Mark Fetches, CTO Spinnaker Support – Seri Wawancara

Mark Fetches adalah Chief Technology Officer untuk EMEA di Spinnaker Support, di mana ia memberikan nasihat kepada perusahaan-perusahaan enterprise mengenai strategi teknologi, keamanan, cloud, AI, dan inisiatif transformasi skala besar. Dengan pengalaman lebih dari 30 tahun sebagai konsultan dan pemimpin di Accenture, Deloitte, dan PwC, Mark telah bekerja sama erat dengan para eksekutif C-suite dan dewan direksi untuk memodernisasi lingkungan enterprise yang kompleks dan menyelaraskan keputusan teknologi dengan tujuan bisnis jangka panjang. Berbasis di Inggris, ia berspesialisasi dalam membantu organisasi menavigasi tantangan teknologi lama, risiko operasional, dan transformasi digital dengan panduan praktis yang berfokus pada bisnis.

Spinnaker Support adalah penyedia global terkemuka untuk dukungan perangkat lunak pihak ketiga, layanan terkelola, dan advisory keamanan bagi perusahaan yang menjalankan Oracle (ORCL ), SAP, JD Edwards, dan platform misi-kritis lainnya.

Anda telah menghabiskan lebih dari 20 tahun memberikan nasihat kepada perusahaan-perusahaan enterprise di Accenture, Deloitte, dan PwC sebelum menjadi CTO di Spinnaker Support. Melihat kembali perjalanan itu, apa kesalahpahaman terbesar yang secara konsisten dimiliki para eksekutif tentang risiko teknologi, dan bagaimana kebangkitan AI telah mengubah percakapan-percakapan tersebut?

Saya pikir kesalahpahaman terbesar selalu adalah bahwa risiko teknologi berada di suatu tempat di samping bisnis dan dapat dikelola sebagai masalah spesialis. Saya tidak pernah benar-benar melihatnya seperti itu.

Sebagian besar risiko serius yang saya lihat berasal dari pilihan kepemimpinan. Seberapa banyak kompleksitas yang Anda toleransi. Seberapa tergantung Anda pada platform lama atau vendor kunci. Seberapa keras Anda mendorong untuk kecepatan. Apakah Anda benar-benar mempercayai data yang dijalankan bisnis. Teknologi adalah tempat pilihan-pilihan itu muncul, tetapi biasanya bukan tempat pilihan-pilihan itu dimulai.

Selama bertahun-tahun, saya telah melihat banyak eksekutif berfokus pada hal-hal yang jelas seperti keamanan siber, kepatuhan, dan pengurangan biaya. Itu tentu saja masalah nyata. Namun risiko yang cenderung menjebak perusahaan seringkali lebih tenang dari itu. Ini adalah platform yang semua orang tahu rapuh tetapi terus menunda penggantinya. Ini adalah masalah data yang tidak sepenuhnya dimiliki siapa pun. Ini adalah ketergantungan outsourcing yang terlihat efisien sampai menjadi hambatan. Hal-hal itulah yang bisa berada di latar belakang selama bertahun-tahun dan kemudian tiba-tiba menjadi sangat terlihat ketika sesuatu rusak.

Saya juga berpikir ada kebiasaan lama yang mengacaukan kepatuhan dengan ketahanan. Keduanya tidaklah sama. Anda bisa lulus audit dan masih jauh lebih terekspos dari yang Anda kira. Daftar periksa tidak memberi tahu Anda bagaimana bisnis akan merespons di bawah tekanan, seberapa cepat bisnis dapat pulih, atau apakah para pemimpin benar-benar melihat masalah dengan cukup jelas untuk bertindak.

Apa yang diubah oleh AI adalah tingkat perhatian. Percakapan-percakapan ini dulu berada lebih jauh ke bawah dalam organisasi. Sekarang mereka berada tepat di tengah diskusi di ruang Dewan tentang pertumbuhan, kepercayaan, produktivitas, dan merek. Ini adalah hal yang sangat baik. Namun ini juga telah memperkenalkan penyederhanaan baru, yaitu gagasan bahwa model AI yang digunakan adalah risikonya. Biasanya, itu lebih besar dari itu. Pertanyaan yang lebih sulit adalah tentang data dan tata kelola di sekitarnya, keputusan yang dipengaruhinya, dan titik di mana penilaian manusia masih harus berarti.

