Craig Riddell, Global Field CISO la Wallarm – Seria de interviuri

Craig Riddell, Global Field CISO la Wallarm, este un expert în securitate cibernetică cu experiență în ajutarea întreprinderilor să gestioneze riscurile crescânde legate de API-uri și sisteme conduse de inteligență artificială. În funcția sa actuală, el lucrează îndeaproape cu CISO, CIO și lideri de inginerie pentru a traduce modele de atac și scenarii de abuz din lumea reală în strategii de securitate actionabile, cu accent puternic pe observabilitate – înțelegerea modului în care API-urile și sistemele de inteligență artificială se comportă în producție, în rândul utilizatorilor, aplicațiilor și integrărilor. Cariera sa cuprinde roluri de conducere în domeniul gestionării identității și accesului, arhitectură de încredere zero și securitate întreprinderilor, în organizații precum Netwrix, Kron și HP, unde a condus transformări ample de gestionare a identității și a modernizat cadrele de securitate. Expertiza lui Riddell se concentrează pe amenințări emergente, cum ar fi atacurile la logica de afaceri, abuzul de API, deriva sistemelor de inteligență artificială și frauda, cu accent constant pe reducerea decalajului dintre strategia de securitate de nivel înalt și execuția operațională.

Wallarm este o companie de securitate cibernetică specializată în protejarea API-urilor, aplicațiilor și sistemelor conduse de inteligență artificială în medii cloud moderne. Platforma sa oferă descoperire continuă, testare și protecție în timp real împotriva amenințărilor, cum ar fi abuzul de API, atacurile la logica de afaceri și exploatarea automată, oferind în același timp o vizibilitate profundă asupra modului în care sistemele se comportă în infrastructuri complexe. Proiectată pentru arhitecturi multi-cloud și cloud-native, Wallarm se integrează în fluxurile de lucru DevOps și securitate existente, permițând organizațiilor să detecteze și să blocheze atacurile în timp ce au loc, și nu după eveniment. Prin combinarea inventarului de API, detectării amenințărilor conduse de inteligență artificială și a capacităților de răspuns automat, platforma abordează o realitate în creștere, în care API-urile și sistemele de inteligență artificială au devenit principala suprafață de atac pentru afacerile digitale moderne.

Ați început cariera lucrând direct cu sisteme și infrastructură și ați trecut ulterior la roluri de conducere axate pe securitatea identității, accesului, API-urilor și inteligenței artificiale. Care au fost principalele schimbări de-a lungul acestei călătorii care v-au determinat să concluzionați că riscul real s-a mutat de la perimetru către API-uri și sisteme conduse de mașini?

La începutul carierei mele, accentul era pe protejarea marginii. Firewalls, segmentare, întărire a infrastructurii. Acest model a funcționat atunci când sistemele erau mai statice și granițele de încredere erau mai ușor de definit.

Ceea ce s-a schimbat este modul în care sunt construite aplicațiile și modul în care sistemele interacționează. API-urile au devenit țesutul de legătură al tuturor, iar inteligența artificială a accelerat acest proces și mai mult. Acum, sistemele iau decizii, apelează alte sisteme și execută acțiuni la o scară și viteză care nu implică oamenii în buclă.

În acel moment, perimetrul devine mai puțin relevant. Riscul real se mută acolo unde se iau deciziile și se execută acțiunile, în interiorul API-urilor și fluxurilor de lucru conduse de mașini.

Dacă nu aveți vizibilitate și control acolo, încredințați-vă unui comportament pe care nu îl puteți vedea pe deplin. Acolo este unde apare riscul de afaceri, de la expunerea financiară la rezultate neintenționate și perturbarea operațională.

Ați descris “strângerea de mână cibernetică” ca fiind defectă, referindu-vă la modul în care sistemele stabilesc încredere și schimbă acțiuni în lanțuri complexe de API-uri și procese automate. Cum arată această întrerupere într-un mediu de întreprindere real din lumea de azi?

În majoritatea mediilor, sistemele se încred în una în alta pe baza identității și autentificării. Un token este valabil, o solicitare este bine formată, și interacțiunea este permisă.

