Mark Nicholson, Deloitten US-sybermodernisointijohtaja – Haastattelusarja: Paluu keskusteluun

Mark Nicholson, Deloitten US-sybermodernisointijohtaja, on Deloitten johtaja, jolla on yli kaksi vuosikymmentä kokemusta kyberturvallisuuden, tekoälyn ja yritysriskin risteyksessä. Hän johtaa Cyber AI -aloitteita ja Deloitten kyberturva-alan kaupallista strategiaa, jossa autetaan suuria organisaatioita modernisoimaan turvallisuuskehyksiään ja kohdistamaan kyberturvaan liittyviä investointeja muuttuviin riskimaisemiin. Ennen Deloittea hän perusti ja toimi Vigilant Inc. -tietoturvakonsultointiyhtiön toimitusjohtajana, joka keskittyi uhka-analyysiin ja pahantahtoisten tapahtumien seurantaan. Hänen aikaisempi uransa myynti- ja liiketoimintakehitystehtävissä useissa teknologiayrityksissä antoi vahvan perustan sekä teknisille että kaupallisille kyberturva-aspekteille.

Deloitte on yksi maailman suurimmista ammattipalveluyrityksistä, joka tarjoaa tilintarkastus-, konsultointi-, verotuksen ja neuvonnan palveluita organisaatioille lähes jokaisella alalla. Sen kyberturva-alan keskittyy auttamaan yrityksiä navigoimaan yhä monimutkaisemmissa uhkaympäristöissä ja mahdollistamaan digitaalisen muutoksen kautta tekniikoita, kuten tekoälyä. Yritys tarjoaa palveluita, jotka kattavat kyberturvastrategian, palautumisen, riskien hallinnan ja yrityksen turvallisuuden, asettamalla kyberturvan sekä suojamuuri- että strategisen innovaation ja kasvun edistäjäksi.

Tämä seuraa aiempaa haastattelua, joka julkaistiin vuonna 2025.

Olet ollut mukana tietoturva-alalla modernin uhkien seurannan alkuvaiheista lähtien, mukaan lukien Vigilantin perustaminen ja varhaisen Security Information and Event Management (SIEM) – ja uhka-analyysikapasiteettien markkinoille tuominen. Miten kehitys näistä varhaisista seurantajärjestelmistä nykyisiin tekoälyohjattuihin kyberturva-alustoihin on muuttanut organisaatioiden tapaa havaita ja reagoida uhkiin?

Kun aloimme rakentamaan seurantajärjestelmiä SIEM:n alkuvaiheessa, keskeinen haaste oli saada data yhteen paikkaan ja antaa sille merkitys. Muistan, kun analyytikot tulostivat palomuurin lokit joka aamu ja tarkastivat ne manuaalisesti etsimään poikkeamia. Vaikka SIEM kypsyi, siinä oli mittakaavaongelma. Ihmisen nopeus ei ollut vertailukelpoinen havaittujen tapahtumien valtavaan määrään nähden. Automaation käytöstä huolimatta kyberturva-asiantuntijat kärsivät edelleen datan yhdistämisen ja analytiikan ongelmista, jolloin he joutuivat jatkuvasti luomaan uusia sääntöjä usein seurantavirheiden jälkeen.

Toive on, että tekoäly muuttaa dynamiikkaa perustavanlaatuisesti. Tekoälyn agenteja voidaan käyttää automaattisesti turvallisuuden tason 1 toimintoja, ja tekoäly lupaa auttaa siirtymään havainnosta ja reagoinnista “jälkikäteen” lähemmäs “samanaikaisesti” dynaamisen koneoppimisen avulla. Joissakin tapauksissa kyberturvaorganisaatiot voivat myös antaa tekoälylle valtuudet aloittaa korjaavat toimet.