Jadi jika saya harus merangkumnya, saya akan mengatakan risiko teknologi tidak pernah benar-benar tentang teknologi itu sendiri. Itu selalu merupakan cerminan dari penilaian kepemimpinan. AI hanya membuatnya jauh lebih sulit untuk diabaikan.

Tim keamanan sekarang memiliki akses ke lebih banyak intelijen kerentanan dari sebelumnya, namun organisasi terus berjuang dengan prioritas. Mengapa Anda percaya industri memiliki masalah sinyal-ke-noise daripada masalah deteksi?

Saya akan mengatakannya dengan cukup sederhana, industri ini tidak kekurangan data kerentanan. Industri ini kekurangan kejelasan.

Sebagian besar tim keamanan sudah memiliki lebih dari cukup masukan, output pemindai, intelijen ancaman, skor keparahan, advisory patch, pelaporan eksploitasi. Masalahnya bukan apakah mereka dapat menemukan kelemahan. Ini adalah apakah mereka dapat memisahkan beberapa yang benar-benar dapat merugikan bisnis dari banyak yang secara teknis menarik tetapi kurang konsekuensial.

Itulah mengapa saya melihatnya sebagai masalah sinyal-ke-noise. Deteksi telah meningkat secara luar biasa. Apa yang tidak berjalan seiring adalah kemampuan untuk menerapkan konteks. Sebuah kerentanan hanya menjadi prioritas nyata ketika Anda memahami di mana ia berada, seberapa terekspos ia, seberapa kritis aset itu, kontrol kompensasi apa yang ada, dan apa dampak bisnisnya jika dieksploitasi.

Dalam praktiknya, banyak organisasi masih kembali ke metrik yang paling mudah dihasilkan seperti peringkat keparahan, jumlah patch, dan laporan penuaan. Itu berguna, tetapi itu tidak sama dengan penilaian manusia. Masalah dengan skor tinggi di sistem internal bernilai rendah mungkin jauh kurang penting daripada kelemahan dengan peringkat lebih rendah yang berada di sesuatu yang berhadapan dengan pelanggan atau kritis secara operasional.

Jadi, saya tidak berpikir ini pada dasarnya adalah masalah visibilitas. Ini adalah masalah prioritas bisnis yang perlu dipelajari oleh tim keamanan. Kita menjadi sangat baik dalam menghasilkan temuan. Kita masih kurang konsisten dalam menerjemahkan temuan-temuan itu ke dalam daftar pendek tindakan yang dapat didukung oleh kepemimpinan dengan percaya diri.

Dan dari perspektif saya, itulah perubahan nyata yang masih perlu dilakukan industri, sebuah pergeseran dari mengukur seberapa banyak yang dapat kita deteksi menuju memutuskan apa yang benar-benar penting dalam hal dampak bisnis.

Di tingkat dewan, ini benar-benar pertanyaan tentang penerjemahan risiko, dapatkah organisasi mengonversi eksposur teknis menjadi sejumlah kecil prioritas bisnis yang jelas dan dapat ditindaklanjuti? Mereka yang dapat melakukannya dengan baik adalah mereka yang beralih dari noise ke sinyal.

Banyak vendor keamanan siber mengklaim bahwa AI dapat secara otomatis memprioritaskan kerentanan dan memprediksi ancaman. Di mana Anda melihat kesenjangan antara narasi pemasaran dan apa yang secara realistis dapat diberikan AI saat ini di lingkungan enterprise?

Saya pikir cara termudah untuk mengatakannya adalah bahwa pemasaran seputar ini cenderung menjanjikan tingkat kepastian yang tidak diizinkan oleh lingkungan enterprise yang sebenarnya.

Vendor sering menggambarkan AI seolah-olah ia dapat naik di atas noise, menyerap semuanya, dan dengan andal memberi tahu tim keamanan apa yang paling penting dan apa yang mungkin terjadi selanjutnya. Ini adalah tawaran yang menarik karena setiap pemimpin keamanan menginginkan lebih sedikit kekacauan dan lebih banyak kepercayaan diri. Tetapi begitu Anda masuk ke dalam organisasi besar, hal-hal jarang cukup bersih agar janji itu bertahan dengan cara yang begitu lugas.

