Mark Fetches, Spinnaker Support’un CTO’su – Röportaj Serisi

Mark Fetches Spinnaker Support’un EMEA için Baş Teknoloji Sorumlusu’dur ve burada büyük şirketlere teknoloji stratejisi, güvenlik, bulut, yapay zeka ve büyük ölçekli dönüşüm girişimleri konusunda danışmanlık yapmaktadır. Accenture, Deloitte ve PwC’de 30 yılı aşkın danışmanlık ve liderlik deneyimi bulunan Mark, CEO’lar ve yönetim kurullarıyla yakın çalışarak karmaşık şirket ortamlarını modernize etmiş ve teknoloji kararlarını uzun vadeli iş hedefleriyle uyumlu hale getirmiştir. İngiltere’de bulunan Mark, şirketlerin miras teknoloji zorlukları, operasyonel risk ve dijital dönüşüm konularında pratik ve iş odaklı rehberlik sağlamakta uzmanlaşmıştır.

Spinnaker Support Oracle (ORCL ), SAP, JD Edwards ve diğer kritik platformları çalıştıran şirketler için üçüncü taraf yazılım desteği, yönetilen hizmetler ve güvenlik danışmanlığı alanında lider bir küresel sağlayıcıdır.

Accenture, Deloitte ve PwC’de 20 yılı aşkın bir süredir şirketlere danışmanlık yaptıktan sonra Spinnaker Support’un CTO’su olarak görev aldınız. Bu yolculuk boyunca teknoloji riski konusunda yöneticilerin sürekli olarak sahip olduğu en büyük yanlış anlaşılmaları nelerdir ve yapay zeka bu konuşmaları nasıl değiştirdi?

Sanırım en büyük yanlış anlama, teknoloji riskinin işin yan tarafında yer alan bir uzmanlık konusu olarak yönetilebileceği yönündedir. Ben bunu hiç böyle görmedim.

Gördüğüm en ciddi riskler, liderlik tercihlerinden kaynaklanmaktadır. KaçComplexityi tolere ettiğiniz, hangi eski platformlara veya ana tedarikçilere ne kadar bağımlı olduğunuz, ne kadar hızlı ilerlediğiniz ve işin gerçekten güvendiği verilerin gerçekten güvenilebilir olup olmadığı… Teknoloji, bu tercihlerin ortaya çıktığı yerdir, ancak genellikle bu tercihlerin başladığı yer değildir.

Yıllar içinde, birçok yöneticinin obvious konulara odaklandığını gördüm: siber güvenlik, uyum ve maliyet azaltımı. Bunlar gerçek konulardır elbette. Ancak şirketleri yakalayan riskler genellikle daha sessizdir. Herkesin bildiği ancak değiştirilmesi ertelenen bir platform, kimsenin gerçekten sahibi olmadığı bir veri problemi, verimli görünse de aslında bir bottleneck olan bir dış kaynak kullanımı… Bunlar, arka planda yıllarca sürebilir ve sonra bir şey gittiğinde çok görünür hale gelir.

Sanırım başka bir uzun süreli alışkanlık da, uyumu dayanıklılık ile karıştırmaktır. Bunlar aynı şey değildir. Bir denetimi geçebilirsiniz, ancak gerçekten maruz kalma riski altında olabilirsiniz. Bir kontrol listesi, işin nasıl tepki vereceğini, ne kadar hızlı iyileşeceğini veya liderlerin gerçekten sorunu görüp görmediğini size söylemez.

Yapay zeka ne değiştirdi? Bu konuşmalar artık daha üst düzeyde gerçekleşiyor. Artık yönetim kurullarında büyüme, güven, verimlilik ve marka hakkında yapılan tartışmaların ortasındalar. Bu çok iyi bir şey. Ancak aynı zamanda yeni bir basitleştirme getirdi, yani kullanılan yapay zeka modelinin risk olduğu fikri. Genellikle bundan daha büyük bir sorun vardır. Veri ve yönetimi etrafındaki daha zor sorular, etkilediği kararlar ve insan yargısının hala önemli olduğu nokta…

Özetlersem, teknoloji riski hiçbir zaman sadece teknolojiyle ilgili olmadı. Liderlik yargısı luôn bir yansımasıydı. Yapay zeka sadece bunu daha fazla görmezden gelinemez hale getirdi.

Güvenlik ekipleri şimdiye kadar hiç olmadığı kadar çok zafiyet istihbaratına erişebiliyor, ancak şirketler hala önceliklendirme konusunda mücadele ediyor. Endüstriyi bir sinyal-karmaşık problemi ile karşı karşıya olduğunu düşünüyor musunuz?

