क्रेग रिडेल, वॉलार्म में ग्लोबल फील्ड सीआईएसओ – साक्षात्कार श्रृंखला

क्रेग रिडेल, वॉलार्म में ग्लोबल फील्ड सीआईएसओ, एक अनुभवी साइबर सुरक्षा कार्यकारी हैं जो उद्यमों को एपीआई और एआई-ड्रIVEN प्रणालियों से जुड़े बढ़ते जोखिमों का प्रबंधन करने में मदद करने पर केंद्रित हैं। अपनी वर्तमान भूमिका में, वह सीआईएसओ, सीआईओ और इंजीनियरिंग नेताओं के साथ密त से काम करता है ताकि वास्तविक दुनिया के हमले पैटर्न और दुरुपयोग परिदृश्यों को कार्रवाई योग्य सुरक्षा रणनीतियों में अनुवाद किया जा सके, जिसमें पर्यवेक्षण पर एक मजबूत जोर है – यह समझना कि एपीआई और एआई प्रणालियां उत्पादन में कैसे व्यवहार करती हैं उपयोगकर्ताओं, अनुप्रयोगों और एकीकरण के पार। उनका करियर पहचान और पहुंच प्रबंधन, शून्य विश्वास वास्तुकला, और उद्यम सुरक्षा में नेतृत्व भूमिकाओं को शामिल करता है, जिसमें नेटवरिक्स, क्रोन और एचपी जैसे संगठनों में बड़े पैमाने पर आईएएम परिवर्तन और सुरक्षा ढांचे को आधुनिक बनाने के लिए ड्राइव किया गया है। रिडेल की विशेषज्ञता उभरते खतरों जैसे व्यवसाय तर्क हमलों, एपीआई दुरुपयोग, एआई प्रणाली ड्रिफ्ट और धोखाधड़ी पर केंद्रित है, जिसमें उच्च-स्तरीय सुरक्षा रणनीति और संचालन निष्पादन के बीच अंतर को पाटने पर एक सुसंगत ध्यान केंद्रित किया जाता है।

वॉलार्म एक साइबर सुरक्षा कंपनी है जो आधुनिक क्लाउड वातावरण में एपीआई, अनुप्रयोगों और एआई-ड्रIVEN प्रणालियों की सुरक्षा में विशेषज्ञता रखती है। इसका प्लेटफ़ॉर्म निरंतर खोज, परीक्षण और वास्तविक समय सुरक्षा प्रदान करता है खतरों जैसे एपीआई दुरुपयोग, व्यवसाय तर्क हमलों और स्वचालित शोषण के खिलाफ, जबकि जटिल बुनियादी ढांचे के पार प्रणालियों के व्यवहार में गहरी दृश्यता प्रदान करता है। मल्टी-क्लाउड और क्लाउड-मूल वास्तुकला के लिए डिज़ाइन किया गया, वॉलार्म मौजूदा डेवोप्स और सुरक्षा कार्यप्रवाह में एकीकृत करता है, जिससे संगठनों को हमलों का पता लगाने और उन्हें रोकने में सक्षम बनाता है जब वे होते हैं, न कि事実 के बाद। एपीआई इन्वेंट्री, एआई-ड्रIVEN खतरा पता लगाने और स्वचालित प्रतिक्रिया क्षमताओं को जोड़कर, प्लेटफ़ॉर्म एक बढ़ती वास्तविकता को संबोधित करता है जहां एपीआई और एआई प्रणालियां आधुनिक डिजिटल व्यवसायों के लिए प्राथमिक हमला सतह बन गई हैं।

आपके करियर की शुरुआत में सिस्टम और बुनियादी ढांचे के साथ काम करने से लेकर पहचान, पहुंच, एपीआई और एआई सुरक्षा पर केंद्रित नेतृत्व भूमिकाओं में जाने तक, आपकी यात्रा में कौन से प्रमुख परिवर्तन हुए जिन्होंने आपको यह निष्कर्ष निकालने के लिए प्रेरित किया कि वास्तविक जोखिम परिधि से दूर हो गया है और एपीआई और मशीन-चालित प्रणालियों में चला गया है?