AI pasti dapat membantu. Ia dapat menyatukan pola, mengurangi beberapa pengurutan manual, menyoroti anomali, dan membantu tim bekerja melalui volume informasi yang sebaliknya akan sulit dikelola, dan ini memiliki nilai nyata. Tetapi ada perbedaan antara membantu tim bergerak lebih cepat dan benar-benar mengetahui, dengan presisi yang dapat diandalkan, apa yang seharusnya paling penting di lingkungan spesifik itu.

Di situlah kesenjangan muncul. Sebagian besar enterprise penuh dengan konteks yang tidak merata. Inventaris aset tidak lengkap. Kepemilikan tidak selalu jelas. Kekritisan bisnis berubah. Kontrol bervariasi dari satu bagian estate ke bagian lain. Kualitas data beragam. Jika gambaran yang mendasarinya tidak merata, maka output AI juga akan tidak merata, betapapun halusnya antarmuka itu terlihat.

Saya pikir ini terutama benar ketika vendor berbicara tentang prediksi. Ada perbedaan berarti antara mengatakan, “pola ini terlihat berisiko,” dan mengatakan, “ini yang akan terjadi selanjutnya.” Yang pertama bisa berguna. Yang kedua adalah tempat bahasa sering berlari mendahului kenyataan.

Jadi, bagi saya, AI paling baik dipahami saat ini sebagai penguat, bukan otoritas. Ia dapat membantu tim mengurutkan, menghubungkan, dan memfokuskan. Apa yang tidak dapat dilakukannya secara konsisten adalah menggantikan kebutuhan akan penilaian manusia, pengetahuan lokal, dan pemahaman yang jelas tentang apa yang sebenarnya dipedulikan bisnis.

Itulah sebenarnya perpecahannya. Narasinya menyarankan kepastian. Kenyataannya lebih sederhana dan lebih berguna daripada hype jika Anda jujur tentang hal itu. AI dapat meningkatkan kualitas dan kecepatan analisis, tetapi tidak menghilangkan kekacauan pengambilan keputusan keamanan enterprise.

Spinnaker Support bekerja secara ekstensif dengan penerapan Oracle, SAP, dan JD Edwards. Apa yang membuat lingkungan ERP yang sangat kustomisasi menjadi sangat sulit untuk dipahami dan dinilai secara akurat oleh alat keamanan berbasis AI?

Apa yang membuat lingkungan ini sulit adalah bahwa, setelah cukup bertahun-tahun, mereka berhenti berperilaku seperti perangkat lunak standar yang telah dilatih oleh AI dan mulai berperilaku lebih seperti catatan tentang bagaimana bisnis sebenarnya bekerja.

Saya telah melihat ini terutama benar di estate Oracle, SAP, dan JD Edwards yang sangat dikustomisasi. Di atas kertas, Anda mungkin masih melihat platform yang dikenal. Pada kenyataannya, Anda sering melihat bertahun-tahun adaptasi lokal, kode kustom, integrasi warisan, struktur izin, logika pelaporan, dan solusi sementara yang dibangun untuk alasan operasional yang sangat spesifik. Bagi alat keamanan berbasis AI, saya percaya ini bisa sulit dibaca dengan keyakinan nyata.

Banyak dari alat ini bekerja paling baik ketika lingkungan relatif konsisten dan polanya lebih mudah dibandingkan. Lingkungan ERP yang sangat dikustomisasi jarang seperti itu. Logikanya lebih rumit. Dokumentasinya sering tidak lengkap. Kepemilikan mungkin tersebar di seluruh tim. Apa yang terlihat tidak biasa mungkin sepenuhnya disengaja dan apa yang terlihat rutin mungkin ternyata mendukung sesuatu yang benar-benar kritis dalam keuangan, rantai pasokan, atau operasi.

Di sinilah letak kesulitannya. Alat tidak hanya diminta untuk menemukan kerentanan atau kesalahan konfigurasi. Alat diminta untuk memahami apa arti masalah itu dalam konteks proses bisnis, ketergantungan kustom, atau struktur kontrol yang mungkin tidak ada di tempat lain.

