जैक चेरकास, सिंटैक्स में ग्लोबल सीआईएसओ – साक्षात्कार श्रृंखला

जैक चेरकास, सिंटैक्स में ग्लोबल सीआईएसओ, एक साइबर सुरक्षा कार्यकारी हैं जिनके पास क्लाउड सुरक्षा, साइबर लचीलापन, उद्यम वास्तुकला और एआई सुरक्षा में गहरा अनुभव है। उन्होंने सिंटैक्स, पीडब्ल्यूसी यूके, किंड्राइल और आईबीएम में वरिष्ठ पदों पर कार्य किया है, जहां उन्होंने सुरक्षा ऑपरेशनों का निर्माण और विस्तार करने में मदद की, प्रमुख घटना प्रतिक्रिया प्रयासों का प्रबंधन किया और बड़े उद्यम वातावरणों के लिए साइबर लचीलापन रणनीतियों का विकास किया। सिंटैक्स में, वह कंपनी के लोगों, प्रणालियों, डेटा केंद्रों, प्रबंधित क्लाउड सेवाओं और ग्राहकों को सामने सुरक्षा प्रसाद के पार कंपनी की वैश्विक साइबर सुरक्षा का नेतृत्व करते हैं, आठ देशों में 65 से अधिक सुरक्षा पेशेवरों की एक टीम की देखरेख करते हैं।

सिंटैक्स एक वैश्विक आईटी सेवा और प्रबंधित क्लाउड प्रदाता है जो मिशन-क्रिटिकल उद्यम अनुप्रयोगों में विशेषज्ञता रखता है, विशेष रूप से एसएपी और ओरेकल वातावरण। कंपनी संगठनों को क्लाउड प्रवासन, प्रबंधित होस्टिंग, साइबर सुरक्षा, उद्यम अनुप्रयोग प्रबंधन और एआई-संचालित ऑपरेशनों में सहायता करती है, जो हाइब्रिड और मल्टी-क्लाउड बुनियादी ढांचे में होती है। इसका काम उद्यमों को जटिल व्यवसाय प्रणालियों को आधुनिक बनाने, सुरक्षित करने और बड़े पैमाने पर संचालित करने में मदद करने पर केंद्रित है।

आपके पास आईबीएम, किंड्राइल, पीडब्ल्यूसी और अब सिंटैक्स में साइबर सुरक्षा पहलों का नेतृत्व करने का अनुभव है। उभरती प्रौद्योगिकियों जैसे कि एआई को सुरक्षित करने के लिए आपका दृष्टिकोण कैसे विकसित हुआ है, विशेष रूप से जब संगठन प्रयोग से उत्पादन में जा रहे हैं?

मेरा करियर विकास एक श्रृंखला के विघटन का अनुसरण करता है, प्रत्येक की मांग है कि सुरक्षा एक नए नियंत्रण सतह के साथ पकड़ में आ जाए। आईबीएम में क्लाउड के शुरुआती दिनों में, प्रश्न यह था कि क्या हम किसी और के बुनियादी ढांचे पर मिशन-क्रिटिकल वर्कलोड चलाने पर भरोसा कर सकते हैं। उत्तर एक साझा जिम्मेदारी मॉडल और क्लाउड-मूल नियंत्रणों की एक पीढ़ी थी।

फिर रैंसमवेयर युग आया। 2017 में नॉटपेटा ने कंपनियों को घंटों में अक्षम कर दिया, और उद्योग ने सीखा कि कीड़े वाला मैलवेयर वैश्विक आपूर्ति श्रृंखला को रातोंरात नीचे ला सकता है। प्रतिक्रिया तब हुई जब (न कि अगर) एक साइबर हमला होगा, नेटवर्क खंड, अमूर्त बैकअप, और पहचान पर एक गंभीर धक्का दिया जाएगा।

किंड्राइल और पीडब्ल्यूसी में मेरे समय के दौरान, सास ने हर एस्टेट के केंद्र में अपनी जगह बना ली। वर्कलोड डेटा सेंटर से बाहर निकलकर किसी और के स्टैक पर चले गए, पहचान परिधि बन गई, और शून्य विश्वास एक आरेख से एक संचालन मॉडल में बदल गया।

