Agnidipta Sarkar, Chief Evangelist, ColorTokens – ซีรีส์สัมภาษณ์

Agnidipta Sarkar, Chief Evangelist, ColorTokens เป็นผู้นำด้านความปลอดภัยไซเบอร์และความยืดหยุ่นดิจิทัลที่มีประสบการณ์กว่า สามทศวรรษ ครอบคลุมการป้องกันไซเบอร์ การจัดการความเสี่ยง ความต่อเนื่องของธุรกิจ ความเป็นส่วนตัว และ Zero Trust. ที่ ColorTokens เขาทำงานร่วมกับคณะกรรมการ ผู้บริหารระดับ C‑suite และผู้นำด้านความปลอดภัยเพื่อเสริมความพร้อมรับเหตุละเมิดและเชื่อมโยงโปรแกรมความปลอดภัยไซเบอร์กับความสำคัญของธุรกิจ พร้อมมีส่วนร่วมในการกำหนดมาตรฐานสากลและโครงการอุตสาหกรรมผ่านองค์กรต่าง ๆ เช่น ISO, Cloud Security Alliance, NIST, และ ISA. ก่อนเข้าร่วม ColorTokens, Sarkar เคยดำรงตำแหน่ง Group CISO ที่ Biocon และรับหน้าที่ผู้นำระดับสูงด้านความปลอดภัยข้อมูลและความเสี่ยงที่องค์กรต่าง ๆ เช่น DXC Technology, Hewlett Packard Enterprise, และ HP.

ColorTokens เป็นบริษัทด้านความปลอดภัยไซเบอร์ที่มุ่งเน้นการทำไมโครเซกเมนเทชัน, Zero Trust, และช่วยให้องค์กรมีความยืดหยุ่นมากขึ้นเมื่อผู้โจมตีทะลุการป้องกันแบบดั้งเดิม แพลตฟอร์มหลัก Xshield Enterprise Microsegmentation Platform ของบริษัทออกแบบมาเพื่อป้องกันไม่ให้ผู้โจมตีและมัลแวร์เคลื่อนที่แบบแนวนอนภายในองค์กรโดยสร้างขอบเขตความปลอดภัยระดับละเอียดรอบ ๆ งานและทรัพย์สินที่ครอบคลุมศูนย์ข้อมูล โครงสร้างคลาวด์ จุดเชื่อมต่อ, สภาพแวดล้อม Kubernetes, เทคโนโลยีการดำเนินงาน (OT) และอุปกรณ์ Internet of Things (IoT) แพลตฟอร์มยังรวมเวิร์กโฟลว์ที่ช่วยด้วย AI สำหรับการค้นพบสภาพแวดล้อม การสร้างนโยบายการแบ่งส่วน และเร่งการปรับใช้ นโยบาย โดยมีเป้าหมายกว้างคือการลดพื้นที่โจมตีขององค์กรและจำกัดผลกระทบหรือ “blast radius” ของการละเมิดที่สำเร็จ.

คุณมีประสบการณ์กว่าสามทศวรรษที่เริ่มจากบทบาทด้านเครือข่ายและความปลอดภัยแบบปฏิบัติที่ HCL, Wipro, HP, HPE, และ DXC แล้วดำรงตำแหน่ง Group Chief Information Security Officer ที่ Biocon และมีส่วนร่วมในการกำหนดมาตรฐานความปลอดภัยระดับสากล ประสบการณ์ด้านสนามเหล่านั้นทำให้คุณเชื่อมั่นว่าองค์กรต้องเตรียมพร้อมรับมือกับการละเมิดแทนที่จะสมมติว่าตนสามารถป้องกันการโจมตีทุกกรณีได้อย่างไร?

ในช่วงแรกของฉันที่ HCL และ Wipro ความปลอดภัยไซเบอร์รู้สึกเหมือนยุค Wild West ที่น่าตื่นเต้น วุ่นวาย และเต็มไปด้วยโอกาส ฉันกระโดดเข้าไปทดลอง ผิดพลาด เรียนรู้ และประสบความสำเร็จกับทุกอย่างที่เทคโนโลยีท้าให้ทำ: ไฟร์วอลล์, IDS, MFA, การเข้ารหัส, การตรวจสอบ, การกำกับดูแล แต่บทเรียนที่แท้จริงมาถึงเมื่อฉันได้เห็นเหตุการณ์ความปลอดภัยครั้งแรกเกิดขึ้น ทันใดนั้นแนวปฏิบัติที่ดีที่สุดทั้งหมดพังทลายภายใต้ความกดดัน นั่นคือสัญญาณเตือนของฉัน.