Dan itu adalah masalah yang jauh lebih sulit daripada yang biasanya tersirat dalam pemasaran. AI dapat membantu memunculkan pola, mengurangi beberapa analisis manual, dan mengarahkan orang ke area yang layak untuk dilihat lebih dekat. Tetapi jika estate hanya didokumentasikan sebagian, dibentuk oleh bertahun-tahun pengecualian, dan terkait erat dengan cara perusahaan beroperasi, ada batasan seberapa akurat sistem otomatis dapat menafsirkannya sendiri.

Jadi, saya pikir masalah sebenarnya bukan apakah AI dapat melihat sesuatu. Ini adalah apakah ia dapat memahami cukup konteks di sekitarnya untuk menilainya dengan benar. Di lingkungan ERP yang sangat dikustomisasi, di situlah keahlian manusia masih membuat perbedaan.

Salah satu argumen kunci Anda adalah bahwa keahlian manusia bukanlah hambatan yang harus dihilangkan tetapi bagian penting dari proses keamanan. Dapatkah Anda berbagi contoh di mana penilaian manusia mengidentifikasi risiko yang kemungkinan akan terlewatkan oleh mesin prioritas berbasis AI?

Ya, tentu saja. Dan bagi saya, di sinilah batas-batas prioritas otomatis menjadi sangat jelas.

Beberapa risiko hanya masuk akal setelah Anda cukup mengenal lingkungan untuk memahami apa yang ada di balik data. Sebuah sistem mungkin tidak terlihat terlalu penting dari luar. Skor kerentanannya mungkin biasa saja. Tetapi seseorang yang mengetahui estate mungkin tahu bahwa itu mendukung penggajian, pelaporan akhir kuartal, integrasi yang rapuh, atau proses bisnis yang tidak mampu dihentikan oleh perusahaan. Sinyal dalam data mungkin terlihat biasa. Konsekuensi di dunia nyata tidak.

Saya juga telah melihat kasus di mana gambaran kontrol terlihat lebih baik dalam teori daripada dalam praktik. Mesin AI mungkin menganggap risiko berkurang karena segmentasi sudah ada, atau karena akses dibatasi, atau karena kontrol pemantauan ada. Tetapi seseorang yang dekat dengan lingkungan mungkin tahu bahwa satu kontrol diterapkan secara tidak konsisten, yang lain dilewati ketika operasi berada di bawah tekanan, dan yang ketiga diam-diam berhenti dapat diandalkan. Jenis kesenjangan itu tidak selalu muncul dengan rapi dalam sistem catatan.

Hal yang sama terjadi di lingkungan yang dikustomisasi. Sebuah skrip, alur kerja, atau model izin bisa terlihat rutin jika Anda memindai pola dalam skala besar. Bagi seseorang yang memahami bagaimana sistem itu telah diadaptasi dari waktu ke waktu, detail yang sama mungkin langsung menonjol sebagai sumber eksposur nyata.

Waktu juga penting. Sebuah kerentanan mungkin terlihat dapat dikelola secara terpisah, kemudian menjadi jauh lebih serius karena bisnis sedang dalam proses migrasi, akuisisi, tenggat waktu peraturan, atau periode operasi puncak. Jenis pergeseran itu tidak selalu mudah ditafsirkan oleh mesin otomatis dengan bobot yang tepat.

Jadi, ketika saya berbicara tentang keahlian manusia, saya tidak berbicara tentang naluri dalam arti yang samar. Maksud saya pengetahuan lokal. Memori. Penilaian. Kemampuan untuk melihat ketika masalah teknis kecil melekat pada sesuatu yang jauh lebih konsekuensial.

Itulah mengapa saya tidak melihat keahlian manusia sebagai hambatan yang harus dihilangkan. Saya melihatnya sebagai bagian yang mencegah kepercayaan diri yang salah. AI dapat membantu mengurutkan dan mempersempit data. Tetapi risiko yang paling penting seringkali adalah yang hanya menjadi jelas ketika seseorang memahami bagaimana bisnis benar-benar bekerja.

Ketika organisasi bergegas mengadopsi AI di seluruh operasi keamanan, apa risiko terbesar dari otomatisasi yang berlebihan dalam manajemen kerentanan dan penilaian eksposur?

