Mark Fetches, CTO của Spinnaker Support – Loạt phỏng vấn

Mark Fetches là Giám đốc Công nghệ của EMEA tại Spinnaker Support, nơi ông tư vấn cho các tổ chức doanh nghiệp về chiến lược công nghệ, bảo mật, đám mây, AI và các sáng kiến chuyển đổi quy mô lớn. Với hơn 30 năm kinh nghiệm tư vấn và lãnh đạo tại Accenture, Deloitte và PwC, Mark đã làm việc chặt chẽ với các giám đốc điều hành và hội đồng quản trị để hiện đại hóa các môi trường doanh nghiệp phức tạp và sắp xếp các quyết định công nghệ với các mục tiêu kinh doanh dài hạn. Đóng trụ sở tại Vương quốc Anh, ông chuyên giúp các tổ chức điều hướng các thách thức công nghệ cũ, rủi ro hoạt động và chuyển đổi số với hướng dẫn thực tế, tập trung vào kinh doanh.

Spinnaker Support là một nhà cung cấp hàng đầu toàn cầu về hỗ trợ phần mềm của bên thứ ba, dịch vụ quản lý và tư vấn bảo mật cho các doanh nghiệp chạy Oracle (ORCL ), SAP, JD Edwards và các nền tảng quan trọng khác.

Bạn đã dành hơn 20 năm tư vấn cho các doanh nghiệp tại Accenture, Deloitte và PwC trước khi trở thành CTO tại Spinnaker Support. Nhìn lại suốt hành trình đó, những quan niệm sai lầm lớn nhất mà các giám đốc điều hành thường có về rủi ro công nghệ là gì, và sự trỗi dậy của AI đã thay đổi những cuộc trò chuyện đó như thế nào?

Tôi nghĩ rằng quan niệm sai lầm lớn nhất luôn là rủi ro công nghệ nằm ở một bên của doanh nghiệp và có thể được quản lý như một vấn đề chuyên môn. Tôi không bao giờ thực sự nhìn thấy nó theo cách đó.

Đa số các rủi ro nghiêm trọng mà tôi đã thấy đến từ các lựa chọn lãnh đạo. Làm thế nào bạn dung hòa sự phức tạp. Làm thế nào bạn trở nên phụ thuộc vào các nền tảng cũ hoặc các nhà cung cấp chính. Làm thế nào bạn thúc đẩy tốc độ. Liệu bạn có thực sự tin tưởng dữ liệu mà doanh nghiệp đang chạy trên đó hay không. Công nghệ là nơi những lựa chọn đó được thể hiện, nhưng nó thường không phải là nơi chúng bắt đầu.

Trong những năm qua, tôi đã thấy nhiều giám đốc điều hành tập trung vào những điều rõ ràng như an ninh mạng, tuân thủ và giảm chi phí. Đó là những vấn đề thực sự. Nhưng những rủi ro thường bắt các công ty ngoài tầm tay là những rủi ro im lặng hơn. Đó là nền tảng mà mọi người đều biết là giòn nhưng vẫn tiếp tục trì hoãn việc thay thế. Đó là vấn đề dữ liệu mà không ai thực sự sở hữu. Đó là sự phụ thuộc được thuê ngoài mà trông có vẻ hiệu quả cho đến khi nó trở thành một nút thắt. Đó là những thứ có thể tồn tại trong nền tảng trong nhiều năm và sau đó trở nên rất rõ ràng khi điều gì đó bị hỏng.

Tôi cũng nghĩ rằng có một thói quen lâu dài là nhầm lẫn giữa tuân thủ và khả năng phục hồi. Chúng không phải là相同. Bạn có thể vượt qua một cuộc kiểm tra và vẫn còn dễ bị tổn thương hơn bạn nghĩ. Một danh sách kiểm tra không cho bạn biết doanh nghiệp sẽ phản ứng như thế nào dưới áp lực, nó có thể phục hồi nhanh như thế nào, hoặc liệu các nhà lãnh đạo có thực sự nhìn thấy vấn đề một cách rõ ràng để hành động hay không.

Điều mà AI đã thay đổi là mức độ chú ý. Những cuộc trò chuyện này trước đây nằm sâu trong tổ chức. Giờ đây, chúng nằm ngay ở trung tâm của các cuộc thảo luận trong Phòng ban về tăng trưởng, niềm tin, năng suất và thương hiệu. Đây là một điều rất tốt. Nhưng nó cũng đã giới thiệu một sự đơn giản hóa mới, đó là ý tưởng rằng mô hình AI được sử dụng là rủi ro. Thông thường, nó lớn hơn thế. Những câu hỏi khó hơn là về dữ liệu và quản trị xung quanh nó, các quyết định nó ảnh hưởng và điểm mà phán quyết của con người vẫn phải quan trọng.