ที่ HP ฉันได้ชมความวุ่นวายจากที่นั่งหน้าแรก เริ่มจากเป็นผู้สังเกตการณ์แล้วต่อมาเป็นผู้นำปฏิบัติการ เฝ้าดูความวุ่นวายอย่างใกล้ชิด ทุกเหตุการณ์สอนบทเรียนเดียวกัน: ไอทีไม่มีที่หยุดนิ่งและการลงทุนใด ๆ สามารถรับประกันความปลอดภัยได้ เมื่อฉันได้เป็นหัวหน้ากลุ่ม CISO ฉันรู้ว่าหน้าที่ของฉันคือการสร้างคู่มือการจัดการการละเมิด ไม่เพียงสำหรับการดำเนินงานด้านความปลอดภัยของฉันเท่านั้น แต่สำหรับองค์กรทั้งหมด คู่มือที่ทำซ้ำได้ คาดการณ์ได้ และสามารถทำให้ธุรกิจดำเนินต่อไปเมื่อพายุมาถึง พร้อมปรับปรุงการดำเนินงานด้านความปลอดภัยอย่างต่อเนื่อง.

บนกระดาษ เครื่องมือดูเหมือนสมบูรณ์แบบ แต่ในความเป็นจริง การจัดการบริการไอทีเปิดเผยช่องโหว่ที่คุณไม่เคยคาดคิด การจัดการสินทรัพย์, การอัปเดต, การกำหนดค่า, การเปลี่ยนแปลง, ความเสี่ยง—ทั้งหมดถักทอกับความผิดพลาดของมนุษย์ นั่นคือที่ที่ความอ่อนแอดิจิทัลซ่อนอยู่ และเมื่อสัญญาณเตือนดังขึ้น การคลี่คลายเป็นฝันร้าย ไม่มีสคริปต์สำหรับห้องสงครามเมื่อเกิดการละเมิด ความวุ่นวายเป็นกฎ ไม่ใช่ข้อยกเว้น นั่นคือเหตุผลที่ฉันใช้เวลาทั้งอาชีพสร้างโครงสร้างในใจพายุและช่วยผู้นำตัดเสียงรบกวนและจัดการความเสี่ยง แทนที่จะถูกพัดพาไป.

เมื่อมองย้อนกลับ ฉันขอบคุณทุกบทเรียน—การเฝ้าดูจากข้างสนาม การลงมือทำในสถานการณ์โจมตีอย่างเต็มที่ และในที่สุดการนำจากแนวหน้า นั่นคือเหตุผลที่ฉันส่งเสริมความพร้อมรับการละเมิดเป็นศิลปะ ไม่ใช่แค่วิทยาศาสตร์ คุณสามารถวางแผนรูปแบบการโจมตีตลอดวัน แต่สิ่งสำคัญคือสิ่งที่เกิดขึ้นในห้องสงครามเมื่อผู้นำต้องยึดแนว ความชัดเจนนี้มาจากการผ่านประสบการณ์จริง.

เพราะฉะนั้นฉันจึงสร้างกรอบความพร้อมรับการละเมิดเพื่อคาดการณ์ ทนทาน และพัฒนาความสามารถในการเผชิญการโจมตีไซเบอร์ครั้งต่อไป กรอบนี้ช่วยให้องค์กรเคลื่อนที่ตามพายุ ไม่ใช่ต่อต้านเป้าหมาย เป้าหมายสุดท้ายคือการบรรลุ Koun Ryusui, ลอยเหมือนเมฆ ไหลเหมือนน้ำ เพื่อให้เมื่อการโจมตีที่ไม่เคยมีมาก่อนเกิดขึ้น แทนความวุ่นวาย ธุรกิจจะใช้ความยืดหยุ่นและความทนทานที่มีโครงสร้าง โดยใช้การลงทุนเทคโนโลยีให้แข็งแกร่งและมั่นใจมากขึ้น.

