Agnidipta Sarkar, Chief Evangelist, ColorTokens – ซีรีส์สัมภาษณ์

Agnidipta Sarkar, Chief Evangelist, ColorTokens เป็นผู้นำด้านความปลอดภัยไซเบอร์และความยืดหยุ่นดิจิทัลที่มีประสบการณ์กว่า สามทศวรรษ ครอบคลุมการป้องกันไซเบอร์ การจัดการความเสี่ยง ความต่อเนื่องของธุรกิจ ความเป็นส่วนตัว และ Zero Trust. ที่ ColorTokens เขาทำงานร่วมกับคณะกรรมการ ผู้บริหารระดับ C‑suite และผู้นำด้านความปลอดภัยเพื่อเสริมความพร้อมรับเหตุละเมิดและเชื่อมโยงโปรแกรมความปลอดภัยไซเบอร์กับความสำคัญของธุรกิจ พร้อมมีส่วนร่วมในการกำหนดมาตรฐานสากลและโครงการอุตสาหกรรมผ่านองค์กรต่าง ๆ เช่น ISO, Cloud Security Alliance, NIST, และ ISA. ก่อนเข้าร่วม ColorTokens, Sarkar เคยดำรงตำแหน่ง Group CISO ที่ Biocon และรับหน้าที่ผู้นำระดับสูงด้านความปลอดภัยข้อมูลและความเสี่ยงที่องค์กรต่าง ๆ เช่น DXC Technology (DXC ), Hewlett Packard Enterprise (HPE ), และ HP.

ColorTokens เป็นบริษัทด้านความปลอดภัยไซเบอร์ที่มุ่งเน้นการทำไมโครเซกเมนเทชัน, Zero Trust, และช่วยให้องค์กรมีความยืดหยุ่นมากขึ้นเมื่อผู้โจมตีทะลุการป้องกันแบบดั้งเดิม แพลตฟอร์มหลัก Xshield Enterprise Microsegmentation Platform ของบริษัทออกแบบมาเพื่อป้องกันไม่ให้ผู้โจมตีและมัลแวร์เคลื่อนที่แบบแนวนอนภายในองค์กรโดยสร้างขอบเขตความปลอดภัยระดับละเอียดรอบ ๆ งานและทรัพย์สินที่ครอบคลุมศูนย์ข้อมูล โครงสร้างคลาวด์ จุดเชื่อมต่อ, สภาพแวดล้อม Kubernetes, เทคโนโลยีการดำเนินงาน (OT) และอุปกรณ์ Internet of Things (IoT) แพลตฟอร์มยังรวมเวิร์กโฟลว์ที่ช่วยด้วย AI สำหรับการค้นพบสภาพแวดล้อม การสร้างนโยบายการแบ่งส่วน และเร่งการปรับใช้ นโยบาย โดยมีเป้าหมายกว้างคือการลดพื้นที่โจมตีขององค์กรและจำกัดผลกระทบหรือ “blast radius” ของการละเมิดที่สำเร็จ.

คุณมีประสบการณ์กว่าสามทศวรรษที่เริ่มจากบทบาทด้านเครือข่ายและความปลอดภัยแบบปฏิบัติที่ HCL, Wipro, HP, HPE, และ DXC แล้วดำรงตำแหน่ง Group Chief Information Security Officer ที่ Biocon และมีส่วนร่วมในการกำหนดมาตรฐานความปลอดภัยระดับสากล ประสบการณ์ด้านสนามเหล่านั้นทำให้คุณเชื่อมั่นว่าองค์กรต้องเตรียมพร้อมรับมือกับการละเมิดแทนที่จะสมมติว่าตนสามารถป้องกันการโจมตีทุกกรณีได้อย่างไร?

ในช่วงแรกของฉันที่ HCL และ Wipro ความปลอดภัยไซเบอร์รู้สึกเหมือนยุค Wild West ที่น่าตื่นเต้น วุ่นวาย และเต็มไปด้วยโอกาส ฉันกระโดดเข้าไปทดลอง ผิดพลาด เรียนรู้ และประสบความสำเร็จกับทุกอย่างที่เทคโนโลยีท้าให้ทำ: ไฟร์วอลล์, IDS, MFA, การเข้ารหัส, การตรวจสอบ, การกำกับดูแล แต่บทเรียนที่แท้จริงมาถึงเมื่อฉันได้เห็นเหตุการณ์ความปลอดภัยครั้งแรกเกิดขึ้น ทันใดนั้นแนวปฏิบัติที่ดีที่สุดทั้งหมดพังทลายภายใต้ความกดดัน นั่นคือสัญญาณเตือนของฉัน.

ที่ HP ฉันได้ชมความวุ่นวายจากที่นั่งหน้าแรก เริ่มจากเป็นผู้สังเกตการณ์แล้วต่อมาเป็นผู้นำปฏิบัติการ เฝ้าดูความวุ่นวายอย่างใกล้ชิด ทุกเหตุการณ์สอนบทเรียนเดียวกัน: ไอทีไม่มีที่หยุดนิ่งและการลงทุนใด ๆ สามารถรับประกันความปลอดภัยได้ เมื่อฉันได้เป็นหัวหน้ากลุ่ม CISO ฉันรู้ว่าหน้าที่ของฉันคือการสร้างคู่มือการจัดการการละเมิด ไม่เพียงสำหรับการดำเนินงานด้านความปลอดภัยของฉันเท่านั้น แต่สำหรับองค์กรทั้งหมด คู่มือที่ทำซ้ำได้ คาดการณ์ได้ และสามารถทำให้ธุรกิจดำเนินต่อไปเมื่อพายุมาถึง พร้อมปรับปรุงการดำเนินงานด้านความปลอดภัยอย่างต่อเนื่อง.

