Agnidipta Sarkar, Chief Evangelist, ColorTokens – Intervjuserie

Agnidipta Sarkar, Chief Evangelist, ColorTokens är en ledare inom cybersäkerhet och digital motståndskraft med mer än tre decennier av erfarenhet som omfattar cyberförsvar, riskhantering, affärskontinuitet, integritet och Zero Trust. På ColorTokens arbetar han med styrelser, ledande chefer och säkerhetsansvariga för att stärka beredskap för intrång och koppla cybersäkerhetsprogram till affärsprioriteringar, samtidigt som han bidrar till internationella standarder och branschinitiativ via organisationer som ISO, Cloud Security Alliance, NIST och ISA. Innan han gick med i ColorTokens var Sarkar Group CISO på Biocon och hade seniora roller inom informationssäkerhet och riskledning på företag som DXC Technology, Hewlett Packard Enterprise och HP.

ColorTokens är ett cybersäkerhetsföretag som fokuserar på mikrosegmentering, Zero Trust och att hjälpa företag bli mer motståndskraftiga när angripare bryter igenom traditionella perimeterförsvar. Dess flaggskeppsprodukt Xshield Enterprise Microsegmentation Platform är utformad för att förhindra att angripare och skadlig kod rör sig lateralt inom en organisation genom att skapa granulära säkerhetsgränser kring arbetsbelastningar och tillgångar som sträcker sig över datacenter, molninfrastruktur, slutpunkter, Kubernetes‑miljöer, operativ teknik (OT) och Internet of Things (IoT)-enheter. Plattformen innehåller även AI‑assisterade arbetsflöden för att upptäcka miljöer, skapa segmenteringspolicyer och påskynda policydistribution, med det övergripande målet att minska en organisations attackyta och begränsa den potentiella påverkan, eller ”blast radius”, av ett lyckat intrång.

Du har tillbringat mer än tre decennier med att gå från praktiska nätverks- och säkerhetsroller på HCL, Wipro, HP, HPE och DXC till att tjänstgöra som Group Chief Information Security Officer på Biocon och bidra till internationella säkerhetsstandarder. Hur har dessa frontlinjeupplevelser format din övertygelse om att organisationer måste förbereda sig för att begränsa intrång snarare än att anta att de kan förhindra varje intrång?

Under mina tidiga år på HCL och Wipro kändes cybersäkerhet som vilda västern – spännande, kaotisk och full av möjligheter. Jag kastade mig in, experimenterade, misslyckades, lärde mig och lyckades med allt som tekniken kunde kasta på mig: brandväggar, IDS, MFA, kryptering, revisioner, styrning. Men den verkliga utbildningen kom när jag såg min första säkerhetsincident utvecklas. Plötsligt föll alla dessa bästa praxis samman under press. Det var min väckarklocka.

På HP fick jag en plats på första raden till kaos, först som en fluga på väggen, sedan som en operativ ledare, och såg kaoset utvecklas på nära håll. Varje incident betonade samma lärdom: IT står aldrig stilla, och ingen investering kan garantera säkerhet. När jag slutligen tog rodret som Group CISO visste jag att mitt jobb var att skapa en handlingsplan för att hantera intrång, inte bara för säkerhetsdriften utan för hela organisationen. En plan som var repeterbar, förutsägbar och som kunde hålla verksamheten igång när stormen slog till, samtidigt som säkerhetsdriften kontinuerligt förbättrades över tid.

Pappersmässigt såg verktygen perfekta ut. I verkligheten avslöjade IT Service Management sprickor du aldrig förväntade dig. Tillgångshantering, patchning, konfiguration, förändring, risk – allt sammanflätat med mänskliga fel. Där gömmer sig den digitala svagheten, och när larmen går, är det en mardröm att reda ut det. Det finns inget manus för krigsvärdet när ett intrång inträffar. Kaos är regeln, inte undantaget. Det är därför jag har tillbringat min karriär med att bygga struktur i stormens öga och hjälpa ledare att sålla bort bruset och hantera risk, snarare än att bli svepta med det.