Vậy, nếu tôi phải tóm tắt, tôi sẽ nói rằng rủi ro công nghệ không bao giờ thực sự chỉ về công nghệ. Nó luôn là sự phản ánh của phán quyết lãnh đạo. AI chỉ làm cho điều đó khó bị bỏ qua hơn.

Hiện nay, các đội an ninh mạng có quyền truy cập vào nhiều thông tin về lỗ hổng hơn bao giờ hết, nhưng các tổ chức vẫn tiếp tục gặp khó khăn trong việc ưu tiên hóa. Tại sao bạn tin rằng ngành công nghiệp có vấn đề về tín hiệu và nhiễu hơn là vấn đề về phát hiện?

Tôi sẽ đặt nó một cách đơn giản, ngành công nghiệp không thiếu dữ liệu về lỗ hổng. Nó thiếu sự rõ ràng.

Đa số các đội an ninh mạng đã có đủ đầu vào, đầu ra của máy quét, thông tin về mối đe dọa, điểm số về mức độ nghiêm trọng, tư vấn về bản vá, báo cáo về khai thác. Vấn đề không phải là liệu họ có thể tìm thấy điểm yếu. Vấn đề là liệu họ có thể tách những điểm yếu có thể gây hại thực sự cho doanh nghiệp khỏi những điểm yếu chỉ thú vị về mặt kỹ thuật nhưng ít quan trọng hơn.

Đó là lý do tôi xem nó như một vấn đề về tín hiệu và nhiễu. Việc phát hiện đã được cải thiện rất nhiều. Điều chưa được cải thiện là khả năng áp dụng ngữ cảnh. Một lỗ hổng chỉ trở thành một ưu tiên thực sự khi bạn hiểu nó nằm ở đâu, nó có dễ bị tấn công như thế nào, tài sản đó có quan trọng như thế nào, các biện pháp kiểm soát bù đắp nào tồn tại và tác động kinh doanh sẽ là gì nếu nó bị khai thác.

Trong thực tế, nhiều tổ chức vẫn dựa vào các chỉ số dễ dàng nhất để sản xuất như điểm số về mức độ nghiêm trọng, số lượng bản vá và báo cáo về thời gian tồn tại. Những điều đó hữu ích, nhưng chúng không giống như phán quyết của con người. Một vấn đề có điểm số cao trong một hệ thống nội bộ không quan trọng có thể ít quan trọng hơn một lỗ hổng có điểm số thấp hơn nhưng nằm trên một hệ thống quan trọng về mặt hoạt động hoặc đối mặt với khách hàng.

Vậy, tôi không nghĩ rằng đây là một vấn đề cơ bản về khả năng hiển thị. Đây là một vấn đề về ưu tiên kinh doanh mà các đội an ninh cần phải học. Chúng ta đã trở nên rất giỏi trong việc tạo ra các phát hiện. Chúng ta vẫn chưa nhất quán trong việc chuyển đổi những phát hiện đó thành một danh sách ngắn các hành động mà lãnh đạo có thể tự tin hỗ trợ.

Và từ quan điểm của tôi, đây là sự thay đổi thực sự mà ngành công nghiệp vẫn cần phải thực hiện, đó là chuyển dịch từ việc đo lường những gì chúng ta có thể phát hiện sang việc quyết định những gì thực sự quan trọng về mặt tác động kinh doanh.

Nhiều nhà cung cấp bảo mật tuyên bố rằng AI có thể tự động ưu tiên các lỗ hổng và dự đoán mối đe dọa. Bạn thấy khoảng cách giữa câu chuyện tiếp thị và những gì AI thực sự có thể cung cấp trong môi trường doanh nghiệp là gì?

Tôi nghĩ cách dễ nhất để nói về nó là câu chuyện tiếp thị thường hứa hẹn một mức độ chắc chắn mà các môi trường doanh nghiệp thực tế đơn giản không cho phép.

Các nhà cung cấp thường mô tả AI như thể nó có thể vượt lên trên nhiễu, thu thập mọi thứ và đáng tin cậy cho biết điều gì quan trọng nhất và điều gì có khả năng xảy ra tiếp theo. Đó là một đề xuất hấp dẫn vì mọi lãnh đạo an ninh đều muốn ít nhiễu hơn và nhiều sự tự tin hơn. Nhưng một khi bạn đi vào một tổ chức lớn, mọi thứ hiếm khi sạch sẽ đến mức lời hứa đó có thể được giữ một cách thẳng thắn.

