Redefinirea autorității în C‑Suite: Ce presupune cu adevărat cultivarea unei relații cu AI

Am petrecut 25 de ani în partea cumpărătorului în operațiunile de securitate și nu m-am trezit niciodată să nu dorm din cauza unei reguli de firewall. Totuși, am pierdut somnul din cauza AI‑ului. Automatizarea tradițională, oricât de complexă ar fi, urmează o logică pe care o poți urmări. În schimb, la această scară fără precedent a AI‑ului agentic, sistemele sunt încredințate să ia decizii de judecată pe care inginerii nu le pot explica pe deplin – această pierdere a transparenței este exact motivul pentru care atât de mulți CISOs sunt blocați.

97% dintre liderii de securitate sunt încrezători că AI poate gestiona trierea, totuși doar 35% o utilizează efectiv în acest scop. Acest punct de cotitură este o problemă de încredere, iar încrederea poate fi rezolvată doar așa cum a fost întotdeauna, prin structură, dovezi și timp.

Poți vedea automatizarea, dar poți avea încredere în AI?

Cu automatizarea tradițională, practicienii pot ști cu certitudine ce se va întâmpla înainte să se întâmple. Această transparență este motivul pentru care echipele SOC au petrecut un deceniu construind încredere în fluxurile de lucru automate fără prea multe dezbateri interne, însă AI‑ul agentic a rupt tiparul prin introducerea unui strat de judecată învățat – un sistem care evaluează contextul, face predicții și ajunge la concluzii printr-un proces care nu este întotdeauna complet lizibil, chiar și pentru cei care l-au creat. 

Doar 21% dintre organizații afirmă că au un model de guvernanță matur pentru AI‑ul agentic, deși 74% se așteaptă să utilizeze agenți AI cel puțin „moderat” până în 2027. Când practicienii de securitate nu pot explica transparent acest tip de „AI cu cutie neagră”, este o dovadă a dificultății de a guverna instrumentele AI. Nu este pentru că instrumentele nu sunt securizate corespunzător, ci pentru că funcționarea internă a instrumentului AI se bazează pe judecată, nu pe un flux de lucru.

În sălile de consiliu, liderii evaluează AI‑ul așa cum ar evalua automatizarea, întrebând „pot vedea logica?”, în loc să întrebe „cum pot câștiga încredere într-un factor de decizie a cărui logică evoluează?”. Majoritatea CISOs probabil știu deja răspunsul, dar provocarea este să o aplice în practică.

Tratarea AI-ului ca pe o angajare cu mare responsabilitate

Gândește-te la integrarea unui nou analist senior. Un CISO nu i-ar da unui analist proaspăt cheile producției în prima zi, indiferent cât de impresionant ar fi CV‑ul său. L‑ar începe cu sarcini cu risc scăzut, ar observa cum gestionează ambiguitatea și și‑ar extinde autoritatea pe măsură ce o câștigă. AI merită aceeași integrare, cultivată prin încredere bazată pe dovezi care se construiește în timp.

Am văzut deja efectele în practică când un agent autonom Meta AI a declanșat un incident de securitate la nivelul întregii companii după ce a acționat fără aprobare umană, expunând date sensibile ale companiei și ale utilizatorilor către angajați neautorizați timp de aproximativ două ore până când problema a fost conținută. Cauza principală a fost lipsa supravegherii umane în momentul deciziei, unde ar fi trebuit să se solicite o aprobare explicită. Acesta este exact modul în care gardienii rigizi sunt concepuți să prevină, și este un reminder că disciplina de domeniu contează mai mult decât sofisticarea modelului.

AI merită aceeași atenție, și putem să ne gândim la el ca la o rampă bazată pe dovezi:

• Înțelege logica deciziei înainte de a o implementa. Nu trebuie să vezi fiecare greutate din model, dar trebuie să știi asupra căror date își fundamentează raționamentul, ce rezultate optimizează și unde se află, probabil, punctele sale slabe.
• Stabilește gardieni rigizi încă din prima zi. Definește exact ce poate acționa sistemul în mod independent și ce necesită intervenție umană. Un domeniu restrâns este fundația pe care se construiește încrederea.
• Extinde limitele doar pe măsură ce dovezile se acumulează. Fiecare decizie corectă este un punct de date, iar fiecare eroare este tot un punct de date. Lărgește apertura proporțional cu istoricul, nu proporțional cu entuziasmul furnizorului sau cu ciclurile bugetare.

Urmarea acestor pași ca protocol va ajuta la protejarea împotriva temerilor CISO, inclusiv la prevenirea unui sistem autonom care operează dincolo de punctul în care oricine l‑a verificat și a considerat demn de încredere.

Modelul pe trei niveluri: Unde AI‑ului îi câștigă locul

SANS’ Secure AI Blueprint descrie o structură de guvernanță construită în jurul a trei piste: protejarea AI, utilizarea AI și guvernarea AI, cuprinzând șase categorii de control, inclusiv acces, date, implementare, inferență, monitorizare și securitatea modelului. Acesta este un punct de plecare util, iar pentru a merge un pas mai departe, este util să structurăm această relație împărțind SOC‑ul în trei niveluri pentru a rezolva problema încrederii în AI.

1. Rezultat. Acesta este nivelul în care se află riscul de afaceri. Ce consideră organizația ca rezultat acceptabil? Care este toleranța la fals negativ versus fals pozitiv? Aceasta este o decizie umană, punct final. Niciun model nu primește vot asupra a ceea ce organizația este dispusă să riște.
2. Judecată. Aici se stabilesc prioritățile și se fac compromisuri în condiții de ambiguitate. Ar trebui să fie escalat acest avertisment acum sau să fie reținut pentru mai mult context? Merită această anomalie să întrerupă noaptea cuiva? Judecata poate fi informată de AI și, din ce în ce mai mult, ar trebui să fie, dar autoritatea finală rămâne umană. Acesta este nivelul pe care majoritatea organizațiilor sunt tentate să îl transfere prea devreme, și este cel care îi va arde dacă o fac.
3. Execuție. Aici AI ar trebui să facă sarcina grea, și să o facă cu o viteză pe care nicio echipă umană nu o poate egala. Îmbogățirea unui alert, corelarea semnalelor dintr‑o duzină de instrumente, redactarea unei acțiuni de izolare, rularea ghidului odată ce un om sau un strat de judecată de încredere a aprobat calea. Viteza mașinii, deterministă odată declanșată, fără ego.

Maturizarea parteneriatului, nu doar gestionarea instrumentului

Când relația AI în cadrul SOC este construită ca un parteneriat, nu ca supravegherea unui instrument, CISOs pot începe să vadă AI‑ul ca pe un coleg de echipă în dezvoltare, ceea ce duce la o schimbare fundamentală în modul în care CISO își petrece timpul.

SOC‑urile care reușesc să echilibreze această relație sunt cele cu cel mai disciplinat proces de construire a încrederii. Acea disciplină permite unei operațiuni de securitate să scaleze la viteza mașinii la nivelul de execuție fără a pierde judecata umană pe care deciziile la nivel de rezultat o cer în continuare, și vor cere întotdeauna.

Am depășit momentul în care AI era văzut ca noul instrument strălucitor pentru a impresiona consiliile de administrație. Capacitățile și potențialul AI au câștigat autoritatea de a fi tratat așa cum toată lumea dintr‑un SOC a tratat întotdeauna tehnologia avansată, o decizie verificată la fiecare pas.