Jack Cherkas, Global CISO bij Syntax – Interviewreeks

Jack Cherkas, Global CISO bij Syntax, is een cybersecurity-executive met diepgaande ervaring op het gebied van cloudbeveiliging, cyberweerbaarheid, ondernemingsarchitectuur en AI-beveiliging. Hij heeft seniorenrollen bekleed bij Syntax, PwC UK, Kyndryl en IBM, waar hij heeft geholpen om beveiligingsoperaties op te bouwen en op te schalen, grote incidenten te beheren en cyberweerbaarheidsstrategieën te ontwikkelen voor grote ondernemingsomgevingen. Bij Syntax leidt hij de wereldwijde cybersecurity over de mensen, systemen, datacenters, beheerde cloudservices en klantgerichte beveiligingsaanbod van het bedrijf, met een team van meer dan 65 beveiligingsprofessionals in acht landen.

Syntax is een wereldwijde IT-dienstverlener en beheerde cloudprovider die zich specialiseert in mission-critical ondernemingsapplicaties, met name SAP- en Oracle-omgevingen. Het bedrijf ondersteunt organisaties bij cloudmigratie, beheerd hosting, cybersecurity, ondernemingsapplicatiebeheer en AI-geactiveerde operaties in hybride en multi-cloudinfrastructuur. De focus ligt op het helpen van ondernemingen om complexe bedrijfssystemen te moderniseren, beveiligen en op schaal uit te voeren.

U hebt cybersecurity-initiatieven geleid bij IBM, Kyndryl, PwC en nu Syntax. Hoe is uw perspectief op het beveiligen van opkomende technologieën zoals AI geëvolueerd, vooral nu organisaties overgaan van experimenten naar productie?

Mijn carrière heeft een reeks verstoringen gevolgd, waarbij elke keer werd geëist dat beveiliging zich aanpaste aan een nieuw besturingsoppervlak. Bij IBM in de vroege dagen van cloud was de vraag of we iemands anders infrastructuur konden vertrouwen om mission-critical workloads uit te voeren. Het antwoord was een gedeeld verantwoordelijkheidsmodel en een generatie cloud-native controles.

Daarna kwam de ransomware-periode. NotPetya in 2017 verlamde bedrijven in uren, en de industrie leerde dat wormbare malware wereldwijde toeleveringsketens kon uitschakelen. De reactie was het voorbereiden op wanneer (niet als) een cyberaanval zou plaatsvinden, netwerksegmentatie, onveranderlijke back-ups en een serieuze push op identiteit.

Gedurende mijn tijd bij Kyndryl en PwC, verplaatste SaaS zich van de rand naar het centrum van elke onderneming. Workloads verhuisden uit datacenters en naar iemands anders stack, identiteit werd de perimeter, en Zero Trust hield op een diagram te zijn en werd een operationeel model.

Nu bij Syntax, bevinden we ons in de GenAI-golf, waar het systeem zelf redeneert, genereert en handelt. Elke golf gaf ons een nieuw besturingsoppervlak, niet genoeg waarschuwing en een korter venster tussen experiment en productie. Cloud nam jaren in beslag. SaaS nam kwartalen in beslag. GenAI neemt weken in beslag. De CISO’s die bijhouden zijn degene die elke golf ophielden te behandelen als een uitzondering en zijn begonnen met het behandelen van snelle adoptie als de gestage staat.

Terwijl organisaties de adoptie van AI versnellen, hoe beoordeelt u het risico dat vertrouwen, niet alleen naleving, wordt geschonden? Wat zijn de vroegste indicatoren dat dit begint te gebeuren?

Vertrouwen is de basis van elke goede AI-adoptie. De vroegste indicatoren zijn niet in het auditrapport te vinden, maar in de operationele signalen. Schaduw-AI-implementaties die niemand bezit. Inkoop die GenAI-leveranciers goedkeurt zonder beveiligingscontrole. Data-afkomst die breekt zodra u vraagt waar de trainingsdata vandaan kwamen. AI-agents met beheerdersrechten omdat niemand het project wilde vertragen. Wanneer u deze vier signalen in één organisatie ziet, wordt vertrouwen al sneller uitgegeven dan verdiend. Het leiderschap is meestal de laatste die het weet.

Veel bedrijven nemen AI sneller in gebruik dan ze kunnen beveiligen. Wat zijn de meest voorkomende echte risico’s die u vandaag ziet wanneer governance achterblijft bij innovatie?