AI chắc chắn có thể giúp đỡ. Nó có thể đưa ra các mẫu, giảm một số phân tích thủ công và giúp các đội làm việc thông qua các lượng thông tin mà nếu không sẽ khó quản lý, và điều này có giá trị thực sự. Nhưng có sự khác biệt giữa giúp một đội di chuyển nhanh hơn và thực sự biết, với sự chính xác có thể tin cậy, điều gì quan trọng nhất trong môi trường cụ thể đó.

Đó là nơi khoảng cách xuất hiện. Hầu hết các doanh nghiệp đều đầy rẫy những ngữ cảnh không đồng đều. Các bản đồ tài sản không đầy đủ. Sở hữu không luôn rõ ràng. Sự quan trọng của kinh doanh thay đổi. Các biện pháp kiểm soát khác nhau từ một phần của tài sản này sang phần khác. Chất lượng dữ liệu hỗn hợp. Nếu bức tranh cơ bản là mờ, thì đầu ra của AI cũng sẽ mờ, bất kể giao diện có bóng bẩy như thế nào.

Tôi nghĩ điều này đặc biệt đúng khi các nhà cung cấp nói về việc dự đoán. Có sự khác biệt có ý nghĩa giữa việc nói “mẫu này trông có rủi ro” và nói “điều này sẽ xảy ra tiếp theo”. Điều đầu tiên có thể hữu ích. Điều thứ hai là nơi ngôn ngữ thường chạy trước thực tế.

Vậy, theo tôi, AI được hiểu tốt nhất ngày nay như một bộ khuếch đại, không phải là một thẩm quyền. Nó có thể giúp các đội phân loại, tương quan và tập trung. Điều mà nó không thể làm một cách nhất quán là thay thế sự cần thiết của phán quyết con người, kiến thức địa phương và sự hiểu biết rõ ràng về những gì doanh nghiệp thực sự quan tâm.

Đó thực sự là sự chia cắt. Câu chuyện tiếp thị gợi ý sự chắc chắn. Thực tế thì khiêm tốn hơn và hữu ích hơn nếu bạn trung thực về nó. AI có thể cải thiện chất lượng và tốc độ của phân tích, nhưng nó không loại bỏ sự phức tạp của việc ra quyết định an ninh doanh nghiệp.

Spinnaker Support làm việc rộng rãi với các triển khai Oracle, SAP và JD Edwards. Điều gì khiến các môi trường ERP tùy chỉnh cao đặc biệt khó khăn cho các công cụ bảo mật AI để hiểu và đánh giá chính xác?

Điều khiến những môi trường này trở nên khó khăn là sau một thời gian, chúng không còn hành xử như phần mềm tiêu chuẩn mà AI đã được đào tạo, mà bắt đầu hành xử giống như một bản ghi về cách doanh nghiệp thực sự hoạt động.

Tôi đã thấy điều này đặc biệt đúng với các tài sản Oracle, SAP và JD Edwards được tùy chỉnh cao. Trên giấy, bạn có thể vẫn đang xem một nền tảng được biết, nhưng trong thực tế, bạn thường đang xem nhiều năm thích nghi địa phương, mã tùy chỉnh, tích hợp thừa kế, cấu trúc quyền, logic báo cáo và các giải pháp thay thế được xây dựng cho các lý do hoạt động rất cụ thể. Đối với một công cụ bảo mật AI, điều đó có thể khó đọc với sự tự tin thực sự.

Nhiều công cụ này hoạt động tốt nhất khi môi trường tương đối nhất quán và các mẫu dễ dàng so sánh. Các môi trường ERP tùy chỉnh cao hiếm khi như vậy. Logic bị rối. Tài liệu thường không đầy đủ. Sở hữu có thể được phân散 trên các đội. Điều gì trông bất thường có thể hoàn toàn có chủ ý và điều gì trông thông thường có thể hóa ra hỗ trợ một thứ gì đó quan trọng về mặt hoạt động.

Đây là nơi khó khăn nằm. Công cụ không chỉ được yêu cầu phát hiện lỗ hổng hoặc cấu hình sai. Nó được yêu cầu hiểu những gì vấn đề đó có nghĩa trong ngữ cảnh của một quy trình kinh doanh, một依赖 tùy chỉnh hoặc một cấu trúc kiểm soát mà có thể không tồn tại ở bất kỳ nơi nào khác.

Và đó là một vấn đề khó hơn nhiều so với những gì câu chuyện tiếp thị thường ngụ ý. AI có thể giúp đưa ra các mẫu, giảm một số phân tích thủ công và chỉ dẫn các đội đến các khu vực đáng được xem xét kỹ lưỡng. Nhưng nếu tài sản chỉ được ghi chép một phần, được định hình bởi nhiều năm ngoại lệ và gắn chặt với cách công ty hoạt động, thì có giới hạn về mức độ chính xác mà một hệ thống tự động có thể diễn giải một cách độc lập.

