Jack Cherkas, Global CISO i Syntax – Intervju-serie

Jack Cherkas, Global CISO i Syntax, er en sikkerhetsekspert med lang erfaring innen sky-sikkerhet, cybersikkerhet, bedriftsarkitektur og AI-sikkerhet. Han har hatt ledende roller i Syntax, PwC UK, Kyndryl og IBM, der han hjalp til å bygge og skalerer sikkerhetsoperasjoner, ledet større hendelsesrespons og utviklet cybersikkerhetsstrategier for store bedriftsmiljøer. I Syntax leder han global sikkerhet over hele selskapets mennesker, systemer, datacenter, managed cloud-tjenester og kundevendte sikkerhetstilbud, og overvåker et team på over 65 sikkerhetseksperten i åtte land.

Syntax er en global IT-tjenesteleverandør og managed cloud-leverandør som spesialiserer seg på kritiske bedriftsapper, særlig SAP- og Oracle-miljøer. Selskapet støtter organisasjoner med sky-migrering, managed hosting, sikkerhet, bedriftsprogramvare og AI-aktivert drift over hybrid- og multi-cloud-infrastruktur. Deres arbeid fokuserer på å hjelpe bedrifter modernisere, sikre og drive komplekse forretningsystemer i stor skala.

Du har ledet sikkerhetsinitiativer i IBM, Kyndryl, PwC og nå Syntax. Hvordan har din perspektiv på å sikre nye teknologier som AI utviklet seg, særlig når organisasjoner går fra eksperimentering til produksjon?

Min karriere har fulgt en rekke disrupteringer, hvor hver enkelt har krevd at sikkerheten måtte holde pace med en ny kontrollflate. I IBM i de tidlige dagene med sky, var spørsmålet om vi kunne stole på noen andres infrastruktur for å kjøre kritiske arbeidslast. Svaret var et delt ansvar-modell og en generasjon med sky-naturlige kontroller.

Så kom ransomware-æraen. NotPetya i 2017 lammet selskaper på få timer, og industrien lærte at ormbar malware kunne ta ned globale leverandørkjeder over natten. Responsen var å forberede seg på når (ikke om) en cyber-angrep ville skje, nettverkssegmentering, uforanderlige sikkerhetskopier og en alvorlig fokus på identitet.

I løpet av min tid i Kyndryl og PwC, gikk SaaS fra kanten til sentrum av hver eiendom. Arbeidslast flyttet ut av datacenter og inn på noen andres stack, identitet ble periferien, og Zero Trust sluttet å være et diagram og begynte å bli en operasjonsmodell.

Nå i Syntax, er vi i GenAI-bølgen, hvor systemet selv resonerer, genererer og handler. Hver bølge ga oss en ny kontrollflate, ikke nok varsel og en kortere vindu mellom eksperimentering og produksjon. Sky tok år. SaaS tok kvartaler. GenAI tar uker. CISO-ene som holder pace er de som sluttet å behandle hver bølge som en unntak og begynte å behandle rask adopsjon som en stabil tilstand.

Når organisasjoner akselererer AI-adoptsjon, hvordan vurderer du risikoen for at tillit, ikke bare overholdelse, blir kompromittert? Hva er de tidligste indikatorene på at dette begynner å skje?

Tillit er grunnlaget for all god AI-adoptsjon. De tidligste indikatorene er ikke i revisjonsrapporten, de er i operative signaler. Skygge-AI-utsteder som ingen eier. Innkjøp godkjenner GenAI-leverandører uten sikkerhetsgjennomgang. Data-avstamning som bryter så fort du spør hvor opplæringsdataene kom fra. AI-agenter som får admin-tilganger fordi ingen ville bremse prosjektet. Når du ser disse fire signalene i én organisasjon, er tillit allerede i ferd med å bli brukt raskere enn den blir tjent. Ledelsen er vanligvis den siste som vet.

Mange selskaper adopterer AI raskere enn de kan sikre det. Hva er de vanligste virkelige risikoene du ser i dag når styring ligger etter innovasjon?

