Cybersécurité, intelligence artificielle et leadership à l’âge algorithmique

Je ne perçois pas cela comme deux cultures de travail différentes, mais plutôt comme deux composantes d'une même discipline qui se sont développées et ont évolué à des époques différentes.

Dans mon expérience, certaines organisations sont structurées de telle sorte que peu ou pas d'action n'est entreprise tant qu'un élément n'a pas été entièrement documenté, validé et approuvé. Il ne s'agit pas simplement de « paperasserie » ; c'est généralement un effort pour gérer les risques potentiels associés à chaque décision prise par l'organisation. Chaque décision doit également être accompagnée de documents justificatifs, qui peuvent inclure la justification derrière ce choix. Cette justification doit non seulement étayer le processus initial de prise de décision, mais aussi fournir suffisamment d'informations pour expliquer ces choix rétrospectivement, des mois ou des années plus tard.

En surface, le développement de l'IA semble très différent des processus formels de planification de projet. L'IA est souvent beaucoup plus rapide que les méthodes traditionnelles et plus itérative. L'IA débute rarement, voire jamais, avec une solution définie, mais itère vers celle-ci. Appliquer le même niveau de rigueur de planification préalable à chaque itération d'un modèle d'IA ralentirait probablement les progrès au point de rendre les rendements décroissants, manquant ainsi l'objectif initial du développement de l'IA.

Pour ma part, j'ai du mal à conceptualiser un scénario où l'une ou l'autre culture pourrait exister exclusivement dans le même environnement. Je me concentre donc sur l'intégration des éléments des deux cultures dans ma propre approche.

Lorsque je développe de nouvelles idées et/ou des modèles en utilisant l'IA, je laisse initialement le processus se dérouler rapidement — prototype, test, ajustement. Bien que ce processus implique un certain niveau de supervision, il n'est pas trop rigide. Cependant, lorsque nous atteignons un point dans le cycle de développement où notre nouvelle idée ou notre nouveau modèle devient suffisamment concret pour avoir un effet potentiel sur des décisions ou des actions réelles, c'est à ce moment-là que les aspects plus formels de la planification de projet entrent en jeu (documentation, validation, etc.). À ce stade, bien que le processus de développement continue d'évoluer de manière itérative, les exigences en matière de documentation et de validation commencent à prendre forme et deviennent de plus en plus importantes.

Cela a relativement vite changé ma conception du leadership. Le leadership ne consiste plus à être visible ou à être reconnu. C'est beaucoup plus simple : vous êtes responsable de tout ce qui se passe, que quiconque en soit conscient ou non.

Lorsque l'on travaille dans le domaine TS/SCI — particulièrement avec un polygraphe de contre-espionnage — la confiance n'est pas quelque chose dont les individus discutent ; c'est un test constant, d'une manière subtile. Vous opérez dans des zones d'opération compartimentées. Vous n'avez pas toujours accès à l'ensemble du tableau. Et vous ne pouvez certainement pas vous permettre d'agir avec négligence, car cela entraînerait une forme de sanction. Les individus apprennent à être délibérés. Ils apprennent à analyser leurs pensées avant d'agir. Ils développent également des compétences en communication claires — même lorsqu'ils ne possèdent pas suffisamment de connaissances pour articuler l'ensemble de leurs processus de pensée.

La plus grande impression qui m'a marquée concerne le degré de responsabilité. Les individus ne peuvent pas se cacher derrière un processus ou rejeter la faute. Lorsque quelque chose tourne mal, c'est de votre faute. Lorsque quelque chose fonctionne, c'est toujours de votre responsabilité — mais vous n'avez pas besoin de la validation des autres pour le reconnaître. Vous continuez simplement à faire preuve de cohérence. À un moment donné, les individus commencent à accorder leur confiance sur la base de ce concept.

Cela crée également une perspective différente de la structure. Les contrôles et les politiques — bien qu'ils semblent fournir une simple « apparence » — existent en raison d'un échec passé. Par conséquent, vous devez respecter les contrôles et les politiques ; cependant, vous devez également réaliser que vous ne pouvez pas permettre qu'une adhésion rigide à ces éléments empêche la flexibilité dans la prise de décision en temps réel. Les leaders sont ceux qui comprennent quand adhérer au cadre établi et quand s'adapter.

Transférer cette expérience dans TS Cyber Intelligence a moins consisté à répliquer la nature exacte de l'environnement précédent — puisque cela ne serait pas pratique. Le monde des start-ups opère à un rythme bien supérieur à tout ce qui a été vécu précédemment. Cet environnement est beaucoup plus transparent.

J'ai tenté d'appliquer l'approche mentale plutôt que l'inflexibilité de l'environnement précédent. Bien que nous continuions à avancer rapidement, nous ne sommes pas téméraires. Nous documentons nos processus de prise de décision. Nous créons des systèmes qui nous permettent de revenir en arrière et de comprendre le raisonnement derrière des événements spécifiques. Lorsqu'un événement échoue, nous ne spéculons pas ; nous savons exactement ce qui s'est passé. Ce niveau de traçabilité signifie énormément pour moi, et je ne suis pas disposée à sacrifier cet élément au nom de la rapidité d'exécution.

Bien que j'aie été prête à mettre en place les contrôles et les équilibres nécessaires, j'ai également dû assouplir intentionnellement les contraintes — permettant ainsi aux actions de se produire. Dans de nombreux cas, le plus grand risque associé aux entreprises est la stagnation. Il y a donc un exercice d'équilibre constant — comprendre quand ralentir parce que quelque chose compte vraiment, et quand avancer parce que l'inaction n'équivaut pas intrinsèquement à la sécurité.

