivät ole sama asia. Jos sanot, että alle 10 % vaikutus on hyväksyttävissä, 90 % liiketoiminnastasi on pidettävä käynnissä jopa murroksen aikana. Useimmat liiketoiminnan jatkuvuussuunnitelmat palauttavat enintään 30 % toiminnasta, jättäen 60 % digitaalisesta liiketoiminnasta alttiiksi. Tämä paradoksi pitää johtajat hereillä yöllä.

Jos asetat MVDE:n 70 %:iin, voit vakuuttaa sidosryhmille, että investoit puolustuksiin, jotka pitävät liiketoiminnan käynnissä, vaikka pahin tapaus toteutuisikin, rakentamalla labyrintin, joka on vaikea ihmisten tai AI‑hyökkääjien läpäistä, sekä voiman eristää hyökkäykset koneen nopeudella. Tässä mikrosegmentointi toimii perustavanlaatuisena lego-palikkana. Voit nyt liittää suurimman osan kyberturvallisuusinvestoinneistasi, kuten EDR, palomuurit, SASE, identiteetti (ihmis- ja ei‑ihmis), pääsy, valtuutus ja OT‑kyberturvallisuus, yhteen saumattomasti yhdistettyyn signaalitasoon, jonka SOC voi käyttää aktiivisten murtojen aikana kyberhyökkäysten rajoittamiseen ja MVDE:n eristämiseen.

Seuraa MAMI‑ ja MVDE‑mittareita neljännesvuosittain jokaiselle uudelle digitaaliselle ja AI‑hankkeelle, ja sijoittajasi sekä sidosryhmiesi odotukset kohdistuvat siihen, miten hyvin resilienssiä hallitaan.

“Blast radius” (räjähdysradiaali) on yhä yleisemmin käytetty mittari kyberresilienssin arvioinnissa. Kuinka organisaatio voi laskea mahdollisen räjähdysradiaalin ennen hyökkäystä, ja mikä olisi hyväksyttävä altistustaso?

Blast radius on merkittävä. Erittäin merkittävä.

Mutta se ei ole ainoa mittari, joka merkitsee. Suosittelen aina arvioimaan nykyisen räjähdysradiaalin ensimmäisenä askeleena nollaluottamuksen, läpivientivalmiin yrityksen rakentamisessa. Tarvitset vain Breach Readiness Impact Assessment (BRIA) – ei‑tunkeilevan, API‑pohjaisen analyysin, joka hyödyntää olemassa olevaa EDR:ääsi. OT‑ympäristöissä ja pääjärjestelmissä saatat tarvita agenteja tai laitteita.

Kaikki räjähdysradiaalit eivät ole huonoja. Joskus ne ovat kriittisiä sovellusten suorituskyvyn kannalta. Paholainen piilee yksityiskohdissa. Ota esimerkiksi välimuistipalvelu, joka nopeuttaa tuote‑ ja käyttäjäsessiotietojen hakuja. Se tarvitsee järjestelmä‑järjestelmä‑yhteyksiä verkkokauppa‑alustan ajamiseen, jossa on useita mikroserviceja. Mutta sama räjähdysradiaali muuttuu hyväksikäytöksi, jos luvattomat käyttäjät tai järjestelmät pääsevät siihen käsiksi.

Et voi tarkastella räjähdysradiaalia eristyksissä. Yhdistä se muihin turvallisuuskuviin, kuten käyttäytymispoikkeamiin, pääsyn väärinkäyttöön, oikeuksien kasvamiseen, valtuutuksen ylityksiin ja todennuksen epäonnistumisiin, jotta ymmärrät todella läpivientialtistuksesi. Muista, että se, mikä on hyväksyttävää yhdessä toimialassa, voi olla kohtalokasta toisessa.

Miten läpivientivalmius eroaa perinteisestä incident‑responsesta, katastrofipalautuksesta, liiketoiminnan jatkuvuudesta ja zero‑trust‑ohjelmista, ja missä vastuullisuus näiden osa‑alueiden koordinoinnissa tulisi olla?

Nämä eivät ole erillisiä aiheita; ne ovat toisiinsa kietoutuneita osa‑alueita, jotka on koordinoitava yhden liiketoimintatavoitteen ympärille.