Haaste ei kuitenkaan poistu, vaan siirtyy. Kun järjestelmät muuttuvat autonomisemmiksi ja monimutkaisemmiksi, luottamus ja havainnointi muodostuvat taistelukentäksi: Mitä järjestelmä tekee, miksi se tekee sen, ja miten tiedämme, ettei sitä ole manipuloitu? Tekoälyn mahdollisuus on valtava, mutta se myös korottaa panoksia, kun ympäristö toimii koneen nopeudella.

Olet maininnut, että tekoäly mahdollistaa vihollisille automaattisen tiedustelun, hyökkäyskeinojen kehittämisen ja hyökkäyskierron nopeuttamisen. Kuinka paljon tekoäly on puristanut aikaa haavoittuvuuden löytymisen ja hyödyntämisen välillä?

Historiallisesti oli usein ikkuna haavoittuvuuden löytymisen ja hyödyntämisen välillä. Siinä oli varmasti kiire, mutta yleensä, ellei ollut kyse nollapäivästä, oli aikaa ymmärtää uhka, korjata ja lieventää ennen kuin hyökkääjä pystyi käyttämään hyökkäyskeinoja laajamittaisesti. Tekoäly on käytännössä poistanut tämän ikkunan.

Vihamiehet voivat automatisoida tiedustelun, jatkuvasti skannata altistumista ja käyttää tekoälykäyttöisiä työkaluja nopeuttamaan osia hyökkäyskierrosta. Monissa tapauksissa se, mitä aiemmin kestäisi viikkoja, voidaan tiivistää tunteihin, ja erittäin automatisoiduissa skenaarioissa se voi olla nopeampaa kuin useimmat turvallisuusohjelmat ovat suunniteltu käsittelemään.

Päättely on yksinkertainen: Turvallisuusjoukkueiden on oltava automaatio ja tekoäly puolustuksen puolella, yhdistettynä vahvoihin ohjaukseen, jos he haluavat pysyä vauhdissa.

Kyberturva-asiantuntijat siirtymässä yhä enemmän “ihmisen silmä” -valvontamalleista “ihmisen silmä” -valvontamalleihin. Miltä tämä siirtyminen näyttää toiminnallisesti modernissa Turvallisuustoiminnan keskuksessa (SOC), ja miten organisaatioiden tulisi uudelleenarvioida analyytikkojen rooleja, kun tekoäly ottaa haltuunsa autonomisemman tehtävän?

Perinteisessä SOC:ssa analyytikot istuvat jokaisen päätöksenteon keskipisteenä. Hälytykset tulevat, analyytikot priorisoivat niitä, tutkivat niitä ja päättävät, mitä toimia tulisi tehdä. Tämä lähestymistapa toimi, kun hälytysten määrä ja hyökkäysten tahti olivat hallittavissa. Mutta nykyisessä ympäristössä toiminnan määrä on yksinkertaisesti liian suuri ihmisten toimimiseen jokaisen päätöksenteon portaalina.

Siirtyminen “ihmisen silmä” -valvontamalliin tarkoittaa, että tekoälyjärjestelmät voivat suorittaa monia niistä rutiinitehtävistä, joita analyytikot aiemmin käsitelivät, kuten hälytysten priorisointi, kontekstin kerääminen, tietojen yhdistäminen ja joitain korjaustoimia. Ihmisen rooli muuttuu valvontaksi ja vahvistamiseksi manuaalisen suorittamisen sijaan.

Toiminnallisesti tämä siirtää analyytikoiden aikaa “hälytysjauhamisesta” poispäin ja kohti arvokkaampaa työtä, kuten uhkaaja-metsästystä, havainto-tekniikkaa, vihollisen simulaatiota ja puolustusarkkitehtuurin parantamista. Ihmiset ovat edelleen olennaisia, mutta heidän roolinsa kehittyy valvontaan, arvostelukykyyn ja strategiaan suorittamisen sijaan.

Kuulemme paljon “Turvallinen tekoäly suunnittelussa” -konseptista. Miksi tämä konsepti tarvitsee laajentua malliturvallisuuden ulkopuolelle tunnistamisjärjestelmiin, käyttöoikeusarkkitehtuuriin ja orkesterointikerroksiin?