अब सिंटैक्स में, हम जेनएआई लहर में हैं, जहां प्रणाली स्वयं तर्क, उत्पन्न और कार्य करती है। प्रत्येक लहर ने हमें एक नया नियंत्रण सतह दी, पर्याप्त चेतावनी नहीं, और प्रयोग और उत्पादन के बीच एक छोटा सा खिड़की। क्लाउड ने वर्षों लिए। सास ने तिमाहियों लिए। जेनएआई सप्ताह लेता है। जो सीआईएसओ पकड़ बनाए रखते हैं वे हैं जो प्रत्येक लहर को एक अपवाद के रूप में इलाज करना बंद कर देते हैं और तेजी से अपनाने को स्थिर राज्य के रूप में इलाज करना शुरू कर देते हैं।

एआई अपनाने को तेज करने वाले संगठनों के लिए, आप जोखिम का आकलन कैसे करते हैं कि विश्वास, न कि chỉ अनुपालन, खतरे में है?

विश्वास एआई अपनाने की नींव है। सबसे पहले संकेत ऑडिट रिपोर्ट में नहीं हैं, वे संचालन संकेतों में हैं। छाया एआई तैनाती जिसका कोई मालिक नहीं है। प्रोक्योरमेंट जेनएआई विक्रेताओं को सुरक्षा समीक्षा के बिना अनुमोदित करता है। डेटा वंशावली जो टूट जाती है जब आप प्रशिक्षण डेटा से पूछते हैं कि यह कहां से आया है। एआई एजेंटों को प्रशासक अनुमतियां दी जाती हैं क्योंकि कोई परियोजना को धीमा नहीं करना चाहता था। जब आप एक संगठन में उन चार संकेतों को देखते हैं, तो विश्वास पहले से ही तेजी से खर्च किया जा रहा है जितनी तेजी से यह कमाया जा रहा है। नेतृत्व आमतौर पर आखिरी को पता चलता है।

कई कंपनियां एआई को सुरक्षित करने से ज्यादा तेजी से अपना रही हैं। आज आप कौन से सबसे आम वास्तविक जोखिम देख रहे हैं जब शासन नवाचार से पीछे रह जाता है?

जब शासन पिछड़ जाता है, तो तीन चीजें होती हैं, और उनमें से कोई भी सुरक्षा घटनाओं के रूप में दिखाई नहीं देता है जब तक कि बहुत बाद में न हो। पहला, नियामक जोखिम चुपचाप जुड़ जाता है: एक एआई तैनाती जो ईयू एआई अधिनियम की पारदर्शिता आवश्यकताओं का उल्लंघन करती है, अलार्म को ट्रिगर नहीं करती है; यह दो साल बाद एक ऑडिट में जुर्माने के रूप में दिखाई देता है। दूसरा, ग्राहक विश्वास लेन-देन में कम हो जाता है जिसे आप कभी नहीं देखते: प्रॉस्पेक्ट प्रतियोगियों का चयन करते हैं जो शासन साबित कर सकते हैं, और आपकी बिक्री टीम कभी नहीं जानती कि क्यों। तीसरा, निर्णय की गुणवत्ता खराब हो जाती है: संगठन अधिक एआई-प्रभावित निर्णय लेता है लेकिन उन्हें समझाने या ऑडिट नहीं कर सकता है, और खराब निर्णय उन स्थानों पर जमा होते हैं जहां कोई नहीं देख रहा है। कमजोर एआई शासन की लागत ऑडिट, बिक्री और निर्णय की गुणवत्ता का धीमा क्षरण है, जो अंततः एक प्रतिष्ठित रूप से हानिकारक उल्लंघन में समाप्त होता है।

आपके अनुभव से प्रबंधित सुरक्षा सेवाओं और एसओसी ऑपरेशनों का निर्माण और विस्तार करने के बारे में, संगठनों को एआई-संचालित प्रणालियों और स्वायत्त निर्णय लेने को संभालने के लिए अपने सुरक्षा मॉडल को कैसे पुनः सोचना चाहिए?

