มาร์ก เฟตเชส CTO ของ Spinnaker Support – สัมภาษณ์系列

มาร์ก เฟตเชส เป็น Chief Technology Officer สำหรับ EMEA ที่ Spinnaker Support โดยที่เขาทำหน้าที่ให้คำปรึกษากับองค์กรระดับองค์กรเกี่ยวกับกลยุทธ์เทคโนโลยี ความปลอดภัย คลาวด์ AI และการเปลี่ยนแปลงครั้งใหญ่ โดยมีประสบการณ์มากกว่า 30 ปี ในการให้คำปรึกษาทางด้านการบริหารจัดการและความเป็นผู้นำที่ Accenture, Deloitte และ PwC มาร์ก曾ทำงานอย่างใกล้ชิดกับ C-suite executives และคณะกรรมการเพื่อปรับปรุงสภาพแวดล้อมองค์กรที่ซับซ้อนและจัดแนวการตัดสินใจทางเทคโนโลยีกับวัตถุประสงค์ทางธุรกิจในระยะยาว โดยมีฐานอยู่ที่สหราชอาณาจักร เขาเชี่ยวชาญในการช่วยองค์กรในการนำทางความท้าทายของเทคโนโลยีแบบดั้งเดิม ความเสี่ยงในการดำเนินงาน และการเปลี่ยนแปลงดิจิทัลด้วยคำแนะนำที่เน้นธุรกิจ

Spinnaker Support เป็นผู้ให้บริการชั้นนำระดับโลกด้านการสนับสนุนซอฟต์แวร์ของบุคคลที่สาม บริการจัดการ และการให้คำปรึกษาด้านความปลอดภัยสำหรับองค์กรที่ใช้ Oracle (ORCL ), SAP, JD Edwards และแพลตฟอร์มอื่นๆ ที่สำคัญต่อภารกิจ

คุณได้ใช้เวลาเกิน 20 ปีในการให้คำปรึกษากับองค์กรที่ Accenture, Deloitte และ PwC ก่อนที่จะมาเป็น CTO ที่ Spinnaker Support เมื่อมองย้อนกลับไปที่การเดินทางนั้น อะไรคือความเข้าใจผิดที่ใหญ่ที่สุดเกี่ยวกับความเสี่ยงทางเทคโนโลยีที่ผู้บริหารมีเสมอ และการเพิ่มขึ้นของ AI ได้เปลี่ยนแปลงการอภิปรายเหล่านั้นอย่างไร?

ฉันคิดว่าความเข้าใจผิดที่ใหญ่ที่สุดคือการมองว่าความเสี่ยงทางเทคโนโลยีอยู่ห่างจากธุรกิจและสามารถจัดการได้โดยการแยกออกมาเป็นเรื่องเฉพาะ ฉันไม่เคยเห็นมันในแบบนั้น

ความเสี่ยงที่ร้ายแรงที่ฉันเห็นมาเกิดจากการตัดสินใจของฝ่ายบริหาร มากกว่าความเสี่ยงทางเทคโนโลยีโดยตรง คือวิธีการที่คุณจัดการกับความซับซ้อน การพึ่งพาแพลตฟอร์มเก่าหรือผู้ขายหลัก การผลักดันให้เกิดความเร็ว และการเชื่อมั่นในข้อมูลที่ธุรกิจกำลังดำเนินอยู่ เทคโนโลยีคือจุดที่การตัดสินใจเหล่านั้นปรากฏออกมา แต่ไม่ใช่จุดเริ่มต้น

ฉันเห็นผู้บริหารหลายคนมุ่งเน้นไปที่เรื่องราวที่ชัดเจน เช่น ไซเบอร์ การปฏิบัติตามกฎระเบียบ และการลดต้นทุน สิ่งเหล่านี้เป็นปัญหาจริงๆ แต่ความเสี่ยงที่ทำให้บริษัทตกอยู่ในความเสี่ยงมักจะเงียบกว่านั้น มันคือแพลตฟอร์มที่ทุกคนรู้ว่าไม่แข็งแรง แต่ยังคงเลื่อนการเปลี่ยนออกไป มันเป็นปัญหาเกี่ยวกับข้อมูลที่ไม่มีใครรับผิดชอบ มันเป็นความพึ่งพาที่ดูเหมือนมีประสิทธิภาพจนกว่ามันจะกลายเป็นปัญหาอีกต่อไป

ฉันคิดว่ามีการสับสนระหว่างการปฏิบัติตามกฎระเบียบกับความสามารถในการฟื้นตัว พวกมันไม่ใช่สิ่งเดียวกัน คุณสามารถผ่านการตรวจสอบและยังคงเสี่ยงมากกว่าที่คุณคิด การตรวจสอบไม่ได้บอกคุณว่าธุรกิจจะตอบสนองอย่างไรภายใต้แรงกดดัน หรือว่าผู้นำจะเห็นปัญหาอย่างชัดเจนเพียงพอเพื่อกระทำการ