บนกระดาษ เครื่องมือดูเหมือนสมบูรณ์แบบ แต่ในความเป็นจริง การจัดการบริการไอทีเปิดเผยช่องโหว่ที่คุณไม่เคยคาดคิด การจัดการสินทรัพย์, การอัปเดต, การกำหนดค่า, การเปลี่ยนแปลง, ความเสี่ยง—ทั้งหมดถักทอกับความผิดพลาดของมนุษย์ นั่นคือที่ที่ความอ่อนแอดิจิทัลซ่อนอยู่ และเมื่อสัญญาณเตือนดังขึ้น การคลี่คลายเป็นฝันร้าย ไม่มีสคริปต์สำหรับห้องสงครามเมื่อเกิดการละเมิด ความวุ่นวายเป็นกฎ ไม่ใช่ข้อยกเว้น นั่นคือเหตุผลที่ฉันใช้เวลาทั้งอาชีพสร้างโครงสร้างในใจพายุและช่วยผู้นำตัดเสียงรบกวนและจัดการความเสี่ยง แทนที่จะถูกพัดพาไป.

เมื่อมองย้อนกลับ ฉันขอบคุณทุกบทเรียน—การเฝ้าดูจากข้างสนาม การลงมือทำในสถานการณ์โจมตีอย่างเต็มที่ และในที่สุดการนำจากแนวหน้า นั่นคือเหตุผลที่ฉันส่งเสริมความพร้อมรับการละเมิดเป็นศิลปะ ไม่ใช่แค่วิทยาศาสตร์ คุณสามารถวางแผนรูปแบบการโจมตีตลอดวัน แต่สิ่งสำคัญคือสิ่งที่เกิดขึ้นในห้องสงครามเมื่อผู้นำต้องยึดแนว ความชัดเจนนี้มาจากการผ่านประสบการณ์จริง.

เพราะฉะนั้นฉันจึงสร้างกรอบความพร้อมรับการละเมิดเพื่อคาดการณ์ ทนทาน และพัฒนาความสามารถในการเผชิญการโจมตีไซเบอร์ครั้งต่อไป กรอบนี้ช่วยให้องค์กรเคลื่อนที่ตามพายุ ไม่ใช่ต่อต้านเป้าหมาย เป้าหมายสุดท้ายคือการบรรลุ Koun Ryusui, ลอยเหมือนเมฆ ไหลเหมือนน้ำ เพื่อให้เมื่อการโจมตีที่ไม่เคยมีมาก่อนเกิดขึ้น แทนความวุ่นวาย ธุรกิจจะใช้ความยืดหยุ่นและความทนทานที่มีโครงสร้าง โดยใช้การลงทุนเทคโนโลยีให้แข็งแกร่งและมั่นใจมากขึ้น.

AI กำลังช่วยผู้โจมตีอัตโนมัติการสำรวจ, การใช้ช่องโหว่, และการเคลื่อนที่แนวนอน ซึ่งอาจทำให้กิจกรรมที่เคยใช้สัปดาห์กลายเป็นชั่วโมงหรือแม้กระทั่งนาที ส่วนใดของโมเดลการตอบสนองต่อเหตุการณ์แบบดั้งเดิมจะไม่มีประสิทธิภาพเมื่อการโจมตีเริ่มทำงานที่ความเร็วของเครื่อง?

เมื่อการโจมตีเคลื่อนที่ที่ความเร็วของเครื่อง ผู้ป้องกันที่รอดชีวิตคือผู้ที่สามารถวิเคราะห์และดำเนินการเร็วกว่าฝ่ายตรงข้าม ใช่ AI มอบเครื่องมือใหม่ให้ผู้โจมตี แต่ก็เสริมพลังให้ผู้ป้องกันด้วย ในประสบการณ์ของฉัน มีสองวิธีในการจัดการกับการโจมตีที่ไม่เคยมีมาก่อนและขับเคลื่อนด้วย AI.

แรก คุณต้องออกแบบภูมิทัศน์ดิจิทัลใหม่ สร้างโซนและไมโครเซกเมนต์ที่พร้อมรับการละเมิดเพื่อแยก “ครา​นจอยล์” ของคุณออกจากส่วนอื่น คิดว่าเป็นเหมือนเขาวงกต: เส้นทางบางส่วนเปิด บางส่วนปิด ทำให้ตัวตนที่ไม่ได้รับอนุญาตเคลื่อนที่ได้ยาก นี่คือวิธีที่คุณทำให้การโจมตีที่ขับเคลื่อนด้วย AI ช้าลง เพราะเขาวงกตเปลี่ยนแปลงตามการเปลี่ยนแปลงของระบบดิจิทัล.

สอง คุณต้องมีเทมเพลต, คู่มือการทำงาน, และบทบาทที่ชัดเจนพร้อมก่อนที่สัญญาณเตือนจะดัง เพื่อเมื่อเกิดเหตุ ทุกคนและเครื่องจะรู้ว่าต้องทำอะไรและลำดับความสำคัญอย่างไร เทคนิคคือการซื้อเวลาและทำให้ AI ช้าลง บังคับให้มันทำงานหนักขึ้นและปฏิเสธการเคลื่อนที่ที่ง่าย นี่คือวิธีที่คุณรักษาการป้องกันไว้ในสนามรบเมื่อทุกมิลลิวินาทีมีค่า.

ถามชาวเรือใด ๆ ที่เคยรอดพ้นจากการรั่วของเรือดำน้ำ เมื่อมีน้ำไหลเข้ามาอย่างรวดเร็ว คุณไม่มีเวลาคาดเดาการเคลื่อนที่ต่อไป คุณต้องเสริมประตูที่สำคัญไว้ล่วงหน้า รู้ว่าต้องรักษาการทำงานอะไรและจุดที่ความดันจะกระทบ เมื่อการรั่วเกิดขึ้น สิ่งที่ทำได้คือแยกส่วนที่ถูกน้ำท่วมและให้ส่วนที่เหลือของเรือทำงานต่อ นั่นคือการปกป้องธุรกิจที่สามารถดำเนินการได้อย่างน้อยที่สุด ในโลกดิจิทัลหมายถึงองค์กรดิจิทัลที่สามารถดำเนินการได้อย่างน้อยที่สุด.

นี่คือสิ่งที่ความพร้อมรับการละเมิดหมายถึง หากการโจมตีใด ๆ ผ่านเข้ามา คุณต้องแยกพื้นที่ที่ได้รับผลกระทบ, เริ่มกระบวนการ BCP ของคุณ, และให้ธุรกิจหลักที่ไม่ได้รับผลกระทบดำเนินต่อไป ไม่ต้องปิดระบบ ไม่ต้องวิกฤติ เพียงเหตุฉุกเฉินเท่านั้น.

