การนิยามอำนาจใหม่ในระดับผู้บริหารระดับ C‑Suite: สิ่งที่การสร้างความสัมพันธ์กับ AI จริง ๆ ต้องการ

ฉันทำงานด้านการจัดซื้อในศูนย์ปฏิบัติการความปลอดภัยเป็นเวลา 25 ปี และไม่เคยนอนหลับเสียใจเพราะกฎไฟร์วอลล์เลยแม้ครั้งเดียว อย่างไรก็ตาม ฉันเคยนอนหลับเสียใจเพราะ AI การทำงานอัตโนมัติแบบดั้งเดิม ไม่ว่าจะซับซ้อนแค่ไหน ก็ยึดตามตรรกะที่คุณสามารถตรวจสอบได้ แต่ในระดับที่ไม่เคยมีมาก่อนของ AI ที่มีความสามารถตัดสินใจ ระบบจึงได้รับความไว้วางใจให้ทำการตัดสินใจที่วิศวกรบางคนไม่สามารถอธิบายได้อย่างเต็มที่ – การสูญเสียความโปร่งใสนี้เป็นเหตุผลที่ทำให้หลาย ๆ CISO ติดอยู่

97% ของผู้นำด้านความปลอดภัยเชื่อมั่นว่า AI สามารถจัดการการคัดกรองได้ แต่มีเพียง 35% เท่านั้นที่ใช้งานจริงในส่วนนี้ จุดเปลี่ยนนี้เป็นปัญหาความไว้วางใจ และความไว้วางใจสามารถแก้ไขได้เหมือนเดิม ผ่านโครงสร้าง หลักฐาน และเวลา

คุณสามารถมองเห็นการทำงานอัตโนมัติได้ แต่คุณจะไว้ใจ AI หรือไม่?

ด้วยการทำงานอัตโนมัติแบบดั้งเดิม ผู้ปฏิบัติงานสามารถรู้ล่วงหน้าว่าจะเกิดอะไรขึ้นก่อนที่มันจะเกิดขึ้น ความโปร่งใสนี้ทำให้ทีม SOC ใช้เวลาสิบปีในการสร้างความไว้วางใจในกระบวนการทำงานอัตโนมัติโดยไม่มีการโต้แย้งภายในมากนัก อย่างไรก็ตาม AI ที่มีความสามารถตัดสินใจได้ได้ทำลายกรอบเดิมโดยการเพิ่มชั้นการตัดสินใจที่เรียนรู้จากข้อมูล – ระบบที่พิจารณาบริบท ทำการคาดการณ์ และสรุปผลผ่านกระบวนการที่ไม่ใช่ทุกครั้งที่คนที่สร้างมันสามารถอ่านได้อย่างเต็มที่

เพียง 21% ขององค์กรบอกว่ามีโมเดลการกำกับดูแล AI ที่มีความสมบูรณ์ แม้ว่า 74% จะคาดว่าจะใช้ AI agents อย่างน้อย “ระดับปานกลาง” ภายในปี 2027 เมื่อผู้ปฏิบัติงานด้านความปลอดภัยไม่สามารถอธิบาย “black box AI” อย่างโปร่งใสได้ นั่นเป็นเครื่องหมายของความยากลำบากในการกำกับดูแลเครื่องมือ AI ไม่ได้เพราะเครื่องมือไม่ได้รับการปกป้องอย่างเหมาะสม แต่เพราะการทำงานภายในของ AI พื้นฐานมาจากการตัดสินใจ มากกว่าการไหลของแผนผัง

ในห้องประชุมผู้บริหาร ผู้จัดการมักประเมิน AI เหมือนกับการประเมินการทำงานอัตโนมัติ โดยถามว่า “ฉันจะเห็นตรรกะได้หรือไม่” แทนที่จะถามว่า “ฉันจะสร้างความมั่นใจในผู้ตัดสินใจที่ตรรกะของเขาเปลี่ยนแปลงไปอย่างไร” ส่วนใหญ่ของ CISO คงรู้คำตอบแล้ว แต่ความท้าทายคือการนำไปใช้จริง