Risiko terbesar yang saya lihat adalah Anda menciptakan tampilan kendali tanpa kenyataan benar-benar memahami bahwa Anda terkendali.

Manajemen kerentanan adalah salah satu area di mana otomatisasi jelas berharga. Dalam skala enterprise, Anda memerlukan otomatisasi untuk menemukan masalah, menghubungkan data, memprioritaskan dalam volume, dan menjaga seluruh proses tetap berjalan. Tidak ada organisasi serius yang dapat mengelola itu secara manual.

Tapi bahayanya muncul ketika otomatisasi mulai mendorong program tanpa tantangan manusia yang cukup di sekitarnya.

Risiko pertama yang jelas adalah prioritas yang salah. Jika Anda terlalu bergantung pada penilaian otomatis, Anda bisa berakhir memperlakukan keparahan teknis seolah-olah itu adalah hal yang sama dengan risiko bisnis. Padahal tidak. Kerentanan kritis pada aset yang terisolasi atau memiliki kontrol kompensasi mungkin kurang penting dalam praktiknya daripada masalah dengan peringkat lebih rendah yang berada di sistem yang sangat terekspos dan terkait dengan proses bisnis kritis.

Risiko kedua yang saya lihat adalah hilangnya konteks. Program otomatis hanya sebaik data aset, data kepemilikan, pemetaan ketergantungan, dan penanganan pengecualian di belakangnya. Jika informasi itu tidak lengkap, dan di sebagian besar enterprise biasanya beberapa di antaranya tidak lengkap, maka otomatisasi bisa menjadi sangat efisien dalam memindahkan keputusan yang cacat melalui sistem.

Risiko ketiga adalah perilaku. Setelah orang mulai terlalu mempercayai alur kerja, mereka berhenti mempertanyakan keluarannya. Tim berasumsi bahwa apa yang naik ke atas pasti yang paling penting dan apa yang tidak naik ke atas bisa menunggu. Itu bisa dimengerti, tapi saya percaya berbahaya. Karena itu menggeser budaya dari manajemen risiko yang terinformasi ke penerimaan pasif terhadap pengurutan yang dipimpin mesin.

Dan kemudian ada risiko strategis yang lebih luas, yaitu bahwa organisasi mulai mengacaukan throughput dengan peningkatan keamanan. Menutup volume kerentanan yang tinggi terlihat baik secara operasional. Itu menciptakan dasbor, metrik, dan rasa momentum. Tetapi jika Anda tidak mengurangi eksposur yang paling penting bagi bisnis, Anda mungkin hanya menjadi lebih cepat dalam terlihat sibuk.

Jadi, pandangan saya adalah bahwa otomatisasi pasti harus melakukan pekerjaan berat. Tapi itu harus mendukung penilaian, bukan menggantikannya. Jika tidak, Anda berakhir dengan proses yang efisien, terukur, dan dapat diskalakan, tetapi belum tentu lebih aman.

Anda telah bekerja secara ekstensif dalam transformasi TI dan arsitektur enterprise. Bagaimana seharusnya CISO menyeimbangkan kebutuhan untuk menambal kerentanan dengan cepat terhadap risiko operasional dari mengganggu sistem bisnis yang misi-kritis?

Pertanyaan bagus, karena ini adalah salah satu area di mana jawaban mudah biasanya adalah jawaban yang salah.

Tentu saja Anda ingin menambal dengan cepat. Tidak ada CISO yang akan berdebat untuk membiarkan kerentanan yang diketahui lebih lama dari yang diperlukan. Tetapi di enterprise nyata, terutama yang menjalankan sistem kritis, kecepatan saja bukanlah tujuannya. Jika Anda menambal dengan buruk dan menjatuhkan sesuatu yang diandalkan bisnis, Anda telah memecahkan satu masalah dengan menciptakan masalah lain.

Jadi, keseimbangannya benar-benar tentang memahami risiko mana yang hidup, mana yang teoretis, dan sistem mana yang dapat mentolerir perubahan tanpa menyebabkan masalah di tempat lain.

