Mark Nicholson, liderul US Cyber Modernization de la Deloitte – Seria de interviuri: O conversație de revenire

Mark Nicholson, liderul US Cyber Modernization de la Deloitte, este un director al Deloitte cu peste două decenii de experiență la intersecția dintre securitatea cibernetică, inteligența artificială și riscul la nivel de întreprindere. El conduce inițiativele de securitate cibernetică AI și strategia comercială pentru practica de securitate cibernetică a Deloitte, ajutând organizațiile mari să modernizeze cadrul de securitate și să alinieze investițiile în securitate cu evoluția peisajului de risc. Înainte de a se alătura Deloitte, el a co-fondat și a ocupat funcția de director operativ al Vigilant, Inc., o firmă de consultanță în securitatea informației axată pe intelligence-ul amenințărilor și monitorizarea evenimentelor maligne. Cariera sa anterioară în vânzări și dezvoltare de afaceri în mai multe companii tehnologice i-a oferit o bază solidă în ambele aspecte tehnice și comerciale ale securității cibernetice.

Deloitte este una dintre cele mai mari firme de servicii profesionale din lume, oferind servicii de audit, consultanță, taxe și consultanță pentru organizații din aproape toate industriile. Practica sa de securitate cibernetică se axează pe ajutarea întreprinderilor să navigheze în medii de amenințare din ce în ce mai complexe, permițând transformarea digitală prin tehnologii precum inteligența artificială. Compania oferă servicii care cuprind strategia de securitate cibernetică, reziliență, gestionarea riscului și securitatea la nivel de întreprindere, poziționând securitatea cibernetică atât ca o funcție de protecție, cât și ca un factor strategic de inovare și creștere.

Acest articol urmează unui interviu anterior publicat în 2025.

Ați fost implicat în securitatea cibernetică de la începuturile monitorizării amenințărilor moderne, inclusiv co-fondarea Vigilant și aducerea laolaltă a capabilităților de securitate a informației și evenimentelor (SIEM) și a inteligenței amenințărilor pe piață. Cum a schimbat evoluția de la aceste sisteme de monitorizare timpurie la platformele actuale de apărare cibernetică bazate pe inteligență artificială modul în care organizațiile detectează și răspund la amenințări?

Când am început să construim platforme de monitorizare în primele zile ale SIEM, provocarea de bază a fost să aducem datele într-un singur loc și să le dăm sens. Îmi amintesc când analiștii imprimeau jurnalele de firewall în fiecare dimineață și le revizuirau manual pentru a găsi anomalii. Chiar și pe măsură ce SIEM a maturizat, a existat o problemă de scară. Viteza umană nu a fost niciodată la fel de rapidă ca numărul imens de evenimente detectate. În ciuda utilizării automatizării, apărătorii cibernetici au avut întotdeauna o problemă de corelare a datelor și de analiză, luptând constant pentru a crea reguli noi, adesea în urma eșecurilor de monitorizare.

Una dintre speranțe este că inteligența artificială va schimba această dinamică într-un mod fundamental. Dincolo de implementarea capacităților agenților pentru a automatiza operațiunile de securitate de nivel 1, inteligența artificială promite să ajute la mutarea detectării și răspunsului de la “după fapt” la “în timp ce se întâmplă” prin ajustarea dinamică a algoritmilor de monitorizare. În unele cazuri, organizațiile cibernetice vor deveni confortabile să lase inteligența artificială să inițieze acțiuni de remediere.

Dar partea grea nu dispare, ci se schimbă. Pe măsură ce sistemele devin mai autonome și complexe, încrederea și observabilitatea devin un câmp de luptă: Ce face sistemul, de ce face asta și cum știm că nu a fost manipulat? Oportunitatea cu inteligența artificială este enormă, dar ridică și șansele atunci când mediul funcționează la viteza mașinii.

Ați remarcat că inteligența artificială permite adversarilor să automatizeze recunoașterea, să genereze exploatarea și să accelereze ciclurile de atac. În termeni practici, cât de mult a comprimat inteligența artificială timpul dintre descoperirea vulnerabilității și exploatarea acesteia?

În mod istoric, a existat adesea o fereastră între descoperirea vulnerabilității și exploatarea acesteia. A existat cu siguranță o urgență, dar, în general, cu excepția cazului în care ați fost loviți de o zi zero, a existat timp pentru a înțelege amenințarea, a păta și a mitiga înainte ca un atacator să poată implementa exploatări la scară. Inteligența artificială a eliminat practic această fereastră.

