C‑Suite में अधिकार को पुनर्परिभाषित करना: AI के साथ संबंध को पोषित करने के लिए वास्तव में क्या चाहिए

मैंने सुरक्षा संचालन के खरीदार पक्ष में 25 साल बिताए हैं, और मैंने कभी फायरवॉल नियम को लेकर नींद नहीं खोई। हालांकि, मैंने AI को लेकर नींद खोई है। पारंपरिक ऑटोमेशन, चाहे कितना भी जटिल हो, ऐसी तर्कशक्ति का पालन करता है जिसे आप ट्रेस कर सकते हैं। लेकिन इस अभूतपूर्व पैमाने के एजेंटिक AI में, सिस्टमों को ऐसे निर्णय लेने के लिए भरोसा किया जा रहा है जिन्हें इंजीनियर हमेशा पूरी तरह समझा नहीं पाते – यह पारदर्शिता की कमी ही वह कारण है जिससे कई CISOs फँसे हुए हैं।

97% सुरक्षा नेताओं को भरोसा है कि AI ट्रायेज संभाल सकता है, फिर भी केवल 35% ही वास्तव में इसका उपयोग कर रहे हैं। यह मोड़ एक भरोसे की समस्या है, और भरोसा केवल उसी तरह हल किया जा सकता है जैसा हमेशा किया गया है, संरचना, प्रमाण, और समय के माध्यम से।

आप ऑटोमेशन को देख सकते हैं, लेकिन क्या आप AI पर भरोसा कर सकते हैं?

पारंपरिक ऑटोमेशन के साथ, प्रैक्टिशनर यह निश्चितता के साथ जान सकते हैं कि क्या होगा, इससे पहले कि वह हो। यह पारदर्शिता ही कारण है कि SOC टीमों ने एक दशक तक स्वचालित वर्कफ़्लो में भरोसा बनाते हुए कोई बड़ा आंतरिक बहस नहीं की, लेकिन एजेंटिक AI ने एक सीखी हुई निर्णय परत पेश करके इस ढाँचे को तोड़ दिया है – एक प्रणाली जो संदर्भ को तौलती है, भविष्यवाणी करती है, और ऐसी प्रक्रिया के माध्यम से निष्कर्ष निकालती है जो हमेशा पूरी तरह स्पष्ट नहीं होती, यहाँ तक कि उन लोगों के लिए भी जिन्होंने इसे बनाया है।

केवल 21% संगठनों का कहना है कि उनके पास एजेंटिक AI के लिए एक परिपक्व गवर्नेंस मॉडल मौजूद है, जबकि 74% अपेक्षा करते हैं कि 2027 तक वे AI एजेंटों का “मध्यम” स्तर तक उपयोग करेंगे। जब सुरक्षा प्रैक्टिशनर इस प्रकार के “ब्लैक बॉक्स AI” को पारदर्शी रूप से समझा नहीं पाते, तो यह AI टूल्स के गवर्नेंस की कठिनाई को दर्शाता है। यह इसलिए नहीं कि टूल्स को सही ढंग से सुरक्षित नहीं किया जा रहा, बल्कि इसलिए है कि AI टूल की आंतरिक कार्यप्रणाली निर्णय पर आधारित होती है, न कि किसी फ्लोचार्ट पर।

बोर्डरूम में, नेता AI को उसी तरह मूल्यांकित कर रहे हैं जैसे वे ऑटोमेशन को मूल्यांकित करते, “क्या मैं तर्क देख सकता हूँ?” पूछते हैं, बजाय “मैं कैसे उस निर्णयकर्ता पर भरोसा करूँ जो अपना तर्क विकसित करता है?” के। अधिकांश CISOs शायद पहले से ही उत्तर जानते हैं, लेकिन चुनौती इसे व्यवहार में लागू करने की है।

AI को एक उच्च-स्तरीय नियुक्ति की तरह व्यवहार करना

एक नए वरिष्ठ विश्लेषक की ऑनबोर्डिंग के बारे में सोचें। एक CISO पहले दिन ही एक नई नियुक्ति को प्रोडक्शन की चाबियाँ नहीं देगा, चाहे उसका रिज्यूमे कितना भी प्रभावशाली हो। वह उन्हें कम‑जोखिम वाले कार्यों से शुरू करेगा, देखेगा कि वे अस्पष्टता को कैसे संभालते हैं, और जैसे‑जैसे वे भरोसा जीतते हैं, उनका अधिकार विस्तार करेगा। AI को भी वही ऑनबोर्डिंग मिलनी चाहिए, साक्ष्य‑आधारित भरोसे के साथ जो समय के साथ बनता है।

हमने पहले ही देखा है कि जब एक स्वायत्त Meta AI एजेंट ने बिना मानव अनुमोदन के कार्रवाई करके कंपनी‑व्यापी सुरक्षा घटना को ट्रिगर किया, जिससे लगभग दो घंटे तक संवेदनशील कंपनी और उपयोगकर्ता डेटा अनधिकृत कर्मचारियों के सामने खुला रहा, तब इसका मूल कारण निर्णय बिंदु पर मानव‑इन‑द‑लूप निगरानी की कमी था जहाँ स्पष्ट अनुमोदन आवश्यक होना चाहिए था। यही वह सटीक विफलता मोड है जिसे कठोर गार्डरेल्स रोकने के लिए डिज़ाइन किए गए हैं, और यह याद दिलाता है कि दायरा अनुशासन मॉडल की परिष्कृति से अधिक महत्वपूर्ण है।

