แจ็ค เชอร์คาส์ ผู้อำนวยการด้านความมั่นคงระดับโลกที่ Syntax – สัมภาษณ์ซีรีส์

แจ็ค เชอร์คาส์ ผู้อำนวยการด้านความมั่นคงระดับโลกที่ Syntax เป็นผู้บริหารด้านความมั่นคงไซเบอร์ที่มีประสบการณ์อย่างลึกซึ้งในการรักษาความปลอดภัยบนคลาวด์ ความทนทานต่อไซเบอร์ สถาปัตยกรรมองค์กร และความมั่นคง AI เขาเคยดำรงตำแหน่งผู้บริหารระดับสูง tại Syntax, PwC UK, Kyndryl และ IBM โดยช่วยสร้างและขยายการดำเนินงานด้านความปลอดภัย จัดการความพยายามในการตอบสนองต่อเหตุการณ์สำคัญ และพัฒนาแผนรับมือความทนทานต่อไซเบอร์สำหรับสภาพแวดล้อมองค์กรขนาดใหญ่ ที่ Syntax เขานำทีมด้านความปลอดภัยระดับโลกทั่วทั้งคน ระบบ ศูนย์ข้อมูล บริการคลาวด์ที่จัดการ และการนำเสนอความปลอดภัยที่เผยแพร่แก่ลูกค้า โดยมีทีมงานด้านความปลอดภัยมากกว่า 65 คนใน 8 ประเทศ

Syntax เป็นผู้ให้บริการด้าน IT และคลาวด์ที่จัดการระดับโลกที่เชี่ยวชาญด้านการประยุกต์ใช้ระดับองค์กรที่สำคัญ โดยเฉพาะสภาพแวดล้อม SAP และ Oracle (ORCL ) บริษัทสนับสนุนองค์กรในการย้ายระบบไปยังคลาวด์ โฮสต์ที่จัดการ ความปลอดภัย ระบบการจัดการแอปพลิเคชันระดับองค์กร และการดำเนินงานที่ใช้ AI บนโครงสร้างพื้นฐานหลายคลาวด์และไฮบริด การทำงานของบริษัทมุ่งเน้นในการช่วยให้องค์กรมีความทันสมัย มั่นคง และดำเนินระบบธุรกิจที่ซับซ้อนในระดับใหญ่

คุณได้นำโครงการริเริ่มด้านความปลอดภัยไซเบอร์ที่ IBM, Kyndryl, PwC และที่ Syntax มาแล้ว ในช่วงเวลานั้น มุมมองของคุณเกี่ยวกับการรักษาความปลอดภัยเทคโนโลยีที่เกิดขึ้นใหม่ เช่น AI ได้พัฒนาไปอย่างไร โดยเฉพาะอย่างยิ่งเมื่อองค์กรกำลังย้ายจากการทดลองไปสู่การผลิต?

อาชีพของฉันตามรอยการเปลี่ยนแปลงที่ต้องการให้ความปลอดภัยตามทันพื้นผิวควบคุมใหม่ๆ ที่ IBM ในช่วงแรกของคลาวด์ คำถามคือว่าเราจะไว้วางใจโครงสร้างพื้นฐานของคนอื่นในการรันเวิร์กโหลดที่สำคัญได้หรือไม่ คำตอบคือโมเดลความรับผิดชอบร่วมกันและรุ่นใหม่ของการควบคุมบนคลาวด์

จากนั้นมาถึงยุคของแรนซอมแวร์ NotPetya ในปี 2017 ทำให้บริษัทต่างๆ ล่มในเวลาเพียงไม่กี่ชั่วโมง และอุตสาหกรรมได้เรียนรู้ว่าแรนซอมแวร์ที่สามารถแพร่กระจายได้สามารถทำลายโซ่อุปทานทั่วโลกในเวลากลางคืนได้ การตอบสนองคือการเตรียมพร้อมสำหรับเมื่อ (ไม่ใช่ถ้า) จะเกิดเหตุการณ์ไซเบอร์ การแบ่งส่วนเครือข่าย การสำรองข้อมูลที่ไม่สามารถเปลี่ยนแปลงได้ และการผลักดันเรื่องอัตลักษณ์อย่างจริงจัง

ตลอดเวลาที่ฉันอยู่ที่ Kyndryl และ PwC SaaS ได้เปลี่ยนจากขอบเขตลงมาสู่ศูนย์กลางของทุกสภาพแวดล้อม งานโหลดได้ย้ายออกจากศูนย์ข้อมูลและเข้าสู่สแต็คของคนอื่น อัตลักษณ์กลายเป็นขอบเขต และ Zero Trust หยุดเป็นเพียงแผนภาพและเริ่มเป็นแบบจำลองการดำเนินงาน