Monet keskustelut turvallisesta tekoälystä keskittyvät voimakkaasti itse malliin, kuten koulutusdatan suojaamiseen, mallin myrkyttämisen estämiseen tai käskyjen estoimien hyökkäyksiin. Nämä ovat todellisia ongelmia, mutta ne ovat vain osa riskiä.

Käytännössä tekoälyjärjestelmät toimivat osana laajempia digitaalisia ekosysteemejä. Ne pääsevät käsiksi tietoihin, vuorovaikuttavat API:en kanssa, laukaisevat työnkulkuja ja toimivat yhä useammin agenteina, jotka voivat toimia jonkin verran autonomisesti.

Kun tämä tapahtuu, tunnistus ja käyttöoikeudet muodostuvat valvontatilaksi. Tekoälyagentit ovat käytännössä uusia digitaalisia identiteettejä yrityksessä. Jos näitä identiteettejä ei hallita asianmukaisesti, ne voivat aiheuttaa merkittäviä riskejä.

Turvallinen tekoäly suunnittelussa vaatii siis laajentumista tunnistushallintaan, pääsyohjausjärjestelmiin, orkesterointikerroksiin ja seurantajärjestelmiin, jotka seuraavat sitä, mitä nämä agentit tekevät. Organisaatioiden on kohdeltava tekoälyagentteja samalla tavalla kuin ihmisiä, määriteltyjen käyttöoikeuksien, tarkastus- ja valvonnan kanssa, muuten hyökkäyspinta-ala laajenee nopeasti.

Monet yritykset lisäävät tekoälytyökaluja perinteisiin turvallisuustyönkulkuihin, jotka on suunniteltu ihmisen nopeudelle. Mitkä ovat suurimmat arkkitehtuuriset muutokset, joita organisaatioiden on tehtävä hyödyntääkseen tekoälyä kyberturvassa?

Yleinen malli on kiinnittää tekoäly perinteisiin prosesseihin ja työnkulkuihin, jotka on suunniteltu ihmisten toimimaan. Se ei ole huonoin lähestymistapa, erityisesti kun tietokoneen näkö on tullut todelliseksi. Esimerkiksi Deloitte on luonut agentin, joka voidaan kouluttaa korvaamaan ihminen identiteetin hallinnassa ja hallinnassa ilman vanhojen tarkoitukseen tehtyjen ohjelmistojen hylkäämistä, mikä voi johtaa dramaattisiin kustannussäästöihin.

Tulevaisuuden hyöty on kuitenkin, että yritykset todennäköisesti alkavat uudelleenarvioida turvallisuustyönkulkua alusta alkaen: modernisoida datan perusta, jotta turvallisuustyökalut voivat luotettavasti päästä korkealaatuiseen, hyvin järjestettyyn telemetriaan; rakentaa orkesterointi, jotta havainto-, reagointi- ja identiteettitoiminnot toimivat koordinoituna järjestelmänä, ei erillisenä työkaluna.

Identiteetti säilyy yhtenä kriittisimmistä valvontatoimista. Kun enemmän automaatiota ja tekoälyagentteja otetaan käyttöön, ei-ihmisten identiteettien määrä kasvaa merkittävästi. Nämä identiteetit vaativat tehokasta hallintaa pysyäkseen hallinnassa.

Tekoälykäyttöinen turvallisuus on lopulta paremman datan, paremman orkesteroinnin ja hallinnan yhdistelmä, joka ottaa huomioon sekä ihmisten että koneiden toimijat.

Kun tekoälyjärjestelmät muuttuvat autonomisemmiksi, hyökkäyspinta laajenee alueille, kuten agenttien orkesterointiin, API-ketjuihin ja automaattisiin päätöksentekoprosesseihin. Mikä näistä uusista pinnoista huolestuttaa sinua eniten?

Jos minun on valittava yksi alue, joka ansaitsee välittömän huomion, se on identiteetin ja tietojen pääsyoikeuksien hallinta agenttiohjattuissa järjestelmissä.

