27/99 – Cybersecurity w dobie AI. Szanse i zagrożenia. Czy możemy czuć się bezpiecznie? Paula Januszkiewicz, cqure

W dzisiejszym odcinku podcastu 99 Twarzy AI mam przyjemność rozmawiać z Paulą Januszkiewicz, ekspertką ds. cyberbezpieczeństwa i założycielką firmy cqure. Paula to prawdziwa pasjonatka komputerów, która swoją przygodę z informatyką zaczęła już jako dziecko. Dzięki wykształceniu w zakresie informatyki oraz ukończeniu Harvard Business School, połączyła wiedzę techniczną z umiejętnościami biznesowymi, co pozwala jej na skuteczne działanie w dziedzinie bezpieczeństwa komputerowego.

Cybersecurity i #AI

Cyberbezpieczeństwo to temat niezwykle aktualny, szczególnie w kontekście dynamicznego rozwoju technologii AI. Rozwiązania oparte na AI, choć oferują wiele korzyści, mogą również stanowić zagrożenie. Badania pokazują, że technologia AI jest coraz częściej wykorzystywana zarówno do ochrony, jak i do przeprowadzania ataków cybernetycznych.

O czym rozmawiamy?

O roli empatii w cyberbezpieczeństwie

  • Paula zauważa, że osoby związane z cyberbezpieczeństwem często są postrzegane jako pozbawione emocji.
  • Empatia i zrozumienie drugiej strony jako kluczowe elementy w zapewnianiu bezpieczeństwa.
  • Współpraca z innymi ludźmi i zdolność do rozumienia ich potrzeb.

O współpracy w dynamicznym świecie technologii

  • Znaczenie bycia na bieżąco z nowinkami w dziedzinie cyberbezpieczeństwa.
  • Korzystanie z wieloskładnikowego uwierzytelniania i menedżerów haseł.
  • Rekomendacje dotyczące oprogramowania antywirusowego i narzędzi wykrywających zagrożenia.
  • Jak technologia i rozwój AI mogą wpłynąć na rynek pracy w cyberbezpieczeństwie.
  • Konieczność elastyczności i ciągłego uczenia się.

O pragmatycznym podejściu do strachu

  • Paula podkreśla, że strach często wynika z niewiedzy.
  • Wiedza i przygotowanie jako narzędzia do zmniejszenia uczucia strachu i niepewności.
  • Strach jest stratą czasu, dlatego warto skupić się na zdobywaniu wiedzy i podejmowaniu rozważnych decyzji.

O ciemnej stronie mocy AI

  • Zagrożenia związane z wykorzystaniem AI do manipulacji, takich jak modyfikowane zdjęcia na Instagramie.
  • Istnienie narzędzi, które mogą negatywnie wpływać na życie codzienne, w tym czaty GPT ciemnej strony mocy.

Posłuchaj podcastu i podziel się nim!

Tradycyjnie wielka prośba – jeżeli jeszcze nie wystawiłaś lub nie wystawiłeś oceny 99 Twarzom AI na Spotify lub Apple podcast – pomóż mi proszę z dotarciem do nowych słuchaczy. To zabierze Ci tylko 2 minuty.  Z góry serdeczne dzięki!

Dobrego dnia i niech #AI będzie z Wami wszystkimi!

Galeria

Zdjęcia: Mariusz Fijka

Transkrypcja rozmowy

Disclaimer. Droga Czytelniczko, Drogi Czytelniku – mała uwaga dotycząca transkrypcji rozmowy. Jak się pewnie domyślasz – transkrypcja została przygotowana z wykorzystaniem magii LLM. Proszę o wyrozumiałość, gdyby pojawiły się w niej niewielkie błędy, literówki, etc. Żeby mieć pewność co do wszystkich wypowiedzi – polecam posłuchać, zamiast czytać. Ukłony.

Karol Stryja: Paula, witam cię serdecznie, kolejna twarz AI. Jak to się stało, że zajmujesz się tym, czym się zajmujesz?

Paula Januszkiewicz: Długa historia, natomiast myślę, że warto tutaj zacząć od tego, że zawsze pasjonowały mnie, fascynowały mnie komputery i mam też taki mindset, że lubię wiedzieć, więc jeżeli połączysz te dwa aspekty, rodzi się z tego cyberbezpieczeństwo. Może trochę to uprościłam natomiast… Ogólnie rzecz biorąc, zawsze się tym interesowałam, miałam też w szkole profil matematyczno-informatyczny, studia też takie same, więc ogólnie zawsze to IT i IT security było w zasadzie od początku, myślę, że można powiedzieć. Na początku jeszcze nie wiedziałam, że to w ogóle istnieje, natomiast samo bezpieczeństwo zawsze mnie interesowało, nawet dziecko mając pierwszy komputer.

Karol: Okej, ale studia informatyczne?

Paula: Studia informatyczne, jeszcze do tego sobie zrobiłam Harvard Business School, czyli takie typowe studia biznesowe. To się nazywa GMP, General Management Program, to jest taki program dla executives i ja poszłam dla niego dlatego, już mając firmę kilkanaście lat. po to właśnie, żeby zrozumieć przede wszystkim jak działa biznes i kto jest moim rozmówcą po tej drugiej stronie, bo czułam po prostu rozmawiając z biznesowymi klientami, że sama w sobie gdzieś tam mogłabym pewne rzeczy zrobić lepiej, że mam braki, więc stwierdziłam, że sobie to douzupełnię i wydaje mi się, że to był w sumie dosyć dobry wybór.

Karol: Ale zaczynałaś od pracy w Microsoft’cie.

Paula: Nie, w ogóle nie pracowałam nigdy w Microsoft’cie.

Karol: O, naprawdę? Tak. Bo widziałem, że byłaś MVP.

Paula: Jestem cały czas MVP, właśnie, ale to jest taka rola dla osób, które właśnie nie pracują. W sensie nazywa się Microsoft Most Valuable Professional, tak samo jestem Microsoft Regional Director, czyli Regionalny Dyrektor Microsoftu, to by się tak przetłumaczyło, niemniej jednak jest to honorowa rola dla osób, które są spoza Microsoftu.

Karol: To chyba dlatego źle to zrozumiałem, bo połączyłem to z faktem, że posiadasz dostęp do kodu źródłowego Windowsa.

Paula: I to też wynika właśnie z tego bycia na zewnątrz. No dobrze.

Karol: A jak zaczęła się twoja przygoda z AI? Pamiętasz ten moment?

Paula: Ogólnie AI jest czymś, z czego korzystamy teraz, można powiedzieć, na co dzień. Więc jeżeli chodzi o całą kwestię AI-ową, no to my korzystamy z różnego rodzaju rozwiązań właśnie takich security’owych, jak to ja czasami nazywam. które wykorzystują AI do analizy, interpretacji, więc AI generalnie jest pod spodem. Więc szczerze, nie pamiętam, ale raczej pamiętam takie zmiany.

Karol: Czyli na pewno to było wcześniej niż listopad 2022 roku.

Paula: Myślę, że tak.

Karol: Trochę się uśmiecham, bo jest w Polsce, zresztą nie tylko w Polsce, w Europie, w Stanach, mnóstwo ekspertów, którzy urodzili się w listopadzie 2022 roku, kiedy światło dzienne ujrzał ChatGPT.