मेरे करियर की शुरुआत में, ध्यान परिधि की सुरक्षा पर था। फ़ायरवॉल, खंड, बुनियादी ढांचे को मजबूत करना। यह मॉडल तब काम करता था जब प्रणालियां अधिक स्थिर थीं और विश्वास सीमाएं अधिक परिभाषित थीं।

जो बदल गया वह यह है कि अनुप्रयोगों का निर्माण कैसे किया जाता है और प्रणालियां कैसे बातचीत करती हैं। एपीआई सब कुछ के लिए जुड़ने वाले ऊतक बन गए, और एआई ने इसे और तेज कर दिया। अब प्रणालियां निर्णय ले रही हैं, अन्य प्रणालियों को कॉल कर रही हैं, और एक पैमाने और गति पर कार्रवाई कर रही हैं जिसमें मानव शामिल नहीं हैं।

उस बिंदु पर, परिधि कम प्रासंगिक हो जाती है। वास्तविक जोखिम वहां स्थानांतरित हो जाता है जहां निर्णय लिए जाते हैं और कार्रवाई की जाती है, एपीआई और मशीन-चालित कार्यप्रवाह के भीतर।

यदि आपके पास वहां दृश्यता और नियंत्रण नहीं है, तो आप ऐसे व्यवहार पर भरोसा कर रहे हैं जिसे आप पूरी तरह से नहीं देख सकते हैं। यह वह जगह है जहां व्यवसाय जोखिम दिखाई देता है, वित्तीय जोखिम से लेकर अनपेक्षित परिणामों और संचालन व्यवधान तक।

आपने साइबर हैंडशेक को तोड़ा हुआ बताया है, जिसमें प्रणालियां विश्वास स्थापित करती हैं और जटिल एपीआई और स्वचालित प्रक्रियाओं की श्रृंखलाओं में क्रियाओं का आदान-प्रदान करती हैं। एक वास्तविक दुनिया के उद्यम वातावरण में यह टूट-फूट क्या दिखती है?

अधिकांश वातावरण में, प्रणालियां पहचान और प्रमाणीकरण के आधार पर एक दूसरे पर विश्वास करती हैं। एक टोकन वैध है, एक अनुरोध अच्छी तरह से बनाया गया है, और इंटरैक्शन की अनुमति है।

समस्या यह है कि यह मानता है कि वैध सुरक्षित के बराबर है। यह अब सच नहीं है।

हम पहचान को प्रमाणित करते हैं, लेकिन हम इरादे को नहीं मानते हैं। हम पहुंच को सत्यापित करते हैं, लेकिन श्रृंखला भर में व्यवहार को नहीं।

एक सेवा को दूसरी सेवा को कॉल करने के लिए अधिकृत किया जा सकता है, जो डाउनस्ट्रीम कार्रवाइयों को कई एपीआई पर ट्रिगर करता है। प्रत्येक चरण अलग से वैध दिखाई देता है, लेकिन पूरी श्रृंखला में आप अनपेक्षित व्यवहार या तर्क का दुरुपयोग देखना शुरू कर देते हैं।

एआई-ड्रIVEN वातावरण में, यह बढ़ाया जाता है। एजेंट कार्रवाइयों को श्रृंखला में डाल सकते हैं और मानव समीक्षा के बिना कार्यप्रवाह को निष्पादित कर सकते हैं।

हैंडशेक अभी भी होता है, लेकिन कोई यह नहीं पूछता है कि व्यवहार संदर्भ में क्या समझ में आता है। विश्वास स्थापित किया जाता है लेकिन निरंतर नहीं माना जाता है।

एआई और एपीआई जोखिम इतनी बार संगठनात्मक सीमाओं के बीच क्यों गिर जाता है, न कि स्पष्ट रूप से स्वामित्व में?

क्योंकि प्रणालियां संगठनों की संरचना के साथ संरेखित नहीं होती हैं।

डेवोप्स वितरण का मालिक है। सुरक्षा नीति का मालिक है। व्यवसाय टीम परिणामों का मालिक है। डेटा टीम मॉडल का मालिक है। प्रत्येक समूह एक टुकड़े का मालिक है, लेकिन कोई भी उत्पादन में प्रणाली का मालिक नहीं है जैसा वे व्यवहार करते हैं।

एपीआई व्यवसाय तर्क को पार करते हुए प्रणालियों भर में निष्पादित करते हैं। एआई उस पर गैर-निर्धारक निर्णय लेने को जोड़ता है। एक साथ, वे हर सीमा को काटते हैं।

वे एक टीम द्वारा निर्मित होते हैं, दूसरे द्वारा सुरक्षित होते हैं, और तीसरे द्वारा उपभोग किया जाता है, जिसमें उन सभी के बीच असंगत निगरानी होती है।

इससे जो अंतराल बनते हैं वे टीमों की विफलता नहीं हैं। वे संचालन मॉडल की विफलता हैं जो वास्तव में यह प्रतिबिंबित नहीं करते हैं कि आधुनिक प्रणालियां कैसे काम करती हैं।

आपके अनुभव में, कौन सी टीमें आमतौर पर एआई जोखिम का मालिक होने का दावा करती हैं, और सुरक्षा, डेवोप्स और व्यवसाय इकाइयों के बीच सबसे बड़े अंधे धब्बे कहां हैं?