Når styring ligger etter, skjer tre ting, og ingen av dem viser seg som sikkerhets hendelser før mye senere. Først, regulatorisk eksponering akselererer stille: en AI-utsteder som bryter EU AI-aktenes transparenskrav, utløser ikke en alarm; det viser seg i en revisjon to år senere som en bot. Andre, kundetillit forvitrer i transaksjoner du aldri ser: potensielle kunder velger konkurrenter som kan bevise styring, og salgs-teamet finner aldri ut hvorfor. Tredje, beslutningskvalitet forvitrer: organisasjonen tar flere AI-påvirkede beslutninger, men kan ikke forklare eller gjennomgå dem, og dårlige beslutninger akkumulerer på steder ingen ser. Kostnaden av svak AI-styring er den langsomme erosjonen av revisjon, salg og beslutningskvalitet, som ender i en skadelig brudd.

Fra din erfaring med å bygge og skalerer managed sikkerhetstjenester og SOC-operasjoner, hvordan bør organisasjoner omdefinere sine sikkerhetsmodeller for å håndtere AI-drevne systemer og autonome beslutninger?

AI er en ny angrepsvektor, en trussel-forsterker og et kritisk forsvarspuslespill, og sikkerhetsmodellen må tilpasse seg for å dekke alle tre samtidig.

Som en angrepsvektor blir GenAI-plattformene selv mål å forsvare. Som en trussel-forsterker bruker angripere GenAI til å lage phishing i stor skala, generere eksploitkode, automatisere rekognosering og oppdage sårbarheter i maskin-hastighet. Som et forsvarspuslespill er den samme teknologien vendt den andre veien, det eneste realistiske svaret: AI-drevet triage, automatisert trussel-jakt og analyst-forbedring er ikke lenger valgfrie; de er hvordan en SOC holder pace med en AI-forsterket motpart. Hvis de er AI-forsterket og vi ikke er, akselererer gapet med hver syklus.

Dette skaper også en ny aktør-type modellen må styre. I Syntax tenker vi allerede på AI-agenter som en del av organisasjonskartet, sammen med mennesker, hvilket setter standarden for hvordan vi sikrer dem. AI-agenter trenger alt vi gir menneskelige brukere (identitet, rolle-basert tilgang, aktivitetlogg, atferdsmønster) pluss de samme innskrenkningene vi bruker på kompromitterte kontoer: evnen til å deaktivere, isolere og tilbakekalle. Forskjellen er hastighet. Agenter handler i millisekunder, så disse innskrenkningene må være umiddelbare og automatiserte, ikke bakenden av en hendelsesrespons-arbeidsflyt.

I Syntax har vårt Global Security Operations Center utviklet seg så AI-forsterker den menneskelige analysen, mens våre ansatte bygger agente-arbeidsflyter og -agenter innen Syntax GenAI-plattformen, som gir guardrails mot bias, giftighet og kontroller for data-sikkerhet og -privatitet som standard.

Dette er omdefineringen. Forsvare AI som et mål. Utforme AI som en forsvarer. Styre bruk av AI.

Det finnes ofte spenning mellom hastighet og kontroll. Hvordan kan organisasjoner opprettholde innovasjons-hastighet samtidig som de implementerer meningsfulle retningslinjer og guardrails for AI-systemer?

Hastighet og kontroll ser ut som motsetninger til du bygger styring som reiser med prosjektet i stedet for å blokkere det. Feilen er å plassere styring ved porten: en komité, en godkjenning, en kvartalsvis gjennomgang. Når porten åpnes, har teamet allerede gått rundt den eller tapt momentum. Modellen som fungerer er prosesser omdefinert med styring integrert. Klar og konsistent kommunikasjon er utgangspunktet, etterfulgt av forhånds-godkjente mønster, forhånds-klarerte datastrømmer og forhånds-definerte tillgangsmaler. Teamene får hastighet, sikkerhetsteamene får synlighet, og byttet alle antar eksisterer, viser seg å være en dårlig designet prosess. Dette handler om å balansere sikkerhet med innovasjon mot hver organisasjons risikotoleranse.

Du har arbeidet med store skala cybersikkerhetsstrategier og hendelsesrespons. Hvordan endrer introduksjonen av AI naturen til cyber-trusler og måten organisasjoner bør forberede seg på dem?

AI akselererer truslene over ulike vektorer. Skala: phishing og rekognosering i maskin-hastighet mot tusenvis av mål samtidig. Sophistication: deepfake-drevet sosial ingeniring som beseirer stemme- og video-verifisering. Identitet: syntetiske identiteter som passerer identitetskontroller designet for mennesker.

