Джек Черкас, глобальный директор по информационной безопасности в Syntax – Интервью

Джек Черкас, глобальный директор по информационной безопасности в Syntax, является исполнительным директором в области кибербезопасности с глубоким опытом в области облачной безопасности, киберустойчивости, корпоративной архитектуры и безопасности ИИ. Он занимал руководящие должности в Syntax, PwC UK, Kyndryl и IBM, где помогал создавать и масштабировать операции по безопасности, руководил работой по реагированию на крупные инциденты и разрабатывал стратегии киберустойчивости для крупных корпоративных сред. В Syntax он руководит глобальной кибербезопасностью во всей компании, включая людей, системы, центры данных, управляемые облачные услуги и предложения по безопасности для клиентов, руководя командой из более чем 65 специалистов по безопасности в восьми странах.

Syntax – это глобальный поставщик услуг в области ИТ и управляемого облака, специализирующийся на критически важных корпоративных приложениях, особенно в средах SAP и Oracle. Компания поддерживает организации в области миграции в облако, управляемого хостинга, кибербезопасности, управления корпоративными приложениями и операциями с помощью ИИ на гибридной и многооблачной инфраструктуре. Ее работа направлена на помощь предприятиям в модернизации, обеспечении безопасности и эксплуатации сложных бизнес-систем в крупном масштабе.

Вы возглавляли инициативы по кибербезопасности в IBM, Kyndryl, PwC и теперь в Syntax. Как изменилось ваше представление о защите новых технологий, таких как ИИ, особенно когда организации переходят от экспериментов к производству?

Моя карьера прошла через ряд нарушений, каждый из которых требовал от безопасности догнать новую поверхность управления. В IBM в начале эпохи облака вопросом было, можем ли мы доверять инфраструктуре кого-то другого для запуска критически важных рабочих нагрузок. Ответом стала модель совместной ответственности и поколение облачных контролей.

Затем наступила эпоха программ-вымогателей. NotPetya в 2017 году вывела из строя компании за несколько часов, и отрасль поняла, что червеподобное вредоносное ПО может вывести из строя глобальные цепочки поставок за одну ночь. Ответом стало подготовка к тому, что (а не если) произойдет кибератака, сегментация сети, неизменяемые резервные копии и серьезный толчок в области идентификации.

На протяжении всего моего времени в Kyndryl и PwC SaaS перешла от периферии к центру каждой собственности. Рабочие нагрузки переместились из центров данных на чужой стек, идентификация стала периметром, а Zero Trust перестала быть диаграммой и начала быть рабочей моделью.

Теперь в Syntax мы находимся в волне GenAI, где система сама рассуждает, генерирует и действует. Каждая волна дала нам новую поверхность управления, недостаточное предупреждение и более короткое окно между экспериментом и производством. Облако заняло годы. SaaS заняла кварталы. GenAI занимает недели. CISO, которые поспевают, – это те, кто перестал рассматривать каждую волну как исключение и начал рассматривать быструю адоптацию как стабильное состояние.

Когда организации ускоряют внедрение ИИ, как вы оцениваете риск того, что доверие, а не только соблюдение требований, компрометируется? Каковы самые ранние индикаторы того, что это начинает происходить?

Доверие является основой любой хорошей адоптации ИИ. Самые ранние индикаторы не находятся в аудиторском отчете, они находятся в операционных сигналах. Теневые развертывания ИИ, которыми никто не владеет. Закупки, одобряющие поставщиков GenAI без проверки безопасности. Происхождение данных, которое ломается в тот момент, когда вы спрашиваете, откуда взялись обучающие данные. Агенты ИИ, которым предоставлены права администратора, потому что никто не хотел замедлить проект. Когда вы видите эти четыре сигнала в одной организации, доверие уже тратится быстрее, чем оно зарабатывается. Руководство обычно является последним, кто узнает.

Многие компании принимают ИИ быстрее, чем могут обеспечить его безопасность. Какие наиболее распространенные реальные риски вы видите сегодня, когда управление отстает от инноваций?

