Mark Nicholson, Deloittes USA:s chef för cybersäkerhetsmodernisering – Intervjuserie: En återkommande konversation

Mark Nicholson, Deloittes USA:s chef för cybersäkerhetsmodernisering, är en principal på Deloitte med mer än två decenniers erfarenhet av att arbeta i skärningspunkten mellan cybersäkerhet, artificiell intelligens och företagsrisk. Han leder initiativ för cyber-AI och den kommersiella strategin för Deloittes cybersäkerhetspraxis, som hjälper stora organisationer att modernisera sina säkerhetsramverk och anpassa cybersäkerhetsinvesteringar till föränderliga risklandskap. Innan han kom till Deloitte var han med och grundade och var COO för Vigilant, Inc., ett informations-säkerhetsrådgivningsföretag som fokuserade på hotinformation och övervakning av skadliga händelser. Hans tidigare karriär inom försäljning och affärsutvecklingsroller i flera teknikföretag gav honom en stark grund i både de tekniska och kommersiella aspekterna av cybersäkerhet.

Deloitte är ett av världens största företag inom professionella tjänster, som erbjuder revision, konsulttjänster, skatt och rådgivning till organisationer inom nästan alla branscher. Deras cybersäkerhetspraxis fokuserar på att hjälpa företag att navigera i alltmer komplexa hotmiljöer samtidigt som de möjliggör digital transformation genom tekniker som artificiell intelligens. Företaget erbjuder tjänster som omfattar cybersäkerhetsstrategi, motståndskraft, riskhantering och företagssäkerhet, vilket positionerar cybersäkerhet som både en skyddsfunktion och en strategisk möjliggörare av innovation och tillväxt.

Detta följer en tidigare intervju som publicerades 2025.

Du har varit involverad i cybersäkerhet sedan de tidiga dagarna av modern hotövervakning, inklusive att ha varit med och grundat Vigilant och hjälpt till att införa tidiga Security Information and Event Management (SIEM) och hotinformationskapaciteter på marknaden. Hur har utvecklingen från dessa tidiga övervakningssystem till dagens AI-drivna cybersäkerhetsplattformar förändrat sättet som organisationer upptäcker och svarar på hot?

När vi först började bygga övervakningssystem i de tidiga dagarna av SIEM var den grundläggande utmaningen att få datan på en plats och ge den mening. Jag minns när analytiker skrev ut brandväggsloggar varje morgon och manuellt granskade dem för att försöka hitta avvikelser. Även när SIEM mognade fanns det ett skalföretag. Mänsklig hastighet var ingen match för den enorma mängden upptäckta händelser. Trots användningen av automatisering hade cybersäkerhetsförsvarare fortfarande ett datorkorrelations- och analytiskt problem, och de kämpade ständigt för att utarbeta nya regler, ofta som svar på övervakningsmisslyckanden.

En av förhoppningarna är att AI ska förändra den dynamiken på ett grundläggande sätt. Utöver att distribuera agenter för att automatisera nivå 1-säkerhetsåtgärder lovar AI att hjälpa till att flytta upptäckt och svar från “efter faktum” till mycket närmare “medan det händer” genom att utnyttja dynamisk maskinjustering av övervakningsalgoritmer. I vissa fall kommer cybersäkerhetsorganisationer också att bli bekväma med att låta AI initiera åtgärder för att avhjälpa.

Men det hårda arbetet försvinner inte, det skiftar. När system blir mer autonoma och komplexa blir förtroende och observerbarhet en slagzon: Vad gör systemet, varför gör det det, och hur vet vi att det inte har manipulerats? Möjligheten med AI är enorm, men den höjer också insatserna när miljön fungerar i maskinhastighet.

Du har noterat att AI möjliggör för motståndare att automatisera spaning, generera exploateringar och accelerera attackcykler. I praktiska termer, hur mycket har AI komprimerat tiden mellan sårbarhetsupptäckt och exploatering?

Historiskt fanns det ofta ett fönster mellan sårbarhetsupptäckt och exploatering. Det fanns säkert brådska, men vanligtvis, såvida du inte blev träffad av en noll-dag, fanns det tid att förstå hotet, patcha och mildra innan en angripare kunde distribuera exploateringar i stor skala. AI har nästan eliminerat det fönstret.

Motståndare kan automatisera spaning, kontinuerligt skanna efter exponering och använda AI-aktiverad verktygsutrustning för att påskynda delar av exploateringsutveckling och målinriktning. I många fall kan det som tidigare spelades ut under veckor komprimera till timmar, och i högt automatiserade scenarier kan det vara snabbare än de flesta säkerhetsprogram är utformade för att hantera.

Slutsatsen är enkel: Säkerhetsteam behöver automatisering och AI på försvarssidan, parat med starka kontroller, om de vill hålla jämna steg.

Säkerhetsteam flyttar alltmer från “människa-i-loopen” till “människa-på-loopen”-övervakningsmodeller. Vad ser den skiftningen ut som operativt inom en modern Säkerhetsoperationscentral (SOC), och hur bör organisationer omdefiniera analytikerroller när AI tar på sig mer autonoma uppgifter?