Vậy, tôi nghĩ vấn đề thực sự không phải là liệu AI có thể nhìn thấy điều gì, mà là liệu nó có thể hiểu đủ ngữ cảnh xung quanh để phán xét đúng. Trong các môi trường ERP tùy chỉnh cao, đó vẫn là nơi chuyên môn con người tạo ra sự khác biệt.

Một trong những lập luận chính của bạn là chuyên môn con người không phải là một nút thắt cần loại bỏ mà là một phần thiết yếu của quá trình bảo mật. Bạn có thể chia sẻ các ví dụ về việc chuyên môn con người đã xác định các rủi ro mà một động cơ ưu tiên hóa AI có thể đã bỏ qua?

Đúng, và đối với tôi, đây là nơi giới hạn của việc ưu tiên hóa tự động trở nên rõ ràng.

Certain rủi ro chỉ có ý nghĩa khi bạn biết môi trường đủ tốt để hiểu những gì nằm sau dữ liệu. Một hệ thống có thể không trông đặc biệt quan trọng từ bên ngoài. Điểm số lỗ hổng có thể không đáng chú ý. Nhưng ai đó biết tài sản có thể biết rằng nó hỗ trợ tiền lương, báo cáo cuối quý, một tích hợp mong manh hoặc một quy trình kinh doanh mà công ty đơn giản không thể gián đoạn. Tín hiệu trong dữ liệu có thể trông thông thường. Hậu quả thực tế thì không.

Tôi cũng đã thấy các trường hợp mà bức tranh kiểm soát trông tốt hơn trên lý thuyết so với thực tế. Một động cơ AI có thể giả định rằng một rủi ro được giảm thiểu vì phân đoạn đang được thực hiện, hoặc vì quyền truy cập bị hạn chế, hoặc vì một kiểm soát giám sát tồn tại. Nhưng một người gần gũi với môi trường có thể biết rằng một kiểm soát được áp dụng không nhất quán, một kiểm soát khác bị bỏ qua khi hoạt động dưới áp lực và một kiểm soát thứ ba đã ngừng đáng tin cậy. Loại khoảng cách đó không luôn hiển thị sạch sẽ trong hệ thống ghi.

Cùng một điều xảy ra trong các môi trường tùy chỉnh. Một kịch bản, một công việc, hoặc một mô hình quyền có thể trông thông thường nếu bạn đang quét tìm mẫu theo quy mô. Đối với ai đó hiểu cách hệ thống đã được điều chỉnh theo thời gian, chi tiết đó có thể nổi bật ngay lập tức như một nguồn thực sự của sự phơi bày.

Thời gian cũng quan trọng. Một lỗ hổng có thể trông có thể quản lý được khi cô lập, sau đó trở nên nghiêm trọng hơn vì doanh nghiệp đang ở giữa một quá trình di chuyển, mua lại, thời hạn quy định hoặc thời kỳ hoạt động cao điểm. Loại thay đổi đó không luôn dễ dàng cho một động cơ tự động để diễn giải với trọng lượng đúng.

Vậy, khi tôi nói về chuyên môn con người, tôi không nói về trực giác theo một nghĩa mơ hồ. Tôi nói về kiến thức địa phương. Bộ nhớ. Phán quyết. Khả năng nhìn thấy khi một vấn đề kỹ thuật nhỏ gắn liền với một thứ gì đó có hậu quả nhiều hơn.

Đó là lý do tôi không xem chuyên môn con người như một nút thắt cần loại bỏ. Tôi xem nó như phần ngăn chặn sự tự tin sai lầm. AI có thể giúp phân loại và thu hẹp dữ liệu. Nhưng những rủi ro quan trọng nhất thường là những rủi ro chỉ trở nên rõ ràng khi ai đó hiểu cách doanh nghiệp thực sự hoạt động.

Khi các tổ chức vội vàng áp dụng AI trên các hoạt động bảo mật, những rủi ro lớn nhất của việc tự động hóa quá mức quản lý lỗ hổng và đánh giá phơi bày là gì?

Rủi ro lớn nhất tôi thấy là bạn tạo ra sự xuất hiện của kiểm soát mà không có thực tế của việc hiểu rằng bạn đang kiểm soát.

Quản lý lỗ hổng là một trong những lĩnh vực mà tự động hóa rõ ràng có giá trị. Ở quy mô doanh nghiệp, bạn cần tự động hóa để tìm vấn đề, tương quan dữ liệu, ưu tiên với số lượng lớn và giữ cho toàn bộ quy trình hoạt động. Không tổ chức nghiêm túc nào có thể quản lý điều đó thủ công.

