Джек Черкас, глобальний CISO у Syntax – Серія інтерв’ю

Джек Черкас, глобальний CISO у Syntax, – це керівник з питань кібербезпеки з великим досвідом у сфері безпеки хмарних технологій, кіберстійкості, корпоративної архітектури та безпеки штучного інтелекту. Він займав керівні посади у Syntax, PwC UK, Kyndryl та IBM, де допомагав будувати та розширювати операції з безпеки, керував зусиллями з реагування на інциденти та розробляв стратегії кіберстійкості для великих корпоративних середовищ. У Syntax він керує глобальною кібербезпекою по всій компанії, включаючи людей, системи, центри даних, керовані хмарні послуги та безпечні пропозиції для клієнтів, керуючи командою з більш ніж 65 фахівців з безпеки у восьми країнах.

Syntax – це глобальний постачальник ІТ-послуг і керованих хмарних послуг, який спеціалізується на критично важливих корпоративних застосунках, особливо у середовищах SAP і Oracle. Компанія підтримує організації під час міграції у хмару, керованого хостингу, кібербезпеки, управління корпоративними застосунками та операцій, що використовують штучний інтелект, на гібридній та багатокластерній інфраструктурі. Її робота зосереджена на допомозі підприємствам модернізувати, захистити та експлуатувати складні бізнес-системи у великих масштабах.

Ви керували ініціативами з кібербезпеки в IBM, Kyndryl, PwC та现在 у Syntax. Як ваша точка зору на захист нових технологій, таких як штучний інтелект, змінилася, особливо коли організації переходять від експериментів до виробництва?

Моя кар’єра супроводжувалася серією порушень, кожне з яких вимагало, щоб безпека наздоганяла нову поверхню керування. У IBM на початку епохи хмарних технологій питання полягало в тому, чи можна довіряти інфраструктурі когось іншого для виконання критично важливих завдань. Відповідь полягала у спільній моделі відповідальності та поколінні хмарних засобів керування.

Потім настала епоха вимагань викупу. NotPetya у 2017 році вивела з ладу компанії за кілька годин, і галузь дізналася, що черв’якові види шкідливого ПО можуть вивести з ладу глобальні ланцюги поставок за одну ніч. Відповідь полягала у підготовці до того, що (а не якщо) кібератака трапиться, сегментації мережі, незмінних резервних копіях та серйозному імпульсі щодо ідентифікації.

Під час моєї роботи у Kyndryl та PwC SaaS перейшов від краю до центру кожного майна. Завантаження вийшли з центрів даних та перейшли на іншу структуру когось іншого, ідентифікація стала периметром, а модель Zero Trust перестала бути схемою та почала бути робочою моделлю.

Тепер у Syntax ми перебуваємо у хвилі генерації штучного інтелекту, де система сама мислить, генерує та діє. Кожна хвиля дала нам нову поверхню керування, недостатньо попередження та коротший вікно між експериментом та виробництвом. Хмарні технології зайняли роки. SaaS зайняла квартали. Генерація штучного інтелекту займає тижні. CISO, які підтримують темп, – це ті, хто перестав вважати кожну хвилю винятком та почав вважати швидку адаптацію постійним станом.

Як організації прискорюють впровадження штучного інтелекту, як ви оцінюєте ризик, що довіра, а не тільки відповідність вимогам, піддається компрометації? Які найперші індикатори того, що це починає траплятися?

Довіра є основою будь-якого хорошого впровадження штучного інтелекту. Найперші індикатори не містяться в аудиторському звіті, вони містяться в оперативних сигналах. Таємні розгортання штучного інтелекту, яким ніхто не керує. Придбання, яке схвалює постачальників генерації штучного інтелекту без перевірки безпеки. Лінія даних, яка порушується в момент, коли ви запитаєте, звідки взялися навчальні дані. Агенти штучного інтелекту, яким надані права адміністратора, оскільки ніхто не хотів сповільнити проект. Коли ви бачите ці чотири сигнали в одній організації, довіра вже витрачається швидше, ніж вона заробляється. Лідерство зазвичай є останнім, хто дізнається.

Багато компаній впроваджують штучний інтелект швидше, ніж можуть його захистити. Які найпоширеніші реальні ризики ви бачите сьогодні, коли керування відстає від інновацій?