Beberapa kerentanan benar-benar membutuhkan tindakan segera. Jika sesuatu terekspos, dapat dieksploitasi, dan berada di bagian estate yang penting, maka Anda bergerak. Tetapi sering kali, keputusannya kurang mutlak daripada yang terdengar. Anda mungkin memiliki kontrol lain di sekitar masalah. Sistem yang terpengaruh mungkin tertahan dengan ketat. Risiko operasional dari melakukan perubahan hari ini mungkin lebih tinggi daripada mempertahankan posisi untuk waktu yang singkat dan melakukannya dengan benar.

Itulah mengapa CISO yang lebih baik cenderung menjadi mereka yang dapat melakukan percakapan dewasa dengan bisnis. Bukan hanya, “Ini kritis, tambal sekarang,” tetapi “Ini eksposurnya, ini yang bisa terjadi, ini yang bisa salah jika kita campur tangan dengan buruk, dan ini cara teraman untuk melewatinya.” Itu adalah bentuk kepemimpinan yang lebih kredibel daripada memperlakukan setiap kerentanan seolah-olah ada dalam isolasi.

Saya juga berpikir momen-momen ini mengekspos sesuatu yang lebih dalam tentang estate itu sendiri. Jika sebuah organisasi terus-menerus takut untuk menambal sistem inti karena perubahan apa pun terasa berbahaya, itu biasanya memberi tahu Anda bahwa lingkungan telah menjadi rapuh. Terlalu banyak ketergantungan tersembunyi, tidak cukup kepercayaan pengujian, terlalu sedikit ketahanan dalam arsitektur. Dalam situasi itu, perdebatan penambalan sebenarnya adalah gejala dari masalah yang jauh lebih tua.

Jadi ya, tambal cepat di mana risikonya nyata dan jalannya jelas. Tetapi di mana lingkungannya sensitif, tugasnya adalah mengurangi risiko tanpa menciptakan kekacauan yang lebih besar. Ini adalah keseimbangannya.

Dan sejujurnya, sebagian besar CISO berpengalaman sudah mengetahui ini. Tantangannya adalah menerapkan keputusan mereka di bawah tekanan, ketika waktu terus berdetak dan tidak ada yang ingin memiliki konsekuensi dari melakukannya dengan salah.

Pendekatan Spinnaker menggabungkan analisis berbasis AI dengan validasi ahli. Tugas spesifik apa yang harus ditangani AI, dan keputusan mana yang harus tetap berada di tangan profesional keamanan yang berpengalaman?

Saya pikir garis pemisahnya sebenarnya cukup lugas.

AI harus melakukan pekerjaan yang diuntungkan dari kecepatan, skala, dan konsistensi. Melalui sejumlah besar data, menyatukan sinyal, menemukan pola, menandai hal-hal yang terlihat tidak beres, membantu orang mempersempit bidang, ini persis jenis pekerjaan yang berguna untuk mesin. Ini menghemat waktu, mengurangi upaya manual, dan memberi tim keamanan titik awal yang lebih baik.

Ini juga sangat cocok untuk bagian pekerjaan yang berulang. Lapisan pertama triase. Merangkum temuan. Menghubungkan masalah serupa. Melacak pengecualian yang berulang. Menunjukkan di mana jenis kelemahan kontrol tertentu terus muncul. Tidak ada yang menggantikan keahlian, tetapi itu membuat penggunaan keahlian menjadi lebih baik.

Di mana saya akan jauh lebih berhati-hati adalah ketika Anda beralih dari analisis ke pengambilan keputusan.

Keputusan penting masih harus berada di tangan profesional keamanan yang berpengalaman. Apakah ini benar-benar risiko serius dalam bisnis ini atau hanya terlihat serius secara abstrak? Apakah ini kegagalan kontrol yang sebenarnya atau pengecualian yang berantakan tetapi dipahami? Jika kita perbaiki ini sekarang, apa lagi yang mungkin kita ganggu? Jika kita menunggu, apa yang sebenarnya kita terima? Itu adalah keputusan penilaian.

Dan itu bahkan sebelum Anda masuk ke sisi yang lebih manusiawi. Mengapa ini terus terjadi? Apakah organisasi secara sadar membawa risiko ini atau hanya berhenti menyadarinya? Apakah ini masalah terisolasi atau tanda sesuatu yang kultural di bawahnya? Jenis interpretasi itu masih sangat penting.

