जैक चेरकास, सिंटैक्स में ग्लोबल सीआईएसओ – साक्षात्कार श्रृंखला

जैक चेरकास, सिंटैक्स में ग्लोबल सीआईएसओ, एक साइबर सुरक्षा कार्यकारी हैं जिनके पास क्लाउड सुरक्षा, साइबर लचीलापन, उद्यम वास्तुकला और एआई सुरक्षा में गहरा अनुभव है। उन्होंने सिंटैक्स, पीडब्ल्यूसी यूके, किंड्रिल और आईबीएम में वरिष्ठ पदों पर कार्य किया है, जहां उन्होंने सुरक्षा संचालन का निर्माण और विस्तार किया, प्रमुख घटना प्रतिक्रिया प्रयासों का प्रबंधन किया और बड़े उद्यम वातावरण के लिए साइबर लचीलापन रणनीतियों का विकास किया। सिंटैक्स में, वह कंपनी के लोगों, प्रणालियों, डेटा केंद्रों, प्रबंधित क्लाउड सेवाओं और ग्राहकों के सामने सुरक्षा प्रसाद के पार कंपनी की वैश्विक साइबर सुरक्षा का नेतृत्व करते हैं, जिसमें आठ देशों में 65 से अधिक सुरक्षा पेशेवरों की एक टीम की देखरेख की जाती है।

सिंटैक्स एक वैश्विक आईटी सेवा और प्रबंधित क्लाउड प्रदाता है जो मिशन-क्रिटिकल उद्यम अनुप्रयोगों में विशेषज्ञता रखता है, विशेष रूप से एसएपी और ऑरेकल वातावरण। कंपनी संगठनों को क्लाउड माइग्रेशन, प्रबंधित होस्टिंग, साइबर सुरक्षा, उद्यम अनुप्रयोग प्रबंधन और हाइब्रिड और मल्टी-क्लाउड बुनियादी ढांचे में एआई-संचालित संचालन में मदद करती है। इसका काम उद्यमों को जटिल व्यावसायिक प्रणालियों को आधुनिक बनाने, सुरक्षित करने और बड़े पैमाने पर संचालित करने में मदद करने पर केंद्रित है।

आपके पास आईबीएम, किंड्रिल, पीडब्ल्यूसी और अब सिंटैक्स में साइबर सुरक्षा पहलों का नेतृत्व करने का अनुभव है। उभरती प्रौद्योगिकियों जैसे कि एआई को सुरक्षित करने के लिए आपका दृष्टिकोण कैसे विकसित हुआ है, खासकर जब संगठन प्रयोग से उत्पादन में जा रहे हैं?

मेरा करियर विकास एक श्रृंखला के व्यवधानों का अनुसरण करता है, जिनमें से प्रत्येक को सुरक्षा को एक नए नियंत्रण सतह के साथ पकड़ने की मांग करता है। आईबीएम में क्लाउड के शुरुआती दिनों में, प्रश्न यह था कि क्या हम किसी और के बुनियादी ढांचे पर मिशन-क्रिटिकल वर्कलोड चलाने पर विश्वास कर सकते हैं। उत्तर एक साझा जिम्मेदारी मॉडल और क्लाउड-मूल नियंत्रणों की एक पीढ़ी थी।

इसके बाद रैनसमवेयर युग आया। 2017 में नॉटपेटा ने कंपनियों को घंटों में अक्षम कर दिया, और उद्योग ने सीखा कि कीड़े वाले मैलवेयर वैश्विक आपूर्ति श्रृंखला को रातोंरात नीचे ला सकते हैं। प्रतिक्रिया तब हुई जब (न कि अगर) एक साइबर हमला होगा, नेटवर्क खंड, अमिट बैकअप, और पहचान पर एक गंभीर धक्का दिया जाएगा।

किंड्रिल और पीडब्ल्यूसी में मेरे समय के दौरान, सास ने हर एस्टेट के केंद्र में अपनी जगह बना ली। कार्यभार डेटा केंद्रों से बाहर निकलकर किसी और के स्टैक पर चले गए, पहचान परिधि बन गई, और शून्य विश्वास एक आरेख से एक संचालन मॉडल में बदल गया।