สิ่งที่ AI ได้เปลี่ยนแปลงคือระดับการให้ความสนใจ การสนทนานี้เคยอยู่ลึกในองค์กร แต่ตอนนี้อยู่ตรงกลางของการอภิปรายในห้องประชุมคณะกรรมการเกี่ยวกับการเติบโต ความไว้วางใจ ความสามารถในการผลิต และแบรนด์ นี่เป็นสิ่งที่ดี แต่ก็ได้นำการทำให้เรียบง่ายมา ซึ่งก็คือความคิดที่ว่าโมเดล AI ที่ใช้เป็นตัวแทนของความเสี่ยง โดยปกติแล้วมันมากกว่านั้น

ดังนั้น หากต้องสรุป ฉันจะบอกว่าความเสี่ยงทางเทคโนโลยีไม่เคยเป็นเพียงเรื่องของเทคโนโลยีเท่านั้น มันสะท้อนถึงการตัดสินใจของฝ่ายบริหารเสมอ AI เพียงแต่ทำให้เราทราบถึงสิ่งนี้ได้ชัดเจนขึ้น

ทีมความปลอดภัยมีการเข้าถึงข้อมูลความอ่อนไหวมากกว่าที่เคย แต่องค์กรยังคงดิ้นรนในการจัดลำดับความสำคัญ คุณเชื่อว่าทำไมอุตสาหกรรมจึงมีปัญหาเรื่องสัญญาณต่อเสียงดังมากกว่าปัญหาในการตรวจจับ?

ฉันจะพูดได้ง่ายๆ ว่าอุตสาหกรรมไม่ได้ขาดข้อมูลความอ่อนไหว แต่ขาดความชัดเจน

ทีมความปลอดภัยส่วนใหญ่แล้วมีข้อมูลเข้ามาก็เพียงพอ การสแกน ข้อมูลภัยคุกคาม คะแนนความรุนแรง คำแนะนำการแก้ไขปัญหา และการรายงานการ khai thác ปัญหาไม่ใช่ว่าพวกเขาจะหาความอ่อนไหวไม่พบ แต่ว่าพวกเขาจะแยกแยะสิ่งที่อาจทำอันตรายให้กับธุรกิจได้จริงๆ จากสิ่งที่น่าสนใจแต่มีผลกระทบน้อย

นั่นคือเหตุผลที่ฉันเห็นว่ามันเป็นปัญหาเรื่องสัญญาณต่อเสียงดัง การตรวจจับได้ดีขึ้นมากแล้ว แต่สิ่งที่ไม่ได้พัฒนาไปพร้อมๆ กันคือความสามารถในการใช้บริบท

ในทางปฏิบัติ องค์กรหลายแห่งยังคงพึ่งพาเมตริกที่ง่ายที่สุดในการผลิต เช่น คะแนนความรุนแรง การนับแพตช์ และรายงานอายุ สิ่งเหล่านี้มีประโยชน์ แต่ไม่ใช่สิ่งเดียวกับการตัดสินใจของมนุษย์

ฉันไม่คิดว่านี่เป็นปัญหาเรื่องการมองเห็น แต่เป็นปัญหาในการจัดลำดับความสำคัญทางธุรกิจที่ต้องการให้ทีมความปลอดภัยเรียนรู้

และจากมุมมองของฉัน นี่คือการเปลี่ยนแปลงที่อุตสาหกรรมยังคงต้องทำ การย้ายจากการจัดลำดับความสำคัญโดยการตรวจจับไปสู่การตัดสินใจโดยพิจารณาจากผลกระทบทางธุรกิจ

ที่ระดับคณะกรรมการ นี่คือคำถามเกี่ยวกับการแปลความเสี่ยง สามารถแปลงความอ่อนไหวทางเทคนิคให้เป็นลำดับความสำคัญทางธุรกิจที่ชัดเจนและสามารถดำเนินการได้หรือไม่?

ทีมที่สามารถทำสิ่งนี้ได้ดีจะสามารถย้ายจากเสียงดังไปสู่สัญญาณ

ผู้ขายความปลอดภัยหลายรายอ้างว่า AI สามารถจัดลำดับความสำคัญความอ่อนไหวและคาดการณ์ภัยคุกคามได้โดยอัตโนมัติ คุณเห็นช่องว่างระหว่างเรื่องราวการตลาดและความสามารถที่แท้จริงของ AI ในสภาพแวดล้อมองค์กรอย่างไร?

