Agnidipta Sarkar, Główny Ewangelista, ColorTokens – Seria wywiadów

Agnidipta Sarkar, Główny Ewangelista, ColorTokens jest liderem w dziedzinie cyberbezpieczeństwa i odporności cyfrowej z ponad trzydziestoletnim doświadczeniem obejmującym obronę cybernetyczną, zarządzanie ryzykiem, ciągłość działania, prywatność i Zero Trust. W ColorTokens współpracuje z radami nadzorczymi, członkami zarządu oraz liderami bezpieczeństwa, aby wzmocnić gotowość na naruszenia i połączyć programy cyberbezpieczeństwa z priorytetami biznesowymi, a także przyczynia się do międzynarodowych standardów i inicjatyw branżowych poprzez organizacje takie jak ISO, Cloud Security Alliance, NIST i ISA. Przed dołączeniem do ColorTokens, Sarkar pełnił funkcję Group CISO w Biocon oraz zajmował stanowiska kierownicze w obszarze bezpieczeństwa informacji i ryzyka w firmach takich jak DXC Technology, Hewlett Packard Enterprise i HP.

ColorTokens jest firmą zajmującą się cyberbezpieczeństwem, skoncentrowaną na mikrosegmentacji, Zero Trust oraz pomagającą przedsiębiorstwom zwiększyć odporność, gdy atakujący przełamują tradycyjne obrony perymetru. Jej flagowa platforma Xshield Enterprise Microsegmentation Platform została zaprojektowana tak, aby zapobiegać lateralnemu przemieszczaniu się atakujących i złośliwego oprogramowania w organizacji poprzez tworzenie drobnych granic bezpieczeństwa wokół obciążeń i zasobów obejmujących centra danych, infrastrukturę chmurową, punkty końcowe, środowiska Kubernetes, technologię operacyjną (OT) oraz urządzenia Internetu Rzeczy (IoT). Platforma zawiera także przepływy pracy wspomagane sztuczną inteligencją, służące do odkrywania środowisk, tworzenia polityk segmentacji i przyspieszania wdrażania polityk, z szerszym celem zmniejszenia powierzchni ataku organizacji i ograniczenia potencjalnego wpływu, czyli „promienia wybuchu”, udanego naruszenia.

Spędziłeś ponad trzy dekady, przechodząc od praktycznych ról w sieciach i bezpieczeństwie w firmach HCL, Wipro, HP, HPE i DXC do stanowiska Group Chief Information Security Officer w Biocon oraz wkładu w międzynarodowe standardy bezpieczeństwa. Jak te doświadczenia z pierwszej linii wpłynęły na Twoją przekonanie, że organizacje muszą przygotować się do ograniczania naruszeń, a nie zakładać, że mogą zapobiec każdemu wtargnięciu?

Na początku mojej kariery w HCL i Wipro cyberbezpieczeństwo wydawało się Dziki Zachód – ekscytujące, chaotyczne i pełne możliwości. Zanurzyłem się w to, eksperymentując, ponosząc porażki, ucząc się i odnosząc sukcesy we wszystkim, co technologia mogła mi zaoferować: zapory sieciowe, IDS, MFA, szyfrowanie, audyty, zarządzanie. Jednak prawdziwa lekcja nadeszła, gdy obserwowałem, jak rozwija się mój pierwszy incydent bezpieczeństwa. Nagle wszystkie te najlepsze praktyki runęły pod presją. To był mój sygnał pobudki.

W HP miałem miejsce pierwszego rzędu w chaosie, najpierw jako obserwator, potem jako lider operacyjny, obserwując chaos z bliska. Każdy incydent podkreślał tę samą lekcję: IT nigdy nie stoi w miejscu i żadna inwestycja nie może zagwarantować bezpieczeństwa. Kiedy w końcu objąłem stanowisko Group CISO, wiedziałem, że moim zadaniem jest stworzyć podręcznik postępowania przy naruszeniach, nie tylko dla operacji bezpieczeństwa, ale dla całej organizacji. Podręcznik, który będzie powtarzalny, przewidywalny i pozwoli utrzymać działalność firmy, gdy nadejdzie burza, stale ulepszając operacje bezpieczeństwa w czasie.

Na papierze narzędzia wyglądały idealnie. W rzeczywistości zarządzanie usługami IT ujawniło luki, których się nie spodziewałeś. Zarządzanie zasobami, łatanie, konfiguracja, zmiany, ryzyko – wszystko splecione z błędami ludzkimi. To właśnie tam ukrywa się cyfrowa słabość, a gdy włączają się alarmy, rozplątanie tego staje się koszmarem. Nie ma scenariusza dla pokoju operacyjnego, gdy dochodzi do naruszenia. Chaos jest regułą, nie wyjątkiem. Dlatego poświęciłem swoją karierę budowaniu struktury w oku burzy i pomaganiu liderom przebić się przez szum oraz zarządzać ryzykiem, a nie dawać się porwać.

