Mark Nicholson, Deloittes US-sjef for cybersikkerhetsmodernisering – Intervju-serie: En gjentakelse av samtalen

Mark Nicholson, Deloittes US-sjef for cybersikkerhetsmodernisering, er en principal i Deloitte med mer enn to tiår med erfaring i skjæringspunktet mellom cybersikkerhet, kunstig intelligens og bedriftsrisiko. Han leder Cyber AI-initiativer og den kommersielle strategien for Deloittes cybersikkerhetspraksis, og hjelper store organisasjoner med å modernisere sine sikkerhetsrammer og harmonisere cybersikkerhetsinvesteringer med utvikling av risikolandsskap. Før Deloitte var han med på å grunnlegge og var operasjonsdirektør i Vigilant, Inc., et informasjonssikkerhetsrådgivningsselskap som fokuserte på trusselintelligens og overvåking av skadelige hendelser. Hans tidligere karriere i salgs- og forretningsutviklingsroller i flere teknologiselskaper ga ham en sterk basis i både de tekniske og kommersielle aspektene av cybersikkerhet.

Deloitte er ett av verdens største profesjonelle tjenesteselskaper, og tilbyr revisjon, konsulenttjenester, skatte- og rådgivningstjenester til organisasjoner i nesten alle bransjer. Deres cybersikkerhetspraksis fokuserer på å hjelpe bedrifter med å navigere i stadig mer komplekse trusselmiljøer, samtidig som de muliggjør digital transformasjon gjennom teknologier som kunstig intelligens. Selskapet tilbyr tjenester som omfatter cybersikkerhetsstrategi, motstandskraft, risikostyring og bedriftssikkerhet, og stiller cybersikkerhet som både en beskyttende funksjon og en strategisk drivkraft for innovasjon og vekst.

Dette er en oppfølging av en tidligere intervju som ble publisert i 2025.

Du har vært involvert i cybersikkerhet siden de tidlige dagene med moderne trusselovervåking, inkludert å grunnlegge Vigilant og å bringe tidlige Sikkerhetsinformasjon- og Hendelsesstyring (SIEM) og trusselintelligenskapasiteter til markedet. Hvordan har utviklingen fra disse tidlige overvåkingssystemene til dagens AI-drevne cybersikkerhetsplattformer endret måten organisasjoner på oppdager og responderer på trusler?

Da vi først begynte å bygge overvåkingssystemer i de tidlige dagene med SIEM, var den største utfordringen å få dataene på ett sted og å gi dem mening. Jeg husker når analytikerne skrev ut brannmurlogger hver morgen og manuelt gjennomgikk dem for å finne anomalier. Selv da SIEM-modellene ble mer avanserte, var det en skala-problem. Menneskelig hastighet var ingen match for det enorme antallet oppdagede hendelser. Til tross for bruk av automatisering, hadde cybersikkerhetsforsvarerne fortsatt et datakorrelasjons- og analytisk problem, og de arbeidet konstant med å utarbeide nye regler, ofte som respons på overvåkingsfeil.

En av håpene er at AI vil endre denne dynamikken på en grunnleggende måte. Forbi å deployere agenskapasiteter for å automatisere niveau 1-sikkerhetsoperasjoner, lover AI å hjelpe med å flytte oppdagelse og respons fra “etter hendelsen” til “mens det skjer” ved å bruke dynamisk maskinjustering av overvåkingsalgoritmer. I noen tilfeller vil cybersikkerhetsorganisasjoner også bli komfortable med å la AI initiere rettelsestiltak.

Men det harde problemet forsvinner ikke, det skifter. Når systemene blir mer autonome og komplekse, blir tillit og overvåkbarhet et slagfelt: Hva gjør systemet, hvorfor gjør det det, og hvordan vet vi at det ikke er blitt manipulert? Muligheten med AI er enorm, men det øker også risikoen når miljøet opererer med maskinhastighet.