Määrittelen läpivientivalmiuden yritysresilienssin osa‑alueeksi: jatkuva valmistautuminen, arkkitehtuuri, harjoittelu ja hallinta, jonka avulla organisaatio ennakoi hyökkäyksiä, rajoittaa räjähdysradiaalia, ylläpitää Minimum Viable Digital Enterprisea ennalta määritellyn Maximum Acceptable Material Impactin sisällä ja palauttaa kyvykkyyksiä samalla kun hyökkäys on rajoitettu. Läpivientivalmius on zero‑trust‑arkkitehtuurin aseistamista ja määrittelee, mitä on tehtävä ennen, aikana ja jälkeen kyberhyökkäyksen. Läpivientivalmius siirtää kysymyksen “Miten estämme hyökkääjät pääsemästä sisään?” kysymykseen “Miten varmistamme, että tapahtuma ei aiheuta enempää vahinkoa kuin olemme valmiita sietämään, ja kuinka suuri osa liiketoiminnasta voi jatkaa toimintaansa samalla kun reagoimme?” Läpivientivalmius koskee eloonjäämistä, kun incident on vielä käynnissä.

Käsitteellinen hyppy on merkittävä. Eriävät yrityskäytännöt, kuten varmuuskopiointi ja palautus, incident‑response, katastrofipalautus ja liiketoiminnan jatkuvuus, kaikki näyttelevät tärkeitä rooleja läpivientivalmiudessa, koska ne hallitsevat häiriötä. Ne alkavat, kun järjestelmiä hyökätään. Kaikki kolme ohjelmaa – incident‑response, katastrofipalautus ja liiketoiminnan jatkuvuus – keskittyvät kysymykseen “Kuinka nopeasti voimme palauttaa häiriintyneen?”. Läpivientivalmius keskittyy kysymykseen “Kuinka suuri osa siitä voi pysyä alun perin saatavilla?”.

Läpivientivalmius rikkoo siilot varmistaakseen, että kompromissin liiketoimintaseuraukset hallitaan, ja sidosryhmät vakuutetaan keskittymällä siihen, miten suurin osa yrityksestä pidetään “koskemattomana” ja käynnistetään BC/DR kosketetulle osalle. Vastuu ja omistajuus läpivientivalmiudesta on ylimmässä johdossa. CEO/hallitus omistaa riskinsietokyvyn ja hyväksyttävän liiketoimintatuloksen. COO tai vastaava yritysresilienssijohtaja tulisi koordinoida läpivientivalmiutta organisaatiossa, ja CISO omistaa kyberturvallisuuspuolen.

Yrityksille, jotka pyrkivät saavuttamaan Kuon Ryushin tilan, on ratkaisevaa, että koko organisaatio osallistuu teknologian ja AI:n avulla kyberhyökkäyksen vaikutusten hallintaan.

ColorTokens käyttää AI:ta auttaakseen turvallisuustiimejä analysoimaan ympäristöjä ja luomaan mikrosegmentointipolitiikkoja nopeammin. Mihin organisaatiot voivat luottaa AI:n automaattisiin puolustuspäätöksiin, ja mitkä eristystoimenpiteet tulisi edelleen vaatia ihmisen hyväksynnän?

Ehdottomasti. Teemme juuri tätä.

Mutta tehdään selväksi: “AI:n käyttäminen turvallisuustiimien tukena” on vain jäävuoren huippu. ColorTokensissa uskomme AI:n vastuulliseen käyttöön, jotta yritykset olisivat aidosti läpivientivalmiita. Tarina on paljon suurempi kuin “AI tekee mikrosegmentoinnista helpompaa.”

Viimeaikaiset tapaukset, kuten Anthropic, OpenAI, AISI ja jopa Australian kuntosalivarausongelma, ovat arkkitehtuurin, ei hallinnon, epäonnistumisia. Kun autonominen AI pakenee hiekkalaatikostaan, se ei aina ole pahantahtoinen tai epäluotettava. Kyse on siitä, miten arkkitehtuuri on rakennettu. Ihmisten on selvästi määritettävä toimintaympäristö, ja AI:n on pysyttävä sen sisällä. Tässä hallinto astuu kuvaan.