एआई एक नया हमला वेक्टर है, एक खतरा गुणक, और एक महत्वपूर्ण रक्षात्मक पहेली टुकड़ा है, और सुरक्षा मॉडल को तीनों को एक ही समय में कवर करने के लिए अनुकूलन करना होगा।

एक हमले के वेक्टर के रूप में, जेनएआई प्लेटफ़ॉर्म स्वयं रक्षा के लिए लक्ष्य बन जाते हैं। एक खतरा गुणक के रूप में, हमलावर जेनएआई का उपयोग फ़िशिंग को बड़े पैमाने पर तैयार करने, शोषण कोड तैयार करने, स्वचालित जासूसी करने और मशीन की गति से कमजोरियों का पता लगाने के लिए कर रहे हैं। एक रक्षात्मक टुकड़े के रूप में,同 एक ही प्रौद्योगिकी दूसरी ओर मुड़ी हुई है एकमात्र व्यावहारिक उत्तर है: एआई-संचालित ट्राइएज, स्वचालित खतरा शिकार, और विश्लेषक संवर्द्धन अब वैकल्पिक नहीं हैं; वे हैं कि एक एसओसी एक एआई-संवर्धित प्रतिद्वंद्वी के साथ तालमेल बिठाता है। यदि वे एआई-संवर्धित हैं और हम नहीं हैं, तो अंतर प्रत्येक चक्र के साथ जुड़ जाता है।

यह एक नए अभिनेता प्रकार को भी बनाता है जिसे मॉडल को नियंत्रित करना होगा। सिंटैक्स में, हम पहले से ही एआई एजेंटों को ऑर्ग चार्ट में शामिल होते हुए सोचते हैं, मानवों के साथ, जो हम उन्हें सुरक्षित करने के लिए बार को निर्धारित करता है। एआई एजेंटों को मानव उपयोगकर्ताओं (पहचान, भूमिका-आधारित अनुमतियां, गतिविधि लॉग, व्यवहार संबंधी) के लिए हम जो देते हैं उसे सब कुछ की आवश्यकता होती है, साथ ही साथ समझौता खातों पर हम जो प्रतिबंध लीवर का उपयोग करते हैं: अक्षम करने, अलग करने और रद्द करने की क्षमता। अंतर गति है। एजेंट मिलीसेकंड में कार्य करते हैं, इसलिए उन लीवरों को तुरंत और स्वचालित होना चाहिए, एक घटना प्रतिक्रिया कार्रवाई के पीछे नहीं।

सिंटैक्स में, हमारे ग्लोबल सुरक्षा ऑपरेशनल सेंटर ने विकास किया है ताकि एआई मानव विश्लेषक को संवर्द्धित करे, जबकि हमारे कर्मचारी सिंटैक्स जेनएआई प्लेटफ़ॉर्म के भीतर एजेंटिक कार्य प्रवाह और एजेंट बनाते हैं, जो पूर्व-निर्धारित गार्डरेल के साथ आता है पूर्वाग्रह, विषाक्तता, और नियंत्रण के लिए डेटा गोपनीयता और सुरक्षा के लिए डिफ़ॉल्ट रूप से।

यह पुनः विचार है। एआई की रक्षा एक लक्ष्य के रूप में। एआई को एक रक्षक के रूप में तैनात करें। एआई के उपयोग को नियंत्रित करें।

संगठनों को एआई प्रणालियों के लिए अर्थपूर्ण निगरानी और गार्डरेल को लागू करते हुए नवाचार वेग को बनाए रखने के लिए कैसे सुनिश्चित किया जा सकता है?