I en traditionell SOC sitter analytiker i centrum för varje besluts punkt. Larm kommer in, analytiker triagerar dem, undersöker dem och bestämmer vilka åtgärder som ska vidtas. Den tillvägagångssättet fungerade när volymen av larm och takten på attacker var hanterbara. Men i dagens miljö är aktivitetsomfattningen helt enkelt för stor för att människor ska kunna fungera som grindvakt för varje beslut.

Skiftet till människa-på-loopen innebär att AI-system kan utföra många av de rutinuppgifter som analytiker tidigare hanterade, såsom att triagera larm, samla in kontext, korrelera data och utföra vissa åtgärder för att avhjälpa. Den mänskliga rollen blir en av tillsyn och validering snarare än manuell utförande.

Operativt skiftar analytiktiden bort från “larmmalning” och mot högvärdigt arbete som hotjakt, detektionsutveckling, simuleringsmotståndare och förbättring av den defensiva arkitekturen. Människor förblir oumbärliga, men deras roll utvecklas mot tillsyn, bedömning och strategi snarare än att fungera som primär processor för säkerhetsdata.

Vi hör mycket om “Säker AI vid design”. Från din synvinkel, varför behöver det konceptet utökas bortom modellsäkerhet till identitetssystem, behörighetsarkitektur och orkestreringsskikt?

Många diskussioner om säker AI fokuserar kraftigt på modellen i sig, såsom att skydda utbildningsdata, förhindra modellförgiftning eller försvara mot promptinjektionsattacker. Det är verkliga problem, men de är bara en del av risken.

I praktiken opererar AI-system som en del av mycket större digitala ekosystem. De får åtkomst till data, interagerar med API:er, utlöser arbetsflöden och opererar alltmer genom agenter som kan agera med en viss autonomi.

När det händer blir identitet och behörigheter kontrollplanet. AI-agenter är i princip nya digitala identiteter inom företaget. Om dessa identiteter inte styrs ordentligt kan de introducera betydande risker.

Säker AI vid design måste därför utökas till identitetsstyrning, åtkomstkontroll, orkestreringsskikt och övervakningssystem som spårar vad dessa agenter gör. Organisationer måste behandla AI-agenter som om de vore mänskliga användare, med definierade behörigheter, granskning och tillsyn, annars utökas attackytan snabbt.

Många företag lägger AI-verktyg ovanpå äldre säkerhetsarbetsflöden som utformades för mänsklig hastighet. Vilka är de största arkitektoniska förändringarna som organisationer behöver göra för att verkligen dra nytta av AI i cybersäkerhet?

Ett vanligt mönster är att skruva fast AI på äldre processer och arbetsflöden som utformades för mänskligt driven verksamhet. Det är inte ett dåligt första tillvägagångssätt, särskilt när datorseende har blivit en realitet. Till exempel har Deloitte skapat en agent som kan utbildas för att ersätta människan i identitetsstyrnings- och administrationsprocessen utan att kasta ut befintliga specialbyggda programlösningar som skulle vara svåra att avsluta. Detta kan driva dramatiska kostnadsbesparingar.

Den framtida fördelen är att företag sannolikt kommer att börja omdefiniera säkerhetsarbetsflöden från början till slut: modernisera datafundamentet så att säkerhetverktyg kan tillförlitligt komma åt högkvalitativ, välstrukturerad telemetri; bygga orkestrering så att upptäckt, svar och identitetsfunktioner fungerar som ett samordnat system, inte som frånkopplade verktyg.

Identitet förblir en av de viktigaste kontrollerna. När fler automatisering och AI-agenter införs ökar antalet icke-mänskliga identiteter avsevärt. Att hantera dessa identiteter effektivt blir avgörande för att upprätthålla kontroll.

AI-nativ säkerhet är i slutändan en blandning av bättre data, bättre orkestrering och styrning som tar hänsyn till både mänskliga och maskinaktörer.

När AI-system blir mer autonoma utökas attackytan till områden som agentorkestrering, API-kedjor och automatiserade beslutsflöden. Vilken av dessa nya ytor oroar dig mest?

Om jag måste välja ett område som förtjänar omedelbar uppmärksamhet, är det identitet och dataåtkomstbehörigheter inom agentdrivna system.

När organisationer inför mer agenter skapar de en växande befolkning av autonoma aktörer som opererar inom företaget. Dessa agenter kan ha åtkomst till data, API:er och arbetsflöden som är otroligt kraftfulla, och det gör dem till en attraktiv väg för en angripare om behörigheterna inte är utformade, övervakade och granskade rigoröst. Det är viktigt att behandla varje agent som en ny anställd: namnge den, definiera den, övervaka den och möjliggöra att den kan kopplas bort snabbt om det behövs.

API-kedjor och automatiserade beslutsflöden introducerar också risk, men identitetsstyrning är ofta den grundläggande kontrollen. Om du inte kan svara tydligt på vem en agent är, vad den kan röra och vad den gjorde, har du inte riktigt kontroll över den.