En ce qui concerne les individus employés par l'équipe, je cherche des personnes capables de fonctionner dans ce juste milieu. Plus précisément, je cherche des individus capables d'agir rapidement, tout en comprenant la gravité inhérente au produit de leur travail. Dans la cybersécurité et l'IA en particulier, les conséquences des erreurs ne se manifestent généralement pas immédiatement ; cependant, elles finiront par se présenter.

Dans l'ensemble, si je devais résumer les leçons apprises de cette expérience, elles indiquent que la confiance se développe par l'accomplissement des petites tâches — c'est-à-dire comment vous gérez l'information ; comment vous prenez des décisions ; et avec quelle cohérence vous performez au fil du temps. Les principales différences aujourd'hui incluent la vitesse à laquelle les décisions sont prises et la visibilité de ces décisions — là où, dans l'exemple précédent, ces éléments étaient absents.

J'ai le sentiment que ce fossé — cet écart entre avoir l'air informé et savoir réellement — va continuer de se creuser et ne se réduira plus grâce à l'utilisation de l'IA. Actuellement, n'importe qui pourrait produire une réponse qui semble bien pensée ; elle référencerait tous les bons cadres de référence, parlerait le langage approprié et semblerait compétente. Par conséquent, « avoir l'air compétent » ne détient plus la même valeur qu'autrefois. À mon avis, cette barre a disparu.

Par conséquent, la crédibilité provient d'une autre source. La crédibilité vient de ce que vous accomplissez après que vos réponses sont sur la table. Pouvez-vous créer un plan qui peut être exécuté dans un environnement chaotique ? Pouvez-vous tester ce que l'IA fournit au lieu de l'accepter simplement ? Pouvez-vous reconnaître quand quelque chose ne semble pas tout à fait correct, même si cela semble bon en surface ? C'est là que se trouve l'essentiel du travail difficile. Les certifications sont importantes dans une certaine mesure — elles démontrent votre compréhension des bases en prouvant votre investissement en temps. Cependant, les certifications ne prouvent pas que vous pouvez exécuter au-delà de ce qui est contenu dans le « manuel ».

À mon avis, pour les professionnels de la cybersécurité aujourd'hui, la crédibilité tient beaucoup plus à la capacité de porter des jugements qu'à la possession de connaissances. Votre capacité à juger implique votre processus de pensée et votre capacité à naviguer dans des situations incertaines. Plus important encore, votre capacité à soutenir une décision au moment où cela compte. La composante humaine est constituée de cette « couche de jugement ». Le jugement implique le contexte, les compromis et les priorités. Une IA peut vous fournir de nombreuses options tout au long de la journée, mais elle ne supporte pas le fardeau des conséquences de ces options. Elle ne peut pas prendre en compte les impacts commerciaux, les risques à long terme, les effets de second ordre, etc. En tant que tel, elle ne peut pas utiliser cet instinct qui se développe en voyant comment les petites erreurs se transforment en problèmes importants.

Il y a aussi la confiance — non pas le type de confiance général, mais plutôt la confiance développée par l'expérience. Les gens veulent savoir comment vous arrivez aux décisions, comment vous communiquez en cas d'incertitude, et comment vous réagissez en temps de crise. Bien qu'une IA puisse imiter la confiance, elle ne peut pas développer la confiance au fil du temps.

Ainsi, je crois que l'IA ne remplacera jamais les humains dans ce domaine. Si quoi que ce soit, je crois qu'elle entraîne une division plus claire. Les aspects du travail qui étaient facilement imités — ceux-ci sont en train d'être automatisés. Ce qui reste, ce sont les éléments qui ne peuvent pas être répliqués : utiliser toutes ces informations pour développer quelque chose qui résiste au scrutin de la réalité.

L'équilibre entre ces deux mondes n'a jamais été vraiment une question de répartition égale de votre temps ; c'est toujours été une fonction de la compréhension des rythmes très différents de chacun, et de la recherche de moyens de passer de l'un à l'autre de manière transparente sans forcer l'un à devenir une imitation de l'autre.

Le processus doctoral avance intrinsèquement à un rythme plus lent. Cela fait partie de sa conception. Vous êtes en mesure de passer beaucoup plus de temps à examiner les problèmes, à remettre en question les hypothèses, et vous ne pouvez pas sauter des étapes simplement en raison de l'instinct ou de l'intuition. Il y a un certain degré de profondeur et de patience inhérent à ce type de travail, qui ne peut tout simplement pas être contourné.

D'un autre côté, l'environnement des affaires est essentiellement l'opposé polaire. Les décisions ne sont jamais mises en attente. Dans de nombreux cas, les décisions doivent être prises sur la base de quantités limitées de données et/ou de connaissances, et en fin de compte, vous devrez trouver le confort de prendre des décisions même si tous les facteurs nécessaires n'ont pas été pris en compte.

Une chose qui m'a aidé personnellement a été de ne pas essayer d'équilibrer les deux environnements sur le moment, mais plutôt de laisser chaque environnement performer selon ses forces. Lorsque je suis en mode « recherche », je me concentre sur la profondeur de compréhension que la plupart des individus auront rarement le luxe d'expérimenter. Lorsque j'opère dans une capacité commerciale, je change de vitesse pour passer à l'« exécution », en me concentrant sur ce qui doit se produire immédiatement, ce qui est acceptable pour procéder aujourd'hui, et quels aspects peuvent être affinés ou perfectionnés à une date ultérieure.

C'est au moment où ces deux environnements commencent à se chevaucher que les choses deviennent fascinantes.

Il y a eu de nombreux cas où l'aspect recherche a eu un impact positif en me ralentissant — me donnant l'opportunité d'évaluer une situation différemment avant de prendre une décision hâtive. Par exemple, il y a eu des moments où j'aurais pris une décision rapide dans l'environnement des affaires, mais en prenant le temps supplémentaire d'examiner le problème d'un point de vue systématique, j'ai identifié des problèmes qui seraient passés inaperçus si je n'avais pas pris ce temps supplémentaire. Pas dans un sens purement théorique — mais en termes de : « cette hypothèse ne semble pas valide lorsqu'elle est poussée plus loin ».