अब सिंटैक्स में, हम जेनएआई लहर में हैं, जहां प्रणाली स्वयं तर्क, उत्पन्न और कार्य करती है। प्रत्येक लहर ने हमें एक नया नियंत्रण सतह दी, पर्याप्त चेतावनी नहीं दी, और प्रयोग और उत्पादन के बीच एक छोटी खिड़की दी। क्लाउड ने वर्षों लिए। सास ने तिमाहियों लिए। जेनएआई सप्ताह लेता है। जो सीआईएसओ लोग तेजी से अपनाते हैं वे हैं जो प्रत्येक लहर को एक अपवाद के रूप में इलाज करने के बजाय तेजी से अपनाने को स्थिर राज्य के रूप में मानते हैं।

एआई को तेजी से अपनाने के साथ, आप जोखिम का आकलन कैसे करते हैं कि विश्वास, न कि केवल अनुपालन, खतरे में है?

विश्वास एआई को अपनाने का आधार है। सबसे पहले संकेत ऑडिट रिपोर्ट में नहीं हैं, वे संचालन संकेतों में हैं। छाया एआई तैनाती जिसका कोई मालिक नहीं है। खरीद जो जेनएआई विक्रेताओं को सुरक्षा समीक्षा के बिना अनुमोदित करती है। डेटा वंशावली जो टूट जाती है जब आप प्रशिक्षण डेटा के बारे में पूछते हैं। एआई एजेंटों को प्रशासक अनुमतियां दी जाती हैं क्योंकि कोई परियोजना को धीमा नहीं करना चाहता था। जब आप एक संगठन में उन चार संकेतों को देखते हैं, तो विश्वास पहले से ही तेजी से खर्च किया जा रहा है जितना कमाया जा रहा है। नेतृत्व आमतौर पर अंतिम को पता चलता है।

कई कंपनियां एआई को सुरक्षित करने से पहले तेजी से अपना रही हैं। आप आज जोखिम को कैसे देखते हैं जब शासन प्रौद्योगिकी से पीछे रह जाता है?

जब शासन पीछे रह जाता है, तो तीन चीजें होती हैं, और उनमें से कोई भी सुरक्षा घटना के रूप में दिखाई नहीं देता है जब तक कि बहुत बाद में न हो। सबसे पहले, नियामक जोखिम चुपचाप जुड़ जाता है: एक एआई तैनाती जो ईयू एआई अधिनियम की पारदर्शिता आवश्यकताओं का उल्लंघन करती है, कोई अलार्म नहीं बजता है; यह दो साल बाद एक ऑडिट में जुर्माने के रूप में दिखाई देता है। दूसरा, ग्राहक विश्वास लेन-देन में कम हो जाता है जिसे आप देखते नहीं हैं: प्रॉस्पेक्ट प्रतियोगियों का चयन करते हैं जो शासन साबित कर सकते हैं, और आपकी बिक्री टीम कभी नहीं जानती कि क्यों। तीसरा, निर्णय की गुणवत्ता खराब हो जाती है: संगठन एआई-प्रभावित निर्णय लेता है लेकिन उन्हें समझाने या ऑडिट नहीं कर सकता है, और खराब निर्णय उन स्थानों पर जमा होते हैं जहां कोई नहीं देख रहा है। कमजोर एआई शासन की लागत ऑडिट, बिक्री और निर्णय की गुणवत्ता का धीमा क्षरण है, जो एक प्रतिष्ठात्मक रूप से हानिकारक उल्लंघन में समाप्त होता है।

आपके अनुभव से मैनेज्ड सुरक्षा सेवाओं और एसओसी संचालन का निर्माण और विस्तार करने के बारे में, एआई-संचालित प्रणालियों और स्वायत्त निर्णय लेने के लिए सुरक्षा मॉडल को कैसे पुनः सोचा जाना चाहिए?