När jag ser tillbaka är jag tacksam för varje lärdom – att observera från sidlinjen, få händerna smutsiga mitt i attackerna och slutligen leda från fronten. Det är därför jag förespråkar beredskap för intrång som en konst, inte bara en vetenskap. Du kan kartlägga attackmönster hela dagen, men det som räknas är vad som händer i krigsvärdet när ledarna måste hålla linjen. Den klarheten kommer bara från att ha levt igenom det.

Det är därför jag skapade ett ramverk för beredskap mot intrång för att förutse, stå emot och utveckla förmågan att möta nästa cyberattack. Ramverket hjälper organisationer att röra sig med stormen, inte emot den. Det slutgiltiga målet är att förverkliga Koun Ryusui, som driver som moln, flyter som vatten, så att när nästa utan motstycke attack inträffar, blir det inte kaos utan att företagen använder strukturerad flexibilitet och motståndskraft, utnyttjar sina teknikinvesteringar för att komma ut starkare och mer självsäkra.

AI hjälper angripare att automatisera rekognosering, utnyttjande av sårbarheter och lateral rörelse, vilket potentiellt komprimerar aktiviteter som tidigare tog veckor till timmar eller minuter. Vilka delar av den konventionella incidentresponsmodellen blir ineffektiva när attacker börjar operera i maskinhastighet?

När attacker rör sig i maskinhastighet är de försvarare som överlever de som kan analysera och agera snabbare än motståndaren. Ja, AI ger angripare nya verktyg, men det stärker även försvararna. Enligt min erfarenhet finns det två sätt att hantera dessa utan motstycke, AI‑drivna attacker.

Först måste du omdesigna ditt digitala landskap. Bygg intrångsberedda zoner och mikrosegment som separerar dina kronjuveler från resten. Tänk på det som en labyrint: vissa vägar är öppna, andra blockerade, vilket gör det svårt för obehöriga identiteter att röra sig fritt. Så håller du AI‑drivna attacker på avstånd genom att sakta ner dem, eftersom labyrinten förändras i takt med förändringar i de digitala systemen.

För det andra behöver du mallar, handlingsplaner och tydliga roller redo innan larmet ens ljuder. Så att när det sker vet varje människa och maskin vad som ska göras och i vilken prioritet. Tricket är att vinna tid och sakta ner AI:n, tvinga den att arbeta hårdare och förneka den enkel rörelse. Så håller du dina försvar i striden när varje millisekund räknas.

Fråga någon sjöman som överlevt ett ubåtsintrång. När vatten strömmar in har du ingen tid att gissa dess nästa drag. Du måste ha förstärkt rätt dörrar i förväg, med kunskap om vad du måste hålla igång och var trycket kommer att slå till. När intrånget sker kan du bara kvarantänsera den översvämmade avdelningen och hålla resten av fartyget i drift. Så skyddar du ditt minsta livskraftiga företag. I den digitala världen betyder det ditt minsta livskraftiga digitala företag.

Det är vad beredskap för intrång handlar om. Om en attack någonsin tränger igenom, kvarantänser du det drabbade området, aktiverar din BCP och håller den opåverkade kärnverksamheten igång. Ingen nedstängning, ingen kris. Bara en incidentberedskap.

Du förespråkar att diskutera beredskap för intrång i affärs- och finansiella termer snarare än att behandla det enbart som en teknisk fråga. Vilka mått bör styrelser använda för att avgöra om organisationen kan fortsätta att operera under en allvarlig cyberattack?

Intrång drabbar inte bara dina system; de drabbar allt och alla som är beroende av dem. Fråga patienten som nekas vård på ett sjukhus, resenären som blir strandsatt på en flygplats eller bilhandlaren som blir skuldsatt i månader. Det är den verkliga kostnaden för en cyberattack. Det handlar inte om om det kommer att hända, utan när. Därför måste styrelser betrakta beredskap för intrång som ett affärs- och finansiellt nödvändigt.

