Mark Fetches, Spinnaker Supportin CTO – Haastattelusarja

Mark Fetches on Spinnaker Supportin EMEA-alueen teknologiajohtaja, jossa hän neuvoo yrityksiä teknologiakäytännöistä, tietoturvariskien hallinnasta, pilvipalveluista, tekoälystä ja laajamittaisista muutoksista. Yli 30 vuoden konsultointikokemuksella Accenturelta, Deloittelta ja PwC:ltä Mark on työskennellyt läheisesti C-ryhmän johtajien ja hallitusten kanssa modernisoidakseen monimutkaisia yritysmaailmoja ja linjatakseen teknologiaan liittyvät päätökset pitkän aikavälin liiketoimintatavoitteiden mukaisesti. UK:ssa sijaitseva Mark erikoistuu auttamaan yrityksiä navigoimaan perinteisen teknologian haasteiden, operatiivisten riskien ja digitaalisen muutoksen kanssa käytännönläheisellä, liiketoimintakeskeisellä ohjauksella.

Spinnaker Support on johtava kolmannen osapuolen ohjelmistotuen, hallitun palvelun ja tietoturvakonsultoinnin tarjoaja yrityksille, jotka käyttävät Oraclea, SAP:ia, JD Edwardsia ja muita kriittisiä alustoja.

Olet viettänyt yli 20 vuotta neuvomassa yrityksiä Accenturella, Deloittellassa ja PwC:llä ennen kuin tulit Spinnaker Supportin CTO:ksi. Katsottaessa takaisin tähän matkaan, mitkä ovat suurimmat väärinkäsitykset, joita johtajat ovat jatkuvasti olleet teknologisen riskin suhteen, ja miten tekoälyn nousu on muuttanut näitä keskusteluja?

Luulen, että suurin väärinkäsitys on aina ollut se, että teknologinen riski on jotain, joka voidaan hallita erillään liiketoiminnasta. En ole koskaan nähnyt sitä sellaisena.

Suurin osa vakavista riskeistä, joita olen nähnyt, johtuu johtamispäätöksistä. Miten paljon monimutkaisuutta sallitaan. Miten paljon riippuvuutta vanhoista alustoista tai avaintoimittajista. Miten paljon painostetaan nopeutta. Onko liiketoiminta todella luottavainen siihen dataan, jota se käyttää. Teknologia on se, missä nämä päätökset toteutuvat, mutta se ei välttämättä ole se, mistä ne alkavat.

Näin ollen, mitä tekoäly on muuttanut, on huomion taso. Nämä keskustelut olivat aikaisemmin syvemmin organisaatiossa. Nyt ne ovat keskellä johtoryhmän keskusteluja kasvusta, luottamuksesta, tuottavuudesta ja brändistä. Tämä on hyvin positiivista. Mutta se on myös tuonut uuden yksinkertaisuuden, joka on tekoälymallin käyttöön liittyvä riski. Yleensä se on laajempi kuin se.

Joten, jos minun on summittainen, sanon, että teknologinen riski ei ole koskaan ollut pelkästään teknologian itse asiassa. Se on aina ollut johtamispäätösten heijastuma. Tekoäly on vain tehnyt sen vaikeammaksi ignoreerata.

Tietoturmiin erikoistuneet tiimit ovat nyt saaneet enemmän haavoittuvuustietoa kuin koskaan aiemmin, mutta yritykset jatkavat kamppailua priorisoinnin kanssa. Miksi uskot, että alan ongelma on enemmän signaali-melun ongelma kuin havaitsemisen ongelma?

Vastaisin yksinkertaisesti, että alan ongelma ei ole haavoittuvuustiedon puute. Se on selkeys.

Suurin osa tietoturmiin erikoistuneista tiimeistä on jo tarpeeksi paljon syötettä, skannauslähtöä, uhkien tiedustelua, vakavuusarvioita, korjausneuvontaa, hyökkäysraportointia. Ongelma ei ole siinä, voivatko he löytää heikkouksia. Se on siinä, voivatko he erottaa ne, jotka voivat vahingoittaa liiketoimintaa, niistä, jotka ovat teknisesti mielenkiintoisia, mutta vähemmän merkittäviä.

