Alon Noy, Astelia के सीईओ और सह-संस्थापक — साक्षात्कार शृंखला

Alon Noy, Astelia के सीईओ और सह-संस्थापक, साइबर सुरक्षा क्षेत्र के ऐसे अग्रणी हैं जिन्हें आक्रामक और रक्षात्मक सुरक्षा में 15 से अधिक वर्षों का अनुभव है। उन्होंने पहले इज़राइल की Unit 8200 में सेवा की और बाद में इज़राइली राष्ट्रीय साइबर सुरक्षा रेड टीम का नेतृत्व किया। इस भूमिका में उनके काम में महत्वपूर्ण बुनियादी ढाँचे की सुरक्षा को परखना और वास्तविक दुनिया में हमले के रास्तों की पहचान करने तथा उनसे निपटने के लिए सुरक्षा टीमों के साथ मिलकर काम करना शामिल था। Noy ने बड़े अनुसंधान एवं विकास संगठनों का प्रबंधन भी किया है, वे इज़राइल के Talpiot कार्यक्रम के स्नातक हैं और उनके पास Tel Aviv University से कंप्यूटर विज्ञान में एमएससी की डिग्री है। हमलावर और रक्षक, दोनों के नज़रिए से काम करने के उनके अनुभव ने Astelia के दृष्टिकोण को आकार देने में मदद की। यह कंपनी यह पता लगाने पर ध्यान देती है कि किसी संगठन के परिवेश में कौन-सी कमजोरियों तक वास्तव में पहुँचा जा सकता है और उनका फायदा उठाया जा सकता है।

Astelia AI-आधारित साइबर सुरक्षा कंपनी है, जो सुरक्षा जोखिमों और कमजोरियों के प्रबंधन पर केंद्रित है। इज़राइल की राष्ट्रीय रेड टीम के अनुभवी सदस्यों और पूर्व नेताओं द्वारा स्थापित यह कंपनी, सामान्य गंभीरता स्कोर पर मुख्य रूप से निर्भर रहने के बजाय, AI और नेटवर्क-विशिष्ट विश्लेषण का उपयोग करके यह पता लगाती है कि कौन-सी कमजोरियाँ हमले के वास्तविक रास्ते बन सकती हैं। इसका प्लेटफ़ॉर्म केवल-पठन वाले इंटीग्रेशन के ज़रिए किसी संगठन के परिवेश का मानचित्र तैयार करता है, नेटवर्क टोपोलॉजी के संदर्भ में शोषण की आवश्यकताओं का विश्लेषण करता है और सुरक्षा टीमों को उन कमजोरियों को प्राथमिकता देने में मदद करता है जिन तक पहुँचना संभव होने की पुष्टि हो चुकी हो। साथ ही, यह पैच लगाने, कॉन्फ़िगरेशन में बदलाव करने, नेटवर्क को अलग-अलग खंडों में बाँटने या जोखिम कम करने वाले वैकल्पिक नियंत्रण लागू करने जैसे समाधान भी सुझाता है। कंपनी का व्यापक लक्ष्य उद्यमों को जाँचने के लिए मिलने वाले कमजोरी अलर्ट की संख्या घटाने और उन जोखिमों पर संसाधन केंद्रित करने में मदद करना है जिनका हमलावर वास्तविक रूप से फायदा उठा सकते हैं।

Astelia की स्थापना से पहले, आपने इज़राइल की राष्ट्रीय सुरक्षा के क्षेत्र में एक दशक से अधिक समय बिताया। इसमें Unit 8200 में सेवा और इज़राइल की राष्ट्रीय साइबर सुरक्षा रेड टीम का नेतृत्व करना शामिल था, जहाँ आपको हमलावर की तरह सोचने और काम करने की ज़िम्मेदारी सौंपी गई थी। इन अनुभवों से आपको यह समझने में क्या मदद मिली कि जटिल साइबर हमले वास्तव में किस तरह सामने आते हैं? और साइबर सुरक्षा बाज़ार की किस कमी ने आखिरकार आपको Astelia की सह-स्थापना के लिए प्रेरित किया?

