CISO Spotlight: Mike Wilkes on Resilience Amid Evolving Threats

从哲学到防火墙

Mike Wilkes的职业生涯非比寻常。拥有哲学背景和斯坦福大学教育哲学硕士学位的他，最初在加州K-12教育智库工作。但他很快意识到自己的才能在科技领域能发挥更大作用。

“帕洛阿尔托垃圾箱里的电脑比教室里的还多，“他说。“那时我就知道科技才是能真正产生影响的地方。“这一认识让他在互联网泡沫时期早期进入WebOps领域，曾为星巴克、PlayStation和梅西百货推出数字平台。

但Mike从不只是个"网站人”。“我负责基础设施，“他说。“在DevOps这个概念出现之前，我们称之为WebOps。那时安全还不是一个部门——而是你为了让服务器不在凌晨2点崩溃而做的事情。”

多年来，Mike在多个行业担任过CISO职位——金融、娱乐、科技、体育等。“我甚至喜欢说我保护过钢铁侠，“他开玩笑说，指的是他在漫威担任CISO的时光。

Mike还曾与世界经济论坛合作，并合著了关于量子安全的论文。“如果你将机器学习与量子计算结合，就会得到’里斯花生酱杯’式的炒作，“他笑道。“但真正的问题是：如何实际使用这些技术来保护数据？”

“有两种类型的CISO：球员兼教练和纯教练，“他阐述道。“球员兼教练拥有硬技能——他们知道如何登录、阅读日志和发现威胁。纯教练完全依赖影响力和关系。”

Mike强调，虽然重视技术深度，但现代CISO还必须掌握业务对齐。“安全不能成为’拒绝部门’。“他甚至表示，如果CISO不了解公司如何赚钱，他们就不是在保护业务——而是在拖慢业务。

Mike建议CISO以健康的实用主义和策略性方法对待这一角色。“你必须使用绝地心灵技巧，“他说。“让你的CEO认为那是他们的想法。提供三个选项——维持、降级或升级——然后猜他们会选什么。”

然而，对Mike来说，成功担任CISO不仅仅关乎巧妙的建议运用——还关乎用决策者能理解的具体术语进行沟通。“如果你说’这个API可能导致数据泄露’，那是抽象的。如果你说’这次泄露可能造成1000万美元损失并使系统停机三天’，那就是具体的。”

为了进一步向关键决策者强调强大网络安全的重要性，Mike建议改变叙述方式：不是组织是否会遭受泄露，而是何时会遭受泄露。

“任何公司都可能被攻破，“他说，“只要给攻击者足够的时间和动机。所以CISO需要停止谈论可能性。要谈论频率。”

Mike认为，网络安全最严重的问题之一是，往往需要一次重大泄露事件才能让组织意识到需要改进防御。“大多数组织不愿意花费50万美元进行预防，直到他们在一次泄露中损失500-1000万美元。就像孩子和热炉子——你告诉他们很烫，但他们只有烫到手指才会学乖。”

Mike认为，这种被动的网络安全方法相当于将优先事项外包给攻击者，后果严重。“我们让威胁行为者决定什么重要，“他说，“而不是自己建立韧性。”

API安全是Mike认为需要特别关注的领域。“85%的互联网流量是机器对机器的——换句话说，就是API，“他说。“但大多数公司甚至不知道他们有多少API。”

他继续说道：“有个叫做低代码/无代码的东西。人们将API密钥粘贴到Slack或Salesforce中，没有任何审查。这就像用胶带将后门粘在你的数据中心上。”

那么第一步是什么？“可见性。你无法保护你不知道自己拥有的东西。但可见性还不够。你需要控制、文档、监控和数据流的上下文。”

谈到AI话题，Mike认识到既存在风险也存在机遇。“AI让 junior varsity（二线队伍）能够在一线水平上比赛，“他说。“我们过去担心的是国家行为体。现在我们担心的是拥有AI工具的无聊青少年。”

然而在防御方面，Mike更加乐观。“每个CISO都应该有一个基于公司政策训练的AI助手，能够发现异常并简化决策。但他们需要负责任地部署，而不是为了部署而部署。”

现在在纽约大学和哥伦比亚大学任教的Mike将指导视为自己使命的延伸。“我教学是因为我想激励下一代。我想让他们知道这项工作很重要。”

他的指导反映了他对网络安全的更广泛看法：“网络安全的产物是避免伤害。我们通过人员、流程和工具来实现这一目标——按这个顺序。工具虽然有用，但排在最后。”