Skyhigh Güvenlik’ten Steve Tait, Baş Teknoloji Sorumlusu – Röportaj Serisi

Steve Tait, Skyhigh Güvenlik’in Baş Teknoloji Sorumlusu, 25 yılı aşkın tecrübesiyle siber güvenlik, savunma, finansal hizmetler ve sağlık sektörlerinde deneyimli bir yönetici teknoloji lideridir. Ağustos 2024’te Skyhigh’e katılarak şirketin Güvenlik Hizmeti Kenarı (SSE) teknolojik vizyonu, mimarisi ve bulut altyapısı stratejisini yönetmek üzere görevlendirilmiştir.

Skyhigh Güvenlik, özel bir şirket olan ve San Jose, Kaliforniya’da bulunan bir bulut yerel siber güvenlik şirketidir. Şirket, kapsamlı bir Güvenlik Hizmeti Kenarı (SSE) platformu sunmaktadır. Platform, CASB, Güvenli Web Geçidi, Sıfır Güvenli Özel Erişim, CNAPP, DLP ve Uzak Tarayıcı İzolasyonu gibi çözümleri birleştirerek veri korumasını sağlar ve web, bulut, e-posta ve özel uygulamalar boyunca güvenli işbirliğini sağlar. Gerçek zamanlı veri koruması, tehdit önleme ve uyumluluk odaklı olarak Skyhigh Güvenlik, 3.000’den fazla müşteriye hizmet vermektedir ve bunlar arasında birçok Fortune 500 şirketi ve büyük finansal kurumlar bulunmaktadır. Şirket, modern hibrit çalışma ortamları için tasarlanan ölçeklenebilir ve veri odaklı bir mimari sunmaktadır.

Siber güvenlik alanında kariyerinize mobil veri alanında başladınız ve farklı sektörlerde mühendislik ve liderlik rollerinde yer aldınız—siber güvenliğe olan tutkunuzu şekillendiren erken deneyimler nelerdi ve sizi bugüne nasıl getirdi?

BAE sistemlerine katıldığımda, en kötü niyetli virüsleri ve kötü amaçlı yazılımları deşifre eden ve bunları savunmak için nasıl çalıştıklarını öğrenen muhteşem ekiplerin çalışmalarına tanık oldum. Siber suç endüstrisinin büyüklüğü ve organize profesyonelliği gerçekten göz açıcıydı. Örneğin, siber saldırıların arkasındaki kod bazen çoklu ulus devlet aktörleri ve suç örgütlerine kadar izlenebilmektedir. Bunlar, yatak odalarında oturan gençler değil, ciddi bir küresel işlerdir. Bunlara karşı savunma, toplum için gerçek bir iyiliktir ve ben bunun bir parçası olmak istedim.

“Dijital dönüşüm bitti” ve şimdi AI dönüşümüne girdiğimizi söylediniz—şirket stratejisi ve sonuçları açısından bu iki aşama arasındaki farkı nasıl tanımlarsınız?

Dijital Dönüşüm, teknolojiyi kullanarak iş süreçlerini daha verimli, etkili ve müşteri için daha iyi bir deneyim sunmak amacıyla yeniden tasarlamaktı. AI dönüşümü, iş açısından aynı hedefi gerçekleştirmeyi amaçlar. Temel fark, dijital dönüşümün bunu süreç otomasyonu, veri toplama ve gelişmiş veri görselleştirme yoluyla başarması, AI dönüşümünün ise bunu orijinal içerik oluşturma, eşlik eden analiz ve otomatik karar verme yoluyla başarmasıdır. Dijital Dönüşüm, insan karar alma süreçlerini optimize etmeyi ve düzeltmeyi amaçlıyordu. AI dönüşümü, birçoklarını tamamen ortadan kaldırma potansiyeline sahiptir!

Şirketler, klasik otomasyondan AI’yi entegre etmeye geçiş yaparken karşılaştıkları en büyük organizasyonel zorlukları nasıl tanımlarsınız?

Gereken dönüşümün gerçekleştirebilmek için gerekli düzeyi çok büyüktür. İşletmeler birkaç yıl içinde tamamen farklı görünmeye başlayabilir. Şu anda, tüm hype’a rağmen, masih erken günlerindeyiz. Bugün en büyük organizasyonel sorun, aslında eğitimdir. Birçok şirket, AI hakkında 20 dakikalık kurumsal eğitim videolarını çıkardı, ancak bu yeterli değildir. Çalışanlar, bu teknolojiyi nasıl kullanacaklarını, sunduğu gerçek riskleri ve nasıl çalıştığını anlamak için eğitim almalıdır. Böylece, tüm düzeydeki çalışanlar, işin AI ile dönüşmesine yardımcı olabilir.

Güvenlik Dergisinde,.prompt enjeksiyonları ve hallucinations’ı en önemli riskler arasında gösterdiniz—sizi en çok endişelendiren tehdit vektörü nedir ve Skyhigh bunu nasıl ele almaktadır?

