Jack Cherkas, Giám đốc An ninh Thông tin Toàn cầu tại Syntax – Loạt Phỏng vấn

Jack Cherkas, Giám đốc An ninh Thông tin Toàn cầu tại Syntax, là một giám đốc điều hành an ninh mạng có kinh nghiệm sâu rộng trong lĩnh vực an ninh đám mây, khả năng phục hồi mạng, kiến trúc doanh nghiệp và an ninh AI. Ông đã từng giữ các vị trí cấp cao tại Syntax, PwC UK, Kyndryl và IBM, nơi ông đã giúp xây dựng và mở rộng các hoạt động an ninh, quản lý các nỗ lực phản ứng sự cố lớn và phát triển các chiến lược khả năng phục hồi mạng cho các môi trường doanh nghiệp lớn. Tại Syntax, ông lãnh đạo toàn cầu về an ninh mạng trên toàn công ty, bao gồm cả người, hệ thống, trung tâm dữ liệu, dịch vụ đám mây được quản lý và các dịch vụ an ninh hướng đến khách hàng, giám sát một đội gồm hơn 65 chuyên gia an ninh trên tám quốc gia.

Syntax là một nhà cung cấp dịch vụ CNTT và đám mây được quản lý toàn cầu, chuyên về các ứng dụng doanh nghiệp quan trọng, đặc biệt là môi trường SAP và Oracle. Công ty hỗ trợ các tổ chức trong việc di chuyển đám mây, lưu trữ được quản lý, an ninh mạng, quản lý ứng dụng doanh nghiệp và hoạt động được kích hoạt bởi AI trên cơ sở hạ tầng đám mây hỗn hợp và đa đám mây. Công việc của họ tập trung vào việc giúp các doanh nghiệp hiện đại hóa, bảo mật và vận hành các hệ thống kinh doanh phức tạp với quy mô lớn.

Bạn đã dẫn đầu các sáng kiến an ninh mạng tại IBM, Kyndryl, PwC và bây giờ là Syntax. Trong suốt hành trình đó, quan điểm của bạn về việc bảo mật các công nghệ mới nổi như AI đã thay đổi như thế nào, đặc biệt là khi các tổ chức chuyển từ thử nghiệm sang sản xuất?

Sự nghiệp của tôi đã theo dõi một loạt các sự gián đoạn, mỗi sự gián đoạn đòi hỏi an ninh phải bắt kịp với một bề mặt kiểm soát mới. Tại IBM vào những ngày đầu của đám mây, câu hỏi là liệu chúng ta có thể tin tưởng cơ sở hạ tầng của người khác để chạy các khối lượng công việc quan trọng hay không. Câu trả lời là một mô hình trách nhiệm chung và một thế hệ các kiểm soát bản địa đám mây.

Sau đó là thời kỳ ransomware. NotPetya vào năm 2017 đã làm tê liệt các công ty trong vài giờ, và ngành công nghiệp đã học được rằng malware có thể lây lan có thể làm tê liệt các chuỗi cung ứng toàn cầu chỉ trong một đêm. Sự phản ứng là chuẩn bị cho khi (không phải nếu) một sự cố an ninh mạng sẽ xảy ra, phân đoạn mạng, sao lưu không thể thay đổi và một nỗ lực nghiêm túc về danh tính.

Trong suốt thời gian của tôi tại Kyndryl và PwC, SaaS đã chuyển từ rìa đến trung tâm của mọi tài sản. Các khối lượng công việc đã được chuyển ra khỏi các trung tâm dữ liệu và lên ngăn xếp của người khác, danh tính đã trở thành ranh giới, và Zero Trust đã ngừng trở thành một sơ đồ và bắt đầu trở thành một mô hình hoạt động.

Bây giờ tại Syntax, chúng tôi đang trong làn sóng GenAI, nơi hệ thống tự suy nghĩ, tạo ra và hành động. Mỗi làn sóng đã mang lại cho chúng ta một bề mặt kiểm soát mới, không đủ cảnh báo và một cửa sổ ngắn hơn giữa thử nghiệm và sản xuất. Đám mây đã mất nhiều năm. SaaS đã mất vài quý. GenAI chỉ mất vài tuần. Các CISO giữ nhịp với mỗi làn sóng là những người đã ngừng coi từng làn sóng như một ngoại lệ và bắt đầu coi việc áp dụng nhanh như một trạng thái ổn định.