Konuyu basitçe açıklamak isterim, endüstri zafiyet verisi konusunda değil, netlik konusunda eksik.

Çoğu güvenlik ekibi zaten yeterli girdi, tarama çıktısı, tehdit istihbaratı, ciddiyet puanları, yama tavsiyeleri ve sömürme raporlarına sahiptir. Sorun, zayıflıkları bulmakta değil, gerçekten önemli olanları diğerlerinden ayırmaktır.

Bu nedenle sinyal-karmaşık bir problem olarak görüyorum. Tespit iyileştirildi. Ancak bağlamı uygulamak aynı hızda ilerlemiyor. Bir zafiyet sadece gerçek bir öncelik haline geldiğinde, nerede olduğu, ne kadar maruz kaldığı, hangi varlığın kritik olduğu, hangi telafi edici kontrollerin olduğu ve sömürülmesi halinde iş üzerindeki etkisinin ne olacağı anlaşıldığında…

Pratikte, birçok organizasyon hala en kolay üretilen metriklere geri dönmektedir: ciddiyet puanları, yama sayıları ve eskime raporları. Bunlar yararlıdır, ancak insan yargısı değildir. Yüksek puanlı bir sorun, düşük değerli bir iç sistemde daha az önemli olabilir, ancak daha düşük puanlı bir zayıflık, müşteri odaklı veya operasyonel olarak kritik bir sistemde daha önemli olabilir.

Sanırım bu temelde bir görünürlük problemi değil, bir iş önceliklendirme problemidir. Çok iyi bulgular üretiyoruz, ancak bunları liderlerin güvenle destekleyebileceği kısa bir eylem listesine çevirmekte daha az tutarlıyız.

Ve bakış açımdan, endüstriyi gerçekten yapmak zorunda olduğu değişim, ne kadar çok şey bulabildiğimizden, gerçekten önemli olan şeylere karar vermeye doğru bir kaymadır.

Yönetim kurulu düzeyinde, bu aslında risk çevirisi konusunda bir soru. Organizasyon, teknik maruz kalma ile net, eyleme geçirilebilir iş önceliklerini çevirebiliyor mu? Bunu iyi yapanlar, gürültüden sinyale geçenlerdir.

Çok sayıda siber güvenlik şirketi, yapay zeka ile zafiyetleri otomatik olarak önceliklendirebileceğini ve tehditleri öngörebileceğini iddia ediyor. Pazarlama anlatısı ile gerçekçi olarak teslim edebileceği arasında nerede bir boşluk görüyorsunuz?

En kolay şekilde açıklamak isterim, pazarlama genellikle bir kesinlik seviyesi vaat ediyor ki, gerçek işletme ortamları bunu asla izin vermez.

Yapay zeka, her şeyi görebilir, her şeyi alabilir ve güvenlikle ilgili ekibe neyin önemli olduğunu güvenilir bir şekilde söyleyebilir. Bu, her güvenlik liderinin istediği bir şey. Ancak bir işletme içinde, şeyler asla bu kadar basit değildir.

Yapay zeka kesinlikle yardımcı olabilir. Kalıpları bir araya getirebilir, bazı manuel sıralamaları azaltabilir, anormallikleri vurgulayabilir ve ekiplerin zorlayıcı miktarda bilgiyi işlerken yardımcı olabilir, bu da gerçek bir değerdir. Ancak teknoloji ile iş arasında bir fark vardır, yani gerçekten önemli olan şeyi belirleme yeteneği…

Bu, pazarlama vaatlerinin gerçeklikten daha fazla olduğu yerdir. Çoğu işletme, düzensiz bir bağlamla doludur. Varlık envanterleri eksik, sahiplik her zaman açık değildir, iş kritikliği değişir, kontroller birbirinden farklıdır, veri kalitesi değişken… Altta yatan resim parçalı ise, yapay zeka çıktısı da parçalı olacaktır, ne kadar iyi bir arayüze sahip olursa olsun.

Sanırım bu özellikle doğru, когда konuşuyoruz tahmin. Bir kalıp riskli görünüyor demektir, ancak “bu sonraki şey olacak” demektir. İlki yararlı olabilir, ikincisi gerçeklikten daha öteye gider.

Özetle, yapay zeka bugün en iyi şekilde bir amplifikatör olarak anlaşılmalıdır, otorite değil. Ekiplere sıralama, korelasyon ve odaklanma konusunda yardımcı olabilir. Ancak insan yargısı, yerel bilgi ve işin gerçekten neye önem verdiğini anlamak ihtiyacını sürekli olarak yerine getiremez.