คุณสนับสนุนให้พูดถึงความพร้อมรับการละเมิดในแง่ธุรกิจและการเงิน แทนที่จะมองว่าเป็นปัญหาเทคนิคอย่างเดียว ตัวชี้วัดใดที่คณะกรรมการควรใช้เพื่อพิจารณาว่าองค์กรสามารถดำเนินงานต่อได้หรือไม่ในกรณีการโจมตีไซเบอร์รุนแรง?

การละเมิดไม่ได้ส่งผลต่อระบบของคุณเท่านั้น แต่ส่งผลต่อทุกสิ่งและทุกคนที่พึ่งพา ระบบเหล่านั้น ถามผู้ป่วยที่ถูกปฏิเสธจากโรงพยาบาล นักเดินทางที่ติดอยู่ที่สนามบิน หรือผู้จัดจำหน่ายรถที่ต้องอยู่ในหนี้สินหลายเดือน นั่นคือค่าใช้จ่ายจริงของการโจมตีไซเบอร์ ไม่ใช่เรื่องว่า “จะเกิดหรือไม่” แต่เป็นเรื่องว่า “เมื่อไหร่” นั่นคือเหตุผลที่คณะกรรมการต้องมองความพร้อมรับการละเมิดเป็นความจำเป็นทางธุรกิจและการเงิน.

มีตัวชี้วัดสองอย่างที่คณะกรรมการทุกคนควรติดตาม.

แรก กำหนดปริมาณผลกระทบเชิงวัตถุที่คณะกรรมการยินดีรับได้ในการไล่ตามเป้าหมายดิจิทัลและ AI สิ่งนี้กำหนดเกณฑ์ว่ามากน้อยแค่ไหนขององค์กรดิจิทัลของคุณต้องคงการดำเนินงานระหว่างการละเมิด ฉันเรียกสิ่งเหล่านี้ว่า Maximum Acceptable Material Impact (MAMI) และ Minimum Viable Digital Enterprise (MVDE).

หลายคนสับสน MVDE กับความต่อเนื่องของธุรกิจ แต่จริง ๆ แล้วไม่เท่ากัน หากคุณบอกว่าผลกระทบต่ำกว่า 10% ยอมรับได้ หมายความว่า 90% ของธุรกิจของคุณต้องดำเนินต่อไปแม้ในระหว่างการละเมิด แผนความต่อเนื่องของธุรกิจส่วนใหญ่ให้คุณกลับมาที่ 30% อย่างดีที่สุด ทำให้ 60% ของธุรกิจดิจิทัลของคุณเสี่ยงอยู่ ความขัดแย้งนี้ทำให้ผู้นำต้องนอนไม่หลับ.

หากคุณตั้งค่า MVDE ที่ 70% คุณสามารถให้ผู้มีส่วนได้ส่วนเสียมั่นใจว่าคุณกำลังลงทุนในระบบป้องกันที่ทำให้ธุรกิจดำเนินต่อได้ แม้ในกรณีที่แย่ที่สุด การสร้างเขาวงกตที่ยากต่อผู้โจมตีมนุษย์หรือ AI ทำลาย และความสามารถในการแยกการโจมตีที่ความเร็วของเครื่อง นี่คือจุดที่ไมโครเซกเมนเทชันทำหน้าที่เป็นอิฐเลโก้พื้นฐาน คุณสามารถเชื่อมต่อการลงทุนด้านความปลอดภัยไซเบอร์ส่วนใหญ่ เช่น EDR, Firewall, SASE, Identity (มนุษย์และไม่ใช่มนุษย์), การเข้าถึง, การอนุญาต, และความปลอดภัย OT เข้ากับสัญญาณเชื่อมต่อเดียวที่ SOC ของคุณสามารถทำงานได้ระหว่างการละเมิดที่กำลังดำเนินอยู่เพื่อกักกันการโจมตีไซเบอร์และแยก MVDE.

ติดตาม MAMI และ MVDE ทุกไตรมาส สำหรับทุกโครงการดิจิทัลและ AI ใหม่ และนักลงทุนและผู้มีส่วนได้ส่วนเสียของคุณจะมองหาหลักฐานว่าความยืดหยุ่นถูกจัดการอย่างไร.

“รัศมีการระเบิด” ถูกนำมาใช้มากขึ้นเพื่อวัดความสามารถในการฟื้นตัวทางไซเบอร์องค์กรจะคำนวณรัศมีการระเบิดที่อาจเกิดขึ้นก่อนการโจมตีเกิดขึ้นได้อย่างไร และค่าใดที่ถือเป็นระดับการสัมผัสที่ยอมรับได้

รัศมีการระเบิดมีความสำคัญอย่างมีนัยสำคัญ

แต่ไม่ใช่ตัวชี้วัดเดียวเท่านั้นที่มีความสำคัญฉันมักจะสนับสนุนให้ประเมินรัศมีการโจมตีในปัจจุบันของคุณเป็นก้าวแรกในการสร้างองค์กรที่พร้อมจะไว้วางใจเป็นศูนย์และพร้อมสำหรับการละเมิดสิ่งที่คุณต้องมีคือการประเมินผลกระทบต่อความพร้อมต่อการละเมิด (BRIA) ซึ่งเป็นการวิเคราะห์ก้านวัดที่ขับเคลื่อนด้วย API ที่ไม่ล่วงล้ำ โดยใช้ประโยชน์จาก EDR ที่มีอยู่ของคุณสำหรับ OT และเมนเฟรม คุณอาจต้องการตัวแทนหรืออุปกรณ์

ไม่ใช่ว่ารัศมีการระเบิดทั้งหมดจะแย่บางครั้ง ประสิทธิภาพของแอปพลิเคชันก็มีความสำคัญอย่างยิ่งปีศาจอยู่ในรายละเอียดเอา บริการแคช ที่เพิ่มความเร็วในการค้นหาข้อมูลผลิตภัณฑ์และเซสชันผู้ใช้จำเป็นต้องมีการเชื่อมต่อระหว่างระบบกับระบบจึงจะรันได้ แพลตฟอร์มอีคอมเมิร์ซ ด้วยไมโครเซอร์วิสที่หลากหลายแต่รัศมีการระเบิดเดียวกันนั้นจะกลายเป็นช่องโหว่หากผู้ใช้หรือระบบที่ไม่ได้รับอนุญาตสามารถเข้าถึงได้