Paula: A no tak, tak, tak, do tego zmierzasz. Ja wiem, tak, oczywiście, dużo tutaj jest oczywiście ciekawych, kontrowersyjnych, można powiedzieć, sytuacji w branży, ale ogólnie tak, to był jakby ten moment. Ja też na to patrzę bardziej tak z punktu widzenia takiego użytkowego, ale też w jaki sposób AI może na przykład potencjalnie stanowić zagrożenie nawet i dla naszych klientów. czyli AI w rękach hackerów, do czego pod niego to może doprowadzić i w jaki sposób może przekonać człowieka po tej drugiej stronie, że coś należy zrobić, czegoś nie należy robić, bądź też na przykład w jaki sposób wspierać, załóżmy, tworzenie złośliwego oprogramowania, sprawić, że będzie to szybsze, dynamiczne. prostsze przede wszystkim, ale też i na przykład w kontekście ataków na różnego rodzaju organizacje na większą skalę i automatyzację tych ataków. Przede wszystkim wykonywanie ich w sposób, nazwijmy to, bardziej inteligentny.

Karol: Do tego jeszcze przejdziemy, ale gdybym mógł cię poprosić też o opisanie tego, czym tak naprawdę zajmujesz się w pracy z twoimi klientami obecnie. Jakie są główne obszary, które mogłabyś zdefiniować?

Paula: Jasne. Tutaj jest oczywiście kilka obszarów. Przede wszystkim zarządzam firmą, więc to jest jeden podstawowy, ale również nie opuszczam absolutnie w ogóle technologii, więc zajmuję się przeprowadzeniem pentestów, czyli legalnym wyłamywaniem się do sieci klientów. Na tym wyrosłam. I jakby ciężko mi to jest porzucić, bo jest to ekscytujące, czasami nudne, ale… Widząc twój błysk wokół, chyba cały czas się bawię. No tak, tak, tak, no bo to jest zabawa, za którą pozwolę sobie to bardzo skrótowo ująć, ktoś mimo wszystko płaci, jakby twoim zadaniem jest dowiedzenie się jak wyglądają ścieżki dostępu do infrastruktury klienta, więc jest to taka typowo praca koncepcyjna w połączeniu z odpowiednimi narzędziami, umiejętnościami, zrozumieniem kontekstów i jednak mimo wszystko legalnie się gdzieś włamujesz, więc no jest to po prostu fajna praca. Ale też, szczerze powiedziawszy, wiele jest takich sytuacji, kiedy sposób włamania jest po prostu powtarzalny, więc jednak mimo wszystko parę lat temu stwierdziłam, że trochę chcę wejść głębiej w tak zwany incident response, czyli opowiadanie na incydenty klientom, czyli jeżeli klient jest zhakowany, no to generalnie ja lubię wchodzić w takie sytuacje, jest adrenalina, dużo szybkich decyzji, dużo decyzji, które powinny być podejmowane mądrze, mnie to ogólnie kręci i bardzo lubię pomagać, więc też i taki incident response jest naprawdę krytyczny i wtedy jest dobra, potrzebna osoba, zaufana, przede wszystkim mająca wiedzę, rozumiejąca, co się dzieje, rozumiejąca też tą stronę biznesową i na koniec właśnie gdzieś tam działam i wspomagam właśnie w odtwarzaniu, rozumieniu, jak ten atak zadziałał, a też być może znalezieniu hakera, jeżeli ten atak właśnie trwa.

Karol: Słyszałem też o case’ach, o których wspominałaś, gdzie pojawiał się atak, a potem żądanie okupu.

Paula: Tak, tak. To takich case’ów było bardzo dużo, szczerze powiedziawszy. I zawsze to są takie smutne historie, bo czasami jeżeli faktycznie ten okup pojawia się tam i ktoś go naprawdę rozważa, to mamy tutaj też do czynienia z sytuacją, że ktoś nie ma możliwości odtworzenia. I albo tego nie zrobi i poradzi sobie własnymi siłami, albo to zrobi i tak naprawdę jest jakaś tam… loteria pod spodem, czy będzie w stanie te dane uzyskać z powrotem, czy nie, czy de facto nawet nie tyle dane, co po prostu klucz deszyfrujący, pozwalający na uzyskanie dostępu do danych w efekcie, ale czasami też były takie case, że faktycznie ktoś, jakiś klient zapłacił i został deszyfrator, który po prostu nie działał, więc jest to absolutnie dużo pieniędzy wydanych, typu na przykład pół miliona złotych, euro w tym przypadku i klient dostał taki deszyfrator, on nie działał, a my będąc też w tej sytuacji, stwierdziliśmy, że no, jak to nie działa, tak, co, co, jak w ogóle jest możliwe, że coś nie działa? Zrozummymy to i po prostu ja się też zajmowałam tym, żeby wraz z innym członkiem zespołu po prostu sprawić, żeby ten deszyfrator zadziałał, no i zadziałał, więc jakby pieniądze nie były wydane na marne, aczkolwiek ogólnie smutna i bardzo kosztowna historia.

Karol: Coś jeszcze, jeżeli chodzi o obszary, w których działasz?

Paula: Tak, incident response, forensic, to jest połączone, dokładnie to drugie. Jeszcze oczywiście jest kwestia edukacji. Też my mamy w zespole Secure Academy, czyli jakby od wielu lat taką akademię edukacyjną, gdzie po prostu mamy bardzo dużo mega praktycznych szkoleń. I to jest jakby super istotne, bo zawsze się dobrze bawimy na tych szkoleniach razem z naszymi klientami.

Te szkolenia są otwarte i też zamknięte, ale przede wszystkim są praktyczne i mamy ich ponad 40. I ja oczywiście też jestem instruktorem w Secure Academy, bo sama gdzieś tam na samym początku to stworzyłam, więc ogólnie rozszerzyliśmy to bardzo mocno, a założenie było takie, żeby edukować ludzi, klientów, ale ogólnie ludzi, w tematach, które widzieliśmy, że w czasie pentestów po prostu kuleją. I na przykład są jakieś obszary infrastruktury, które nie do końca są dobrze zabezpieczone i to jest na przykład notoryczny problem. Widzimy to zbyt często, żeby to był jakiś tam powiedzmy przypadek. I po prostu gdzieś tam ta edukacja ogólna nasza w przyszłości niekoniecznie poszła w tym kierunku, więc widzimy, że na przykład ten błąd pojawia się bardzo często u większości klientów. No to na przykład na szkoleniu mówimy, że okej, ten błąd nie powinien się w ogóle pojawiać, a są takie konsekwencje tego błędu i tak dalej, i tak dalej, więc dużo tego.

Karol: A jest określona branża, w której pracujesz z największą ilością klientów, czy to jest, wiesz, cały przekrój, jeżeli chodzi o rynek?

Paula: Cały przekrój, dosłownie cały przekrój. Jakby o ile jesteśmy w stanie użyczyć swoich usług i umiejętności, żeby dany problem rozwiązać, to jak najbardziej ta branża wchodzi w grę.

Karol: I to nie tylko wszystkie branże, ale również wszystkie zakątki na świecie, ponieważ macie biura nie tylko w Polsce.

Paula: Zgadza się, mamy biura nie tylko w Polsce i ogólnie nasz zespół bardzo dużo podróżuje, także każdego tygodnia tak naprawdę są jakieś podróże, nawet w tym tygodniu, w którym się spotykamy, jutro również zaczyna się moja podróż, wracam, kolejnego tygodnia również się zaczyna podróż, więc trochę to tak wygląda i wyglądało. No i cóż, jakby cyberbezpieczeństwo nie zna granic.

Karol: No dobrze, a zastosowanie jej w cybersec’u, jak to wygląda?

Paula: Przede wszystkim w tym pozytywnym znaczeniu. Interesują mnie obie strony. Oczywiście, oczywiście, to zaraz powiem tą gorszą, ale ta lepsza, czyli zmierzająca ku zabezpieczeniu, bardzo często sprowadza się do tego, że jesteśmy w stanie, zaczynając od możliwości rozpoznawania zagrożeń, czyli takie intelligence threat detection, czyli generalnie korelacja zdarzeń i m.in. interpretowanie tego, co się wydarzyło.