À l'inverse, l'aspect commercial de ma vie a également influencé ma recherche de telle manière qu'il m'a permis de maintenir un lien avec la réalité. Il est difficile de rester abstrait tout en travaillant quotidiennement dans des systèmes réels qui incluent des limitations, des conséquences, etc. Cela maintient le côté académique pertinent. Si une idée n'a de mérite que lorsqu'elle est considérée d'un point de vue abstrait et ne se traduit pas bien dans la pratique, j'ai tendance à perdre tout intérêt à la poursuivre.

En essence, ils s'équilibrent l'un l'autre.

Mon doctorat sert de tampon contre le fait de devenir trop réactif. Mes entreprises commerciales servent de contrepoint au fait de devenir trop théorique.

Je reconnais qu'il peut y avoir des tensions entre les deux parfois — surtout lorsque l'un ou l'autre environnement nécessite une attention significative. Cependant, je ne perçois plus cela comme un négatif. Je le considère plutôt comme un indicateur. Généralement, si je ressens une tension entre les deux environnements, cela indique que quelque chose de significatif se produit dans l'un ou l'autre de ces domaines.

En fin de compte, les deux exigent trois caractéristiques fondamentales : la discipline, l'effort constant et la capacité à maintenir la concentration sur une longue période. La principale distinction entre les deux réside simplement dans la vitesse à laquelle les résultats sont obtenus.

De plus, je crois que l'accomplissement des deux simultanément a amélioré mes capacités dans les deux domaines. J'ai appris à penser profondément et rapidement — et à ne pas considérer ces deux capacités comme mutuellement exclusives.

Le mentorat est généralement mal perçu — les mentors ne sont pas censés fournir des conseils généraux ou simplement faciliter des opportunités de réseautage pour vous. Bien que ceux-ci aient leur utilité, ce n'est pas ce qui stimule votre croissance dans le domaine.

La valeur du mentorat réside dans le fait qu'il comble le fossé entre l'accès aux données et la capacité de les évaluer. L'accès aux données n'est plus limité. N'importe qui peut trouver les réponses aux questions en quelques secondes d'effort en utilisant des moteurs de recherche, des tutoriels en ligne, ou en obtenant des guides étape par étape sur les concepts. Cependant, déterminer quelles informations sont pertinentes et lesquelles ne le sont pas ; identifier les problèmes potentiels et porter des jugements sur la base d'informations incomplètes — ces capacités ne peuvent pas être obtenues par les seuls outils. C'est à ce moment-là qu'un mentor peut vraiment vous aider.

À mon avis, le mentorat consiste à aider les individus à apprendre à penser — comment analyser un problème, remettre en question les hypothèses qu'ils ont pu faire concernant les données, et naviguer dans l'ambiguïté sans se figer ou faire des suppositions éclairées. Ce sont les compétences qui restent longtemps après que les autres expériences d'apprentissage s'estompent.

Vous avez tout à fait raison — la façon dont les individus apprennent a évolué. De nombreux nouveaux professionnels chercheront l'aide de l'IA avant de chercher l'aide d'un autre humain. Je crois que c'est très bien. Cela indique simplement que les mentors ne peuvent plus s'établir comme la seule autorité en matière de connaissances. La composante de la connaissance leur a été retirée.

Cependant, il y a un autre aspect du mentorat qui est devenu beaucoup plus important — le contexte. Le contexte fournit la compréhension de quand quelque chose s'applique, et quand cela ne s'applique pas. Le contexte permet également aux individus de reconnaître la différence entre fournir une réponse claire et fournir une réponse qui est applicable aux scénarios du monde réel. Par exemple, bien qu'il puisse être vrai de dire qu'une solution particulière est techniquement correcte, un mentor peut expliquer pourquoi une telle solution échouerait probablement dans un scénario réel. L'IA ne fournit pas efficacement des réponses contextualisées dans un cadre réaliste.

De plus, il y a un élément de franchise inhérent au mentorat efficace. Les bons mentors identifieront directement les lacunes dans votre réflexion et/ou vos connaissances. Ils ne vous critiqueront pas pour avoir des lacunes ; ils veulent plutôt s'assurer que vous ne basez pas votre développement futur sur des hypothèses erronées. Les outils qui visent à vous aider présentent généralement les réponses de manière conciliante ; par conséquent, ce type de retour direct et honnête est difficile à obtenir de tels outils.

Enfin, vous avez identifié l'éthique comme un domaine clé du mentorat. Je suis d'accord. Compte tenu des changements récents dans la technologie et la société, je crois que les mentors jouent un rôle plus important dans l'éthique que jamais auparavant. Non pas en tant qu'autorités formelles ou prédicateurs, mais en modélisant les processus de prise de décision. En démontrant comment gérer l'accès aux ressources et aux systèmes ; comment discuter de la responsabilité ; comment aborder les situations ambiguës ; et en illustrant comment appliquer des principes basés sur des valeurs face à des choix — en particulier dans des domaines comme la cybersécurité. Ce n'est pas parce que vous avez la capacité d'effectuer une action que vous devriez l'effectuer. Lorsque l'on est nouveau dans un domaine, il n'est pas toujours clair où se trouve cette ligne ; et les certifications vous apprennent rarement où se trouve cette ligne non plus.

Par conséquent, je considère les mentors comme très pertinents aujourd'hui — si quoi que ce soit, leur rôle est devenu encore plus spécifique.

Les mentors ne sont plus les gardiens de la connaissance — ils servent plutôt d'ancres. Les ancres aident les individus à développer leur jugement, leur discipline et une appréciation des responsabilités associées à l'exécution des tâches dans leur profession choisie.