Kun organisaatiot ottavat käyttöön enemmän agenteja, ne luovat kasvavan määrän autonomisia toimijoita, jotka toimivat yrityksen sisällä. Nämä agentit voivat päästä käsiksi tietoihin, API:hin ja työnkulkuihin, jotka ovat erittäin voimakkaita, ja se tekee niistä houkuttelevan reitin hyökkääjälle, jos pääsyoikeudet eivät ole suunniteltu, seurattu ja tarkastettu tiukasti. On tärkeää kohdella jokaista agenttia samalla tavalla kuin uutta työntekijää: nimeäminen, kohdistaminen, seuranta ja nopea kytkentä pois, jos tarpeen.

API-ketjut ja automaattiset päätöksentekoprosessit aiheuttavat myös riskejä, mutta identiteetin hallinta on usein perustava valvonta. Jos et voi selvästi vastata, kuka agentti on, mitä se voi koskea ja mitä se on tehnyt, et todella hallitse sitä.

Johtajan näkökulmasta, miten johtajat ja hallitukset ajattelevat tekoälyohjattua kyberturvariskiä, ja missä näet suurimman aukon teknisen todellisuuden ja hallituksen ymmärtämisen välillä?

Hallitukset ovat yhä enemmän tietoisia siitä, että vaikka tekoäly tuo valtavan mahdollisuuden, se voi myös tuoda merkittävän riskin. Useimmat johtajat ymmärtävät, että tekoäly muovaa liiketoimintaa, ja he alkavat kysyä kysymyksiä hallinnosta, turvallisuudesta ja palautumisvalmiudesta.

Aukko ilmenee usein nopeuden ja monimutkaisuuden vuoksi. Monet hallituksen keskustelut ovat edelleen perinteisiä kyberturva-kehyksiä, jotka ovat edelleen tärkeitä, mutta ne eivät aina heijasta, kuinka nopeasti tekoälyohjatut uhkat voivat kehittyä ja laajentua.

Toinen yhteys on, että “Onko tekoälymme turvallinen?” kuulostaa yksinkertaiselta kysymykseltä, mutta vastaus elää datan hallinnassa, mallin eheys, identiteetin hallinta ja orkesterointi useiden järjestelmien yli. Hallitukset, jotka sulkevat aukon, ajavat valvontaraportointia, joka tekee nämä liikkuvat osat näkyviksi ja testattaviksi, ja investoivat aikaa rakentamaan johtajien perehtymistä, jotta valvonta pysyy vauhdissa teknologian kanssa.

Tekoälyä käytetään yhä enemmän molemmin puolin taistelukenttää. Olemme kohtaamassa pysyvän tekoäly vs. tekoäly -kyberturvasotaa, ja jos niin, mitkä edut puolustajilla on, joita hyökkääjät saattavat käydä toistamaan?

Me olemme selvästi aikakaudella, jossa tekoälyä käytetään sekä hyökkääjien että puolustajien toimissa. Viholliset soveltavat jo tekoälyä nopeuttamaan tiedustelua, tunnistamaan haavoittuvuuksia ja automatisoimaan osia hyökkäyskierrosta. Mutta puolustajilla on edelleen todellisia etuja, jos he valitsevat niiden käytön.

Puolustajat ovat tietoisia oman ympäristönsä toiminnasta, pääsevät käsiksi sisäisiin telemetriaan ja pystyvät rakentamaan kerroksellisia arkkitehtuureja, joita hyökkääjien on selvitettävä. Tekoäly voi auttaa puolustajia analysoimaan valtavat määrät tietoa verkostoissa, päätepisteissä ja identiteeteissä, antaen heille potentiaalin havaita epätavallista käyttäytymistä paljon aikaisemmin.