Problema este că aceasta presupune că valabil înseamnă sigur. Acest lucru nu mai este valabil.

Noi autentificăm identitatea, dar nu validăm intenția. Verificăm accesul, dar nu comportamentul de-a lungul lanțului.

Un serviciu poate fi autorizat să apeleze un alt serviciu, care declanșează acțiuni în aval în multiple API-uri. Fiecare pas pare legitim în izolare, dar de-a lungul lanțului întreg, începeți să vedeți un comportament neintenționat sau abuz de logică.

În medii conduse de inteligență artificială, acest lucru este amplificat. Agentele pot lega acțiuni și executa fluxuri de lucru fără revizuire umană.

Strângerea de mână încă are loc, dar nimeni nu întreabă dacă comportamentul are sens în context. Încrederea este stabilită, dar nu este validată în mod continuu.

De ce riscul legat de inteligență artificială și API atât de des cade între granițele organizaționale, în loc de a fi clar deținut?

Pentru că sistemele nu se aliniază cu modul în care sunt structurate organizațiile.

DevOps deține livrarea. Securitatea deține politica. Echipele de afaceri dețin rezultatele. Echipele de date dețin modelele. Fiecare grup deține o parte, dar nimeni nu deține sistemul în ansamblu, așa cum se comportă în producție.

API-urile execută logica de afaceri în sisteme. Inteligența artificială introduce luarea deciziilor nedeterministe pe baza acesteia. Împreună, ele taie prin toate granițele.

Sunt construite de o echipă, securizate de alta și consumate de o a treia, cu monitorizare inconsistentă în toate.

Golurile pe care le creează nu sunt eșecuri ale echipelor. Sunt eșecuri ale modelului de operare de a reflecta modul în care funcționează sistemele moderne.

În experiența dvs., care echipe tind să considere că dețin riscul legat de inteligență artificială, și unde se află cele mai mari puncte oarbe între securitate, DevOps și unitățile de afaceri?

Echipele de securitate tind să dețină riscul legat de inteligență artificială din perspectiva guvernanței și conformității. DevOps deține livrarea și fiabilitatea. Unitățile de afaceri se concentrează pe rezultate.

Punctele oarbe se manifestă între aceste domenii.

Securitatea definește ceea ce ar trebui să se întâmple. DevOps asigură funcționarea sistemului. Unitățile de afaceri se concentrează pe rezultate. Dar foarte puține echipe se uită constant la ceea ce face sistemul în timp real.

Acolo este unde trăiește riscul, mai ales atunci când comportamentul este tehnic valid, dar contextual greșit.

Multe atacuri moderne apar ca un comportament valid și autentificat, mai degrabă decât intruziuni evidente. Cum ar trebui organizațiile să reconsidere detectarea în această nouă realitate?

Trebuie să mergem dincolo de identificarea “cererilor rele”.

În multe cazuri, solicitarea este valabilă. Credențialele sunt legitime. Apelul API este așteptat. Ceea ce nu este așteptat este secvența de acțiuni, volumul sau rezultatul.

Detectarea trebuie să devină comportamentală și contextuală. Este mai puțin despre blocarea unei singure solicitări și mai mult despre înțelegerea modului în care sistemele interacționează în timp.

Abordările care funcționează cu adevărat la scară merg dincolo de asocierea modelelor. Ele descompun solicitările structural, tratând fiecare interacțiune ca un set de tokeni comportamentali, mai degrabă decât încercarea de a se potrivi cu modele cunoscute.

Acest lucru vă permite să înțelegeți cum evoluează comportamentul și unde se abate, chiar și atunci când totul pare valabil la suprafață.

Dacă vă bazați pe reguli statice sau semnături, veți pierde cea mai mare parte a ceea ce contează.

Ați subliniat importanța observabilității în comportamentul din lumea reală. Cum arată observabilitatea semnificativă pentru API-uri și sisteme de inteligență artificială în producție?

Observabilitatea semnificativă nu este doar despre jurnale și metrice. Este despre înțelegerea comportamentului în context.