एक दशक से भी अधिक समय तक मेरा काम मूलतः उस व्यक्ति की तरह सोचना था जो किसी सिस्टम में सेंध लगाने की कोशिश कर रहा हो—न कि उस व्यक्ति की तरह जो उसे सेंध से बचाने की कोशिश करता है। इस अनुभव से मिली सबसे स्पष्ट सीख यह है कि जटिल हमले लगभग कभी भी दीवार में बने किसी एक बड़े छेद से नहीं होते। आम तौर पर, वे दो या तीन छोटी चीज़ों के मेल से होते हैं जिन्हें किसी ने अलग-अलग देखने पर महत्वपूर्ण नहीं समझा: ऐसा खाता जिसे कभी निष्क्रिय ही नहीं किया गया, नेटवर्क का ऐसा हिस्सा जिसे अलग-थलग होना चाहिए था लेकिन वह था नहीं, ज़रूरत से ज़्यादा व्यापक अनुमति, और ऐसी ही दूसरी बातें। जब मैंने राष्ट्रीय रेड टीम का नेतृत्व किया, तो किसी लक्ष्य के नेटवर्क के वास्तविक कामकाज को समझने में हमने खुद शोषण का तरीका तैयार करने की तुलना में कहीं अधिक समय लगाया। रास्तों का पता चल जाने के बाद, उनका फायदा उठाना लगभग आसान हिस्सा होता है। रक्षात्मक पक्ष में आने पर मुझे एक पैटर्न दिखाई देने लगा। “गंभीर” कमजोरियों की लंबी सूची तो थी, लेकिन यह जानने का कोई वास्तविक तरीका नहीं था कि हमलावर उनमें से किन तक पहुँच सकते हैं। Astelia इसी कमी को दूर करने के लिए बनाई गई: हमलावरों द्वारा अंदर घुसने का रास्ता खोजने के लिए इस्तेमाल की जाने वाली पहुँच-विश्लेषण प्रक्रिया को रक्षकों के काम में लाकर।

Astelia किसी संगठन की वास्तविक नेटवर्क टोपोलॉजी का मानचित्र बनाकर और एजेंटिक AI का उपयोग करके यह पता लगाती है कि किन कमजोरियों तक वास्तव में पहुँचा जा सकता है और उनका फायदा उठाया जा सकता है। यह तरीका व्यवहार में कैसे काम करता है? और आपको क्यों लगता है कि पारंपरिक कमजोरी स्कोरिंग अक्सर रक्षकों को गलत प्राथमिकताएँ देती है?

केवल-पठन वाले इंटीग्रेशन का उपयोग करके हम किसी संगठन के वास्तविक नेटवर्क का मानचित्र बनाते हैं—यानी यह देखते हैं कि सिस्टम वास्तव में एक-दूसरे से कैसे जुड़े हैं और मौजूदा नेटवर्क नियंत्रण पहले से ही हमलावर के रास्ते में कहाँ बाधा डालते हैं। यह तस्वीर तैयार होने के बाद, AI हर कमजोरी की जाँच करता है और यह निर्धारित करता है कि उसका फायदा उठाने के लिए वास्तव में किन चीज़ों की ज़रूरत होगी—जैसे आवश्यक पहुँच, नेटवर्क के भीतर का रास्ता और वे परिस्थितियाँ जिनका होना ज़रूरी है। फिर वह इन सभी बातों की तुलना वास्तविक टोपोलॉजी और मौजूदा नियंत्रणों से करता है। स्कैनर जिन चीज़ों को चिह्नित करता है, उनमें से आम तौर पर 1% से भी कम ऐसी निकलती हैं जिन तक वास्तव में पहुँचा जा सकता है। CVSS और EPSS, दोनों की मूल समस्या एक ही है: वे किसी कमजोरी का स्कोर ऐसे तय करते हैं मानो हर नेटवर्क एक जैसा हो—मानो सिस्टम खुले इंटरनेट पर बिना सुरक्षा के मौजूद हो, या पूरे उद्योग में शोषण के रुझान आपके विशिष्ट परिवेश के बारे में कुछ बताते हों। अधिकांश परिवेशों में, इनमें से कोई भी धारणा सही नहीं होती। खंडों में बाँटे गए नेटवर्क के भीतर तीन पड़ाव पीछे मौजूद गंभीर रेटिंग वाला बग, सार्वजनिक रूप से उपलब्ध सर्वर पर मौजूद बग जितना जोखिम पैदा नहीं करता। इसी तरह, पूरे उद्योग में EPSS स्कोर ऊँचा होने का यह मतलब नहीं कि किसी कमजोरी तक आपके नेटवर्क में पहुँचा भी जा सकता है। ये स्कोर किसी एक समय पर तय होते हैं और आपके नेटवर्क को प्रतिबिंबित नहीं करते। पहुँच की स्थिति लगातार बदलती रहती है, क्योंकि नेटवर्क और उनकी सुरक्षा करने वाले नियंत्रण भी लगातार बदलते रहते हैं।

आपने कहा है कि रक्षक जिन कई चीज़ों को लेकर चिंतित रहते हैं, वे वास्तविक हमलावरों के काम करने के तरीकों के लिहाज़ से अप्रासंगिक हैं। अत्यधिक सुरक्षित परिवेशों पर अधिकृत हमले करने के अपने अनुभव के आधार पर, सुरक्षा टीमें आम तौर पर यह समझने में कहाँ चूकती हैं कि हमलावर कमजोरियों की पहचान कैसे करते हैं और उन्हें जोड़कर हमले का रास्ता कैसे बनाते हैं?

