Thorsten Delbrouck, Giesecke+Devrientin Group CSO – Haastattelusarja

Thorsten Delbrouck, Giesecke+Devrientin Group CSO, on kokenut kyberturva-asiantuntija, jolla on yli kaksi vuosikymmentä kokemusta yritysinfrastruktuurin, digitaalisten identiteettien ja kriittisten järjestelmien turvallisuudesta. Liityttyään Giesecke+Devrientiin (G+D) vuonna 2011 Corporate Chief Information Security Officerina, hän on johtanut yrityksen globaalia turvallisuusstrategiaa säännellyissä toimialoissa, kuten rahoituksessa, tietoliikenteessä ja hallituksen infrastruktuurissa. Vuonna 2020 hän laajensi rooliaan Group Vice President, Head of Security and CISO:ksi. Delbrouck toimii myös Information Security Forumin (ISF) puheenjohtajana, joka on johtava globaali viranomainen kyberturvallisuudesta ja riskien hallinnasta, ja hän on toiminut senior-turvallisuusjohtajana Infineon Technologiesissa, COMLINE:ssa ja TÜV Secure iT:ssa.

Giesecke+Devrient (G+D) on Münchenissä perustettu globaali SecurityTech-yritys, joka on kehittynyt historiallisesta setelipainosta vuonna 1852 merkittäväksi digitaalisen turvallisuuden, rahoitusalan teknologian ja valuutan infrastruktuuriratkaisujen toimittajaksi. Yritys toimii kolmella ydinliiketoiminta-alueella: Digitaalinen turvallisuus, Rahoituspalvelut ja Valuutan teknologia, ja toimittaa teknologioita, jotka turvaavat mobiililiikenteen, digitaaliset identiteetit, pankkijärjestelmät, maksujärjestelmät sekä sekä fyysiset että digitaaliset valuutat. G+D työskentelee hallitusten, keskuspankkien, rahoituslaitosten ja yritysten kanssa maailmanlaajuisesti, ja tarjoaa ratkaisuja esimerkiksi eSIM:ien, todennusjärjestelmien, digitaalisten maksujen, kyberturvallisuuden ja keskuspankkien digitaalisten valuuttojen (CBDC) osalta. Yritys asettaa itsensä luotettavaksi infrastruktuuritoimittajaksi digitaalitaloudelle, ja sillä on yli 14 000 työntekijää maailmanlaajuisesti ja vuosikymmenten kokemus kriittisten järjestelmien ja rahoitusympäristöjen turvaamisesta.

Olet viettänyt lähes kolme vuosikymmentä kyberturvallisuuden johtotehtävissä, ja olet toiminut TÜV Secure iT:ssa, Infineonissa ja nyt yli 15 vuotta Giesecke+Devrientissä. Miten uhkakuvio on kehittynyt perinteisistä yritysturvallisuuden riskeistä nykyisiin tekoälyohjattuihin kyberuhkiin, ja mitä sinä eniten huolestuttaa nykyisestä alan suunnasta?

Mielestäni pääasiallinen muutos urani aikana on nopeus ja vaikutus. Kun aloitin turvallisuuden hallinnan 1990-luvun lopulla, vakava turvallisuusongelma tarkoitti yleensä väärin määriteltyä palomuuria tai korjaamatonta palvelinta, ja vaikutusalue oli yleensä melko rajoitettu. Viimeisen kolmen vuosikymmenen aikana olen nähnyt, kuinka yhden tietoturvaongelman seuraukset ovat kasvaneet toiminnallisen haitan tasolta järjestelmäriskiksi.

Ja kaikki on nopeampaa. Meillä on enemmän järjestelmiä ja suurempia kaistanleveyksiä. Nykyään vain noin puolet internetin liikenteestä on ihmisten aiheuttamaa – ja joissakin arvioissa noin 40 % koko liikenteestä koostuu haitallista toimintaa, kuten haitallisia skannauksia, malwarea ja DDoS-hyökkäyksiä.

