Mendefinisikan Ulang Otoritas di C‑Suite: Apa yang Sebenarnya Diperlukan untuk Membina Hubungan dengan AI

Saya telah menghabiskan 25 tahun di sisi pembeli operasi keamanan, dan saya belum pernah kehilangan tidur karena aturan firewall. Namun, saya kehilangan tidur karena AI. Otomasi tradisional, sekecil apapun kompleksitasnya, mengikuti logika yang dapat Anda lacak. Namun, pada skala AI agenik yang belum pernah terjadi sebelumnya, sistem dipercaya untuk membuat keputusan penilaian yang tidak selalu dapat dijelaskan sepenuhnya oleh insinyur – kehilangan transparansi inilah yang membuat banyak CISO terjebak.

97% pemimpin keamanan yakin AI dapat menangani triase, namun hanya 35% yang benar‑benar menggunakannya di sana. Titik balik ini adalah masalah kepercayaan, dan kepercayaan hanya dapat diselesaikan seperti biasanya, melalui struktur, bukti, dan waktu.

Anda Bisa Melihat Otomasi, tetapi Dapatkah Anda Mempercayai AI?

Dengan otomasi tradisional, praktisi dapat mengetahui dengan pasti apa yang akan terjadi sebelum itu terjadi. Transparansi inilah yang membuat tim SOC selama satu dekade membangun kepercayaan pada alur kerja otomatis tanpa banyak perdebatan internal, namun AI agenik telah mematahkan pola tersebut dengan memperkenalkan lapisan penilaian yang dipelajari – sebuah sistem yang menimbang konteks, membuat prediksi, dan mencapai kesimpulan melalui proses yang tidak selalu sepenuhnya dapat dibaca, bahkan oleh orang yang membangunnya. 

Hanya 21% organisasi yang mengatakan mereka memiliki model tata kelola matang untuk AI agenik, meskipun 74% memperkirakan akan menggunakan agen AI setidaknya “sedang” pada tahun 2027. Ketika praktisi keamanan tidak dapat menjelaskan secara transparan jenis “black box AI” ini, itu menjadi bukti betapa sulitnya mengatur alat AI. Bukan karena alat tersebut tidak diamankan dengan baik, melainkan karena cara kerja internal alat AI didasarkan pada penilaian bukan diagram alur.

Di ruang dewan, para pemimpin mengevaluasi AI seperti mereka mengevaluasi otomasi, menanyakan “bisakah saya melihat logikanya,” alih‑alih menanyakan, “bagaimana saya memperoleh kepercayaan pada pembuat keputusan yang logikanya terus berkembang?” Kebanyakan CISO kemungkinan sudah mengetahui jawabannya, tetapi tantangannya adalah menerapkannya dalam praktik.

Memperlakukan AI seperti Rekrutmen Berisiko Tinggi

Pikirkan tentang proses orientasi seorang analis senior baru. Seorang CISO tidak akan memberikan kunci produksi kepada analis baru pada hari pertama, betapapun kuatnya resume mereka. Mereka akan memulai dengan pekerjaan berisiko rendah, mengamati bagaimana mereka menangani ambiguitas, dan memperluas wewenangnya seiring mereka membuktikannya. AI layak mendapatkan orientasi yang sama, dibangun atas kepercayaan berbasis bukti yang berkembang seiring waktu.

Kami sudah menyaksikan dampaknya ketika sebuah agen Meta AI otonom memicu insiden keamanan seluruh perusahaan setelah mengambil tindakan tanpa persetujuan manusia, mengekspos data sensitif perusahaan dan pengguna kepada karyawan yang tidak berwenang selama kira‑kira dua jam sebelum masalah tersebut dapat dikendalikan. Penyebab utama adalah kurangnya pengawasan manusia‑in‑the‑loop pada titik keputusan di mana persetujuan eksplisit seharusnya diperlukan. Itulah mode kegagalan tepat yang dirancang untuk dicegah oleh guardrail ketat, dan ini mengingatkan bahwa disiplin ruang lingkup lebih penting daripada kecanggihan model.