Karol: Czyli trochę tak samo jak interpretacja w badaniach rynekarnowskich w przypadku zdrowia ludzi, tak AI może nam pomóc w przypadku interpretacji sytuacji, które mogą potencjalnie stanowić zagrożenie dla organizacji.

Paula: Tak, ale też mapując być może na te takie kwestie zdrowotne, tutaj jeżeli na przykład ktoś analizuje powiedzmy nasz mózg i wszelkie sygnały z niego płynące, ale też na przykład jest spotkanie z lekarzem, jest spotkanie z jakimiś innymi postaciami, które na przykład byłyby w stanie określić poziom naszego well-being i naszego zdrowia, no to to jest bardzo podobna, dobrze zmapowana sytuacja w kontekście cyberbezpieczeństwa, że też mamy infrastrukturę, która też wymaga zdrowia i też wymaga dobrego podejścia i też łączenie kropek tutaj ma znaczenie, ale też w ogóle takie rozumienie przede wszystkim tego, co się dzieje, więc AI wnosi ten dobry czynnik właśnie tych korelacji. I to jest coś, co jest dobrze widziane, bo bardzo często jest tak, że AI też właśnie w kontekście wygrywania zagrożeń adresuje problem tego tak zwanego skills gap, czyli ogólnie problemu umiejętności ludzi w cybersec, ale też ogólnie ludzi w IT, że faktycznie do tych takich cięższych zadań jest mniej osób. No to jest logiczne, nie tylko w IT, ale ogólnie wszędzie. Więc jeżeli na przykład mamy dobrego chirurga i on jest fantastyczny i mamy super skomplikowany jakiś case, no to ten chirurg będzie podróżował do danego szpitala skądś tam, tak? I to jest podobnie jak w kontekście wykrywania zagrożeń. Mamy tutaj sytuację, kiedy mamy na przykład kilka takich sygnałów, które docierają, które po połączeniu sprawiają, że to jest interpretowane jako atak, ale zrozumienie tych kilku, kilkunastu, kilkudziesięciu sygnałów w jednym momencie, no jakby przez człowieka już raczej nie jest możliwe. A jeśli tak, to zajmie dużo czasu.

Karol: Czyli trochę takie prognozowanie pogody.

Paula: Trochę tak, z większą skutecznością. Chociaż mam nadzieję, że prognozowanie pogody AI też nastąpi i będziemy w stanie lepiej się przygotować z tym parasolem.

Karol: Jakie jeszcze obszary są związane z AI, jeżeli chodzi o cybersec?

Paula: Przede wszystkim interpretacja wyników.

Karol: I teraz jakby mając do dyspozycji… Prośba taka, gdybyśmy mogli trochę wejść w szczegóły, ale starać się opowiadać je trochę tak, jak zawsze podkreślam, siedmiolatkowi. Mówiąc obrazami, językiem zrozumiałym dla osób, które być może nie siedzą w cyberseku, a są ciekawe tego, czym się zajmujesz i jakie wpływy AI ma na obszary, którymi się zajmujesz właśnie.

Paula: Dobra, przede wszystkim też i dodatkowym takim ciekawym obszarem jest korelacja zdarzeń, czyli mimo wszystko, jeżeli mamy wyniki w cyber security z jakiegoś jednego serwera, miejsca, rozwiązania, to możemy zadać na przykład właśnie rozwiązaniu typu co-pilot, bo teraz jakby to jest bardzo, bardzo na czasie, pytanie, gdzie na przykład pokaż mi, jakie osoby logowały się od takiej daty do takiej daty na takim serwerze, enter.

Karol: Mówisz o Copilocie, którego mamy w Microsoft Office 365?

Paula: Tak, ale też w security. Właśnie to jakby nie jest otwarte rozwiązanie na pewno, ale generalnie rzecz biorąc to jest właśnie możliwość zadawania pytania właśnie w kontekście konkretnych obszarów, czyli właśnie cyberbezpieczeństwa. I na przykład pytanie tego typu, albo na przykład pokaż mi wszystkie procesy, które mają określony na przykład checksum w kontekście execa, który gdzieś tam pod spodem się kryje na przykład i został uruchomiony w takim trybie na przykład przez użytkownika takiego typu. No i ogólnie możemy sobie na przykład napisać query, czyli zapytanie, które sprawiłoby, że tego typu informacje gdzieś tam zdobędziemy. Niemniej jednak rolą takich rozwiązań jest bardziej mapowanie tego, co my chcemy, na to, co jest możliwe do osiągnięcia. I bez co-pilota, właśnie w security i bez ogólnie AI na przykład, jesteśmy w stanie oczywiście osiągnąć ten rezultat, ale po prostu dłużej, bo głowa nasza też i pracuje tak, że okej, mamy jakąś tam drogę do przebycia, ale mamy tak naprawdę cel. I ten cel jest dla nas istotny. I jak my tam dotrzemy, jak my to zrobimy, możemy samolotem, samochodem, ale też możemy oczywiście budować jakieś zapytania, zbierać, zastanawiać się, jakie informacje. A AI to jest taka trochę podróż w czasie, czyli w kontekście właśnie co-pilota. Mówisz, że chcesz to i to się spawnuje.

Karol: Czy zatem odnoszę dobre wrażenie, że tu jest podobnie jak z programowaniem, że tak jak ChatGPT, jak Copilot usprawniają prace programistyczne, tak mogą usprawnić prace administracyjne, mapowanie procesów, wydarzeń, zdarzeń również w Cybersec’u.

Paula: Zdecydowanie. Właśnie to jest jakby główne zastosowanie Copilota właśnie w security, czyli tego security Copilota, żeby mieć cel, na przykład jest człowiek, on ma wiedzę, On ma wiedzę na przykład na podstawie jakichś symptomów, które widzi, że on by chciał po prostu skorelować sobie kilka zdarzeń. I oczywiście może mieć całą siatkę rozwiązań, która już tam jest, natomiast o to rozwiązanie też trzeba zapytać. Więc człowiek po prostu mówi, pokaż mi to i to i to, skoreluj to z tym, pokaż mi to w takiej formie i tak dalej. I jakby można znowu, tak jak powiedziałam, tą drogę przebywać samemu. I to nie jest tak, że to wcześniej nie było możliwe, chociaż powiedzmy, że pięć lat temu niekoniecznie było możliwe.

Karol: Było możliwe pod warunkiem, że miałeś telefon do Cqure’a.