Esimerkiksi voit sallia AI:n eristää kaikki kompromisoituneet päätelaitteet, jos niiden epävarmuusaste ylittää tietyn kynnyksen, paitsi jos ne ovat OT‑turvajärjestelmä, domain‑kontrolleri, maksujärjestelmä tai tuotannonohjauslaite. Tämä on rajoitettu autonomia. Mutta toteutus on haastavaa, koska arkkitehtuurin on oltava kontekstikohtainen ja selkeästi asiantuntijoiden määrittelemä.

Omassa mielipiteessäni ja kokemuksessani yritysten tulisi käyttää AI:ta löytöön, korrelaatioihin, riippuvuuksien kartoitukseen, hyökkäyspolkujen analysointiin, räjähdysradiaalian analyysiin, politiikkasuosituksiin, politiikan syntetisointiin, politiikkasimulaatioon, vähäriskisen politiikan optimointiin, esivalmiin eristykseen ja jatkuvaan vahvistamiseen, ja jättää liiketoimintakriittisyyden, hyväksyttävän häiriön, turvallisuusrajojen, kruunukorujen määrittelyn, OT‑turvallisuusrajoitusten, suurimman hyväksyttävän vaikutuksen, autonomian kynnykset, poikkeuslupien, merkittävän tuotantoeristyksen ja peruuttamattomien toimien päätökset ihmisille.

Yhteenvetona – AI:n tulee saada riittävästi vapautta tehtävänsä suorittamiseen, mutta noudattaen eksplisiittisiä ehtoja, joita infrastruktuuri sen ulkopuolella valvoo. AI:n tulee ehdottaa toimia, odottaa ihmisten hyväksyntää ja sitten toteuttaa muutokset koneen nopeudella. Tavoitteena ei ole tehdä AI:sta itsenäistä, vaan rajoittaa puolustuksellinen autonomia.

ColorTokensissa käytämme AI:ta nopeuttamaan puolustajan ohjauspiiriä, jotta se pysyy hyökkääjien tahdissa. Keskitetty politiikkapäätöksenteko, monipuoliset toteutusmekanismit, rikas telemetria, agentiton suojaus järjestelmille, jotka eivät voi ajaa agenteja, pilvi‑ ja konttituki sekä AI‑avusteinen löytö ja politiikkasynteesi – kaikki nämä ovat osa AI‑avusteista läpivientivalmiutta.

Mikrosegmentointi on ollut konseptina vuosia, mutta organisaatiot yhdistävät sen usein monimutkaisiin käyttöönottoihin ja jäykkiin politiikkoihin. Mitä teknologisesti on muuttunut, että se on nyt käytännöllisempää pilvi‑infrastruktuurissa, Kubernetes‑ympäristöissä, päätelaitteissa, perintöjärjestelmissä ja operatiivisessa teknologiassa?

Useita asioita.

Mitä alun perin pidettiin hienostuneena tavana yhdistää ja hallita verkkoja, varmistaa omistettu yhteys ja kaistanleveys, on kehittynyt perustavanlaatuiseksi kyberturvallisuusominaisuudeksi. Nykyään mikrosegmentointi voi muuttaa suuryritykset läpivientivalmiiksi organisaatioiksi nopeasti ja luottavaisesti. Teknologian muutokset ovat auttaneet meitä pääsemään eroon vanhoista päänsärystä: riippuvuuksien kartoituksesta, verkko‑rajojen uudelleensuunnittelusta, VLAN‑ ja palomuurien konfiguroinnista, käsin kirjoitetuista säännöistä ja liiketoimintaliikenteen katkeamisesta. Segmentointi oli aiemmin hidas, kallis ja rajoittui datakeskuksiin. Ei enää.

Ensinnäkin identiteetti on nyt pääasiallinen kanava kyberhyökkäyksille. Siksi parannettu identiteettihallinta on zero‑trust‑periaatteen ensimmäinen periaate. Modernissa pilviympäristössä IP‑osoitteet ovat turvassa merkityksettömiä. Moderni mikrosegmentointi käyttää identiteettiä, pääsyä, työkuormaa, sovellusta, palvelua ja kontekstia, ei pelkästään verkko‑sijaintia. Turvallisuusraja seuraa identiteettiä, pääsyä ja sovellusta, ei pelkästään taustainfrastruktuuria.