Но nguy cơ đến khi tự động hóa bắt đầu thúc đẩy chương trình mà không có đủ thách thức của con người xung quanh nó.

Rủi ro đầu tiên là ưu tiên sai. Nếu bạn dựa quá nhiều vào điểm số tự động, bạn có thể kết thúc bằng cách đối xử với mức độ nghiêm trọng kỹ thuật như thể nó là rủi ro kinh doanh. Nó không phải như vậy. Một lỗ hổng quan trọng trên một tài sản bị cô lập hoặc có các biện pháp kiểm soát bù đắp có thể ít quan trọng hơn trong thực tế so với một vấn đề có điểm số thấp hơn nhưng nằm trên một hệ thống dễ bị tấn công và gắn liền với một quy trình kinh doanh quan trọng.

Rủi ro thứ hai tôi thấy là mất ngữ cảnh. Các chương trình tự động chỉ tốt như dữ liệu tài sản, dữ liệu sở hữu, ánh xạ phụ thuộc và xử lý ngoại lệ đằng sau chúng. Nếu thông tin đó không đầy đủ, và trong hầu hết các doanh nghiệp, một số thông tin đó thường không đầy đủ, thì tự động hóa có thể trở nên hiệu quả trong việc di chuyển các quyết định có lỗi qua hệ thống.

Rủi ro thứ ba là hành vi. Khi mọi người bắt đầu tin tưởng vào quy trình quá nhiều, họ ngừng thẩm vấn đầu ra của nó. Các đội giả định rằng những gì nổi lên trên cùng phải là điều quan trọng nhất và những gì không nổi lên có thể chờ. Điều đó dễ hiểu, nhưng tôi tin rằng nguy hiểm. Bởi vì nó thay đổi văn hóa từ quản lý rủi ro thông tin sang sự chấp nhận thụ động của việc sắp xếp do máy dẫn dắt.

Và sau đó có một rủi ro chiến lược rộng lớn hơn, đó là các tổ chức bắt đầu nhầm lẫn thông lượng với cải thiện bảo mật. Việc đóng một số lượng lớn lỗ hổng trông tốt về mặt hoạt động. Nó tạo ra bảng điều khiển, chỉ số và cảm giác về động lực. Nhưng nếu bạn không giảm thiểu những phơi bày quan trọng nhất đối với doanh nghiệp, bạn có thể chỉ trở nên nhanh hơn trong việc xuất hiện bận rộn.

Vậy, quan điểm của tôi là tự động hóa nên thực sự thực hiện công việc nặng nhọc. Nhưng nó nên hỗ trợ phán quyết, không thay thế nó. Nếu không, bạn sẽ kết thúc với một quy trình hiệu quả, có thể đo lường và có thể mở rộng, nhưng không nhất thiết an toàn hơn.

Bạn đã làm việc rộng rãi trong chuyển đổi IT và kiến trúc doanh nghiệp. CISO nên cân bằng nhu cầu vá lỗ hổng nhanh chóng với rủi ro hoạt động của việc gián đoạn các hệ thống kinh doanh quan trọng như thế nào?

Câu hỏi tuyệt vời, vì đây là một trong những lĩnh vực mà câu trả lời dễ dàng thường là câu trả lời sai.

Tất nhiên bạn muốn vá nhanh. Không CISO nào sẽ tranh cãi về việc ngồi trên các lỗ hổng đã biết lâu hơn mức cần thiết. Nhưng trong một doanh nghiệp thực tế, đặc biệt là một doanh nghiệp chạy các hệ thống quan trọng, tốc độ không phải là mục tiêu duy nhất. Nếu bạn vá một cách tồi tệ và làm sập một thứ gì đó mà doanh nghiệp phụ thuộc vào, bạn đã giải quyết một vấn đề bằng cách tạo ra một vấn đề khác.

Vậy, sự cân bằng thực sự là về việc hiểu những rủi ro nào đang hoạt động, những rủi ro nào là lý thuyết và những hệ thống nào có thể chịu đựng được thay đổi mà không gây ra rắc rối ở nơi khác.

Certain lỗ hổng thực sự cần hành động khẩn cấp. Nếu điều gì đó bị lộ, có thể bị khai thác và nằm trong một phần của tài sản quan trọng, thì bạn cần hành động. Nhưng nhiều lần, quyết định không tuyệt đối như mọi người thường làm cho nó trở nên. Bạn có thể có các biện pháp kiểm soát khác xung quanh vấn đề. Hệ thống bị ảnh hưởng có thể được cô lập chặt. Rủi ro hoạt động của việc thực hiện thay đổi ngay bây giờ có thể cao hơn so với việc giữ vị trí trong một khoảng thời gian ngắn và thực hiện nó một cách chính xác.