Samaan aikaan maisema on muuttunut voimakkaasti konsolidoituneeksi ja keskittyneeksi. Internetin alkuperäinen suunnittelufilosofia, joka korosti redundanssia ja desentralisaatiota, on hävinnyt. Tämän seurauksena hyökkäykset, jotka kohdistuvat vain muutamiin kriittisiin epäonnistumispisteisiin, voivat aiheuttaa paljon tuhoisammat seuraukset kuin ennen. Tämä jättää lähes olemattoman marginaalin virheille modernien IT-järjestelmien määrityksessä ja toiminnassa. Ja nyt tekoäly puristaa hyökkääjien aikatauluja entisestään.

Vuoden 2020 aikana Dario Amodein kommentit ovat sytyttäneet uudelleen pelot edistyneistä tekoälyjärjestelmistä, jotka voivat tunnistaa ohjelmistovirheitä laajassa mittakaavassa. Uskotko, että yritykset aliarvioivat, kuinka nopeasti tekoälyavusteinen kehitys voi ylittää olemassa olevat turvallisuusprosessit?

Kyllä, uskon, että monet yritykset aliarvioivat tämän muutoksen nopeuden. Aluksi näytti siltä, että tekoäly hyödyttäisi sekä hyökkääjiä että puolustajia suunnilleen yhtä paljon. Mutta huolestuttava tosiasia on nyt ilmenevä: tekoäly ei ole keksinyt uusia kyberrikoksien kategorioita, vaan se on demokratisoinut monimutkaisia hyökkäysominaisuuksia, jolloin uhka-aktörit voivat automatisoida tiedustelun, poistaa kielieston vihapostissa ja löytää ohjelmistovirheitä nopeudella ja mittakaavalla, jota ihmisten puolustajat kamppailevat absorboida.

Ongelma on, että vaikka tekoäly on aiheuttanut massiivisen kasvun haavoittuvuuksien tunnistamisessa, se ei ole vielä otettu laajasti käyttöön korjausprosessissa. Tämä luo vaarallisen epätasapainon. Tekoälyavusteinen haavoittuvuuksien löytäminen tuottaa yksinkertaisesti enemmän työtä kuin mitä puolustajat voivat käsitellä. Tämä saattaa parantua muutamassa vuodessa, kun tekoäly korjausprosessiin tulee käyttöön, mutta tällä hetkellä se on kasvava ongelma.

Lisäksi on ironista, että samat yritykset, jotka esittävät viimeisimpiä mallejaan kyberturvallisuuden pelastajina, ovat samalla osaltaan aiheuttamassa osaa ongelmaa. Tekoälyavusteiset koodausvälineet kiihdyttävät ohjelmistotuotantoa, mutta ne tuottavat usein hölkkää, haavoittuvaa koodia – laajentaen hyökkäyspintaa, jonka heidän turvallisuustuotteensa lupaavat vähentää. Taloudellisesti tämä on loistavaa. Turvallisuuden kannalta ei niin ole.

G+D:ssa arvioidaan tekoälyn käyttötapauksia järjestelmällisesti tekoälyneuvoston kautta eikä niitä skaalata hallitsemattomasti. Ongelma ei ole tekoäly itsessään – vaan sen käytön hallinnan puute. Tämä on linjassa G+D:n sisäisesti noudatetun periaatteen kanssa: tekoäly vaatii ei vain innovaatiota, vaan myös institutionalisoitua arviointi- ja hyväksymismenettelyjä.

Monet organisaatiot katsovat tekoälyä lähinnä puolustavana kyberturvallisuustyökaluna. Mielestäsi, missä tekoäly aiheuttaa enemmän riskejä kuin suojaa yritysten ympäristössä?

Suurin osa kyberturvallisuustiimeistä käyttää jo tekoälyä eri tavoin turvallisuustapahtumien havaitsemiseen, luokitteluun, arviointiin ja triageen – ja se toimii hämmästyttävän hyvin.

Kuitenkin uudet riskit nousevat esiin näiden hyötyjen rinnalla. Tekoälyarkkitehtuurin itsessään olevat haavoittuvuudet ovat jo laajasti keskusteltuja ja ymmärrettyjä. Emme enää turvaa vain staattista koodia; me turvaamme epädeterministisiä järjestelmiä. Tämä tuo mukanaan täysin uusia uhkavektoreita, kuten ohjattujen hyökkäysten injektio (jossa väärä data huijaa LLM:n ohittamaan varmistuksensa), datan myrkyttäminen, joka korruptoi mallin logiikkaa koulutuksen aikana, ja datan vuoto, jossa yrityksen omat tiedot paljastuvat vahingossa mallin tulosteiden kautta. Tämä muuttaa perustavanlaatuisesti hyökkäyksen määritelmän.