คุณไม่สามารถดูรัศมีการระเบิดแบบแยกส่วนได้รวมเข้ากับรูปแบบการรักษาความปลอดภัยอื่นๆ เช่น ความผิดปกติของพฤติกรรม การเข้าถึงในทางที่ผิด การคืบคลานของสิทธิพิเศษ การอนุญาตเกินสิทธิ์ และความล้มเหลวในการตรวจสอบสิทธิ์ เพื่อให้เข้าใจถึงความเสี่ยงต่อการละเมิดของคุณอย่างแท้จริงและจำไว้ว่า สิ่งที่ยอมรับได้ในอุตสาหกรรมหนึ่งอาจเป็นตัวทำลายข้อตกลงในอีกอุตสาหกรรมหนึ่ง

ความพร้อมในการละเมิดแตกต่างจากการตอบสนองเหตุการณ์แบบเดิมๆ การกู้คืนความเสียหาย ความต่อเนื่องทางธุรกิจ และโปรแกรม Zero-Trust อย่างไร และความรับผิดชอบในการประสานงานด้านวินัยเหล่านี้ควรอยู่ที่ใด

สิ่งเหล่านี้ไม่ใช่หัวข้อแยกกันเป็นสาขาวิชาที่เกี่ยวพันกันซึ่งต้องประสานกันเพื่อผลลัพธ์ทางธุรกิจเดียว

ฉันนิยามความพร้อมในการละเมิดเป็นวินัยในการฟื้นตัวขององค์กร: การเตรียมการอย่างต่อเนื่อง การสร้างสถาปัตยกรรม การดำเนินการ และการกำกับดูแลองค์กรเพื่อคาดการณ์การโจมตี จำกัดรัศมีการระเบิด รักษาองค์กรดิจิทัลขั้นต่ำที่มีชีวิตภายในผลกระทบต่อวัสดุสูงสุดที่ยอมรับได้ที่กำหนดไว้ล่วงหน้าขององค์กร และกู้คืนความสามารถในขณะที่การโจมตีถูกควบคุมความพร้อมในการละเมิดคือการสร้างอาวุธให้กับสถาปัตยกรรม Zero Trust และกำหนดสิ่งที่จะต้องเกิดขึ้นก่อน ระหว่าง และหลังการโจมตีทางไซเบอร์ความพร้อมในการละเมิดเปลี่ยนคำถามจาก ‘เราจะป้องกันผู้โจมตีได้อย่างไร’ เป็น ‘เราจะแน่ใจได้อย่างไรว่าเหตุการณ์จะไม่สร้างความเสียหายมากเกินกว่าที่เราพร้อมที่จะรับได้ และธุรกิจสามารถดำเนินต่อไปได้มากเพียงใดในขณะที่เราตอบสนอง’ ความพร้อมในการละเมิดนั้นเกี่ยวกับความอยู่รอดในขณะที่เหตุการณ์ยังคงเกิดขึ้น

การก้าวกระโดดทางแนวคิดมีความสำคัญแนวทางปฏิบัติขององค์กรที่แตกต่างกันในด้านการสำรองข้อมูลและการกู้คืน การตอบสนองต่อเหตุการณ์ การกู้คืนความเสียหาย และความต่อเนื่องทางธุรกิจ ล้วนมีบทบาทสำคัญในการเตรียมพร้อมสำหรับการละเมิด เนื่องจากสิ่งเหล่านี้จัดการการหยุดชะงักเริ่มต้นเมื่อระบบถูกโจมตีทั้งสามโปรแกรมของการตอบสนองต่อเหตุการณ์ การกู้คืนความเสียหาย และความต่อเนื่องทางธุรกิจมุ่งเน้นไปที่ “เราจะกู้คืนสิ่งที่หยุดชะงักได้เร็วแค่ไหน”ความพร้อมในการละเมิดมุ่งเน้นไปที่ “จะคงเหลือได้มากเพียงใดตั้งแต่แรก”

ความพร้อมในการละเมิดจะแยกย่อยเพื่อให้แน่ใจว่าผลลัพธ์ทางธุรกิจของการประนีประนอมได้รับการจัดการ และผู้มีส่วนได้ส่วนเสียจะมั่นใจได้ด้วยการมุ่งเน้นไปที่วิธีที่จะทำให้องค์กรส่วนใหญ่ “ไม่ได้รับผลกระทบ” และเรียกใช้ BC/DR สำหรับส่วนที่ได้รับผลกระทบความรับผิดชอบและความเป็นเจ้าของในการเตรียมพร้อมสำหรับการละเมิดนั้นขึ้นอยู่กับความเป็นผู้นำของผู้บริหารประธานเจ้าหน้าที่บริหาร/คณะกรรมการเป็นเจ้าของความเสี่ยงที่ยอมรับได้และผลลัพธ์ทางธุรกิจที่ยอมรับได้COO หรือผู้บริหารด้านความยืดหยุ่นขององค์กรที่เทียบเท่าควรประสานความพร้อมด้านการละเมิดทั่วทั้งองค์กร โดยที่ CISO เป็นเจ้าของมิติความปลอดภัยทางไซเบอร์

สำหรับองค์กรที่ตั้งใจจะบรรลุสถานะของ Kuon Ryushi การมีส่วนร่วมขององค์กรโดยสมบูรณ์ใช้เทคโนโลยีและ AI ในการจัดการผลกระทบของการโจมตีทางไซเบอร์ถือเป็นสิ่งสำคัญ

ColorTokens ใช้ AI เพื่อช่วยให้ทีมรักษาความปลอดภัยวิเคราะห์สภาพแวดล้อมและสร้างนโยบายการแบ่งส่วนย่อยได้รวดเร็วยิ่งขึ้นองค์กรควรไว้วางใจ AI ในการตัดสินใจการป้องกันโดยอัตโนมัติ และการดำเนินการควบคุมใดที่ควรยังคงต้องได้รับการอนุมัติจากมนุษย์