Đó là lý do tại sao các CISO tốt hơn có xu hướng là những người có thể có một cuộc trò chuyện trưởng thành với doanh nghiệp. Không chỉ “Điều này quan trọng, vá nó ngay”, mà “Đây là phơi bày, đây là những gì có thể xảy ra, đây là những gì có thể sai nếu chúng ta can thiệp một cách tồi tệ và đây là cách an toàn nhất để thực hiện nó”. Đó là một hình thức lãnh đạo có tính xác thực hơn so với việc đối xử với mọi lỗ hổng như thể nó tồn tại trong sự cô lập.

Tôi cũng nghĩ rằng những khoảnh khắc này暴露 một điều gì đó sâu sắc hơn về chính tài sản. Nếu một tổ chức luôn sợ vá các hệ thống cốt lõi vì bất kỳ thay đổi nào đều cảm thấy nguy hiểm, điều đó thường cho bạn biết rằng môi trường đã trở nên giòn. Quá nhiều phụ thuộc ẩn, không đủ tự tin trong kiểm tra, quá ít khả năng phục hồi trong kiến trúc. Trong tình huống đó, cuộc tranh luận về việc vá là thực sự một triệu chứng của một vấn đề cũ hơn.

Vậy, đúng, vá nhanh khi rủi ro là thực và con đường là rõ ràng. Nhưng khi môi trường nhạy cảm, công việc là giảm thiểu rủi ro mà không tạo ra một sự混乱 lớn hơn. Đây là sự cân bằng.

Và để nói thật, hầu hết các CISO có kinh nghiệm đã biết điều này. Thử thách là áp dụng quyết định của họ dưới áp lực, khi đồng hồ đang chạy và không ai muốn sở hữu hậu quả của việc làm sai.

Phương pháp của Spinnaker kết hợp phân tích AI với xác thực chuyên gia. Những nhiệm vụ cụ thể nào mà AI nên xử lý và những quyết định nào nên vẫn nằm chắc chắn trong tay của các chuyên gia bảo mật có kinh nghiệm?

Tôi nghĩ rằng ranh giới chia cắt thực sự khá thẳng thắn.

AI nên thực hiện công việc được hưởng lợi từ tốc độ, quy mô và tính nhất quán. Đi qua một lượng lớn dữ liệu, kéo các tín hiệu lại với nhau, phát hiện mẫu, đánh dấu những thứ trông không đúng, giúp mọi người thu hẹp lĩnh vực, đây chính xác là loại công việc mà máy móc hữu ích. Nó tiết kiệm thời gian, giảm công sức thủ công và cung cấp cho các đội bảo mật một điểm khởi đầu tốt hơn.

Nó cũng phù hợp với các phần lặp đi lặp lại của công việc. Lớp triệt đầu tiên. Tóm tắt phát hiện. Kết nối các vấn đề tương tự. Theo dõi các ngoại lệ lặp lại. Chỉ ra nơi các điểm yếu kiểm soát nhất định tiếp tục xuất hiện. Không điều gì trong số đó thay thế chuyên môn, nhưng nó làm cho chuyên môn trở nên tốt hơn.

Ở nơi tôi sẽ cẩn thận hơn là khi bạn chuyển từ phân tích sang ra quyết định.

Các cuộc gọi quan trọng vẫn nên nằm với các chuyên gia bảo mật có kinh nghiệm. Liệu đây thực sự là một rủi ro nghiêm trọng trong kinh doanh này hay nó chỉ trông nghiêm trọng trong trừu tượng? Liệu đây có phải là một thất bại kiểm soát thực sự hay nó chỉ là một ngoại lệ lộn xộn nhưng được hiểu? Nếu chúng ta sửa điều này ngay bây giờ, điều gì khác chúng ta có thể gián đoạn? Nếu chúng ta chờ đợi, chúng ta thực sự đang chấp nhận điều gì? Những điều đó là các cuộc gọi phán quyết.

Và đó là trước khi bạn thậm chí đến với khía cạnh con người của nó. Tại sao điều này tiếp tục xảy ra? Liệu tổ chức có biếtingly mang rủi ro này hay nó chỉ ngừng nhận thấy nó? Liệu đây có phải là một vấn đề riêng lẻ hay một dấu hiệu của điều gì đó văn hóa ở dưới đáy? Loại diễn giải đó vẫn quan trọng rất nhiều.