ที่ Syntax เรากำลังอยู่ในช่วงคลื่น GenAI โดยที่ระบบตัวเองให้เหตุผล สร้างและดำเนินการ แต่ละคลื่นให้พื้นผิวควบคุมใหม่ ไม่มีการเตือนล่วงหน้า และช่วงเวลาที่สั้นลงระหว่างการทดลองและการผลิต คลาวด์ต้องใช้เวลาหลายปี SaaS ใช้เวลาหลายไตรมาส GenAI ใช้เวลาเพียงไม่กี่สัปดาห์ CISO ที่สามารถตามทันคือคนที่หยุดรักษาแต่ละคลื่นเป็นข้อยกเว้นและเริ่มรักษาการนำไปใช้อย่างรวดเร็วเป็นสถานะปกติ

เมื่อองค์กรเร่งการนำ AI ไปใช้ คุณประเมินความเสี่ยงว่าความไว้วางใจ ไม่ใช่แค่การปฏิบัติตามกฎระเบียบเท่านั้น ที่กำลังถูกทำลายอย่างไร อะไรคือสัญญาณแรกที่บ่งบอกว่าสิ่งนี้เริ่มเกิดขึ้น?

ความไว้วางใจเป็นพื้นฐานของการนำ AI ไปใช้ที่ดี สัญญาณแรกไม่อยู่ในรายงานการตรวจสอบ แต่อยู่ในสัญญาณการดำเนินงาน การติดตั้ง AI ที่ไม่มีใครรับผิดชอบ การจัดซื้อจัดจ้างผู้ให้บริการ GenAI โดยไม่มีการทบทวนความปลอดภัย การสืบเชื้อสายข้อมูลที่แตกหักเมื่อคุณถามถึงแหล่งที่มาของข้อมูลฝึกอบรม ตัวแทน AI ที่ได้รับสิทธิ์ผู้ดูแลระบบเพราะไม่มีใครต้องการชะลอโครงการ เมื่อคุณเห็นสัญญาณเหล่านี้สี่สัญญาณในองค์กรหนึ่งๆ ความไว้วางใจกำลังถูกใช้ไปเร็วกว่าที่ได้รับ Leadership มักจะเป็นคนสุดท้ายที่รู้

หลายบริษัทกำลังนำ AI ไปใช้เร็วกว่าที่พวกเขาสามารถรักษาความปลอดภัยได้ อะไรคือความเสี่ยงในโลกแห่งความเป็นจริงที่คุณเห็นอยู่ทุกวันนี้เมื่อการกำกับดูแลตามหลังนวัตกรรม?

เมื่อการกำกับดูแลตามหลัง มีสิ่งสามสิ่งเกิดขึ้น และไม่มีสิ่งใดปรากฏเป็นเหตุการณ์ความปลอดภัยจนกระทั่งหลังๆ การเสี่ยงด้านกฎระเบียบสะสมอย่างเงียบๆ การติดตั้ง AI ที่ละเมิดข้อกำหนดความโปร่งใสของ EU AI Act ไม่ได้กระตุ้นการเตือน แต่ปรากฏในรายงานการตรวจสอบสองปีต่อมาในฐานะค่าปรับ สอง การเสื่อมถอยของความไว้วางใจของลูกค้าในธุรกรรมที่คุณไม่เห็น โอกาสที่เลือกคู่แข่งที่สามารถพิสูจน์การกำกับดูแล และทีมขายของคุณไม่เคยรู้ว่าทำไม สาม คุณภาพการตัดสินใจเสื่อมถอย องค์กรตัดสินใจที่มีอิทธิพลจาก AI มากขึ้น แต่ไม่สามารถอธิบายหรือตรวจสอบได้ และการตัดสินใจที่ไม่ดีสะสมในสถานที่ที่ไม่มีใครดู ค่าใช้จ่ายของการกำกับดูแล AI ที่อ่อนแอคือการเสื่อมถอยอย่างช้าๆ ของการตรวจสอบ การขาย และคุณภาพการตัดสินใจ ซึ่งสิ้นสุดด้วยการละเมิดชื่อเสียงที่ทำลายล้าง

จากประสบการณ์ของคุณในการสร้างและขยายบริการด้านความปลอดภัยที่จัดการและดำเนินการ SOC อย่างไร ควรปรับเปลี่ยนแบบจำลองความปลอดภัยเพื่อรับมือกับระบบและกระบวนการตัดสินใจอัตโนมัติที่ขับเคลื่อนด้วย AI?