อย่างแน่นอน.เรากำลังทำอย่างนั้นจริงๆ

แต่ขอให้ชัดเจน: “การใช้ AI เพื่อช่วยทีมรักษาความปลอดภัย” เป็นเพียงส่วนเล็กๆ เท่านั้นที่ ColorTokens เราเชื่อในการใช้ AI อย่างมีความรับผิดชอบเพื่อทำให้องค์กรต่างๆ พร้อมรับมือกับการละเมิดอย่างแท้จริงมีเรื่องราวที่ยิ่งใหญ่กว่าแค่ ‘AI ทำให้การแบ่งส่วนย่อยง่ายขึ้น’

เหตุการณ์ล่าสุดกับ Anthropic, OpenAI, AISI และแม้แต่กรณีการจองห้องออกกำลังกายในออสเตรเลียถือเป็นความล้มเหลวของสถาปัตยกรรม ไม่ใช่การกำกับดูแลเมื่อ AI ที่เป็นอิสระหลุดรอดจากแซนด์บ็อกซ์ มันก็ไม่ได้เป็นอันตรายหรือไม่น่าเชื่อถือเสมอไปมันเกี่ยวกับวิธีการสร้างสถาปัตยกรรมมนุษย์ต้องกำหนดขอบเขตปฏิบัติการให้ชัดเจน และ AI จะต้องอยู่ภายในนั้นนั่นคือสิ่งที่การปกครองเข้ามา

ตัวอย่างเช่น คุณอาจอนุญาตให้ AI แยกตำแหน่งข้อมูลใดๆ ที่ถูกตั้งค่าสถานะว่าถูกบุกรุกด้วยความเชื่อมั่นที่สูงกว่าเกณฑ์ที่กำหนด เว้นแต่จะเป็นระบบความปลอดภัยของ OT ตัวควบคุมโดเมน ระบบการชำระเงิน หรือสินทรัพย์ที่ควบคุมการผลิตนั่นคือความเป็นอิสระที่มีขอบเขตจำกัดแต่พูดง่ายกว่าทำเพราะคุณต้องการสถาปัตยกรรมที่มีบริบทเฉพาะและจัดวางอย่างชัดเจนโดยใช้ผู้เชี่ยวชาญเฉพาะเรื่อง

ในความคิดเห็นและประสบการณ์ของฉัน บริษัทต่างๆ ต้องใช้ AI เพื่อทำการค้นพบ ความสัมพันธ์ การทำแผนที่การพึ่งพา การวิเคราะห์เส้นทางการโจมตี การวิเคราะห์รัศมีการระเบิด คำแนะนำนโยบาย การสังเคราะห์นโยบาย การจำลองนโยบาย การเพิ่มประสิทธิภาพนโยบายที่มีความเสี่ยงต่ำ การกักกันที่ได้รับอนุญาตล่วงหน้า และการตรวจสอบอย่างต่อเนื่อง และปล่อยให้การพิจารณาวิกฤตทางธุรกิจ การหยุดชะงักที่ยอมรับได้ ขอบเขตความปลอดภัย คำจำกัดความของมงกุฎ-อัญมณี ข้อจำกัดด้านความปลอดภัย (ใน OT) ผลกระทบที่ยอมรับได้สูงสุด เกณฑ์ความเป็นอิสระ การอนุมัติข้อยกเว้น การแยกการผลิตที่สำคัญและการกระทำที่ไม่สามารถย้อนกลับได้ต่อมนุษย์

สรุป – AI ควรได้รับอนุญาตให้มีอิสระเพียงพอในการทำงานให้สำเร็จ แต่ภายใต้เงื่อนไขที่ชัดเจนซึ่งบังคับใช้โดยโครงสร้างพื้นฐานที่อยู่นอกขอบเขตการควบคุมAI ควรเสนอการดำเนินการ ต้องรอให้มนุษย์อนุมัติ จากนั้นจึงบังคับใช้การเปลี่ยนแปลงที่ความเร็วของเครื่องจักรวัตถุประสงค์ไม่ใช่เพื่อทำให้ AI เป็นอิสระมันคือการทำให้เอกราชในการป้องกันมีขอบเขตจำกัด

ที่ ColorTokens เราใช้ AI เพื่อทำให้การควบคุมของฝ่ายรับเร็วพอที่จะตามทันผู้โจมตีการตัดสินใจนโยบายแบบรวมศูนย์ กลไกการบังคับใช้ที่หลากหลาย การวัดและส่งข้อมูลทางไกลที่หลากหลาย การป้องกันแบบไร้ตัวแทนสำหรับระบบที่ไม่สามารถเรียกใช้ตัวแทนได้ การสนับสนุนคลาวด์และคอนเทนเนอร์ และการค้นพบและการสังเคราะห์นโยบายที่ได้รับความช่วยเหลือจาก AI ทั้งหมดนี้เป็นส่วนหนึ่งของความพร้อมในการละเมิดนโยบายที่ได้รับความช่วยเหลือจาก AI

Microsegmentation ถือเป็นแนวคิดมานานหลายปีแล้ว แต่องค์กรต่างๆ มักเชื่อมโยงแนวคิดนี้เข้ากับการใช้งานที่ซับซ้อนและนโยบายที่เข้มงวดอะไรเปลี่ยนแปลงทางเทคโนโลยีที่ทำให้ใช้งานได้จริงมากขึ้นในโครงสร้างพื้นฐานคลาวด์ สภาพแวดล้อม Kubernetes อุปกรณ์ปลายทาง ระบบเดิม และเทคโนโลยีการดำเนินงาน

หลายอย่าง.

สิ่งที่เริ่มต้นจากวิธีใหม่ในการเชื่อมต่อและควบคุมเครือข่าย เพื่อให้มั่นใจถึงการเชื่อมต่อและแบนด์วิดท์โดยเฉพาะ ได้พัฒนาไปสู่ความสามารถด้านความปลอดภัยทางไซเบอร์ขั้นพื้นฐานในปัจจุบัน การแบ่งส่วนย่อยสามารถเปลี่ยนองค์กรขนาดใหญ่ให้กลายเป็นองค์กรที่พร้อมรับมือกับการละเมิดได้อย่างรวดเร็วและมั่นใจการเปลี่ยนแปลงทางเทคโนโลยีช่วยให้เราก้าวข้ามปัญหาเดิมๆ ได้ เช่น การแมปการพึ่งพา การออกแบบขอบเขตเครือข่ายใหม่ การกำหนดค่า VLAN และไฟร์วอลล์ การเขียนกฎด้วยตนเอง และการกังวลเกี่ยวกับการทำลายการรับส่งข้อมูลทางธุรกิจการแบ่งส่วนเคยทำได้ช้า มีราคาแพง และจำกัดเฉพาะศูนย์ข้อมูลเท่านั้นไม่อีกต่อไป.