Vậy, tôi sẽ để AI thực hiện việc phân loại, phân cụm, lần đầu, công việc nặng nhọc. Nhưng tôi sẽ không để nó quyết định điều gì mà doanh nghiệp nên quan tâm nhất hoặc hành động nào nên được thực hiện mà không có xem xét của con người.

Bởi vì một khi quyết định có hậu quả, dù về mặt hoạt động, tài chính hay danh tiếng, bạn không chỉ đang xử lý thông tin. Bạn đang đưa ra một phán quyết.

Và trong bảo mật, tôi tin rằng điều đó vẫn nên là một người với trí tuệ thực sự.

Nhiều tổ chức vẫn tập trung mạnh vào số lượng lỗ hổng và điểm số về mức độ nghiêm trọng. Tại sao bạn tin rằng quản lý phơi bày thực sự đòi hỏi một cái nhìn rộng hơn bao gồm các biện pháp kiểm soát bù đắp, hạn chế truy cập, kiến trúc hệ thống và ngữ cảnh kinh doanh?

Nó đòi hỏi một cái nhìn rộng hơn vì một con số đơn độc không cho bạn biết nhiều về mức độ khó khăn bạn thực sự gặp phải.

Điểm số về mức độ nghiêm trọng có vị trí của nó. Số lượng lỗ hổng có vị trí của nó. Chúng giúp bạn định kích thước vấn đề. Chúng giúp bạn tổ chức danh sách chờ. Nhưng chúng không phải là điều tương tự như việc hiểu phơi bày, và đó là nơi tôi nghĩ nhiều tổ chức vẫn sai lầm.

Một lỗ hổng có thể trông nghiêm trọng trong lý thuyết và vẫn được chứa tương đối tốt trong thực tế. Nếu quyền truy cập vào hệ thống bị hạn chế chặt, nếu có các biện pháp kiểm soát bù đắp xung quanh nó, nếu nó nằm trong một phần của môi trường mà khó tiếp cận thông qua các hạn chế truy cập, thì khả năng thực sự của vấn đề đó gây ra thiệt hại có thể khác với những gì điểm số thô gợi ý.

Và sau đó bạn có trường hợp ngược lại, thường là trường hợp thú vị hơn. Một thứ gì đó thấp hơn trong danh sách có thể kết thúc là vấn đề nhiều hơn vì nơi nó nằm. Nó chạm vào một dịch vụ quan trọng. Nó dễ tiếp cận hơn. Nó nằm trong một phần của kiến trúc hệ thống nơi một thỏa hiệp cho bạn không gian để di chuyển. Đó là loại điều mà một xếp hạng nghiêm trọng đơn giản sẽ không giải thích tốt.

Vậy, khi mọi người nói về quản lý phơi bày, đối với tôi, nó phải có nghĩa là nhiều hơn chỉ sắp xếp lỗ hổng theo điểm số và làm việc xuống danh sách.

Bạn cần biết những gì nằm xung quanh vấn đề. Những biện pháp kiểm soát nào đã tồn tại. Ai có thể tiếp cận nó. Liệu hệ thống có bị cô lập hay không. Và nếu nó bị khai thác, điều gì thực sự xảy ra tiếp theo.

Nếu không, bạn sẽ kết thúc bằng việc quản lý hình ảnh của rủi ro chứ không phải rủi ro thực sự. Bảng điều khiển được cải thiện. Số lượng vé di chuyển. Báo cáo trông tốt hơn. Nhưng bạn không nhất thiết an toàn hơn.

Tôi nghĩ phần của lý do này xảy ra là vì con số mang lại sự thoải mái. Nó trông khách quan. Nó cho mọi người một thứ gì đó gọn gàng để trình bày. Nó tạo ra cảm giác rằng vấn đề đã được giảm xuống một thứ gì đó có thể đo lường và nằm dưới sự kiểm soát. Nhưng phơi bày thực sự thường phức tạp hơn nhiều.

Nó nằm trong sự chồng chéo giữa khiếm khuyết, các biện pháp kiểm soát xung quanh nó, kiến trúc nó sống trong đó và hậu quả kinh doanh nếu điều gì đó sai.

Vậy, đúng, sử dụng điểm số. Sử dụng số lượng. Tất nhiên rồi. Nhưng đừng nhầm lẫn chúng với sự hiểu biết.

Nếu bạn muốn biết nơi thực sự có phơi bày, tôi tin rằng bạn phải xem xét toàn bộ môi trường, không chỉ một con số gắn liền với nó.

Môi trường phần mềm doanh nghiệp đang bước vào một giai đoạn thay đổi đáng kể khi các tổ chức hiện đại hóa các hệ thống cũ đồng thời áp dụng công nghệ AI. Nhìn về tương lai trong ba đến năm năm tới, bạn thấy mối quan hệ giữa AI, bảo mật và các nền tảng doanh nghiệp sẽ phát triển như thế nào, và những gì các nhà lãnh đạo công nghệ nên chuẩn bị ngày hôm nay?