Adversarii pot automatiza recunoașterea, scana pentru expunere și utiliza instrumente activate de inteligență artificială pentru a accelera părți ale dezvoltării exploatării și țintirii. În multe cazuri, ceea ce se desfășura pe parcursul săptămânilor poate fi acum comprimat în ore, iar în scenarii foarte automatizate, poate fi mai rapid decât majoritatea programelor de securitate sunt proiectate să gestioneze.

Concluzia este simplă: Echipele de securitate au nevoie de automatizare și inteligență artificială pe partea apărării, împreună cu controale puternice, dacă doresc să țină pasul.

Echipele de securitate trec din ce în ce mai mult de la modelele “omul în buclă” la modelele de supraveghere “omul pe buclă”. Cum arată această schimbare din punct de vedere operațional în cadrul unui centru modern de operațiuni de securitate (SOC) și cum ar trebui organizațiile să reconsidere rolurile analiștilor pe măsură ce inteligența artificială preia sarcini mai autonome?

Într-un SOC tradițional, analiștii stau în centrul fiecărui punct de decizie. Alertele vin, analiștii le triază, le investighează și decid ce acțiuni ar trebui luate. Abordarea aceasta a funcționat atunci când volumul de alerte și viteza atacurilor erau gestionabile. Dar în mediul de astăzi, scala activității este pur și simplu prea mare pentru ca oamenii să acționeze ca o poartă pentru fiecare decizie.

Schimbarea către “omul pe buclă” înseamnă că sistemele de inteligență artificială pot efectua multe dintre sarcinile rutiniere pe care analiștii le-au gestionat anterior, cum ar fi trierea alertelor, colectarea contextului, corelarea datelor și executarea anumitor acțiuni de remediere. Rolul uman devine unul de supraveghere și validare, mai degrabă decât de execuție manuală.

Operațional, această schimbare mută timpul analiștilor de la “măcinarea alertelor” către munca de valoare mai mare, cum ar fi vânătoarea de amenințări, ingineria detectării, simularea adversarului și îmbunătățirea arhitecturii defensive. Oamenii rămân esențiali, dar rolul lor evoluează către supraveghere, judecată și strategie, mai degrabă decât acționarea ca principal procesor de date de securitate.

Suntem martorii unei discuții despre “Securitatea inteligenței artificiale prin design”. Din perspectiva dvs., de ce trebuie acest concept să se extindă dincolo de siguranța modelului în sistemele de identitate, arhitectura permisiunilor și straturile de orchestrare?

Majoritatea discuțiilor despre securitatea inteligenței artificiale se axează puternic pe modelul în sine, cum ar fi protejarea datelor de antrenament, prevenirea otrăvirii modelului sau apărarea împotriva atacurilor de injecție de prompt. Acestea sunt probleme reale, dar reprezintă doar o parte a riscului.

În practică, sistemele de inteligență artificială funcționează ca parte a unor ecosisteme digitale mult mai mari. Ele accesează date, interacționează cu API-uri, declanșează fluxuri de lucru și, din ce în ce mai mult, funcționează prin agenți care pot acționa cu un anumit grad de autonomie.

Când se întâmplă acest lucru, identitatea și permisiunile devin planul de control. Agenții de inteligență artificială sunt, în esență, noi identități digitale în cadrul întreprinderii. Dacă aceste identități nu sunt guvernate corespunzător, pot introduce riscuri semnificative.

Prin urmare, securitatea inteligenței artificiale prin design trebuie să se extindă în guvernanța identității, controalele de acces, straturile de orchestrare și sistemele de monitorizare care urmăresc ceea ce fac acești agenți. Organizațiile trebuie să trateze agenții de inteligență artificială în mod similar cu utilizatorii umani, cu permisiuni definite, audit și supraveghere, altfel suprafața de atac se extinde rapid.

Majoritatea întreprinderilor suprapun instrumente de inteligență artificială peste fluxuri de lucru de securitate legacy care au fost proiectate pentru viteza umană. Care sunt cele mai importante schimbări arhitecturale pe care organizațiile trebuie să le facă pentru a profita cu adevărat de inteligența artificială în apărarea cibernetică?