Wanneer governance achterblijft, gebeuren er drie dingen, en geen van deze dingen wordt weergegeven als beveiligingsincidenten totdat veel later. Ten eerste wordt de regulatoire blootstelling stilzwijgend vermeerderd: een AI-implementatie die de transparantie-eisen van de EU AI-wet schendt, activeert geen alarm; het wordt twee jaar later in een audit weergegeven als een boete. Ten tweede erodeert het vertrouwen van de klant in transacties die u nooit ziet: potentiële klanten kiezen concurrerende bedrijven die governance kunnen aantonen, en uw verkoopteam komt nooit te weten waarom. Ten derde verslechtert de besluitkwaliteit: de onderneming neemt meer AI-geïnformeerde beslissingen, maar kan deze niet verklaren of auditen, en slechte beslissingen accumuleren op plaatsen waar niemand naar kijkt. De kosten van zwakke AI-governance zijn de langzame erosie van audit, verkoop en besluitkwaliteit, eindigend in een reputatieschade breuk.

Uit uw ervaring met het opbouwen en opschalen van beheerde beveiligingsdiensten en SOC-operaties, hoe moeten organisaties hun beveiligingsmodellen heroverwegen om AI-gestuurde systemen en autonome besluitvorming aan te pakken?

AI is een nieuw aanvalsvector, een dreigingsvermenigvuldiger en een kritisch defensief puzzelstuk, en het beveiligingsmodel moet zich aanpassen om alle drie tegelijk te dekken.

Als aanvalsvector worden GenAI-platforms zelf doelwitten om te verdedigen. Als dreigingsvermenigvuldiger gebruiken aanvallers GenAI om phishing op grote schaal te creëren, exploitcode te genereren, automatische verkenning uit te voeren en kwetsbaarheden te ontdekken met machinesnelheid. Als defensief onderdeel is dezelfde technologie, omgekeerd, het enige realistische antwoord: AI-gestuurde triage, geautomatiseerde bedreigingsjacht en analistversterking zijn geen optie meer; het is de enige manier waarop een SOC kan bijhouden met een AI-versterkte tegenstander. Als zij AI-versterkt zijn en wij niet, wordt de kloof vermeerderd met elke cyclus.

Dat creëert ook een nieuw actortype dat het model moet reguleren. Bij Syntax denken we al na over AI-agents die deel uitmaken van de organisatie, naast mensen, wat de lat legt voor hoe we ze beveiligen. AI-agents hebben alles nodig wat we menselijke gebruikers geven (identiteit, rolgebaseerde machtigingen, activiteitslogboeken, gedragsbaselines) plus dezelfde beperkingsmechanismen die we gebruiken voor gecompromitteerde accounts: de mogelijkheid om uit te schakelen, te isoleren en in te trekken. Het verschil is snelheid. Agents handelen in milliseconden, dus die mechanismen moeten onmiddellijk en geautomatiseerd zijn, niet het einde van een incidentresponsworkflow.

Bij Syntax is ons Global Security Operations Center al aan het evolueren zodat AI de menselijke analist versterkt, terwijl onze medewerkers agente-workflows en -agents binnen het Syntax GenAI-platform bouwen, dat uit de doos guardrails biedt tegen vooroordelen, giftigheid en controles voor gegevensprivaciteit en -beveiliging.

Dat is de heroverweging. Verdedig AI als doelwit. Implementeer AI als verdediger. Reguleer het gebruik van AI.

Er is vaak spanning tussen snelheid en controle. Hoe kunnen organisaties innovatiekracht behouden terwijl ze nog steeds betekenisvolle toezicht en guardrails voor AI-systemen implementeren?

Snelheid en controle lijken tegenpolen totdat u governance bouwt die meereist met het project in plaats van het te blokkeren. De fout is governance aan de poort zetten: een commissie, een goedkeuring, een kwartaaloverzicht. Tegen de tijd dat de poort opengaat, is het team al omheen gegaan of heeft het momentum verloren. Het model dat werkt, is processen herdefiniëren met governance ingebakken. Duidelijke en consistente communicatie is het startpunt, gevolgd door vooraf goedgekeurde patronen, vooraf goedgekeurde gegevensstromen en vooraf gedefinieerde machtigingssjablonen. Teams krijgen snelheid, beveiligingsteams krijgen zichtbaarheid, en de compromis die iedereen aanneemt, blijkt een slecht ontworpen proces te zijn. Dit gaat allemaal over het balanceren van beveiliging met innovatie tegen de risicobereidheid van elke organisatie.

U hebt gewerkt aan grote cyberweerbaarheidsstrategieën en incidentrespons. Hoe verandert de introductie van AI de aard van cyberdreigingen en de manier waarop organisaties zich daarop moeten voorbereiden?