À un moment donné, ce que vous savez cesse d'importer. Ce qui commence à importer, c'est la façon dont vous utilisez vos connaissances. Apprendre à utiliser vos connaissances de la manière la plus efficace reste une compétence qui s'apprend le mieux auprès d'un autre individu qui a porté des responsabilités similaires.

Pour moi, c'est les deux — mais pas d'une manière stratégique.

La visibilité doit d'abord compter pour moi, en tant qu'individu. J'ai passé assez de temps dans des espaces où j'étais la seule personne et on ne se débarrasse jamais vraiment de ce sentiment. Par conséquent, l'intentionnalité consiste simplement à s'assurer que je ne deviens pas silencieusement invisible par défaut. Si je suis dans cet espace — si j'y dirige, si j'y crée, alors je m'assurerai d'en attirer l'attention afin qu'une autre génération puisse venir après moi et savoir que oui, il est possible d'être ici — même si vous pouvez remettre en question votre place dans cet espace.

De plus, je suis parfaitement consciente qu'être visible est maintenant considéré à travers un prisme professionnel. Et cela me va très bien. Non pas parce que je le considère comme une stratégie de marketing — bien que je réalise que cela envoie un message. Ce message est clair : où je me tiens ; ce en quoi je crois ; et le type d'environnement dont je veux m'entourer. Les gens qui ont besoin de voir cela le verront. Les gens qui vont remettre en question leur adéquation trouveront d'autres environnements où passer du temps. Honnêtement, cela fait gagner du temps aussi.

En ce qui concerne les barrières, je pense que la plupart des gens se concentrent sur les barrières évidentes. Ce sont certainement de vraies barrières. Cependant, je pense que la barrière la plus subtile — et que j'ai observée — est la façon dont la crédibilité est perçue.

Je continue de voir un double standard silencieux en ce qui concerne la façon dont la confiance et la compétence sont évaluées. Un certain niveau de confiance et de certitude est perçu très différemment selon la personne qui l'exhibe. Dans le domaine de la cybersécurité — une industrie à enjeux élevés et fortement dépendante des opinions personnelles — cette différence compte énormément. Cela crée une inégalité en termes de confiance. Qui reçoit le bénéfice du doute ? De qui la voix porte-t-elle du poids ? Qui est amené dans la conversation sur la direction plus tôt que les autres ?

Une autre chose est le nombre de fois où une femme a dû se préparer de manière excessive avant de s'engager dans quelque chose. Elle ne le fait pas parce qu'elle ne possède pas les capacités — elle le fait parce qu'elle sait que les erreurs seront examinées de manière plus critique. Alors, elle attend de se sentir préparée à 100 % — tandis que ses collègues sont prêts à s'engager dans quelque chose avec une capacité de 70 % et à apprendre en cours de route. Au fil du temps, cette hésération se traduit par une perte de visibilité et moins d'opportunités d'extension.

Aucune de ces choses n'est généralement énoncée explicitement. Elles sont rarement écrites n'importe où — il est donc facile pour les individus de les négliger.

Par conséquent, lorsque je regarde mon rôle dans ce contexte, il ne s'agit pas d'avoir de grandes discussions ou de faire des déclarations majeures — il s'agit de la façon dont je choisis d'agir chaque jour. Agir directement. Prendre des décisions. Entrer dans des endroits sans me sentir obligée d'expliquer pourquoi. Et m'assurer également que les personnes qui m'entourent ne sentent pas qu'elles ont besoin de demander la permission pour créer leur propre espace.

En fin de compte, nous n'y sommes pas encore. Cependant, je crois fermement que la visibilité — lorsqu'elle provient d'une action réelle et d'un effort constant — sert de méthode pour nous rapprocher de cet état final.

C'est comme si je pouvais réduire tout cela à une seule chose. L'IA va certainement élever le niveau de base pour nous tous ; cependant, je crois qu'elle mettra en évidence les différences entre les individus.

Au fur et à mesure que nous avançons dans notre utilisation de l'intelligence artificielle, l'ensemble des compétences générales des professionnels de la cybersécurité s'améliorera. Ce qui nécessitait autrefois de grands efforts manuels et/ou l'expertise d'un professionnel sera désormais accompli beaucoup plus rapidement et plus facilement. C'est positif ; cependant, cela met en évidence qui comprend vraiment ses données et qui s'appuie simplement sur la sortie fournie par l'outil.

Je suis convaincue qu'au cours de la prochaine décennie, le rôle de nombreux professionnels de la cybersécurité d'aujourd'hui passera considérablement de « faire » le travail à « superviser », « interpréter » et assumer la responsabilité des résultats du travail. L'IA produira des alertes, fournira des recommandations d'action, et effectuera peut-être même des réponses — mais quelqu'un devra déterminer quels éléments sont pertinents, et lesquels ne sont rien d'autre que du bruit blanc. De plus, quelqu'un devra évaluer les effets secondaires de ses décisions. Ces tâches ne disparaîtront pas — elles deviendront beaucoup plus critiques.

Par conséquent, bien que l'IA puisse continuer à améliorer la qualité du signal produit et la rapidité de sa production, le jugement humain restera une nécessité inflexible. Cependant, si vous ne pouvez pas opérer efficacement dans cette couche, alors peu importe à quel point vos outils deviennent avancés, vous aurez probablement du mal à vous en sortir.

Je suis préoccupée par plusieurs questions liées à l'utilisation accrue de l'intelligence artificielle en cybersécurité. Un domaine qui, je crois, a reçu une discussion inadéquate est la rapidité avec laquelle de nombreux professionnels de la cybersécurité s'habituent à accepter les résultats de l'IA sans d'abord évaluer minutieusement les défaillances potentielles de ces résultats.