ฉันคิดว่าทางที่ง่ายที่สุดในการอธิบายคือการตลาดมักจะสัญญาว่าจะมีความแน่นอนมากกว่าที่สภาพแวดล้อมองค์กรจะอนุญาต

ผู้ขายมักจะอธิบาย AI ว่าเป็นเครื่องมือที่สามารถแยกแยะสิ่งที่สำคัญที่สุดและคาดการณ์สิ่งที่จะเกิดขึ้นต่อไปได้ นี่เป็นข้อเสนอที่น่าดึงดูดเพราะผู้นำด้านความปลอดภัยทุกคนต้องการมีข้อมูลที่ชัดเจนและเชื่อมั่นมากขึ้น แต่เมื่อคุณเข้าไปในองค์กรขนาดใหญ่ สิ่งต่างๆ มักจะไม่เรียบง่ายขนาดนั้น

AI สามารถช่วยได้ มันสามารถจัดรูปแบบข้อมูล ลดการทำงานด้วยมือ ช่วยทีมในการจัดการข้อมูลที่ยากจะจัดการ และมีคุณค่าจริงๆ แต่ความแตกต่างคือการทำความเข้าใจว่ามันสามารถตัดสินใจแทนเราได้หรือไม่

และนี่คือจุดที่ช่องว่างปรากฏออกมา AI ไม่สามารถตัดสินใจได้ด้วยความแม่นยำที่เชื่อถือได้ในสภาพแวดล้อมที่ซับซ้อน

ฉันคิดว่าสิ่งนี้เป็นจริงโดยเฉพาะอย่างยิ่งเมื่อผู้ขายพูดถึงการคาดการณ์ มีความแตกต่างระหว่างการบอกว่า “รูปแบบนี้ดูอันตราย” และการบอกว่า “สิ่งนี้จะเกิดขึ้นต่อไป” สิ่งแรกอาจมีประโยชน์ แต่สิ่งที่สองคือจุดที่ภาษาเริ่มล่วงหน้าไปมากกว่าความเป็นจริง

ดังนั้น สำหรับฉัน AI ควรเข้าใจว่าเป็นตัวขยาย ไม่ใช่อำนาจ ตัวช่วยในการจัดเรียง จัดกลุ่ม และมุ่งเน้น แต่ไม่สามารถแทนที่การตัดสินใจของมนุษย์ ความรู้ท้องถิ่น และความเข้าใจที่ชัดเจนเกี่ยวกับสิ่งที่ธุรกิจจริงๆ คares

นั่นคือความแตกต่าง เรื่องราวการตลาดบอกถึงความแน่นอน ความเป็นจริงมีความเหมาะสมและเป็นประโยชน์มากกว่าหากคุณซื่อสัตย์เกี่ยวกับมัน AI สามารถปรับปรุงคุณภาพและความเร็วของการวิเคราะห์ แต่ไม่สามารถลบความซับซ้อนของการตัดสินใจด้านความปลอดภัยขององค์กรออกไปได้

Spinnaker Support ทำงานอย่างใกล้ชิดกับการติดตั้ง Oracle, SAP และ JD Edwards มากกว่า 20 ปี สิ่งที่ทำให้สภาพแวดล้อม ERP ที่ปรับแต่งสูงเป็นพิเศษยากสำหรับเครื่องมือความปลอดภัยที่ขับเคลื่อนด้วย AI ในการเข้าใจและประเมินความเสี่ยงอย่างแม่นยำ?

สิ่งที่ทำให้สภาพแวดล้อมเหล่านี้ยากคือหลังจากผ่านไปหลายปี มันจะหยุดพฤติตัวเหมือนซอฟต์แวร์มาตรฐานและเริ่มพฤติตัวเหมือนบันทึกวิธีการทำงานของธุรกิจ

ฉันเห็นสิ่งนี้เป็นจริงโดยเฉพาะอย่างยิ่งในสภาพแวดล้อม Oracle, SAP และ JD Edwards ที่ปรับแต่งสูง หลายปีที่ผ่านมา มีการปรับแต่งท้องถิ่น รหัสที่กำหนดเอง การผสานรวมที่ได้รับมา สิทธิ์การใช้งาน โลจิกการรายงาน และการทำงานรอบที่สร้างขึ้นสำหรับเหตุผลในการดำเนินงานเฉพาะ

เครื่องมือเหล่านี้ส่วนใหญ่ทำงานได้ดีที่สุดเมื่อสภาพแวดล้อมค่อนข้างสม่ำเสมอและรูปแบบง่ายต่อการเปรียบเทียบ สภาพแวดล้อม ERP ที่ปรับแต่งสูงไม่ค่อยเป็นเช่นนั้น

ตรงนี้คือจุดที่ความยากเกิดขึ้น เครื่องมือไม่ได้ถูกขอให้เพียงแค่ระบุความอ่อนไหวหรือการกำหนดค่าที่ไม่ถูกต้อง แต่เพื่อทำความเข้าใจว่าสิ่งนั้นหมายถึงอะไรในบริบทของกระบวนการทางธุรกิจ การพึ่งพาที่กำหนดเอง หรือโครงสร้างการควบคุมที่อาจไม่มีอยู่ที่อื่น