Pentru API-uri, aceasta înseamnă vizibilitate completă a solicitărilor și răspunsurilor, modul în care sunt utilizate punctele de capăt și modul în care interacțiunile evoluează în timp.

Pentru sisteme de inteligență artificială, aceasta înseamnă înțelegerea intrărilor, deciziilor și acțiunilor rezultate.

Cel mai important, aceasta înseamnă conectarea acestora în fluxuri de lucru complete, nu evenimente izolate.

Fără aceasta, operați în baza unor presupuneri despre comportamentul sistemului, în loc de realitate.

De ce modelele de revizuire și aprobare umană devin mai puțin eficiente în medii conduse de mașini?

Pentru că viteza și scara s-au schimbat.

Sistemele fac mii sau milioane de apeluri pe minut, și atacurile sau comportamentul neintenționat pot evolua în minute sau secunde. Nu puteți pune realist un om în buclă pentru fiecare decizie fără a compromite performanța.

Sistemele de inteligență artificială nu sunt întotdeauna deterministe, ceea ce face modelele de aprobare prealabilă mai puțin eficiente.

Supravegherea umană încă contează, dar trebuie să se mute de la aprobarea acțiunilor individuale la definirea limitelor și monitorizarea rezultatelor.

Care sunt cele mai comune lacune operaționale pe care le observați atunci când companiile încearcă să securizeze sisteme de inteligență artificială folosind cadre de securitate legacy?

Cea mai mare lacună este dependența excesivă de controalele de la momentul proiectării.

Organizațiile se concentrează pe securizarea modelelor, revizuirea codului și definirea politicilor înainte de implementare. Acest lucru este important, dar presupune că sistemele vor se comporta așa cum se așteaptă odată ce sunt live.

În realitate, sistemele evoluează. API-urile se schimbă. Modelele de inteligență artificială interacționează cu noi fluxuri de lucru și date. Comportamentul se schimbă în timp.

Fără validarea continuă a comportamentului în producție, organizațiile sunt efectiv oarbe după implementare.

Ce arată un model de operare practic atunci când mai mulți stakeholderi împart responsabilitatea pentru riscul legat de inteligență artificială și API?

Acesta începe cu recunoașterea faptului că nicio echipă nu poate deține integral această responsabilitate de la capăt la capăt.

Un model practic definește responsabilitatea împărtășită, ancorată în jurul unei surse comune de adevăr: comportamentul în timp de execuție.

Securitatea definește riscul și politica. Ingineria construiește și operează sistemele. Afacerile definesc rezultatele acceptabile.

Echipele care merg înainte în acest sens operează într-un ciclu închis. Descoperire continuă, aplicare și rafinare, conduse de ceea ce fac sistemele în producție, și nu de ceea ce s-a presupus la momentul proiectării.

Toți stakeholderii au nevoie de vizibilitate asupra modului în care sistemele operează în producție. De acolo, echipele pot alinia asupra a ceea ce “bine” înseamnă, pot detecta abateri și pot răspunde.

Schimbarea este de la proprietatea în siloz la responsabilitatea coordonată, bazată pe insight-ul din timp de execuție.

Privind înainte, așteptați ca responsabilitatea pentru securitate să devină mai centralizată din nou, sau va continua să se fragmenteze pe măsură ce sistemele devin mai autonome?

Responsabilitatea va rămâne distribuită, deoarece acest lucru reflectă modul în care sunt construite sistemele.

Ceea ce se va schimba este modul în care această responsabilitate este coordonată.

Vom vedea mai multe modele de guvernanță unificate, în care echipele dețin propriile domenii, dar operează cu vizibilitate și context împărtășit.

Organizațiile care vor reuși nu vor fi cele care încearcă să centralizeze totul. Vor fi cele care aliniază stakeholderii în jurul modului în care sistemele se comportă în lumea reală.

Pentru că, dacă nimeni nu înțelege comportamentul în timp de execuție, nimeni nu deține cu adevărat riscul.

Mulțumim pentru acest interviu minunat. Citiitorii care doresc să afle mai multe pot vizita Wallarm.