Коли керування відстає, відбуваються три речі, і жодна з них не проявляється як інцидент безпеки до тих пір, поки це не станеться значно пізніше. По-перше, експозиція регуляторів наростає тихо: розгортання штучного інтелекту, яке порушує вимоги прозорості Закону ЄС про штучний інтелект, не спрацьовує сигналу тривоги; воно з’являється в аудиторському звіті через два роки у вигляді штрафу. По-друге, довіра клієнтів піддається ерозії у транзакціях, яких ви ніколи не бачите: потенційні клієнти вибирають конкурентів, які можуть довести наявність керування, і ваша команда продажів ніколи не дізнається, чому. По-третє, якість рішень погіршується: організація приймає більше рішень, що впливають на штучний інтелект, але не може пояснити чи перевірити їх, і погані рішення накопичуються в місцях, куди ніхто не дивиться. Вартість слабкого керування штучним інтелектом полягає у повільній ерозії аудиту, продажів та якості рішень, що закінчується репутаційним порушенням.

З вашого досвіду будівництва та розширення керованих послуг з безпеки та операцій SOC, як організації повинні переглянути свої моделі безпеки для обробки систем та автономного прийняття рішень, що керуються штучним інтелектом?

Штучний інтелект – це новий вектор атаки, множник загроз та критична частина захисту, і модель безпеки повинна адаптуватися до покриття всіх трьох одночасно.

Як вектор атаки, самі платформи генерації штучного інтелекту стають цілями для захисту. Як множник загроз, атакувальники використовують генерацію штучного інтелекту для створення фішингу у великих масштабах, генерації експлуатаційного коду, автоматизованого розвідування та виявлення вразливостей з швидкістю машин. Як частина захисту, та ж сама технологія, звернена в інший бік, є єдиною реальною відповіддю: захист, що керується штучним інтелектом, автоматизоване полювання на загрози та посилення аналітиків вже не є необов’язковими; вони є тим, як SOC підтримує темп з атакувальником, посиленним штучним інтелектом. Якщо вони посилені штучним інтелектом, а ми – ні, розрив наростає з кожним циклом.

Це також створює новий тип актора, яким модель повинна керувати. У Syntax ми вже думаємо про агентів штучного інтелекту як про тих, хто приєднується до організації, поряд з людьми, що встановлює планку для того, як ми їх захищаємо. Агентам штучного інтелекту потрібне все, що ми даємо людям (ідентифікація, ролеві права доступу, реєстри діяльності, поведінкові базові показники) плюс ті самі засоби обмеження, які ми використовуємо щодо скомпрометованих облікових записів: можливість вимкнути, ізолювати та відкликати. Відмінність полягає в швидкості. Агенти діють за мілісекунди, тому ці засоби обмеження повинні бути миттєвими та автоматизованими, а не кінцем робочого процесу реагування на інциденти.

У Syntax наш Глобальний центр операцій з безпеки вже розвивається так, щоб штучний інтелект посилював аналітика-людину, тоді як наші співробітники будують агентські робочі процеси та агентів всередині платформи генерації штучного інтелекту Syntax, яка забезпечує захист від упередженості, токсичності та контролю за приватністю даних та безпекою за замовчуванням.

Це та переоцінка. Захистіть штучний інтелект як ціль. Розгорніть штучний інтелект як захисника. Керуйте використанням штучного інтелекту.

Існує напруженість між швидкістю та контролем. Як організації можуть підтримувати інноваційний темп, впроваджуючи при цьому значимий нагляд та засоби обмеження для систем штучного інтелекту?

Швидкість та контроль виглядають як протилежності, поки ви не побудуєте керування, яке супроводжує проєкт, а не блокує його. Помилка полягає в тому, що керування знаходиться біля воріт: комітет, підпис, квартальний огляд. До того часу, як ворота відкриються, команда вже або обійшла їх, або втратила імпульс. Модель, яка працює, – це процеси, переозначені з вбудованим керуванням. Чітка та послідовна комунікація – це початкова точка, за якою слідують попередньо затверджені моделі, попередньо схвалені потоки даних та попередньо визначені шаблони дозволів. Команди отримують швидкість, команди з безпеки отримують видимість, а компроміс, який кожен вважає наявним, виявляється погано спроектованим процесом. Це все про баланс безпеки з інноваціями проти аппетиту організації до ризику.

Ви працювали над великомасштабними стратегіями кіберстійкості та реагування на інциденти. Як впровадження штучного інтелекту змінює природу кіберзагроз та спосіб, яким організації повинні готуватися до них?