AI versnelt de dreigingen over verschillende vectoren. Schaal: phishing en verkenning met machinesnelheid tegen duizenden doelwitten tegelijk. Sophisticatie: deepfake-gedreven sociale manipulatie die stem- en videoverificatie verslaat. Identiteit: synthetische identiteiten die identiteitscontroles voor mensen doorstaan.

Voor incidentrespons zijn de implicaties operationeel. U hebt detectie nodig die niet afhankelijk is van menselijke patronenherkenning met mensensnelheid. U hebt verificatieprotocollen nodig die aannemen dat stem en video kunnen worden vervalst. En u hebt incidentresponsplaybooks nodig die expliciet AI-gerelateerde incidenten dekken, omdat de herstapstappen niet hetzelfde zijn als herstel na een ransomware-gebeurtenis.

Bij Syntax, wat betekent “secure-by-design” AI in een complexe, echte ondernemingsomgeving?

Bij Syntax betekent het het balanceren van innovatie en beveiliging door middel van de adoptie van ons GenAI-platform met ingebouwde guardrails, onze goedgekeurde, beperkte en verboden GenAI-diensten en -apps, modellen en platforms, en door een beveiligingsgerichte cultuur te stimuleren via ons AI-governancekantoor. Voor onze Global Security-organisatie betekent het dat we onszelf positioneren als een faciliterend bedrijf voor de onderneming, niet als een blokkerend bedrijf, en dat we de onderneming ondersteunen bij haar strategische prioriteiten, terwijl we Syntax beschermen in overeenstemming met onze risicobereidheid.

Er is een groeiend verhaal dat beveiliging en naleving niet langer blokkers zijn, maar drivers van groei. Wat moet er cultureel en operationeel veranderen om organisaties echt te laten omarmen?

De grootste verschuiving is wat succes betekent. Beveiligingsteams zijn decennialang gemeten op basis van wat niet gebeurde: geen inbraken, geen incidenten, geen auditbevindingen. Die meting beloont het zeggen van nee. Teams die opereren als faciliterend bedrijf meten iets anders: deals die gewonnen zijn omdat controles aantoonbaar waren, lanceringen die op tijd plaatsvonden omdat beveiliging de weg vrijmaakte, en innovaties die door governance heen gingen in plaats van eromheen.

Operationeel moet het proces worden herdefinieerd met governance ingebakken, in combinatie met actieve facilitering zoals ons GenAI-platform, dat beveiliging de makkelijkere route maakt, en toegankelijke GenAI-educatie en -programma’s, zoals onze AI-Champions-initiatief.

Cultuur volgt wat u stimuleert en wat u faciliteert. Verander wat u beloont, equip mensen met de juiste tools en de juiste training op het juiste moment, en u verandert wat ze doen. Dit is de reis die Syntax onderneemt.

Terwijl AI steeds meer wordt geïntegreerd in ondernemingsworkflows, hoe moeten CISO’s samenwerken met AI-leiders, datawetenschappers en productteams om verantwoordelijkheid te garanderen zonder de vooruitgang te vertragen?

De CISO die wacht tot hij wordt uitgenodigd, zal te laat zijn. De CISO die vroeg komt, met praktische patronen in plaats van beleidsbezwaren, wordt de partner die AI-projecten echt willen aan tafel. In de praktijk betekent dit gezamenlijke ontwerpsessies met AI-teams, beveiligingsgoedkeuringen die naast functionele goedkeuringen zitten in plaats van erna, en een open deurbeleid. Dit verandert het gesprek van “Afdeling Nee” naar “Ja, maar” of “Nee, maar” als een bereidwillige en collaboratieve partner voor de onderneming.

Kijkend naar de toekomst, denkt u dat we een gestandaardiseerd wereldwijd kader voor AI-governance zullen zien, of moeten organisaties hun eigen interne vertrouwensarchitecturen opbouwen, ongeacht regulering?

Beide, in die volgorde. We zullen gefaseerde convergentie zien naar een klein aantal regionale kaders, de EU AI-wet als eerste, anderen volgen met lokale variatie. We zullen geen enkel wereldwijd standaard zien in dit decennium vanwege geopolitieke fragmentatie. Dus zullen organisaties twee dingen parallel doen: voldoen aan het kader dat van toepassing is op hun grootste markt en een interne vertrouwensarchitectuur uitvoeren die het zwakste kader overtreft. De interne architectuur is belangrijker dan de externe standaard, omdat regulatoren langzaam bewegen en dreigingen niet. De bedrijven die interne vertrouwensarchitecturen nu opbouwen, zullen het komende decennium zeggen: “we doen dat al” tegen elke nieuwe regulator die arriveert.

Bedankt voor het geweldige interview, lezers die meer willen leren, kunnen Syntax bezoeken.