Когда управление отстает, три вещи происходят, и ни одна из них не появляется как инцидент безопасности до гораздо позже. Во-первых, регуляторная экспозиция накапливается тихо: развертывание ИИ, которое нарушает требования к прозрачности Закона ИИ ЕС, не запускает сигнал тревоги; оно появляется в аудите через два года в виде штрафа. Во-вторых, доверие клиентов подрывается в транзакциях, которые вы никогда не видите: потенциальные клиенты выбирают конкурентов, которые могут доказать управление, и ваша команда продаж никогда не узнает, почему. В-третьих, качество принятия решений ухудшается: организация принимает больше решений, влияемых ИИ, но не может объяснить или проверить их, и плохие решения накапливаются в местах, где никто не смотрит. Стоимость слабого управления ИИ – это медленная эрозия аудита, продаж и качества принятия решений, заканчивающаяся репутационным ущербом.

Из вашего опыта построения и масштабирования управляемых услуг безопасности и операций SOC, как организации должны пересмотреть свои модели безопасности, чтобы справиться с ИИ-управляемыми системами и автономным принятием решений?

ИИ – это новый вектор атаки, умножитель угроз и важная часть защитной головоломки, и модель безопасности должна адаптироваться, чтобы покрыть все три одновременно.

Как вектор атаки, платформы GenAI сами становятся целями для защиты. Как умножитель угроз, атакующие используют GenAI для создания фишинга в крупном масштабе, генерации кода эксплойта, автоматизации разведки и обнаружения уязвимостей на скорости машины. Как защитная часть, та же технология, обращенная в другую сторону, является единственным реальным ответом: управление ИИ-управляемой триажей, автоматизированной охотой за угрозами и дополнением аналитиков больше не являются необязательными; они являются тем, как SOC поддерживает темп с ИИ-усиленным противником. Если они ИИ-усилены, а мы нет, разрыв накапливается с каждым циклом.

Это также создает новый тип актора, которого модель должна управлять. В Syntax мы уже думаем об агентах ИИ как о присоединении к оргструктуре, наряду с людьми, что задает планку для того, как мы защищаем их. Агентам ИИ нужны все, что мы даем человеческим пользователям (идентификация, ролевые разрешения, журналы активности, поведенческие базовые показатели) плюс те же рычаги сдерживания, которые мы используем на компрометированных учетных записях: возможность отключить, изолировать и отозвать. Разница заключается в скорости. Агенты действуют за миллисекунды, поэтому эти рычаги должны быть мгновенными и автоматизированными, а не концом рабочего процесса реагирования на инциденты.

В Syntax наш Глобальный центр операций безопасности эволюционирует так, чтобы ИИ дополнял человеческого аналитика, а наши сотрудники строят агентские рабочие процессы и агентов внутри платформы Syntax GenAI, которая предоставляет коробочные ограничения против предвзятости, токсичности и контроля за конфиденциальностью и безопасностью по умолчанию.

Это то, что нужно пересмотреть. Защищать ИИ как цель. Развертывать ИИ как защитника. Управлять использованием ИИ.

Часто существует напряжение между скоростью и контролем. Как организации могут поддерживать инновационную скорость, одновременно реализуя значимый надзор и ограничения для систем ИИ?

Скорость и контроль кажутся противоположными, пока вы не построите управление, которое путешествует с проектом, а не блокирует его. Ошибкой является размещение управления у ворот: комитет, подпись, квартальный обзор. К тому времени, когда ворота открываются, команда либо обошла их, либо потеряла импульс. Модель, которая работает, – это процессы, переопределенные с управлением, включенным в них. Ясная и последовательная коммуникация – это начало, за которым следуют предварительно утвержденные шаблоны, предварительно очищенные потоки данных и предварительно определенные шаблоны разрешений. Команды получают скорость, команды безопасности получают видимость, и компромисс, который все предполагают, оказывается плохо спроектированным процессом. Это все о балансировании безопасности с инновациями против аппетита к риску каждой организации.

Вы работали над крупномасштабными стратегиями киберустойчивости и реагирования на инциденты. Как введение ИИ меняет природу киберугроз и то, как организации должны готовиться к ним?

ИИ ускоряет угрозы по разным векторам. Масштаб: фишинг и разведка на скорости машины против тысяч целей одновременно. Сложность: социальная инженерия на основе глубоких фейков, которая обманывает проверку голоса и видео. Идентификация: синтетические идентификаторы, которые проходят проверку идентификации, предназначенную для людей.