Cela ne se produit pas de manière évidente. Cela se produit silencieusement. Lorsque quelque chose semble acceptable, il est souvent accepté. De plus, lorsque les modèles présentent des performances dans des limites acceptables la plupart du temps, cela amène les cas limites à recevoir moins de scrutiny. En fin de compte, cela crée une dépendance presque imperceptible à ces systèmes de telle sorte que, bien que l'humain continue de prendre des décisions basées sur la documentation écrite, en réalité, il ne fait que valider les suggestions précédemment générées par le système.

En cybersécurité, les menaces n'existent généralement pas dans le cas moyen ; elles résident plutôt dans les cas limites. Le deuxième grand domaine de préoccupation qui, je crois, n'a pas reçu une considération adéquate est la façon dont l'IA change la surface d'attaque elle-même. Bien qu'il y ait une pléthore de couverture médiatique entourant les deepfakes et les campagnes de phishing basées sur l'IA — qui représentent les aspects les plus médiatisés des attaques basées sur l'IA — je crois qu'il y a d'autres domaines de préoccupation. Par exemple, l'IA permet aux attaquants de sonder les systèmes d'une manière qui n'était jamais possible auparavant ; elle leur permet d'apprendre des comportements qui prendraient normalement des mois ou des années à acquérir ; et elle leur permet de développer et de mettre en œuvre des attaques adaptatives à des taux jusqu'alors inimaginables. En tant que tel, nous entrons dans un nouveau paradigme où les systèmes de défense doivent répondre non seulement à l'automatisation mais aussi à l'adaptation. De plus, je ne crois pas que la plupart des organisations aient une structure suffisante en place pour soutenir ce type d'environnement.

Cependant, ces deux préoccupations se résument au même problème sous-jacent : une dépendance excessive à la technologie avec une connaissance ou une compréhension insuffisante.

À ce jour, chacun de ces aspects de ma carrière m'a permis d'aborder des parties de ce même thème sous-jacent. Grâce à mes recherches, je suis en mesure de maintenir une perspective sur le fonctionnement de ces systèmes — spécifiquement les limites de ces systèmes ainsi que les compromis associés à chaque limitation, et d'identifier les domaines dans lesquels ces systèmes échouent. Mon implication dans l'entreprise me permet d'aborder ce qui se passe lorsque ces limites se manifestent dans le monde réel. Enfin, à travers mes activités de podcast, je suis en mesure de partager des perspectives sur la façon dont l'industrie globale impacte ceux qui tentent d'établir des carrières dans ce domaine.

En fin de compte, cela renforce davantage le fait que les outils continueront d'évoluer à des vitesses incroyables. Que ceux qui utilisent ces outils seront capables de progresser à des rythmes similaires ou deviendront de plus en plus à l'aise pour laisser les outils prendre des décisions en leur nom n'est pas aussi certain.

C'est dans cet « écart » entre l'utilisation et le développement que je crois que la plupart des risques existeront.

Lorsque je regarde aussi loin que possible, il ne s'agit pas nécessairement de sélectionner un élément de votre liste et de dire « ce sera le résultat final ».

Le véritable objectif devrait être de savoir ce qui restera avec tout le monde une fois que tous les autres éléments se seront estompés.

Oui, le succès de l'organisation compte. Créer une entité viable qui fournit de la valeur aux autres et crée une viabilité à long terme est très important. La recherche elle-même est également vitale — spécifiquement si les résultats ajoutent de la substance à la façon dont les gens perçoivent l'IA et la sécurité. Les gens sont également importants peut-être plus que la plupart ne le devineraient comprendre mon influence potentielle sur la façon dont quelqu'un fait des choix, gère ses activités quotidiennes et se représente.

Cela étant dit, je crois que la pièce qui comptait vraiment était de savoir si la manière dont j'ai choisi d'aborder ces questions restait avec les gens. Mes opinions sur la gestion des risques, la prise de décision et la responsabilité si ces principes restent avec ceux qui suivent dans mes pas, même après que je ne sois plus là alors c'est plus grand que n'importe quelle réalisation singulière ou description de poste.

Les entreprises changent. La recherche évolue. Le mentorat continue bien au-delà de ce que l'on peut observer visuellement. Cependant, la façon dont les individus voient le monde comment ils se représentent c'est ce qui reste.

Personnellement, je ne sépare pas les différents rôles que j'ai acceptés. L'entreprise, le doctorat, le mentorat et l'animation d'un podcast sont tous des avenues pour moi de poursuivre les mêmes processus de pensée et de diffuser des informations dans le monde. Avec le temps, je me retrouve plus préoccupée par ce que j'ai contribué plutôt que par ce que j'ai créé.

En bref je pourrais résumer mes pensées en une seule phrase comme suit :

Vous n'avez peut-être pas à choisir entre avancer rapidement, penser en profondeur et accepter la responsabilité de vos actions vous pouvez accomplir les trois, mais vous devez d'abord être prêt à accepter le fardeau associé à chacun.

I do not view this as two different cultures of working — rather two components of the same discipline that developed and evolved at a different time.

In my experience, some organizations are structured such that little to no action occurs until an item is fully documented, validated, and approved. This is not simply "red-tape" driven; it is typically an effort to manage the potential risks associated with each decision made by the organization. Each decision made must also have supporting documentation which may include the rationale behind the decision. The rationale must support not only the initial decision-making process, but also provide sufficient information to explain those decisions in retrospect, months or years later.

On the surface, AI development appears to be quite different from the type of formalized project planning processes. AI is often much faster than traditional project planning methods and more iterative. AI is rarely if ever started with a defined solution, but rather iterates toward one. To apply the same amount of upfront planning rigor to each iteration of an AI model would likely slow progress to the point of diminishing returns, thus missing the original intent of AI development.

For myself, I find it challenging to conceptualize a scenario where either culture can exist exclusively within the same environment. Therefore, I focus on integrating elements of both cultures into my own approach.

