Mark Fetches, CTO al Spinnaker Support – Seria de interviuri

Mark Fetches este Director Tehnic pentru EMEA la Spinnaker Support, unde sfătuiește organizațiile enterprise cu privire la strategia tehnologică, securitate, cloud, inteligență artificială și inițiative de transformare la scară largă. Cu peste 30 de ani de experiență în consultanță și conducere în cadrul Accenture, Deloitte și PwC, Mark a lucrat în strânsă colaborare cu directori executivi și consilii de administrație pentru a moderniza mediile complexe de întreprindere și a alinia deciziile tehnologice cu obiectivele de afaceri pe termen lung. Cu sediul în Regatul Unit, el se specializează în ajutarea organizațiilor să navigheze provocările tehnologiei legacy, riscului operațional și transformării digitale, oferind îndrumări practice și axate pe afaceri.

Spinnaker Support este un furnizor global de top de suport software de tip third-party, servicii gestionate și consultanță de securitate pentru întreprinderi care rulează platforme critice de afaceri, cum ar fi Oracle (ORCL ), SAP, JD Edwards și altele.

Ați petrecut peste 20 de ani sfătuind întreprinderi în cadrul Accenture, Deloitte și PwC, înainte de a deveni CTO la Spinnaker Support. Privind înapoi la această călătorie, care sunt cele mai mari concepții greșite pe care le-au avut executivii despre risc și tehnologie, și cum a schimbat apariția inteligenței artificiale aceste conversații?

Cred că cea mai mare concepție greșită a fost întotdeauna aceea că riscul tehnologic se află undeva în afara afacerii și poate fi gestionat ca o problemă specializată. Nu am văzut niciodată lucrurile în acest fel.

Ce mai multe riscuri grave pe care le-am văzut provin din alegerile conducerii. Câtă complexitate se tolerează. Cât de dependenți devin de platforme vechi sau de furnizori cheie. Cât de mult se pune accentul pe viteză. Dacă se încred în datele pe care le folosește afacerea. Tehnologia este locul unde aceste alegeri se manifestă, dar de obicei nu este locul unde încep.

De-a lungul anilor, am văzut mulți executivi care se concentrează pe lucruri evidente, cum ar fi securitatea cibernetică, conformitatea și reducerea costurilor. Acestea sunt probleme reale, desigur. Dar riscurile care tind să prindă companiile sunt adesea mai puțin evidente. Este platforma pe care toată lumea știe că este fragilă, dar continuă să amâne înlocuirea ei. Este problema cu datele pe care nimeni nu o deține cu adevărat. Este dependența de outsourcing care pare eficientă până când devine un blocaj. Acestea sunt lucrurile care pot sta în fundal timp de ani și apoi deveni brusc foarte vizibile atunci când ceva se strică.

Cred, de asemenea, că a existat o obișnuință de a confunda conformitatea cu reziliența. Acestea nu sunt același lucru. Puteți trece un audit și totuși fi mult mai expuși decât credeți. O listă de verificare nu vă spune cum va răspunde afacerea sub presiune, cum poate recupera rapid sau dacă liderii au o vedere clară asupra problemei pentru a acționa.

În ceea ce privește inteligența artificială, a schimbat nivelul de atenție. Aceste conversații se desfășurau mai jos în organizație. Acum se află în mijlocul discuțiilor din camera consiliului de administrație despre creștere, încredere, productivitate și marcă. Acesta este un lucru foarte bun. Dar a adus și o nouă simplificare, care este ideea că modelul de inteligență artificială utilizat este riscul. De obicei, este mai mult decât atât. Întrebările mai grele sunt despre datele și guvernanța din jurul lor, deciziile pe care le influențează și punctul în care judecata umană trebuie să conteze încă.

Prin urmare, dacă aș trebui să rezum, aș spune că riscul tehnologic nu a fost niciodată doar despre tehnologie. A fost întotdeauna o reflectare a judecății conducerii. Inteligența artificială a făcut ca acest lucru să fie și mai greu de ignorat.

Echipele de securitate au acum acces la mai multă informație despre vulnerabilități decât oricând, și totuși organizațiile continuă să lupte cu prioritizarea. De ce credeți că industria are o problemă de semnal-la-zgomot, mai degrabă decât una de detectare?

Aș spune că industria nu este lipsită de date despre vulnerabilități. Este lipsită de claritate.