एआई एक नया हमला वेक्टर है, एक खतरा गुणक, और एक महत्वपूर्ण रक्षात्मक पहेली टुकड़ा है, और सुरक्षा मॉडल को तीनों को एक ही समय में कवर करने के लिए अनुकूलन करना होगा।

एक हमले के वेक्टर के रूप में, जेनएआई प्लेटफॉर्म स्वयं रक्षा के लिए लक्ष्य बन जाते हैं। एक खतरा गुणक के रूप में, हमलावर जेनएआई का उपयोग फ़िशिंग को बड़े पैमाने पर तैयार करने, शोषण कोड को उत्पन्न करने, स्वचालित जासूसी करने और मशीन गति से कमजोरियों का पता लगाने के लिए कर रहे हैं। एक रक्षात्मक टुकड़े के रूप में,同 एक ही प्रौद्योगिकी दूसरी ओर मुड़ी हुई है एकमात्र व्यावहारिक उत्तर है: एआई-संचालित त्रुटि-विश्लेषण, स्वचालित खतरा शिकार, और विश्लेषक अभिवृद्धि अब वैकल्पिक नहीं हैं; वे हैं कि एक एसओसी एक एआई-संवर्धित प्रतिद्वंद्वी के साथ तालमेल बिठाता है। यदि वे एआई-संवर्धित हैं और हम नहीं हैं, तो अंतर प्रत्येक चक्र के साथ जुड़ जाता है।

यह एक नए अभिनेता प्रकार को भी बनाता है जिसे मॉडल को शासित करना होगा। सिंटैक्स में, हम पहले से ही एआई एजेंटों को về ऑर्ग चार्ट में शामिल होने के बारे में सोचते हैं, मानवों के साथ, जो हम उन्हें सुरक्षित करने के लिए कैसे सेट करते हैं इसके लिए बार को सेट करता है। एआई एजेंटों को मानव उपयोगकर्ताओं (पहचान, भूमिका-आधारित अनुमतियां, गतिविधि लॉग, व्यवहार संबंधी बेसलाइन) के लिए हम जो देते हैं उसे सब कुछ की आवश्यकता होती है, साथ ही साथ समझौता खातों पर हम जो प्रतिबंध लागू करते हैं वही है: अक्षम करने, अलग करने और रद्द करने की क्षमता। अंतर गति है। एजेंट मिलीसेकंड में कार्य करते हैं, इसलिए उन प्रतिबंधों को तुरंत और स्वचालित होना चाहिए, न कि घटना प्रतिक्रिया कार्य प्रवाह के पीछे।

सिंटैक्स में, हमारे ग्लोबल सिक्योरिटी ऑपरेशन सेंटर को विकसित किया गया है ताकि एआई मानव विश्लेषक को संवर्धित करे, जबकि हमारे कर्मचारी सिंटैक्स जेनएआई प्लेटफॉर्म के भीतर एजेंटिक कार्य प्रवाह और एजेंट बनाते हैं, जो डिफ़ॉल्ट रूप से पूर्व-निर्मित गार्डरेल के साथ आता है। पूर्वाग्रह, विषाक्तता, और डेटा गोपनीयता और सुरक्षा के लिए नियंत्रण।

यह पुनः विचार है। एआई की रक्षा करें जैसे कि यह एक लक्ष्य है। एआई को एक रक्षक के रूप में तैनात करें। एआई के उपयोग को शासित करें।

संगठनों को एआई प्रणालियों के लिए अर्थपूर्ण निगरानी और गार्डरेल को लागू करते समय नवाचार वेग को बनाए रखने के लिए कैसे सुनिश्चित किया जा सकता है?