Jadi, saya akan membiarkan AI melakukan pengurutan, pengelompokan, langkah pertama, pekerjaan berat. Tapi saya tidak akan membiarkannya memutuskan apa yang paling harus dipedulikan bisnis atau tindakan apa yang harus diambil tanpa tinjauan manusia.

Karena begitu sebuah keputusan memiliki konsekuensi, baik secara operasional, finansial, atau reputasi, Anda tidak lagi hanya memproses informasi. Anda membuat penilaian.

Dan dalam keamanan, saya percaya, itu masih harus menjadi seseorang dengan kecerdasan yang sebenarnya.

Banyak organisasi masih sangat fokus pada jumlah kerentanan dan skor keparahan. Mengapa Anda percaya manajemen eksposur yang sejati memerlukan pandangan yang lebih luas yang mencakup kontrol kompensasi, pembatasan akses, arsitektur sistem, dan konteks bisnis?

Ini memerlukan pandangan yang lebih luas karena angka saja tidak memberi tahu Anda banyak tentang seberapa besar masalah yang sebenarnya Anda hadapi.

Skor keparahan memiliki tempatnya. Jumlah kerentanan memiliki tempatnya. Mereka membantu Anda mengukur masalah. Mereka membantu Anda mengatur backlog. Tapi mereka tidak sama dengan memahami eksposur, dan di situlah saya pikir banyak organisasi masih salah.

Sebuah kerentanan bisa terlihat parah dalam teori dan masih relatif terkandung dalam praktik. Jika akses ke sistem sangat terbatas, jika ada kontrol kompensasi lain di sekitarnya, jika ia berada di bagian lingkungan yang sulit dijangkau melalui pembatasan akses, maka kemungkinan aktual masalah itu menyebabkan kerugian mungkin sangat berbeda dari apa yang disarankan skor mentah.

Dan kemudian Anda mendapatkan kasus sebaliknya, yang seringkali lebih menarik. Sesuatu yang lebih rendah dalam daftar bisa berubah menjadi jauh lebih penting karena di mana ia berada. Ia menyentuh layanan kritis. Lebih mudah untuk dijangkau. Ia berada di bagian arsitektur sistem di mana satu kompromi memberi Anda ruang untuk bergerak. Itu adalah jenis hal yang tidak akan dijelaskan dengan baik oleh peringkat keparahan sederhana.

Jadi, ketika orang berbicara tentang manajemen eksposur, bagi saya itu harus berarti lebih dari sekadar mengurutkan kerentanan berdasarkan skor dan mengerjakan tumpukan ke bawah.

Anda perlu tahu apa yang ada di sekitar masalah. Kontrol apa yang sudah ada. Siapa yang bisa menjangkaunya. Apakah sistem terisolasi atau terhubung ke sesuatu yang lebih penting. Dan jika dieksploitasi, apa yang sebenarnya terjadi selanjutnya.

Jika tidak, Anda berakhir mengelola gambaran risiko daripada risiko itu sendiri. Dasbor membaik. Nomor tiket bergerak. Pelaporan terlihat lebih baik. Tapi Anda belum tentu lebih aman.

Saya pikir sebagian alasan ini terjadi adalah karena angka-angka itu menenangkan. Mereka terlihat objektif. Mereka memberi orang sesuatu yang rapi untuk disajikan. Mereka menciptakan rasa bahwa masalah telah direduksi menjadi sesuatu yang terukur dan terkendali. Tapi eksposur nyata biasanya jauh lebih berantakan dari itu.

Ia berada di tumpang tindih antara cacat, kontrol di sekitarnya, arsitektur tempat ia hidup, dan konsekuensi bisnis jika sesuatu salah.

Jadi ya, gunakan skornya. Gunakan jumlahnya. Tentu saja. Tapi jangan mengacaukannya dengan pemahaman.

Jika Anda ingin tahu di mana eksposur sebenarnya, saya percaya Anda harus melihat seluruh lingkungan, bukan hanya angka yang melekat padanya.

Lingkungan perangkat lunak enterprise memasuki periode perubahan signifikan ketika organisasi memodernisasi sistem lama sambil secara bersamaan mengadopsi teknologi AI. Melihat ke depan selama tiga hingga lima tahun ke depan, bagaimana Anda melihat hubungan antara AI, keamanan siber, dan platform enterprise berkembang, dan apa yang harus dipersiapkan oleh para pemimpin teknologi hari ini?