Majoritatea echipelor de securitate au deja suficiente informații, ieșiri ale scanerelor, informații despre amenințări, scoruri de gravitate, sfaturi de corectare, raportări de exploatare. Problema nu este dacă pot găsi slăbiciuni. Este dacă pot separa cele care ar putea să dăuneze cu adevărat afacerii de cele care sunt interesante din punct de vedere tehnic, dar mai puțin importante.

Acesta este motivul pentru care văd acest lucru ca pe o problemă de semnal-la-zgomot. Detectarea s-a îmbunătățit enorm. Ceea ce nu a ținut pasul este capacitatea de a aplica context. O vulnerabilitate devine o prioritate reală numai atunci când înțelegeți unde se află, cât de expusă este, cât de critică este acea resursă, care sunt controlorii compensatori și care ar fi impactul asupra afacerii dacă ar fi exploatată.

În practică, multe organizații încă se bazează pe metrici care sunt ușor de produs, cum ar fi scorurile de gravitate, numărul de corecturi și rapoartele de îmbătrânire. Acestea sunt utile, dar nu sunt același lucru cu judecata umană. O problemă cu un scor ridicat într-un sistem intern de mică valoare poate fi mult mai puțin importantă decât o slăbiciune cu un scor mai mic care se află pe ceva cu care clienții interacționează sau care este critic din punct de vedere operațional.

Prin urmare, nu cred că aceasta este fundamental o problemă de vizibilitate. Este o problemă de prioritizare a afacerii care trebuie învățată de echipele de securitate. Am devenit foarte buni la generarea de constatări. Suntem încă mai puțin consecvenți în traducerea acestor constatări într-o listă scurtă de acțiuni pe care conducerea le poate susține cu încredere.

Și din perspectiva mea, aceasta este schimbarea reală pe care industria trebuie să o facă, o mișcare de la măsurarea a ceea ce putem detecta către decizia a ceea ce contează cu adevărat din punct de vedere al impactului asupra afacerii.

La nivelul consiliului de administrație, aceasta este cu adevărat o chestiune de traducere a riscului, poate organizația să convertească expunerea tehnică într-un număr mic de priorități de afaceri clare și acționabile? Cele care pot face acest lucru bine sunt cele care trec de la zgomot la semnal.

Mulți furnizori de securitate cibernetică afirmă că inteligența artificială poate prioritiza automat vulnerabilitățile și prezice amenințări. Unde vedeți golul dintre narativa de marketing și ceea ce inteligența artificială poate livra realistic astăzi în medii enterprise?

Cred că cel mai ușor mod de a spune acest lucru este că marketingul din jurul acestui subiect promite un nivel de certitudine pe care mediile enterprise reale pur și simplu nu le permit.

Furnizorii descriu adesea inteligența artificială ca și cum ar putea să se ridice deasupra zgomotului, să ia în considerare totul și să spună în mod fiabil echipei de securitate ce este cel mai important și ce este probabil să se întâmple mai târziu. Este o prezentare convingătoare, deoarece fiecare lider de securitate vrea mai puțină aglomerație și mai multă încredere. Dar odată ce ajungi într-o organizație mare, lucrurile sunt rareori atât de clare încât această promisiune să se țină într-un mod atât de simplu.

Inteligența artificială poate să ajute cu adevărat. Poate să identifice modele, să reducă o parte din sortarea manuală, să evidențieze anomalii și să ajute echipele să treacă prin volume de informații care altfel ar fi dificil de gestionat, și are o valoare reală. Dar există o diferență între a ajuta o echipă să se deplaseze mai repede și a ști cu o precizie de încredere ce contează cel mai mult în acel mediu specific.

Acesta este locul în care apare golul. Majoritatea întreprinderilor sunt pline de contexte inegale. Inventarele de active sunt incomplete. Proprietatea nu este întotdeauna clară. Criticitatea afacerii se schimbă. Controlorii variază de la o parte a patrimoniului la alta. Calitatea datelor este amestecată. Dacă imaginea de ansamblu este pătată, atunci ieșirea inteligenței artificiale va fi și ea pătată, indiferent de cât de lustruită ar fi interfața.

Cred, de asemenea, că acest lucru este mai ales adevărat atunci când furnizorii vorbesc despre predicție. Există o diferență semnificativă între a spune “acest model pare riscant” și a spune “acesta este ceea ce se va întâmpla mai târziu”. Primul poate fi util. Al doilea este unde limbajul adesea depășește realitatea.