Paula: Na przykład. No to zawsze chętnie oczywiście pomożemy. Ale ogólnie też, żeby być tutaj w porządku, to wszystko bazuje na informacjach, które zbieramy bądź nie. Więc jeżeli zbieramy dany typ informacji, no to będziemy w stanie z tych informacji wyciągnąć informacje, takie, które są nam potrzebne. I niestety duża część organizacji, właśnie w kontekście też i incydentów, szczerze powiedziawszy, ma problem z tym, że jak ten incydent się zdarza, to rzadko jesteśmy w stanie wyciągnąć pełen komplet informacji na podstawie całej infrastruktury bez poświęcenia temu ogromnej ilości czasu. I niestety jakby… Można wykonywać analizy i oczywiście, jakby cały czas się tym zajmujemy, to trwa tylko i tak sobie myślę, że fajnie byłoby, jak sobie tak człowiek usiądzie i wyobrazi i ma ten dysk do przeanalizowania, bo na przykład się okazało, że ktoś gdzieś tam ukradł dane i musimy się przeanalizować. na co tym pochylić, bo mamy teraz taki projekt na przykład, który się właśnie realizuje, więc się zastanawiamy w takim razie, okej, ja muszę zadać takie query, ja muszę zbudować taki skrypt, ja muszę zadać takie pytanie gdzieś tam, wyciągnąć takie dane, skorelować je z czymś tam, przekonwertować je, żeby one były dla mnie dostępne w formie ludzko czytelnej i żebym też mogła sobie je w jakiś sposób parsować. przefiltrowywać, budować na podstawie tego jakieś wnioski, no to to są takie rzeczy, które nasze głowy wiedzą, że to trzeba, ale czy generalnie znają w pełni tą drogę, czy ta droga jest optymalizowana, czy na przykład można to zrobić szybciej, to są dokładnie takie pytania, które zadajemy i na przykład to samo jest w kontekście diety chociażby. Czyli na przykład przy moich parametrach, powiedzmy jakieś tam miary, ale też ile śpię i jak funkcjonuję i czym się w ogóle zajmuję i co lubię, a czego nie i być może są jeszcze jakieś alergie, a być może mój organizm lubi więcej białka niż węglowodanów, no to mówimy, ok, zbuduj mi taką dietę, żeby była najlepsza.

Karol: A tutaj mamy to szczęście, że danych jest mnóstwo, jeżeli chodzi o zdarzenia, jeżeli chodzi o rozwiązania, narzędzia, algorytmy i całą resztę.

Paula: Zdecydowanie. I właśnie wszystko rozchodzi się o te dane. I ogólnie rzecz biorąc, też jest to takie bardzo ciekawe, filozoficzne, albo być może w przyszłości zagadnienie, że my mimo wszystko jesteśmy otoczeni różnego rodzaju danymi, również danymi osobie. Więc w jaki sposób to wpływa na ogólne nasze funkcjonowanie w społeczeństwie, chociażby to, w co klikamy i na przykład w jaki sposób są targetowane do nas reklamy. No teraz no to wiadomo, tam na podstawie na przykład jakichś cookiesów i tak dalej, ale na przykład już też to też jest absolutnie miejsce do popisu, żeby reklama, którą dostaję była taka, że ja mi się nie mogę jej oprzeć. Szczerze powiedziawszy, widzę w tym pewną zaletę, żeby nie było. że mimo wszystko jako użytkownik internetu z tej drugiej strony fajnie jest mieć rzeczy, które są do nas dopasowane. Inni by powiedzieli, no ale ja nie chcę, żeby ktoś wiedział, co ja lubię, ja chcę podejmować sam te wybory. No i tu jest oczywiście niekończąca się debata, czy lepiej samemu, czy lepiej, żeby ktoś podsunął, ale lepsze.

Karol: Jestem zdecydowanie w tej pierwszej grupie.

Paula: Ja jestem jedną nogą w tej, drugiej w tej, czyli jak zwykle w tych obszarach ciężko mi się zdecydować. Na koniec też jesteśmy konsumentami i lubię po prostu wiedzieć, że mogę lepiej i chciałabym ogólnie lepiej, więc to też jest mój taki mindset może. Że po prostu ja bardzo, bardzo lubię nowości, lubię gadżety, lubię się nimi otaczać, różnymi, po prostu lubię testować różne rzeczy, jak są jakieś startupy, które wprowadzają na rynek nowe produkty, lubię je wspierać i lubię po prostu też korzystać z owoców jakichś przemyśleń po tej drugiej stronie, bo te przemyślenia bazują na tym, czego jeszcze nie było i co jest potrzebne dla dzisiejszych czasów. No i wiadomo, jakby często też nie mamy czasu skupić się na tym, co jest dla nas dobre.

Karol: To mamy tą jasną stronę, jak wygląda ciemna strona mocy, jeżeli chodzi o przygotowanie ataków.

Paula: Tym na stronę mocy wygląda tak i może najpierw zacznę od takiego przykładu z Waszej historii, że jak robimy na przykład projekty redteamingowe, czyli takie projekty typowo, ja to nazywam romantyczny typ projektu, czyli na przykład musimy się wcielić typowo w rolę grupy jakiejś tam hakersko-przystępczej powiedzmy i no w sumie tak i generalnie celem naszym jest dostanie się do infrastruktury klienta, ale nie tak, że mamy tydzień, czyli klasyczne pentesty, tylko na przykład Mamy rok. I jak sobie rozplanujemy tę ilość dni, jak sobie zarządzimy tym projektem, no to już jest nasze dział. No i czasami po prostu spotykamy się z tym zespołem wtajemniczonym, raportujemy jaki jest status. Czy ewentualnie coś można, czegoś nie można, no bo wiadomo, że nie wszyscy tutaj muszą chcieć być atakowani. No i jednak ta polityka czasami gdzieś wchodzi.

No ale to jest jakby zdrowy rozsądek. Tak czy tak, wracając do historii, naszym zadaniem jest na przykład napisanie malwareu, który będzie po prostu dobrze grał, nie będzie rozpoznawany przez klienta rozwiązanie antywirusowe, antymalware’owe czy jakieś tam inne. Generalnie będzie to jakiś kawałek kodu, który jest niewykrywalny. I to w dzisiejszych czasach, powiem ci szczerze, jest bardzo trudne ogólnie. Więc ogólnie, jeżeli na przykład taki, można sobie napisać taki jeden typ, no dobra, no ale jeżeli na przykład takich projektów mamy powiedzmy w roku 20 i na przykład jeżeli faktycznie jest tak, że te mechanizmy, które napisaliśmy już gdzieś tam zostały sklasyfikowane, zidentyfikowane i tak dalej, jakby wszyscy się rozwijają, dobre i złe strony też. Więc ogólnie to jest takie trochę męczące, bo po prostu trzeba się naprawdę namęczyć, żeby napisać coś, co nie jest wygrywane.

No tak czy tak. Raczej znamy te kierunki, wiemy mniej więcej w jaki sposób to robić i teraz jest malware, który gdzieś tam był dla naszego projektu, no i po tej drugiej stronie miał być napisany portal przez osobę też biorącą udział w projekcie, która miała tyle roboty, że po prostu trochę gdzieś tam się spóźniała z tym portalem. No i co się okazuje, portalu nie ma, nie ma, przez noc jest. No i pytam się w związku z tym, ten portal nie jest piękny, nie ukrywajmy, jest wręcz bardzo, bardzo niefajnie wyglądający, ale to nie ma znaczenia, bo działa.

Dla projektu, dla nas to jest w ogóle super. No i jak to się wydarzyło? No, skorzystałam z pomocy czatu GPT w kontekście tam napisania właśnie portalu, który odpowiadałby na złośliwe zapytania malwareu. No więc jakby to jest ta zła strona. Łatwość pisania złośliwego oprogramowania jest taka, że rzeczy się mogą zdarzyć overnight i generalnie następnego ranka budzisz się i masz tysiące tego typu oprogramowania.

Karol: A jak wygląda AI i wojna hybrydowa i to, co dzieje się w kontekście teraz zagrożeń wojennych, działań wojennych?

Paula: Wszystko też się skupia na zbieraniu informacji. To takie ogólne ujęcie może. Po prostu im więcej wiemy, tym jesteśmy pewniejsi, tym jesteśmy w stanie podejmować lepsze decyzje, które bazują na faktach i na dostatecznej ilości tych czynników, które gdzieś tam potencjalnie mogą być losowe i generalnie to jest to, więc im więcej generalnie jesteśmy w stanie wiedzieć rzeczy, tym lepiej, no i im w stanie jesteśmy bardziej zasilić potencjalnie jakiś silnik, który wspomagałby nasze decyzje, mimo wszystko, tym lepiej. Oczywiście to jakby to są poważne tematy, więc w zakresie tego, że jest to po prostu raczej dla nas przedstawione jako sugestia, aniżeli jako mechanizm decyzyjny, ale na pewno wspomagający nasze decyzje.