AI เป็นเวกเตอร์การโจมตีใหม่ ตัวคูณภัยคุกคาม และชิ้นส่วนป้องกันที่สำคัญ และแบบจำลองความปลอดภัยต้องปรับให้ครอบคลุมทั้งสามสิ่งนี้ในเวลาเดียวกัน

ในฐานะเวกเตอร์การโจมตี แพลตฟอร์ม GenAI เองกลายเป็นเป้าหมายที่ต้องป้องกัน ในฐานะตัวคูณภัยคุกคาม ผู้โจมตีใช้ GenAI เพื่อสร้างฟิชชิ่งขนาดใหญ่ สร้างโค้ดเอ็กซ์พลอยต์ อัตโนมัติการสอดแนม และค้นหาจุดอ่อนในความเร็วของเครื่อง ในฐานะชิ้นส่วนป้องกัน เทคโนโลยีเดียวกันที่หันไปทางอื่นเป็นคำตอบที่สมจริงเท่านั้น การไตร่ตรองโดยใช้ AI การล่าภัยคุกคามอัตโนมัติ และการเพิ่มประสิทธิภาพนักวิเคราะห์ไม่ใช่ตัวเลือกอีกต่อไป แต่เป็นวิธีที่ SOC ติดตามกับศัตรูที่ได้รับการเพิ่มประสิทธิภาพจาก AI หากพวกเขาได้รับการเพิ่มประสิทธิภาพจาก AI และเราก็ไม่เช่นนั้น ช่องว่างจะเพิ่มขึ้นทุกๆ รอบ

สิ่งนี้สร้างประเภทนักแสดงใหม่ที่แบบจำลองต้องกำกับดูแล ที่ Syntax เราได้คิดถึงตัวแทน AI แล้วว่าเป็นส่วนหนึ่งของแผนผังองค์กร ร่วมกับมนุษย์ ซึ่งตั้งมาตรฐานวิธีการรักษาความปลอดภัยให้พวกเขา ตัวแทน AI ต้องการทุกสิ่งที่เรามอบให้ผู้ใช้ (อัตลักษณ์ สิทธิ์ตามบทบาท บันทึกกิจกรรม ระดับพฤติกรรม) บวกกับเครื่องมือควบคุมที่เรามอบให้กับบัญชีที่ถูกบุกรุก ความสามารถในการปิดใช้งาน แยกออก และเพิกถอน สิ่งที่แตกต่างคือความเร็ว ตัวแทนกระทำการในเวลาไม่กี่มิลลิวินาที ดังนั้นเครื่องมือเหล่านี้จึงต้องเร็วและอัตโนมัติ ไม่ใช่ส่วนหลังของกระบวนการตอบสนองต่อเหตุการณ์

ที่ Syntax ศูนย์ปฏิบัติการด้านความปลอดภัยระดับโลกของเรากำลังพัฒนาเพื่อให้ AI เพิ่มประสิทธิภาพให้กับนักวิเคราะห์ของมนุษย์ ในขณะที่พนักงานของเราสร้างการทำงานของตัวแทนและตัวแทนภายในแพลตฟอร์ม GenAI ของ Syntax ซึ่งให้การป้องกันในตัวกับปัญหา ความรุนแรง และการควบคุมความเป็นส่วนตัวและความปลอดภัยโดยค่าเริ่มต้น

นั่นคือการคิดใหม่ ป้องกัน AI ในฐานะเป้าหมาย ใช้ AI ในฐานะผู้ป้องกัน กำกับดูแลการใช้ AI

มักจะมีความตึงเครียดระหว่างความเร็วและควบคุม องค์กรสามารถรักษาความเร็วในการนวัตกรรมได้อย่างไร ในขณะเดียวกันก็ยังดำเนินการกำกับดูแลและควบคุม AI ระบบ?