Prin urmare, pentru mine, inteligența artificială este cel mai bine înțeleasă astăzi ca un amplificator, nu ca o autoritate. Poate să ajute echipele să sorteze, să coreleze și să se concentreze. Ceea ce nu poate face în mod constant este să înlocuiască nevoia de judecată umană, cunoașterea locală și o înțelegere clară a ceea ce afacerea îngrijorează cu adevărat.

Acesta este cu adevărat divizorul. Narativa sugerează certitudine. Realitatea este mai modestă și mai utilă decât hype-ul, dacă sunteți onest despre ea. Inteligența artificială poate îmbunătăți calitatea și viteza analizei, dar nu elimină nevoia de judecată umană.

Spinnaker Support lucrează pe scară largă cu implementări Oracle, SAP și JD Edwards. Ce face mediile ERP foarte personalizate deosebit de dificile pentru uneltele de securitate bazate pe inteligență artificială să le înțeleagă și să le evalueze cu acuratețe?

Ceea ce face aceste medii dificile este că, după destui ani, ele încetează să se comporte ca software standard pe care inteligența artificială a fost antrenată și încep să se comporte mai mult ca o înregistrare a modului în care funcționează afacerea.

Am văzut acest lucru ca fiind mai ales adevărat în domeniile Oracle, SAP și JD Edwards puternic personalizate. Pe hârtie, puteți încă să vă uitați la o platformă cunoscută. În realitate, de obicei vă uitați la ani de adaptări locale, cod personalizat, integrări moștenite, structuri de permisiuni, logică de raportare și soluții găsite pentru motive operaționale foarte specifice. Pentru o unealtă de securitate bazată pe inteligență artificială, cred că acest lucru poate fi dificil de citit cu o reală încredere.

Multe dintre aceste unelte funcționează cel mai bine atunci când mediul este relativ consistent și modelele sunt mai ușor de comparat. Mediile ERP puternic personalizate rareori sunt ca acestea. Logica este mai încâlcită. Documentația este adesea incompletă. Proprietatea poate fi distribuită între echipe. Ceea ce pare neobișnuit poate fi perfect intenționat și ceea ce pare rutină poate dovedi a fi o sursă reală de expunere.

Acesta este locul în care se află dificultatea. Uneltele nu sunt doar solicitate să identifice o vulnerabilitate sau o configurație greșită. Sunt solicitate să înțeleagă ce înseamnă acea problemă în contextul unui proces de afaceri, al unei dependențe personalizate sau al unei structuri de control care poate să nu existe nicăieri altundeva.

Și aceasta este o problemă mult mai grea decât ceea ce marketingul obișnuiește să sugereze. Inteligența artificială poate să ajute la identificarea modelelor, să reducă o parte din analiza manuală și să direcționeze oamenii spre zone care merită o examinare mai atentă, și are o valoare reală. Dar dacă patrimoniul este doar parțial documentat, modelat de ani de excepții și puternic legat de modul în care funcționează compania, există o limită a cât de precis poate interpreta o sistem automat.

Prin urmare, cred că problema reală nu este dacă inteligența artificială poate vedea ceva. Este dacă poate înțelege suficient din contextul înconjurător pentru a judeca corect. În mediile ERP puternic personalizate, aceasta este încă zona în care expertiza umană face diferența.

Una dintre argumentele dvs. cheie este că expertiza umană nu este un blocaj care trebuie eliminat, ci o parte esențială a procesului de securitate. Puteți să împărtășiți exemple în care judecata umană a identificat riscuri pe care un motor de prioritizare bazat pe inteligență artificială l-ar fi probabil ratat?

Da, absolut. Și pentru mine, acesta este locul în care limitele prioritizării automate devin foarte evidente.

Anumite riscuri au sens doar atunci când cunoașteți mediul suficient de bine pentru a înțelege ce se află în spatele datelor. Un sistem poate să nu pară deosebit de important din exterior. Scorul de vulnerabilitate poate fi neobișnuit. Dar cineva care cunoaște patrimoniul poate ști că susține salarizarea, raportarea de sfârșit de trimestru, o integrare fragilă sau un proces de afaceri pe care compania pur și simplu nu îl poate întrerupe. Semnalul din date poate părea obișnuit. Consecința din lumea reală nu este.