When developing new ideas and/or models using AI, I initially allow the process to occur rapidly -- prototype/test/adjust. While this process does involve some level of oversight, it is not overly rigid. When however, we reach a point in the development cycle where our new idea/model becomes material enough to potentially have an effect on actual decisions/actions, that's when the more formal aspects of project planning come into play (documentation/validation/etc.). At that juncture, while the development process will continue to evolve iteratively, the requirements for documentation/validation will begin to take shape and become increasingly important.

That changed my thinking on leadership relatively quickly. Leadership is no longer about visibility or being recognized. It is much simpler: you are accountable for whatever occurs, regardless if anyone is aware of it.

When working in the TS/SCI area — particularly with a CI Poly — Trust is not something individuals discuss; it is a constant test in a way that is subtle. You are operating within compartmentalized areas of operation. You may not always have access to the entire picture. And you certainly cannot afford to act carelessly as this will result in a form of discipline. Individuals will learn to be deliberate. They will learn to analyze their thoughts prior to acting upon them. They will also develop clear communication skills — even when they do not possess enough knowledge to articulate the entire scope of their thought processes.

The greatest impression made was regarding the amount of ownership. Individuals cannot hide behind process or shift fault. When something goes wrong, it is your fault. When something goes right, it is still your fault — however you do not need validation from others to recognize this. You simply continue to demonstrate consistency. At some point in time, individuals begin to trust based upon this concept.

This also creates a different perspective of structure. Controls and policy — while appearing to provide “optics” — exist due to a past failure. Therefore, you should respect controls and policy; however, you should also realize that you cannot allow rigid adherence to these items to prevent flexibility in real-time decision-making. Leaders are those who understand when to adhere to the established framework and when to adapt.

Transferring this experience into TS Cyber Intelligence has been less about replicating the exact nature of the previous environment — since such would not be practical. The startup world operates at a pace far greater than anything experienced previously. This environment is far more transparent.

I have attempted to apply the mental approach versus the inflexibility of the previous environment. While we continue to move rapidly, we are not reckless. We document our decision-making processes. We create systems which enable us to backtrack and understand the reasoning behind specific events. When an event fails, we do not speculate; we know exactly what occurred. This level of traceability means a great deal to me, and I am unwilling to sacrifice this element in favor of expediency.

While I have been willing to implement necessary checks and balances, I have also had to intentionally relax constraints — thereby allowing actions to occur. In many cases, the largest risk associated with companies is stagnation. Thus, there is a constant balancing act — understanding when to slow down because something truly matters, and when to advance forward because standing idle does not inherently equate to safety.

With regards to the individual(s) employed by the team, I seek individuals who are capable of functioning within this middle ground. Specifically, I seek individuals who are able to function rapidly, yet understand the gravity inherent within the work product. In cyber and AI specifically, the consequences of errors will typically not manifest themselves immediately; however, they will ultimately present themselves.

Overall, if I were forced to encapsulate the lessons learned from this experience — the lessons learned indicate that trust is developed via the performance of the small tasks — i.e., how you manage information; how you make decisions; and how consistently you perform over time. The primary differences now include the velocity at which decisions are made and the visibility of those decisions — whereas in the previous example, these elements were absent.

I feel as though that divide—that gulf between appearing to be informed and truly knowing—will continue to grow and will no longer narrow due to the use of AI. Currently, anybody could produce a response that appears to be well thought out; it would reference all of the proper frameworks and speak the correct language and appear to be knowledgeable. Therefore, "appearing knowledgeable" does not hold the same value as it once did. In my view, that bar is gone.

Therefore, credibility comes from some other source. Credibility comes from what you accomplish after your answers are on the table. Can you create a plan that can be executed in a chaotic environment? Can you test what the AI provides as opposed to simply accepting it? Can you recognize when something does not feel quite right even though it may look good on the surface? This is where the majority of the hard work takes place. Certifications are important to some extent — they demonstrate your understanding of the basics by demonstrating your investment in time. However, certifications do not provide proof that you can execute beyond what is contained within the "playbook."

In my opinion, for cybersecurity professionals today, credibility is much more about making judgments than having knowledge. Your ability to judge involves your thinking process and your ability to navigate through uncertain situations. Most importantly, your ability to support a decision at the times when it matters. The human component is comprised of that "judgmental layer." Judgment involves context, trade-offs and priorities. An AI can provide you with many options throughout the day, however, it does not bear the burden of those options' consequences. It cannot consider business impacts, long term risks, second order affects etc. As such, it cannot utilize that instinct which develops from seeing how one's minor mistakes develop into significant issues.

There is also trust — not the general type of trust, but rather the trust developed through experience. People want to know how you arrive at decisions, how you communicate when there is uncertainty involved, and how you respond during times of crisis. While an AI may mimic confidence, it cannot develop trust over time.

As such, I believe that AI will never replace humans in this field. If anything, I believe it is driving a clearer division. Those aspects of the job which were easily imitated — these are being automated. What remains are those elements which cannot be replicated: using all of that information to develop something that stands up under the scrutiny of reality.

The balancing act between these two has never been truly a matter of splitting your time equally; it's always been a function of understanding the vastly differing rhythms of each, and finding ways to seamlessly transition between them without forcing one to become an imitation of the other.

The doctoral process inherently moves at a slower pace. That is part of its design. You are able to spend much more time examining problems, questioning assumptions, and you cannot bypass steps simply due to instinct or intuition. There is a certain degree of depth and patience inherent within this type of work, which simply cannot be circumvented.

On the flip side, the business environment is essentially the polar opposite. Decisions are never put on hold. In many cases, decisions must be made based upon limited amounts of data and/or knowledge, and ultimately, you will need to find comfort in making decisions regardless of whether all necessary factors were considered.

