CISO视角：AJ Debole谈技术与业务鸿沟、数据泄露准备与AI风险

从公共服务到企业高管：职业历程

AJ Debole现任Oracle现场CISO，但她的职业生涯始于法律和政府领域，之后转入医疗健康和网络防御领域，在勒索软件危机中领导团队。

AJ预计CISO角色将变得“更商业化”，出现更多“MBA类型”。她理解这一发展轨迹背后的逻辑：转化业务目标并确保安全计划与之对齐变得越来越重要。

然而，她担心这种关注会使人们更关心业务和合规性，而非实质性安全 - 组织将为此付出代价。

“问题是，实质性安全需要更多技术经验、更细致入微的理解，更重要的是，有人可能会争辩说，需要对技术有足够的好奇心去真正了解并关心它，”她说。

在沟通方面，AJ认为定制化方法始终是最有效的。每个董事会和每位董事会成员都不同，CISO必须相应调整风格。

“理解这些视角有助于定制消息并确保获得支持。如果你能与董事会成员建立联系，”AJ认为，“你就能有效倡导你所需要的，无论是资源还是特定类型的项目。”

对齐安全计划是与领导沟通最重要的方面之一。对AJ来说，一切都始于激励。

“最终，一切都归结为金钱。人们根据某些事情获得奖金。组织激励某些行为。问题是许多组织的奖金结构与它们试图实现的目标不一致，而安全无法解决这个问题，”她说。

即使世界上最好的CISO最终也会面临数据泄露。他们的准备程度决定了成败。

AJ回忆了一次特别“棘手”的勒索软件攻击：

“那是医疗健康领域，正值COVID时期，是我第一次担任CISO角色。你可以想象在转向远程工作的同时，还要启动支持数百万人的应用程序的压力。”

幸运的是，AJ依靠她的军事经验进行了准备。

“我们会运行大型演习，包括蓝队和红队。最终，所有人会聚在一起 - 防御者解释他们在寻找什么，攻击者解释他们在做什么。看到双方的观点帮助我们拼凑出作为防御者什么有效，什么无效，以及我们如何更熟练地识别和中断攻击。”

AJ对企业如何深思熟虑地利用AI工具和能力来发展感到兴奋，但对基于各种工具实施、记录和监控方式的安全风险表示担忧。

“我认为很多企业只是想使用AI，因为他们想说他们在使用AI，这会让他们的股东高兴，但他们并不真正关心他们在做什么或如何做。我认为这非常危险，”她说。

AJ对API安全的重要性有着清晰的认识 - 特别是在与AI实施相关时。

“API和AI代理是让业务沟通、自动化并标准化流程以更快更高效工作的连接组织。问题是它们太容易启动，有时数量很大，而且通常由其他程序自动启动，”她说。

那么，AJ建议组织如何保护他们的API？对她来说，两件事最重要：

可见性：你必须知道你拥有什么才能防御它。 API生命周期：定义API何时以及为何创建，如何构建，何时不再需要它们，以及如何确保它们被适当退役。

没有这种纪律，AJ警告说，旧连接可能会持续存在足够长的时间，让攻击者发现它们。