Am văzut cazuri în care imaginea controlului pare mai bună în teorie decât în practică. Un motor de inteligență artificială ar putea presupune că un risc este redus pentru că segmentarea este în loc, sau pentru că accesul este restricționat, sau pentru că există un control de monitorizare. Dar o persoană familiarizată cu mediul poate ști că un control este aplicat inconstant, altul este ocolit atunci când operațiunile sunt sub presiune și al treilea a încetat să fie fiabil. Acest fel de gol nu apare întotdeauna în mod clar în sistemul de evidență.

Lucrurile acestea se întâmplă și în mediile personalizate. Un script, un flux de lucru sau un model de permisiuni poate părea rutinier atunci când se scanează modele la scară. Pentru cineva care înțelege cum a fost adaptat acel sistem de-a lungul timpului, același detaliu poate să iasă imediat în evidență ca o sursă reală de expunere.

Și cronologia contează, de asemenea. O vulnerabilitate poate părea administrabilă în izolare, apoi să devină mult mai gravă pentru că afacerea se află în mijlocul unei migrări, al unei achiziții, al unui termen limită de reglementare sau al unui vârf de operare. Acest fel de schimbare nu este întotdeauna ușor de interpretat de un motor automat.

Prin urmare, atunci când vorbesc despre expertiză umană, nu vorbesc despre instinct într-un sens vag. Vorbesc despre cunoașterea locală. Memorie. Judecată. Capacitatea de a vedea când o mică problemă tehnică este legată de ceva mult mai important.

Acesta este motivul pentru care nu văd expertiza umană ca pe un blocaj care trebuie eliminat. O văd ca pe partea care prevenăște încrederea falsă. Inteligența artificială poate să ajute la sortare și îngustare a datelor. Dar riscurile care contează cel mai mult sunt adesea cele care devin evidente doar atunci când cineva înțelege cum funcționează cu adevărat afacerea.

Pe măsură ce organizațiile se grăbesc să adopte inteligența artificială în operațiunile de securitate, care sunt cele mai mari riscuri ale supra-automatizării managementului vulnerabilităților și evaluării expunerii?

Cel mai mare risc pe care îl văd este că creați aparența controlului fără realitatea de a înțelege că sunteți cu adevărat în control.

Managementul vulnerabilităților este una dintre acele zone în care automatizarea este evident valoroasă. La scară enterprise, aveți nevoie de automatizare pentru a găsi probleme, a corela date, a prioritiza la volum și a menține întregul proces în mișcare. Nicio organizație serioasă nu poate gestiona asta manual.

Dar pericolul vine atunci când automatizarea începe să conducă programul fără suficientă provocare umană în jurul lui.

Primul risc evident este prioritizarea falsă. Dacă vă bazați prea mult pe scorurile automate, puteți ajunge să tratați gravitatea tehnică ca și cum ar fi același lucru cu riscul de afaceri. Nu este. O vulnerabilitate critică pe un sistem izolat sau cu controlori compensatori poate conta mai puțin în practică decât o problemă cu un scor mai mic care se află pe un sistem foarte expus legat de un proces de afaceri critic.

Al doilea risc pe care îl văd este pierderea contextului. Programele automate sunt la fel de bune pe cât sunt datele despre active, datele despre proprietate, hărțile de dependență și gestionarea excepțiilor din spatele lor. Dacă informația aceasta este incompletă, și în majoritatea întreprinderilor unele dintre acestea sunt de obicei incomplete, atunci automatizarea poate deveni foarte eficientă în a muta decizii defecte prin sistem.

Al treilea risc este comportamental. Odată ce oamenii încep să aibă încredere prea mult în fluxul de lucru, încetează să îl chestioneze ieșirile. Echipele presupun că ceea ce ajunge în vârful listei trebuie să fie ceea ce contează cel mai mult și ceea ce nu ajunge în vârful listei poate aștepta. Acest lucru este înțeles, dar cred că este periculos. Deoarece schimbă cultura de la gestionarea riscului informat la acceptarea pasivă a ordonării conduse de mașini.

Și apoi există un risc strategic mai larg, care este că organizațiile încep să confunde productivitatea cu îmbunătățirea securității. Închiderea unui volum mare de vulnerabilități arată bine din punct de vedere operațional. Creează tablouri de bord, metrici și un sentiment de impuls. Dar dacă nu reduceți expunerile care contează cel mai mult pentru afacere, puteți să deveniți mai rapizi la a arăta aglomerație.