Tämä on siis signaali-melun ongelma. Havaitseminen on parantunut merkittävästi. Mitä ei ole kehittynyt, on kyky soveltaa kontekstia. Haavoittuvuus muuttuu todelliseksi prioriteetiksi vasta, kun ymmärretään, missä se sijaitsee, miten paljon se on altis, miten kriittinen kyseinen varasto on, mitkä korvaavat valvontamekanismit ovat olemassa, ja mitkä liiketoiminnan vaikutukset olisivat, jos se hyödyttäisiin.

Monet tietoturva-alalla toimivat yritykset väittävät, että tekoäly voi automaattisesti priorisoida haavoittuvuuksia ja ennustaa uhkia. Missä näet kuilun markkinointikertomuksen ja siitä, mitä tekoäly voi realistisesti toimittaa nykyisin yritysmaailmassa?

Luulen, että helpoin tapa sanoa se on, että markkinointi lupaa tietyn tason varmuutta, jota todelliset yritysmaailmat eivät voi sallia.

Usein tekoälyä kuvataan sellaisena, joka voi kohota melun yläpuolelle, ottaa kaiken tiedon, ja luotettavasti kertoa tietoturmiin tiimille, mitä on tärkeintä ja mitä voi tapahtua seuraavaksi. Se on viehättävä tarjous, koska jokainen tietoturva-johtaja haluaa vähemmän melua ja enemmän varmuutta. Mutta kerran kun pääset suuren organisaation sisään, asiat eivät ole koskaan yksinkertaisia.

Tekoäly voi ehdottomasti auttaa. Se voi vetää yhteen kuvioita, vähentää manuaalista lajittelua, korostaa poikkeamia ja auttaa tiimejä käsittelemään tietoja, joita muuten olisi vaikea hallita, ja se on todellista arvoa. Mutta on ero siinä, mitä tekoäly voi ja mitä se ei voi.

Se, mitä tekoäly ei voi tehdä, on korvata ihmisen arvion tarve. Se ei voi kertoa, mitä liiketoiminnalle pitäisi eniten välittää, mitä toimia tulisi tehdä, ja mitkä seuraukset olisivat, jos järjestelmä ajautuu väärään suuntaan.

Spinnaker Support työskentelee laajasti Oraclen, SAP:n ja JD Edwardsin käyttöönottojen parissa. Mitä tekee erittäin mukautettujen ERP-ympäristöjen erityisen haasteelliseksi tekoälyohjattujen tietoturva-työkalujen ymmärtämiseksi ja arvioimiseksi?

Mikä tekee näiden ympäristöjen haasteelliseksi, on se, että ne eivät enää käytössä ole standardisoituneita ohjelmistoja, joita tekoäly on opetettu tunnistamaan. Ne ovat enemmän kuin vain tietokoneohjelma; ne ovat kuin yrityksen toimintatapa.

Olen nähnyt, että useat tekoälyohjattujen tietoturva-työkalut eivät pysty ymmärtämään näitä mukautettuja ympäristöjä. Ne ovat liian monimutkaisia, ja niissä on liian paljon poikkeuksia ja sopeutumia, joita tekoäly ei voi helposti ymmärtää.

Yksi keskeinen argumenttisi on, että ihmisten asiantuntemus ei ole pullonkaula, joka tulisi poistaa, vaan se on olennainen osa tietoturva-prosessia. Voitko jakaa esimerkkejä, joissa ihmisten arvio ja tietämys ovat tunnistaneet riskejä, joita tekoälyohjattu priorisointi olisi mahdollisesti ohittanut?

Kyllä, ehdottomasti. Ja minulle tämä on se, missä tekoälyohjatun priorisoinnin rajoitukset tulevat ilmi.

Jotkut riskit ovat merkityksellisiä vain, kun tiedät ympäristön tarpeeksi hyvin ymmärtääksesi, mitä niiden takana on. Järjestelmä saattaa näyttää tärkeältä ulkoapäin, mutta jos tiedät, että se tukee palkanmaksua, neljännesvuosiraportointia, haurasta integraatiota tai liiketoimintaprosessia, jota yritys ei voi keskeyttää, se on eri asia.