Karol: Bardzo ogólna odpowiedź.

Paula: Tak, taka.

Karol: A ja próbuję cię dopytać, czy mogłabyś opowiedzieć o jakichś przykładach, o sytuacjach, zdarzeniach, które właśnie wykorzystują technologie związane z AI, a mają miejsce w przypadku tych działań hybrydowych. Możemy o jakichś takich case studies opowiedzieć?

Paula: No jakby wszelkie, może niekoniecznie, ale wszelkie na przykład takie rzeczy właśnie związane z planowaniem celu i monitorowaniem działań. Czyli mamy bazę, która zbiera informacje związane właśnie z tym, w jaki sposób na przykład przemieszczają się osoby, Przykładowo oczywiście włoska wroga, więc ogólnie też nie chciałabym tutaj nikogo wprowadzać żaden błąd, ale ogólnie rzecz biorąc, jeżeli wyobrazimy sobie powiedzmy wyidealizowane działanie AI w takich obszarach, no to właśnie na mocy zebranych informacji po prostu gdzieś tam planujemy kolejne kroki. bo na przykład nasze głowy nie są w stanie wziąć pod uwagę wszystkich czynników, które sprawiłyby, że gdzieś tam człowiek po prostu osiągnie sukces, ale to też jakby to jest jedna strona medalu. Druga strona medalu jest, że druga strona konfliktu może mieć dokładnie takie same narzędzia, zbliżone narzędzia i też faktycznie z nich korzystać, więc jakby to zawsze jest i będzie wyścig, kto może więcej, kto da więcej, bo to są technologie, które kosztują więcej, I na koniec ja zawsze lubię mówić, że jeżeli faktycznie cały internet jest nagle przeciwko nam, to przed takim DDoS-em ciężko będzie nam się obronić. Więc wszystko to jest kwestia po prostu funduszy, czasu, wiedzy jako narzędzi połączonych.

Karol: A tak jak w przypadku, wiesz, mamy elektrowię i coś się może wydarzyć z elektrowią, może być nalot, bomba, uszkodzenie, wiesz, infrastruktury całej technicznej, to co złego może stać się z technologią, z dostępem do sieci, z samą siecią, z jej funkcjonowaniem?

Paula: Zależy, ok, chyba wiem do czego zmierzasz, ale ogólnie zależy też o jakiej sieci mówimy.

Karol: Publicznej.

Paula: No właśnie, więc jeżeli mamy taką sytuację, no to wiadomo, są pewnego rodzaju ośrodki backupowe, które będą w stanie zapewnić nam odpowiedni sygnał, natomiast to są takie sytuacje, że łączność przy tym najgorszym i jeszcze gorszym przypadku może gdzieś tam mimo wszystko zniknąć. Mamy do dyspozycji na przykład telefony satelitarne, Więc ja akurat mam dwa takie telefony do dyspozycji i to też jest coś, co fajnie działa, tylko ogólnie w dzisiejszych czasach jest dosyć drogie, bo to nie są popularne rozwiązania, ale ogólnie bardzo fajnie działające w różnych sytuacjach.

Karol: Czyli to wszystko kwestia zasobności portfela?

Paula: Tak, zdecydowanie. Na przykład, już jakby też nie chciałam mówić firm, ale są takie różnego rodzaju właśnie firmy, które produkują, zresztą prosto jest to znaleźć, telefony satelitarne, chociażby, znany nam wszystkim, może też tak nie uszczegółowiając, Garmin, w kontekście nawigacji, tak? No to generalnie jest dostępna nawigacja, to jest taka ogólnie fajna, kolorowa, z takim ekranem też. która pozwala na również włożenie karty SIM jako telefon satelitarny po prostu. I tam się kupuje jednostki i te jednostki się konwertują na na przykład smsy, minutki, jak w starych czasach.

Karol: Odnoszę wrażenie w takim razie, że tak naprawdę bez względu na to, co dzieje się w technologii, to jesteście zawsze w takiej samej sytuacji, bo szybciej będziemy mogli diagnozować przypadki zagrożeń, ale tych przypadków będzie więcej. Rozwój technologii działa i po jasnej, i po ciemnej stronie mocy.

Paula: Tak, zdecydowanie, ale też, wiesz, widzę pewien tutaj dysonans związany z tym per kto, bo na przykład, jeżeli na przykład mamy firmę, która powiedzmy dobrze inwestuje w rozwiązania, tak ogólnie ujmijmy i te rozwiązania przekładają się na efektowność na koniec, natomiast generalnie firma działa sprawnie i sprawnie identyfikuje te zagrożenia, no to jakby co tutaj możemy zrobić? Więc ktoś powie, dobra, to ja wybieram w takim razie inny cel. Gdzieś te owoce wiszą niżej, więc idę sobie je zerwać tam. I ogólnie ktoś pójdzie i na przykład zaatakuje powiedzmy taką osobę, która zupełnie się mogłaby tego nie spodziewać, czyli kogoś na przykład z naszego bliskiego otoczenia, naszych znajomych, tak?

I jakby jakim… Jakie mają możliwości tacy ludzie, tak? Czyli takie standardowe mechanizmy obronne pod tytułem świadomość, pod tytułem znajomość w ogóle tych zagadnień, mimo wszystko trochę na jakimś tam poziomie lepszym bądź gorszym właśnie w kontekście cyberbezpieczeństwa. Poruszanie się w bezpiecznych obszarach, tak ogólnie też mówię, czyli nie wchodzenie na strony, których budzą nasze jakieś… wątpliwe emocje, do których mamy wątpliwości. Teraz można powiedzieć, ok, dobra, ale jak ja zidentyfikuję taką stronę?

Karol: Wróćmy oczywiście do tematu świadomości w takim razie. Na czym polega to wszystko?

Paula: Więc wiedza tutaj absolutnie jest istotna. Superbezpieczeństwo jest, było, ale przede wszystkim dzisiaj jest i na pewno będzie odpowiedzialnością naszych wszystkich. I my jesteśmy odpowiedzialni za swoje bezpieczeństwo w świecie, tak samo jak i naszych bliskich de facto. Więc ogólnie taka osoba na przykład niezabezpieczona Otworzy coś, zainstaluje jakieś oprogramowanie, zaszyfruje jej to dysk, będzie musiała zapłacić powiedzmy te tysiące, dwa tysiące euro, żeby odzyskać swoje dane, a może nie, a może nie zapłaci, a może zapłaci i nie odzyska. To jest jakby teraz nieważne. To, co jest ważne, to to, że to jest dokładnie motyw przewodni grup przestępczych teraz i te grupy całkiem sporo zarabiają pieniędzy, więc dlaczego nagle miałoby się zatrzymać? Tylko po prostu zmieni się target na te niżej wierzące owocki właśnie.

Karol: O, to ciekawe. Czyli mówisz, że tak naprawdę zagrożenie mogą być zwykli Kowalscy i zwykli użytkownicy.

Paula: I są.

Karol: Naprawdę?

Paula: No jasne. Jakby to jest właśnie, to jest modus operandi niektórych grup również. Tak typu właśnie zgłosić się do na przykład… jakiegoś takiego przeciętnego Kowalskiego, powiedzmy. Kowalski również może być nadprzeciętny.

