Mark Fetches, CTO Spinnaker Support – Wywiad z serii

Mark Fetches jest Dyrektorem Technicznym w Spinnaker Support, gdzie doradza organizacjom przedsiębiorstw w zakresie strategii technologicznej, bezpieczeństwa, chmury, sztucznej inteligencji i dużych transformacji. Z ponad 30-letnim doświadczeniem w doradztwie i przywództwie w firmach Accenture, Deloitte i PwC, Mark współpracował ściśle z wyższymi menedżerami i radami nadzorczymi w celu modernizacji złożonych środowisk przedsiębiorstw i wyrównania decyzji technologicznych z długoterminowymi celami biznesowymi. Z siedzibą w Wielkiej Brytanii, specjalizuje się w pomocy organizacjom w radzeniu sobie z wyzwaniami związanymi ze starszymi technologiami, ryzykiem operacyjnym i transformacją cyfrową poprzez praktyczne, ukierunkowane na biznes porady.

Spinnaker Support jest wiodącym globalnym dostawcą wsparcia oprogramowania, usług zarządzanych i doradztwa w zakresie bezpieczeństwa dla przedsiębiorstw korzystających z platform Oracle (ORCL ), SAP, JD Edwards i innych krytycznych platform.

Przez ponad 20 lat doradzałeś przedsiębiorstwom w Accenture, Deloitte i PwC, zanim zostałeś CTO w Spinnaker Support. Spójrzając wstecz na tę drogę, jakie są największe nieporozumienia, jakie menedżerowie mieli dotąd na temat ryzyka technologicznego, i jak rozwój sztucznej inteligencji zmienił te rozmowy?

Myślę, że największe nieporozumienie zawsze polegało na tym, że ryzyko technologiczne jest postrzegane jako coś, co leży na uboczu biznesu i może być zarządzane jako kwestia specjalistyczna. Nigdy nie widziałem tego w ten sposób.

Najpoważniejsze ryzyko, jakie widziałem, pochodzi z wyborów podejmowanych przez kierownictwo. Jak wiele złożoności się toleruje. Jak bardzo stajemy się zależni od starych platform lub kluczowych dostawców. Jak bardzo naciskamy na prędkość. Czy naprawdę ufamy danym, na których opiera się biznes. Technologia jest miejscem, w którym te wybory się pojawiają, ale zwykle nie jest to miejsce, w którym one zaczynają się.

Przez lata widziałem, jak wielu menedżerów koncentruje się na oczywistych sprawach, takich jak cyberbezpieczeństwo, zgodność i redukcja kosztów. Są to rzeczywiste problemy, oczywiście. Ale ryzyka, które tendencję do wyłapywania firm, są często ciszej niż to. Jest to platforma, o której każdy wie, że jest krucha, ale ciągle odkłada jej wymianę. Jest to problem z danymi, który nikt nie do końca własny. Jest to zależność od zewnętrznych dostawców, która wydaje się efektywna, dopóki nie staje się wąskim gardłem. To są rzeczy, które mogą tkwić w tle przez lata i nagle stać się bardzo widoczne, gdy coś pójdzie nie tak.

Myślę również, że istnieje długotrwały zwyczaj mylenia zgodności z odpornością. Nie są to te same rzeczy. Możesz przejść audyt i nadal być bardziej narażony, niż myślisz. Lista kontrolna nie mówi ci, jak biznes zareaguje pod presją, jak szybko może się odzyskać, czy liderzy naprawdę widzą problem wystarczająco wyraźnie, by podjąć działanie.

Co zmieniło się za sprawą sztucznej inteligencji, to poziom uwagi. Te rozmowy kiedyś odbywały się głębiej w organizacji. Teraz są one w samym środku dyskusji w radzie nadzorczej na temat wzrostu, zaufania, produktywności i marki. To jest bardzo dobra rzecz. Ale również wprowadziło nowe uproszczenie, które polega na tym, że model sztucznej inteligencji jest postrzegany jako ryzyko. Zwykle jest to coś większego. Trudniejsze pytania dotyczą danych i rządzenia nimi, decyzji, które wpływają, i punktu, w którym ludzka ocena musi jeszcze mieć znaczenie.