Mutkikkaampaa on, että perinteinen, hyvin harjoiteltu puolustus on sopeutettava. Monissa organisaatioissa User and Entity Behavior Analytics (UEBA) on edelleen suhteellisen uusi käsite. Monet yritykset eivät ole vielä täysin omaksuneet tätä lähestymistapaa tiukkojen tietosuojasääntöjen, ankarien työlainsäädännön ja työntekijöiden neuvotteluoikeuksien vuoksi. Nyt perusta on muuttunut, ja on epävarmaa, kuinka tehokas UEBA voi olla tulevaisuudessa, jossa tekoäly voi oppia ja jäljitellä ihmisen käyttäytymistä täydellisesti.

Eteenpäin siirryttäessä – kykeneekö UEBA erottamaan ihmisen käyttäytymisen automaattisista hyökkäyksistä, tai erottamaan hyväntahtoisen tekoälyagentin pahantahtoisesta? On jo tuotteita, jotka lupaavat juuri sitä, mutta yleensä kestää jonkin aikaa, ennen kuin markkinointilupaukset muuttuvat toimivaksi, todelliseksi suorituskyvyksi. Tarvitsemme uusia käsitteitä ja modernia turvallisuusarkkitehtuuria osoittamaan tämän.

Toimit Giesecke+Devrientin Group CSO:na ja osallistut turvallisuusjohtajiin ympäri maailman johtavissa yrityksissä. Oletko huolissasi siitä, että yritykset ovat aliarvioimassa tekoälygeneroituun koodin laadun, vai onko suurempi ongelma toiminnallinen taakka turvallisuuden varmistamisessa eksponentiaalisesti kasvavissa koodipohjaisissa ympäristöissä?

Molemmat ongelmat ovat todellisia, mutta ne vaikuttavat eri tavoin. Tekoälygeneroitu koodin laatu on aito huolenaihe. Tekoäly tuottaa usein puhdasta koodia, joka voi kuitenkin sisältää hienoja loogisia virheitä, epäturvallisia oletuksia tai väärin käytettyjä kirjastoja, jotka ovat vaikeampia havaita juuri siksi, että ne näyttävät uskottavilta. Turvallisuuspäälliköt ovat oikeutetusti huolissaan siitä.

Keskusteluissani turvallisuusasiantuntijoiden kanssa ISF:n jäsenorganisaatioissa, kova hälytys on kuitenkin toiminnallinen: se on koodin määrä, joka voi sisältää haavoittuvuuksia ja joka tarvitsee tarkastelua.

Mitä kuulen jatkuvasti kollegoilta eri toimialoilta, on riippuvuuden ongelma. Voimakas riippuvuus ulkoisista komponenteista ja kolmannen osapuolen kirjastoista tarkoittaa, että jokainen riippuvuus on seurattava, hallittava ja jatkuvasti korjattava. Tämä on haasteellista, ja tekoälyavusteinen kehitys on nyt lisäämässä sitä. Ei siksi, että ongelman luonne on muuttunut, vaan siksi, että mittakaava on räjähtänyt. Enemmän koodia, tuotettua nopeammin, enemmän riippuvuuksia, useissa repositorioissa.

Jos minun on priorisoitava: koodin laatu on ratkaistavissa insinöörintehtävä. Paremmat työkalut, tiukemmat tarkastukset, tiukemmat varmistukset kehityskanavassa. Toiminnallinen taakka turvallisuuden varmistamisessa eksponentiaalisesti kasvavassa koodipohjaisessa ympäristössä ja sen laajenevissa riippuvuusketjuissa on suurempi, pysyvämpi haaste. Se on se, missä todellinen paine on, ja se on se, mitä tulee esiin jatkuvasti senior-turvalisuuspäälliköiden keskusteluissa.

Giesecke+Devrient toimii erittäin herkillä toimialoilla, kuten digitaalisen identiteetin, maksujen, pankkien infrastruktuurin, eSIM-tekniikan ja keskuspankkien digitaalisten valuuttojen parissa. Miten kriittisen infrastruktuurin turvallisuus eroaa tekoälyajan aikana verrattuna perinteisten yritysjärjestelmien suojaamiseen?

