Craig Riddell, Global Field CISO i Wallarm – Intervju-serie

Craig Riddell, Global Field CISO i Wallarm, er en erfaren cybersecurity-ekspert som fokuserer på å hjelpe bedrifter med å håndtere de økende risikoene knyttet til API-er og AI-drevne systemer. I sin nåværende rolle arbeider han tett med CISO-er, CIO-er og ingeniørledere for å oversette virkelige angrepsmønster og misbruksscenarier til håndterbare sikkerhetsstrategier, med sterkt fokus på observasjon – forstå hvordan API-er og AI-systemer oppfører seg i produksjon over brukere, applikasjoner og integrasjoner. Hans karriere omfatter lederroller over identitet og adgangsstyring, nulltillit-arkitektur og bedriftssikkerhet i organisasjoner som Netwrix, Kron og HP, der han drev større skala IAM-transformasjoner og moderniserte sikkerhetsrammeverk. Riddells ekspertise sentrerer seg rundt nye trusler som forretningslogiske angrep, API-misbruk, AI-systemdrift og svindel, med jevn fokus på å lukke gapet mellom høynivå-sikkerhetsstrategi og operasjonell gjennomføring.

Wallarm er et selskap som spesialiserer seg på å beskytte API-er, applikasjoner og AI-drevne systemer i moderne sky-miljøer. Deres plattform gir kontinuerlig oppdagelse, testing og sanntidsbeskyttelse mot trusler som API-misbruk, forretningslogiske angrep og automatiserte utnyttelser, samtidig som den tilbyr dyp innsikt i hvordan systemene oppfører seg over komplekse infrastrukturer. Designet for multi-sky og sky-naturlige arkitekturer, integrerer Wallarm i eksisterende DevOps- og sikkerhetsarbeidsflyter, og muliggjør at organisasjoner kan oppdage og blokkere angrep mens de skjer, i stedet for etter faktum. Ved å kombinere API-inventar, AI-drevet trusseldeteksjon og automatiserte responsmuligheter, adresserer plattformen en økende realitet hvor API-er og AI-systemer har blitt det primære angrepsområdet for moderne digitale bedrifter.

Du startet din karriere med å arbeide direkte med systemer og infrastruktur, og har siden flyttet til lederroller fokusert på identitet, adgang, API og AI-sikkerhet. Hva var de viktigste skiftene langs denne reisen som ledet deg til å konkludere at den virkelige risikoen har flyttet seg bort fra periferien og inn i API-er og maskin-drevne systemer?

Tidlig i min karriere var fokuset på å beskytte kanten. Brannmurer, segmentering, hardning av infrastruktur. Denne modellen fungerte når systemene var mer statiske og tillitsgrensene var enklere å definere.

Hva som endret seg, er hvordan applikasjoner er bygget og hvordan systemer samhandler. API-er ble bindeleddet til alt, og AI akselererte det videre. Nå tar systemer beslutninger, ringer andre systemer og utfører handlinger i en skala og hastighet som ikke involverer mennesker i løkken.

På det tidspunktet blir periferien mindre relevant. Den virkelige risikoen flytter seg til der beslutninger tas og handlinger utføres, inni API-er og maskin-drevne arbeidsflyter.

Hvis du ikke har innsikt og kontroll der, stoler du på atferd du ikke fullt ut kan se. Det er der bedriftsrisikoen viser seg, fra finansiell eksponering til uventede resultater og operasjonelle forstyrrelser.

Du har beskrevet den cybersikre håndtrykket som brutt, med henvisning til hvordan systemer etablerer tillit og utveksler handlinger over stadig mer komplekse kjeder av API-er og automatiserte prosesser. Hva ser denne nedbruddet ut som i en virkelig bedriftsmiljø i dag?

I de fleste miljøer stoler systemer på hverandre basert på identitet og autentisering. En token er gyldig, en forespørsel er velformet, og interaksjonen er tillatt.

Problemet er at dette antar at gyldig betyr trygt. Det er ikke lenger sant.

Vi autentiserer identitet, men vi validerer ikke intensjon. Vi verifiserer tilgang, men ikke atferd over kjeden.

En tjeneste kan være autorisert til å ringe en annen tjeneste, som utløser nedstrøms handlinger over flere API-er. Hver trinn ser legitimt ut i isolasjon, men over hele kjeden begynner du å se uventet atferd eller misbruk av logikk.

I AI-drevne miljøer er dette forsterket. Agenter kan lenke handlinger og utføre arbeidsflyter uten menneskelig gjennomgang.

Håndtrykket skjer fortsatt, men ingen spør om atferden har mening i kontekst. Tillit etableres, men ikke kontinuerlig valideres.

Hvorfor faller AI- og API-risiko så ofte mellom organisatoriske grenser i stedet for å være tydelig eid?

Fordi systemene ikke samstemmer med hvordan organisasjoner er strukturert.

DevOps eier levering. Sikkerhet eier politikk. Forretningslag eier resultater. Datateam eier modeller. Hver gruppe eier en del, men ingen eier systemet som det oppfører seg i produksjon.

API-er utfører forretningslogikk over systemer. AI introduserer ikke-deterministisk beslutningstagning på toppen av det. Sammen skjærer de over hver grense.

De er bygget av ett lag, sikret av et annet, og konsumert av et tredje, med inkonsistent overvåking over alle dem.

Gappene dette skaper er ikke feil i lagene. De er feil i driftsmodellen til å reflektere hvordan moderne systemer faktisk fungerer.

I din erfaring, hvilke lag antar vanligvis at de eier AI-risiko, og hvor finnes de største blinde flekkene mellom sikkerhet, DevOps og forretningsenheter?