Det finns två mått som varje styrelse bör följa.

Först, fastställ den mängd materiell påverkan som styrelsen är villig att acceptera i jakten på digitala och AI‑ambitioner. Det sätter gränsen för hur stor del av ditt digitala företag som måste förbli operativt under ett intrång. Jag kallar dessa Maximum Acceptable Material Impact (MAMI) och Minimum Viable Digital Enterprise (MVDE).

Många förväxlar MVDE med affärskontinuitet, men de är inte samma sak. Om du säger att mindre än 10 % påverkan är acceptabelt, måste 90 % av ditt företag fortsätta att fungera även under ett intrång. De flesta affärskontinuitetsplaner får dig bara tillbaka till högst 30 %, vilket lämnar 60 % av din digitala verksamhet exponerad. Detta paradox håller ledare vakna på natten.

Om du sätter ditt MVDE till 70 % kan du försäkra intressenter att du investerar i försvar som håller verksamheten igång, även när det värsta händer, bygger en labyrint som är svår för mänskliga eller AI‑angripare att bryta igenom, och har förmågan att kvarantänsera attacker i maskinhastighet. Här spelar mikrosegmentering en grundläggande lego­sten. Du kan nu ansluta de flesta av dina cybersäkerhetsinvesteringar som EDR, brandväggar, SASE, identitet (mänsklig och icke‑mänsklig), åtkomst, behörighet och OT‑cybersäkerhet till ett sömlöst kopplat signalplan som ditt SOC kan använda under aktiva intrång för att begränsa cyberattacker och isolera MVDE.

Följ MAMI och MVDE varje kvartal, för varje ny digital och AI‑initiativ, så kommer dina investerare och intressenter bara att söka bevis på hur väl motståndskraften hanteras.

”Blast radius” används i allt högre grad som ett mått på cybermotståndskraft. Hur kan en organisation beräkna sin potentiella blast radius innan en attack inträffar, och vad skulle utgöra en acceptabel nivå av exponering?

Blast radius är viktigt. Betydligt.

Men det är inte det enda måttet som räknas. Jag förespråkar alltid att bedöma din nuvarande blast radius som första steg för att bygga ett zero‑trust, intrångsberett företag. Allt du behöver är en Breach Readiness Impact Assessment (BRIA), en icke‑intrusiv, API‑driven stickprov‑analys som utnyttjar din befintliga EDR. För OT och stordatorer kan du behöva agenter eller enheter.

Inte all blast radius är negativ. Ibland är den kritisk för applikationsprestanda. Djävulen ligger i detaljerna. Ta en cache‑tjänst som snabbar upp uppslag för produktinformation och användarsessioner. Den kräver system‑till‑system‑anslutning för att driva en e‑handelsplattform med flera mikro‑tjänster. Men samma blast radius blir ett utnyttjande om obehöriga användare eller system kan komma åt den.

Du kan inte betrakta blast radius isolerat. Kombinera den med andra säkerhetsmönster som beteendeavvikelser, missbruk av åtkomst, privilegieökning, överskridna behörigheter och autentiseringsfel för att verkligen förstå din intrångsexponering. Och kom ihåg, vad som är acceptabelt i en bransch kan vara ett avtalsslut i en annan.

Hur skiljer sig beredskap för intrång från traditionell incidentrespons, katastrofåterställning, affärskontinuitet och zero‑trust‑program, och var bör ansvaret för att samordna dessa discipliner ligga?

Dessa är inte separata ämnen; de är sammanflätade discipliner som måste samordnas kring ett enda affärsmål.