For hendelsesrespons er implikasjonene operative. Du trenger deteksjon som ikke avhenger av mennesker som gjenkjenner mønster i menneske-hastighet. Du trenger verifiseringsprotokoller som antar at stemme og video kan bli forfalsket. Og du trenger hendelsesrespons-spillbøker som eksplisitt dekker AI-relaterte hendelser, fordi gjenopprettings-trinnene ikke er de samme som ved en ransomware-hendelse.

I Syntax, hva betyr “sikkerhet ved design” AI i en kompleks, virkelig verden bedriftsmiljø?

I Syntax betyr det å balansere innovasjon og sikkerhet gjennom adopsjon av vår GenAI-plattform med integrerte guardrails, våre godkjente, begrensede og forbudte GenAI-tjenester og -apper, modeller og plattformer, og drive en sikkerhets-først-kultur gjennom vårt AI-styringskontor. For vårt Global Security-organisasjon betyr det å posisjonere oss som en muliggjører for bedriften, ikke en blokkerer, og å støtte bedriften med deres strategiske prioriteringer samtidig som vi beskytter Syntax i tråd med vår risikotoleranse.

Det er en voksende fortelling om at sikkerhet og overholdelse ikke lenger er blokkeringer, men muliggjørere av vekst. Hva må endre seg kulturelt og operativt for at organisasjoner virkelig kan omfavne denne holdningen?

Den største endringen er hva suksess ligner. Sikkerhetsteamene har blitt målt i tiår etter hva som ikke skjedde: ingen brudd, ingen hendelser, ingen revisjonsfunn. Denne metrikken belønner å si nei. Teamene som opererer som muliggjørere måler noe annet: avtaler vunnet fordi kontroller var demonstrerbare, lanseringer som traff datoene fordi sikkerheten ryddet veien, og innovasjoner som gikk gjennom styring i stedet for rundt den.

Operativt trenger det prosesser omdefinert med styring integrert, kombinert med aktiv muliggjøring som vår GenAI-plattform, som gjør sikkerhet den enkle veien, og tilgjengelig AI-utdanning og programmer, som vår AI-ambassadør-initiativ.

Kultur følger hva du incentiviserer og hva du muliggjør. Endre hva du belønner, utrust mennesker med riktige verktøy og riktig trening på riktig tid, og du endrer hva de gjør. Dette er reisen Syntax er i ferd med å gå.

Når AI blir mer og mer integrert i bedrifts-arbeidsflyter, hvordan bør CISO-er samarbeide med AI-ledere, data-vitenskapsmenn og produktteam for å sikre ansvarlighet uten å bremse fremgangen?

CISO-en som venter på å bli invitert, kommer til å være forsinket. CISO-en som viser seg tidlig, med praktiske mønster i stedet for politiske innvendinger, blir partneren som AI-prosjektene virkelig ønsker å ha ved bordet. I praksis betyr det felles design-sesjoner med AI-teamene, sikkerhets-godkjenninger som sitter ved siden av funksjonelle, og en åpen dør-politikk. Dette endrer samtalen fra å være “Nei-avdelingen” til “Ja, men” eller “Nei, men” som en villig og samarbeidende partner for bedriften.

Ser fremover, tror du vi kommer til å se en standardisert global ramme for AI-styring, eller må organisasjoner bygge sine egne interne tillits-arkitekturer uavhengig av regulering?

Begge deler, i den rekkefølgen. Vi kommer til å se en fasert konvergens mot en liten mengde regionale rammer, EU AI-akten først, andre følger med lokale variasjoner. Vi kommer ikke til å se en global standard i dette tiåret på grunn av geopolitisk fragmentering. Derfor kommer organisasjoner til å gjøre to ting parallelt: overholde rammen som gjelder for deres største marked og kjøre en intern tillits-arkitektur som overstiger hvilken som helst ramme som er svakest. Den interne arkitekturen betyr mer enn den eksterne standarden, fordi regulatorer beveger seg langsomt og trusler ikke gjør det. Selskapene som bygger interne tillits-arkitekturer nå, kommer til å tilbringe det neste tiåret med å si “vi gjør allerede det” til hver ny regulator som ankommer.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, kan besøke Syntax.