One thing that has helped me personally was not attempting to balance the two environments in the moment, but rather allowing each environment to perform to their strengths. When I am in "research" mode, I focus on the depth of understanding that most individuals will rarely have the luxury of experiencing. When I am operating in a business capacity, I switch gears into "execution," focusing on what needs to occur immediately, what is acceptable to proceed with today, and what aspects can be refined or perfected at a later date.

It is the point at which these two environments begin to overlap that becomes fascinating.

There have been numerous instances where the research aspect has had a positive impact on slowing me down — providing an opportunity for me to evaluate a situation differently prior to making a hasty decision. For example, there have been times when I would have made a rapid decision in the business environment, but due to taking additional time to examine the issue from a systematic perspective, I identified issues that may have gone unnoticed had I not taken that additional time. Not in a purely theoretical sense — but in terms of, "this assumption does not appear to be valid when pushed further."

Conversely, the business aspect of my life has also influenced my research in such a manner that it has allowed me to maintain a connection to reality. It is difficult to remain abstract while working within actual systems that include limitations, consequences etc., on a daily basis. This maintains the academic side as relevant. If an idea only holds merit when viewed from an abstract standpoint and does not translate well into practice, I tend to lose interest in pursuing it.

In essence, they counterbalance one another.

My Doctorate serves as a buffer against becoming overly reactive. My business endeavors serve as a counterpoint to becoming overly theoretical.

I acknowledge that there can be tension between the two at times — especially when either environment requires significant attention. However, I no longer perceive this as a negative. Rather, I view it as an indicator. Typically, if I experience tension between the two environments, it indicates that something meaningful is occurring in one or the other of those areas.

Ultimately, both require three fundamental characteristics: discipline, consistent effort, and the ability to maintain focus across a long-term period. The primary distinction between the two is merely the speed at which results are achieved.

Additionally, I believe that performing both simultaneously has enhanced my capabilities in both areas. I have learned to think deeply yet rapidly — and not consider these two abilities as mutually exclusive.

Mentorship is generally misperceived — Mentors aren't meant to provide general guidance or simply facilitate networking opportunities for you. While those have their uses, that's not what drives your growth in the field.

The value of mentorship is that it bridges the gap between access to data and the ability to evaluate it. Access to data isn't limited anymore. Anyone can find the answers to questions with seconds of effort by using search engines, online tutorials, or getting step-by-step walk-throughs of concepts. However, determining what information is relevant, and what is irrelevant; identifying potential problems, and making judgments based upon incomplete information — these abilities cannot be obtained from tools alone. This is when a mentor can truly help you.

In my opinion, mentoring involves helping individuals learn how to think — how to analyze a problem, question assumptions that they may have made regarding the data, and navigate ambiguity without becoming frozen or making educated guesses. These are the skills that remain long after other learning experiences fade.

You're absolutely right — the way individuals learn has evolved. Many newer professionals will seek the assistance of AI prior to seeking assistance from another human. I believe that's okay. It simply indicates that mentors can no longer establish themselves as the sole authority regarding knowledge. The knowledge component has been taken away.

However, there is another aspect of mentoring that has become significantly more important — context. Context provides the understanding of when something applies, and when it does not. Context also enables individuals to recognize the difference between providing a clear answer and providing an answer that is applicable to real-world scenarios. For example, while it might be true to say that a particular solution is technically correct, a mentor can explain why such a solution would likely fail in a real-world scenario. AI does not effectively provide contextualized responses within a realistic framework.

Additionally, there is an element of candor inherent to effective mentoring. Good mentors will identify gaps in your thinking and/or your knowledge directly. They will not criticize you for having gaps; rather, they want to ensure that you do not base your future development on flawed assumptions. Tools which aim to assist you, typically present answers in an agreeable manner; therefore, this type of direct and honest feedback is difficult to receive from such tools.

Finally, you identified ethics as a key area of mentorship. I agree. Given recent changes in technology and society, I believe mentors are playing a larger role in ethics than previously than ever. Not as formal authorities nor preachers, but by modeling decision-making processes. By demonstrating how to manage access to resources and systems; how to discuss accountability; how to address ambiguous situations; and by illustrating how to apply values-based principles when faced with choices — especially in fields like cybersecurity. Just because you have the capability to perform an action does not mean you should perform that action. When you are new to a field, it is not always clear what that line is; and certifications rarely teach you what that line is either.

Therefore, I view mentors as highly relevant today — if anything, their role has become even more specific.

Mentors are no longer the gate-keepers of knowledge — instead, they serve as anchors. Anchors help individuals develop judgment; discipline; and an appreciation for the responsibilities associated with performing tasks in their chosen profession.

At some point, what you know ceases to matter. What begins to matter is how well you utilize your knowledge. Learning how to utilize your knowledge most effectively remains a skill that is best learned from another individual who has carried similar responsibilities.

For me, it's both — but not in a strategic manner.

Visibility has to matter to me, first as an individual. I've spent enough time in spaces where I was the only person and you never really get rid of that feeling. Therefore, the intentionality is simply to make sure I'm not quietly becoming invisible by default. If I am in this space — if I am leading in it, creating in it, then I will make sure to bring awareness to that fact so that another generation can be able to come after me and know that yes, it is possible to be here — even though you may question your place in the space.

As well as that, I'm acutely aware that being visible is now viewed through a professional lens. And I'm fine with that. Not because I view it as a marketing strategy — although I do realize it sends a message. That message is clear: Where I stand; What I believe; and what type of environment I want to surround myself with. People who need to see that will see it. People who are going to question whether they fit will find other environments to spend time in. Honestly, that saves time too.

As far as barriers are concerned, I think most people focus on the overt ones. Those are certainly true barriers. However, I think the more subtle barrier — and one that I've observed — is how credibility is perceived.