Bu, gerçek boşluktur. Anlatı, kesinlik vaat ediyor. Gerçek, daha alçakgönüllü ve daha kullanışlı, ancak vaat edilen şeyden daha az.

Spinnaker Support, Oracle, SAP ve JD Edwards dağıtımları ile geniş kapsamlı çalışıyor. Yüksek derecede özelleştirilmiş ERP ortamlarının, AI güdümlü güvenlik araçlarının doğru bir şekilde anlaması ve değerlendirmesi için özellikle zor olmasının nedenleri nelerdir?

Bu ortamların zor olmasının nedeni, yıllar içinde standart yazılımdan ziyade işin gerçekten nasıl çalıştığına dair bir kayıt gibi davranmaya başlamasıdır.

Özellikle Oracle, SAP ve JD Edwards’estates’de gördüğüm gibi, çok özelleştirilmiş ortamlarda, yerel adaptasyonlar, özel kod, miras alınan entegrasyonlar, izin modelleri, raporlama mantığı ve işlemsel nedenlerle yapılan çalışmalara rastladım. Bir AI güdümlü güvenlik aracının bu tür bir ortamı gerçekten güvenle okuyabilmesi zor olabilir.

Bu araçlar, genellikle tutarlı bir ortamda en iyi şekilde çalışır ve kalıpları kolayca karşılaştırabilir. Yüksek derecede özelleştirilmiş ERP ortamları nadiren böyle bir yapıya sahiptir. Mantık daha da karmaşıktır, belgeleme genellikle eksik, sahiplik birden fazla takıma dağılmış, normal görünen bir şey aslında kritik bir iş süreci için çok önemli olabilir…

Bu, zorluğun olduğu yer. Araç, sadece bir zayıflığı bulmakla kalmaz, aynı zamanda iş süreci, özel bağımlılık veya kontrol yapısı bağlamında ne anlama geldiğini anlamalıdır.

Ve bu, pazarlama vaatlerinin genellikle basitleştirdiği bir sorun. Araç, sadece bir zayıflık bulmakla kalmaz, aynı zamanda işin gerçekten nasıl çalıştığını anlamak zorundadır.

İnsan uzmanlığının, güvenlik sürecinin vazgeçilmez bir parçası olduğunu ve AI güdümlü önceliklendirme motorunun kaçırdığı riskleri tanımlayan örnekler paylaşıp paylaşamayacağınızı sorabilir miyim?

Evet, kesinlikle. Ve bana göre, otomatik önceliklendirmenin sınırları burada çok açık bir şekilde ortaya çıkıyor.

Bazı riskler, ancak ortamı iyi bildiğinizde anlam kazanır. Bir sistem dışarıdan bakıldığında özellikle önemli görünmeyebilir. Zafiyet puanı dikkat çekici olmayabilir. Ancak ortamı iyi bilen biri, bu sistemin maaş ödemeleri, çeyrek sonu raporlaması, bir entegrasyon veya iş süreci için kritik bir sistem olduğunu bilir. Verideki sinyal normal görünüyor, ancak gerçek dünya sonuçları değil.

Ayrıca, kontrol resminin teoridekinden daha farklı olduğu durumları gördüm. Bir AI motoru, bir riskin azaltıldığını varsayabilir, çünkü segmentasyon mevcuttur, erişim kısıtlıdır veya bir izleme kontrolü vardır. Ancak ortamdaki biri, bir kontrolün tutarlı bir şekilde uygulanmadığını, bir diğerinin basınç altında atlandığını ve bir diğerinin güvenilir olmadığını bilir. Bu tür bir boşluk, sistem kayıtlarında her zaman açık bir şekilde görünmez.

Aynı şey, özelleştirilmiş ortamlarda da geçerlidir. Bir komut dosyası, iş akışı veya izin modeli, büyük ölçekli taramada normal görünüyor, ancak ortamdaki biri, bu ayrıntının gerçekten önemli bir maruz kalma kaynağı olduğunu hemen anlayabilir.

Zamanlama da önemlidir. Bir zafiyet, izole olarak bakıldığında yönetilebilir görünüyor, ancak işletme bir göç, bir satın alma, bir düzenleyici süre veya zirve işletme döneminde olduğunda çok daha ciddi hale gelebilir. Bu tür bir değişiklik, otomatik bir motor tarafından doğru şekilde yorumlanması her zaman kolay değildir.