एक आम धारणा है कि हमलावर सबसे गंभीर माने गए जोखिमों को निशाना बनाते हैं। व्यवहार में, हम ऐसा बहुत कम करते हैं। हम उस चीज़ को निशाना बनाते हैं जो हमें सबसे तेज़ी से अपने लक्ष्य के करीब पहुँचा सके। अक्सर वह ऐसी चीज़ होती है जिसे स्कैनर ने मध्यम या कम जोखिम वाला बताया हो: गलत अनुमतियों वाला फ़ाइल साझा-स्थान, कथित तौर पर बंद हो चुकी किसी परियोजना के बचे हुए लॉगिन क्रेडेंशियल, या ऐसा छोटा-सा प्रवेश-बिंदु जो किसी ऐसी दूसरी चीज़ के साथ जुड़ने पर ही खतरनाक बना, जिसे कोई उससे संबंधित नहीं मानता था। स्कैनर हर निष्कर्ष का अलग-अलग मूल्यांकन करते हैं। हमले इस तरह काम नहीं करते; हमलावर हमेशा यह देखते हैं कि चीज़ें आपस में कैसे जुड़ती हैं। कोई चीज़ अपने आप में हानिरहित दिख सकती है, लेकिन कम विशेषाधिकार वाले खाते से पूरा नियंत्रण हासिल करने के लिए हमलावर को ठीक उसी की ज़रूरत हो सकती है। अधिकतर रक्षक अब भी हर निष्कर्ष के जोखिम का अलग-अलग आकलन करते हैं, और इसी वजह से वे उन रास्तों को बार-बार चूक जाते हैं जो वास्तव में मायने रखते हैं।

AI नई उजागर हुई कमजोरियों को काम करने वाले एक्सप्लॉइट में बदलने के लिए आवश्यक समय और विशेषज्ञता को नाटकीय रूप से घटा रहा है। इससे साइबर हमलों का अर्थशास्त्र कैसे बदलता है, और अधिक सक्षम होते जा रहे AI मॉडल से किस तरह के हमलावरों को सबसे ज़्यादा लाभ मिलने की संभावना है?

एक्सप्लॉइट बनाने का सबसे महँगा हिस्सा पहले विशेषज्ञता हुआ करती थी: बग ढूँढ़ना, यह समझना कि उसे ठीक किस तरह सक्रिय किया जाए, और एक्सप्लॉइट को भरोसेमंद बनाना। जिस काम में विशेषज्ञों की टीम को अक्सर महीनों लगते थे, वह अब अग्रणी AI मॉडल तक पहुँच रखने वाला आम हमलावर कुछ ही घंटों में कर सकता है। इससे लागत और संसाधनों का समीकरण सचमुच बदल गया है। नए CVE का इस्तेमाल कर हमला तैयार करने के लिए पहले वास्तविक निवेश करना पड़ता था; अब इसकी ज़रूरत लगभग नहीं रह गई है, और किसी कमजोरी के उजागर होने से लेकर उसके लिए काम करने वाला एक्सप्लॉइट उपलब्ध होने तक का समय लगातार घट रहा है। अधिकतर पैच चक्र इतनी तेज़ी से काम करने के लिए बनाए ही नहीं गए थे। इससे सबसे ज़्यादा लाभ पाने वाले हमलावर वे शीर्ष स्तर के सरकारी समर्थित समूह नहीं हैं, जिनके पास पहले से ही मजबूत आक्रामक क्षमताएँ थीं। लाभ छोटे समूहों और अवसरवादी अपराधियों को होगा, जिनके पास पहले इस स्तर की विशेषज्ञता अपनी टीम में नहीं थी—और AI प्रभावी रूप से उन्हें यह विशेषज्ञता दे रहा है।

White House की GOLD EAGLE पहल सरकार, प्रौद्योगिकी कंपनियों और महत्वपूर्ण बुनियादी ढाँचे के संचालकों के बीच अधिक घनिष्ठ सहयोग पर आधारित है। इसमें कमजोरियों की तेज़ी से पहचान करने और उनका निवारण करने के लिए अग्रणी AI का इस्तेमाल किया जा रहा है। हमलावर के नज़रिए से, इस मॉडल में क्या सही है और किन मामलों में यह अब भी नाकाम रह सकता है?