Khi các tổ chức tăng tốc việc áp dụng AI, bạn đánh giá rủi ro như thế nào rằng niềm tin, không chỉ tuân thủ, đang bị tổn hại? Những dấu hiệu sớm nhất là gì cho thấy điều này đang bắt đầu xảy ra?

Niềm tin là nền tảng của bất kỳ việc áp dụng AI nào tốt. Những dấu hiệu sớm nhất không nằm trong báo cáo kiểm toán, chúng nằm trong các tín hiệu hoạt động. Triển khai AI bóng tối mà không ai sở hữu. Procurement phê duyệt các nhà cung cấp GenAI mà không có đánh giá an ninh. Dữ liệu nguồn gốc bị phá vỡ ngay khi bạn hỏi từ đâu mà dữ liệu đào tạo đến. Các tác nhân AI được cấp quyền quản trị vì không ai muốn làm chậm dự án. Khi bạn thấy bốn tín hiệu này trong một tổ chức, niềm tin đã bị chi tiêu nhanh hơn so với việc kiếm được. Lãnh đạo thường là người cuối cùng biết.

Nhiều công ty đang áp dụng AI nhanh hơn so với họ có thể bảo mật nó. Những rủi ro thực tế phổ biến nhất bạn đang thấy ngày nay khi quản trị bị tụt lại phía sau so với đổi mới là gì?

Khi quản trị bị tụt lại phía sau, ba điều xảy ra, và không điều nào xuất hiện như các sự cố an ninh cho đến rất lâu sau đó. Đầu tiên, sự phơi nhiễm quy định được tích lũy một cách im lặng: một triển khai AI vi phạm các yêu cầu minh bạch của Đạo luật AI EU không kích hoạt báo động; nó xuất hiện trong một cuộc kiểm toán hai năm sau đó dưới dạng một khoản phạt. Thứ hai, niềm tin của khách hàng bị xói mòn trong các giao dịch bạn không bao giờ thấy: các khách hàng tiềm năng chọn các đối thủ cạnh tranh có thể chứng minh quản trị, và đội ngũ bán hàng của bạn không bao giờ biết tại sao. Thứ ba, chất lượng quyết định bị suy giảm: tổ chức đưa ra nhiều quyết định bị ảnh hưởng bởi AI nhưng không thể giải thích hoặc kiểm toán chúng, và các quyết định tồi tệ tích lũy ở những nơi không ai đang xem. Chi phí của quản trị AI yếu là sự xói mòn chậm của kiểm toán, bán hàng và chất lượng quyết định, kết thúc trong một sự cố an ninh gây tổn hại đến danh tiếng.

Từ kinh nghiệm của bạn trong việc xây dựng và mở rộng các dịch vụ an ninh được quản lý và hoạt động SOC, làm thế nào việc giới thiệu AI thay đổi bản chất của các mối đe dọa an ninh mạng và cách các tổ chức nên chuẩn bị cho chúng?

AI đang tăng cường các mối đe dọa trên các vector khác nhau. Quy mô: phishing và trinh sát ở tốc độ máy tính chống lại hàng nghìn mục tiêu đồng thời. Sự tinh vi: kỹ thuật xã hội sâu sắc được thúc đẩy bởi deepfake mà đánh bại xác thực giọng nói và video. Danh tính: danh tính tổng hợp vượt qua các kiểm tra danh tính được thiết kế cho con người.

Đối với phản ứng sự cố, các ý nghĩa là hoạt động. Bạn cần phát hiện không phụ thuộc vào việc con người nhận ra các mẫu ở tốc độ con người. Bạn cần các giao thức xác minh giả định rằng giọng nói và video có thể bị làm giả. Và bạn cần các cuốn sách chơi phản ứng sự cố bao gồm rõ ràng các sự cố liên quan đến AI, vì các bước phục hồi không giống như phục hồi từ một sự kiện ransomware.

Tại Syntax, “thiết kế an ninh” AI thực sự trông như thế nào trong một môi trường doanh nghiệp phức tạp và thực tế?

Tại Syntax, điều đó có nghĩa là cân bằng đổi mới và an ninh, thông qua việc áp dụng Nền tảng GenAI của chúng tôi với các rào cản được tích hợp sẵn, Dịch vụ và Ứng dụng GenAI được phê duyệt, hạn chế và cấm, và thúc đẩy một văn hóa an ninh đầu tiên thông qua Văn phòng Quản trị AI của chúng tôi. Đối với Tổ chức An ninh Toàn cầu của chúng tôi, điều đó có nghĩa là tự vị trí mình như một người kích hoạt kinh doanh, không phải là người chặn, hỗ trợ kinh doanh với các ưu tiên chiến lược của họ trong khi bảo vệ Syntax theo khẩu vị rủi ro của chúng tôi.