Tôi nghĩ rằng ba đến năm năm tới sẽ rất quyết định.

Chủ yếu vì các công ty đang cố gắng hiện đại hóa các tài sản cũ trong khi đồng thời đưa AI vào hỗn hợp và không ai trong số đó là dễ dàng trên riêng của nó. Làm cả hai cùng nhau tăng mức độ rủi ro.

Điều thay đổi đầu tiên, tôi nghĩ, là AI ngừng được một thí nghiệm bên và bắt đầu trở thành một phần của cách doanh nghiệp thực sự hoạt động. Nó xuất hiện trong các quy trình làm việc, hỗ trợ, phát triển, hoạt động bảo mật và quản trị nền tảng, không phải như một điều mới mẻ, mà như một phần của đường ống.

Và một khi điều đó xảy ra, cuộc trò chuyện về bảo mật trở nên nghiêm túc hơn. Bạn không chỉ hỏi liệu công cụ có hữu ích hay không. Bạn đang hỏi nó có thể tiếp cận được gì, nó có thể ảnh hưởng đến gì, dữ liệu nó đang cho ăn và hậu quả là gì khi nó làm sai.

Tôi cũng nghĩ rằng chúng ta sẽ thấy bảo mật và kiến trúc trở nên khó tách biệt hơn. Trong nhiều môi trường cũ, điều trông giống như một vấn đề bảo mật thường thực sự là một vấn đề kiến trúc mặc một chiếc áo bảo mật. Thiết kế danh tính yếu, quá nhiều phụ thuộc, sở hữu không rõ ràng, tích hợp giòn, khả năng hiển thị kém, những điều đó là những thứ thường nằm dưới vấn đề có thể nhìn thấy. AI sẽ không làm mịn điều đó đi. Nếu có, nó có thể sẽ暴露 sự lộn xộn nhanh hơn.

Vậy, các tổ chức xử lý điều này tốt, tôi tin, sẽ là những tổ chức ngừng đối xử với việc áp dụng AI, bảo mật và hiện đại hóa nền tảng như ba luồng công việc riêng biệt. Chúng đang trở nên ngày càng giống nhau.

Nếu tôi đang tư vấn cho các nhà lãnh đạo công nghệ bây giờ, tôi sẽ bắt đầu với khả năng hiển thị. Bạn cần một tay cầm rõ ràng hơn về những gì bạn có, cách nó kết nối, ai có quyền truy cập vào những gì, nơi dữ liệu nhạy cảm di chuyển và nơi các điểm kiểm soát thực sự của bạn nằm. Nếu không, việc thêm AI trên đầu chỉ làm tăng số lượng thứ bạn không hiểu rõ.

Điều tiếp theo là quản trị, nhưng không phải là loại hình thức. Các quyết định thực sự. Ở đâu AI có thể được sử dụng? Ở đâu xem xét của con người cần phải ở lại? Làm thế nào đầu ra được kiểm tra? Dữ liệu nào bị giới hạn? Ai sở hữu hậu quả nếu hệ thống thúc đẩy hành động sai? Những câu hỏi đó cần được trả lời bây giờ, không phải sau.

Và thành thật, sự đơn giản hóa quan trọng hơn nhiều so với những gì nhiều người muốn thừa nhận. Tài sản càng rối, càng khó bảo mật, càng khó hiện đại hóa và càng khó sử dụng AI mà không tạo ra sự không chắc chắn mới.

Và sau đó là mặt người. Các tổ chức tốt hơn sẽ là những tổ chức biết cách kết hợp tự động hóa với phán quyết. Họ sẽ không chỉ tiêu thụ đầu ra của AI vì nó nhanh hoặc bóng bẩy. Họ sẽ thách thức nó. Kiểm tra nó. Đẩy lùi nó khi cần.

Vậy, đúng, trong những năm tới, tôi nghĩ AI, bảo mật và các nền tảng doanh nghiệp sẽ trở nên gắn chặt với nhau hơn.

Và tôi nghĩ rằng những nhà lãnh đạo chuẩn bị tốt sẽ là những người hiểu rằng đây không phải là một sự thay đổi công nghệ. Đây là một sự thay đổi trong cách ra quyết định, cách thực hiện kiểm soát và cách tổ chức của họ thực sự linh hoạt.

Cảm ơn vì cuộc phỏng vấn tuyệt vời, độc giả muốn tìm hiểu thêm nên truy cập Spinnaker Support.