Du har bemerket at AI muliggjør at motstanderne kan automatisere rekognosering, generere utnyttelser og akselerere angrepscykluser. I praktiske termer, hvor mye har AI komprimert tiden mellom sårbarhetsoppdagelse og utnyttelse?

Historisk sett var det ofte et vindu mellom sårbarhetsoppdagelse og utnyttelse. Det var absolutt urgency, men generelt, med mindre du ble rammet av en zero-day, var det tid til å forstå trusselen, fikse og mildne før en angriper kunne deployere utnyttelser i stor skala. AI har nesten eliminert dette vinduet.

Motstanderne kan automatisere rekognosering, kontinuerlig skanne for eksponering og bruke AI-aktiverende verktøy til å akselerere deler av utnyttelsesutviklingen og måling. I mange tilfeller kan det som tidligere spilte ut over uker nå komprimere til timer, og i høyt automatiserte scenarioer kan det være raskere enn de fleste sikkerhetsprogrammer er bygget for å håndtere.

Budskapet er enkelt: Sikkerhetsteamene trenger automatisering og AI på forsvarssiden, kombinert med sterke kontroller, hvis de ønsker å holde pace.

Sikkerhetsteamene går stadig mer over fra “menneske-i-løkken” til “menneske-på-løkken”-overvakningsmodeller. Hva ser denne skiftningen ut som operasjonelt i en moderne Sikkerhetsoperasjonssenter (SOC), og hvordan bør organisasjoner omtenke analystrollene når AI tar på seg mer autonome oppgaver?

I en tradisjonell SOC sitter analytikerne i sentrum av hver beslutningspunkt. Advarsler kommer inn, analytikerne triagerer dem, undersøker dem og bestemmer hva som skal gjøres. Denne tilnærmingen fungerte når volumet av advarsler og angrepsfrekvensen var håndterbare. Men i dagens miljø er skalaen av aktivitet simpelthen for stor for mennesker å fungere som en porter for hver beslutning.

Skiftet til menneske-på-løkken betyr at AI-systemer kan utføre mange av de rutineoppgavene som analytikerne tidligere håndterte, som å triage advarsler, samle inn kontekst, korrelere data og utføre visse rettelsestiltak. Den menneskelige rollen blir en av overvåking og validering snarere enn manuell utførelse.

Operasjonelt skifter dette analytikernes tid bort fra “advarselsgjennomgang” og mot høyere-verdi-arbeid som trusseljakt, deteksjonsingeniørarbeid, motstander-simulering og forbedring av den defensive arkitekturen. Mennesker forblir essensielle, men deres rolle utvikler seg mot overvåking, dømmekraft og strategi snarere enn å fungere som primær prosessor av sikkerhetsdata.

Vi hører mye om “Sikker AI ved design”. Fra din perspektiv, hvorfor må dette konseptet utvides utover modell-sikkerhet til identitetssystemer, tillatelserarkitektur og orkestreringslag?

Mange diskusjoner om sikker AI fokuserer tungt på modellen i seg selv, som å beskytte treningdata, forhindre modellforgiftning eller forsvare mot promptinjeksjonsangrep. Disse er reelle problemer, men de er bare en del av risikoen.

I praksis opererer AI-systemer som en del av mye større digitale økosystemer. De aksesserer data, interagerer med API-er, utløser arbeidsflyter og opererer stadig mer gjennom agenter som kan handle med en viss grad av autonomi.

Når dette skjer, blir identitet og tillatelser kontrollplanet. AI-agenter er effektivt nye digitale identiteter innen bedriften. Hvis disse identitetene ikke styres ordentlig, kan de introdusere betydelige risikoer.

Sikker AI ved design må derfor utvides til identitetsstyring, tilgangskontroll, orkestreringslag og overvåkingssystemer som sporer hva disse agentene gjør. Organisasjoner må behandle AI-agenter som menneskelige brukere, med definerte tillatelser, auditing og overvåking, ellers øker angrepsflaten raskt.

Mange bedrifter lagrer AI-verktøy på toppen av arvelige sikkerhetsarbeidsflyter som var designet for menneskelig hastighet. Hva er de største arkitektoniske endringene organisasjoner må gjøre for å faktisk dra nytte av AI i cybersikkerhet?