G+D:ssa kohtaamme samat perusvastuut kuin mikä tahansa turvallisuudesta vastaava organisaatio. Mutta meidän turvallisuusvaatimukset ovat poikkeuksellisen korkeat, ja virhemarginaali on erittäin pieni. Olemme tietoisia siitä, että turvallisuusloukkaus infrastruktuurissamme voi aiheuttaa laajempia vaikutuksia kuin loukkaus tyypillisessä yrityksessä – ja siksi meidän sietokykymme kyberturvallisuusriskejä kohtaan on poikkeuksellisen alhainen.

Missä tekoäly lisää erityistä monimutkaisuutta meille, on operatiivisessa arkkitehtuurissa itsessään. Monet korkean turvallisuuden komponenteistamme, erityisesti ne, jotka liittyvät maksujärjestelmiin, digitaalisiin identiteetteihin tai keskuspankkien tuotteisiin, ovat korkean arvon varastoita ja noudattavat tiukkoja sertifikaatti- ja turvallisuusvaatimuksia. Nämä komponentit on kehitettävä, testattava ja toimittava erillisisssä ympäristöissä, aina loogisesta erottelusta täysin ilmatiivisteisiin verkkoihin, joilla ei ole ulkoista yhteyttä.

Se oli jo haasteellista ennen tekoälyä, mutta nyt yritykset ympäri maailmaa integroivat tekoälyavusteisia työkaluja kehitys- ja operatiivisiin työprosesseihin. Nämä työkalut riippuvat yleensä pilvipalveluista, laajasta tietopääsyistä ja jatkuvista mallipäivityksistä. Sopimaan nämä yhteen ympäristöjen kanssa, joissa vain yksi verkkokaapeli väärään porttiin olisi vakava politiikkarikkomus, on erittäin haasteellista.

Tämä pakottaa meidät olemaan erittäin tarkkoja tekoälyn integroinnista. Emme valitse vain oikeaa tekoälymallia, vaan teemme strategisia päätöksiä infrastruktuuritasolla siitä, tarvitsevatko nämä työkalut paikallista käyttöä vai voivatko ne olla pilvipalveluna.

Oletko sitä mieltä, että yritykset lopulta vaativat tekoälygeneroituun koodiin erillisen validoinnin ja sertifioinnin ennen käyttöönottoa?

En usko, että ratkaiseva kriteeri pitäisi olla se, onko koodi kirjoitettu ihmisen vai tekoälyn toimesta. Ratkaiseva kriteeri on riski. Mutta tekoälygeneroitu koodi tarvitsee todennäköisesti todennettavuuden, jäljitettävyyden ja tiukemman tarkastelun säännellyissä tai korkean turvallisuuden ympäristöissä.

Uhkamallinnus, turvallinen koodaus, SAST-työkalujen integrointi kehitysketjuun on jo nykyään standardipraktiikkaa. Lisäksi kehitystiimit on seurattava tarkasti, mitkä toiminnot ovat turvallisuuden kannalta kriittisiä tai kuuluvat säännellyille, herkillle komponenteille. Sen lisäksi on ymmärrettävä perustavanlaatuisesti riippuvuuksia ja jatkuvasti testattava niitä. Taloudelliset seikat tulevat vääjämättä aiheuttamaan yhä tärkeämmän roolin. Tällä hetkellä suurten tekoälytoimittajien token-hinnat eivät kata kustannuksia. Suuret tekoälytoimittajat absorboida valtavat infrastruktuuri- ja inference-vajaukset markkinosuuden turvaamiseksi. Tämä on taloudellisesti kestämätön malli pitkällä aikavälillä. Kun tekoälyn käyttöön liittyvät kaupalliset kustannukset sovitetaan ylös vastaamaan todellisia infrastruktuurikustannuksia, meillä on ongelma. Silloin alan on siirryttävä kohti pienempiä, paikallisia ja tarkoitukseen suunniteltuja malleja. Näiden pienempien mallien kouluttaminen kohdennetuille käyttötarkoituksille tulee olemaan tärkeä strategia vakavan kustannuslisäyksen lieventämiseksi.