การปฏิบัติต่อ AI เหมือนการจ้างงานระดับสูงที่มีความเสี่ยงสูง

ลองนึกภาพการรับคนวิเคราะห์อาวุโสใหม่ CISO จะไม่มอบกุญแจการผลิตให้กับนักวิเคราะห์ใหม่ตั้งแต่วันแรก ไม่ว่าเรซูเม่ของเขาจะยอดเยี่ยมแค่ไหน เขาจะเริ่มทำงานที่เสี่ยงต่ำ ดูว่าเขาจัดการกับความไม่แน่นอนได้อย่างไร แล้วค่อยขยายอำนาจเมื่อเขาแสดงศักยภาพ AI ควรได้รับการรับเข้าสู่ระบบแบบเดียวกัน โดยอาศัยความไว้วางใจที่อิงหลักฐานและค่อยสร้างขึ้นตามเวลา

เราได้เห็นผลลัพธ์จริงเมื่อ เอเจนต์ Meta AI อัตโนมัติทำให้เกิดเหตุการณ์ความปลอดภัยระดับบริษัททั้งหมด หลังจากดำเนินการโดยไม่มีการอนุมัติจากมนุษย์ ทำให้ข้อมูลสำคัญของบริษัทและผู้ใช้ถูกเปิดเผยต่อพนักงานที่ไม่ได้รับอนุญาตเป็นเวลาประมาณสองชั่วโมงก่อนที่ปัญหาจะถูกควบคุม สาเหตุหลักคือการขาดการตรวจสอบ “human‑in‑the‑loop” ณ จุดตัดสินใจที่ควรมีการขออนุมัติอย่างชัดเจน นั่นคือรูปแบบความล้มเหลวที่การตั้งค่าแนวกันชนที่เข้มงวดพยายามป้องกัน และเป็นเครื่องเตือนว่าการจำกัดขอบเขตสำคัญกว่าความซับซ้อนของโมเดล

AI ควรได้รับการดูแลเช่นเดียวกัน และเราสามารถมองว่ามันเป็นกระบวนการขึ้นรูปที่อิงหลักฐาน:

• ทำความเข้าใจตรรกะการตัดสินใจก่อนนำไปใช้ คุณไม่จำเป็นต้องเห็นน้ำหนักทั้งหมดของโมเดล แต่ต้องรู้ว่าข้อมูลใดที่ AI ใช้ในการให้เหตุผล ผลลัพธ์ใดที่มันพยายามเพิ่มประสิทธิภาพ และจุดบอดของมันอาจอยู่ที่ใด
• ตั้งแนวกันชนที่เข้มงวดตั้งแต่วันแรก กำหนดให้ระบบทำงานอิสระได้เฉพาะอะไรและต้องการการตรวจสอบจากมนุษย์ในเรื่องใด การจำกัดขอบเขตเป็นพื้นฐานที่ความไว้วางใจจะสร้างขึ้น
• ขยายขอบเขตเฉพาะเมื่อมีหลักฐานสะสม ทุกการตัดสินใจที่ถูกต้องคือข้อมูลหนึ่ง และทุกความล้มเหลวก็เป็นข้อมูลเช่นกัน ปรับขอบเขตตามประวัติการทำงาน ไม่ใช่ตามความกระตือรือร้นของผู้ขายหรือวงจรงบประมาณ

การปฏิบัติตามขั้นตอนเหล่านี้จะช่วยลดความกังวลของ CISO รวมถึงการป้องกันระบบอัตโนมัติทำงานเกินขอบเขตที่ใครก็ไม่ได้ตรวจสอบว่าเหมาะสมหรือไม่