Natomiast ogólnie gdzieś tam wysłać masywnie dużą ilość wiadomości, na przykład z wykorzystaniem jakiegoś omnichannelu, czyli na przykład i e-mail, i sms, i do kogoś zadzwonić nawet. No bo jakby oni walczą, to jest ich praca, oni walczą o swoje pieniądze. Nie wykonają tej pracy, nie dostaną pieniędzy. Więc jakby też i patrząc trochę z ich punktu widzenia, jeżeli oni przyjęli sobie taki plan działania, no to dlaczego mieliby tego nie robić? Tak, jest to nielegalne, tak, jest to nieuczciwe, nieetyczne, no ale tak na koniec końców, przepraszam za może takie kolektorialne odpisanie tego, ale kogo to obchodzi, skoro oni mają swój cel i muszą po prostu gdzieś tam zarobić na chleb?

Karol: To jak się zabezpieczać? Jak byś miała powiedzieć taki podstawowy setup zabezpieczenia Kowalskiego?

Paula: Dokładnie, więc jakby z jednej strony długa lista, ale też nie chciałabym nikogo zniechęcać, więc może powiedzmy, ta lista po prostu musi być przemyślana, a to, ile tam jest komponentów, to jest nieistotne. Przede wszystkim być na bieżąco z tym, co się dzieje. Czytać, interesować się, rozmawiać ze znajomymi. Jeżeli jest możliwość uczestniczenia w jakimś webinarze, być może darmowym, o cyberbezpieczeństwie, zapisać się czasem tu i tam, właśnie takim typowo świadomościowym. To jest jedno.

Drugie. Przede wszystkim zrozumieć, na czym polega problem, czyli jeżeli problem, mamy tutaj do dyspozycji kilka oczywiście opcji, jeżeli problem polega na naszych hasłach, nie zarządzamy nimi, nie używamy password managera typu kipas i tak dalej, laspas, jeżeli nie korzystamy z takich rozwiązań, no to jak zarządzamy tymi hasłami? Czy my je gdzieś pamiętamy, bo już nie mówię, że zapisujemy, bo mam nadzieję, że nie, ale pamiętamy, jeżeli pamiętamy, no to to jest nasz problem, bo często… Jest problemem pamiętanie tych długich, skomplikowanych haseł. One niech sobie będą długie i skomplikowane i silne, ale niech nie będą w naszej głowie, bo to rodzi łatwość, to rodzi powtarzalność, to rodzi ustępstwa, a nie możemy sobie na nie pozwolić. Więc ogólnie rzecz biorąc, na przykład jak ktoś ma hasło, nie wiem, password, a na koniec sobie dodaje słówko facebook, bo to jest do facebooka, a do linkedina doda sobie linkedin, no to jeżeli takie hasło w takiej postaci wycieknie, bo jakiś portal xyz źle zabezpieczony faktycznie będzie miał włam i te hasła wyciekają, to ktoś widzi naszego maila, widzi to hasło, widzi, że na końcu jest dodane xyz, no to sobie doda facebook gdzie indziej i potem ktoś mówi, że jego konto zostało zhakowane. No naprawdę, nikt nie hakuje tych kont, powiedzmy, znaczy to wszystko zależy od terminologii, ale w moich oczach to konto po prostu zostało zalogowane, więc ktoś po prostu sobie gdzieś tam przewidział to hasło, wziął, ono gdzieś wyciekło, ktoś nawet reużywał, więc jakby nie reużywać haseł, używać password managerów, tam korzystać i przede wszystkim… nie wyobrażam sobie życia bez tego, korzystać z multi-factor authentication, czyli wieloskładnikowego uwierzytelniania, potwierdzenie apką, potwierdzenie sms-em, no jak inaczej, no.

Karol: A software?

Paula: Jeżeli chodzi o software na workstacji, no to na pewno jakieś tutaj rozwiązanie takie raczej wszechstronniejsze bym powiedziała, jeżeli chodzi o kwestię wykrywania zagrożeń. No i tutaj byłoby oczywiście takie jakieś rozwiązanie antywirusowe, być może z jakimiś modułami, które zapobiegałyby uruchamianiu też oprogramowania, które nie znamy na podstawie jakiejś tam decyzji użytkownika. Ale też na przykład w Windowsie jest parę takich opcji wbudowanych już, które też pozwalają na włączenie na przykład niemożliwości zapisywania rzeczy gdzie indziej niż tylko i wyłącznie w moich dokumentach i tak dalej. Więc ogólnie jesteśmy na dzisiaj otoczeni takimi rozwiązaniami, tylko wydaje mi się, że kluczy do sukcesu tkwi w tym, żebyśmy sobie uświadomili, czego my tak naprawdę potrzebujemy. No i jeżeli też zrównamy to do takiej klasycznej listy, no to będzie dobrego zarządzania hasłami, dobrego oprogramowania wspierającego nasze potencjalne kliki, tak to nazwijmy, ale i też połączenie tego z ogromną świadomością, żebyśmy nie dzielili się niepotrzebnie danymi tam, gdzie nie trzeba po prostu.

Karol: No właśnie, a w kontekście dzielenia się danymi, czy jesteśmy tak naprawdę w stanie zachować swego rodzaju prywatność teraz w sieci?

Paula: ciężką prywatność w sieci , akceptując cookiesy na stronach.

Więc jakby nic nowego. Ale z drugiej strony zależy kto, gdzie i po co. Więc jeżeli wyobrażam sobie tutaj sytuację, w jaki sposób pozostać anonimowym w sieci, to myślę, że najlepiej po prostu byłoby nie mieć żadnego konta na żadnych portalach społecznościowych.

No ale oczywiście dla niektórych to jest niemożliwe i nie oceniam w żadnym kierunku oczywiście. Natomiast można posty świadomie udostępniać tylko znajomym. Można listę znajomych udostępniać tylko znajomym. Można swoje zdjęcia z wakacji wrzucać po wakacjach. Ale też z drugiej strony, jeśli są to wakacje jakieś, nazwijmy to, nie wiem, na bogato, to może niekoniecznie powinniśmy tym dzielić.

Albo jeżeli nie ma nas w domu, też się tym nie dzielimy. Więc takie typowe, podstawowe… Tak naprawdę taki savoir-vivre, tak? Tak, taki savoir-vivre i zdrowy rozsądek.

Karol: A wyobrażasz sobie taką sytuację, że tak jak w przypadku grafików, programistów, jest teraz taki hype na to, że będzie coraz mniej miejsc pracy właśnie dla grafików, ludzi związanych z branżą audio, wideo, a z ludźmi z cybersec’u?

Paula: Ha, ogólnie oczywiście jest teraz taki tak, jak wspomniałeś, taki motyw, że AI to w ogóle wyprze nas wszystkich, albo co najmniej zredukuje miejsca pracy, co zresztą poniekąd ostatnio była też taka fala redukcji miejsc pracy, natomiast nie miała za bardzo związku z AI, więc niekoniecznie musimy te dwie rzeczy ze sobą tutaj łączyć. I ogólnie uważam, że na pewno w jakimś stopniu, na pewno w jakimś stopniu, bo skoro o to pytamy i skoro o to myślimy, no to to oczywiście do tego zmierza.

I są pewne rzeczy, które mogą być zautomatyzowane i na przykład w kontekście takiego SOC’a powiedzmy, który, czyli Security Operation Center, który pozwala nam na monitorowanie rzeczy, wszelkiego rodzaju wystąpień, zagrożeń w organizacji, no jakby celem ulepszenia działania organizacji jest właśnie świetne wykrywanie zagrożeń, akuratne, oczywiście zatrzymywanie ich w odpowiednim momencie, czy w ogóle niedopuszczanie do nich, więc im lepiej, tym nasza organizacja ma lepszą ciągłość działania. I teraz pytanie, jak my do tego dojdziemy? I też automatycznie myślimy, no okej, no ale to AI, powiedzmy komputer, będzie w stanie szybciej skorelować pewne informacje i przekazać mi je.