Sikkerhetsteamene tenderer til å eie AI-risiko fra et governance- og compliance-perspektiv. DevOps eier deployering og pålitelighet. Forretningslag fokuserer på resultater.

Blinde flekkene viser seg mellom disse områdene.

Sikkerhet definerer hva som skal skje. DevOps sikrer at systemet kjører. Forretningslag fokuserer på resultater. Men få lag ser jevnt på hva systemet faktisk gjør i sanntid.

Det gapet er der risikoen bor, spesielt når atferd er teknisk gyldig, men kontekstuell feil.

Mange moderne angrep viser seg som gyldig og autentisert atferd i stedet for åpenbare intrusjoner. Hvordan bør organisasjoner omdefinere oppdagelse i denne nye virkeligheten?

Vi må flytte oss bort fra å identifisere “dårlige” forespørsler.

I mange tilfeller er forespørselen gyldig. Legitimasjonen er legitim. API-kallet er forventet. Hva som ikke er forventet, er sekvensen av handlinger, volumet eller resultatet.

Oppdagelse må bli atferdsmessig og kontekstuell. Det handler mindre om å blokkere en enkelt forespørsel og mer om å forstå hvordan systemer samhandler over tid.

Tilnærmingene som faktisk holder i skala flytter seg bort fra mønster-matching. De dekomponerer forespørsler strukturelt, behandling hver interaksjon som en sett med atferdsmessige token i stedet for å prøve å matche mot kjente dårlige mønster.

Dette lar deg forstå hvordan atferd utvikler seg og hvor den avviker, selv når alt ser gyldig ut på overflaten.

Hvis du bare baserer deg på statiske regler eller signaturer, vil du gå glipp av det meste av hva som teller.

Du har understreket viktigheten av innsikt i virkelig atferd. Hva ser meningsfull innsikt ut som for API-er og AI-systemer i produksjon?

Meningsfull innsikt er ikke bare logger og målinger. Det handler om å forstå atferd i kontekst.

For API-er betyr det fullstendig forespørsel- og svar-synlighet, hvordan endepunkter brukes, og hvordan interaksjoner utvikler seg over tid.

For AI-systemer betyr det å forstå inndata, beslutninger og resulterende handlinger.

Viktigst av alt betyr det å koble disse sammen over systemer inn i fullstendige arbeidsflyter, ikke isolerte hendelser.

Uten det, opererer du basert på antagelser om systematferd i stedet for virkeligheten.

Hvorfor blir tradisjonelle menneskelige gjennomgang og godkjenningmodeller mindre effektive i maskin-drevne miljøer?

Fordi hastigheten og skalaen har endret seg.

Systemer tar millioner av kall per minutt, og angrep eller uventet atferd kan utvikle seg i minutter eller sekunder. Du kan ikke realistisk sett plassere en menneskelig i løkken for hver beslutning uten å bryte ytelse.

AI-systemer er heller ikke alltid deterministiske, noe som gjør forhåndsgodkjenningmodeller mindre effektive.

Menneskelig tilsyn er fortsatt viktig, men det må skifte fra å godkjenne enkelt handlinger til å definere retningslinjer og overvåke resultater.

Hva er de vanligste operasjonelle gapene du ser når selskaper prøver å sikre AI-systemer ved hjelp av legacy-sikkerhetsrammeverk?

Det største gapet er for stor tillit til design-tid kontroller.

Organisasjoner fokuserer på å sikre modeller, gjennomgå kode og definere politikker før deployering. Det er viktig, men det antar at systemer vil oppføre seg som forventet når de er live.

I virkeligheten utvikler systemer seg. API-er endres. AI-modeller samhandler med nye data og arbeidsflyter. Atferd skifter over tid.

Uten kontinuerlig validering av atferd i produksjon, er organisasjoner effektivt blinde etter deployering.

Hva ser en praktisk driftsmodell ut som når flere interessenter deler ansvar for AI- og API-risiko?

Det starter med å anerkjenne at ingen enkelt lag kan eie dette fra ende til ende.

En praktisk modell definerer delt ansvar, forankret rundt en felles kilde til sannhet: kjøretidsatferd.

Sikkerhet definerer risiko og politikk. Ingeniører bygger og opererer systemer. Forretningslag definerer akseptable resultater.

Lagene som kommer i forkant av dette, opererer i en lukket løkke. Kontinuerlig oppdagelse, tvang og forbedring driven av hva systemer faktisk gjør i produksjon, ikke hva som ble antatt på design-tid.

Alle interessenter trenger innsikt i hvordan systemer opererer i produksjon. Derfra kan lagene justere seg til hva “godt” ser ut som, oppdage avvik og reagere.

Skiftet er fra isolert eierskap til koordinert ansvar, forankret i kjøretidsinnsikt.

Ser du for deg at sikkerhetsansvar kommer til å bli mer sentralisert igjen, eller vil det fortsette å fragmenteres mens systemer blir mer autonome?

Ansvar kommer til å forbli distribuert fordi det reflekterer hvordan systemer er bygget.

Hva som vil endre seg, er hvordan dette ansvaret koordineres.

Vi kommer til å se mer forente styringsmodeller hvor lag eier sine domener, men opererer med delt synlighet og kontekst.

Organisasjonene som lykkes, vil ikke være de som prøver å sentralisere alt. De vil være de som justerer interessenter rundt hvordan systemer faktisk oppfører seg i den virkelige verden.

For hvis ingen forstår kjøretidsatferd, eier ingen virkelig risikoen.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, bør besøke Wallarm.