และนี่คือปัญหาที่ยากกว่าที่การตลาดมักจะบอก เครื่องมือไม่ได้เพียงแค่ดูสิ่งที่ไม่ปกติ แต่ต้องเข้าใจบริบทที่อยู่รอบๆ มัน

ดังนั้น ฉันคิดว่าปัญหาไม่ใช่ว่า AI สามารถมองเห็นอะไรได้บ้าง แต่ว่ามันสามารถเข้าใจบริบทที่อยู่รอบๆ ได้เพียงพอหรือไม่ ในสภาพแวดล้อม ERP ที่ปรับแต่งสูง ความเชี่ยวชาญของมนุษย์ยังคงเป็นสิ่งสำคัญ

หนึ่งในข้อโต้แย้งหลักของคุณคือความเชี่ยวชาญของมนุษย์ไม่ใช่ปัญหาที่ต้องกำจัดออกไป แต่เป็นส่วนสำคัญของกระบวนการความปลอดภัย คุณสามารถแบ่งปัน примерที่ความเชี่ยวชาญของมนุษย์ระบุความเสี่ยงที่เครื่องมือจัดลำดับความสำคัญโดย AI อาจพลาดไปได้หรือไม่?

ใช่ ฉันสามารถทำได้ และสำหรับฉัน นี่คือจุดที่ข้อจำกัดของการลำดับความสำคัญโดยอัตโนมัติกลายเป็นเรื่องที่ชัดเจน

บางความเสี่ยงจะเข้าใจได้เมื่อคุณรู้จักสภาพแวดล้อมเพียงพอเพื่อเข้าใจสิ่งที่อยู่เบื้องหลังข้อมูล ระบบอาจดูไม่สำคัญจากภายนอก คะแนนความอ่อนไหวอาจไม่น่าประทับใจ แต่ผู้ที่รู้จักสภาพแวดล้อมอาจรู้ว่ามันสนับสนุนการชำระเงิน การรายงานสิ้นไตรมาส การผสานรวมที่อ่อนแอ หรือกระบวนการทางธุรกิจที่บริษัทไม่สามารถหยุดชะงักได้

ฉันเห็นกรณีที่ภาพการควบคุมดูดีกว่าในทางทฤษฎีมากกว่าในทางปฏิบัติ เครื่องมือ AI อาจถือว่าความเสี่ยงลดลงเพราะการแบ่งส่วนอยู่ในตำแหน่ง หรือการเข้าถึงถูกจำกัด หรือการควบคุมการตรวจสอบมีอยู่ แต่บุคคลที่ใกล้ชิดกับสภาพแวดล้อมอาจรู้ว่าการควบคุมหนึ่งถูกใช้อย่างไม่สม่ำเสมอ อีกอย่างถูกข้ามเมื่อการดำเนินงานอยู่ภายใต้แรงกดดัน และอีกอย่างหนึ่งหยุดทำงานได้แล้ว

สิ่งเดียวกันเกิดขึ้นในสภาพแวดล้อมที่ปรับแต่งแล้ว สคริปต์ การทำงาน หรือโมเดลสิทธิ์อาจดูเป็นปกติเมื่อคุณสแกนรูปแบบในระดับใหญ่ แต่สำหรับผู้ที่เข้าใจว่าสิ่งนั้นถูกปรับแต่งอย่างไรตลอดหลายปี รายละเอียดเดียวกันอาจดึงดูดความสนใจทันทีเป็นแหล่งที่มาของความเสี่ยงจริงๆ

เวลาเป็นปัจจัยที่สำคัญเช่นกัน ความอ่อนไหวอาจดูสามารถจัดการได้เมื่อแยกออกมา แต่จะกลายเป็นเรื่องร้ายแรงมากขึ้นเพราะธุรกิจกำลังอยู่ระหว่างการย้ายระบบ การเข้าซื้อกิจการ เส้นตายด้านกฎระเบียบ หรือช่วงการดำเนินงานสูงสุด

เมื่อฉันพูดถึงความเชี่ยวชาญของมนุษย์ ฉันไม่ได้พูดถึงสัญชาตญาณในบางแง่ ฉันหมายถึงความรู้ท้องถิ่น ความจำ การตัดสินใจ และความสามารถในการมองเห็นว่าปัญหาเล็กๆ นั้นเชื่อมโยงกับสิ่งที่สำคัญกว่านั้น

ดังนั้น ฉันจึงไม่เห็นความเชี่ยวชาญของมนุษย์เป็นปัญหาที่ต้องกำจัดออกไป แต่เป็นส่วนที่ป้องกันความมั่นใจที่ผิด AI สามารถช่วยในการจัดเรียงและลดข้อมูล แต่ความเสี่ยงที่สำคัญที่สุดมักจะชัดเจนเมื่อบางคนเข้าใจว่าธุรกิจทำงานอย่างไร

เมื่อองค์กรเร่งรีบในการนำ AI ไปใช้ในด้านการดำเนินงานด้านความปลอดภัย คุณเห็นความเสี่ยงหลักของการทำให้ระบบอัตโนมัติมากเกินไปในการจัดการความอ่อนไหวและประเมินความเสี่ยง?