Для реагирования на инциденты последствия операционны. Вам нужна детекция, которая не полагается на людей, распознающих закономерности на скорости человека. Вам нужны протоколы верификации, которые предполагают, что голос и видео могут быть подделаны. И вам нужны книги реагирования на инциденты, которые явно охватывают инциденты, связанные с ИИ, потому что шаги восстановления не являются теми же, что и восстановление после события программы-вымогателя.

В Syntax, что такое “безопасность по дизайну” для ИИ в сложной, реальной корпоративной среде?

В Syntax это означает балансирование инноваций и безопасности посредством принятия нашей платформы GenAI с встроенными ограничениями, наших утвержденных, ограниченных и запрещенных услуг и приложений GenAI, моделей и платформ, а также стимулирования культуры безопасности в первую очередь через наш офис управления ИИ. Для нашей глобальной организации безопасности это означает позиционирование себя как облегчения бизнесу, а не препятствия, поддержку бизнеса в его стратегических приоритетах, одновременно защищая Syntax в соответствии с нашим аппетитом к риску.

Существует растущий нарратив о том, что безопасность и соблюдение требований больше не являются препятствиями, а облегчают рост. Что должно измениться культурно и операционно, чтобы организации действительно приняли этот образ мышления?

Самым большим сдвигом является то, что такое успех. Команды безопасности измерялись десятилетиями тем, что не произошло: нет нарушений, нет инцидентов, нет результатов аудита. Этот показатель вознаграждает за то, что говорят “нет”. Команды, которые работают как облегчения, измеряют что-то другое: сделки, выигранные потому, что контроли были демонстрируемыми, запуски, которые попали в срок, потому что безопасность очистила путь, и инновации, которые прошли через управление, а не вокруг него.

Операционно это требует процессов, переопределенных с управлением, включенным в них, в сочетании с активным облегчением, таким как наша платформа GenAI, которая делает безопасность более простым путем, и доступным образованием и программами ИИ, такими как наша инициатива ИИ-чемпионов.

Культура следует тому, что вы стимулируете и что вы облегчаете. Измените то, что вы вознаграждаете, оснастите людей правильными инструментами и правильной подготовкой в нужное время, и вы измените то, что они делают. Это путь, который Syntax предпринимает.

Поскольку ИИ все больше внедряется в корпоративные рабочие процессы, как CISO должны сотрудничать с лидерами ИИ, учеными-исследователями данных и командами продукта, чтобы обеспечить подотчетность без замедления прогресса?

CISO, который ждет приглашения, будет опоздать. CISO, который появляется рано, с практическими шаблонами, а не политическими возражениями, становится партнером, которого проекты ИИ действительно хотят за столом. На практике это означает совместные сеансы проектирования с командами ИИ, подписи безопасности, которые находятся рядом с функциональными, а не после них, и открытую дверную политику. Это меняет разговор от “Департамента нет” к “Да, но” или “Нет, но” как готовый и сотрудничающий партнер для бизнеса.

Оглядываясь вперед, считаете ли вы, что мы увидим стандартизированную глобальную основу для управления ИИ или организации должны построить свои собственные внутренние архитектуры доверия, независимо от регулирования?

И то, и другое, в этом порядке. Мы увидим фазовую конвергенцию на небольшое количество региональных рамок, Закон ИИ ЕС первым, другие будут следовать с местными вариациями. Мы не увидим один глобальный стандарт в этом десятилетии из-за геополитической фрагментации. Итак, организации будут делать две вещи параллельно: соблюдать рамку, которая применяется к их крупнейшему рынку, и работать над внутренней архитектурой доверия, которая превышает любую рамку, которая является слабейшей. Внутренняя архитектура имеет значение больше, чем внешний стандарт, потому что регулирующие органы движутся медленно, а угрозы не движутся. Компании, которые строят внутренние архитектуры доверия сейчас, будут тратить следующее десятилетие, говоря “мы уже делаем это” каждому новому регулирующему органу, который приходит.

Спасибо за отличное интервью, читателям, которые хотят узнать больше, следует посетить Syntax.