Saya pikir tiga hingga lima tahun ke depan akan menjadi cukup menentukan.

Terutama karena perusahaan mencoba memodernisasi estate enterprise lama pada saat yang sama ketika mereka membawa AI ke dalam campuran, dan tidak satu pun dari hal-hal itu yang mudah dengan sendirinya. Melakukan keduanya bersama-sama meningkatkan taruhannya.

Apa yang berubah pertama, saya pikir, adalah bahwa AI berhenti menjadi eksperimen sampingan dan mulai menjadi bagian dari cara bisnis sebenarnya berjalan. Ia muncul dalam alur kerja, dukungan, pengembangan, operasi keamanan, dan administrasi platform, bukan sebagai hal baru, tetapi sebagai bagian dari infrastruktur.

Dan begitu itu terjadi, percakapan siber menjadi lebih serius. Anda tidak hanya bertanya apakah alat itu berguna. Anda bertanya apa yang bisa dijangkau, apa yang bisa dipengaruhinya, data apa yang dimakannya, dan apa konsekuensinya ketika ia melakukan kesalahan.

Saya juga berpikir kita akan melihat keamanan dan arsitektur menjadi lebih sulit untuk dipisahkan. Di banyak lingkungan yang lebih tua, hal yang terlihat seperti masalah keamanan seringkali sebenarnya adalah masalah arsitektur yang memakai lencana keamanan. Desain identitas yang lemah, terlalu banyak ketergantungan, kepemilikan yang tidak jelas, integrasi yang rapuh, visibilitas yang buruk, itulah hal-hal yang cenderung berada di bawah masalah yang terlihat. AI tidak akan menghaluskan itu. Jika ada, ia mungkin akan mengekspos kekacauan lebih cepat.

Jadi, organisasi yang menangani ini dengan baik, saya percaya, adalah mereka yang berhenti memperlakukan adopsi AI, keamanan siber, dan modernisasi platform sebagai tiga alur kerja yang terpisah. Mereka semakin menjadi percakapan yang sama.

Jika saya menasihati para pemimpin teknologi sekarang, saya akan mulai dengan visibilitas. Anda perlu pemahaman yang jauh lebih jelas tentang apa yang Anda miliki, bagaimana itu terhubung, siapa yang memiliki akses ke apa, di mana data sensitif bergerak, dan di mana titik kontrol nyata Anda. Tanpa itu, melapisi AI di atasnya hanya meningkatkan jumlah hal yang tidak Anda pahami sepenuhnya.

Hal berikutnya adalah tata kelola, tetapi bukan jenis yang bersifat performatif. Keputusan nyata. Di mana AI dapat digunakan? Di mana tinjauan manusia perlu tetap ada? Bagaimana keluaran diperiksa? Data apa yang terlarang? Siapa yang memiliki konsekuensi jika sistem mendorong tindakan yang salah? Pertanyaan-pertanyaan itu perlu dijawab sekarang, bukan nanti.

Dan sejujurnya, penyederhanaan lebih penting daripada yang ingin diakui banyak orang. Semakin rumit estate, semakin sulit untuk diamankan, semakin sulit untuk dimodernisasi, dan semakin sulit untuk menggunakan AI tanpa menciptakan ketidakpastian baru.

Kemudian ada sisi manusianya. Organisasi yang lebih baik akan menjadi mereka yang tahu cara menggabungkan otomatisasi dengan penilaian. Mereka tidak hanya akan mengonsumsi output AI karena cepat atau halus. Mereka akan menantangnya. Mengujinya. Menolaknya ketika diperlukan.

Jadi ya, selama beberapa tahun ke depan saya pikir AI, siber, dan platform enterprise akan menjadi jauh lebih erat terikat bersama.

Dan saya pikir para pemimpin yang mempersiapkan diri dengan baik akan menjadi mereka yang memahami bahwa ini bukan hanya pergeseran teknologi. Ini adalah perubahan dalam bagaimana keputusan dibuat, bagaimana kendali dijalankan, dan seberapa tangguh organisasi mereka sebenarnya.

Terima kasih untuk wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Spinnaker Support.