Ja kategorioissa, joilla on korkeimmat turvallisuusvaatimukset, ihmisen valvonta on edelleen pakollista, ja siinä on haaste: hyödyntäämällä rajallista ihmiskapasiteettia mahdollisimman tehokkaasti.

Tehtäväkohtaiset järjestelmät voivat nyt tunnistaa haavoittuvuuksia paljon nopeammin kuin ihmisanalyytikot, mutta korjaus riippuu edelleen voimakkaasti ihmisten työprosesseista. Ovatko yritykset lähestymässä pistettä, jossa itse korjaus on muutettava autonomiseksi?

Kyllä, uskon, että autonomisen korjausprosessin tarve on operatiivinen välttämättömyys. Haavoittuvuuksien määrä ylittää jo ihmisten priorisointikyvyn.

Sanottakoon, että itse toteutus on seuraavanlainen: on otettava käyttöön portaikko-ajattelu. Standardien ja ei-kriittisten ympäristöjen osalta täysi automaatio on täysin saavutettavissa, edellyttäen, että oikeat varmistukset on asennettu paikoilleen. Täysin autonomisen korjausprosessin toteuttaminen kriittisissä, suurvaikutteisissa järjestelmissä on luultavasti vaikeampaa toteuttaa lähitulevaisuudessa.

Tämä on siinä, missä perusteet todella merkitsevät. Ero näiden kahden kategorian välillä kuulostaa suoraviivaiselta, mutta käytännössä se vaatii valtavan määrän tarkkaa, yksityiskohtaista ja jatkuvaa kotiaskartelua voidakseen toimia puhdas- ja automaattisessa ympäristössä, jossa on erilaisia lähestymistapoja. Tämä työ on helppo aliarvioida.

Todellinen haaste ei ole itse prosessin mekanistinen suorittaminen – vaan laajempi järjestelmä. Älykäs päätöksenteko on mahdollista vain, jos koko järjestelmä tukee sitä. Korjausprosessin on kehittymistä merkittävästi nopeammaksi ja älykkäämmäksi, ei vain enemmän automaattiseksi.

Ja, kuten aina: herkillä ympäristöillä on oltava sekä ohjattavuutta että suurta nopeutta. Tämä jännite on vaikea osa – ja se on se, mihin useimmat organisaatiot eivät ole vielä valmiit.

Hallitukset ympäri maailmaa kilpailevat digitaalisten identiteettijärjestelmien, CBDC:iden ja kyberinfrastruktuurin toteuttamisessa. Oletko huolissasi siitä, että tekoälyohjatut kyberuhkat voivat ylittää sääntely- ja kansallisen turvallisuuden valmistautumisen?

Sääntelykehykset, kuten NIS2 ja Cyber Resilience Act, vievät asioita oikeaan suuntaan, mutta sääntely on lopulta vain yksi palanen palapelistä. Sääntely on tärkeää koko järjestelmälle, mutta emme voi olettaa, että sääntöjen antaminen ratkaisee ongelman välittömästi. Yritysten on edelleen toteutettava ohjeet, pidettävä järjestelmänsä pysyvästi turvallisina, ylläpidettävä vankkaa ymmärrystä uhkakuvasta ja suojelukohteista, jatkuvasti jalostettava ja pitävä ne yhdenmukaisina.

Olen varovaisesti optimistinen, edellyttäen, että organisaatiot eivät kääri sääntelynmukaisuutta turvallisuuden korvikkeeksi. Ja moderni turvallisuuden hallinta ei odota sääntelyä. Jos mikä tahansa, se pitäisi olla toisin: parhaat maailmanlaajuiset käytännöt pitäisi virrata sääntelyyn, ei päinvastoin.

Korkean turvallisuuden aloilla, kuten digitaalisessa identiteetissä ja maksujen infrastruktuurissa, operatiivinen valmius ei ole itsestäänselvyys. G+D on sekä toimittaja että keskuspankkien ja hallitusten kanssa käytävän vuoropuhelun kumppani maailmanlaajuisesti. G+D on myös aktiivisesti mukana kriittisten digitaalisten infrastruktuurien suojeluun, esimerkiksi Secunetin kautta Saksan liittotasavallan IT-turva-asiantuntijana.

Jotkut asiantuntijat kuvaavat edistyneitä tekoälymalleja “kyberaseiksi”, kun taas toiset väittävät, että tämä kuvaus on liioiteltu. Mielestäsi, mitä ihmiset ymmärtävät väärin tekoälyjärjestelmien todellisista riskeistä?