Un model comun este să atașeze inteligența artificială la procese și fluxuri de lucru legacy care au fost proiectate pentru operațiuni conduse de oameni. Nu este o abordare rea, mai ales acum, când viziunea computerizată a devenit o realitate. De exemplu, Deloitte a creat un agent care poate fi antrenat pentru a înlocui omul în procesul de guvernanță a identității și administrare fără a arunca soluții software existente care ar fi dificil de înlocuit. Acest lucru poate conduce la economii semnificative de costuri.

Beneficiul din viitor este că întreprinderile vor reevalua probabil fluxurile de lucru de securitate de la capăt: vor moderniza fundația de date astfel încât uneltele de securitate să poată accesa în mod fiabil date de înaltă calitate, bine structurate; vor construi orchestrarea astfel încât funcțiile de detectare, răspuns și identitate să funcționeze ca un sistem coordonat, nu ca unelte desconectate.

Identitatea rămâne una dintre controalele cele mai critice. Pe măsură ce se introduc mai multă automatizare și agenți de inteligență artificială, numărul de identități non-umane crește semnificativ. Gestionarea eficientă a acestor identități devine esențială pentru menținerea controlului.

Securitatea nativă de inteligență artificială este, în cele din urmă, o combinație de date mai bune, o orchestrare și o guvernanță mai bună care ține cont atât de actorii umani, cât și de cei mașini.

Pe măsură ce sistemele de inteligență artificială devin mai autonome, suprafața de atac se extinde în zone precum orchestrarea agenților, lanțurile de API și fluxurile de decizie automate. Care dintre aceste suprafețe emergente vă preocupă cel mai mult?

Dacă aș trebui să aleg o zonă care merită atenție imediată, aceea ar fi identitatea și permisiunile de acces la date în cadrul sistemelor conduse de agenți.

Pe măsură ce organizațiile introduc mai mulți agenți de inteligență artificială, ele creează o populație în creștere de actori autonomi care funcționează în cadrul întreprinderii. Acești agenți pot avea acces la date, API-uri și fluxuri de lucru care sunt incredibil de puternice și care îi fac o cale atractivă pentru un atacator, dacă permisiunile nu sunt proiectate, monitorizate și auditate cu strictețe. Este important să tratați fiecare agent ca pe un nou angajat: numiți-l, delimitați-l, monitorizați-l și permiteți-i să fie deconectat rapid, dacă este necesar.

Lanțurile de API și fluxurile de decizie automate introduc, de asemenea, riscuri, dar guvernanța identității este adesea controlul fundamental. Dacă nu puteți răspunde clar la întrebarea “cine este agentul, ce poate atinge și ce a făcut”, nu controlați cu adevărat agentul.

Din perspectiva sălii de consiliu, cum gândesc directorii și directorii executivi despre riscul cibernetic condus de inteligență artificială și unde vedeți cea mai mare lacună între realitatea tehnică și înțelegerea la nivel de consiliu?

Consiliile de administrație sunt din ce în ce mai conștiente că, deși inteligența artificială aduce oportunități uriașe, poate aduce și riscuri semnificative. Majoritatea directorilor înțeleg că inteligența artificială va modela transformarea afacerilor și încep să pună întrebări despre guvernanță, securitate și reziliență.

Lacuna apare adesea în viteza și complexitatea problemelor. Multe discuții ale consiliului de administrație se bazează încă pe cadre de securitate cibernetică tradiționale – care rămân importante – dar nu reflectă întotdeauna cât de rapid pot evolua și scala amenințările conduse de inteligență artificială.

Altă disconectare este că “Este securizată inteligența noastră artificială?” sună ca o singură întrebare, dar răspunsul se află în guvernanța datelor, integritatea modelului, gestionarea identității și orchestrarea pe multiple sisteme. Consiliile care închid lacuna sunt cele care împing pentru raportarea bazată pe controale care fac aceste părți mobile vizibile și testabile și care investesc timp pentru a construi fluența directorilor, astfel încât supravegherea să țină pasul cu tehnologia.

Inteligența artificială este din ce în ce mai mult utilizată pe ambele părți ale câmpului de luptă. Intrăm într-o cursă permanentă de securitate cibernetică inteligență artificială versus inteligență artificială, și, dacă da, care sunt avantajele pe care le au apărătorii și care pot fi greu de replicat de atacatori?