Prin urmare, punctul meu de vedere este că automatizarea ar trebui să facă munca grea. Dar ar trebui să susțină judecata, nu să o înlocuiască. Altfel, ajungeți la un proces care este eficient, măsurabil și scalabil, dar nu neapărat mai sigur.

Ați lucrat pe scară largă în transformarea IT și arhitectura enterprise. Cum ar trebui să echilibreze directorii de securitate cibernetică nevoia de a corecta vulnerabilitățile rapid față de riscurile operaționale de a perturba sistemele de afaceri critice?

Întrebare excelentă, deoarece acesta este unul dintre acele domenii în care răspunsul ușor este de obicei greșit.

Desigur, doriți să corectați rapid. Niciun director de securitate cibernetică nu va argumenta pentru a sta pe vulnerabilități cunoscute mai mult timp decât este necesar. Dar într-o organizație reală, mai ales una care rulează sisteme critice, viteza singură nu este obiectivul. Dacă corectați prost și luați jos ceva de care afacerea depinde, ați rezolvat o problemă creând alta.

Prin urmare, echilibrul este cu adevărat despre înțelegerea riscurilor care sunt active, care sunt teoretice și care sisteme pot tolera schimbarea fără a provoca probleme în altă parte.

Anumite vulnerabilități necesită într-adevăr acțiune urgentă. Dacă ceva este expus, exploatabil și se află într-o parte a patrimoniului care contează, atunci acționați. Dar multe ori, decizia este mai puțin absolută decât oamenii o fac să pară. Puteți avea alți controlori în jurul problemei. Sistemul afectat poate fi strâns conținut. Riscul operațional de a face schimbarea astăzi poate fi mai mare decât a o ține pe poziție pentru o perioadă scurtă și a o face corect.

Acesta este motivul pentru care cei mai buni directori de securitate cibernetică tind să fie cei care pot avea o conversație adultă cu afacerea. Nu doar “Acesta este critic, corectați-l acum”, ci “Iată expunerea, iată ce s-ar putea întâmpla, iată ce ar putea merge prost dacă intervenim prost și iată cea mai sigură cale prin aceasta”. Acesta este un formă mai credibilă de conducere decât tratarea fiecărei vulnerabilități ca și cum ar exista în izolare.

Cred, de asemenea, că aceste momente expun ceva mai profund despre patrimoniul însuși. Dacă o organizație este constant temătoare să corecteze sistemele de bază pentru că orice schimbare se simte periculoasă, aceasta ne spune de obicei că mediul a devenit fragil. Prea multă dependență ascunsă, nu suficientă încredere în testare, prea puțină reziliență în arhitectură. În acea situație, dezbaterea despre corectarea vulnerabilităților este de fapt un simptom al unei probleme mult mai vechi.

Da, corectați rapid acolo unde riscul este real și calea este clară. Dar acolo unde mediul este sensibil, sarcina este de a reduce riscul fără a crea o agitație mai mare. Acesta este echilibrul.

Și, pentru a fi sincer, majoritatea directorilor de securitate cibernetică experimentați știu deja acest lucru. Provocarea este aplicarea deciziei sub presiune, atunci când ceasul ticăie și nimeni nu vrea să dețină consecințele greșelii.

Abordarea Spinnaker combină analiza condusă de inteligență artificială cu validarea expertului. Care sunt sarcinile specifice pe care ar trebui să le gestioneze inteligența artificială, și care decizii ar trebui să rămână ferm în mâinile experților de securitate experimentați?

Cred că linia de demarcație este de fapt destul de simplă.

Inteligența artificială ar trebui să facă munca care beneficiază de viteză, scară și consistență. Trecerea prin cantități mari de date, identificarea modelelor, semnalizarea a ceea ce pare în afara ordinii, ajutarea oamenilor să îngusteze câmpul, acesta este exact genul de muncă pentru care mașinile sunt utile. Salvează timp, reduce efortul manual și oferă echipelor de securitate un punct de plecare mai bun.

Este, de asemenea, potrivit pentru părțile repetitive ale jobului. Primul strat de triaj. Rezumarea constatărilor. Conectarea problemelor similare. Urmărirea excepțiilor repetitive. Atrăgerea atenției asupra tipurilor de slăbiciune a controlului care continuă să apară. Niciunul dintre acestea nu înlocuiește expertiza, dar face o utilizare mai bună a acesteia.