Więc, gdybym miał to podsumować, powiedziałbym, że ryzyko technologiczne nigdy nie było tylko kwestią samej technologi. Zawsze było odbiciem oceny kierownictwa. Sztuczna inteligencja tylko uczyniła to trudniejszym do ignorowania.

Dziś zespoły ds. bezpieczeństwa mają dostęp do więcej informacji o podatnościach niż kiedykolwiek wcześniej, a jednak organizacje nadal mają trudności z priorytetami. Dlaczego uważasz, że branża ma problem z sygnałem do szumu, a nie z wykrywaniem?

Myślę, że jest to dość proste. Branża nie jest ograniczona ilością danych o podatnościach. Jest ograniczona klarownością.

Większość zespołów ds. bezpieczeństwa już ma więcej niż wystarczająco danych wejściowych, danych skanerów, informacji o zagrożeniach, ocen ciężkości, zaleceń dotyczących łatania, raportów o eksploatacji. Problem nie polega na tym, czy mogą znaleźć słabości. Jest to kwestia, czy mogą oddzielić te, które mogą naprawdę zaszkodzić firmie, od tych, które są technicznie interesujące, ale mniej doniosłe.

To jest dlatego, że widzę to jako problem sygnału do szumu. Wykrywanie uległo ogromnej poprawie. To, co nie nadążyło, to zdolność do nadania kontekstu. Podatność staje się prawdziwą priorytetem dopiero wtedy, gdy rozumie się, gdzie się znajduje, jak jest narażona, jak krytyczny jest ten zasób, jakie istnieją kontrolne mechanizmy i jaki będzie wpływ na firmę, jeśli zostanie wykorzystana.

W praktyce wiele organizacji nadal opiera się na wskaźnikach, które są najłatwiejsze do wytworzenia, takich jak oceny ciężkości, liczba łat, raporty o starzeniu się. Są to użyteczne dane, ale nie są one tym samym co ludzka ocena. Wysoko oceniana kwestia w niskowartościowym systemie wewnętrznym może mieć mniejsze znaczenie niż niższa ocena słabości w systemie zewnętrznym lub operacyjnie krytycznym.

Więc nie uważam, że jest to fundamentalnie problem widoczności. Jest to problem priorytetów biznesowych, który musi być nauczony przez zespoły ds. bezpieczeństwa. Staliśmy się bardzo dobrzy w generowaniu wyników. Jesteśmy mniej konsekwentni w tłumaczeniu tych wyników na krótką listę działań, które kierownictwo może wesprzeć z zaufaniem.

I z mojej perspektywy jest to prawdziwa zmiana, której branża nadal musi dokonać, przesunięcie od mierzenia tego, ile możemy wykryć, do decydowania, co naprawdę ma znaczenie pod względem wpływu na biznes.

Na poziomie rady nadzorczej jest to naprawdę kwestia tłumaczenia ryzyka, czy organizacja może przekonwertować techniczne narażenie na krótką listę klarownych, wykonalnych priorytetów biznesowych? Te, które mogą to zrobić, są tymi, które przechodzą od szumu do sygnału.

Wielu dostawców bezpieczeństwa twierdzi, że sztuczna inteligencja może automatycznie priorytetować podatności i przewidywać zagrożenia. Gdzie widzisz lukę między narracją marketingową a tym, co sztuczna inteligencja może realistycznie dostarczyć dzisiaj w środowiskach przedsiębiorstw?

Myślę, że najłatwiej to wyjaśnić, mówiąc, że marketing wokół tego obiecuje pewien poziom pewności, którego rzeczywiste środowiska przedsiębiorstw po prostu nie pozwalają.

Dostawcy często opisują sztuczną inteligencję tak, jakby mogła wznieść się ponad szum, wchłonąć wszystko i niezawodnie powiedzieć zespołowi ds. bezpieczeństwa, co jest najważniejsze i co się wydarzy następnie. To jest kusząca propozycja, ponieważ każdy lider ds. bezpieczeństwa chce mniej bałaganu i więcej pewności. Ale raz w środku dużej organizacji rzeczy są rzadko wystarczająco czyste, aby to obietnice były tak proste.