गति और नियंत्रण विपरीत लगते हैं जब तक आप शासन का निर्माण नहीं करते जो परियोजना के साथ यात्रा करता है, न कि इसे ब्लॉक करता है। गलती गेट पर शासन रखना है: एक समिति, एक हस्ताक्षर, एक त्रैमासिक समीक्षा। गेट खुलने से पहले ही, टीम या तो इसके चारों ओर गया है या गति खो दी है। जो मॉडल काम करता है वह प्रक्रियाओं को पुनः परिभाषित करने के साथ है जिसमें शासन बेक्ड है। स्पष्ट और सुसंगत संचार प्रारंभिक बिंदु है, इसके बाद पूर्व-अनुमोदित पैटर्न, पूर्व-मंजूरी डेटा प्रवाह, और पूर्व-परिभाषित अनुमति टेम्पलेट हैं। टीमें गति प्राप्त करती हैं, सुरक्षा टीमें दृश्यता प्राप्त करती हैं, और हर कोई मानता है कि व्यापार में हिस्सा लेने के लिए एक व्यापार-बंद है। यह सभी संगठन की जोखिम भूख के खिलाफ नवाचार के साथ सुरक्षा को संतुलित करने के बारे में है।

आप बड़े पैमाने पर साइबर लचीलापन रणनीतियों और घटना प्रतिक्रिया पर काम किया है। एआई की शुरुआत से साइबर खतरों और संगठनों को उनके लिए तैयार करने के तरीके की प्रकृति कैसे बदलती है?

एआई साइबर खतरों को विभिन्न वेक्टरों में तेजी से बढ़ा रहा है। पैमाना: मिलीसेकंड में एक साथ हजारों लक्ष्यों के खिलाफ फ़िशिंग और जासूसी। जटिलता: गहरे नकली सामाजिक इंजीनियरिंग जो मानव की आवाज और वीडियो सत्यापन को हराती है। पहचान: सिंथेटिक पहचान जो मानव के लिए डिज़ाइन किए गए पहचान जांच पास करती है।

घटना प्रतिक्रिया के लिए, परिणाम संचालन हैं। आपको ऐसा पता लगाने की आवश्यकता है जो मानव गति पर पैटर्न को पहचानने पर निर्भर नहीं करता है। आपको सत्यापन प्रोटोकॉल की आवश्यकता है जो मानते हैं कि आवाज और वीडियो नकली हो सकते हैं। और आपको घटना प्रतिक्रिया प्लेबुक की आवश्यकता है जो विशेष रूप से एआई-संबंधित घटनाओं को कवर करती है, क्योंकि रिकवरी कदम रैंसमवेयर घटना से रिकवरी से अलग हैं।

सिंटैक्स में, जटिल, वास्तविक दुनिया के उद्यम वातावरण में “सुरक्षित-डिज़ाइन” एआई वास्तव में कैसा दिखता है?

सिंटैक्स में इसका अर्थ है नवाचार और सुरक्षा के बीच संतुलन, हमारे जेनएआई प्लेटफॉर्म को अपनाने के माध्यम से, जिसमें बेक्ड-इन गार्डरेल हैं, हमारी अनुमोदित, प्रतिबंधित और निषिद्ध जेनएआई सेवाएं और ऐप्स, मॉडल और प्लेटफ़ॉर्म, और हमारे एआई गवर्नेंस ऑफ़िस के माध्यम से सुरक्षा-पहले संस्कृति को बढ़ावा देना। हमारे ग्लोबल सिक्योरिटी संगठन के लिए, इसका अर्थ है खुद को व्यवसाय के लिए एक सक्षम के रूप में स्थिति करना, न कि एक ब्लॉकर, व्यवसाय को अपनी रणनीतिक प्राथमिकताओं के साथ समर्थन करना, जबकि सिंटैक्स को हमारी जोखिम भूख के अनुरूप सुरक्षित करना।

एक बढ़ती हुई कथा है कि सुरक्षा और अनुपालन अब विकास के विकासक नहीं हैं, बल्कि विकासक हैं। संगठनों को वास्तव में इस मानसिकता को अपनाने के लिए क्या बदलने की आवश्यकता है?