गति और नियंत्रण विरोधाभासी लगते हैं जब तक आप शासन का निर्माण नहीं करते जो परियोजना के साथ यात्रा करता है, इसे ब्लॉक करने के बजाय। गलती गेट पर शासन रखना है: एक समिति, एक हस्ताक्षर, एक त्रैमासिक समीक्षा। गेट खुलने से पहले, टीम या तो इसके चारों ओर गई है या गति खो दी है। जो मॉडल काम करता है वह प्रक्रियाओं को पुनः परिभाषित करने के साथ है जिसमें शासन बेक्ड है। स्पष्ट और सुसंगत संचार प्रारंभिक बिंदु है, इसके बाद पूर्व-अनुमोदित पैटर्न, पूर्व-मंजूरी दी गई डेटा प्रवाह, और पूर्व-परिभाषित अनुमति टेम्पलेट हैं। टीमें गति प्राप्त करती हैं, सुरक्षा टीमें दृश्यता प्राप्त करती हैं, और हर कोई जो मानता है कि व्यापार में है एक खराब डिज़ाइन की गई प्रक्रिया है। यह सब सुरक्षा के साथ नवाचार को संतुलित करने के बारे में है संगठन की जोखिम भूख के खिलाफ।

आप बड़े पैमाने पर साइबर लचीलापन रणनीतियों और घटना प्रतिक्रिया पर काम किया है। एआई की शुरुआत साइबर खतरों और संगठनों को उनके लिए तैयार करने के तरीके को कैसे बदलती है?

एआई साइबर खतरों को विभिन्न वेक्टरों में तेज कर रहा है। पैमाना: फ़िशिंग और जासूसी मशीन की गति से एक साथ हजारों लक्ष्यों के खिलाफ। जटिलता: गहरे फेक-चालित सामाजिक इंजीनियरिंग जो मानव के लिए डिज़ाइन किए गए पहचान और वीडियो सत्यापन को हराती है। पहचान: सिंथेटिक पहचान जो मानव के लिए डिज़ाइन किए गए पहचान जांच पास करती है।

घटना प्रतिक्रिया के लिए, परिणाम संचालन हैं। आपको ऐसा पता लगाने की आवश्यकता है जो मानव की गति से पैटर्न को पहचानने पर निर्भर नहीं करता है। आपको सत्यापन प्रोटोकॉल की आवश्यकता है जो मानते हैं कि आवाज और वीडियो नकली हो सकते हैं। और आपको घटना प्रतिक्रिया पुस्तिकाओं की आवश्यकता है जो विशेष रूप से एआई-संबंधित घटनाओं को कवर करती हैं, क्योंकि वसूली के चरण रैंसमवेयर घटना से वसूली के समान नहीं हैं।

सिंटैक्स में, जटिल, वास्तविक दुनिया के उद्यम वातावरण में “सुरक्षित-डिज़ाइन” एआई वास्तव में कैसा दिखता है?

सिंटैक्स में इसका अर्थ है नवाचार और सुरक्षा के बीच संतुलन, हमारे जेनएआई प्लेटफ़ॉर्म के अपनाने के माध्यम से, जिसमें बेक्ड-इन गार्डरेल हैं, हमारे अनुमोदित, प्रतिबंधित और निषिद्ध जेनएआई सेवाएं और ऐप्स, मॉडल और प्लेटफ़ॉर्म, और हमारे एआई गवर्नेंस ऑफ़िस के माध्यम से सुरक्षा-पहले संस्कृति को बढ़ावा देना। हमारे ग्लोबल सुरक्षा संगठन के लिए, इसका अर्थ है खुद को व्यवसाय के लिए एक सक्षम के रूप में स्थिति बनाना, न कि एक ब्लॉकर, व्यवसाय को इसकी रणनीतिक प्राथमिकताओं के साथ समर्थन करते हुए सिंटैक्स की रक्षा करना।

सुरक्षा और अनुपालन अब विकास के रोक के रूप में नहीं हैं, बल्कि विकास के सुविधा प्रदाता हैं। संगठनों को वास्तव में इस मानसिकता को अपनाने के लिए क्या बदलना होगा?