ความเสี่ยงที่ใหญ่ที่สุดฉันเห็นคือการสร้างภาพลวงว่าคุณมีการควบคุมโดยไม่มีความเข้าใจที่แท้จริงว่าคุณควบคุมอะไร

การจัดการความอ่อนไหวเป็นหนึ่งในพื้นที่ที่การทำให้ระบบอัตโนมัติมีค่า แต่เมื่อการทำให้ระบบอัตโนมัติเริ่มขับเคลื่อนโปรแกรมโดยไม่มีการท้าทายของมนุษย์มากพอ

ความเสี่ยงแรกที่เห็นได้ชัดเจนคือการจัดลำดับความสำคัญที่ผิด หากคุณพึ่งพาคะแนนอัตโนมัติมากเกินไป คุณอาจรักษาความรุนแรงทางเทคนิคเหมือนกับความเสี่ยงทางธุรกิจ ซึ่งไม่ใช่เรื่องเดียวกัน

ความเสี่ยงต่อไปที่ฉันเห็นคือการสูญเสียบริบท โปรแกรมการทำให้ระบบอัตโนมัติทำงานได้ดีเท่ากับข้อมูลสินทรัพย์ ข้อมูลความเป็นเจ้าของ การทำแผนที่การขึ้นต่อ และการยกเว้นการรักษาไว้ หากข้อมูลพื้นฐานไม่สมบูรณ์ ซึ่งในองค์กรส่วนใหญ่บางส่วนมักจะไม่สมบูรณ์ การทำให้ระบบอัตโนมัติสามารถกลายเป็นมีประสิทธิภาพในการขับเคลื่อนการตัดสินใจที่มีข้อบกพร่องผ่านระบบ

ความเสี่ยงทางพฤติกรรมคือเมื่อผู้คนเริ่มเชื่อใจกระบวนการมากเกินไป ทีมงานถือว่าสิ่งที่ขึ้นมาเป็นสิ่งที่สำคัญที่สุดและสิ่งที่ไม่ขึ้นมาเป็นสิ่งที่สามารถรอได้ นี่เป็นเรื่องที่เข้าใจได้ แต่ฉันเชื่อว่ามันเป็นอันตราย

และจากนั้นก็มีความเสี่ยงเชิงกลยุทธ์ที่กว้างขึ้น ซึ่งคือองค์กรเริ่มสับสนระหว่างปริมาณกับการปรับปรุงความปลอดภัย การปิดการอ่อนไหวในปริมาณมากดูเหมือนดีในด้านการดำเนินงาน มันสร้างตาราง เมตริก และความรู้สึกถึงความก้าวหน้า แต่ถ้าคุณไม่ได้ลดความเสี่ยงที่สำคัญที่สุดให้กับธุรกิจ คุณอาจเพียงแต่เร็วขึ้นในการดูว่ากำลังยุ่งอยู่

ดังนั้น ฉันจึงคิดว่าการทำให้ระบบอัตโนมัติควรทำหน้าที่ในการช่วยเหลือการตัดสินใจ ไม่ใช่การแทนที่มัน

คุณทำงานอย่างกว้างขวางในด้านการเปลี่ยนแปลง IT และสถาปัตยกรรมองค์กร คุณคิดว่า CISO ควรสร้างสมดุลระหว่างความจำเป็นในการแก้ไขจุดอ่อนอย่างรวดเร็วและความเสี่ยงในการดำเนินการที่อาจรบกวนระบบธุรกิจที่สำคัญ?

คำถามที่ดี เนื่องจากนี่คือพื้นที่ที่คำตอบที่ง่ายมักจะไม่ถูกต้อง

แน่นอนว่าคุณต้องการแก้ไขจุดอ่อนอย่างรวดเร็ว ไม่มี CISO ที่จะโต้แย้งเรื่องนั้น แต่ในองค์กรที่แท้จริง โดยเฉพาะอย่างยิ่ง那些ที่ใช้ระบบที่สำคัญ การเร่งรีบไม่ใช่เป้าหมายเดียว

สมดุลคือการทำความเข้าใจว่าความเสี่ยงใดที่มีชีวิตอยู่ ความเสี่ยงใดที่เป็นทางทฤษฎี และระบบใดที่สามารถทนต่อการเปลี่ยนแปลงโดยไม่ทำให้เกิดปัญหา