En vanlig mønster er å montere AI på eksisterende prosesser og arbeidsflyter som var designet for menneske-drevne operasjoner. Det er ikke et dårlig første tilnærming, spesielt siden datavisualisering har blitt en realitet. For eksempel har Deloitte skapt en agent som kan trenes til å erstatte mennesker i identitetsstyring og -administrasjon uten å kaste eksisterende formål-bygde programvareløsninger som ville være utfordrende å avvikle. Dette kan drive dramatiske kostnadsbesparelser.

Fremtidens fordel er at bedrifter sannsynligvis kommer til å omtenke sikkerhetsarbeidsflytene fra ende til ende: modernisere data-grunnlaget så sikkerhetstjenestene kan pålitelig aksessere høykvalitets-, velstrukturert telemetri; bygge orkestrering så deteksjons-, respons- og identitetsfunksjoner opererer som et koordinert system, ikke som frakopla verktøy.

Identitet prevailer som en av de mest kritiske kontrollene. Når flere automatisering og AI-agenter introduseres, øker antallet ikke-menneskelige identiteter betydelig. Å styre disse identitetene effektivt blir essensielt for å opprettholde kontroll.

AI-nativ sikkerhet er ultimate en blanding av bedre data, bedre orkestrering og styring som tar hensyn til både menneskelige og maskinaktører.

Når AI-systemene blir mer autonome, utvides angrepsflaten til områder som agent-orkesering, API-kjeder og automatiserte beslutningsrørledninger. Hvilket av disse nye overflatene bekymrer deg mest?

Hvis jeg måtte velge ett område som fortjener umiddelbar oppmerksomhet, er det identitet og data-tilgangstillatelser innen agent-drevne systemer.

Når organisasjoner introduserer mer agenskapasiteter, skaper de en voksende befolkning av autonome aktører som opererer innen bedriften. Disse agentene kan ha tilgang til data, API-er og arbeidsflyter som er usedvanlig kraftfulle, og det gjør dem til en attraktiv måte for en angriper hvis tillatelserne ikke er designet, overvåket og auditerert på en streng måte. Det er viktig å behandle hver agent som en ny ansatt: navngi den, omfavne den, overvåk den og muliggjør å kunne koble den fra raskt hvis nødvendig.

API-kjeder og automatiserte beslutningsrørledninger introduserer også risiko, men identitetsstyring er ofte den grunnleggende kontrollen. Hvis du ikke kan gi et klart svar på hvem en agent er, hva den kan berøre og hva den har gjort, har du ikke kontroll over den.

Sett fra styrerommet, hvordan tenker styret og direktørene nå om AI-drevet cyberrisiko, og hvor ser du den største gapet mellom teknisk realitet og styre-nivå-forståelse?

Styret er stadig mer bevisst på at mens AI bringer enorme muligheter, kan det også bringe betydelige risikoer. De fleste direktører forstår at AI vil forme bedriftstransformasjon, og de begynner å stille spørsmål om styring, sikkerhet og motstandskraft.

Hvor gapet viser seg, er ofte hastighet og kompleksitet. Mange styre-samtaler defaulter fortsatt til tradisjonelle cybersikkerhetsrammer — som fremdeles er viktige — men de reflekterer ikke alltid hvordan AI-drevne trusler kan utvikle seg og skala raskt.

Den andre disconnecten er at “Er vår AI sikker?” lyder som ett enkelt spørsmål, men svaret bor i datastyring, modellintegritet, identitetsstyring og orkestrering over flere systemer. Styrene som lukker gapet, presser på for kontroll-basert rapportering som gjør disse flyttende delene synlige og testbare, og investerer tid i å bygge direktør- flytighet, så overvåking holder pace med teknologien.

AI blir stadig mer brukt på begge sider av slagmarken. Går vi inn i en permanent AI-mot-AI-cybersikkerhetskappløp, og hvis ja, hva fordeler har forsvarerne som angriperne kan ha vanskeligheter med å replikere?