Jag definierar beredskap för intrång som en disciplin för företagsresiliens: kontinuerligt förbereda, arkitektera, öva och styra organisationen för att förutse attacker, begränsa blast radius, upprätthålla Minimum Viable Digital Enterprise inom organisationens fördefinierade Maximum Acceptable Material Impact, och återställa kapaciteter medan attacken hålls under kontroll. Beredskap för intrång är vapenisering av zero‑trust‑arkitektur och beskriver vad som måste ske före, under och efter en cyberattack. Beredskap för intrång förflyttar frågan från ”Hur håller vi angripare ute?” till ”Hur säkerställer vi att en incident inte kan orsaka mer skada än vi är beredda att tolerera, och hur mycket av verksamheten kan fortsätta att fungera medan vi svarar?” Beredskap för intrång handlar om överlevnad medan incidenten fortfarande pågår.

Det konceptuella språnget är betydande. Skilda företagspraktiker för backup och återställning, incidentrespons, katastrofåterställning och affärskontinuitet spelar alla viktiga roller för att vara intrångsberedda, eftersom de hanterar störningen. De börjar när system blir attackerade. Alla tre programmen incidentrespons, katastrofåterställning och affärskontinuitet fokuserar på ”Hur snabbt kan vi återställa det som har störts?”. Beredskap för intrång fokuserar på ”Hur mycket av det kan förbli tillgängligt från början?”.

Beredskap för intrång bryter ner silos för att säkerställa att affärskonsekvenserna av en kompromiss hanteras, och intressenter får trygghet genom att fokusera på hur man håller största delen av företaget ”opåverkat” och aktiverar en BC/DR för den del som är drabbad. Ansvar och ägandeskap för att vara intrångsberedda ligger hos den verkställande ledningen. VD/Styrelsen äger riskaptiten och det acceptabla affärsresultatet. COO eller motsvarande chef för företagsresiliens bör samordna beredskap för intrång över hela organisationen, med CISO som ansvarig för cybersäkerhetsdimensionen.

För företag som avser att uppnå ett tillstånd av Kuon Ryushi är fullständig organisatorisk medverkan med teknik och AI för att hantera effekterna av en cyberattack avgörande.

ColorTokens använder AI för att hjälpa säkerhetsteam att analysera miljöer och snabbare generera mikrosegmenteringspolicyer. Var bör organisationer lita på AI för att automatisera defensiva beslut, och vilka innehållningsåtgärder bör fortsatt kräva mänskligt godkännande?

Absolut. Vi gör precis det.

Men låt oss vara tydliga: ”att använda AI för att hjälpa säkerhetsteam” är bara toppen av isberget. På ColorTokens tror vi på att använda AI ansvarsfullt för att göra företag verkligt intrångsberedda. Det finns en mycket större berättelse än bara ”AI gör mikrosegmentering enklare.”

Senaste incidenterna med Anthropic, OpenAI, AISI och till och med gymbokningsfallet i Australien är misslyckanden i arkitekturen, inte i styrningen. När autonom AI rymmer från sin sandlåda är den inte alltid illvillig eller opålitlig. Det handlar om hur arkitekturen byggdes. Människor måste tydligt definiera driftområdet, och AI måste hålla sig inom det. Det är där styrning kommer in.

Till exempel kan du tillåta AI att isolera vilken slutpunkt som helst som flaggats som komprometterad med en säkerhet över en viss tröskel, såvida den inte är ett OT‑säkerhetssystem, en domänkontroller, ett betalningssystem eller en produktionsstyrningsresurs. Det är begränsad autonomi. Men det är lättare sagt än gjort eftersom du behöver en arkitektur som är kontextspecifik och tydligt utformad med hjälp av ämnesexperter.

Enligt min åsikt och erfarenhet måste företag använda AI för att utföra upptäckt, korrelation, beroendekartläggning, analys av attackvägar, blast‑radius‑analys, policyrekommendationer, policiesyntes, policiesimulering, optimering av låg‑risk‑policyer, förhandsgodkänd innehållning och kontinuerlig verifiering, och låta människor bestämma affärskritikalitet, acceptabel störning, säkerhetsgränser, definitioner av kronjuveler, säkerhetsrestriktioner (i OT), maximalt acceptabel påverkan, autonomitrösklar, undantagsgodkännanden, större produktionsisolering och irreversibla åtgärder.