AI กำลังช่วยผู้โจมตีอัตโนมัติการสำรวจ, การใช้ช่องโหว่, และการเคลื่อนที่แนวนอน ซึ่งอาจทำให้กิจกรรมที่เคยใช้สัปดาห์กลายเป็นชั่วโมงหรือแม้กระทั่งนาที ส่วนใดของโมเดลการตอบสนองต่อเหตุการณ์แบบดั้งเดิมจะไม่มีประสิทธิภาพเมื่อการโจมตีเริ่มทำงานที่ความเร็วของเครื่อง?

เมื่อการโจมตีเคลื่อนที่ที่ความเร็วของเครื่อง ผู้ป้องกันที่รอดชีวิตคือผู้ที่สามารถวิเคราะห์และดำเนินการเร็วกว่าฝ่ายตรงข้าม ใช่ AI มอบเครื่องมือใหม่ให้ผู้โจมตี แต่ก็เสริมพลังให้ผู้ป้องกันด้วย ในประสบการณ์ของฉัน มีสองวิธีในการจัดการกับการโจมตีที่ไม่เคยมีมาก่อนและขับเคลื่อนด้วย AI.

แรก คุณต้องออกแบบภูมิทัศน์ดิจิทัลใหม่ สร้างโซนและไมโครเซกเมนต์ที่พร้อมรับการละเมิดเพื่อแยก “ครา​นจอยล์” ของคุณออกจากส่วนอื่น คิดว่าเป็นเหมือนเขาวงกต: เส้นทางบางส่วนเปิด บางส่วนปิด ทำให้ตัวตนที่ไม่ได้รับอนุญาตเคลื่อนที่ได้ยาก นี่คือวิธีที่คุณทำให้การโจมตีที่ขับเคลื่อนด้วย AI ช้าลง เพราะเขาวงกตเปลี่ยนแปลงตามการเปลี่ยนแปลงของระบบดิจิทัล.

สอง คุณต้องมีเทมเพลต, คู่มือการทำงาน, และบทบาทที่ชัดเจนพร้อมก่อนที่สัญญาณเตือนจะดัง เพื่อเมื่อเกิดเหตุ ทุกคนและเครื่องจะรู้ว่าต้องทำอะไรและลำดับความสำคัญอย่างไร เทคนิคคือการซื้อเวลาและทำให้ AI ช้าลง บังคับให้มันทำงานหนักขึ้นและปฏิเสธการเคลื่อนที่ที่ง่าย นี่คือวิธีที่คุณรักษาการป้องกันไว้ในสนามรบเมื่อทุกมิลลิวินาทีมีค่า.

ถามชาวเรือใด ๆ ที่เคยรอดพ้นจากการรั่วของเรือดำน้ำ เมื่อมีน้ำไหลเข้ามาอย่างรวดเร็ว คุณไม่มีเวลาคาดเดาการเคลื่อนที่ต่อไป คุณต้องเสริมประตูที่สำคัญไว้ล่วงหน้า รู้ว่าต้องรักษาการทำงานอะไรและจุดที่ความดันจะกระทบ เมื่อการรั่วเกิดขึ้น สิ่งที่ทำได้คือแยกส่วนที่ถูกน้ำท่วมและให้ส่วนที่เหลือของเรือทำงานต่อ นั่นคือการปกป้องธุรกิจที่สามารถดำเนินการได้อย่างน้อยที่สุด ในโลกดิจิทัลหมายถึงองค์กรดิจิทัลที่สามารถดำเนินการได้อย่างน้อยที่สุด.

นี่คือสิ่งที่ความพร้อมรับการละเมิดหมายถึง หากการโจมตีใด ๆ ผ่านเข้ามา คุณต้องแยกพื้นที่ที่ได้รับผลกระทบ, เริ่มกระบวนการ BCP ของคุณ, และให้ธุรกิจหลักที่ไม่ได้รับผลกระทบดำเนินต่อไป ไม่ต้องปิดระบบ ไม่ต้องวิกฤติ เพียงเหตุฉุกเฉินเท่านั้น.

คุณสนับสนุนให้พูดถึงความพร้อมรับการละเมิดในแง่ธุรกิจและการเงิน แทนที่จะมองว่าเป็นปัญหาเทคนิคอย่างเดียว ตัวชี้วัดใดที่คณะกรรมการควรใช้เพื่อพิจารณาว่าองค์กรสามารถดำเนินงานต่อได้หรือไม่ในกรณีการโจมตีไซเบอร์รุนแรง?