Mitä ihmiset ymmärtävät väärin, on oletus, että kyberkonfliktit noudattavat fyysistä sodankäynnin logiikkaa. Että riittävän voimakas ase voi välttämättä murtaa minkä tahansa puolustuksen. Suurin osa “kyberaseen” kuvausta lainaa tästä kinetiikasta: suurempi tykki voittaa paksun seinän, älykkäämpi ohjus voittaa nopeamman lentokoneen. Mutta kybermaailma ei toimi näin.

Onnistunut kyberhyökkäys harvoin onnistuu ylivoimalla. Se onnistuu hyödyntämällä aukkoa: virheellistä määritystä, korjaamatonta haavoittuvuutta, ihmisen virhettä, heikkoa lenkkiä toimitusketjussa. Tekoäly ei muuta tämän perusdynamiikkaa. Se tekee aukkojen etsimisen nopeammaksi ja halvemmaksi, ja se alentaa taitotasoa, joka tarvitaan niiden hyödyntämiseen. Tämä on vakava ongelma, mutta se on erilainen kuin “voittamaton ase” -narratiivi.

Todellinen riski ei ole, että tekoäly luo jokin uusi, voittamaton hyökkäyskyky, jota mikään puolustus ei voi kestää. Todellinen riski on, että tekoäly kiihdyttää ja laajentaa tavallisten heikkouksien hyödyntämistä – samoja heikkouksia, joita olemme kamppailleet korjaamaan vuosikymmenien ajan – tahdissa, joka ylittää kykymme sulkea ne.

Kuvaaminen tekoälystä kyberaseena hämärtää tätä. Se rohkaisee asekilpailumielialaa, kun mitä tarvitaan, on parempi operatiivinen hygienia, nopeampi korjaus ja kestävämmät arkkitehtuurit. Uhka ei ole uusi superase. Se ovat vanhat aukot, hyödynnettyjä uudella nopeudella. Joten, kyllä, tekoälyn kuvaaminen kyberaseeksi on merkittävä yliarviointi.

Katsoen eteenpäin, uskotko, että suurin kyberturvallisuusriski tekoälystä tulee tulevaisuudessa tulemaan sofistikoituneista valtioiden tekemistä hyökkäyksistä, autonomisesta hyödyntämisestä laajassa mittakaavassa, sisäpiirin väärinkäytöksestä, toimitusketjun haavoittuvuuksista vai jostakin, mihin alan ei vielä kiinnittä tarpeeksi huomiota?

Ennustaa tulevaisuuden turvallisuutta on aina erittäin haasteellista. Valtioiden tekemät hyökkäykset, autonomisen hyödyntämisen, sisäpiirin väärinkäytöksen, toimitusketjun haavoittuvuuksien – kaikki nämä ovat todellisia ja kasvavia uhkia, ja en halua vähätellä yhtäkään niistä. Mutta ne ovat seurauksia, ei juuria. Ne onnistuvat, kun puolustajat eivät enää pysty pitämään perässä – riippumatta siitä, mikä on syy.

Ja se, missä näen suurimman riskin seuraavien 2-3 vuoden aikana, on siinä, että turvallisuustiimit joutuvat ylityönteytyksi. Kaikki nykyiset ja nousseet aiheet – sääntely, suvereniteetti, monimutkaiset pilvi-infrastruktuurit ja kaikki, mitä niiden mukana tulee – kaikki nämä kuormittavat joukkueita, jotka ovat jo venyneet äärirajoilleen hälytysten priorisoinnissa, vastausoperaatioissa, vihapostin analyysissä, haavoittuvuuksien hallinnassa, dokumentoinnissa, tarkastuksissa ja raportoinnissa. Kuormitus, jonka tekoäly tuo, voi olla se viimeinen niitti, joka murtuu kamelin selän.

Ja, ottaen huomioon nykyinen maailmanlaajuinen taloudellinen tilanne, kaikki tämä painaa organisaatioita todellisen kustannuspaineen alle ympäri maailmaa. Jos sitä ei hallita erittäin hyvin, se lopulta tulee olemaan liikaa.

Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Giesecke+Devrient:ssä.