I ja dopiero wtedy zdecyduję, co z tymi informacjami zrobić. A wcześniej to był człowiek, który na przykład korelował te informacje. Oczywiście w takich sytuacjach, jeżeli jest jakiś nadrzędny cel, powiedzmy, że chcemy mieć tutaj zachowaną ciągłość działania i naprawdę świetne wykrywanie zagrożeń, będzie to podejrzewam w jakimś tam stopniu mimo wszystko redukowało etaty. Natomiast to też jest okazja dla nas, żeby zastanowić się w jaki sposób pokierować dzisiaj przede wszystkim naszym rozwojem, żeby po prostu było dla nas miejsce. Ale to też, no, co będzie za 15 lat? Może coś zupełnie innego.

Karol: Czyli uczyć się czytać i rozwijać.

Paula: Czyli standardowo. Więc jeżeli na przykład ktoś jest w cyberbezpieczeństwie i widzi i obserwuje to, co się dzieje, pomyślcie sobie, nie że będzie się uczył na przykład co-pilota, powiedzmy, dlatego, że trzeba się go nauczyć, tylko po prostu będzie nim naturalnie zaciekawiony. Więc pewne rzeczy po prostu naturalnie przychodzą.

Karol: A spotkałaś coś takiego jak czata GPT ciemnej strony mocy?

Paula: No jest taki też i też są różnego rodzaju rozwiązania, które zatruwają po prostu czat GPT i tak dalej. No, ale to ogólnie, no mówię, zawsze jest tak, że jest zawsze rozwiązanie, które po tej drugiej stronie… Możesz coś opowiedzieć o tym? Nie chciałam tutaj nikomu sugerować żadnych rozwiązań, tak, ale ogólnie to, co jest istotne dla nas, to to na koniec, żeby zawsze zdroworozsądkowo podchodzić do tych spraw, tak, więc jeżeli mamy taki chat GPT, no to nie jest ultimate box of knowledge, Tylko po prostu to jest rozwiązanie, które ma nam, tej wyższej jednostce, zasugerować, co zrobić, podpowiedzieć, co zrobić. Ale pamiętajmy, że decyzja zawsze na koniec należy do nas i na razie tego się trzymajmy.

Karol: A jaka jest twoja wizja przyszłości? Masz jakieś obawy w związku z rozwojem sztucznej inteligencji, z osiągnięciem singularity?

Paula: Tak, oczywiście mam, ale teraz raczej myślę bardziej przez pryzmat zalet.

Karol: Powiem ci skąd moje pytanie, bo jesteś niezwykle pozytywną osobą. Z twojej twarzy nie schodzi uśmiech i wydaje mi się, że widzisz świat w pozytywnych barwach.

Paula: Tak, tak.

Karol: A z drugiej strony pracujesz w branży cybersec’u, gdzie… Wszystko jest czarne. Wszystko jest czarne i może stanowić potencjalne zagrożenie. I ciekaw jestem twojej wizji tego, jak wygląda przyszłość w kontekście rozwoju technologii.

Paula: Mhm. Okej, ciekawe, jak to postrzegasz, ale ogólnie, tak, tak, raczej jestem z tych szczęśliwszych osób. Ogólnie, po pierwsze, jak patrzę w przyszłość i myślę sobie, okej, na przykład komputery kwantowe, tak, albo ogólnie myślę sobie nawet nie w tym kontekście, tylko szybsza możliwość wyliczenia czegoś, albo szybsza metoda dowiedzenia się, albo myślę sobie lepsza korelacja informacji, która odpowie mi na zadane pytanie. albo wręcz coś, co podsunie mi zakres pytań, na które mogłabym odpowiedzieć, zastanawiając się trochę w inny sposób, to myślę sobie, że to jest pewne wyzwanie dla mózgu, którego chciałabym doświadczyć. To jest taki mój punkt widzenia. Więc wraz z rozwojem technologii myślę sobie, że bardzo mocno rozwiniemy się my, tylko i wyłącznie jeżeli na to pozwolimy i oczywiście z dozą zdrowego rozsądku. Ale ogólnie bardzo tak mimo wszystko hype’owo podchodzę do nowych technologii, bo po prostu lubię wiedzieć, lubię nowe, lubię ciekawe, lubię coś, czego nie wiem i to jest tam, a ja bym się chciała z tym zapoznać.

Więc ja mam taki charakter trochę. To, co mnie przeraża trochę, to to, w jaki sposób na przykład te technologie mogłyby być wykorzystane do manipulowania ludzkimi emocjami. I to jest dla mnie taki aspekt bardzo nie w porządku, jak sobie o tym pomyślę, na przykład, jeżeli w różnych aspektach, ale myślę, że zacznijmy od takiego prostszego, typu na przykład mamy Instagrama i mamy jakąś tam wizję, którą Instagram nam kreuje i oczywiście możemy powiedzieć, ojej, no nie chcesz, to nie czytaj. No ale to nie do końca tak jest, bo jeżeli powiedzmy nawet dzieci nie będą czytać, no to gdzieś tam będą nie do końca akceptowane w towarzystwie, gdzieś tam nie śledzą tych standardów, które są w jakiś sposób narzucane nam przez zmodyfikowane zdjęcia. Też nie rozumieją, że zdjęcia ogólnie przedstawia mega nakręcony snapshot do po prostu granic możliwości, czyli perfekcjonizujemy dany moment A życie się nie składa z tych momentów właśnie takich perfekcyjnych, tylko właśnie ten moment jest jeden, no a ktoś inny będzie żył tym jednym momentem innego człowieka. Więc wydaje mi się, że to może być wyeskalowane po to, żeby taka słabsza jednostka, która być może nie ma dobrych wzorców na co dzień, po prostu była w stanie podjąć decyzje, które gdzieś tam będą wpływały być może na korzyść finansową tego, kto generuje całą tę sytuację.

Karol: Trochę tak jak z TikTok’iem, który w Chinach jest platformą na dobrą sprawę edukacyjną, a w Europie wprost odwrotnie.

Paula: Ogólnie nie jestem fanem mikroinformacji. To tak takie moje oldschoolowe.

Karol: Książki, blogi i cała reszta?

Paula: Tak, zdecydowanie.

Karol: A twoje medium? Czym jest twoje medium? Książka?

Paula: Książka, portal jakiś, jakieś ogólnie artykuły.

Karol: Ale o tym mówię, czytasz, tak?

Paula: Tak, tak, tak, zdecydowanie.

Karol: A w drugą stronę piszesz?

Paula: Kiedyś pisałam więcej, szczerze powiedziawszy, nawet miałam w planach parę ciekawych rzeczy, ale… To proszę cię, to wykorzystaj czata do tego. No właśnie, tak sobie myślałam, być może właśnie to jest ten moment, kiedy AI of me mógłby napisać coś ciekawego, coś, co generalnie by było, coś, co by reflektowało właśnie tutaj te same doznania, które gdzieś tam ja mam i te same emocje. Taka oczywiście mała adgresja, ale ogólnie tak, jestem fanem takich grubszych informacji. Jestem nadal fanem YouTube’a na przykład, mimo że gdzieś tam… Który tak naprawdę stał się wyszukiwarką po Google’u.

Karol: Ja złapałem się na tym, że dużo częściej wpisuję hasło, co zrobić albo jak rozwiązać jakiś problem. Już nie w Google, jak kiedyś, a w YouTube.

