Jack Cherkas, Global CISO at Syntax – Intervista della serie

Jack Cherkas, Global CISO at Syntax, è un dirigente di cybersecurity con una profonda esperienza in materia di sicurezza cloud, resilienza informatica, architettura aziendale e sicurezza dell’AI. Ha ricoperto ruoli di alto livello in Syntax, PwC UK, Kyndryl e IBM, dove ha contribuito a costruire e ampliare le operazioni di sicurezza, gestire gli sforzi di risposta agli incidenti e sviluppare strategie di resilienza informatica per ambienti aziendali di grandi dimensioni. In Syntax, guida la sicurezza informatica globale in tutta l’azienda, sovrintendendo a un team di oltre 65 professionisti della sicurezza in otto paesi.

Syntax è un fornitore di servizi IT e cloud gestito a livello globale, specializzato in applicazioni aziendali mission-critical, in particolare ambienti SAP e Oracle. L’azienda supporta le organizzazioni nella migrazione al cloud, hosting gestito, sicurezza informatica, gestione delle applicazioni aziendali e operazioni abilitate all’AI su infrastrutture cloud ibride e multi-cloud. Il suo lavoro si concentra sull’aiutare le aziende a modernizzare, proteggere e gestire sistemi aziendali complessi a larga scala.

Ha guidato iniziative di sicurezza informatica in IBM, Kyndryl, PwC e ora Syntax. Come è cambiata la sua prospettiva sulla sicurezza delle tecnologie emergenti come l’AI, in particolare mentre le organizzazioni passano dalla sperimentazione alla produzione?

La mia carriera ha seguito una serie di innovazioni, ognuna delle quali ha richiesto che la sicurezza si adeguasse a una nuova superficie di controllo. In IBM, ai primi tempi del cloud, la domanda era se potevamo fidarci dell’infrastruttura di qualcun altro per eseguire carichi di lavoro mission-critical. La risposta è stata un modello di responsabilità condivisa e una generazione di controlli cloud-native.

Poi è arrivata l’era del ransomware. NotPetya nel 2017 ha disabilitato le aziende in poche ore e l’industria ha imparato che il malware wormable poteva abbattere le catene di approvvigionamento globali in una notte. La risposta è stata prepararsi per quando (e non se) un attacco informatico sarebbe accaduto, segmentazione della rete, backup immutabili e una spinta seria sull’identità.

Durante il mio tempo in Kyndryl e PwC, il SaaS è passato dall’edge al centro di ogni proprietà. I carichi di lavoro sono stati spostati dai data center e sullo stack di qualcun altro, l’identità è diventata il perimetro e Zero Trust ha smesso di essere un diagramma e ha iniziato a essere un modello operativo.

Ora in Syntax, ci troviamo nell’onda del GenAI, dove il sistema stesso ragiona, genera e agisce. Ogni onda ci ha dato una nuova superficie di controllo, non abbastanza avvertimento e una finestra più breve tra sperimentazione e produzione. Il cloud ha richiesto anni. Il SaaS ha richiesto trimestri. Il GenAI richiede settimane. I CISO che tengono il passo sono quelli che hanno smesso di trattare ogni onda come un’eccezione e hanno iniziato a trattare l’adozione rapida come lo stato stabile.

Mentre le organizzazioni accelerano l’adozione dell’AI, come valuta il rischio che la fiducia, e non solo la conformità, venga compromessa? Quali sono i primi indicatori che questo sta iniziando ad accadere?

La fiducia è la base di ogni buona adozione dell’AI. I primi indicatori non si trovano nel rapporto di audit, ma nei segnali operativi. Distribuzioni di AI in ombra che nessuno possiede. Acquisizioni che approvano i vendor di GenAI senza revisione di sicurezza. Lineage dei dati che si interrompe nel momento in cui si chiede da dove provenga il set di dati di training. Agenti di AI a cui sono stati concessi permessi di amministratore perché nessuno voleva rallentare il progetto. Quando si vedono questi quattro segnali in un’organizzazione, la fiducia sta già essere spesa più velocemente di quanto non venga guadagnata. La leadership è di solito l’ultima a saperlo.

Molte aziende stanno adottando l’AI più velocemente di quanto possano assicurarla. Quali sono i rischi più comuni che sta vedendo oggi quando la governance è in ritardo rispetto all’innovazione?