Sztuczna inteligencja może naprawdę pomóc. Może łączyć wzorce, redukować niektóre ręczne sortowanie, wyróżniać anomalie i pomagać zespołom pracować przez ilości informacji, które w przeciwnym razie byłyby trudne do zarządzania, i ma to prawdziwą wartość. Ale jest różnica między pomaganiem zespołowi poruszać się szybciej a wiedzą, z jaką pewnością co jest najważniejsze w tym konkretnym środowisku.

To jest tam, gdzie pojawia się luka. Większość przedsiębiorstw jest pełna nierównego kontekstu. Inwentaryzacja aktywów jest niekompletna. Własność nie jest zawsze jasna. Krytyczność biznesowa się zmienia. Kontrole różnią się od jednej części majątku do drugiej. Jakość danych jest mieszana. Jeśli podstawowy obraz jest plamisty, wyjście sztucznej inteligencji również będzie plamiste, niezależnie od tego, jak wygląda interfejs.

Myślę, że jest to szczególnie prawdziwe, gdy dostawcy mówią o przewidywaniu. Istnieje znacząca różnica między mówieniem: „ten wzorzec wygląda na ryzykowny” a mówieniem: „to jest to, co się wydarzy następnie”. Pierwsze może być użyteczne. Drugie to miejsce, w którym język często wyprzedza rzeczywistość.

Więc dla mnie sztuczna inteligencja jest najlepiej zrozumiana dzisiaj jako wzmacniacz, a nie autorytet. Może pomóc zespołom sortować, korelować i koncentrować się. To, czego nie może zrobić konsekwentnie, to zastąpić potrzebę ludzkiej oceny, lokalnej wiedzy i jasnego zrozumienia, co biznes naprawdę się troszczy.

To jest naprawdę podział. Narracja sugeruje pewność. Rzeczywistość jest bardziej skromna i bardziej użyteczna niż hipermarketing, jeśli jesteś szczerzy w tej kwestii. Sztuczna inteligencja może poprawić jakość i szybkość analizy, ale nie usuwa nieładu podejmowania decyzji w zakresie bezpieczeństwa przedsiębiorstwa.

Spinnaker Support współpracuje ściśle z wdrożeniami Oracle, SAP i JD Edwards. Co sprawia, że środowiska ERP o wysokim stopniu dostosowania są szczególnie trudne do zrozumienia i oceny przez narzędzia bezpieczeństwa oparte na sztucznej inteligencji?

To, co sprawia, że te środowiska są trudne, polega na tym, że po upływie wielu lat przestają zachowywać się jak standardowe oprogramowanie, na które sztuczna inteligencja została wyszkolona, a zaczynają zachowywać się bardziej jak zapis tego, jak biznes naprawdę działa.

Widziałem, że jest to szczególnie prawdziwe w przypadku środowisk Oracle, SAP i JD Edwards o wysokim stopniu dostosowania. Na papierze możesz nadal patrzeć na znaną platformę. W rzeczywistości często patrzysz na lata lokalnych adaptacji, kodu niestandardowego, dziedziczonych integracji, struktur uprawnień, logiki raportowania i obejść stworzonych z bardzo konkretnych powodów operacyjnych. Dla narzędzia bezpieczeństwa opartego na sztucznej inteligencji może to być trudne do odczytania z jakąkolwiek prawdziwą pewnością.

Wiele z tych narzędzi działa najlepiej, gdy środowisko jest względnie spójne, a wzorce są łatwiejsze do porównania. Środowiska ERP o wysokim stopniu dostosowania rzadko są takie. Logika jest bardziej splątana. Dokumentacja jest często niekompletna. Własność może być rozproszona wśród zespołów. To, co wygląda na nietypowe, może być zupełnie zamierzone, a to, co wygląda na rutynowe, może okazać się czymś naprawdę krytycznym w finansach, łańcuchu dostaw lub operacjach.