โมเดลสามชั้น: ที่ AI ควรได้รับตำแหน่งของมัน

SANS’ Secure AI Blueprint นำเสนอโครงสร้างการกำกับดูแลที่แบ่งเป็นสามแทร็ก คือ ปกป้อง AI, ใช้ AI, และกำกับดูแล AI ซึ่งครอบคลุมหกหมวดควบคุม ได้แก่ การเข้าถึง, ข้อมูล, การปรับใช้, การสรุปผล, การเฝ้าติดตาม, และความปลอดภัยของโมเดล นี่เป็นจุดเริ่มต้นที่ดี และเพื่อก้าวต่อไป การแบ่ง SOC เป็นสามชั้นช่วยแก้ไขปัญหาความไว้วางใจใน AI

1. ผลลัพธ์ ชั้นนี้เป็นที่ที่ความเสี่ยงทางธุรกิจอยู่ องค์กรกำหนดว่าผลลัพธ์ใดเป็นที่ยอมรับได้ ความทนทานต่อผลลบเท็จและผลบวกเท็จเป็นอย่างไร นี่คือการตัดสินใจของมนุษย์โดยสิ้นเชิง ไม่มีโมเดลใดได้รับสิทธิ์โหวตในระดับความเสี่ยงที่องค์กรยอมรับ
2. การตัดสินใจ ที่นี่เป็นการกำหนดลำดับความสำคัญและทำการแลกเปลี่ยนภายใต้ความไม่แน่นอน ควรเร่งแจ้งเตือนนี้เดี๋ยวนี้หรือรอข้อมูลเพิ่มเติม? ความผิดปกตินี้คุ้มค่าที่จะรบกวนเวลานอนของใครหรือไม่ การตัดสินใจอาจได้รับข้อมูลจาก AI แต่สุดท้ายอำนาจยังคงเป็นของมนุษย์ นี่คือชั้นที่หลายองค์กรมักส่งต่อให้ AI ก่อนเวลาอันควรและจะเป็นจุดที่ทำให้พวกเขาเสียหาย
3. การดำเนินการ ที่นี่ AI ควรทำงานหนักที่สุด และทำได้ด้วยความเร็วที่ทีมมนุษย์ไม่อาจเทียบได้ การเสริมข้อมูลแจ้งเตือน, การเชื่อมโยงสัญญาณจากหลายสิบเครื่องมือ, การร่างแผนการกักกัน, การรัน playbook หลังจากที่มนุษย์หรือชั้นการตัดสินใจที่เชื่อถือได้อนุมัติแล้ว ความเร็วของเครื่องจักรทำงานอย่าง deterministic หลังจากเริ่มทำงาน ไม่ต้องมีอัตตาใด ๆ

พัฒนาความเป็นหุ้นส่วน ไม่ใช่แค่จัดการเครื่องมือ

เมื่อความสัมพันธ์ของ AI ภายใน SOC ถูกมองเป็นหุ้นส่วนแทนการควบคุมเครื่องมือ CISO จะเริ่มมอง AI เหมือนเพื่อนร่วมทีมที่กำลังพัฒนา ซึ่งทำให้การใช้เวลาของ CISO เปลี่ยนแปลงอย่างพื้นฐาน

SOC ที่สามารถสร้างสมดุลความสัมพันธ์นี้ได้คือองค์กรที่มีระเบียบวินัยในการสร้างความไว้วางใจที่เข้มงวด ระเบียบวินัยนั้นทำให้การปฏิบัติการด้านความปลอดภัยสามารถขยายตัวด้วยความเร็วของเครื่องจักรในชั้นการดำเนินการโดยไม่สูญเสียการตัดสินใจของมนุษย์ที่ระดับผลลัพธ์ยังคงต้องการและจะต้องคงอยู่เสมอ

เราได้ผ่านช่วงเวลาที่ AI ถูกมองว่าเป็นเครื่องมือใหม่แวววาวเพื่อสร้างความประทับใจให้กับคณะผู้บริหารแล้ว ความสามารถและศักยภาพของ AI ได้รับการยอมรับให้เป็นอำนาจเช่นเดียวกับเทคโนโลยีขั้นสูงใน SOC ทุกครั้งที่มีการตัดสินใจที่ได้รับการตรวจสอบแล้ว