ความเร็วและควบคุมดูเหมือนเป็นสิ่งที่ตรงกันข้ามจนกว่าคุณสร้างการกำกับดูแลที่เดินทางไปพร้อมกับโครงการ ไม่ใช่การปิดกั้น มีข้อผิดพลาดที่วางการกำกับดูแลที่ประตู: คณะกรรมการ การอนุมัติ การทบทวนรายไตรมาส เมื่อประตูเปิด ทีมงานอาจได้ไปรอบๆ มันหรือเสียความเร็วแล้ว โมเดลที่ได้ผลคือกระบวนการที่ถูกกำหนดใหม่ด้วยการกำกับดูแลที่ถูกอบเข้าไปด้วย การสื่อสารที่ชัดเจนและสม่ำเสมอเป็นจุดเริ่มต้น ตามด้วยรูปแบบที่ได้รับการอนุมัติล่วงหน้า การไหลของข้อมูลที่ได้รับการอนุมัติ และเทมเพลตสิทธิ์ที่กำหนดไว้ล่วงหน้า ทีมงานได้รับความเร็ว ทีมงานด้านความปลอดภัยได้รับการมองเห็น และการแลกเปลี่ยนที่ทุกคนถือว่ามีอยู่นั้นกลายเป็นกระบวนการที่ออกแบบไม่ดี สิ่งนี้เกี่ยวกับการสร้างสมดุลระหว่างความปลอดภัยและนวัตกรรมกับความอยากอาหารความเสี่ยงขององค์กร

คุณได้ทำงานเกี่ยวกับกลยุทธ์ด้านความทนทานต่อไซเบอร์และการตอบสนองต่อเหตุการณ์อย่างไร การแนะนำ AI มาเปลี่ยนแปลงธรรมชาติของภัยคุกคามไซเบอร์และวิธีที่องค์กรควรเตรียมพร้อมสำหรับพวกมัน?

AI กำลังเพิ่มความเร็วให้กับภัยคุกคามทั่วเวกเตอร์ต่างๆ ความเร็ว: ฟิชชิ่งและการสอดแนมในความเร็วของเครื่องต่อเป้าหมายหลายพันแห่งในเวลาเดียวกัน ความซับซ้อน: การหลอกลวงทางสังคมที่ขับเคลื่อนโดย deepfake ที่เอาชนะการยืนยันตัวตนด้วยเสียงและวิดีโอ อัตลักษณ์: อัตลักษณ์เทียมที่ผ่านการตรวจสอบอัตลักษณ์ที่ออกแบบสำหรับมนุษย์

สำหรับการตอบสนองต่อเหตุการณ์ ผลกระทบเป็นเชิงปฏิบัติการ คุณต้องการการตรวจจับที่ไม่พึ่งพาการรับรู้รูปแบบของมนุษย์ในความเร็วของมนุษย์ คุณต้องการโพรโทคอลการยืนยันที่สมมติว่าเสียงและวิดีโอค Counterfeited ได้ และคุณต้องการเล่นหนังสือการตอบสนองต่อเหตุการณ์ที่ครอบคลุมเหตุการณ์ที่เกี่ยวข้องกับ AI โดยเฉพาะ เนื่องจากขั้นตอนการฟื้นตัวไม่เหมือนกับการฟื้นตัวจากเหตุการณ์แรนซอมแวร์

ที่ Syntax “การออกแบบที่ปลอดภัย” ของ AI ในสภาพแวดล้อมองค์กรที่ซับซ้อนที่แท้จริงมีลักษณะอย่างไร?

ที่ Syntax มันหมายถึงการสร้างสมดุลระหว่างนวัตกรรมและความปลอดภัย ผ่านการนำไปใช้ของแพลตฟอร์ม GenAI ของเราโดยมีการป้องกันในตัว บริการและแอปพลิเคชัน GenAI ที่ได้รับการอนุมัติ การจำกัด และการห้าม และการขับเคลื่อนวัฒนธรรมความปลอดภัยก่อนอื่นผ่านสำนักงานกำกับดูแล AI ของเรา สำหรับองค์กรด้านความปลอดภัยระดับโลกของเรา มันหมายถึงการวางตัวเองในฐานะผู้ช่วยให้กับธุรกิจ ไม่ใช่ผู้ขัดขวาง การสนับสนุนธุรกิจด้วยลำดับความสำคัญเชิงกลยุทธ์ ในขณะเดียวกันก็ปกป้อง Syntax ตามความอยากอาหารความเสี่ยงของเรา

มีเรื่องราวที่เพิ่มขึ้นเกี่ยวกับความปลอดภัยและความสอดคล้องที่ไม่ใช่ผู้ขัดขวางการเติบโตอีกต่อไป แต่เป็นผู้ช่วยให้การเติบโต ควรเปลี่ยนแปลงอะไรทางวัฒนธรรมและเชิงปฏิบัติการเพื่อให้องค์กรมุมมองนี้?