Toiseksi agentiton mikrosegmentointi on nyt laajentunut laitteiden ulkopuolelle. Se suojaa perintöjärjestelmiä, IoT‑laitteita ja OT‑ympäristöjä, jotka eivät voi ajaa agenteja. Moderni mikrosegmentointi integroituu EDR:ään, laajentaen kattavuutta ja lyhentäen käyttöönottoa kuukausista tunneiksi, koska EDR:ssä on jo telemetria, jota mikrosegmentointi tarvitsee.

Lopuksi AI poistaa viimeisen suuren pullonkaulan: kontekstikohtaisen läpivientivalmiin politiikan suunnittelun. AI voi analysoida useita datapisteitä kontekstin osalta, kartoittaa riippuvuuksia ja hyökkäyspolkuja, suositella alueita ja mikrosegmenttipolitiikkoja sekä simuloida niiden vaikutusta ennen toteutusta. Moderni mikrosegmentointi toteuttaa politiikan suoraan päätelaitteissa ja työkuormissa natiivien käyttöjärjestelmäkontrollien avulla. Verkkoa ei enää tarvitse suunnitella uudelleen; mikrosegmentointi on nyt saumaton, ja politiikka seuraa työkuormaa minne tahansa se meneekin.

Tavoitteena ei ole pelkästään estää kaikkia sivuttaisliikkeitä. Tavoitteena on analysoida riittävästi signaaleja koneen nopeudella, jotta kun hyökkääjä pääsee sisään, kompromisoitu työkuorma ei muutu moottoritiellä kaikelle muulle.

Mitä todisteita johtajien tulisi vaatia arvioidessaan mikrosegmentoinnin taloudellista perustelua, erityisesti ransomware‑katkon, kyber‑vakuutusten, sääntelyn ja kriittisten palveluiden ylläpidon osalta?

Mikrosegmentoinnin taloudellinen vaikutus ja sen kyky varmistaa toiminnallisuus murroksen aikana edellyttävät, että johtajat ymmärtävät ensin, että kyberhyökkäykset onnistuvat riippumatta kyberturvallisuusinvestoinneista. Vuonna 2025 ja 2026 organisaatiot, kuten JLR, Nike ja Stryker, kokivat odottamattoman katkoksen. Siksi kyse ei ole “jos” vaan “milloin”.

Kun tämä todellisuus hyväksytään, perustavanlaatuinen läpivientivalmiusinvestointi käy kiireelliseksi ja elintärkeäksi. Jotta investointi olisi viisas, tarkastellaan kahta hallituksen tasolla olevaa indikaattoria tarkemmin.

Ensimmäinen mittari on eloonjäämiskyky. Maximum Acceptable Material Impact (MAMI), jonka ylimmäinen johto ja hallitus ovat valmiita hyväksymään digitaalisen transformaation tai AI‑tavoitteiden osalta. Se voi alkaa liikevaihtolukemana, mutta sen on laajennuttava taloudelliseen elinkelpoisuuteen, asiakasluottamukseen, maineeseen tai brändiin iteroinnin myötä.

Toinen mittari on kilpailuetu. Minimum Viable Digital Enterprise (MVDE), jonka on pysyttävä toiminnassa, vaikka ennennäkemättömät kyberhyökkäykset toteutuisivat. Kaikki uudet aloitteet on otettava huomioon näiden kahden tekijän valossa. MVDE voi alkaa 70 %:sta ja kasvaa sen mukaan, miten identiteetti‑ ja mikrosegmentointiohjelma kehittyy.

Tässä on, mitä johtajien tulisi tarkastella arvioidessaan mikrosegmentointia:

