Craig Riddell, Global Field CISO di Wallarm – Seri Wawancara

Craig Riddell, Global Field CISO di Wallarm, adalah eksekutif keamanan siber berpengalaman yang fokus membantu perusahaan mengelola risiko yang meningkat terkait API dan sistem yang didorong oleh AI. Dalam perannya saat ini, ia bekerja sama dengan CISO, CIO, dan pemimpin teknik untuk menerjemahkan pola serangan dan skenario penyalahgunaan dunia nyata menjadi strategi keamanan yang dapat diambil, dengan penekanan kuat pada observabilitas—memahami bagaimana API dan sistem AI berperilaku di produksi di seluruh pengguna, aplikasi, dan integrasi. Karirnya meliputi peran kepemimpinan di bidang manajemen identitas dan akses, arsitektur kepercayaan nol, dan keamanan perusahaan di organisasi termasuk Netwrix, Kron, dan HP, di mana ia mengemudi transformasi IAM skala besar dan memodernisasi kerangka keamanan. Keahlian Riddell berpusat pada ancaman yang muncul seperti serangan logika bisnis, penyalahgunaan API, pergeseran sistem AI, dan penipuan, dengan fokus konsisten pada menghubungkan kesenjangan antara strategi keamanan tingkat tinggi dan eksekusi operasional.

Wallarm adalah perusahaan keamanan siber yang mengkhususkan diri dalam melindungi API, aplikasi, dan sistem yang didorong oleh AI di lingkungan cloud modern. Platformnya menyediakan penemuan terus-menerus, pengujian, dan perlindungan waktu nyata terhadap ancaman seperti penyalahgunaan API, serangan logika bisnis, dan eksploitasi otomatis, sambil menawarkan visibilitas mendalam tentang bagaimana sistem berperilaku di seluruh infrastruktur yang kompleks. Dirancang untuk arsitektur multi-cloud dan cloud-native, Wallarm terintegrasi ke dalam alur kerja DevOps dan keamanan yang ada, memungkinkan organisasi untuk mendeteksi dan memblokir serangan saat terjadi daripada setelahnya. Dengan menggabungkan inventori API, deteksi ancaman yang didorong oleh AI, dan kemampuan respons otomatis, platform ini mengatasi kenyataan yang meningkat bahwa API dan sistem AI telah menjadi permukaan serangan utama untuk bisnis digital modern.

Anda memulai karir Anda bekerja langsung dengan sistem dan infrastruktur dan telah berpindah ke peran kepemimpinan yang fokus pada identitas, akses, API, dan keamanan AI. Apa pergeseran kunci sepanjang perjalanan itu yang menyebabkan Anda menyimpulkan bahwa risiko nyata telah bergeser dari perimeter dan ke API serta sistem yang digerakkan oleh mesin?

Awal dalam karir saya, fokusnya adalah pada melindungi tepi. Firewall, segmentasi, pengerasan infrastruktur. Model itu bekerja ketika sistem lebih statis dan batas kepercayaan lebih mudah didefinisikan.

Apa yang berubah adalah bagaimana aplikasi dibangun dan bagaimana sistem berinteraksi. API menjadi jaringan dari segalanya, dan AI mempercepat hal itu lebih lanjut. Sekarang sistem membuat keputusan, memanggil sistem lain, dan melakukan tindakan pada skala dan kecepatan yang tidak melibatkan manusia dalam loop.

Pada titik itu, perimeter menjadi kurang relevan. Risiko nyata bergeser ke tempat keputusan dibuat dan tindakan dilakukan, di dalam API dan alur kerja yang digerakkan oleh mesin.

Jika Anda tidak memiliki visibilitas dan kontrol di sana, Anda mempercayai perilaku yang tidak dapat Anda lihat sepenuhnya. Itulah tempat risiko bisnis muncul, dari paparan keuangan hingga hasil yang tidak diinginkan dan gangguan operasional.

Anda telah menggambarkan jabat tangan siber sebagai rusak, mengacu pada bagaimana sistem membangun kepercayaan dan bertukar tindakan di seluruh rantai API dan proses otomatis yang kompleks. Apa bentuk kerusakan itu dalam lingkungan perusahaan dunia nyata saat ini?