सुरक्षा टीमें आमतौर पर शासन और अनुपालन के दृष्टिकोण से एआई जोखिम का मालिक होती हैं। डेवोप्स तैनाती और विश्वसनीयता का मालिक है। व्यवसाय इकाइयां परिणामों पर ध्यान केंद्रित करती हैं।

अंधे धब्बे उन क्षेत्रों में दिखाई देते हैं।

सुरक्षा यह परिभाषित करती है कि क्या होना चाहिए। डेवोप्स यह सुनिश्चित करता है कि प्रणाली चल रही है। व्यवसाय परिणामों पर ध्यान केंद्रित करता है। लेकिन बहुत कम टीमें लगातार यह देखती हैं कि प्रणाली वास्तव में वास्तविक समय में क्या कर रही है।

जोखिम वहां रहता है, खासकर जब व्यवहार तकनीकी रूप से वैध होता है लेकिन संदर्भ में गलत होता है।

आधुनिक हमले अक्सर स्पष्ट घुसपैठ के बजाय वैध और प्रमाणित व्यवहार के रूप में प्रकट होते हैं। संगठनों को इस नए वास्तविकता में पता लगाने के बारे में कैसे पुनः विचार करना चाहिए?

हमें “बुरे” अनुरोधों की पहचान करने से आगे बढ़ने की आवश्यकता है।

अधिकांश मामलों में, अनुरोध वैध है। प्रमाण पत्र वैध हैं। एपीआई कॉल अपेक्षित है। जो अपेक्षित नहीं है वह कार्रवाई की क्रम, मात्रा या परिणाम है।

पता लगाना व्यवहारिक और संदर्भ-आधारित होने की आवश्यकता है। यह एकल अनुरोध को ब्लॉक करने के बारे में कम है और अधिक समय के साथ प्रणालियों के बीच कैसे बातचीत करती हैं।

जो दृष्टिकोण वास्तव में पैमाने पर रखते हैं वे पैटर्न मिलान से परे जाते हैं। वे अनुरोधों को संरचनात्मक रूप से विभाजित करते हैं, प्रत्येक इंटरैक्शन को ज्ञात-खराब पैटर्न के खिलाफ मेल खाने की कोशिश करने के बजाय व्यवहार टोकन के सेट के रूप में मानते हैं।

यह आपको यह समझने की अनुमति देता है कि व्यवहार कैसे विकसित होता है और जहां यह विचलित होता है, भले ही सब कुछ सतह पर वैध दिखाई दे।

यदि आप स्थिर नियमों या हस्ताक्षरों पर भरोसा करते हैं, तो आप जो मायने रखता है उसमें से अधिकांश को याद करेंगे।

आपने वास्तविक दुनिया के व्यवहार में दृश्यता के महत्व पर जोर दिया है। एपीआई और एआई प्रणालियों के लिए उत्पादन में अर्थपूर्ण दृश्यता क्या दिखती है?

अर्थपूर्ण दृश्यता केवल लॉग और मेट्रिक्स नहीं है। यह संदर्भ में व्यवहार को समझना है।

एपीआई के लिए, इसका अर्थ पूर्ण अनुरोध और प्रतिक्रिया दृश्यता है, एंडपॉइंट्स का उपयोग कैसे किया जाता है, और इंटरैक्शन समय के साथ कैसे विकसित होते हैं।

एआई प्रणालियों के लिए, इसका अर्थ इनपुट, निर्णय और परिणामी क्रियाओं को समझना है।

सबसे महत्वपूर्ण बात, इसका अर्थ पूरे कार्यप्रवाह में प्रणालियों के पार जोड़ना है, न कि अलग-अलग घटनाओं में।

इसके बिना, आप व्यवहार के बारे में धारणाओं पर काम कर रहे हैं, न कि वास्तविकता पर।

मानव समीक्षा और अनुमोदन मॉडल मशीन-चालित वातावरण में कम प्रभावी क्यों हो रहे हैं?