Suntem clar într-o eră în care inteligența artificială este utilizată atât de atacatori, cât și de apărători. Adversarii aplică deja inteligența artificială pentru a accelera recunoașterea, a identifica vulnerabilități și a automatiza părți ale ciclului de atac. Dar apărătorii au încă avantaje reale, dacă aleg să le utilizeze.

Apărătorii au vizibilitate în propriul mediu, acces la telemetrie internă și capacitatea de a construi arhitecturi stratificate pe care atacatorii trebuie să le navigheze. Inteligența artificială poate ajuta apărătorii să analizeze volume uriașe de date de-a lungul rețelelor, punctelor de capăt și identităților, oferindu-le potențialul de a detecta comportamentul anormal mult mai devreme.

Prinsul este că adoptarea este cheia. Dacă apărătorii rămân blocați în fluxuri de lucru manuale, în timp ce atacatorii se automatează, asimetria devine brutală. Cursa armelor este reală, iar câștigătorii vor fi cei care implementează inteligența artificială cu o guvernanță puternică, nu cei care doar o testează.

În munca dvs. de a consilia mari întreprinderi, care sunt cele mai comune greșeli pe care le fac organizațiile atunci când încearcă să integreze inteligența artificială în strategia lor de securitate cibernetică?

Una dintre cele mai comune greșeli pe care le observăm este tratarea inteligenței artificiale ca o unealtă de sine stătătoare, în loc de o schimbare arhitecturală. Echipele rulează experimente izolate fără a îmbunătăți fundația de date, modelul de guvernanță sau procesele operaționale necesare pentru a susține impactul, ceea ce duce la un platou în rezultate.

O altă greșeală este implementarea capacităților de inteligență artificială fără a lua în considerare pe deplin noile riscuri: noi identități, noi fluxuri de date și fluxuri de decizie automate care extind suprafața de atac. Dacă acestea sunt atașate fără controalele corespunzătoare, inteligența artificială poate adăuga fragilitate în loc de reziliență.

În cele din urmă, multe organizații subestimează importanța implicării forței de muncă. Practicienii care rulează operațiunile de securitate în fiecare zi știu unde se află fricțiunea și ce înseamnă “bun”. Cele mai puternice transformări aduc aceste echipe din timp, astfel încât tehnologia să amplifice judecata lor, mai degrabă decât să o perturbe.

Privind înainte trei până la cinci ani, cum arată centrul de operațiuni de securitate nativ de inteligență artificială în comparație cu mediile SOC de astăzi?

Probabil că va arăta foarte diferit, în multe moduri pe care nu le pot prezice. În toate probabilitățile, centrul de operațiuni de securitate al viitorului va funcționa ca o forță de muncă hibridă, umană și digitală. Sistemele de inteligență artificială vor gestiona majoritatea procesării datelor, corelării și răspunsului inițial. Sistemele agenților vor ajuta la automatizarea fluxurilor de lucru de gestionare a vulnerabilităților, guvernanța identității, răspunsul la incidente și monitorizarea continuă a controlului.

Analiștii umani rămân esențiali, dar centrul de greutate se schimbă: supravegherea sistemelor de inteligență artificială, validarea cazurilor de detectare (mai degrabă decât scrierea lor), investigarea amenințărilor complexe și îmbunătățirea arhitecturii defensive. Scopul nu este să înlăturăm oamenii, ci să ridicăm rolurile lor. În loc de a petrece timp triind alerte și asamblând manual date, analiștii se vor concentra pe aspectele strategice ale securității cibernetice. Întrebarea va fi: “Cum vom antrena următoarea generație de profesioniști în securitate atunci când nivelul 1 și nivelul 2 sunt complet automatizate?” Poate răspunsul se află în îmbunătățirea semnificativă a tehnologiei de simulare și formare pe care inteligența artificială ne-o poate ajuta să o dezvoltăm.

Organizațiile care vor construi cu succes o forță de muncă hibridă, combinând expertiza umană cu automatizarea condusă de inteligență artificială, vor fi probabil cele mai bine poziționate pentru a opera la viteza necesară în mediul de amenințare modern.

Mulțumim pentru acest interviu minunat; cititorii care doresc să afle mai multe pot vizita Deloitte sau pot citi interviul nostru anterior.