Di sebagian besar lingkungan, sistem saling mempercayai berdasarkan identitas dan autentikasi. Token adalah valid, permintaan well-formed, dan interaksi diizinkan.

Masalahnya adalah bahwa ini mengasumsikan valid sama dengan aman. Itu tidak lagi benar.

Kami mengautentikasi identitas, tetapi kami tidak memvalidasi niat. Kami memverifikasi akses, tetapi tidak perilaku di seluruh rantai.

Layanan mungkin diberi wewenang untuk memanggil layanan lain, yang memicu tindakan downstream di seluruh API. Setiap langkah terlihat sah dalam isolasi, tetapi di seluruh rantai, Anda mulai melihat perilaku yang tidak diinginkan atau penyalahgunaan logika.

Di lingkungan yang didorong oleh AI, ini diperkuat. Agen dapat merantai tindakan dan menjalankan alur kerja tanpa tinjauan manusia.

Jabat tangan masih terjadi, tetapi tidak ada yang bertanya apakah perilaku masuk akal dalam konteks. Kepercayaan dibangun tetapi tidak divalidasi terus-menerus.

Mengapa risiko AI dan API sering jatuh di antara batas-batas organisasi daripada dimiliki dengan jelas?

Karena sistem tidak selaras dengan bagaimana organisasi disusun.

DevOps memiliki pengiriman. Keamanan memiliki kebijakan. Tim bisnis memiliki hasil. Tim data memiliki model. Setiap grup memiliki potongan, tetapi tidak ada yang memiliki sistem sebagaimana ia berperilaku di produksi.

API menjalankan logika bisnis di seluruh sistem. AI memperkenalkan pengambilan keputusan non-deterministik di atas itu. Bersama-sama, mereka memotong di seluruh batas.

Mereka dibangun oleh satu tim, diamankan oleh tim lain, dan dikonsumsi oleh tim ketiga, dengan pemantauan yang tidak konsisten di seluruh mereka.

Celah yang diciptakan oleh ini bukanlah kegagalan tim. Mereka adalah kegagalan model operasional untuk mencerminkan bagaimana sistem modern sebenarnya bekerja.

Dalam pengalaman Anda, tim mana yang biasanya menganggap mereka memiliki risiko AI, dan di mana celah buta terbesar ada di antara keamanan, DevOps, dan unit bisnis?

Tim keamanan cenderung memiliki risiko AI dari perspektif tata kelola dan kepatuhan. DevOps memiliki penerapan dan keandalan. Unit bisnis fokus pada hasil.

Celah buta muncul di antara area-area tersebut.

Keamanan mendefinisikan apa yang seharusnya terjadi. DevOps memastikan sistem berjalan. Bisnis fokus pada hasil. Tetapi sangat sedikit tim yang secara konsisten melihat apa yang sistem lakukan secara nyata.

Itulah celah di mana risiko hidup, terutama ketika perilaku secara teknis valid tetapi kontekstual salah.

Banyak serangan modern muncul sebagai perilaku yang valid dan terautentikasi daripada intrusi yang jelas. Bagaimana organisasi harus memikirkan kembali deteksi dalam kenyataan baru ini?

Kami perlu bergerak melampaui mengidentifikasi “permintaan buruk”.

Dalam banyak kasus, permintaan itu valid. Kredensialnya sah. Panggilan API diharapkan. Apa yang tidak diharapkan adalah urutan tindakan, volume, atau hasil.

Deteksi harus menjadi perilaku dan kontekstual. Ini kurang tentang memblokir permintaan tunggal dan lebih tentang memahami bagaimana sistem berinteraksi seiring waktu.

Pendekatan yang sebenarnya bertahan pada skala bergerak melampaui pencocokan pola. Mereka memecah permintaan secara struktural, mengobati setiap interaksi sebagai set token perilaku daripada mencoba mencocokkan pola buruk yang diketahui.

Itu memungkinkan Anda untuk memahami bagaimana perilaku berkembang dan di mana ia menyimpang, bahkan ketika semuanya terlihat valid di permukaan.

Jika Anda mengandalkan aturan statis atau tanda tangan, Anda akan melewatkan sebagian besar dari apa yang penting.

Anda telah menekankan pentingnya observabilitas ke dalam perilaku dunia nyata. Apa bentuk observabilitas yang bermakna untuk API dan sistem AI di produksi?