Patrząc wstecz, jestem wdzięczny za każdą lekcję – obserwowanie z pobocza, brudzenie rąk w samym środku ataków i ostateczne prowadzenie od przodu. Dlatego promuję gotowość na naruszenia jako sztukę, a nie tylko naukę. Możesz cały dzień mapować wzorce ataków, ale liczy się to, co dzieje się w pokoju operacyjnym, gdy liderzy muszą utrzymać linię. Ta jasność pochodzi jedynie z doświadczenia.

Dlatego stworzyłem ramy gotowości na naruszenia, aby przewidywać, wytrzymać i rozwijać zdolności radzenia sobie z kolejnym cyberatakiem. Ramy pomagają organizacjom podążać za burzą, a nie przeciwko niej. Ostatecznym celem jest osiągnięcie Koun Ryusui, dryfowanie jak chmury, płynięcie jak woda, tak aby gdy nadejdzie kolejny bezprecedensowy atak, zamiast chaosu przedsiębiorstwa wykorzystywały ustrukturyzowaną elastyczność i odporność, wykorzystując swoje inwestycje technologiczne, by wyjść silniejsze i pewniejsze.

Sztuczna inteligencja pomaga atakującym automatyzować rozpoznanie, eksploatację luk i ruch lateralny, potencjalnie skracając działania, które kiedyś trwały tygodnie, do godzin lub minut. Które elementy tradycyjnego modelu reagowania na incydenty stają się nieskuteczne, gdy ataki zaczynają działać z prędkością maszyny?

Gdy ataki poruszają się z prędkością maszyny, obrońcy, którzy przetrwają, to ci, którzy potrafią analizować i działać szybciej niż przeciwnik. Tak, AI daje atakującym nowe narzędzia, ale także wzmacnia obrońców. Z mojego doświadczenia istnieją dwa sposoby radzenia sobie z tymi bezprecedensowymi, napędzanymi AI atakami.

Po pierwsze, musisz przeprojektować swoją cyfrową przestrzeń. Zbuduj strefy gotowe na naruszenia i mikrosegmenty, które oddzielą Twoje najcenniejsze zasoby od reszty. Pomyśl o tym jak o labiryncie: niektóre ścieżki są otwarte, inne zamknięte, co utrudnia nieautoryzowanym tożsamościom swobodne poruszanie się. Tak powstrzymujesz ataki napędzane AI, spowalniając je, ponieważ labirynt zmienia się wraz ze zmianami w systemach cyfrowych.

Po drugie, potrzebujesz szablonów, podręczników i jasno określonych ról gotowych zanim w ogóle zabrzmi alarm. Dzięki temu, gdy się to stanie, każdy człowiek i maszyna wiedzą, co należy zrobić i w jakim priorytecie. Sztuczka polega na zyskaniu czasu i spowolnieniu AI, zmuszeniu go do cięższej pracy i odcięciu mu łatwego ruchu. Tak utrzymujesz obronę w walce, gdy każdy milisekund ma znaczenie.

Zapytaj każdego marynarza, który przeżył zalanie okrętu podwodnego. Gdy woda wdziera się gwałtownie, nie masz czasu na zgadywanie jej kolejnego ruchu. Musisz wcześniej wzmocnić odpowiednie drzwi, wiedząc, co musisz utrzymać w działaniu i gdzie uderzy ciśnienie. Gdy nastąpi naruszenie, jedyne, co możesz zrobić, to odizolować zalany przedział i utrzymać resztę jednostki w ruchu. Tak chronisz swoją minimalną zdolną do działania firmę. W świecie cyfrowym oznacza to Twoje minimalne zdolne do działania przedsiębiorstwo cyfrowe.

Na tym polega gotowość na naruszenia. Jeśli atak przedostanie się, odizolujesz dotknięty obszar, uruchomisz plan ciągłości działania (BCP) i utrzymasz działanie nieuszkodzonego rdzenia biznesu. Bez wyłączenia, bez kryzysu. Po prostu sytuacja awaryjna.

Popierasz omawianie gotowości na naruszenia w kategoriach biznesowych i finansowych, a nie traktowanie jej wyłącznie jako problemu technicznego. Jakie metryki powinny wykorzystywać rady nadzorcze, aby określić, czy organizacja może kontynuować działanie w trakcie poważnego cyberataku?

Naruszenia nie trafiają tylko w Twoje systemy; dotykają wszystkiego i wszystkich, od których zależą. Zapytaj pacjenta odrzuconego w szpitalu, podróżnika uwięzionego na lotnisku lub sprzedawcę samochodów pozostawionego w długach na miesiące. To prawdziwy koszt cyberataku. Nie chodzi o „czy”, ale o „kiedy”. Dlatego rady muszą postrzegać gotowość na naruszenia jako konieczność biznesową i finansową.