Özetle, insan uzmanlığından kastım, yerel bilgi, hafıza, yargı ve küçük bir teknik sorunun aslında kritik bir iş süreci için çok önemli olabileceğini görme yeteneğidir.

Bu, otomatik önceliklendirmenin sınırlarını gösterir. AI, veri sıralamasına ve ilk geçişe yardımcı olabilir, ancak gerçekten önemli olan riskleri belirleme yeteneği, insan uzmanlığının ortadan kaldırılması gereken bir engel değil, gerçek bir farktır.

Şirketler güvenlik operasyonları genelinde AI’ı benimserken, zafiyet yönetimi ve maruz kalma değerlendirmesinin aşırı otomasyonunun en büyük riskleri nelerdir?

Sanırım en büyük risk, gerçekten kontrolü anladığınızı düşünerek, ancak aslında sadece görünüşte kontrolü oluşturmanızdır.

Zafiyet yönetimi, otomasyonun gerçekten değerli olduğu bir alandır. Büyük ölçekli işletmelerde, otomasyon olmadan sorunları bulmak, verileri sıralamak, önceliklendirmek ve süreci yönetmek mümkün değildir. Ciddi bir işletme, bunu manuel olarak yönetemez.

Ancak tehlike, otomasyonun programı sürmeye başladığı zaman ortaya çıkar.

İlk açık risk, yanlış önceliklendirmedir. Otomatik puanlamaya çok fazla güvenmek, teknik ciddiyetle iş riskini aynı şey olarak tedavi edebilir. Yüksek puanlı bir zafiyet, izole veya telafi edici kontrollere sahip bir varlıkta daha az önemli olabilir, ancak daha düşük puanlı bir sorun, kritik bir iş sürecine bağlı bir sistemde daha önemli olabilir.

İkinci risk, bağlam kaybıdır. Otomatik programlar, ancak varlık verisi, sahiplik verisi, bağımlılık haritalama ve istisna işleme gibi arkasındaki veriler kadar iyidir. Bu bilgiler eksikse, ve çoğu işletmede bazıları eksik olabilir, otomasyon, sistemi yanlış kararlar vermeye yönlendirebilir.

Ve sonra davranışsal bir risk vardır. İnsanlar otomasyona çok fazla güvendiklerinde, çıktılarını sorgulamayı bırakırlar. Ekipler, en üstte olanın gerçekten önemli olduğunu varsayarlar, ve altta kalanların bekleyebileceğini düşünürler. Bu, anlaşılabilir, ancak tehlikeli.

Ve daha geniş bir stratejik risk vardır, işletmelerin, güvenlik iyileştirmesi yerine sadece iş hacmini karıştırmasıdır. Yüksek hacimli zafiyetleri kapatmak operasyonel olarak iyi görünüyor, panelleri hareketlendiriyor, metriklere momentum kazandırıyor, ancak gerçekten önemli olan maruz kalma risklerini azaltmıyor olabilir.

Sanırım görüşüm, otomasyonun gerçekten ağır kaldırması gerektiği, ancak insan yargısını değiştirmemesi gerektiğidir. Aksi takdirde, verimli, ölçülebilir ve ölçeklenebilir bir süreç oluşturursunuz, ancak daha güvenli olmayabilirsiniz.

Spinnaker Support’un yaklaşımı, AI güdümlü analizi uzman doğrulamasıyla birleştirir. Hangi görevleri AI’nin gerçekleştirmesi, hangi kararların ise deneyimli güvenlik profesyonellerinin elinde kalması gerektiğini düşünüyorsunuz?

Sanırım ayırma çizgisi aslında khá nettir.

AI, hız, ölçek ve tutarlılıktan faydalanan işleri yapmalıdır. Büyük miktarda veri işleme, sinyalleri bir araya getirme, kalıpları bulma, şüpheli şeyleri vurgulama, ekiplere daha iyi bir başlangıç noktası sağlama… Bunlar, makinelerin gerçekten yararlı olduğu işlerdir. Zaman kazandırır, manuel çabayı azaltır ve güvenlik ekiplerine daha iyi bir başlangıç noktası sağlar.

Ayrıca, işin tekrarlayan kısımlarına da uygundur. İlk sıralama, bulguların özeti, benzer konuların bağlantısı, tekrar eden istisnaların takibi, belirli türdeki kontrol zayıflıklarının nerede ortaya çıktığının gösterilmesi… Bunların hiçbiri uzmanlık gerektirmez, ancak uzmanlığı daha iyi kullanır.

