Крейг Рідделл, Глобальний Філд CISO в Wallarm – Серія Інтерв’ю

Крейг Рідделл, Глобальний Філд CISO в Wallarm, є досвідченим виконавчим директором з кібербезпеки, який зосереджується на допомозі підприємствам керувати зростаючими ризиками, пов’язаними з API та системами, керованими штучним інтелектом. На своїй поточній посаді він працює у тісній співпраці з CISO, CIO та керівниками інженерних команд для перекладу реальних моделей атак і сценаріїв зловживання в діючі стратегії безпеки, з особливим акцентом на спостереженні – розумінні того, як API та системи штучного інтелекту поводяться у виробництві по відношенню до користувачів, застосунків та інтеграцій. Його кар’єра охоплює керівні посади в сфері керування ідентифікацією та доступом, архітектури нульового довір’я та корпоративної безпеки в організаціях, включаючи Netwrix, Kron та HP, де він керував великомасштабними трансформаціями керування ідентифікацією та модернізував rámки безпеки. Експертиза Рідделла зосереджується на нових загрозах, таких як атаки на бізнес-логіку, зловживання API, дрейф систем штучного інтелекту та шахрайство, з постійним акцентом на подоланні розриву між високорівневою стратегією безпеки та операційною реалізацією.

Wallarm є компанією з кібербезпеки, яка спеціалізується на захисті API, застосунків та систем, керованих штучним інтелектом, у сучасних хмарах. Її платформа забезпечує безперервне виявлення, тестування та реальне захист від загроз, таких як зловживання API, атаки на бізнес-логіку та автоматизовані експлойти, а також надає глибокий огляд того, як системи поводяться у складних інфраструктурах. Розроблена для багатокloud та cloud-родних архітектур, Wallarm інтегрується до існуючих DevOps та процесів безпеки, що дозволяє організаціям виявляти та блокувати атаки під час їх виконання, а не після факту. Об’єднуючи інвентаризацію API, виявлення загроз на основі штучного інтелекту та автоматизовані можливості реагування, платформа вирішує зростаючу реальність, в якій API та системи штучного інтелекту стали основною атакованою поверхнею для сучасних цифрових підприємств.

Ви розпочали свою кар’єру, працюючи безпосередньо з системами та інфраструктурою, і згодом перейшли на керівні посади, зосереджені на ідентифікації, доступі, API та безпеці штучного інтелекту. Які ключові зміни протягом цього шляху привели вас до висновку, що справжній ризик перейшов від периметру до API та систем, керованих машиною?

На початку своєї кар’єри акцент був на захисті краю. Брандмауери, сегментація, зміцнення інфраструктури. Ця модель працювала, коли системи були більш статичними, а межі довір’я були легше визначені.

Що змінилося, так це те, як будуються застосунки та взаємодіють системи. API стали сполучною тканиною всього, а штучний інтелект прискорив це ще більше. Тепер системи приймають рішення, викликають інші системи та виконують дії у масштабі та з швидкістю, яка не涉гає людей у цикл.

На цьому етапі периметр стає менш актуальним. Справжній ризик переходить туди, де приймаються рішення та виконуються дії, всередині API та машинних робочих процесів.

Якщо у вас немає видимості та контролю там, ви довіряєте поведінку, яку не можете повністю побачити. Це місце, де з’являється бізнес-ризик, від фінансової вразливості до непередбачуваних результатів та операційної перерви.

Ви описали розрив у кібер-руці, маючи на увазі, як системи встановлюють довір’я та обмінюються діями через усе більш складні ланцюги API та автоматизованих процесів. Як виглядає цей розрив у реальному світі підприємства сьогодні?

У більшості середовищ системи довіряють одна одній на основі ідентифікації та автентифікації. Жетон є дійсним, запит добре сформований, і взаємодія дозволена.

Проблема полягає в тому, що це припускає, що дійсний означає безпечний. Це вже не правда.

Ми автентифікуємо ідентифікацію, але не валідуємо намір. Ми верифікуємо доступ, але не поведінку по ланцюгу.

Сервіс може бути авторизований для виклику іншого сервісу, який викликає подальші дії по ланцюгу API. Кожний крок виглядає легітимним у ізоляції, але по всьому ланцюгу починаєш бачити ненавмисну поведінку або зловживання логікою.

У середовищах, керованих штучним інтелектом, це посилюється. Агенти можуть ланцюгувати дії та виконувати робочі процеси без人类 огляду.

Рука все ще відбувається, але ніхто не питає, чи поведінка має сенс у контексті. Довір’я встановлюється, але не продовжується.

Чому ризик штучного інтелекту та API так часто падає між організаційними межами, а не чітко належить?

Бо системи не відповідають тому, як організовані організації.

DevOps володіє доставкою. Безпека володіє політикою. Бізнес-команди володіють результатами. Команди даних володіють моделями. Кожна група володіє частиною, але ніхто не володіє системою так, як вона поводиться у виробництві.

API виконують бізнес-логіку по системах. Штучний інтелект вводить недетерміноване прийняття рішень на вершині цього.

Вони будуються однією командою, захищаються іншою, і споживаються третьою, з несумісним моніторингом по всім цим.

Прорви, які це створює, не є провалами команд. Це провали операційної моделі відображати, як сучасні системи насправді працюють.

У вашому досвіді, які команди зазвичай вважають, що вони володіють ризиком штучного інтелекту, і де найбільші сліпі плями існують між безпекою, DevOps та бізнес-одиницями?