GOLD EAGLE ने सही पहचाना है कि प्रयासों की पुनरावृत्ति में कितना समय बर्बाद होता है: अलग-अलग संगठन किसी उजागर हुई कमजोरी की स्वतंत्र रूप से जाँच और प्राथमिकता-निर्धारण करते रहते हैं, जबकि उस पर कार्रवाई कोई नहीं करता। इस प्रक्रिया को केंद्रीकृत करना और सरकार तथा बुनियादी ढाँचा संचालकों के बीच समन्वय तेज़ करने के लिए AI का इस्तेमाल करना, हमलावर के पास उपलब्ध कार्रवाई के समय को वास्तव में घटाता है। हमलावर के नज़रिए से, सबसे ज़्यादा मायने इसी बात के हैं। इस खेल में गति ही सब कुछ है। मुझे जहाँ यह मॉडल कमज़ोर लगता है, वह यह है कि उद्योग-व्यापी समन्वय किसी एक कंपनी को यह नहीं बताता कि कोई खास कमजोरी उसके अपने नेटवर्क के भीतर पहुँच योग्य है या नहीं। किसी संगठन के पास अच्छी प्राथमिकता के आधार पर तैयार की गई ख़तरे की जानकारी हो सकती है, फिर भी उसे यह पता न हो कि वह उसके लिए प्रासंगिक है या नहीं। अंतिम कदम—अपने नेटवर्क की बनावट के संदर्भ में इसकी जाँच करना—अब भी हर संगठन की अपनी ज़िम्मेदारी है।

100 से अधिक प्रौद्योगिकी, साइबर सुरक्षा, वित्त और बुनियादी ढाँचे से जुड़े संगठनों ने चेतावनी दी है कि AI-सक्षम हमलों के काफी व्यापक हो जाने से पहले बचाव को मजबूत करने के लिए शायद बहुत कम समय उपलब्ध हो। क्या आप भी इस तात्कालिकता को महसूस करते हैं, और संगठनों को इस “रक्षकों के पास उपलब्ध समय-खिड़की” के दौरान वास्तविक रूप से क्या हासिल करना चाहिए?

मैं इस तात्कालिकता से सहमत हूँ, हालाँकि इसके कारण को मैं कुछ अलग ढंग से रखूँगा। AI-सक्षम हमले भविष्य की चिंता नहीं हैं; किसी कमजोरी के उजागर होने और उसके लिए काम करने वाला एक्सप्लॉइट उपलब्ध होने के बीच का अंतर पहले से ही इतना तेज़ी से घट रहा है कि अधिकतर संगठन उतनी तेज़ी से पैच नहीं लगा सकते। केवल तेज़ी से पैच लगाकर यह दौड़ जीतने की कोशिश करना व्यावहारिक नहीं है। व्यावहारिक यह है कि इस अवधि का उपयोग अपने परिवेश को समझने के लिए किया जाए। इसका मतलब है नेटवर्क की वास्तविक बनावट जानना, यह पहचानना कि किन कमजोरियों तक वास्तव में पहुँचा जा सकता है, और हज़ारों सैद्धांतिक निष्कर्षों में प्रयास बिखेरने के बजाय उस छोटे समूह पर ध्यान केंद्रित करना। इस समय का उपयोग पैच लगाने के अलावा निवारण के अन्य विकल्प तैयार करने में भी करना चाहिए, जैसे नेटवर्क विभाजन या कॉन्फ़िगरेशन में बदलाव, क्योंकि केवल पैच लगाने की गति AI से तेज़ हुए एक्सप्लॉइट विकास की रफ़्तार से मेल नहीं खा पाएगी।

सामूहिक साइबर रक्षा काफी हद तक इस बात पर निर्भर करती है कि संगठन कमजोरियों और खतरों से जुड़ी जानकारी साझा करें। सरकारों और निजी कंपनियों को उपयोगी जानकारी इतनी तेज़ी से साझा करने के लिए तकनीकी या सांस्कृतिक स्तर पर क्या बदलना होगा कि उससे वास्तविक लाभ हो, और इस प्रक्रिया में नए सुरक्षा जोखिम भी पैदा न हों?