I continue to see a quiet double standard as it pertains to how confidence and competency are evaluated. A certain amount of confidence and certainty is viewed much differently based upon who is exhibiting it. In the area of cyber security — an industry that is high stakes and heavily reliant on personal opinions — that difference matters greatly. It creates an inequality in terms of trust. Who receives the benefit of the doubt? Whose voice carries weight? Who is brought into the conversation about direction earlier than others?

Another thing is how many times a woman has had to prepare herself over-prepared before she steps into something. She does not do this because she doesn't possess ability — she does this because she knows that mistakes will be looked at more critically. So, she waits until she feels 100 percent prepared — while her colleagues are willing to step into something at 70 percent capacity and learn as they go along. As time goes by, that hesitation translates into lost visibility and fewer stretch opportunities.

None of these are typically stated explicitly. They are rarely written down anywhere — therefore it is easy for individuals to overlook them.

Therefore, when I look at my role within that context, it is not about having large discussions about making major statements — it is about how I choose to act each day. Acting directly. Making decisions. Stepping into places without feeling obligated to explain why. Also ensuring the people surrounding me do not feel they need to ask for permission in order to create their own space.

Ultimately, we're not there yet. However, I firmly believe that visibility — when it comes from actual action and a consistent effort — serves as a method of moving us toward that end state.

It was as though I could narrow all of this down to one thing. AI will certainly raise the floor for all of us; however, I do believe AI will highlight the differences between individuals.

As we move forward with our use of artificial intelligence, the general skill set for cyber security professionals will improve. What once required great amounts of manual efforts and/or a professional's expertise will now be accomplished much faster and easier. This is positive; however, it makes it evident who truly understands their data and who is simply relying on the output provided by the tool.

I am confident that during the next decade, the role of many of today's Cyber Security Professionals will transition significantly from "doing" the work to "overseeing," "interpreting," and taking ownership of the results of the work. AI will produce alerts, provide recommendations for action, and possibly even perform responses -- but someone will have to determine which items are relevant, and which are nothing more than white noise. In addition, someone will need to evaluate the secondary effects of their decision(s). These tasks won't disappear -- they'll become much more critical.

Therefore, while AI may continue to enhance the quality of the signal produced and the timeliness of its production, human judgment will remain an unyielding necessity. However, if you cannot effectively operate within that layer, then regardless of how advanced your tools become, you're likely to find yourself struggling.

I've been concerned regarding several issues related to the increased usage of artificial intelligence in Cyber Security. One area that I believe has received inadequate discussion is how rapidly many Cyber Security professionals are becoming accustomed to accepting AI outputs without first thoroughly evaluating potential failures within those outputs.

This is not occurring obviously. It's occurring quietly. When something appears acceptable, it often receives acceptance. Additionally, when models exhibit performance within acceptable boundaries for most of the time, it causes edge cases to receive less scrutiny. Ultimately, this creates an almost imperceptible reliance upon these systems such that although the human continues to make decisions based upon written documentation, in reality, he/she is merely validating the suggestions previously generated by the system.

In Cyber Security, threats typically do not exist in the average case; rather they reside in the edge cases. The second major area of concern that I believe has not received adequate consideration is how AI is changing the attack surface itself. While there is a plethora of press coverage surrounding deep fakes and AI-driven phishing campaigns -- which represent the headlining aspects of AI-based attacks -- I believe that there are other areas of concern. For example, AI enables attackers to probe systems in ways that were never possible before; it enables them to learn behaviors that would normally take months/years to acquire; and it enables them to develop and implement adaptive attacks at rates that were heretofore unimaginable. As such, we are entering a new paradigm wherein defense systems must respond to not only automation but also adaption. Furthermore, I do not believe that most organizations have sufficient structure in place to support this type of environment.

However, both of these concerns boil down to the same underlying issue: over-reliance on technology with insufficient knowledge or understanding.

To date, each of these aspects of my career has allowed me to address portions of this same underlying theme. Through my research, I'm able to maintain a perspective on how these systems functionally behave -- specifically the limitations of these systems as well as trade-offs associated with each limitation as well as identifying areas in which these systems fail. My involvement with the company allows me to address what occurs when these limitations manifest themselves in the actual world. Finally, through my podcasting activities, I'm able to share perspectives on how the overall industry is impacting those attempting to establish careers within it.

Ultimately, it's further reinforced that the tools will continue to evolve at incredible speeds. Whether those utilizing these tools will be able to progress at similar rates or become increasingly comfortable allowing the tools to make decisions on their behalf is not as certain.

It is in this "gap" between utilization and development that I believe most risks will exist.

When I am looking as far ahead as possible — it is not necessarily selecting an item from your list and stating "this will be the end result."

The true focus should be on what will stick with everyone once every other item fades away.

Yes, success of the organization does matter. Creating a viable entity that provides value to others and creates long-term viability is very important. The research itself also is vital — specifically if the results add some substance to how people view both AI and Security. People are also important -- possibly more so than most would guess — understanding my potential influence over how someone makes choices, operates their day-to-day activities, and represents themselves.

That being said, I believe the piece that truly mattered was whether or not the manner in which I chose to approach these issues stuck with people. My views on risk management, decision-making and accountability — if those principles remain with others who follow in my footsteps, even after I am no longer there — then that is greater than any one singular accomplishment or job description/position.

Companies change. Research evolves. Mentoring continues well past what one can visually witness. However, how individuals view the world — how they represent themselves — this is what remains.

I personally do not separate the various roles I have accepted. The company, the Doctorate, mentoring, and hosting a podcast are all avenues for me to pursue the same thought processes and disseminate information into the world. In time, I find myself more concerned with what I have contributed rather than what I created.

In short — I could encapsulate my thoughts in one sentence as follows:

You may not need to decide between moving quickly, thinking at depth, and accepting responsibility for actions — you may accomplish all three, but you first need to be prepared to accept the burden associated with each.