ประการแรก ตัวตนกลายเป็นช่องทางหลักในการโจมตีทางไซเบอร์นั่นคือเหตุผลว่าทำไมการกำกับดูแลข้อมูลประจำตัวที่ได้รับการปรับปรุงจึงเป็นหลักการแรกของการไว้วางใจเป็นศูนย์ในสภาพแวดล้อมคลาวด์สมัยใหม่ ที่อยู่ IP ไม่มีความหมายสำหรับการรักษาความปลอดภัยการแบ่งส่วนย่อยสมัยใหม่ใช้ข้อมูลประจำตัว การเข้าถึง ปริมาณงาน แอปพลิเคชัน บริการ และบริบท ไม่ใช่แค่ตำแหน่งเครือข่ายขอบเขตความปลอดภัยเป็นไปตามข้อมูลประจำตัว การเข้าถึง และแอปพลิเคชัน ไม่ใช่โครงสร้างพื้นฐานพื้นฐานเพียงอย่างเดียว

ประการที่สอง การแบ่งส่วนย่อยแบบไม่ใช้เอเจนต์เป็นมากกว่าแค่เครื่องใช้ไฟฟ้าขยายการป้องกันไปยังระบบเดิม อุปกรณ์ IoT และ OT ที่ไม่สามารถเรียกใช้ตัวแทนได้การแบ่งส่วนย่อยสมัยใหม่ผสานรวมกับ EDR ซึ่งขยายความครอบคลุมและลดเวลาการใช้งานจากเดือนเหลือเป็นชั่วโมง เนื่องจาก EDR มีความต้องการการแบ่งส่วนย่อยทางไกลอยู่แล้ว

ในที่สุด AI กำลังขจัดปัญหาคอขวดใหญ่สุดท้าย: วิศวกรรมนโยบายที่พร้อมสำหรับการละเมิดบริบทเฉพาะบริบทAI สามารถวิเคราะห์จุดข้อมูลหลายจุดสำหรับบริบท การขึ้นต่อกันของแผนที่ และเส้นทางการโจมตี แนะนำนโยบายการแบ่งเขตและการแบ่งส่วนย่อย และจำลองผลกระทบก่อนที่จะบังคับใช้การแบ่งส่วนย่อยสมัยใหม่บังคับใช้นโยบายโดยตรงที่ปลายทางและปริมาณงานโดยใช้การควบคุมระบบปฏิบัติการดั้งเดิมคุณไม่จำเป็นต้องออกแบบเครือข่ายใหม่อีกต่อไปขณะนี้การแบ่งส่วนย่อยเป็นไปอย่างราบรื่น และนโยบายจะติดตามปริมาณงานไม่ว่าจะไปที่ใด

เป้าหมายไม่ใช่เพียงเพื่อสกัดกั้นความพยายามในการเคลื่อนไหวด้านข้างทุกครั้งแต่เพื่อวิเคราะห์สัญญาณที่ความเร็วของเครื่องจักรให้เพียงพอ เพื่อให้แน่ใจว่าเมื่อผู้โจมตีเข้ามา เวิร์กโหลดที่ถูกบุกรุกจะไม่กลายเป็นทางด่วนสำหรับทุกสิ่งทุกอย่างการแบ่งส่วนย่อยสมัยใหม่ไม่ได้เป็นเพียงการแบ่งเครือข่ายอีกต่อไป แต่ยังเกี่ยวกับการควบคุมและติดตามรัศมีการระเบิดอีกด้วย

ผู้บริหารควรเรียกร้องหลักฐานใดในการประเมินกรณีทางการเงินสำหรับการแบ่งส่วนย่อย โดยเฉพาะอย่างยิ่งเกี่ยวกับการหยุดทำงานของแรนซัมแวร์ ค่าเบี้ยประกันภัยทางไซเบอร์ การเปิดเผยตามกฎระเบียบ และค่าใช้จ่ายในการให้บริการที่สำคัญดำเนินการระหว่างการโจมตี

การพิจารณาทางการเงินของผลกระทบจากการละเมิดและการเชื่อมโยงการลงทุนในระดับไมโครเซกเมนต์ที่สามารถรับประกันการดำเนินงานที่ไม่ได้รับผลกระทบระหว่างการละเมิดนั้น ผู้บริหารต้องตระหนักก่อนว่าการโจมตีทางไซเบอร์จะประสบความสำเร็จ โดยไม่คำนึงถึงการลงทุนด้านความปลอดภัยทางไซเบอร์ในปี 2025 และ 2026 องค์กรที่ประสบกับการโจมตีทางไซเบอร์และเผชิญกับการหยุดทำงานที่ไม่คาดคิด ได้แก่ องค์กรทางการเงินที่แข็งแกร่งหลายแห่ง เช่น JLR, Nike และ Strykerดังนั้นจึงไม่สำคัญว่าจะถูกละเมิดหรือไม่ แต่สำคัญว่าเมื่อใด

เมื่อคุณยอมรับความเป็นจริงนี้ การลงทุนในความพร้อมในการละเมิดรากฐานจะกลายเป็นเรื่องเร่งด่วนและเป็นเรื่องของการอยู่รอดของธุรกิจเพื่อการลงทุนอย่างชาญฉลาด ให้เราทำความเข้าใจตัวบ่งชี้ระดับคณะกรรมการทั้งสองโดยละเอียดยิ่งขึ้น

ประการแรกคือการวัดความอยู่รอดผลกระทบด้านวัสดุที่ยอมรับได้สูงสุด (MAMI) ที่ผู้บริหารระดับสูงและหน่วยงานกำกับดูแลยินดียอมรับสำหรับการเปลี่ยนแปลงทางดิจิทัลหรือความทะเยอทะยานในการนำ AI มาใช้อาจเริ่มต้นจากตัวเลขรายได้ แต่ต้องขยายไปสู่ความสามารถทางการเงิน ความไว้วางใจของลูกค้า ชื่อเสียง หรือแบรนด์มากกว่าการทำซ้ำ