Штучний інтелект розганяє загрози по різних векторах. Масштаб: фішинг та розвідування з швидкістю машин проти тисяч цілей одночасно. Складність: соціальна інженерія, що використовує глибокі фейки, які перемагають перевірку голосу та відео. Ідентифікація: синтетичні ідентифікатори, які проходять перевірку ідентифікації, призначену для людей.

Для реагування на інциденти наслідки оперативні. Вам потрібен захист, який не залежить від того, що люди визнають закономірності з людською швидкістю. Вам потрібні протоколи верифікації, які припускають, що голос та відео можуть бути підроблені. І вам потрібні книги з інструкціями щодо реагування на інциденти, які явно покривають інциденти, пов’язані зі штучним інтелектом, оскільки кроки відновлення не такі самі, як під час відновлення після інциденту з вимаганням викупу.

У Syntax, що таке “безпека за замовчуванням” штучного інтелекту у складному реальному підприємстві?

У Syntax це означає баланс інновацій та безпеки шляхом впровадження нашої платформи генерації штучного інтелекту з вбудованими засобами обмеження, наших схвалених, обмежених та заборонених сервісів та застосунків генерації штучного інтелекту, моделей та платформ, а також забезпечення культури безпеки перш за все через наш офіс керування штучим інтелектом. Для нашої глобальної організації з безпеки це означає позиціонування себе як засобу для бізнесу, а не блокування, підтримку бізнесу у його стратегічних пріоритетах, одночасно захищаючи Syntax у відповідності з нашим аппетитом до ризику.

Існує зростаюча розповідь про те, що безпека та відповідність вимогам вже не є блокаторами, а засобами зростання. Що повинно змінитися культурно та оперативно, щоб організації могли справді прийняти цю думку?

Найбільша зміна полягає в тому, що успіх виглядає. Команди з безпеки протягом десятиліть вимірювалися тим, що не сталося: жодних порушень, інцидентів чи аудиторських висновків. Цей показник винагороджує тих, хто каже ні. Команди, які працюють як засоби, вимірюються іншим: угоди, які були укладені тому, що засоби контролю були демонструвані, запуски, які відбулися вчасно, оскільки безпека очистила шлях, та інновації, які пройшли через керування, а не навколо нього.

Оперативно це потребує процесів, переозначених з вбудованим керуванням, поєднаних з активним засобом, таким як наша платформа генерації штучного інтелекту, яка робить безпеку легшим шляхом, та доступними освітніми програмами та програмами, такими як наша ініціатива чемпіонів штучного інтелекту.

Культура слідує за тим, що ви стимулюєте та що ви дозволяєте. Змініть те, що ви винагороджуєте, обладнайте людей правильними інструментами та правильною підготовкою в правильний час, і ви зміните те, що вони роблять. Це той шлях, яким йде Syntax.

Як організації повинні співпрацювати з лідерами штучного інтелекту, вченими-даними та командами продуктів, щоб забезпечити відповідальність без сповільнення прогресу?

CISO, який чекає на запрошення, буде запізнитися. CISO, який з’являється рано, з практичними моделями, а не політичними запереченнями, стає партнером, якого проєкти зі штучним інтелектом насправді хочуть за столом. На практиці це означає спільні сесії з командами штучного інтелекту, підписи безпеки, які сидять поряд з функціональними, а не після них, та відкриту політику дверей. Це змінює розмову з “відділу ні” на “так, але” або “ні, але” як добровільного та співробітничого партнера для бізнесу.

Оглядаючи вперед, ви вважаєте, що ми побачимо стандартизовану глобальну структуру керування штучним інтелектом, або організації повинні будувати свої внутрішні архітектури довіри незалежно від регулювання?

Обидва, у такому порядку. Ми побачимо фазову конвергенцію на невелику кількість регіональних структур, Закон ЄС про штучний інтелект спочатку, інші будуть слідувати з місцевими варіаціями. Ми не побачимо одну глобальну структуру в цьому десятилітті через геополітичну фрагментацію. Отже, організації будуть робити дві речі паралельно: відповідність вимогам структури, яка застосовується до їхнього найбільшого ринку, та виконання внутрішньої архітектури довіри, яка перевищує будь-яку структуру, яка є найслабшою. Внутрішня архітектура має значення більше, ніж зовнішній стандарт, оскільки регулювання рухається повільно, а загрози – ні. Компанії, які будують внутрішні архітектури довіри зараз, проведуть наступне десятиліття, кажучи “ми вже робимо це” кожному новому регулюванню, яке з’являється.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Syntax.