To jest tam, gdzie leży trudność. Narzędzie nie jest tylko proszone o znalezienie podatności lub błędu konfiguracji. Jest proszone o zrozumienie, co oznacza ten problem w kontekście procesu biznesowego, zależności niestandardowej lub struktury kontroli, która może nie istnieć nigdzie indziej.

I to jest znacznie trudniejszy problem, niż marketing zwykle sugeruje. Sztuczna inteligencja może pomóc w powierzchni wzorców, redukować niektóre ręczne analizy i pomagać zespołom w pracy przez ilości informacji, które w przeciwnym razie byłyby trudne do zarządzania. Ale jeśli majątek jest tylko częściowo udokumentowany, ukształtowany przez lata wyjątków i głęboko związany z tym, jak firma działa, jest ograniczenie, jak dokładnie zautomatyzowany system może to zinterpretować samodzielnie.

Więc myślę, że prawdziwy problem nie polega na tym, czy sztuczna inteligencja może coś zobaczyć. Jest to kwestia, czy może zrozumieć wystarczająco dużo kontekstu, aby to właściwie ocenić. W środowiskach ERP o wysokim stopniu dostosowania jest to nadal tam, gdzie ekspertyza ludzka robi różnicę.

Jednym z Twoich głównych argumentów jest to, że ekspertyza ludzka nie jest wąskim gardłem, które należy wyeliminować, ale niezbędną częścią procesu bezpieczeństwa. Czy możesz podzielić się przykładami, w których ocena ludzka wykryła ryzyka, które silnik priorytetowy sztucznej inteligencji prawdopodobnie pominąłby?

Tak, absolutnie. I dla mnie to jest tam, gdzie granice automatycznego priorytetowania stają się bardzo oczywiste.

Niektóre ryzyka mają sens tylko wtedy, gdy znasz środowisko wystarczająco dobrze, aby zrozumieć, co leży za danymi. System może nie wyglądać szczególnie ważnie z zewnątrz. Ocena podatności może być niezauważalna. Ale ktoś, kto zna majątek, może wiedzieć, że wspiera płace, raportowanie na koniec kwartału, delikatną integrację lub proces biznesowy, którego firma po prostu nie może przerwać. Sygnał w danych może wyglądać zwykły. Rzeczywiste konsekwencje nie są.

Widziałem przypadki, w których obraz kontroli wygląda lepiej w teorii niż w praktyce. Silnik sztucznej inteligencji może założyć, że ryzyko jest zmniejszone, ponieważ segmentacja jest na miejscu, dostęp jest ograniczony lub kontrola monitorowania istnieje. Ale osoba blisko środowiska może wiedzieć, że jeden kontrolny mechanizm jest stosowany niespójnie, inny jest omijany, gdy operacje są pod presją, a trzeci przestał być niezawodny. Ten rodzaj luki nie zawsze pojawia się czysto w systemie rejestracji.

To samo dotyczy środowisk niestandardowych. Skrypt, przepływ pracy lub model uprawnień może wyglądać rutynowo, jeśli skanujesz wzorce w skali. Dla kogoś, kto rozumie, jak system został dostosowany z czasem, ten sam szczegół może natychmiast wyjść na pierwszy plan jako prawdziwe źródło narażenia.

Czas juga ma znaczenie. Podatność może wyglądać na zarządzalną w izolacji, a potem stać się znacznie poważniejszą, ponieważ firma jest w środku migracji, przejęcia, terminu regulacyjnego lub szczytu operacyjnego. Ten rodzaj zmiany nie zawsze jest łatwy do interpretacji przez zautomatyzowany silnik z odpowiednim ciężarem.

Więc, gdy mówię o ekspertyzie ludzkiej, nie mówię o instynkcie w jakimś niejasnym sensie. Mówię o wiedzy lokalnej. Pamięci. Oceny. Możliwości zobaczenia, kiedy mały techniczny problem jest dołączony do czegoś znacznie bardziej doniosłego.