Vi er tydeligvis i en æra hvor AI brukes av både angripere og forsvarere. Motstanderne bruker allerede AI til å akselerere rekognosering, identifisere sårbarheter og automatisere deler av angrepslivssyklusen. Men forsvarerne har fortsatt reelle fordeler hvis de velger å bruke dem.

Forsvarerne har oversikt over sine egne miljøer, tilgang til interne telemetri og evnen til å bygge lagdelte arkitekturer som angriperne må navigere. AI kan hjelpe forsvarerne med å analysere enorme volumer av data over nettverk, endepunkter og identiteter, og gi dem potensialet til å oppdage anomalt atferd mye tidligere.

Fangen er at adopsjonen. Hvis forsvarerne blir stående i manuelle arbeidsflyter mens angriperne automatiserer, blir asymmetrien brutalt. Kappløpet er reelt, og vinnerne vil være de som deployer AI med sterk styring, ikke de som bare piloterer det.

I ditt arbeid med å rådgive store bedrifter, hva er de vanligste feilene organisasjoner gjør når de prøver å integrere AI i sine cybersikkerhetsstrategier?

En av de vanligste feilene vi ser, er å behandle AI som et selvstendig verktøy i stedet for en arkitektonisk skift. Teamene kjører isolerte eksperimenter uten å oppgradere data-grunnlaget, styringsmodellen eller driftsprosessene som trengs for å opprettholde påvirkning, noe som fører til en platå i resultater.

En annen feil er å deployere AI-kapasiteter uten å fullt ut regne med de nye risikoene: nye identiteter, nye datastrømmer og automatiserte beslutningsveier som utvider angrepsflaten. Hvis disse er boltet på uten riktige kontroller på plass, kan AI legge til sårbarhet i stedet for motstandskraft.

Til slutt undervurderer mange organisasjoner betydningen av arbeidstager-engasjement. Praktikerne som kjører sikkerhetsoperasjoner hver dag, vet hvor friksjonen er og hva “godt” ser ut som. De sterkeste transformasjonene bringer disse teamene inn tidlig, så teknologien forsterker deres dømmekraft i stedet for å forstyrre den.

Ser fremover tre til fem år, hva ser AI-nativt sikkerhetsoperasjonssenter ut som sammenlignet med dagens SOC-miljøer?

Vel, det vil sannsynligvis se veldig annerledes ut, på mange måter jeg ikke kan forutsi. I alle sannsynlighet vil SOC-en i fremtiden operere som en hybrid menneskelig og digital arbeidsstyrke. AI-systemer vil håndtere mye av dataprosesseringen, korrelasjonen og den initielle responsen. Agenssystemer vil hjelpe med å automatisere arbeidsflyter over sårbarhetsstyring, identitetsstyring, hendelsesrespons og kontinuerlig kontroll-overvåking.

Menneskelige analytikerer forblir essensielle, men tyngdepunktet skifter: overvåking AI-systemer, validering av deteksjonsbrukstilfeller (i stedet for å skrive dem), undersøkelse av komplekse trusler og forbedring av den defensive arkitekturen. Målet er ikke å fjerne mennesker, men å heve deres roller. I stedet for å bruke tid på å triage advarsler og manuelt samle data, vil analytikerne fokusere på de strategiske aspektene av cybersikkerhet. Spørsmålet vil være: “Hvordan vil vi trene den neste generasjonen av sikkerhetsproffene når nivå 1 og 2 er fullstendig automatisert?” Kanskje svaret ligger i den dramatiske forbedringen av simulering og trenings-teknologi som AI kan hjelpe oss med å utvikle.

Organisasjonene som suksessfullt bygger en suksessfull hybrid-arbeidsstyrke, kombinert med menneskelig ekspertise og AI-drevet automatisering, vil sannsynligvis være best posisjonert til å operere med den hastigheten som kreves i det moderne trussel-miljøet.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, kan besøke Deloitte eller lese vår tidligere intervju.