क्योंकि गति और पैमाने बदल गए हैं।

प्रणालियां प्रति मिनट हजारों या लाखों कॉल कर रही हैं, और हमले या अनपेक्षित व्यवहार मिनटों या सेकंड में खुल सकते हैं। आप वास्तविक प्रदर्शन को तोड़े बिना प्रत्येक निर्णय के लिए मानव को लूप में रखने के लिए वास्तव में नहीं रख सकते हैं।

एआई प्रणालियां भी हमेशा निर्धारक नहीं होती हैं, जो पूर्व-अनुमोदन मॉडल को कम प्रभावी बनाती हैं।

मानव पर्यवेक्षण अभी भी मायने रखता है, लेकिन यह व्यक्तिगत क्रियाओं को मंजूरी देने से गार्डरेल और परिणामों की निगरानी की ओर स्थानांतरित करने की आवश्यकता है।

जब कंपनियां विरासत सुरक्षा ढांचे का उपयोग करके एआई प्रणालियों को सुरक्षित करने की कोशिश करती हैं तो आप किन सबसे सामान्य संचालन अंतराल देखते हैं?

सबसे बड़ा अंतर डिज़ाइन-समय नियंत्रण पर अत्यधिक निर्भरता है।

संगठन मॉडल, कोड की समीक्षा, और तैनाती से पहले नीतियों को परिभाषित करने पर ध्यान केंद्रित करते हैं। यह महत्वपूर्ण है, लेकिन यह मानता है कि प्रणालियां तैनाती के बाद अपेक्षित रूप से व्यवहार करेंगी।

वास्तव में, प्रणालियां विकसित होती हैं। एपीआई बदलते हैं। एआई मॉडल नए डेटा और कार्यप्रवाह के साथ बातचीत करते हैं। व्यवहार समय के साथ बदलता है।

उत्पादन में व्यवहार के निरंतर मान्यकरण के बिना, संगठन प्रभावी रूप से अंधे हो जाते हैं जब तैनाती के बाद।

एक व्यावहारिक संचालन मॉडल क्या दिखता है जब कई हितधारक एआई और एपीआई जोखिम के लिए साझा जिम्मेदारी साझा करते हैं?

यह एक साझा जिम्मेदारी को स्वीकार करने से शुरू होता है कि कोई एक टीम इसे अंत से अंत तक नहीं कर सकती है।

एक व्यावहारिक मॉडल साझा जिम्मेदारी को परिभाषित करता है, जो एक साझा सच्चाई के चारों ओर लंगर डाला जाता है: रनटाइम व्यवहार।

सुरक्षा जोखिम और नीति को परिभाषित करती है। इंजीनियरिंग निर्माण और संचालन करती है। व्यवसाय स्वीकार्य परिणामों को परिभाषित करता है।

जो टीमें आगे निकल रही हैं वे एक बंद लूप में काम करती हैं। निरंतर खोज, प्रवर्तन और परिष्करण, जो कि डिज़ाइन समय पर क्या माना जाता था, उसके बजाय उत्पादन में क्या वास्तव में हो रहा है पर आधारित है।

सभी हितधारकों को उत्पादन में प्रणालियों के संचालन में दृश्यता की आवश्यकता है। वहां से, टीमें यह तय कर सकती हैं कि “अच्छा” क्या दिखता है, विचलन का पता लगा सकती हैं और प्रतिक्रिया दे सकती हैं।

परिवर्तन सिलो के स्वामित्व से समन्वित जिम्मेदारी में है, जो रनटाइम अंतर्दृष्टि में निहित है।

आगे देखते हुए, क्या आप सुरक्षा जिम्मेदारी को फिर से केंद्रीकृत होते हुए देखते हैं, या यह जोखिम के रूप में प्रणालियों के निर्माण के रूप में जारी रहेगा?

जिम्मेदारी वितरित रहेगी क्योंकि यह प्रणालियों के निर्माण को दर्शाता है।

जो बदलेगा वह यह है कि यह जिम्मेदारी कैसे समन्वित की जाती है।

हम एकीकृत शासन मॉडल देखेंगे जहां टीमें अपने डोमेन का मालिक हैं, लेकिन साझा दृश्यता और संदर्भ के साथ काम करती हैं।

जो संगठन सफल होंगे वे वे नहीं होंगे जो सब कुछ केंद्रीकृत करने की कोशिश करते हैं। वे जो हितधारकों को वास्तविक दुनिया में प्रणालियों के व्यवहार के चारों ओर संरेखित करते हैं।

क्योंकि यदि कोई भी रनटाइम व्यवहार को नहीं समझता है, तो कोई भी वास्तव में जोखिम का मालिक नहीं है।

साक्षात्कार के लिए धन्यवाद, पाठक जो अधिक जानना चाहते हैं उन्हें वॉलार्म पर जाना चाहिए।