To jest dlatego, dla mnie, ekspertyza ludzka nie jest wąskim gardłem, które należy usunąć. Jest to część, która zapobiega fałszywej pewności. Sztuczna inteligencja może pomóc w sortowaniu i zawężaniu danych. Ale ryzyka, które najbardziej się liczą, często są tymi, które stają się oczywiste dopiero wtedy, gdy ktoś rozumie, jak biznes naprawdę działa.

Jak organizacje pędzą do przyjęcia sztucznej inteligencji w operacjach bezpieczeństwa, jakie są największe ryzyka związane z nadmierną automatyzacją zarządzania podatnościami i oceny narażenia?

Największe ryzyko, jakie widzę, polega na tym, że tworzy się pozory kontroli bez rzeczywistej pewności, że jesteśmy pod kontrolą.

Zarządzanie podatnościami jest jednym z tych obszarów, w którym automatyzacja jest oczywiście użyteczna. W skali przedsiębiorstwa potrzebujesz automatyzacji, aby znaleźć problemy, skorelować dane, ustalić priorytety w dużych ilościach i utrzymać cały proces. Żadna poważna organizacja nie może zarządzać tym ręcznie.

Ale niebezpieczeństwo pojawia się, gdy automatyzacja zaczyna napędzać program bez wystarczającej ludzkiej kontroli wokół niej.

Pierwsze oczywiste ryzyko to fałszywa priorytetacja. Jeśli zbyt mocno polegasz na automatycznym ocenianiu, możesz zacząć traktować ciężkość techniczną jakby była tym samym co ryzyko biznesowe. Nie jest. Krytyczna podatność na izolowanym lub kompensacyjnie kontrolowanym aktywie może mieć mniejsze znaczenie w praktyce niż niższa ocena problemu na systemie, który jest wysoko narażony i związany z krytycznym procesem biznesowym.

Drugie ryzyko, jakie widzę, to utrata kontekstu. Programy zautomatyzowane są tylko tak dobre, jak dane o aktywach, danych o własności, mapowaniu zależności i obsłudze wyjątków za nimi. Jeśli ta informacja jest niekompletna, a w większości przedsiębiorstw często jest, automatyzacja może stać się bardzo efektywna w przenoszeniu błędnych decyzji przez system.

Istnieje również szersze ryzyko strategiczne, które polega na tym, że organizacje zaczynają mylić przepływ z poprawą bezpieczeństwa. Zamykanie dużej liczby podatności wygląda dobrze operacyjnie. Tworzy pulpity, metryki i poczucie impetu. Ale jeśli nie redukujesz narażenia, które najbardziej się liczy dla biznesu, możesz po prostu stać się szybszy w wyglądaniu zajętego.

Więc moim zdaniem automatyzacja powinna absolutnie robić ciężką pracę. Ale powinna wspierać ocenę, a nie ją zastępować. W przeciwnym razie kończysz z procesem, który jest wydajny, mierzalny i skalowalny, ale niekoniecznie bezpieczniejszy.

Pracowałeś rozlegle w transformacji IT i architekturze przedsiębiorstwa. Jak CISO powinien balansować potrzebę szybkiego łatania podatności z ryzykiem operacyjnym zakłócania krytycznych systemów biznesowych?

Świetne pytanie, ponieważ to jeden z tych obszarów, w którym łatwa odpowiedź zwykle jest błędna.

Oczywiście chcesz łatać szybko. Żaden CISO nie będzie argumentował za siedzeniem na znanych podatnościach dłużej, niż to konieczne. Ale w prawdziwym przedsiębiorstwie, szczególnie w tym, które działa krytyczne systemy, prędkość sama w sobie nie jest celem. Jeśli łatasz źle i wyłączasz coś, na czym firma polega, rozwiązuje się jeden problem, tworząc inny.

Więc równowaga polega naprawdę na zrozumieniu, które ryzyka są żywe, które są teoretyczne, a które systemy mogą tolerować zmiany bez powodowania problemów gdzie indziej.