Ongelma on, että puolustajien on otettava tekoäly käyttöön vahvan hallinnan kanssa, muuten ne, jotka pysyvät kiinni manuaalisissa työnkuluissa, kun hyökkääjät automatisoivat, saattavat joutua epäedulliseen asemaan. Aseiden kilpailu on todellinen, ja voittajat ovat ne, jotka käyttävät tekoälyä vahvan hallinnan kanssa, eivät ne, jotka ainoastaan kokeilevat sitä.

Teidän työssänne, jossa neuvottelette suuria yrityksiä, mitkä ovat yleisimmät virheet, joita organisaatiot tekevät, kun yrittävät integroida tekoälyä kyberturvastrategiaansa?

Yksi yleisin virhe, jonka näen, on kohdella tekoälyä erillisenä työkaluna sen sijaan, että se olisi arkkitehtoninen muutos. Tiimit suorittavat erillisiä kokeiluja ilman dataperustan, hallintamallin tai toimintoprosessien päivittämistä, mikä vaaditaan kestävän vaikutuksen saavuttamiseksi, johtaen tulosten tasapainoon.

Toinen virhe on tekoälykykyjen käyttöönotto ilman, että otetaan täysin huomioon uudet riskit: uudet identiteetit, uudet datakuljetukset ja automaattiset päätöksentekoprosessit, jotka laajentavat hyökkäyspintaa. Jos nämä liitetään ilman oikeita valvontatoimia, tekoäly voi lisätä haavoittuvuutta sen sijaan, että se parantaisi kestävyyttä.

Lopulta monet organisaatiot aliarvioivat työvoiman sitouttamisen merkitystä. Käytännön työntekijät, jotka pyörittävät turvallisuustoimintoja joka päivä, tietävät, missä kitka on ja mitä “hyvä” tarkoittaa. Vahvimmat muutokset tuovat nämä tiimit mukaan aikaisessa vaiheessa, jotta teknologia vahvistaa heidän arvostelukykyään sen sijaan, että se häiritsisi sitä.

Katsoen eteenpäin kolmeen tai viiteen vuoteen, miltä tekoälykäyttöinen turvallisuustoiminnan keskus näyttää verrattuna nykyisiin SOC-ympäristöihin?

Se todennäköisesti näyttää paljon erilaiselta monilla tavoilla, joita en voi ennustaa. Luultavasti tulevaisuuden SOC toimii hybridinä ihmisen ja digitaalisen työvoimana. Tekoälyjärjestelmät käsittelevät suurimman osan datakäsittelystä, korrelaatiosta ja alkuperäisestä reagoinnista. Agenteille avustavia järjestelmiä voidaan käyttää automatisoimaan työnkulkuja haavoittuvuuden hallinnassa, identiteetin hallinnassa, vastetoimissa ja jatkuvassa valvonnassa.

Ihmisanalyytikot ovat edelleen olennaisia, mutta painopiste siirtyy: valvontaan tekoälyjärjestelmiä, vahvistamiseen havaintotapauksiin (sen sijaan, että kirjoittaisivat niitä), tutkimiseen monimutkaisiin uhkiin ja parantamiseen puolustusarkkitehtuuriin. Tavoitteena ei ole poistaa ihmisiä, vaan nostaa heidän roolinsa. Sen sijaan, että he viettäisivät aikaa hälytysten priorisoinnissa ja manuaalisessa datakokoonpanossa, analyytikot keskittyvät kyberturvan strategisiin näkökohtiin.

Kysymys on, “miten koulutamme seuraavan sukupolven turvallisuusammattilaisia, kun taso 1 ja 2 on täysin automatisoitu?” Vastaus saattaa olla dramaattisessa parannuksessa simulaatio- ja koulutusteknologiassa, jonka tekoäly voi auttaa meitä kehittämään.

Organisaatiot, jotka onnistuvat rakentamaan onnistuneen hybridityövoiman, yhdistämällä ihmisten asiantuntemuksen tekoälyohjattuun automaatioon, ovat todennäköisesti parhaiten asemissa toimia nopeudella, joka vaaditaan nykyisessä uhkaympäristössä.

Kiitos hienosta haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Deloitten sivuilla tai lukea aiempaa haastattelua.