บางความเสี่ยงต้องการการดำเนินการอย่างเร่งด่วน หากมีสิ่งที่ถูกเปิดเผยและสามารถใช้ได้ และอยู่ในพื้นที่ที่สำคัญต่อธุรกิจ คุณต้องดำเนินการ

แต่หลายครั้งการตัดสินใจไม่ใช่เรื่องง่ายๆ คุณอาจมีการควบคุมอื่นๆ ที่อยู่รอบๆ ปัญหา ระบบที่ได้รับผลกระทบอาจถูกจำกัดหรือมีการควบคุมการเข้าถึง คุณอาจมีการประเมินความเสี่ยงที่แตกต่างออกไปหากธุรกิจกำลังอยู่ระหว่างการย้ายระบบ การเข้าซื้อกิจการ หรือช่วงการดำเนินงานสูงสุด

นี่คือจุดที่ CISO ที่ดีจะสามารถมีการสนทนาที่มีความเป็นผู้ใหญ่มากขึ้นกับธุรกิจได้ ไม่ใช่แค่ “นี่คือเรื่องสำคัญ ต้องแก้ไขทันที” แต่ “นี่คือความเสี่ยง นี่คือสิ่งที่อาจเกิดขึ้น นี่คือสิ่งที่อาจผิดพลาดหากเราทำการเปลี่ยนแปลงอย่างไม่ดี และนี่คือวิธีที่ปลอดภัยที่สุดในการผ่านพ้นไป”

และฉันคิดว่านี่คือรูปแบบการนำที่น่าเชื่อถือมากกว่า

Spinnaker ใช้การวิเคราะห์ที่ขับเคลื่อนด้วย AI พร้อมการตรวจสอบโดยผู้เชี่ยวชาญ คุณคิดว่า AI ควรจัดการกับงานใด และการตัดสินใจใดควรอยู่ในมือของผู้เชี่ยวชาญด้านความปลอดภัยที่มีประสบการณ์?

ฉันคิดว่าเส้นแบ่งคือเรื่องง่ายๆ

AI ควรทำหน้าที่ที่ได้รับประโยชน์จากความเร็ว ขนาด และความสม่ำเสมอ การผ่านข้อมูลจำนวนมาก การดึงสัญญาณมารวมกัน การระบุรูปแบบ การจับตามองสิ่งที่ดูผิดปกติ และช่วยให้ทีมงานแคบลง นี่คืองานที่เครื่องจักรมีประโยชน์

AI เหมาะสมกับส่วนซ้ำๆ ของงาน การไตร่ตรองชั้นแรก การสรุปผลการค้นหา การเชื่อมโยงประเด็นที่คล้ายกัน การติดตามข้อยกเว้นที่ซ้ำๆ การชี้ให้เห็นว่าข้ออ่อนที่คล้ายกันเกิดขึ้นซ้ำๆ

แต่เมื่อคุณย้ายจากการวิเคราะห์ไปสู่การตัดสินใจ ฉันจะระมัดระวังมากขึ้น

การตัดสินใจที่สำคัญควรยังคงอยู่ในมือของผู้เชี่ยวชาญด้านความปลอดภัยที่มีประสบการณ์

และเพราะฉันไม่เห็น AI ที่สามารถตัดสินใจแทนเราได้โดยไม่ต้องมีการทบทวนของมนุษย์

เพราะเมื่อการตัดสินใจมีผลกระทบ ไม่ว่าจะเป็นด้านการดำเนินงาน การเงิน หรือชื่อเสียง คุณไม่ได้แค่ประมวลผลข้อมูล คุณกำลังตัดสินใจ

และในด้านความปลอดภัย ฉันเชื่อว่านั่นควรเป็นคนจริงๆ ที่มีความเข้าใจ

หลายองค์กรยังคงมุ่งเน้นไปที่จำนวนความอ่อนไหวและคะแนนความรุนแรง คุณเชื่อว่าการจัดการความเสี่ยงที่แท้จริงต้องมีมุมมองที่กว้างขึ้น ซึ่งรวมถึงการควบคุมที่ชดเชย การจำกัดการเข้าถึง สถาปัตยกรรมระบบ และบริบททางธุรกิจ?