Có một câu chuyện ngày càng tăng rằng an ninh và tuân thủ không còn là những yếu tố cản trở mà là những yếu tố kích thích tăng trưởng. Điều gì cần thay đổi về văn hóa và hoạt động để các tổ chức thực sự chấp nhận tâm lý đó?

Sự thay đổi lớn nhất là định nghĩa về thành công. Các đội an ninh đã được đo lường trong nhiều thập kỷ dựa trên những gì không xảy ra: không có vi phạm, không có sự cố, không có phát hiện kiểm toán. Chỉ số đó thưởng cho việc nói không. Các đội hoạt động như những người kích hoạt đo lường điều gì khác: các thỏa thuận được ký kết vì các kiểm soát có thể chứng minh, các lần ra mắt đạt được ngày của chúng vì an ninh đã làm rõ đường đi, và các đổi mới di chuyển qua quản trị chứ không phải xung quanh nó.

Hoạt động, nó cần các quy trình được định nghĩa lại với quản trị được tích hợp sẵn, kết hợp với sự kích thích tích cực như Nền tảng GenAI của chúng tôi, giúp an ninh trở thành con đường dễ dàng hơn, và giáo dục GenAI và chương trình có sẵn, chẳng hạn như Sáng kiến Nhà vô địch AI của chúng tôi.

Văn hóa theo sau những gì bạn khuyến khích và những gì bạn kích hoạt. Thay đổi những gì bạn thưởng, trang bị cho mọi người các công cụ và đào tạo phù hợp vào đúng thời điểm, và bạn thay đổi những gì họ làm. Đây là hành trình mà Syntax đang thực hiện.

Khi AI ngày càng được tích hợp vào các quy trình làm việc của doanh nghiệp, làm thế nào CISO có thể hợp tác với các nhà lãnh đạo AI, nhà khoa học dữ liệu và các đội sản phẩm để đảm bảo trách nhiệm giải trình mà không làm chậm tiến độ?

CISO chờ đợi được mời sẽ đến muộn. CISO xuất hiện sớm, với các mẫu thực tế thay vì các phản đối chính sách, trở thành đối tác mà các dự án AI thực sự muốn có trong bảng. Trong thực tế, điều đó có nghĩa là các phiên thiết kế chung với các nhóm AI, các phê duyệt an ninh ngồi bên cạnh các phê duyệt chức năng chứ không phải sau chúng, và một chính sách cửa mở. Điều này thay đổi cuộc trò chuyện từ “Bộ phận Không” thành “Có, nhưng” hoặc “Không, nhưng” như một đối tác sẵn sàng và hợp tác cho kinh doanh.

Trong tương lai, bạn có tin rằng chúng ta sẽ thấy một khuôn khổ toàn cầu tiêu chuẩn hóa cho quản trị AI, hay các tổ chức sẽ cần xây dựng các kiến trúc tin cậy nội bộ của riêng họ bất kể quy định?

Cả hai, theo thứ tự đó. Chúng ta sẽ thấy sự hội tụ từng giai đoạn vào một số khuôn khổ khu vực, Đạo luật AI EU đầu tiên, các khuôn khổ khác sẽ theo sau với biến thể địa phương. Chúng ta sẽ không thấy một tiêu chuẩn toàn cầu trong thập kỷ này do sự phân mảnh địa chính trị. Vì vậy, các tổ chức sẽ phải làm hai việc song song: tuân thủ khuôn khổ áp dụng cho thị trường lớn nhất của họ và chạy một kiến trúc tin cậy nội bộ vượt quá bất kỳ khuôn khổ nào yếu nhất. Kiến trúc nội bộ quan trọng hơn tiêu chuẩn bên ngoài, vì các quy định di chuyển chậm và các mối đe dọa không. Các công ty xây dựng các kiến trúc tin cậy nội bộ ngay bây giờ sẽ dành thập kỷ tiếp theo nói “chúng tôi đã làm điều đó” với mỗi quy định mới đến.

Cảm ơn bạn vì cuộc phỏng vấn tuyệt vời, độc giả muốn tìm hiểu thêm nên truy cập Syntax.