तकनीकी चुनौती का समाधान करना अपेक्षाकृत आसान है। कठिन समस्या भरोसे की है। कोई भी संगठन अपने परिवेश की कमजोरी उजागर करके यह जोखिम नहीं लेना चाहता कि उसका संबंध उसी संगठन से जोड़ दिया जाए—खासकर तब, जब बाद में वह जानकारी किसी डेटा-उल्लंघन रिपोर्ट में सामने आए। कारगर तरीका ऐसी उपयोगी जानकारी साझा करना है जिससे संगठन की पहचान न हो सके: किसी चीज़ का शोषण किस तरह किया जा सकता है, इसका पैटर्न साझा करना, न कि इतना विशिष्ट विवरण देना कि किसी एक कंपनी की ओर संकेत हो। इसके लिए बेहतर बुनियादी ढाँचे की ज़रूरत है—PDF और ईमेल सूचियों के बजाय स्वचालित माध्यमों से मशीन-पठनीय ख़तरे का डेटा भेजना। लेकिन बुनियादी ढाँचा कभी असली बाधा नहीं था। बाधा यह है कि अधिकतर संगठनों को जानकारी साझा करना अब भी अपनी सुरक्षा करने के बजाय कानूनी दायित्व का जोखिम लगता है। एक तटस्थ, भरोसेमंद मध्यस्थ GOLD EAGLE जिन चीज़ों को उपलब्ध कराने का लक्ष्य रखता है, उनमें से एक है; इससे इस सोच को बदलने में काफी मदद मिल सकती है।

Astelia केवल गंभीरता या किसी ज्ञात एक्सप्लॉइट के मौजूद होने के बजाय “पहुँच-योग्यता” पर ज़ोर देती है। जैसे-जैसे AI एक्सप्लॉइट तैयार करने की प्रक्रिया को तेज़ और संभवतः अधिक आम बना रहा है, क्या पहुँच-योग्यता जोखिम का अधिक महत्वपूर्ण माप बन जाती है? और CISO को इस अवधारणा के आधार पर कमज़ोरियों की प्राथमिकता तय करने के तरीके पर फिर से कैसे विचार करना चाहिए?

पहुँच-योग्यता सिर्फ़ अधिक महत्वपूर्ण नहीं हो रही, बल्कि वही माप बन रही है जो वास्तव में जोखिम की गंभीरता तय करती है। गंभीरता हमेशा इस बात का अनुमान भर रही है कि किसी चीज़ से कितना नुकसान हो सकता है; पहुँच-योग्यता बताती है कि क्या आपके परिवेश में अभी उसका फ़ायदा उठाया जा सकता है। पहले रक्षकों को भरोसा था कि कम गंभीरता वाले ज़्यादातर निष्कर्ष महीनों तक बिना पैच के रह सकते हैं, क्योंकि कोई भी वास्तव में उनका हथियार के रूप में इस्तेमाल नहीं करेगा। लेकिन एक्सप्लॉइट तैयार करना तेज़ और सस्ता हो जाने के बाद यह धारणा अब सही नहीं रह गई है। अब प्राथमिकता तय करने के तरीके को गंभीरता के आधार पर क्रमबद्ध लंबित कामों की सूची से हटकर उन जोखिमों को खत्म करने की ओर जाना होगा, जिन तक वास्तव में पहुँचा जा सकता है। महत्वपूर्ण कमज़ोरियों और बाकी सभी कमज़ोरियों में फ़र्क इस बात से पड़ता है कि आपके वास्तविक नेटवर्क को देखते हुए कोई हमलावर उन तक पहुँच सकता है या नहीं। CISO को CVSS के ऊपर एक और स्कोर माँगने के बजाय, पहुँच-योग्यता का प्रमाण माँगना चाहिए।

Astelia कमज़ोरियों के पूरे जीवनचक्र के कुछ हिस्सों में भी AI एजेंटों का इस्तेमाल कर रही है—नई कमज़ोरियों की पहचान से लेकर सुधार के काम में तालमेल बिठाने तक। जब साइबर सुरक्षा एजेंट उत्पादन परिवेशों में बदलाव करने में सक्षम हों, तो उन्हें अंततः कितनी स्वायत्तता मिलनी चाहिए, और किन मामलों में मनुष्यों की निगरानी अनिवार्य रहनी चाहिए?