มันจำเป็นต้องมีมุมมองที่กว้างขึ้นเพราะตัวเลขเดียวไม่ได้บอกเรามากเกี่ยวกับว่าคุณเสี่ยงอย่างแท้จริง

คะแนนความรุนแรงมีประโยชน์ การนับความอ่อนไหวมีประโยชน์ มันช่วยให้คุณกำหนดขนาดของปัญหา มันช่วยให้คุณจัดระเบียบการทำงานในคิว แต่ไม่ใช่สิ่งเดียวกับการทำความเข้าใจความเสี่ยง

ความอ่อนไหวอาจดูรุนแรงในทางทฤษฎีและยังคงถูกจำกัดในทางปฏิบัติ หากการเข้าถึงระบบถูกจำกัดอย่างเข้มงวด หากมีการควบคุมที่ชดเชยอยู่รอบๆ หากมันอยู่ในพื้นที่ที่ยากจะเข้าถึงเนื่องจากการจำกัดการเข้าถึง ความเสี่ยงที่แท้จริงอาจแตกต่างจากคะแนนที่แสดงออกมา

และจากนั้นก็มีคดีที่ตรงกันข้าม ซึ่งมักจะน่าสนใจมากกว่า สิ่งที่ดูไม่สำคัญในรายการสุดท้ายอาจกลายเป็นสิ่งที่สำคัญมากเพราะว่ามันสัมผัสกับบริการที่สำคัญ มันอยู่ในพื้นที่ที่สามารถเข้าถึงได้ง่าย หรืออยู่ในโครงสร้างระบบที่ทำให้คุณสามารถเคลื่อนย้ายได้เมื่อมีการบุกรุก

ดังนั้น เมื่อคนพูดถึงการจัดการความเสี่ยง ฉันคิดว่ามันหมายถึงมากกว่าการจัดลำดับความสำคัญความอ่อนไหวตามคะแนน

คุณต้องรู้ว่ามีสิ่ง gì อยู่รอบๆ ปัญหา การควบคุมที่มีอยู่ ใครสามารถเข้าถึงได้ ระบบนั้นถูกแยกออกหรือเชื่อมต่อกับสิ่งที่สำคัญกว่า และหากมีการใช้ประโยชน์จากความอ่อนไหว สิ่งที่จะเกิดขึ้นต่อไปคืออะไร

ไม่เช่นนั้น คุณจะจัดการกับภาพของความเสี่ยงมากกว่าความเสี่ยงเอง ตารางจะดีขึ้น จำนวนการแก้ไขจะเคลื่อนไหว มันจะดูเหมือนดีในด้านการดำเนินงาน แต่คุณอาจไม่ได้ปลอดภัยกว่า

ฉันคิดว่าส่วนหนึ่งของเหตุผลที่เกิดขึ้นคือตัวเลขมีความสบายใจ มันทำให้ดูเป็นกลาง มันให้คนบางคนมีบางสิ่งที่สะอาดจะนำเสนอ มันสร้างความรู้สึกว่าปัญหาได้รับการลดลงให้เป็นสิ่งที่วัดได้และอยู่ภายใต้การควบคุม แต่ความเสี่ยงที่แท้จริงมักจะซับซ้อนกว่านั้น

มันอยู่ที่จุดตัดระหว่างจุดอ่อน การควบคุมที่อยู่รอบๆ โครงสร้างระบบ และผลกระทบทางธุรกิจหากมีการใช้ประโยชน์

ดังนั้น หากคุณต้องการทราบว่าความเสี่ยงอยู่ที่ไหน ฉันเชื่อว่าคุณต้องมองเห็นสภาพแวดล้อมทั้งหมด ไม่ใช่แค่ตัวเลขที่แนบมากับ它

สภาพแวดล้อมซอฟต์แวร์องค์กรกำลังเข้าสู่ช่วงการเปลี่ยนแปลงที่สำคัญ เนื่องจากองค์กรกำลังปรับปรุงระบบเก่าในขณะเดียวกันก็ใช้เทคโนโลยี AI เมื่อมองไปข้างหน้าในช่วงสามถึงห้าปี คุณเห็นความสัมพันธ์ระหว่าง AI ความปลอดภัย และแพลตฟอร์มองค์กรวิวัฒนาการไปอย่างไร และผู้นำด้านเทคโนโลยีควรเตรียมตัวสำหรับอะไรในวันนี้?

ฉันคิดว่าช่วงสามถึงห้าปีที่จะมาถึงนี้จะเป็นช่วงเวลาที่กำหนดทิศทาง

หลักๆ เพราะบริษัทต่างๆ กำลังพยายามปรับปรุงระบบเก่าในขณะเดียวกันก็นำ AI มาใช้ และทั้งสองสิ่งนี้ไม่ใช่เรื่องง่ายๆ เมื่อทำทั้งสองอย่างพร้อมๆ กัน มันเพิ่มความเสี่ยง

สิ่งที่เปลี่ยนแปลงก่อน tiênคือ AI หยุดเป็นการทดลองและเริ่มกลายเป็นส่วนหนึ่งของวิธีการดำเนินธุรกิจ มันปรากฏในกระบวนการทำงาน การสนับสนุน การพัฒนา การดำเนินงานด้านความปลอดภัย และการบริหารแพลตฟอร์ม ไม่ใช่เรื่องใหม่ๆ แต่เป็นส่วนหนึ่งของโครงสร้างพื้นฐาน