1. Salliko mikrosegmentointialusta yhden alustan datakeskusten, käyttäjien, OT‑järjestelmien ja pilven välillä?
2. Mikä prosenttiosuus yrityksestämme on järjestetty alueiksi ja mikrosegmentteiksi materiaalisen liiketoiminta‑vaikutuksen perusteella edelliseen tarkasteluun verrattuna?
3. Kuinka nopeasti mikrosegmentointiratkaisu voidaan ottaa käyttöön alueilla, mikrosegmentteissä ja hallituissa kanavissa, jotta MVDE pysyy toiminnassa?
4. Voiko mikrosegmentointiratkaisu integroida EDR:n ja käyttää sitä agenttina vähentäen agenttijalanjälkeä?
5. Käyttääkö mikrosegmentointialusta keskustelevaa tekoälyä kontekstikohtaisten sääntöjen ja politiikkojen määrittämiseen?
6. Onko meillä kyky seurata pätevien käyttäjien käyttäytymisen muutoksia sovelluksissa ja rajoittaa poikkeavia käyttäjiä identiteetin perusteella?
7. Voiko havaitsemiseen ja reagointiin kuluva keskimääräinen aika, jossa haitallinen käyttäytyminen eristetään, skaalautua uusien digitaalisten ja AI‑hankkeiden myötä?
8. Voiko mikrosegmentointialusta simuloida ja mallintaa kyberturvallisuus‑skenaarioita vähentääkseen operaatioiden läpivientialtistusta?

Vaikka nämä kattavat suurimman osan käyttötapauksista, sääntelyn osalta on tarpeen laatia yksilöllisiä soveltuvuuslausuntoja kullekin asetukselle, jotka selittävät, mikä osa sääntelystä voidaan täyttää suoraan ColorTokens‑alustalla, mikä vaatii prosessien ympäröimää teknologiaa ja mikä edellyttää lisäteknologiaa ja -prosesseja.

Monet organisaatiot suorittavat penetraatiotestejä ja incident‑response‑harjoituksia, mutta ne eivät välttämättä paljasta, kuinka pitkälle hyökkääjä voi liikkua päästyään sisään. Kuinka yritysten tulisi testata eristystä ja eloonjäämistä realistisissa AI‑kiihdyttämissä hyökkäyksissä?

Jos organisaatiot haluavat omaksua Koun Ryusui -periaatteen läpivientivalmiuden rakentamisessa, niiden on integroitava mikrosegmentointi olemassa oleviin kyberturvallisuustoimintoihin ja kehitettävä sitä ajan myötä. Tämä edellyttää mikrosegmentoinnin signaalien integrointia muihin Security Operations Centerin työkaluihin, kuten SIEM, EDR, Next‑Gen‑Firewalls jne. Näin AI‑voimainen mikrosegmentointi voi orkestroida eristämisen tarvittaessa hyökkäys‑ ja käyttäytymis‑indikaattoreiden perusteella.

Tarvitset siis ei yksittäisiä testejä, vaan harjoituksia, jotka auttavat kehittämään läpivientivalmiuttasi.

Kolme harjoitusta, jos mikrosegmentointisi ja eloonjäämisesi ovat realistisia. Ensimmäinen on nykyisen läpivientivalmiuden tila. Tämä voidaan suorittaa ennen ColorTokens‑käyttöönottoa, politiikkojen käyttöönoton jälkeen ja jokaisen muutoksen yhteydessä, jotta voidaan arvioida, onko muutos muuttanut MAZEn – alueiden, mikrosegmenttien ja hallittujen kanavien suunnittelua, jotka perustuvat materiaaliseen vaikutukseen.

Toinen on nopeus, jolla voit eristää kyberhyökkäykset todellisessa murrossa. Keskeisiä testattavia parametreja ovat havaitsemisen tarkkuus ja MVDE‑eristyksen ja -erottelun nopeus AI:n avulla. Tämä voidaan toteuttaa penetraatiotesteillä, punaisen tiimin harjoituksilla ja murto‑simulaatioilla. Testit tulisi tehdä ilman ilmoitusta Security Operations Centerille, jotta voidaan tarkistaa niiden reagointi muuttuviin murto‑parametreihin.

Kolmas on se, miten organisaatiosi reagoi todellisessa murto‑tilanteessa. Ennen harjoituksia varmista, että “läpivientivalmius‑pelikirjat” on viestitty kaikille sisäisille sidosryhmille, tekniselle tukihenkilöstölle, kolmansille osapuolille ja ylläpitäjille, erityisesti omaisuuden omistajille ja OT‑järjestelmäintegraattoreille. Suorita sitten simuloituja harjoituksia ennen punaisen tiimin arviointia, jotta saadaan realistinen kokemus.