การละเมิดไม่ได้ส่งผลต่อระบบของคุณเท่านั้น แต่ส่งผลต่อทุกสิ่งและทุกคนที่พึ่งพา ระบบเหล่านั้น ถามผู้ป่วยที่ถูกปฏิเสธจากโรงพยาบาล นักเดินทางที่ติดอยู่ที่สนามบิน หรือผู้จัดจำหน่ายรถที่ต้องอยู่ในหนี้สินหลายเดือน นั่นคือค่าใช้จ่ายจริงของการโจมตีไซเบอร์ ไม่ใช่เรื่องว่า “จะเกิดหรือไม่” แต่เป็นเรื่องว่า “เมื่อไหร่” นั่นคือเหตุผลที่คณะกรรมการต้องมองความพร้อมรับการละเมิดเป็นความจำเป็นทางธุรกิจและการเงิน.

มีตัวชี้วัดสองอย่างที่คณะกรรมการทุกคนควรติดตาม.

แรก กำหนดปริมาณผลกระทบเชิงวัตถุที่คณะกรรมการยินดีรับได้ในการไล่ตามเป้าหมายดิจิทัลและ AI สิ่งนี้กำหนดเกณฑ์ว่ามากน้อยแค่ไหนขององค์กรดิจิทัลของคุณต้องคงการดำเนินงานระหว่างการละเมิด ฉันเรียกสิ่งเหล่านี้ว่า Maximum Acceptable Material Impact (MAMI) และ Minimum Viable Digital Enterprise (MVDE).

หลายคนสับสน MVDE กับความต่อเนื่องของธุรกิจ แต่จริง ๆ แล้วไม่เท่ากัน หากคุณบอกว่าผลกระทบต่ำกว่า 10% ยอมรับได้ หมายความว่า 90% ของธุรกิจของคุณต้องดำเนินต่อไปแม้ในระหว่างการละเมิด แผนความต่อเนื่องของธุรกิจส่วนใหญ่ให้คุณกลับมาที่ 30% อย่างดีที่สุด ทำให้ 60% ของธุรกิจดิจิทัลของคุณเสี่ยงอยู่ ความขัดแย้งนี้ทำให้ผู้นำต้องนอนไม่หลับ.

หากคุณตั้งค่า MVDE ที่ 70% คุณสามารถให้ผู้มีส่วนได้ส่วนเสียมั่นใจว่าคุณกำลังลงทุนในระบบป้องกันที่ทำให้ธุรกิจดำเนินต่อได้ แม้ในกรณีที่แย่ที่สุด การสร้างเขาวงกตที่ยากต่อผู้โจมตีมนุษย์หรือ AI ทำลาย และความสามารถในการแยกการโจมตีที่ความเร็วของเครื่อง นี่คือจุดที่ไมโครเซกเมนเทชันทำหน้าที่เป็นอิฐเลโก้พื้นฐาน คุณสามารถเชื่อมต่อการลงทุนด้านความปลอดภัยไซเบอร์ส่วนใหญ่ เช่น EDR, Firewall, SASE, Identity (มนุษย์และไม่ใช่มนุษย์), การเข้าถึง, การอนุญาต, และความปลอดภัย OT เข้ากับสัญญาณเชื่อมต่อเดียวที่ SOC ของคุณสามารถทำงานได้ระหว่างการละเมิดที่กำลังดำเนินอยู่เพื่อกักกันการโจมตีไซเบอร์และแยก MVDE.

ติดตาม MAMI และ MVDE ทุกไตรมาส สำหรับทุกโครงการดิจิทัลและ AI ใหม่ และนักลงทุนและผู้มีส่วนได้ส่วนเสียของคุณจะมองหาหลักฐานว่าความยืดหยุ่นถูกจัดการอย่างไร.

“Blast radius” กำลังถูกใช้เพิ่มขึ้นเป็นมาตรการวัดความยืดหยุ่นไซเบอร์ องค์กรจะคำนวณ blast radius ที่เป็นไปได้ก่อนการโจมตีเกิดขึ้นอย่างไร และระดับ