Istnieją dwie metryki, które każda rada powinna monitorować.

Po pierwsze, określ wielkość materialnego wpływu, który rada jest gotowa zaakceptować w dążeniu do cyfrowych i AI ambicji. To wyznacza próg, ile Twoje przedsiębiorstwo cyfrowe musi pozostać operacyjne podczas naruszenia. Nazywam to Maksymalnym Akceptowalnym Materialnym Wpływem (MAMI) oraz Minimalnym Zdolnym do Działania Przedsiębiorstwem Cyfrowym (MVDE).

Wiele osób myli MVDE z ciągłością działania, ale to nie to samo. Jeśli uznasz, że mniej niż 10 % wpływu jest akceptowalne, to 90 % Twojego biznesu musi działać nawet podczas naruszenia. Większość planów ciągłości działania przywraca jedynie do 30 % w najlepszym wypadku, pozostawiając 60 % Twojego cyfrowego biznesu narażone. Ten paradoks nie daje spokoju liderom.

Jeśli ustalisz MVDE na poziomie 70 %, możesz zapewnić interesariuszy, że inwestujesz w obrony, które utrzymują działalność, nawet gdy najgorsze się wydarzy, budując labirynt trudny do przełamania zarówno dla ludzi, jak i AI, oraz zdolność do izolowania ataków z prędkością maszyny. To właśnie mikrosegmentacja stanowi podstawowy element konstrukcyjny. Teraz możesz podłączyć większość swoich inwestycji w cyberbezpieczeństwo, takich jak EDR, zapory, SASE, tożsamość (ludzka i nieludzka), dostęp, autoryzację i cyberbezpieczeństwo OT, do jednej płynnie połączonej płaszczyzny sygnałowej, na której Twój SOC może działać podczas aktywnych naruszeń, aby ograniczyć cyberataki i odizolować MVDE.

Śledź MAMI i MVDE co kwartał, przy każdej nowej inicjatywie cyfrowej i AI, a Twoi inwestorzy oraz interesariusze będą poszukiwać dowodów na to, jak dobrze zarządzana jest odporność.

„Promień wybuchu” jest coraz częściej używany jako miara odporności cybernetycznej. Jak organizacja może obliczyć swój potencjalny promień wybuchu przed wystąpieniem ataku i co stanowiłoby akceptowalny poziom narażenia?

Promień wybuchu ma znaczenie. Znacznie.

Jednak nie jest to jedyna licząca metryka. Zawsze zalecam ocenę bieżącego promienia wybuchu jako pierwszego kroku do budowy przedsiębiorstwa opartego na zero-trust i gotowego na naruszenia. Wystarczy Ci Ocena Wpływu Gotowości na Naruszenia (BRIA), nieinwazyjna analiza oparta na API, wykorzystująca istniejące EDR. Dla OT i mainframe’ów możesz potrzebować agentów lub urządzeń.

Nie każdy promień wybuchu jest zły. Czasami jest kluczowy dla wydajności aplikacji. Diabeł tkwi w szczegółach. Weźmy usługę pamięci podręcznej, która przyspiesza wyszukiwania informacji o produktach i sesjach użytkowników. Wymaga ona połączenia system‑do‑systemu, aby uruchomić platformę e‑commerce z wieloma mikroserwisami. Jednak ten sam promień wybuchu staje się luką, jeśli nieautoryzowani użytkownicy lub systemy mogą do niego uzyskać dostęp.

Nie można oceniać promienia wybuchu w izolacji. Połącz go z innymi wzorcami bezpieczeństwa, takimi jak anomalie zachowań, nadużycia dostępu, przyrost przywilejów, przekroczenia autoryzacji i niepowodzenia uwierzytelniania, aby naprawdę zrozumieć swoje narażenie na naruszenia. Pamiętaj, że to, co jest akceptowalne w jednej branży, może być krytycznym czynnikiem w innej.

Jak gotowość na naruszenia różni się od tradycyjnego reagowania na incydenty, odzyskiwania po awarii, ciągłości działania i programów zero-trust oraz gdzie powinna spoczywać odpowiedzialność za koordynację tych dyscyplin?

To nie są odrębne tematy; są to powiązane dyscypliny, które muszą być koordynowane wokół jednego wyniku biznesowego.