Quando la governance è in ritardo, tre cose accadono e nessuna di esse si presenta come incidente di sicurezza fino a molto più tardi. In primo luogo, l’esposizione normativa si accumula silenziosamente: una distribuzione di AI che viola i requisiti di trasparenza del Regolamento AI dell’UE non attiva un allarme; si presenta in un audit due anni dopo come una multa. In secondo luogo, la fiducia del cliente si erode in transazioni che non si vedono: i potenziali clienti scelgono i concorrenti che possono dimostrare la governance e il team di vendita non scopre mai il perché. In terzo luogo, la qualità della decisione si deteriora: l’organizzazione prende più decisioni influenzate dall’AI, ma non può spiegarle o auditarle e le cattive decisioni si accumulano in luoghi in cui nessuno sta guardando. Il costo di una governance debole dell’AI è l’erosione lenta dell’audit, delle vendite e della qualità delle decisioni, che si conclude in una violazione dannosa per la reputazione.

Dalla sua esperienza nella costruzione e nell’ampliamento dei servizi di sicurezza gestiti e delle operazioni del SOC, come dovrebbero ripensare le organizzazioni i loro modelli di sicurezza per gestire i sistemi e le decisioni autonome guidate dall’AI?

L’AI è un nuovo vettore di attacco, un moltiplicatore di minacce e un pezzo cruciale del puzzle difensivo e il modello di sicurezza deve adattarsi per coprire tutti e tre allo stesso tempo.

Come vettore di attacco, le piattaforme di GenAI stesse diventano bersagli da difendere. Come moltiplicatore di minacce, gli attaccanti stanno utilizzando il GenAI per creare phishing su larga scala, generare codice di sfruttamento, automatizzare la ricognizione e scoprire vulnerabilità a velocità di macchina. Come pezzo difensivo, la stessa tecnologia rivolta dall’altra parte è la sola risposta realistica: il triage guidato dall’AI, la caccia alle minacce automatizzata e l’aumento degli analisti non sono più opzionali; sono il modo in cui un SOC mantiene il passo con un avversario aumentato dall’AI. Se loro sono aumentati dall’AI e noi no, il divario si accumula con ogni ciclo.

Ciò crea anche un nuovo tipo di attore che il modello deve gestire. In Syntax, pensiamo già agli agenti di AI come se facessero parte dell’organigramma, accanto agli esseri umani, il che stabilisce la barra per come li proteggiamo. Gli agenti di AI hanno bisogno di tutto ciò che diamo agli utenti umani (identità, permessi basati su ruoli, registri di attività, linee guida comportamentali) più gli stessi lever di contenimento che utilizziamo per gli account compromessi: la capacità di disabilitare, isolare e revocare. La differenza è la velocità. Gli agenti agiscono in millisecondi, quindi quei lever devono essere immediati e automatizzati, non la parte posteriore di un flusso di lavoro di risposta agli incidenti.

In Syntax, il nostro Global Security Operations Center sta evolvendo in modo che l’AI aumenti l’analista umano, mentre i nostri dipendenti costruiscono flussi di lavoro agente e agenti all’interno della piattaforma di GenAI di Syntax, che fornisce guardrail contro la parzialità, la tossicità e controlli per la privacy e la sicurezza dei dati per impostazione predefinita.

Questo è il ripensamento. Difendere l’AI come bersaglio. Distribuire l’AI come difensore. Gestire l’uso dell’AI.

C’è spesso tensione tra velocità e controllo. Come possono le organizzazioni mantenere la velocità dell’innovazione mentre implementano un controllo e delle barriere significative per i sistemi di AI?

Velocità e controllo sembrano opposti finché non si costruisce una governance che viaggia con il progetto piuttosto che bloccarlo. L’errore è mettere la governance alla porta: un comitato, un’autorizzazione, una revisione trimestrale. Quando la porta si apre, il team ha già aggirato o perso slancio. Il modello che funziona è il processo ridefinito con la governance al suo interno. La comunicazione chiara e coerente è il punto di partenza, seguita da modelli preapprovati, flussi di dati preclearati e modelli di permesso predefiniti. I team ottengono velocità, i team di sicurezza ottengono visibilità e il compromesso che tutti assumono esiste si rivela essere un processo mal progettato. Si tratta di bilanciare la sicurezza con l’innovazione contro l’appetito per il rischio di ogni organizzazione.

Ha lavorato su strategie di resilienza informatica e risposta agli incidenti su larga scala. Come l’introduzione dell’AI cambia la natura delle minacce informatiche e il modo in cui le organizzazioni dovrebbero prepararsi?