ประการที่สองคือตัวบ่งชี้ความได้เปรียบทางการแข่งขันองค์กรดิจิทัลขั้นต่ำที่ทำงานได้ (MVDE) ที่ต้องยังคงใช้งานได้แม้ว่าจะมีการโจมตีทางไซเบอร์ที่ไม่เคยเกิดขึ้นมาก่อนเกิดขึ้นก็ตามกรณีทางธุรกิจทั้งหมดสำหรับความคิดริเริ่มใหม่ ๆ จะต้องพิจารณาทั้งสองปัจจัยMVDE สามารถเริ่มต้นจาก 70% และเพิ่มขึ้นเรื่อยๆ ตามความสำเร็จของโปรแกรมการระบุตัวตนและการแบ่งส่วนย่อยที่สำคัญ

นี่คือสิ่งที่ผู้บริหารควรมองหาเมื่อประเมินการแบ่งกลุ่มย่อย: หลักฐานที่แสดงว่าสามารถจัดการกับการหยุดทำงานของแรนซัมแวร์ ลดเบี้ยประกันภัยทางไซเบอร์ที่ลดลง ลดการเปิดเผยตามกฎระเบียบ และให้บริการที่สำคัญยังคงทำงานต่อไประหว่างการโจมตี

แม้ว่าสิ่งเหล่านี้จะกล่าวถึงกรณีการใช้งานส่วนใหญ่ การปฏิบัติตามกฎระเบียบจะต้องมีคำชี้แจงความเกี่ยวข้องของแต่ละกฎระเบียบ ซึ่งสามารถอธิบายได้ว่าแพลตฟอร์ม ColorTokens ปฏิบัติตามส่วนใดของกฎระเบียบได้โดยตรง ความต้องการกระบวนการใดที่ห่อหุ้มเทคโนโลยี และสิ่งใดที่ต้องการเทคโนโลยีและกระบวนการเพิ่มเติม

หลายองค์กรดำเนินการทดสอบการเจาะระบบและแบบฝึกหัดการตอบสนองต่อเหตุการณ์ แต่สิ่งเหล่านี้อาจไม่เปิดเผยว่าผู้โจมตีสามารถเคลื่อนที่ได้ไกลแค่ไหนหลังจากเข้าถึงได้บริษัทต่างๆ ควรทดสอบการกักกันและความอยู่รอดภายใต้เงื่อนไขการโจมตีที่เร่งด้วย AI ที่สมจริงอย่างไร

หากองค์กรจำเป็นต้องยึดถือสาระสำคัญของ Koun Ryusui ในการสร้างความพร้อมในการละเมิด พวกเขาจะต้องบูรณาการ การแบ่งส่วนย่อยในการดำเนินการด้านความปลอดภัยทางไซเบอร์ที่มีอยู่และพัฒนาไปตามกาลเวลาในการทำเช่นนั้น การแบ่งเซกเมนต์ระดับย่อยจำเป็นต้องรวมสัญญาณเข้ากับเครื่องมืออื่นๆ ใน Security Operations Center เช่น SIEM, EDR, ไฟร์วอลล์ Next Gen เป็นต้น ซึ่งจะช่วยให้มั่นใจได้ว่าการแบ่งส่วนย่อยที่ขับเคลื่อนด้วย AI สามารถจัดเตรียมการกักกันเมื่อจำเป็น โดยอิงตามตัวบ่งชี้การโจมตีและความผิดปกติของพฤติกรรม

สิ่งที่คุณต้องการไม่ใช่การทดสอบรายบุคคล แต่เป็นแบบฝึกหัดที่ช่วยพัฒนาความพร้อมในการละเมิดของคุณ

มีสามสิ่งที่คุณควรออกกำลังกายหากการแบ่งส่วนย่อยและการเอาตัวรอดของคุณเป็นไปตามความเป็นจริงประการแรกคือสถานะปัจจุบันของความพร้อมในการละเมิดซึ่งสามารถทำได้ก่อนที่คุณจะเริ่มใช้งาน ColorTokens หลังจากที่คุณบังคับใช้นโยบายของคุณ และเมื่อมีการเปลี่ยนแปลงทุกครั้งเพื่อพิจารณาว่าการเปลี่ยนแปลงของคุณได้เปลี่ยนแปลงการออกแบบ MAZE ของคุณหรือไม่ ซึ่งประกอบด้วยโซนที่พร้อมสำหรับการละเมิดตามวัสดุ ไมโครเซกเมนต์ และท่อร้อยสายที่ได้รับการควบคุม

อย่างที่สองคือความเร็วที่คุณสามารถกักกันการโจมตีทางไซเบอร์เมื่อมีการละเมิดเกิดขึ้นจริงพารามิเตอร์หลักในการทดสอบคือความแม่นยำในการตรวจจับและความเร็วของการควบคุมและการแยก MVDE โดยใช้ AIและสามารถทำได้ผ่านการทดสอบการเจาะ การฝึกทีมสีแดง และการประเมินการจำลองการโจมตีแบบฝ่าฝืนการทดสอบเหล่านี้ควรทำโดยไม่ต้องแจ้งไปยังศูนย์ปฏิบัติการด้านความปลอดภัยเพื่อตรวจสอบการตอบสนองต่อการเปลี่ยนแปลงพารามิเตอร์การละเมิด

ประการที่สามคือวิธีที่องค์กรของคุณจะตอบสนองในสถานการณ์การละเมิดที่เกิดขึ้นจริงก่อนออกกำลังกาย ตรวจสอบให้แน่ใจว่าได้สื่อสาร “คู่มือเตรียมพร้อมสำหรับการละเมิด” ของคุณไปยังผู้มีส่วนได้ส่วนเสียภายในที่เกี่ยวข้อง บุคคลที่สามที่สนับสนุนด้านเทคนิค และผู้ให้บริการบำรุงรักษา โดยเฉพาะเจ้าของสินทรัพย์และผู้รวมระบบ OTจากนั้นจึงทำแบบฝึกหัดจำลองก่อนทำการประเมินทีมสีแดงเพื่อมอบประสบการณ์ที่สมจริง