Kun yritykset ottavat käyttöön enemmän autonomisia AI‑agentteja, joilla on pääsy sovelluksiin, dataan, tunnuksiin ja infrastruktuuriin, miten läpivientivalmius on kehitettävä kattamaan paitsi kompromisoituneet ihmistilit ja laitteet, myös kompromisoituneet tai väärin toimivat AI‑agentit?

Läpivientivalmius on kehitettävä siten, että se ei enää rajoitu ihmistileihin ja -laitteisiin, vaan käsittelee autonomisia AI‑agentteja erillisenä, korkean nopeuden ei‑ihmisen identiteettinä (NHI), joka voi toimia laillisin tunnuksin koneen nopeudella. Haaste kuulostaa merkittävältä paperilla, koska NHI‑identiteettejä arvioidaan olevan vähintään 250‑kertainen ihmisten määrään nykyisten arvioiden mukaan.

Agentit rikkovat perinteisiä käyttäjä‑, laite‑ ja staattisia palvelutili‑pohjaisia kontrolli­mekanismeja. Ne pitävät elävää pääsyä sovelluksiin, dataan, tunnuksiin ja infrastruktuuriin; ne päättävät ja ketjuttavat toimintoja jatkuvasti; ja ne voivat tulla kompromisoiduiksi prompt‑injektion, työkalujen myrkytyksen, muistin manipuloinnin, toimitusketjuongelmien tai yksinkertaisen virheasennuksen kautta. Kun ne käyttäytyvät väärin tai otetaan haltuun, räjähdysradiaali laajenee nopeammin kuin ihmisten nopeudella tapahtuva reagointi pystyy vastaamaan. Murto‑vastauksen ei voi odottaa täydellistä varmuutta tai monitiimi‑eskalaatiota, joten kovennus‑ ja automaattiset, ennalta‑hyväksytyt perus‑vastaukset ovat pakollisia.

Kun autonomisia AI‑agentteja otetaan käyttöön, läpivientivalmius tarvitsee identiteetin ensisijaisena ohjaus­tasona, laajentaa Zero Trustia “Agent Trust” –malliin, hallita suojakaaria, muistin suojausta ja hallintahygieniaa, siirtyä ennalta‑hyväksyttyyn kitkaan ja automatisoituun eristämiseen sekä integroida mikrosegmentointi ja arkkitehtoninen eristys eristämiseksi, yhdessä Runtime‑näkyvyyden, käyttäytymis‑perustason ja sekvenssien tunnistuksen kanssa.

Läpivientivalmius siirtyy kysymykseen “voimmeko palautua salauksen jälkeen?” kohti “voimmeko eristää autonomisen toimijan, jolla on lailliset tunnukset, ennen kuin se leviää?” Läpivientivalmiuden indikaattoreihin tulisi sisällyttää aika‑ymmärrys (mikä agentti, mitä toimia, mitä dataa/järjestelmiä kosketettiin, onko toiminta käynnissä) ja aika‑kitka erityisesti agenteille. ColorTokens‑alusta voi nopeasti löytää riippuvuuksia, luoda ja tarkentaa politiikkoja sekä toteuttaa eristämisen, erityisesti AI:n tukemana politiikan automaatiolla, ja se on keskeinen nopeuden ylläpitämisessä. Tässä mallissa priorisoimme eristämisen, eristämisen ja vähimmän oikeudenmukaisuuden täydellisen eston sijaan.

ColorTokens‑mikrosegmentointialusta laajentaa identiteetin, jatkuvan vahvistuksen, mikrosegmentoinnin, käyttäytymis‑seurannan ja ennalta‑hyväksytyn eristämisen agenttikerrokseen, mikä pitää räjähdysradiaalin hallittavana ja säilyttää operatiivisen jatkuvuuden. Tarvittava puolustuksellinen allekirjoitus on sama, jonka koneen‑nopeus‑ransomware vaatii: äärimmäinen ymmärtämisen ja kitkan nopeus, perustuen oletus‑murto‑arkkitehtuuriin sen sijaan, että luotaisiin toivo, että agentit pysyvät aina linjassa.

Kiitos erinomaisesta haastattelusta, lukijat, jotka haluavat oppia lisää, kannattaa vierailla ColorTokens.