Niektóre podatności naprawdę wymagają pilnych działań. Jeśli coś jest narażone, wykorzystywane i siedzi w części majątku, która się liczy, to się ruszaj. Ale wiele razy decyzja jest mniej absolutna, niż ludzie to sprawiają. Możesz mieć inne kontrolne mechanizmy wokół problemu. Dotknięty system może być ściśle zawężony. Ryzyko operacyjne wprowadzania zmiany może być wyższe niż trzymanie stanu przez krótki okres i robienie tego właściwie.

To jest tam, gdzie leży trudność. Narzędzie nie jest tylko proszone o znalezienie podatności lub błędu konfiguracji. Jest proszone o zrozumienie, co oznacza ten problem w kontekście procesu biznesowego, zależności niestandardowej lub struktury kontroli, która może nie istnieć nigdzie indziej.

Istnieje również głębszy problem, który ten debat na łatanie ujawnia. Jeśli organizacja jest ciągle boi się łatania kluczowych systemów, ponieważ każda zmiana wydaje się niebezpieczna, to zwykle mówi to, że środowisko stało się kruche. Za dużo ukrytych zależności, za mało pewności testowej, za mało elastyczności w architekturze. W tej sytuacji debata na temat łatania jest naprawdę objawem znacznie starszego problemu.

Więc tak, łataj szybko, gdy ryzyko jest prawdziwe i ścieżka jest jasna. Ale gdzie środowisko jest wrażliwe, zadaniem jest zmniejszyć ryzyko bez tworzenia większego bałaganu. To jest równowaga.

I aby być szczerym, większość doświadczonych CISO wie to już. Wyzwaniem jest stosowanie ich decyzji pod presją, gdy zegar tyka, a nikt nie chce ponosić konsekwencji błędu.

Podejście Spinnaker łączy analizę opartą na sztucznej inteligencji z walidacją ekspertów. Jakie konkretnie zadania powinna wykonywać sztuczna inteligencja, a które decyzje powinny pozostać solidnie w rękach doświadczonych profesjonalistów ds. bezpieczeństwa?

Myślę, że granica jest naprawdę dość prosta.

Sztuczna inteligencja powinna robić pracę, która korzysta na prędkości, skali i spójności. Przechodzenie przez duże ilości danych, łączenie sygnałów, wyróżnianie wzorców, wskazywanie rzeczy, które wyglądają nie tak, pomaganie ludziom zawężać pole, to jest dokładnie rodzaj pracy, na który maszyny są użyteczne. To oszczędza czas, redukuje ręczną pracę i daje zespołom ds. bezpieczeństwa lepszy punkt startu.

Jest to również dobrze przystosowane do powtarzalnych części pracy. Pierwszy poziom triażu. Podsumowywanie wyników. Łączenie podobnych problemów. Śledzenie powtarzających się wyjątków. Wskazywanie, gdzie pewne rodzaje słabości kontroli ciągle pojawiają się. Żadne z tych rzeczy nie zastępuje ekspertyzy, ale robi lepsze z niej używanie.

Gdzie byłbym znacznie bardziej ostrożny, to wtedy, gdy przechodzimy od analizy do podejmowania decyzji.

Ważne decyzje powinny nadal leżeć w rękach doświadczonych profesjonalistów ds. bezpieczeństwa. Czy to jest naprawdę poważne ryzyko w tym biznesie, czy tylko wygląda poważnie w abstrakcji? Czy to jest prawdziwy błąd kontroli, czy tylko brzydki, ale zrozumiały wyjątek? Jeśli to naprawimy teraz, co jeszcze możemy zakłócić? Jeśli poczekamy, co naprawdę akceptujemy? To są decyzje wymagające oceny.

I to jest zanim nawet wejdziemy w ludzki aspekt. Dlaczego to ciągle się dzieje? Czy organizacja świadomie niesie to ryzyko, czy po prostu przestała zwracać na to uwagę? Czy to jest izolowany problem, czy znak czegoś kulturowego pod spodem? Ten rodzaj interpretacji nadal ma duże znaczenie.