एजेंटों को विश्लेषण में वास्तविक स्वायत्तता मिलनी चाहिए: नेटवर्क का नक्शा तैयार करना, एक्सप्लॉइट के लिए ज़रूरी शर्तों का पता लगाना, नई सार्वजनिक हुई कमज़ोरियों से जुड़ी जानकारी का मिलान करना और यह सामने लाना कि किन तक पहुँचा जा सकता है। गति सबसे ज़्यादा यहीं मायने रखती है, और गलती होने पर बस एक गलत सिफारिश सामने आती है, जिसे कोई इंसान पकड़ लेता है। लेकिन उत्पादन परिवेश में बिना निगरानी बदलाव करने की मैं सख़्त मनाही करता हूँ। नेटवर्क में पहुँच-योग्यता की जानकारी के बिना, सुधार लागू करने वाला एजेंट सिर्फ़ अंदाज़ा लगा रहा होता है; फ़ायरवॉल का कोई गलत नियम या नेटवर्क विभाजन में किया गया गलत बदलाव उस कमज़ोरी से भी ज़्यादा नुकसान पहुँचा सकता है, जिसे बंद करने के लिए वह किया गया था। यही वजह है कि आज “स्वायत्त सुधार” के नाम पर जो कुछ प्रचारित किया जा रहा है, उसका अधिकांश हिस्सा वास्तव में अपने-आप टिकट बनाने तक ही सीमित है। कंपनियाँ चाहती हैं कि ऐसे बदलावों को कोई इंसान मंज़ूरी दे, ख़ासकर इसलिए कि शुरुआत में ही हर बार कोई पैच उपलब्ध नहीं होता। सही तरीका यह है कि एजेंट प्रमाण-आधारित सुधार सुझाएँ और उत्पादन परिवेश में कुछ भी लागू होने से पहले कोई व्यक्ति उस पर मंज़ूरी दे। पहुँच-योग्यता से जुड़ा डेटा बेहतर होने और सीमित, अच्छी तरह परखी गई बदलावों की श्रेणियों में भरोसा बढ़ने के साथ यह पाबंदी ढीली होगी, लेकिन उत्पादन परिवेश में बिना निगरानी कार्रवाई करना वह जगह नहीं है जहाँ से मैं शुरुआत करूँगा।

आगे चलकर, जब हमलावरों और रक्षकों—दोनों को अधिकाधिक सक्षम स्वायत्त AI प्रणालियों तक पहुँच मिलेगी, तो आपके विचार में आक्रामक और रक्षात्मक साइबर सुरक्षा के बीच संतुलन कैसे बदलेगा? और अगली अवस्था के लिए तैयार संगठनों को उन संगठनों से क्या अलग करेगा, जो तैयार नहीं हैं?

AI के मामले में हमलावरों को शुरुआत में बढ़त मिलती रहती है, क्योंकि उन्हें बस एक कारगर रास्ता चाहिए और AI उस रास्ते को तेज़ी से खोजने में सक्षम है: टोह लेने की प्रक्रिया तेज़ होती है, एक्सप्लॉइट विकसित करना तेज़ होता है और फ़िशिंग सामग्री अधिक विश्वसनीय लगने लगती है। रक्षक वही काम AI से तेज़ी से करवाकर इस अंतर को कम नहीं कर सकते। वे अपने नेटवर्क में वास्तव में पहुँच-योग्य कमज़ोरियों की खोज और उन्हें दूर करने के लिए AI का इस्तेमाल करके यह अंतर कम कर सकते हैं—और ऐसा सामान्य, पूरे उद्योग पर लागू ख़तरे के आँकड़ों के बजाय अपने संदर्भ के आधार पर कर सकते हैं। तैयार संगठनों की पहचान इस बात से होगी कि क्या उन्होंने यह बदलाव मजबूरी में करने से पहले ही कर लिया था; क्या वे प्रमाण के साथ बता सकते हैं कि उनके परिवेश में उनकी किन कमज़ोरियों का वास्तव में फ़ायदा उठाया जा सकता है, बजाय इसके कि वे उम्मीद करें कि उनका पैच लगाने का कार्यक्रम समय के साथ तालमेल बनाए रखेगा। जो संगठन अब भी सामान्य संदर्भ में जोखिम का प्रबंधन कर रहे हैं, वे ऐसी किसी चीज़ से चूकते रहेंगे जिसे उनके अपने स्कैनर ने एक साल पहले कम प्राथमिकता वाला बताया था।

इस शानदार साक्षात्कार के लिए धन्यवाद। जो पाठक और जानना चाहते हैं, वे Astelia पर जाएँ।