Från styrelserummet, hur tänker chefer och styrelseledamöter för närvarande om AI-drivna cyberrisker, och var ser du den största klyftan mellan teknisk verklighet och styrelseförståelse?

Styrelser är alltmer medvetna om att medan AI bringar enorma möjligheter kan det också bringa betydande risker. De flesta styrelseledamöter förstår att AI kommer att forma affärsomvandling, och de börjar ställa frågor om styrning, säkerhet och motståndskraft.

Där klyftan visar sig är ofta hastighet och komplexitet. Många styrelsesamtal förblir fortfarande bundna till traditionella cybersäkerhetsramverk – som fortfarande är viktiga – men de reflekterar inte alltid hur snabbt AI-drivna hot kan utvecklas och skala.

Den andra diskonnecten är att “Är vår AI säker?” låter som en enda fråga, men svaret borde leva över datastyrning, modellintegritet, identitetsstyrning och orkestrering över flera system. Styrelser som stänger klyftan trycker på kontrollbaserad rapportering som gör dessa rörliga delar synliga och testbara, och investerar tid för att bygga styrelsekompetens, så att tillsyn håller jämna steg med tekniken.

AI används alltmer på båda sidor av slagfältet. Går vi in i en permanent AI-mot-AI-cybersäkerhetskapplöpning, och om så är fallet, vilka fördelar har försvarare som angripare kan ha svårt att replikera?

Vi är tydligt i en era där AI används av både angripare och försvarare. Motståndare använder redan AI för att påskynda spaning, identifiera sårbarheter och automatisera delar av attackcykeln. Men försvarare har fortfarande verkliga fördelar om de väljer att använda dem.

Försvarare har insikt i sin egen miljö, åtkomst till intern telemetri och möjligheten att bygga skiktade arkitekturer som angripare måste navigera. AI kan hjälpa försvarare att analysera enorma volymer av data över nätverk, slutpunkter och identiteter, vilket ger dem potentialen att upptäcka avvikande beteende mycket tidigare.

Fångsten är adoption. Om försvarare stannar kvar i manuella arbetsflöden medan angripare automatiserar, blir asymmetrin brutalt. Kapplöpningen är verklig, och vinnarna kommer att vara de som distribuerar AI med stark styrning, inte de som bara testar det.

I ditt arbete med att ge råd till stora företag, vad är de vanligaste misstagen organisationer gör när de försöker integrera AI i sin cybersäkerhetsstrategi?

En av de vanligaste misstagen vi ser är att behandla AI som ett fristående verktyg istället för en arkitektonisk skift. Team kör isolerade experiment utan att uppgradera datafundamentet, styrningsmodellen eller driftsprocesserna som behövs för att upprätthålla påverkan, vilket leder till en platå i resultat.

Ett annat misstag är att distribuera AI-kapacitet utan att fullständigt ta hänsyn till de nya riskerna: nya identiteter, nya dataflöden och automatiserade beslutsflöden som utökar attackytan. Om dessa är fastsatta utan rätt kontroller på plats kan AI lägga till skörhet istället för motståndskraft.

Slutligen underskattar många organisationer vikten av engagemang i arbetsstyrkan. De praktiker som kör säkerhetsoperationer varje dag vet var friktionen är och vad “bra” ser ut. De starkaste transformationerna involverar dessa team tidigt så att tekniken förstärker deras bedömning snarare än stör den.

Om tre till fem år, vad ser den AI-nativa säkerhetsoperationscentralen ut som jämfört med dagens SOC-miljöer?

Den kommer sannolikt att se mycket annorlunda ut, på många sätt som jag inte kan förutse. Sannolikt kommer den framtida SOC att fungera som en hybrid mänsklig och digital arbetsstyrka. AI-system kommer att hantera mycket av datatillverkning, korrelation och initialt svar. Agenter kommer att hjälpa till att automatisera arbetsflöden över sårbarhetsstyrning, identitetsstyrning, incidenthantering och kontinuerlig kontrollövervakning.

Mänskliga analytiker förblir oumbärliga, men tyngdpunkten skiftar: att övervaka AI-system, validera upptäcktsfall (istället för att skriva dem), undersöka komplexa hot och förbättra den defensiva arkitekturen. Målet är inte att ta bort människor, utan snarare att höja deras roller. Istället för att lägga tid på att triagera larm och manuellt sammanställa data, kommer analytiker att fokusera på de strategiska aspekterna av cybersäkerhet. Frågan kommer att vara, “hur kommer vi att utbilda nästa generation av säkerhetsproffs när nivå 1 och nivå 2 är helt automatiserade?” Kanske ligger svaret i den dramatiska förbättringen av simulerings- och utbildningsteknik som AI kan hjälpa oss att utveckla.

De organisationer som successfully builds a successful hybrid workforce, combining human expertise with AI-driven automation, will likely be best positioned to operate at the speed required in the modern threat environment.

Tack för den underbara intervjun, läsare som vill lära sig mer kan besöka Deloitte eller läsa vår tidigare intervju.