Slutsatsen – AI bör få tillräcklig frihet att slutföra sin uppgift, men under explicita villkor som upprätthålls av infrastruktur utanför dess kontrollområde. AI bör föreslå åtgärder, måste vänta på mänskligt godkännande och sedan verkställa förändringar i maskinhastighet. Målet är inte att göra AI autonomt. Det är att göra defensiv autonomi begränsad.

På ColorTokens använder vi AI för att göra försvararens kontrollslinga tillräckligt snabb för att hålla jämna steg med angripare. Centraliserad policybeslut, flera verkställande mekanismer, rik telemetri, agentlös skydd för system som inte kan köra agenter, stöd för moln och containrar samt AI‑assisterad upptäckt och policiesyntes – allt detta är en del av AI‑assisterad beredskap för intrång.

Microsegmentation har funnits som koncept i åratal, men organisationer förknippar det ofta med komplexa implementationer och stelbenta policyer. Vad har förändrats teknologiskt som gör det mer praktiskt över molninfrastruktur, Kubernetes‑miljöer, slutpunkter, äldre system och operativ teknik?

Flera saker.

Det som började som ett elegant sätt att ansluta och kontrollera nätverk, säkerställa dedikerad anslutning och bandbredd, har utvecklats till en grundläggande cybersäkerhetskapacitet. Idag kan mikrosegmentering förvandla stora företag till intrångsberedda organisationer, snabbt och säkert. Teknologiska förändringar har hjälpt oss att gå förbi de gamla huvudvärken: kartläggning av beroenden, omdesign av nätverksgränser, konfiguration av VLAN och brandväggar, manuell regelskrivning och oro för att störa affärstrafik. Segmentering var tidigare långsam, dyr och begränsad till datacentret. Inte längre.

Först är identitet nu den huvudsakliga kanalen för cyberattacker. Därför är förbättrad identitetsstyrning den första principen i zero trust. I moderna molnmiljöer är IP‑adresser meningslösa för säkerhet. Modern mikrosegmentering använder identitet, åtkomst, arbetsbelastning, applikation, tjänst och kontext, inte bara nätverksplats. Säkerhetsgränsen följer identitet, åtkomst och applikation, inte bara den underliggande infrastrukturen.

För det andra går agentlös mikrosegmentering nu bortom enheter. Den utökar skyddet till äldre system, IoT‑enheter och OT som inte kan köra agenter. Modern mikrosegmentering integreras med EDR, vilket utökar täckningen och minskar implementeringstiden från månader till timmar, eftersom EDR redan har den telemetri som mikrosegmentering behöver.

Slutligen avlägsnar AI den sista stora flaskhalsen: kontextspecifik, intrångsbered policyutformning. AI kan analysera flera datapunkter för kontext, kartlägga beroenden och attackvägar, rekommendera zonindelning och mikrosegmenteringspolicyer samt simulera deras påverkan innan verkställning. Modern mikrosegmentering verkställer policy direkt på slutpunkter och arbetsbelastningar med inbyggda OS‑kontroller. Du behöver inte längre omdesigna nätverket; mikrosegmentering är nu sömlös och policy följer arbetsbelastningen var den än befinner sig.

Målet är inte bara att blockera varje försök till lateral rörelse. Det är att analysera tillräckligt många signaler i maskinhastighet för att säkerställa att när en angripare kommer in, blir den komprometterade arbetsbelastningen inte en motorväg till allt annat. Modern mikrosegmentering handlar inte längre bara om att dela upp nätverk utan om att kontrollera och övervaka blast radius.

Vilket bevis bör chefer kräva när de utvärderar det ekonomiska fallet för mikrosegmentering, särskilt med avseende på ransomware‑nedtid, cyber‑försäkringspremier, regulatorisk exponering och kostnaden för att hålla kritiska tjänster i drift under en attack?