Kasitsiz veri sızıntısı, hacim bakımından en büyük kurumsal tehdittir. Skyhigh’daki verilere göre, LLM’lere yüklenen veri miktarında geçen yıl içinde %80’lik bir artış gördük. Birçok arayüz, iş asistanları gibi çalışır ve daha fazla bilgi yüklenmesini teşvik eder. Bir dosyayı üçüncü taraf analiz için SFTP konumuna zipleyerek göndermek, bir çalışanın ne yaptığını ve potansiyel riskleri düşünmesini sağlar. Bu, birkaç adımdan oluşur ve bir çalışanın bunu someone’a gönderdiğini fark eder. AI aracı kullanarak analiz yaparken ve hızlı bir cevap almak için bir veri bloğunu.prompt’a yapıştırmak sadece birkaç saniye sürer, ancak bu verinin nereye gittiği ve nasıl kullanıldığı sorusu kalır. Bu nedenle, Skyhigh’in ana odak noktası, özellikle copilot uygulamaları için AI uygulamalarında veri kaybı önleme üzerinedir.

AI uygulamalarının %94’ünün LLM riski taşıdığı ve AI’ye yüklenen dosyaların %11’inin hassas olduğu istatistiklerini paylaştınız—bu sorunları ele almak için şirketlerin nasıl tepki verdiğini görüyorsunuz?

Şirketler, masih “kullanıcı politikası” ve “engelleme” tekniklerini kullanıyor, ancak birçok şirket AI’nin günlük kullanımdaki miktarına karşı kördür. AI keşfi, görünürlüğü ve Data Loss Prevention tekniklerinin, özellikle büyük copilot uygulamaları için AI’ye genişletilmesi konusunda büyük bir ilgi görüyoruz.

Kurumsal copilot’lar, büyük miktarda özel verilere erişebilir—bu sistemler yoluyla yetkisiz veri sızıntısı veya suistimalini önlemek için en etkili stratejiler nelerdir?

Her şey, politika ve eğitimle başlar. Bunu takiben, veri etiketleme ve DLP teknikleri çok önemlidir. Örneğin, Microsoft (MSFT ) AIP etiketleme, MSFT Copilot’un gizli verilerin dizinlenmesini önleyebilir. CASB ve DLP araçlarıyla birlikte, AIP etiketleri, veri sınıflandırmasına göre otomatik olarak eklenebilir. Belge ve.prompt verilerine yapılan DLP, kasitsiz veri yükleme önlenmesine yardımcı olabilir.

Vatandaş geliştiricilerin kendi uygulamalarını yaratma riskine dikkat çekiyorsunuz—şirketler, inovasyonu teşvik ederken güvenli geliştirme arasında nasıl bir denge kurabilir?

Her şey, yine eğitimle başlar. Bir “vatandaş geliştirici” olmanız, güvenlik temelindeki eğitimden muaf olduğunuz anlamına gelmez. Standart mühendislik eğitimlerinin bir parçası olan temel kavramları bilmeleri gerekir, ancak tüm bir yazılımcı tarafından bilinen her şeyi bilmeleri gerekmez. Temel kavramlar, örneğin ayrıcalıklı erişim ve yatay ayrıcalık artışı, bir uygulama oluştururken önemlidir. Şahsen, yalnızca uygun eğitim tamamlandıktan sonra bu tür araçlara erişim sağlamayı tercih ederim. Sonra, kasitsiz hataları yakalamak için güvenlik araçlarını uygulamaya gelmektedir, ki bu da DLP tekniklerine geri dönmektedir.

Skyhigh Güvenlik’in CTO’su olarak, AI riskini azaltma alanında—copilot, vatandaş geliştirme veya uyum altyapısı—gelecek 12-18 ay için hangi alanı önceliklendireceksiniz?

Farkındalık çok önemlidir ve Skyhigh zaten kapsamlı bir Gölgeli AI keşif aracı sunmaktadır. Microsoft Copilot ve ChatGPT Enterprise, 2025’te bizim ana odak noktamızdır. Her ikisine de kontroller uyguladık ve bunları 2025’in geri kalanında daha da genişleteceğiz. 2026’ya girerken, odak noktamızı, kötü niyetli.prompt’leri, jailbreaking ve diğer önemli LLM risklerini güvence altına almak için.prompt kontrolüne çevirmeyi planlıyoruz.

İşletme güvenliğini AI öncelikli bir dünyadaki şekilde tamamen yeniden şekillendirebilecek bir ilerleme veya değişiklik öngörüyor musunuz?

Agentic AI. Sadece başlıyor, ancak etkisi potansiyel olarak çok büyüktür. Bu ajanlar zincirledikçe, saldırı vektörleri zincir boyunca artar. Birçok siber suç, insanların bir şeyin yanlış görünmesi nedeniyle “keşfedilir”. Bu ajan zincirlerinde, tehlikeyi gösteren işaretleri nasıl tespit edeceğimiz, gerçek bir zorluk olacaktır.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Skyhigh Güvenlik‘i ziyaret edebilir.