सबसे बड़ा बदलाव यह है कि सफलता कैसी दिखती है। सुरक्षा टीमों को दशकों से यह मापा जाता है कि क्या हुआ नहीं: कोई उल्लंघन नहीं, कोई घटना नहीं, कोई ऑडिट खोज नहीं। यह मीट्रिक ना कहने को पुरस्कृत करता है। टीमें जो संचालक के रूप में काम करती हैं कुछ और मापती हैं: सौदे जीते क्योंकि नियंत्रण प्रदर्शित किए गए थे, लॉन्च जो तारीख तक पहुंचे क्योंकि सुरक्षा ने रास्ता साफ किया, और नवाचार जो निगरानी के माध्यम से चले गए, न कि इसके चारों ओर।

संचालन में, इसके लिए प्रक्रियाओं को पुनः परिभाषित करने की आवश्यकता है जिसमें शासन बेक्ड है, हमारे जेनएआई प्लेटफॉर्म जैसे सक्रिय संचालन के साथ जोड़ा, और सुलभ जेनएआई शिक्षा और कार्यक्रम, जैसे कि हमारी एआई चैंपियन पहल।

संस्कृति इसका अनुसरण करती है कि आप क्या प्रोत्साहित करते हैं और क्या सक्षम करते हैं। आप क्या बदलें और लोगों को सही उपकरण और सही समय पर सही प्रशिक्षण दें, और आप यह बदलें कि वे क्या करते हैं। यह सिंटैक्स की यात्रा है जिस पर हम हैं।

एआई को उद्यम कार्य प्रवाह में तेजी से एकीकृत करते हुए, सीआईएसओ को एआई नेताओं, डेटा वैज्ञानिकों और उत्पाद टीमों के साथ कैसे सहयोग करना चाहिए ताकि प्रगति को धीमा किए बिना एआई प्रणालियों के लिए जिम्मेदारी सुनिश्चित की जा सके?

सीआईएसओ जो प्रतीक्षा करता है कि उन्हें आमंत्रित किया जाए वह देर से होगा। सीआईएसओ जो जल्दी आता है, व्यावहारिक पैटर्न के साथ, नीति आपत्तियों के बजाय, एआई परियोजनाओं के लिए वास्तव में एक साथी बन जाता है। व्यवहार में, इसका अर्थ है एआई टीमों के साथ संयुक्त डिज़ाइन सत्र, सुरक्षा हस्ताक्षर जो कार्यात्मक लोगों के बगल में बैठते हैं, न कि उनके बाद, और एक खुला दरवाजा नीति। यह बातचीत को “नो” विभाग से “हाँ, लेकिन” या “नहीं, लेकिन” के रूप में एक सहयोगी भागीदार के रूप में बदल देता है।

आगे देखते हुए, क्या हम एक मानकीकृत वैश्विक ढांचे को एआई शासन के लिए देखेंगे, या संगठनों को नियामकों की परवाह किए बिना अपनी आंतरिक विश्वास वास्तुकला बनाने की आवश्यकता होगी?

दोनों, उस क्रम में। हम एक छोटी संख्या में क्षेत्रीय ढांचे पर चरणबद्ध सходимि देखेंगे, यूरोपीय संघ एआई अधिनियम पहले, अन्य क्षेत्रीय भिन्नताओं के साथ। हम इस दशक में एक वैश्विक मानक नहीं देखेंगे क्योंकि भू-राजनीतिक खंडितकरण के कारण। इसलिए, संगठन दो चीजें करेंगे: जो ढांचा उनके सबसे बड़े बाजार पर लागू होता है उसका पालन करें और एक आंतरिक विश्वास वास्तुकला चलाएं जो सबसे कमजोर ढांचे से अधिक है। आंतरिक वास्तुकला बाहरी मानक से अधिक मायने रखती है, क्योंकि नियामक धीमी गति से चलते हैं और खतरे नहीं करते हैं। जो कंपनियां अब आंतरिक विश्वास वास्तुकला बनाती हैं वे अगले दशक में हर नए नियामक को “हम पहले से ही ऐसा करते हैं” कहेंगे।

धन्यवाद महान साक्षात्कार के लिए, पाठक जो और जानना चाहते हैं उन्हें सिंटैक्स पर जाना चाहिए।