ในขณะที่องค์กรต่างๆ ใช้เอเจนต์ AI แบบอัตโนมัติมากขึ้นพร้อมการเข้าถึงแอปพลิเคชัน ข้อมูล ข้อมูลประจำตัว และโครงสร้างพื้นฐาน ความพร้อมในการละเมิดจะต้องพัฒนาอย่างไรเพื่อให้ไม่เพียงแต่ควบคุมบัญชีและอุปกรณ์ของมนุษย์ที่ถูกบุกรุกเท่านั้น แต่ยังรวมถึงเอเจนต์ AI ที่ถูกบุกรุกหรือทำงานผิดปกติด้วย

ความพร้อมในการละเมิดจะต้องพัฒนาจากการกักเก็บบัญชีและอุปกรณ์ของมนุษย์ที่ถูกบุกรุก ไปจนถึงการปฏิบัติต่อตัวแทน AI ที่เป็นอิสระในฐานะตัวตนที่ไม่ใช่มนุษย์ (NHI) ระดับความเร็วสูงที่ชัดเจน ซึ่งสามารถดำเนินการด้วยข้อมูลรับรองที่ถูกต้องตามกฎหมายที่ความเร็วของเครื่องจักรความท้าทายนี้ฟังดูมีนัยสำคัญบนกระดาษ เนื่องจาก NHI คาดว่าจะมีจำนวนมากกว่าอัตลักษณ์ของมนุษย์อย่างน้อย 250 เท่าจากการประมาณการในปัจจุบัน

เอเจนต์ทำลายการควบคุมแบบเดิมๆ ที่เน้นไปที่ผู้ใช้ อุปกรณ์ปลายทาง และบัญชีบริการแบบคงที่พวกเขาให้การเข้าถึงแอปพลิเคชัน ข้อมูล ข้อมูลประจำตัว และโครงสร้างพื้นฐานแบบสดเหตุผลและการกระทำลูกโซ่อย่างต่อเนื่องและสามารถถูกโจมตีได้ผ่านการฉีดทันที การใช้เครื่องมือเป็นพิษ การจัดการกับหน่วยความจำ ปัญหาด้านห่วงโซ่อุปทาน หรือการวางแนวที่ไม่ถูกต้อง/การเคลื่อนตัวแบบง่ายๆและเมื่อพวกเขาประพฤติตัวไม่เหมาะสมหรือถูกจี้ รัศมีการระเบิดจะขยายออกเร็วกว่าการตอบสนองของมนุษย์การตอบสนองการละเมิดไม่สามารถรอความแน่นอนทั้งหมดหรือการยกระดับหลายทีมได้ และด้วยเหตุนี้ การตอบสนองพื้นฐานที่เข้มงวดและได้รับการอนุมัติล่วงหน้าแบบอัตโนมัติจึงเป็นสิ่งจำเป็น

เมื่อมีการปรับใช้ตัวแทน AI ที่เป็นอิสระมากขึ้น ความพร้อมในการละเมิดจำเป็นต้องใช้ Identity เป็นระนาบควบคุมหลักสำหรับตัวแทน ปรับปรุง Zero Trust เป็น “Agent Trust” ควบคุมรั้ว การป้องกันหน่วยความจำ และสุขอนามัยในการกำกับดูแล เลื่อนไปสู่แรงเสียดทานที่ได้รับการอนุมัติล่วงหน้าและการบรรจุแบบอัตโนมัติ และผสานรวมการแบ่งส่วนย่อยและการแยกทางสถาปัตยกรรมสำหรับการกักเก็บ พร้อมด้วยการมองเห็นรันไทม์ พื้นฐานพฤติกรรม และการตรวจจับลำดับ

ความพร้อมในการละเมิดจำเป็นต้องเปลี่ยนจาก “เราสามารถกู้คืนหลังจากการเข้ารหัสได้หรือไม่”ถึง “เราสามารถมีนักแสดงอิสระที่ทำงานด้วยข้อมูลประจำตัวที่ถูกต้องก่อนที่จะลดหลั่นกันได้หรือไม่”ตัวบ่งชี้ความพร้อมในการละเมิดควรรวมถึงเวลาในการทำความเข้าใจ (ตัวแทนรายใด การดำเนินการใด ข้อมูล/ระบบใดที่ถูกสัมผัส และกิจกรรมที่กำลังดำเนินอยู่หรือไม่) และเวลาในการเสียดสีสำหรับตัวแทนโดยเฉพาะแพลตฟอร์ม ColorTokens สามารถค้นหาการพึ่งพาได้อย่างรวดเร็ว สร้างและปรับแต่งนโยบาย และบังคับใช้การควบคุม โดยเฉพาะอย่างยิ่งเมื่อเสริมด้วย AI สำหรับนโยบายอัตโนมัติ และกลายเป็นศูนย์กลางในการก้าวให้ทันในแบบจำลองนี้ เราให้ความสำคัญกับการแยกตัว การกักกัน และสิทธิพิเศษน้อยที่สุดเหนือการป้องกันที่สมบูรณ์แบบ

แพลตฟอร์มการแยกส่วนย่อยของ ColorTokens ขยายการระบุตัวตน การตรวจสอบอย่างต่อเนื่อง การแบ่งส่วนย่อย การตรวจสอบพฤติกรรม และการกักกันที่ได้รับอนุญาตล่วงหน้าไปยังชั้นเอเจนติก ซึ่งจะทำให้รัศมีการระเบิดสามารถจัดการได้ และรักษาความต่อเนื่องในการปฏิบัติงานลายเซ็นการป้องกันที่ต้องการนั้นเป็นแบบเดียวกับที่เรียกร้องโดยแรนซัมแวร์ความเร็วเครื่องจักร นั่นคือความเร็วสูงสุดในการทำความเข้าใจและการเสียดสี ซึ่งมีพื้นฐานอยู่บนสถาปัตยกรรมที่ถือว่ามีการละเมิด แทนที่จะหวังว่าเจ้าหน้าที่จะสอดคล้องกันอยู่เสมอ

ขอบคุณสำหรับบทสัมภาษณ์ดีๆ นักอ่านที่ต้องการเรียนรู้เพิ่มเติมควรเข้าไปเยี่ยมชม ColorTokens.