Önemli kararlar ise hala deneyimli güvenlik profesyonellerinin elinde olmalıdır.

AI, sıralama, kümeleme, ilk geçiş, ağır kaldırma yapabilir. Ancak iş, AI çıktısını insan yargısı ve uzmanlık olmadan değerlendirmeye geldiğinde, gerçekten önemli olanın ne olduğunu belirleme yeteneği, hala insan uzmanlığının görevidir.

Ve bu, güvenlik alanında hala çok önemli bir farktır. AI, analize yardımcı olabilir, ancak wirklich önemli olanın ne olduğunu belirleme yeteneği, hala insan uzmanlığının görevidir.

Şirketler, AI teknolojisini benimserken, güvenlik ve işletme platformları arasındaki ilişki nasıl evriliyor ve teknoloji liderlerinin bugün hazırlanmaları gereken şeyler nelerdir?

Sanırım önümüzdeki üç ila beş yıl, gerçekten belirleyici olacak.

Çünkü şirketler, eski işletme ortamlarını modernleştirmeye çalışırken aynı zamanda AI’ı benimsemeye çalışıyorlar ve her ikisi de tek başına zor. Birlikte yapmak, riskleri artırıyor.

Değişen ilk şey, AI’ın bir kenar deneyinden, işletmenin gerçekten nasıl çalıştığına dahil olmasıdır. AI, iş akışlarında, destekte, geliştirmede, güvenlik operasyonlarında ve platform yönetiminde ortaya çıkıyor, ancak artık bir yenilik olarak değil, işletmenin gerçekten nasıl çalıştığına dahil olarak.

Ve bir kez bu olursa, siber güvenlik konuşması daha ciddileşiyor. Artık sadece AI’ın yararlı olup olmadığını soruyoruz, aynı zamanda neye erişebileceğini, neyi etkileyebileceğini, hangi verilere beslendiğini ve yanlış gittiğinde ne gibi sonuçlar doğabileceğini soruyoruz.

Sanırım güvenlik ve mimari arasındaki ayrım da daha da zor hale gelecek. Eski ortamlarda, güvenlik problemi gibi görünen şey, aslında bir mimari problemi olabilir. Zayıf kimlik tasarımı, çok fazla bağımlılık, belirsiz sahiplik, kırılgan entegrasyonlar, zayıf görünürlük… Bunlar, görünür sorunların altında yatan şeylerdir. AI, bunu düzeltmez, belki de daha hızlı ortaya çıkarır.

Şirketler, bu süreci iyi yönetenler, AI benimsemesini, siber güvenliği ve platform modernizasyonunu ayrı iş akışları olarak değil, aynı konuşma olarak ele alacaktır.

Eğer teknoloji liderlerine bugün tavsiye verecek olsam, görünürlükle başlayacaklardı. Ne sahip olduğunuzu, nasıl bağlandığınızı, kimin erişimi olduğunu, hassas verilerin nereye gittiğini ve gerçek kontrol noktalarınızı çok daha iyi anlamak zorundasınız. AI’ı buna eklerseniz, ancak daha fazla şey anlamazsınız.

Sonraki şey, gerçek bir yönetimdir. AI’ın nerede kullanılabileceğini, insan gözden geçirmesinin nerede kalması gerektiğini, çıktıların nasıl kontrol edildiğini, hangi verilerin erişilemez olduğunu ve sistem yanlış bir eylem yönlendirdiğinde kimin sorumlu olduğunu belirlemek zorundasınız.

Ve dürüst olmak gerekirse, basitleştirme önemlidir. Ortam ne kadar karmaşıksa, güvenliği o kadar zor, modernleştirmeyi o kadar zor ve AI’ı kullanmayı o kadar zor hale getirir.

İnsan tarafı da önemlidir. Daha iyi organizasyonlar, otomasyonu yargıyla birleştirebilenlerdir. AI çıktısını sadece hızlı veya parlak olduğu için tüketmezler, sorgularlar, test ederler ve gerektiğinde geri çekerler.

Evet, önümüzdeki birkaç yıl içinde, AI, siber güvenlik ve işletme platformları daha da紧密 bir şekilde bağlantılı hale gelecek.

Ve sanırım liderler, bu değişimin sadece bir teknoloji değişimi olmadığını, kararların nasıl alındığı, kontrolün nasıl uygulandığı ve işletmenin gerçekten ne kadar dayanıklı olduğu konusunda bir değişiklik olduğunu anlayarak hazırlanacaktır.