Observabilitas yang bermakna bukan hanya log dan metrik. Ini tentang memahami perilaku dalam konteks.

Untuk API, itu berarti visibilitas permintaan dan respons penuh, bagaimana endpoint digunakan, dan bagaimana interaksi berkembang seiring waktu.

Untuk sistem AI, itu berarti memahami input, keputusan, dan tindakan yang dihasilkan.

Yang paling penting, itu berarti menghubungkan semua itu di seluruh sistem menjadi alur kerja penuh, bukan peristiwa yang terisolasi.

Tanpa itu, Anda beroperasi berdasarkan asumsi tentang perilaku sistem bukan kenyataan.

Mengapa model tinjauan dan persetujuan manusia yang tradisional menjadi kurang efektif di lingkungan yang digerakkan oleh mesin?

Karena kecepatan dan skala telah berubah.

Sistem membuat ribuan atau jutaan panggilan per menit, dan serangan atau perilaku yang tidak diinginkan dapat terjadi dalam hitungan menit atau detik. Anda tidak dapat realistis memasukkan manusia dalam setiap keputusan tanpa merusak kinerja.

Sistem AI juga tidak selalu deterministik, yang membuat model persetujuan sebelumnya kurang efektif.

Pengawasan manusia masih penting, tetapi perlu bergeser dari mengapprove tindakan individual ke mendefinisikan batasan dan memantau hasil.

Apa celah operasional paling umum yang Anda lihat ketika perusahaan mencoba mengamankan sistem AI menggunakan kerangka keamanan warisan?

Celah terbesar adalah ketergantungan berlebihan pada kontrol waktu desain.

Organisasi fokus pada mengamankan model, meninjau kode, dan mendefinisikan kebijakan sebelum penerapan. Itu penting, tetapi itu mengasumsikan sistem akan berperilaku seperti yang diharapkan setelah mereka hidup.

Dalam kenyataan, sistem berkembang. API berubah. Sistem AI berinteraksi dengan data dan alur kerja baru. Perilaku bergeser seiring waktu.

Tanpa validasi perilaku terus-menerus di produksi, organisasi secara efektif buta setelah penerapan.

Apa bentuk model operasional yang praktis ketika banyak pemangku kepentingan berbagi akuntabilitas untuk risiko AI dan API?

Itu dimulai dengan mengakui bahwa tidak ada tim tunggal yang dapat memiliki ini dari ujung ke ujung.

Model praktis mendefinisikan akuntabilitas bersama, disandarkan pada sumber kebenaran bersama: perilaku runtime.

Keamanan mendefinisikan risiko dan kebijakan. Teknik membangun dan mengoperasikan sistem. Bisnis mendefinisikan hasil yang dapat diterima.

Tim yang mendahuluinya beroperasi dalam loop tertutup. Penemuan terus-menerus, penegakan, dan penyempurnaan yang didorong oleh apa yang sistem lakukan secara nyata di produksi, bukan apa yang diasumsikan pada waktu desain.

Semua pemangku kepentingan perlu memiliki visibilitas ke dalam bagaimana sistem beroperasi di produksi. Dari sana, tim dapat selaras pada apa yang “baik” terlihat, mendeteksi deviasi, dan merespons.

Perubahan itu adalah dari kepemilikan terisolasi ke tanggung jawab terkoordinasi, yang didasarkan pada wawasan runtime.

Menghadap ke depan, apakah Anda mengharapkan tanggung jawab keamanan menjadi lebih terpusat lagi, atau akan terus berfragmentasi karena sistem menjadi lebih otonom?

Tanggung jawab akan tetap terdistribusi karena itu mencerminkan bagaimana sistem dibangun.

Apa yang akan berubah adalah bagaimana tanggung jawab itu dikoordinasikan.

Kami akan melihat lebih banyak model tata kelola yang terpadu di mana tim memiliki domain mereka sendiri tetapi beroperasi dengan visibilitas dan konteks bersama.

Organisasi yang sukses tidak akan menjadi mereka yang mencoba mengentralisasi semua. Mereka akan menjadi mereka yang menyelaraskan pemangku kepentingan di sekitar bagaimana sistem sebenarnya berperilaku di dunia nyata.

Karena jika tidak ada yang memahami perilaku runtime, tidak ada yang benar-benar memiliki risiko.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Wallarm.