Więc puściłbym sztuczną inteligencję, aby robiła sortowanie, klastry, pierwszy przebieg, ciężką pracę. Ale nie pozwoliłbym jej decydować, co biznes powinien najbardziej się troszczyć, ani jakie działanie powinno być podjęte bez ludzkiej kontroli.

Ponieważ raz, gdy decyzja ma konsekwencje, albo operacyjne, finansowe, czy reputacyjne, nie jesteś już tylko przetwarzając informacje. Podejmujesz decyzję.

I w bezpieczeństwie uważam, że to nadal powinna być osoba z prawdziwą inteligencją.

Wiele organizacji nadal koncentruje się głównie na liczbie podatności i ocenach ciężkości. Dlaczego uważasz, że prawdziwe zarządzanie narażeniem wymaga szerszego spojrzenia, które obejmuje kontrolne mechanizmy, ograniczenia dostępu, architekturę systemu i kontekst biznesowy?

Wymaga szerszego spojrzenia, ponieważ liczba sama w sobie nie mówi ci wiele o tym, jak wiele kłopotów masz naprawdę.

Oceny ciężkości mają swoje miejsce. Liczby podatności mają swoje miejsce. Pomagają ci rozmiarzyć problem. Pomagają ci zorganizować kolejkę. Ale nie są one tym samym co zrozumienie narażenia, i to jest tam, gdzie myślę, że wiele organizacji nadal to źle robi.

Podatność może wyglądać ciężka w teorii i nadal być stosunkowo dobrze zawężona w praktyce. Jeśli dostęp do systemu jest ściśle ograniczony, jeśli istnieją inne kontrolne mechanizmy wokół niego, jeśli siedzi w części środowiska, do której jest trudno się dostać przez ograniczenia dostępu, to rzeczywiste prawdopodobieństwo, że ten problem spowoduje szkodę, może być znacznie różne od tego, co sugeruje surowy wynik.

I odwrotnie, coś, co jest niżej na liście, może okazać się znacznie ważniejsze, ponieważ gdzie siedzi. Dotyka krytycznej usługi. Jest łatwiej do niego dotrzeć. Siedzi w części systemu, w której jeden kompromis daje Ci przestrzeń do ruchu. To jest rodzaj rzeczy, który prosty ranking ciężkości nie wyjaśni dobrze.

Więc, gdy ludzie mówią o zarządzaniu narażeniem, uważam, że musi to oznaczać coś więcej niż tylko sortowanie podatności według oceny i pracowanie w dół listy.

Mustisz wiedzieć, co siedzi wokół problemu. Jakie kontrolne mechanizmy są już tam. Kto może do niego dotrzeć. Czy system jest izolowany, czy połączony z czymś ważniejszym. I co się naprawdę wydarzy, jeśli zostanie wykorzystany. W przeciwnym razie kończysz zarządzaniem obrazem ryzyka, a nie samym ryzykiem.

Myślę, że część powodu, dla którego to się dzieje, polega na tym, że liczby są kojące. Wyglądają obiektywnie. Dają ludziom coś ładnego do przedstawienia. Tworzą poczucie, że problem został zredukowany do czegoś miernego i kontrolowanego. Ale prawdziwe narażenie jest zwykle o wiele bardziej skomplikowane niż to.

Leży ono w nakładaniu się słabości, kontroli wokół niej, architektury, w której żyje, i konsekwencji biznesowych, jeśli coś pójdzie nie tak.

Więc tak, używaj ocen. Używaj liczb. Oczywiście. Ale nie myl ich z zrozumieniem.

Jeśli chcesz wiedzieć, gdzie jest prawdziwe narażenie, uważam, że musisz popatrzeć na całe środowisko, a nie tylko na liczbę dołączoną do niego.

Środowiska oprogramowania przedsiębiorstw wkraczają w okres znaczących zmian, gdy organizacje modernizują starsze systemy, jednocześnie przyjmując technologie sztucznej inteligencji. Spójrzając w przyszłość na najbliższe trzy do pięciu lat, jak widzisz ewolucję relacji między sztuczną inteligencją, bezpieczeństwem i platformami przedsiębiorstwa, i na co powinni się przygotowywać liderzy techniczni dzisiaj?