AI layak mendapatkan perhatian yang sama, dan kita dapat memikirkannya sebagai ramp berbasis bukti:

• Pahami logika keputusan sebelum Anda menerapkannya. Anda tidak perlu melihat setiap bobot dalam model, tetapi Anda harus mengetahui data apa yang dipertimbangkan, hasil apa yang dioptimalkan, dan di mana kemungkinan titik buta berada.
• Tetapkan guardrail ketat sejak hari pertama. Definisikan secara tepat apa yang dapat dilakukan sistem secara mandiri dan apa yang memerlukan intervensi manusia. Lingkup yang sempit adalah fondasi di mana kepercayaan dibangun.
• Perluas batas hanya ketika bukti terkumpul. Setiap keputusan yang tepat adalah titik data, dan setiap kesalahan juga merupakan titik data. Perluas aperture secara proporsional dengan rekam jejak, bukan dengan antusiasme vendor atau siklus anggaran.

Menerapkan hal‑hal ini sebagai protokol akan membantu mengatasi kekhawatiran CISO, termasuk mencegah sistem otonom beroperasi melewati titik di mana siapa pun yang memverifikasi sebenarnya layak dipercaya.

Model Tiga Lapisan: Di Mana AI Mendapatkan Tempatnya

Blueprint AI Aman SANS menyajikan struktur tata kelola yang dibangun di sekitar tiga jalur, melindungi AI, memanfaatkan AI, dan mengatur AI, mencakup enam kategori kontrol termasuk akses, data, penyebaran, inferensi, pemantauan, dan keamanan model. Ini merupakan titik awal yang berguna, dan untuk melangkah lebih jauh, membantu untuk menstrukturkan hubungan ini dengan membagi SOC menjadi tiga lapisan guna menyelesaikan masalah kepercayaan AI.

1. Hasil. Ini adalah lapisan di mana risiko bisnis berada. Apa yang organisasi anggap sebagai hasil yang dapat diterima? Seberapa toleran organisasi terhadap false negative versus false positive? Ini adalah keputusan manusia, titik akhir. Tidak ada model yang mendapatkan suara tentang apa yang organisasi bersedia risikokan.
2. Penilaian. Di sinilah prioritas ditetapkan dan kompromi dibuat di tengah ambiguitas. Haruskah peringatan ini segera ditingkatkan atau ditahan untuk konteks lebih lanjut? Apakah anomali ini layak mengganggu malam seseorang? Penilaian dapat dipengaruhi AI, dan semakin banyak seharusnya, tetapi otoritas akhir tetap pada manusia. Ini adalah lapisan yang paling banyak organisasi tergoda untuk menyerahkannya terlalu cepat, dan lapisan inilah yang akan membakar mereka jika dilakukan.
3. Eksekusi. Di sinilah AI seharusnya melakukan pekerjaan berat, dan melakukannya dengan kecepatan yang tidak dapat ditandingi tim manusia. Memperkaya peringatan, mengkorelasikan sinyal di antara selusin alat, menyusun tindakan penahanan, menjalankan playbook setelah manusia atau lapisan penilaian yang dipercaya menyetujui jalur tersebut. Kecepatan mesin, deterministik setelah dipicu, tanpa ego.

Mematangkan Kemitraan, Bukan Hanya Mengelola Alat

Ketika hubungan AI dalam SOC dibangun sebagai kemitraan alih‑alih mengawasi sebuah alat, CISO dapat mulai memandang AI sebagai rekan tim yang berkembang, yang mengarah pada pergeseran mendasar dalam cara CISO menghabiskan waktunya.

SOC yang mampu menyeimbangkan hubungan ini adalah mereka yang memiliki proses pembangunan kepercayaan paling disiplin. Disiplin inilah yang memungkinkan operasi keamanan berskala pada kecepatan mesin di lapisan eksekusi tanpa kehilangan penilaian manusia yang masih dibutuhkan untuk keputusan tingkat hasil, dan akan selalu dibutuhkan.

Kami telah melewati masa AI dipandang sebagai alat baru yang mengkilap untuk mengesankan dewan direksi. Kapabilitas dan potensi AI telah memperoleh otoritas untuk diperlakukan seperti semua orang di SOC selalu memperlakukan teknologi canggih, satu keputusan terverifikasi pada satu waktu.