सबसे बड़ा बदलाव यह है कि सफलता क्या दिखती है। सुरक्षा टीमों को दशकों से यह मापा जाता है कि क्या हुआ नहीं: कोई उल्लंघन नहीं, कोई घटना नहीं, कोई ऑडिट निष्कर्ष नहीं। यह मीट्रिक “नहीं” कहने को पुरस्कृत करता है। टीमें जो सुविधा प्रदाता के रूप में काम करती हैं कुछ और मापती हैं: सौदे जीते गए क्योंकि नियंत्रण प्रदर्शनीय थे, लॉन्च जो अपनी तारीख तक पहुंचे क्योंकि सुरक्षा ने रास्ता साफ़ किया, और नवाचार जो निगरानी के माध्यम से चले गए, न कि इसके चारों ओर।

परिचालन रूप से, इसके लिए प्रक्रियाओं को पुनः परिभाषित करने की आवश्यकता है जिसमें शासन बेक्ड है, जोड़े में सक्रिय सुविधा जैसे हमारे जेनएआई प्लेटफ़ॉर्म जो सुरक्षित बनाता है आसान मार्ग, और सुलभ जेनएआई शिक्षा और कार्यक्रम, जैसे कि हमारी एआई चैंपियन पहल।

संस्कृति इसका अनुसरण करती है कि आप क्या प्रोत्साहित करते हैं और आप क्या सक्षम करते हैं। बदलना जो आप पुरस्कृत करते हैं, लोगों को सही उपकरण और सही प्रशिक्षण दें और आप जो करते हैं उसे बदलें। यह सिंटैक्स की यात्रा है जिस पर हम जा रहे हैं।

एआई को उद्यम कार्य प्रवाह में अधिक से अधिक एकीकरण के साथ, सीआईएसओ को एआई नेताओं, डेटा वैज्ञानिकों और उत्पाद टीमों के साथ कैसे सहयोग करना चाहिए ताकि यह सुनिश्चित किया जा सके कि प्रगति को धीमा किए बिना जिम्मेदारी है?

सीआईएसओ जो प्रतीक्षा करता है कि उन्हें आमंत्रित किया जाए वह देर से होगा। सीआईएसओ जो जल्दी आता है, व्यावहारिक पैटर्न के साथ, नीति आपत्तियों के बजाय, एआई परियोजनाओं के लिए वास्तव में टेबल पर एक साथी बन जाता है। व्यवहार में, इसका अर्थ है एआई टीमों के साथ संयुक्त डिज़ाइन सत्र, सुरक्षा हस्ताक्षर जो कार्यात्मक लोगों के साथ बैठते हैं, न कि उनके बाद, और एक खुला दरवाजा नीति। यह बातचीत को “नहीं” विभाग से “हाँ, लेकिन” या “नहीं, लेकिन” के रूप में एक इच्छुक और सहयोगी साथी के रूप में बदलता है।

आगे देखते हुए, क्या आपको लगता है कि हम एआई शासन के लिए एक मानकीकृत वैश्विक ढांचे को देखेंगे, या संगठनों को नियामकों की परवाह किए बिना अपनी आंतरिक विश्वास वास्तुकला बनाने की आवश्यकता होगी?

दोनों, उस क्रम में। हम एक छोटी संख्या में क्षेत्रीय ढांचे पर चरणबद्ध संकलन देखेंगे, यूरोपीय संघ एआई अधिनियम पहले, अन्य उसके बाद स्थानीय भिन्नता के साथ। हम इस दशक में एक वैश्विक मानक नहीं देखेंगे क्योंकि भू-राजनीतिक खंडितकरण के कारण। इसलिए, संगठन दो चीजें करेंगे: जो ढांचा लागू होता है उसका पालन करना और एक आंतरिक वास्तुकला चलाना जो सबसे कमजोर ढांचे से अधिक है। आंतरिक वास्तुकला बाहरी मानक से अधिक मायने रखती है, क्योंकि नियामक धीमी गति से चलते हैं और खतरे नहीं। जो कंपनियां आंतरिक विश्वास वास्तुकला बनाती हैं वे अगले दशक में हर नए नियामक को “हम पहले से ही ऐसा करते हैं” कहेंगी।

धन्यवाद महान साक्षात्कार के लिए, पाठक जो अधिक जानना चाहते हैं उन्हें सिंटैक्स पर जाना चाहिए।