L’AI sta aumentando le minacce su diversi vettori. Scala: phishing e ricognizione a velocità di macchina contro migliaia di bersagli contemporaneamente. Sofisticazione: ingegneria sociale guidata da deepfake che supera la verifica vocale e video. Identità: identità sintetiche che superano i controlli di identità progettati per gli esseri umani.

Per la risposta agli incidenti, le implicazioni sono operative. È necessario un rilevamento che non si basi sul riconoscimento di modelli da parte degli esseri umani a velocità umana. È necessario protocolli di verifica che assumano che la voce e il video possano essere falsificati. E sono necessari playbook di risposta agli incidenti che coprono esplicitamente gli incidenti correlati all’AI, perché i passaggi di recupero non sono gli stessi di quelli per un evento di ransomware.

In Syntax, cosa significa “progettato per la sicurezza” per l’AI in un ambiente aziendale complesso e reale?

In Syntax significa bilanciare l’innovazione e la sicurezza attraverso l’adozione della nostra piattaforma di GenAI con barriere di sicurezza incorporate, i nostri servizi e app di GenAI approvati, ristretti e proibiti, e promuovendo una cultura di sicurezza attraverso il nostro ufficio di governance dell’AI. Per la nostra organizzazione di sicurezza globale, significa posizionarci come abilitatori per l’azienda, non come bloccatori, supportando l’azienda con le sue priorità strategiche mentre proteggiamo Syntax in linea con il nostro appetito per il rischio.

C’è una narrazione crescente che la sicurezza e la conformità non sono più bloccatori, ma abilitatori della crescita. Cosa deve cambiare culturalmente e operativamente perché le organizzazioni possano veramente adottare questa mentalità?

Il più grande cambiamento è ciò che significa il successo. I team di sicurezza sono stati misurati per decenni in base a ciò che non è accaduto: nessun violazione, nessun incidente, nessun risultato di audit. Quella metrica premia il dire di no. I team che operano come abilitatori misurano qualcosa di diverso: accordi vinti perché i controlli erano dimostrabili, lanci che hanno raggiunto la data perché la sicurezza ha sbloccato il percorso e innovazioni che sono passate attraverso la governance piuttosto che aggirarla.

Operativamente, è necessario ridefinire i processi con la governance al loro interno, abbinati all’abilitazione attiva come la nostra piattaforma di GenAI che rende la sicurezza il percorso più facile, e all’istruzione e ai programmi di GenAI accessibili, come la nostra iniziativa AI Champions.

La cultura segue ciò che si incentiva e ciò che si abilita. Cambiare ciò che si premia, equipaggiare le persone con gli strumenti giusti e la formazione giusta al momento giusto, e si cambia ciò che fanno. Questo è il viaggio che Syntax sta intraprendendo.

Con l’AI sempre più integrata nei flussi di lavoro aziendali, come dovrebbero collaborare i CISO con i leader dell’AI, gli scienziati dei dati e i team di prodotto per garantire la responsabilità senza rallentare il progresso?

Il CISO che aspetta di essere invitato sarà in ritardo. Il CISO che si presenta presto, con modelli pratici piuttosto che obiezioni di politica, diventa il partner che i progetti di AI desiderano veramente al tavolo. Nella pratica, significa sessioni di progettazione congiunte con i team di AI, autorizzazioni di sicurezza che siedono accanto a quelle funzionali piuttosto che dopo di esse, e una politica di porta aperta. Ciò cambia la conversazione da “Dipartimento del No” a “Sì, ma” o “No, ma” come partner collaborativo e disposto per l’azienda.

Guardando avanti, crede che vedremo un quadro globale standardizzato per la governance dell’AI o le organizzazioni dovranno costruire le loro architetture di fiducia interne indipendentemente dalla regolamentazione?

Entrambe le cose, in quest’ordine. Vedremo una convergenza graduale su un numero limitato di quadri regionali, il Regolamento AI dell’UE per primo, altri a seguire con variazioni locali. Non vedremo uno standard globale in questo decennio a causa della frammentazione geopolitica. Quindi, le organizzazioni finiranno per fare due cose in parallelo: ottemperare al quadro che si applica al loro mercato più grande e gestire un’architettura di fiducia interna che superi lo standard più debole. L’architettura interna conta più dello standard esterno, perché i regolatori si muovono lentamente e le minacce no. Le aziende che costruiscono architetture di fiducia interne ora trascorreranno il prossimo decennio dicendo “già lo facciamo” a ogni nuovo regolatore che arriva.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Syntax.