Unde aș fi mult mai atent este atunci când trecem de la analiză la luarea deciziilor.

Apelurile importante ar trebui să rămână încă în mâinile experților de securitate experimentați. Este aceasta cu adevărat un risc grav în această afacere sau doar pare grav în abstract? Este aceasta o adevărată eșuare a controlului sau este o excepție murdară, dar înțeleasă? Dacă corectăm asta acum, ce altceva am putea perturba? Dacă așteptăm, ce acceptăm cu adevărat? Acestea sunt apeluri de judecată.

Și aceasta este înainte de a ajunge la partea mai umană a lucrurilor. De ce se întâmplă asta? Este organizația conștientă de a purta acest risc sau a încetat pur și simplu să observe? Este aceasta o problemă izolată sau un semn al unui lucru cultural de dedesubt? Acest fel de interpretare încă contează mult.

Prin urmare, aș lăsa inteligența artificială să facă sortarea, clusteringul, prima trecere, munca grea. Dar nu aș lăsa să decidă ce ar trebui să conteze cel mai mult pentru afacere sau ce acțiune ar trebui să fie luată fără revizuirea umană.

Pentru că odată ce o decizie are consecințe, fie operațional, financiar sau reputațional, nu mai sunteți doar procesând informații. Luați o decizie.

Și în securitate, cred că aceasta ar trebui să fie o persoană cu inteligență reală.

Mulți furnizori de securitate încă se concentrează puternic pe numărul de vulnerabilități și scorurile de gravitate. De ce credeți că managementul real al expunerii necesită o perspectivă mai largă care include controlori compensatori, restricții de acces, arhitectura sistemului și contextul de afaceri?

Este necesară o perspectivă mai largă pentru că un număr singur nu spune multe despre cât de mult sunteți într-adevăr în pericol.

Scorurile de gravitate au locul lor. Numărul de vulnerabilități are locul lui. Ajută la dimensionarea problemei. Ajută la organizarea listei de așteptare. Dar nu sunt același lucru cu înțelegerea expunerii, și cred că acesta este locul în care multe organizații încă greșesc.

O vulnerabilitate poate părea gravă în teorie și totuși fi relativ bine conținută în practică. Dacă accesul la sistem este strict limitat, dacă există alți controlori compensatori în jurul lui, dacă se află într-o parte a mediului care este greu de atins prin restricții de acces, atunci probabilitatea reală ca acea problemă să cauzeze daune poate fi foarte diferită de ceea ce sugerează scorul brut.

Și apoi există cazul opus, care este adesea mai interesant. Ceva mai jos pe listă poate dovedi a fi mult mai important pentru că se află într-un loc critic. Atinge un serviciu critic. Este mai ușor de accesat. Se află într-o parte a arhitecturii sistemului în care o singură compromisare vă oferă spațiu de manevră. Acesta este genul de lucru pe care o simplă clasificare a gravității nu îl explică bine.

Prin urmare, atunci când oamenii vorbesc despre managementul expunerii, pentru mine, acesta trebuie să însemne mai mult decât doar sortarea vulnerabilităților după scor și lucrul în josul listei.

Aveți nevoie de a ști ce se află în jurul problemei. Care sunt controlorii care sunt deja acolo. Cine are acces la ce. Dacă sistemul este izolat sau conectat la ceva mai important. Și dacă este exploatat, ce se întâmplă cu adevărat mai târziu.

Altfel, ajungeți la gestionarea imaginii riscului, nu a riscului în sine. Tabloul de bord se îmbunătățește. Numărul de bilete se mișcă. Raportarea arată mai bine. Dar nu sunteți neapărat mai siguri.

Cred că partea din motivul pentru care se întâmplă acest lucru este că numerele sunt confortabile. Par obiective. Ofereți oamenilor ceva ordonat de prezentat. Creează senzația că problema a fost redusă la ceva măsurabil și sub control. Dar expunerea reală este de obicei mult mai murdară decât atât.

Se află în suprapunerea dintre slăbiciune, controlorii din jurul ei, arhitectura în care trăiește și consecința asupra afacerii dacă ceva merge prost.