และเมื่อสิ่งนี้เกิดขึ้น การสนทนาทางด้านความปลอดภัยจะรุนแรงขึ้น คุณไม่ได้เพียงถามว่าเครื่องมือนั้นมีประโยชน์หรือไม่ แต่คุณถามว่ามันสามารถเข้าถึงอะไรได้บ้าง มันสามารถมีอิทธิพลต่ออะไรได้บ้าง ข้อมูลที่มันให้มาจากไหน และผลที่ตามมาเมื่อมันทำผิดพลาดคืออะไร

ฉันคิดว่าเราจะเห็นความปลอดภัยและสถาปัตยกรรมกลายเป็นเรื่องที่ยากจะแยกออกจากกัน ในหลายสภาพแวดล้อมเก่าๆ ที่ดูเหมือนเป็นปัญหาเกี่ยวกับความปลอดภัยมักจะเป็นปัญหาเกี่ยวกับสถาปัตยกรรมที่แต่งกายด้วยชุดความปลอดภัย

การออกแบบอัตลักษณ์ที่อ่อนแอ การพึ่งพาที่มากเกินไป ความเป็นเจ้าของที่ไม่ชัดเจน การผสานรวมที่ไม่แข็งแรง ความมองเห็นที่ไม่ดี การควบคุมที่ไม่ดี สิ่งเหล่านี้คือสิ่งที่มักจะอยู่ภายใต้ปัญหาที่เห็นได้ AI จะไม่ทำให้สิ่งนี้ดีขึ้น หากมันจะทำให้ความยุ่งเหยิงปรากฏออกมาเร็วขึ้น

ดังนั้น องค์กรที่จัดการกับสิ่งนี้ได้ดี ฉันเชื่อว่าจะเป็นองค์กรที่หยุดพิจารณา AI การนำร่องความปลอดภัย และการปรับปรุงแพลตฟอร์มเป็นกระบวนการทำงานแยกจากกัน มันคือการสนทนาเดียวกัน

หากฉันต้องแนะนำผู้นำด้านเทคโนโลยีวันนี้ ฉันจะเริ่มต้นด้วยการมองเห็น คุณต้องมีความเข้าใจที่ชัดเจนมากขึ้นเกี่ยวกับสิ่งที่คุณมี วิธีการเชื่อมต่อ ใครสามารถเข้าถึงอะไรได้บ้าง ข้อมูลที่สำคัญเคลื่อนย้ายไปที่ไหน และจุดควบคุมที่แท้จริงของคุณอยู่ที่ไหน

สิ่งต่อไปคือการกำกับดูแล แต่ไม่ใช่การกำกับดูแลที่เป็นเพียงการแสดงออก การตัดสินใจที่แท้จริง ที่ไหนที่ AI สามารถใช้ได้ ที่ไหนที่การตัดสินใจของมนุษย์ยังคงต้องมีอยู่ การตรวจสอบผลลัพธ์อย่างไร ใครเป็นเจ้าของผลที่ตามมาหากระบบขับเคลื่อนการดำเนินการที่ไม่ถูกต้อง

และอย่างซื่อสัตย์ การทำให้ระบบง่ายขึ้นมีความสำคัญมากกว่าที่หลายคนต้องการยอมรับ ระบบที่ซับซ้อนยิ่งทำให้ยากต่อการรักษาความปลอดภัย ยากต่อการปรับปรุง และยากต่อการใช้ AI โดยไม่สร้างความไม่แน่นอนใหม่ๆ

จากนั้นก็มีด้านคน ซึ่งองค์กรที่ดีกว่าจะเป็นองค์กรที่รู้วิธีรวมการทำให้ระบบอัตโนมัติกับการตัดสินใจ พวกเขาจะไม่เพียงแค่รับผลลัพธ์ของ AI เพราะมันเร็วหรือดูหรูหรา พวกเขาจะท้าทาย มัน ตรวจสอบ และผลักกลับเมื่อจำเป็น

ดังนั้น ฉันคิดว่าในช่วงสามถึงห้าปีที่จะมาถึง AI ความปลอดภัย และแพลตฟอร์มองค์กรจะกลายเป็นเรื่องเดียวกันมากขึ้น

และฉันคิดว่าผู้นำที่เตรียมตัวได้ดีจะเป็นผู้ที่เข้าใจว่านี่ไม่ใช่แค่การเปลี่ยนแปลงทางเทคโนโลยี มันเป็นการเปลี่ยนแปลงวิธีการตัดสินใจ วิธีการควบคุม และวิธีการที่องค์กรของคุณมีความยืดหยุ่นจริงๆ

ขอขอบคุณสำหรับการสัมภาษณ์ที่ดี ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ Spinnaker Support