Myślę, że najbliższe trzy do pięciu lat będą dość definiujące.

Głównie dlatego, że firmy próbują modernizować stare majątki przedsiębiorstwa w tym samym czasie, co wprowadzają sztuczną inteligencję do mieszanki, i żadna z tych rzeczy nie jest łatwa sama w sobie. Robienie ich obu jednocześnie podnosi stawkę.

To, co się zmienia najpierw, uważam, że sztuczna inteligencja przestaje być eksperymentem po stronie i zaczyna stawać się częścią sposobu, w jaki biznes naprawdę działa. Pojawia się w przepływach pracy, wsparciu, rozwoju, operacjach bezpieczeństwa i administrowaniu platformą, nie jako nowinka, ale jako część instalacji.

I gdy to się dzieje, rozmowa o cyberbezpieczeństwie staje się bardziej poważna. Nie pytasz już tylko, czy narzędzie jest użyteczne. Pytasz, co może dotknąć, co może wpłynąć, jakie dane je karmi i jakie są konsekwencje, gdy coś pójdzie nie tak.

Myślę również, że będziemy widzieć, jak bezpieczeństwo i architektura stają się coraz trudniejsze do rozdzielenia. W wielu starszych środowiskach rzecz, która wygląda jak problem bezpieczeństwa, jest naprawdę problemem architektury noszącym znacznik bezpieczeństwa. Słaba projektowanie tożsamości, za dużo zależności, niejasna własność, kruche integracje, słaba widoczność, to są rzeczy, które tendencję do siedzenia pod widocznym problemem. Sztuczna inteligencja nie wygładzi tego. Jeśli cokolwiek, może to ujawnić bałagan szybciej.

Więc organizacje, które radzą sobie z tym dobrze, uważam, że będą tymi, które przestaną traktować przyjęcie sztucznej inteligencji, bezpieczeństwo i modernizację platformy jako trzy oddzielne strumienie pracy. Są one coraz bardziej tą samą rozmową.

Jeśli doradzałbym liderom technicznym teraz, zacząłbym od widoczności. Musisz mieć znacznie lepszy uchwyt na to, co masz, jak to łączy się, kto ma dostęp do czego, gdzie wrażliwe dane się poruszają i gdzie twoje prawdziwe punkty kontroli są. Bez tego, nakładanie sztucznej inteligencji na górze tylko zwiększa liczbę rzeczy, których nie całkiem rozumiesz.

Następna rzecz to rządzenie, ale nie w podejściu pozorowanym. Prawdziwe decyzje. Gdzie można używać sztucznej inteligencji? Gdzie ludzka kontrola musi pozostać na miejscu? Jak są sprawdzane wyjścia? Jakie dane są zabronione? Kto ponosi konsekwencje, jeśli system prowadzi do złej akcji? Te pytania muszą być odpowiedzią teraz, a nie później.

I szczerze, uproszczenie ma znaczenie bardziej, niż wiele ludzi chce przyznać. Im bardziej splątany majątek, tym trudniej go zabezpieczyć, tym trudniej go zmodernizować, i tym trudniej go używać z sztuczną inteligencją bez tworzenia nowej niepewności.

Potem jest strona ludzka. Lepsze organizacje będą tymi, które wiedzą, jak połączyć automatyzację z oceną. Nie będą po prostu konsumować wyjść sztucznej inteligencji, ponieważ są szybkie lub wyglądają ładnie. Będą je kwestionować. Testować. Odpychać, gdy potrzeba.

Więc tak, w ciągu najbliższych kilku lat uważam, że sztuczna inteligencja, cyberbezpieczeństwo i platformy przedsiębiorstwa staną się znacznie bardziej ściśle związane.

I uważam, że liderzy, którzy przygotują się dobrze, będą tymi, którzy zrozumieją, że to nie jest tylko zmiana technologiczna. To jest zmiana w tym, jak decyzje są podejmowane, jak kontrola jest egzekwowana, i jak odporna jest ich organizacja. Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Spinnaker Support.