การเปลี่ยนแปลงที่ใหญ่ที่สุดคือสิ่งที่ความสำเร็จดูเหมือน การทีมงานด้านความปลอดภัยถูกวัดมาหลายทศวรรษจากสิ่งที่ไม่เกิดขึ้น: ไม่มีการละเมิด ไม่มีเหตุการณ์ ไม่มีการพบเห็นในการตรวจสอบ สิ่งนี้ให้รางวัลกับการพูดว่า “ไม่” ทีมงานที่ดำเนินงานในฐานะผู้ช่วยวัดสิ่งที่แตกต่าง: สัญญาที่ชนะเพราะการควบคุมสามารถพิสูจน์ได้ การเปิดตัวที่ถูกต้องตามวันที่เพราะความปลอดภัยได้คลี่คลายเส้นทาง และนวัตกรรมที่เคลื่อนผ่านการกำกับดูแลมากกว่าการหลบเลี่ยง

เชิงปฏิบัติการ ต้องมีการกำหนดกระบวนการใหม่ด้วยการกำกับดูแลที่อบเข้าไปด้วย คู่กับการเพิ่มประสิทธิภาพเชิงรุก เช่น แพลตฟอร์ม GenAI ของเรา ที่ทำให้ความปลอดภัยเป็นเส้นทางที่ง่ายกว่า และการศึกษาและการอบรม AI ที่เข้าถึงได้ เช่น โครงการ AI Champions ของเรา

วัฒนธรรมตามสิ่งที่คุณให้รางวัลและคุณทำให้คนสามารถทำได้ เปลี่ยนสิ่งที่คุณให้รางวัล อุปกรณ์คนด้วยเครื่องมือที่ถูกต้องและการฝึกอบรมที่ถูกต้องในเวลาที่เหมาะสม และคุณเปลี่ยนสิ่งที่พวกเขาทำ นี่คือการเดินทางที่ Syntax กำลังดำเนินอยู่

เมื่อ AI ถูกฝังอยู่ในกระบวนการทำงานขององค์กร CISO ควรทำงานร่วมกับผู้นำ AI นักวิทยาศาสตร์ข้อมูล และทีมผลิตภัณฑ์เพื่อให้แน่ใจว่ามีการรับผิดชอบโดยไม่ชะลอความก้าวหน้า?

CISO ที่รอการเชิญจะสาย CISO ที่มาถึงเร็วพร้อมกับรูปแบบที่ใช้ได้จริงมากกว่าข้อคัดค้านนโยบาย กลายเป็นหุ้นส่วนที่ทีม AI ต้องการที่โต๊ะ ในทางปฏิบัติ หมายถึงการออกแบบร่วมกับทีม AI การอนุมัติด้านความปลอดภัยที่นั่งข้างๆ การอนุมัติเชิงหน้าที่มากกว่าหลังพวกเขา และนโยบายประตูเปิด สิ่งนี้เปลี่ยนการคุยกันจาก “กรมไม่” เป็น “ใช่ แต่” หรือ “ไม่ แต่” ในฐานะหุ้นส่วนที่เต็มใจและร่วมมือสำหรับธุรกิจ

เมื่อมองไปข้างหน้า คุณเชื่อว่าเราจะเห็นกรอบการกำกับดูแล AI ที่เป็นมาตรฐานระดับโลกหรือไม่ หรือองค์กรมีความจำเป็นต้องสร้างโครงสร้างความไว้วางใจภายในของตนเองโดยไม่คำนึงถึงกฎระเบียบ?

ทั้งสองอย่างในลำดับนั้น เราจะเห็นการรวมกันของกรอบการกำกับดูแลระดับภูมิภาคไม่กี่กรอบ โดยมี EU AI Act ก่อน ตามด้วยคนอื่นๆ ที่มีการเปลี่ยนแปลงในท้องถิ่น เราจะไม่เห็นมาตรฐานระดับโลกในทศวรรษนี้เนื่องจากการแบ่งแยกทางภูมิรัฐศาสตร์ ดังนั้น องค์กรจะทำสิ่งสองอย่างพร้อมๆ กัน: การปฏิบัติตามกรอบการกำกับดูแลที่ใช้กับตลาดหลักที่สุด และการดำเนินโครงสร้างความไว้วางใจภายในที่เกินกว่ากรอบการกำกับดูแลที่อ่อนแอที่สุด โครงสร้างภายในมีความสำคัญมากกว่ามาตรฐานภายนอก เพราะผู้กำกับดูแลเคลื่อนไหวช้าๆ และภัยคุกคามไม่เช่นนั้น องค์กรที่สร้างโครงสร้างความไว้วางใจภายในตอนนี้จะใช้เวลาทศวรรษหน้าในการพูดว่า “เราทำแบบนั้นแล้ว” กับผู้กำกับดูแลใหม่ทุกคน

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ Syntax.