Monet yritykset keskittyvät edelleen haavoittuvuusluokituksiin ja -lukuihin. Miksi uskot, että todellinen altistumisen hallinta edellyttää laajempaa näkemystä, joka kattaa korvaavat valvontamekanismit, pääsyrajoitukset, järjestelmäarkkitehtuuri ja liiketoimintakonteksti?

Se edellyttää laajempaa näkemystä, koska yksittäinen luku ei kerro paljoa siitä, missä todellinen riski on.

Vakavuusarviot ja haavoittuvuusluvut ovat tärkeitä. Ne auttavat kokoamisessa ja järjestyksessä. Mutta ne eivät kerro altistumisesta. Haavoittuvuus voi näyttää vakavalta teoriassa, mutta se on suhteellisen hyvin rajattu käytännössä. Jos pääsy järjestelmään on tiukasti rajoitettu, jos siinä on muita korvaavia valvontamekanismeja, jos se sijaitsee ympäristössä, joka on vaikea tavoittaa, todellinen riski voi olla erilainen kuin mitä alkuperäinen arvio antaa ymmärtää.

Yritysmaailma on siirtymässä merkittävään muutokseen, kun yritykset modernisoidaan perinteisiä järjestelmiä ja samaan aikaan otetaan käyttöön tekoälytekniikoita. Mitä odotat tulevaisuuden suhteen seuraavien 3-5 vuoden aikana, ja mitä teknologia-johtajien tulisi valmistautua tänään?

Luulen, että seuraavat 3-5 vuotta ovat ratkaisevia.

Pääasiassa, koska yritykset yrittävät modernisoida vanhoja yritysjärjestelmiä samaan aikaan, kun he ottavat tekoälyn mukaan, ja kumpikaan näistä ei ole helppoa itsessään. Tekoäly muuttuu osaksi liiketoiminnan normaalia toimintaa, ja se tulee vaikuttamaan työprosesseihin, tukipalveluihin, kehitykseen, tietoturvaoperaatioihin ja alustojen hallintaan.

Ja kun se tapahtuu, tietoturva-keskustelu tulee olemaan vakavampi. Et vain kysy, onko työkalu hyödyllinen, vaan mitä se voi tavoittaa, mihin se voi vaikuttaa, mille datalle se syötetään, ja mitkä seuraukset ovat, jos se menee väärään suuntaan.

Uskon, että organisaatiot, jotka hallitsevat tämän hyvin, ovat niitä, jotka lopettavat käsittelyn tekoälyn, tietoturvan ja alustojen modernisoinnin erillisinä työnkulkuina. Ne ovat yhä enemmän samaa keskustelua.

Ja jos oletetaan, että teknologia-johtajat neuvotaan nyt, aloittaisin näkyvyydellä. Tarvitaan selkeämpi käsitys siitä, mitä on, miten se liittyy toisiinsa, kuka pääsee mihin, mihin herkkä data liikkuu, ja missä ovat todelliset valvontapisteet. Ilman tätä, tekoälylle lisääminen vain lisää epätietoisuutta.

Sitten on hallinto, mutta ei pelkästään ulkoisesti. Todelliset päätökset. Missä voidaan käyttää tekoälyä? Missä ihmisen tarkastus on edelleen tarpeen? Miten tulokset tarkistetaan? Mikä data on estetty? Kuka omistaa seuraukset, jos järjestelmä ajautuu väärään suuntaan? Nämä kysymykset vaativat vastausta nyt, ei myöhemmin.

Ja rehellisesti, yksinkertaisuus on tärkeämpää, kuin moni haluaa myöntää. Mitä monimutkaisempi järjestelmä on, sitä vaikeampaa on turvata, sitä vaikeampaa on modernisoida, ja sitä vaikeampaa on käyttää tekoälyä ilman, että luot uutta epätietoisuutta.

Sitten on ihmisten puoli. Paremmat organisaatiot ovat niitä, jotka tietävät, miten yhdistää automaation ja arvion. Ne eivät vain kuluta tekoälytuloksia, koska ne ovat nopeita tai kiillottuja. Ne haastavat niitä. Testaavat ne. Työntävät takaisin, kun tarpeen.

Joten, kyllä, seuraavien vuosien aikana tekoäly, tietoturva ja yritysjärjestelmät tulevat olemaan yhä tiukemmin kytköksissä toisiinsa.

Ja uskon, että Spinnaker Support on hyvä paikka aloittaa.