Команди безпеки схильні володіти ризиком штучного інтелекту з точки зору управління та відповідності. DevOps володіє розгортанням та надійністю. Бізнес-одиниці зосереджуються на результатах.

Сліпі плями з’являються між цими областями.

Безпека визначає, що повинно відбуватися. DevOps забезпечує роботу системи. Бізнес зосереджується на результатах. Але дуже мало команд постійно дивиться на те, що система насправді робить у реальному часі.

Цей розрив – це місце, де ризик живе, особливо коли поведінка технічно дійсна, але контекстно неправильна.

Багато сучасних атак виглядають як дійсна та автентифікована поведінка, а не очевидні вторгнення. Як організації повинні переосмислити виявлення у цій новій реальності?

Нам потрібно рухатися за межі ідентифікації “поганих” запитів.

У багатьох випадках запит дійсний. Повідомлення легітимне. Виклик API очікуваний. Що не очікується, це послідовність дій, об’єм або результат.

Виявлення повинно стати поведінковим та контекстним. Це менше про блокування окремого запиту та більше про розуміння того, як системи взаємодіють у часі.

Підходи, які насправді витримують у масштабі, рухаються за межі співпадіння з моделями. Вони розкладають запити структуально, обробляючи кожну взаємодію як набір поведінкових жетонів, а не намагаючись співпадати з відомими поганими моделями.

Це дозволяє вам зрозуміти, як поведінка еволюціонує та де вона відхиляється, навіть коли все виглядає дійсним на поверхні.

Якщо ви покладаєтесь на статичні правила чи підписи, ви пропустите більшість того, що має значення.

Ви підкреслили важливість спостереження за реальною поведінкою. Що таке значуще спостереження для API та систем штучного інтелекту у виробництві?

Значуще спостереження – це не тільки журнали та метрики. Це розуміння поведінки у контексті.

Для API це означає повну видимість запиту та відповіді, використання кінцевих точок та того, як взаємодії еволюціонують у часі.

Для систем штучного інтелекту це означає розуміння вхідних даних, рішень та результатів дій.

Найважливіше, що це означає з’єднання цих даних по системах у повні робочі процеси, а не ізольовані події.

Без цього ви дієте на підставі припущень про поведінку системи замість реальності.

Чому традиційні моделі людського огляду та затвердження стають менш ефективними у середовищах, керованих машиною?

Бо швидкість та масштаб змінилися.

Системи роблять тисячі або мільйони викликів за хвилину, і атаки чи ненавмисна поведінка можуть розвинутися за хвилини або секунди. Ви не можете реально поставити людину у цикл для кожної дії без порушення продуктивності.

Системи штучного інтелекту також не завжди детерміновані, що робить моделі попереднього затвердження менш ефективними.

Людський огляд все ще має значення, але йому потрібно перейти від затвердження окремих дій до визначення обмежень та моніторингу результатів.

Які найпоширеніші операційні пробіли ви бачите, коли компанії намагаються захистити системи штучного інтелекту, використовуючи застарілі рамки безпеки?

Найбільший розрив – це надмірна залежність від засобів контролю на етапі проектування.

Організації зосереджуються на захисті моделей, огляді коду та визначенні політики до розгортання. Це важливо, але це припускає, що системи будуть поводитися так, як очікується, коли вони будуть живими.

Насправді системи еволюціонують. API змінюються. Моделі штучного інтелекту взаємодіють з новими даними та робочими процесами. Поведінка змінюється у часі.

Без безперервної валідації поведінки у виробництві організації є ефективно сліпими після розгортання.

Як виглядає практична операційна модель, коли кілька зацікавлених сторін ділять відповідальність за ризик API та штучного інтелекту?

Це починається з визнання того, що жодна команда не може володіти цим процесом повністю.

Практична модель визначає спільну відповідальність, закріплену навколо спільного джерела істини: поведінки у часі виконання.

Безпека визначає ризик та політику. Інженерія будує та експлуатує системи. Бізнес визначає прийнятні результати.

Команди, які виходять вперед, працюють у закритому циклі. Безперервне відкриття, забезпечення та уточнення, кероване тим, що системи насправді роблять у виробництві, а не тим, що було припущено на етапі проектування.

Всі зацікавлені сторони потребують видимості того, як системи працюють у виробництві. Відтоді команди можуть узгоджуватися щодо того, що виглядає “хорошим”, виявляти відхилення та реагувати.

Зміна полягає у переході від ізольованого володіння до координованої відповідальності, заснованої на розумінні поведінки у часі виконання.

Оглядаючи вперед, чи очікуєте ви, що відповідальність за безпеку стане більш централізованою знову, чи буде продовжувати фрагментуватися, оскільки системи стають більш автономними?

Відповідальність залишиться розподіленою, оскільки це відображає, як будуються системи.

Що зміниться, це те, як ця відповідальність координується.

Ми побачимо більше уніфікованих моделей управління, де команди володіють своїми доменами, але діють з спільною видимістю та контекстом.

Організації, які успішно вийдуть вперед, не будуть тими, хто намагається централізувати все. Вони будуть тими, хто узгоджує зацікавлені сторони щодо того, як системи насправді поводяться у реальному світі.

Бо якщо ніхто не розуміє поведінку у часі виконання, ніхто не володіє ризиком насправді.

Дякуємо за велике інтерв’ю. Читачам, які бажають дізнатися більше, рекомендуємо відвідати Wallarm.