AI को भी वही ध्यान मिलना चाहिए, और हम इसे एक साक्ष्य‑आधारित रैंप के रूप में सोच सकते हैं:

• परिनियोजन से पहले निर्णय तर्क को समझें। आपको मॉडल के हर वज़न को देखना आवश्यक नहीं है, लेकिन आपको यह जानना चाहिए कि यह किस डेटा पर तर्क कर रहा है, किन परिणामों को अनुकूलित कर रहा है, और इसके संभावित अंधे बिंदु कहाँ हो सकते हैं।
• पहले दिन ही कठोर गार्डरेल्स सेट करें। ठीक‑ठीक परिभाषित करें कि सिस्टम स्वतंत्र रूप से क्या कर सकता है और क्या मानव हस्तक्षेप की आवश्यकता रखता है। सीमित दायरा वह नींव है जिस पर भरोसा निर्मित होता है।
• साक्ष्य इकट्ठा होते ही सीमाओं का विस्तार करें। हर सही निर्णय एक डेटा पॉइंट है, और हर गलती भी एक डेटा पॉइंट है। दायरे को ट्रैक रिकॉर्ड के अनुपात में बढ़ाएँ, न कि विक्रेता के उत्साह या बजट चक्र के आधार पर।

इन प्रोटोकॉल का पालन करने से CISO की चिंताओं को कम करने में मदद मिलेगी, जिसमें यह सुनिश्चित करना शामिल है कि कोई स्वायत्त प्रणाली उस बिंदु से आगे न जाए जहाँ किसी ने वास्तव में इसकी विश्वसनीयता की पुष्टि की हो।

तीन‑परत मॉडल: जहाँ AI अपना स्थान अर्जित करता है

SANS’ Secure AI Blueprint तीन ट्रैक के आसपास निर्मित गवर्नेंस संरचना प्रस्तुत करता है—AI की रक्षा करें, AI का उपयोग करें, AI का शासन करें—जिसमें एक्सेस, डेटा, परिनियोजन, इन्फ़रेंस, मॉनिटरिंग, और मॉडल सुरक्षा सहित छह नियंत्रण श्रेणियाँ शामिल हैं। यह एक उपयोगी शुरुआती बिंदु है, और एक कदम आगे बढ़ते हुए, इस संबंध को संरचित करने के लिए SOC को तीन परतों में विभाजित करना उपयोगी रहता है ताकि AI भरोसे की समस्या का समाधान हो सके।

1. परिणाम। यह वह परत है जहाँ व्यापार जोखिम मौजूद होता है। संगठन किस परिणाम को स्वीकार्य मानता है? झूठे नकारात्मक बनाम झूठे सकारात्मक के लिए सहनशीलता क्या है? यह एक मानव निर्णय है, बस इतना ही। कोई मॉडल यह तय नहीं कर सकता कि संगठन किस जोखिम को उठाने को तैयार है।
2. निर्णय‑निर्णय। यहाँ प्राथमिकताएँ निर्धारित होती हैं और अस्पष्टता के तहत समझौते किए जाते हैं। क्या इस अलर्ट को अभी बढ़ाया जाए या अधिक संदर्भ के लिए रोका जाए? क्या इस विसंगति को किसी की रात में बाधा डालने लायक है? निर्णय AI द्वारा सूचित हो सकता है, और बढ़ती हुई आवश्यकता है कि ऐसा हो, लेकिन अंतिम अधिकार मानव का ही रहता है। यही वह परत है जिसे अधिकांश संगठन बहुत जल्दी सौंपने की कोशिश करते हैं, और यही वह परत है जो उन्हें अगर जल्दी सौंप दिया जाए तो जलाएगी।
3. कार्यान्वयन। यही वह परत है जहाँ AI को भारी कार्य करना चाहिए, और वह गति से करना चाहिए जो कोई मानव टीम नहीं मिल सकती। अलर्ट को समृद्ध करना, दर्जनों टूल्स में संकेतों को जोड़ना, containment कार्रवाई का मसौदा तैयार करना, प्लेबुक चलाना—एक बार जब मानव या भरोसेमंद निर्णय‑परत ने मार्ग को मंजूर कर दिया हो। मशीन गति, ट्रिगर होने पर निर्धारक, इस पर कोई अहंकार नहीं।

साझेदारी को परिपक्व बनाना, केवल टूल को प्रबंधित नहीं करना

जब SOC में AI के साथ संबंध को एक साझेदारी के रूप में स्थापित किया जाता है न कि केवल एक टूल के रूप में, तो CISOs AI को एक विकसित होते सहयोगी के रूप में देखना शुरू कर देते हैं, जिससे CISO के समय के उपयोग में मूलभूत बदलाव आता है।

वे SOC जो इस संबंध को संतुलित कर पाते हैं, वही सबसे अनुशासित भरोसे‑निर्माण प्रक्रिया रखते हैं। यही अनुशासन सुरक्षा संचालन को निष्पादन परत में मशीन गति से स्केल करने देता है, जबकि परिणाम‑स्तर के निर्णयों के लिए आवश्यक मानव निर्णय नहीं खोता, और हमेशा रहेगा।

हम उस क्षण को पार कर चुके हैं जब AI को बोर्डरूम को प्रभावित करने वाला चमकदार नया टूल माना जाता था। AI की क्षमताएँ और संभावनाएँ इस अधिकार को अर्जित कर चुकी हैं कि इसे उसी तरह माना जाए जैसा SOC में उन्नत तकनीक को हमेशा माना गया है—एक‑एक सत्यापित निर्णय के आधार पर।