Definiuję gotowość na naruszenia jako dyscyplinę odporności przedsiębiorstwa: ciągłe przygotowywanie, projektowanie, ćwiczenie i zarządzanie organizacją w celu przewidywania ataków, ograniczania promienia wybuchu, utrzymania Minimalnego Zdolnego do Działania Przedsiębiorstwa Cyfrowego w ramach wcześniej określonego Maksymalnego Akceptowalnego Materialnego Wpływu oraz przywracania zdolności, gdy atak jest w trakcie izolacji. Gotowość na naruszenia to uzbrojenie architektury zero trust i określenie, co musi się wydarzyć przed, w trakcie i po cyberataku. Przesuwa pytanie z „Jak zatrzymać atakujących?” na „Jak zapewnić, że incydent nie spowoduje większych szkód niż jesteśmy gotowi tolerować i jaką część biznesu można utrzymać w działaniu podczas reagowania?” Gotowość na naruszenia dotyczy zdolności przetrwania, gdy incydent nadal trwa.

Skok koncepcyjny jest znaczący. Rozproszone praktyki przedsiębiorstwa, takie jak tworzenie kopii zapasowych i odzyskiwanie, reagowanie na incydenty, odzyskiwanie po awarii i ciągłość działania, odgrywają ważne role w gotowości na naruszenia, ponieważ zarządzają zakłóceniami. Rozpoczynają się, gdy systemy są atakowane. Wszystkie trzy programy – reagowanie na incydenty, odzyskiwanie po awarii i ciągłość działania – koncentrują się na pytaniu „Jak szybko możemy przywrócić to, co zostało zakłócone?”. Gotowość na naruszenia skupia się na pytaniu „Jaką część tego można utrzymać dostępną od samego początku?”.

Gotowość na naruszenia przełamuje silosy, aby zapewnić zarządzanie konsekwencjami biznesowymi kompromisu i zapewnić interesariuszom spokój, koncentrując się na utrzymaniu większości przedsiębiorstwa „nietkniętego” oraz uruchomieniu planu BC/DR dla części dotkniętej. Odpowiedzialność i własność za gotowość na naruszenia spoczywa na kierownictwie wykonawczym. CEO/Rada zarządzają apetyt na ryzyko i akceptowalnym wynikiem biznesowym. COO lub równoważny dyrektor ds. odporności przedsiębiorstwa powinien koordynować gotowość na naruszenia w całej organizacji, a CISO odpowiada za wymiar cyberbezpieczeństwa.

Dla przedsiębiorstw dążących do osiągnięcia stanu Kuon Ryushi, kluczowe jest pełne zaangażowanie organizacyjne wykorzystujące technologię i AI do zarządzania skutkami cyberataku.

ColorTokens wykorzystuje AI, aby pomóc zespołom bezpieczeństwa analizować środowiska i szybciej generować polityki mikrosegmentacji. Gdzie organizacje powinny ufać AI w automatyzacji decyzji obronnych, a które działania izolacyjne powinny nadal wymagać zatwierdzenia przez człowieka?

Absolutnie. Robimy dokładnie to.

Ale bądźmy jasni: „używanie AI do pomocy zespołom bezpieczeństwa” to tylko wierzchołek góry lodowej. W ColorTokens wierzymy w odpowiedzialne wykorzystanie AI, aby uczynić przedsiębiorstwa naprawdę gotowymi na naruszenia. Istnieje znacznie większa historia niż tylko „AI ułatwia mikrosegmentację.”

Ostatnie incydenty z Anthropic, OpenAI, AISI i nawet przypadek rezerwacji siłowni w Australii to porażki architektury, a nie zarządzania. Gdy autonomiczna AI wymyka się swojemu piaskowi, nie zawsze jest złośliwa lub niewiarygodna. Chodzi o to, jak zbudowano architekturę. Ludzie muszą jasno określić zakres operacyjny, a AI musi w nim pozostać. To właśnie wchodzi w grę zarządzanie.

Na przykład możesz zezwolić AI na izolowanie dowolnego punktu końcowego oznaczonego jako skompromitowany z pewnością powyżej określonego progu, chyba że jest to system bezpieczeństwa OT, kontroler domeny, system płatności lub zasób sterowania produkcją. To jest ograniczona autonomia. Jednak jest to łatwiejsze do powiedzenia niż do zrobienia, ponieważ potrzebna jest architektura specyficzna dla kontekstu i jasno określona przy udziale ekspertów.

Moim zdaniem i doświadczeniem firmy powinny wykorzystywać AI do przeprowadzania odkrywania, korelacji, mapowania zależności, analizy ścieżek ataku, analizy promienia wybuchu, rekomendacji polityk, syntezy polityk, symulacji polityk, optymalizacji polityk niskiego ryzyka, wstępnie autoryzowanej izolacji oraz ciągłej weryfikacji, pozostawiając określanie krytyczności biznesowej, akceptowalnego zakłócenia, granic bezpieczeństwa, definicji najcenniejszych zasobów, ograniczeń bezpieczeństwa (w OT), maksymalnego akceptowalnego wpływu, progów autonomii, zatwierdzeń wyjątków, dużej izolacji produkcji i nieodwracalnych działań ludziom.</