Här är vad chefer bör leta efter när de utvärderar mikrosegmentering: bevis på att den kan hantera ransomware‑nedtid, sänka cyber‑försäkringspremier, minska regulatorisk exponering och hålla kritiska tjänster i drift under en attack.

1. Tillåter mikrosegmenteringsplattformen en enda plattform över datacenter, användare, OT‑system och moln?
2. Vilken procentandel av vår verksamhet är strukturerad i zoner och mikrosegment baserat på materiell påverkan på affärerna jämfört med föregående granskning?
3. Hur snabbt kan mikrosegmenteringslösningen bli operativ med zoner, mikrosegment och kontrollerade kanaler, utformade för att hålla MVDE operativt?
4. Kan mikrosegmenteringslösningen integreras med EDR och använda den som en agent för att minska agentens fotavtryck?
5. Använder mikrosegmenteringsplattformen någon konverserande artificiell intelligens för att bestämma kontextspecifika regler och policyer?
6. Har vi möjlighet att övervaka förändringar i beteendet hos giltiga användare i applikationer och begränsa avvikande användare efter identitet?
7. Kan medeltiden för att upptäcka och svara genom att kvarantänsera skadligt beteende skalas med ny digital och AI‑adoption i verksamheten?
8. Kan mikrosegmenteringsplattformen simulera och modellera cyberförsvarsscenarier för att successivt minska intrångsexponeringen för verksamheten?

Även om dessa skulle täcka de flesta användningsfallen, kommer efterlevnad att behöva individuella tillämplighetsuttalanden för varje reglering, vilka kan förklara vilken del av regleringen som kan uppfyllas direkt av ColorTokens‑plattformen, vad som kräver processer kring teknologin och vad som behöver ytterligare teknik och processer.

Många organisationer genomför penetrationstester och incidentrespons‑övningar, men dessa kanske inte avslöjar hur långt en angripare kan röra sig efter att ha fått åtkomst. Hur bör företag testa innehållning och överlevnad under realistiska AI‑accelererade attackförhållanden?

Om organisationer behöver omfamna essensen av Koun Ryusui i att bygga beredskap för intrång, måste de integrera mikrosegmentering i befintliga cybersäkerhetsoperationer och utveckla den över tid. För att göra det krävs signalintegration av mikrosegmentering med andra verktyg i Security Operations Center, såsom SIEM, EDR, nästa generations brandväggar osv. Detta skulle säkerställa att AI‑driven mikrosegmentering kan orkestrera innehållning vid behov, baserat på indikatorer för attacker och beteendeavvikelser.

Då behövs inte enskilda tester, utan övningar som hjälper till att utveckla er beredskap för intrång.

Det finns tre saker att öva om din mikrosegmentering och överlevnad är realistisk. Först är det aktuella tillståndet för beredskap för intrång. Detta kan utföras innan du påbörjar din ColorTokens‑implementering, efter att du har verkställt dina policyer och vid varje förändring för att avgöra om förändringen har ändrat designen av ditt LABYRINT, som innehåller materialpåverkansbaserade intrångsberedda zoner, mikrosegment och kontrollerade kanaler.

Den andra är hastigheten med vilken du kan kvarantänsera cyberattacker när ett faktiskt intrång sker. De viktigaste parametrarna att testa är detekteringsnoggrannhet och hastigheten för MVDE‑innehållning och isolering med AI. Detta kan göras genom penetrationstester, red‑team‑övningar och simuleringar av intrångsattacker. Dessa tester bör utföras utan att meddela Security Operations Center för att kontrollera deras svar på förändrade intrångsparametrar.

Den tredje är hur er organisation skulle reagera i ett faktiskt intrångsscenario. Innan övningarna, se till att era ”vara intrångsbered”‑handlingsplaner kommuniceras till alla relevanta interna intress