Da, folosiți scorurile. Folosiți numărul. Desigur. Dar nu confundați-le cu înțelegerea.

Dacă doriți să știți unde se află expunerea reală, cred că trebuie să priviți întregul mediu, nu doar un număr atașat lui.

Mediile software enterprise intră într-o perioadă de schimbare semnificativă, pe măsură ce organizațiile modernizează sistemele legacy și adoptă în același timp tehnologii de inteligență artificială. Privind înainte în următorii trei până la cinci ani, cum vedeți relația dintre inteligența artificială, securitatea cibernetică și platformele enterprise evoluând, și ce ar trebui să se pregătească liderii tehnici astăzi?

Cred că următorii trei până la cinci ani vor fi destul de definitori.

În principal pentru că companiile încearcă să modernizeze vechile patrimonii enterprise în același timp cu adoptarea inteligenței artificiale, și niciuna dintre acestea nu este ușoară de sine stătătoare. A face ambele împreună ridică miza.

Ceea ce se schimbă mai întâi, cred, este că inteligența artificială încetează să fie un experiment lateral și începe să devină parte a modului în care afacerea funcționează cu adevărat. Se arată în fluxurile de lucru, suport, dezvoltare, operațiuni de securitate și administrare de platforme, nu ca o noutate, ci ca parte a conductelor de apă.

Și odată ce se întâmplă acest lucru, conversația despre securitate devine mai serioasă. Nu mai întrebați dacă uneltele sunt utile. Întrebați ce pot atinge, ce pot influența, ce date se hrănesc cu ele și ce consecințe au atunci când greșesc.

Cred, de asemenea, că vom vedea securitatea și arhitectura devenind și mai greu de separat. În multe medii mai vechi, ceea ce pare a fi o problemă de securitate este adesea, de fapt, o problemă de arhitectură care poartă un badge de securitate. Proiectare slabă de identitate, prea multă dependență, proprietate neclară, integrări fragile, vizibilitate slabă, acestea sunt lucrurile care tind să se afle sub problema vizibilă. Inteligența artificială nu va netezi această problemă. Dacă ceva, poate expune haosul mai repede.

Prin urmare, organizațiile care gestionează acest lucru bine, cred, vor fi cele care încetează să trateze adoptarea inteligenței artificiale, securitatea cibernetică și modernizarea platformei ca trei fluxuri de lucru separate. Sunt conversații din ce în ce mai strâns legate.

Dacă aș sfătui liderii tehnici astăzi, aș începe cu vizibilitatea. Aveți nevoie de o înțelegere mult mai clară a ceea ce aveți, cum se conectează, cine are acces la ce, unde se mișcă datele sensibile și unde se află punctele de control reale. Fără asta, adăugarea inteligenței artificiale pe partea de sus nu face decât să crească numărul lucrurilor pe care nu le înțelegeți pe deplin.

Următoarea este guvernanța, dar nu guvernanța de spectacol. Decizii reale. Unde poate fi utilizată inteligența artificială? Unde trebuie să rămână revizia umană în loc? Cum sunt verificate ieșirile? Care sunt datele interzise? Cine deține consecințele dacă sistemul conduce acțiunea greșită? Aceste întrebări trebuie răspuns acum, nu mai târziu.

Și, sincer, simplificarea contează mai mult decât mulți oameni vor să admită. Cu cât este mai încâlcit patrimoniul, cu atât este mai greu de securizat, cu atât este mai greu de modernizat și cu atât este mai greu de utilizat inteligența artificială fără a crea incertitudine proaspătă.

Și apoi există partea oamenilor. Organizațiile mai bune vor fi cele care știu cum să combine automatizarea cu judecata. Nu vor consuma doar ieșirile inteligenței artificiale pentru că sunt rapide sau lustruite. Le vor contesta. Le vor testa. Se vor împotrivi atunci când este necesar.

Prin urmare, da, peste următorii câțiva ani, cred că inteligența artificială, securitatea cibernetică și platformele enterprise vor deveni mult mai strâns legate.

Și cred că liderii care se pregătesc bine vor fi cei care înțeleg că acesta nu este doar un schimb tehnologic. Este o schimbare a modului în care se iau deciziile, a modului în care se exercită controlul și a modului în care organizația este cu adevărat rezilientă.

Mulțumim pentru acest interviu minunat, cititorii care doresc să afle mai multe ar trebui să viziteze Spinnaker Support.