Paula: No właśnie, właśnie. Więc YouTube jest takim narzędziem, który towarzyszy nam i faktycznie jakby tam mamy recenzję, nie wiem, takie bardziej damskie klimaty może, ale recenzję, nie wiem, nowej suszarki do włosów, tak? Albo na przykład, nie wiem, nowej myszki do grania, albo jakby chcę posłuchać kogoś, kto ma coś ciekawego do powiedzenia. A po pierwsze na TikToku czy na innych, powiedzmy, bazujących na mikroinformacji portalach Ja nie wiem, w ogóle nie jestem w stanie przede wszystkim wyczuć, czy ta informacja, która jest do mnie dostarczana, ona jest zmanipulowana, czy nie. Czy to jest próba sprzedaży, czy nie.

Czy ona jest prawdziwa, czy nie. A dopiero w dłuższym filmiku jesteśmy w stanie w jakiś sposób, może nie, ale jednak w związku z tym mam więcej szans, o to mi chodzi, znaleźć ten punkt odniesienia, że ta osoba, ja jej nie ufam, albo ja jej ufam, więc jakby w tych mikroinformacjach nie jesteśmy w stanie się do nich w ogóle zdystansować. Przez co gdzieś tam usłyszałam jakąś statystykę ciekawą ostatnio, że 50% informacji w internecie jest dezinformacją ogólnie. Więc nie zaskakujemy, to szczerze powiedziawszy. Jakby ludzie chcą osiągnąć korzyść finansowo.

Karol: Nie zdziwiłbym się, gdyby to było więcej niż 50%.

Paula: Dokładnie tak, właśnie. Poprzez jakieś manipulacje naszymi emocjami. Więc jeśli też się zastanawiamy w kontekście tego overall zagrożenia właśnie płynącego z przyszłości, no to myślę, że ta mikroinformacja połączona z taką manipulacją nami jako człowiekiem, który będzie faktycznie polegał na tym, bo w sumie to się ze sobą wiąże, tutaj chyba jest tym najboleśniejszym punktem programu.

Karol: Kogo czytać, kogo śledzić zatem?

Paula: A, to ciekawe pytanie. Ja nie mam ogólnie jakichś takich per nazwisko, tak szczerze powiedziawszy.

Karol: Ciebie interesuje zagadnienie i szukasz w wielu źródłach.

Paula: Tak, i szukam w wielu źródłach, dokładnie. Więc jakby, to też jakbyś zapytał się mnie… Ostatnio, akurat nazwisko pamiętam, bo się dosyć przewijam ją wszystko w ostatnich wiadomościach wokół mnie. To jest istotne, bo każdy ma jakąś swoją bańkę informacyjną i ja ją też rzeczywiście mam. I ogólnie jest to Chris Voss i jest książka pod tytułem Never Split the Difference. czyli generalnie jest to książka o negocjacjach ogólnie, ale jako tam negocjator FBI dzieli się różnymi technikami właśnie jak to tam wygląda. Ja ogólnie lubię takie historie, bo też patrzę na nie z takiego punktu widzenia, co z tego jest dla mnie potrzebne i na przykład też jest tam powiązany taki masterclass, jest taka apka z tymi masterclassami, no to są takie też trochę mimo wszystko mikroinformacje, Trochę, ale podoba mi się, ja widzę wielowymiarowo to, typu jak taki człowiek na przykład się wypowiada, co on mówi, jak on mówi na przykład o tej sytuacji, to czy widać, że on się tą sytuacją ekscytuje na przykład, więc jakby staram się na to patrzeć właśnie tak wielowymiarowo, czyli takie trochę filmy na YouTubku, gdzie patrzymy na nie i też doznajemy tej przygody razem z osobą, która to przedstawia.

Karol: A na ile ważna w kontekście bezpieczeństwa jest psychologia?

Paula: absolutnie ekstremalnie ważna. Psychologia jest super ważna. Dlatego, że po pierwsze, to już jakby nie szukając daleko, mamy inżynierię socjalną, social engineering. Więc ogólnie pierwszy krok do jakiegokolwiek ataku związanego na przykład z phishingiem, z podaniem człowiekowi pendrive’a, z gdzieś tam jakimś fizycznym dostępem. Jakby zawsze idzie ta psychologia na początku. I rozczajamy metody wejścia, zastanawiamy się co zrobić, w jaki sposób sformułować to słownie i tutaj chat GPT może nas pomóc oczywiście w jakimś lokalnym języku, ale niekoniecznie, bo on jest jednak mimo wszystko taki sztywniacki. Podejrzewam, że to się zmieni, natomiast ten kontekst, takie smaczki, to też psychologia biznesu również się z tym wiąże, no to to jest coś, co sprawia, że człowiek powie tak lub nie I to w cyberbezpieczeństwie ma ogromne znaczenie. Tak udało mi się dostać, nie, nie udało mi się, tak zarobię kasę, nie, nie zarobię, bo nie zaszyfruję tego dysku tam. Więc jakby to jest coś, co haker mógłby sobie pomyśleć. Więc ta psychologia oczywiście ma znaczenie.

Karol: Czy jest jeszcze coś, o czym warto opowiedzieć?

Paula: Wydaje mi się, że w cyberbezpieczeństwie ogólnie to, co jest istotne i też w kontekście takim psychologicznym jest umiejętność podejmowania decyzji. I to jest, ja uwielbiam ogólnie być gdzieś tam w jakichś takich challenge’ujących momentach i też nie staram się, jak to się mówi, overthinkować, czyli rozmyślać, przemyślać, nadmyślać danej sytuacji, tylko po prostu raczej staram się ją tak brać na technicznie. I rozkładam sobie ją na czynniki pierwsze.

Nie, trwa to jakoś super długo. Zastanawiam się, czasami uważam wręcz, że dobrze jest się po prostu położyć spać, wstać następnego dnia i się zastanowić, czy ja na ten temat myślę to samo, bo mam na przykład… jakieś decyzje, które są mimo wszystko impaktowane tym, że byłam zmęczona, coś się wcześniej wydarzyło, ktoś coś zrobił, ktoś coś powiedział, albo wręcz przeciwnie, wydarzyło się bardzo dużo pozytywnych rzeczy, więc ja jestem bardziej skora się na przykład na coś zgodzić, budzę się rano i jest na świeżo. Więc jakby, jak ktoś mówi, muszę się z tym przespać, tak, ogólnie, no to to jest coś, co u mnie się bardzo mocno aplikuje. I w cyberbezpieczeństwie właśnie podejmowanie takiej decyzji czasami trzeba szybko oczywiście, jest, sprawi mi ogromną przyjemność, bo też właśnie bazuje na faktach, też trzeba przewidzieć pewne rzeczy trzy kroki w przód i wiąże się to z psychologią i przede wszystkim z rozumieniem tej drugiej strony. I to jest coś, co, no, wydaje mi się po prostu przechodzić z doświadczeniem. Na pewno wiele mogłabym się w tym aspekcie jeszcze nauczyć.

Karol: Czyli w cybersec’u jest miejsce na psychologię, a jest miejsce na emocje?

Paula: Czy jest zmniejszona moc? Nie. O ile są rozsądne, to tak. Powiem tak, ojej, w ogóle takie wielowymiarowe pytanie, bo zobacz, osoby, które są w cybersec, niekoniecznie mają taką empatię i możliwość emocji.

Karol: Wiesz co, miałem zapytać o empatię, bo empatia jest bardzo ciekawa, w końcu rozumiemy drugą stronę jej zachowania i tak dalej. pytanie, czy empatia przeradza się potem we współczucie, bo jest różnica między współczuciem a współodczuwaniem.

Paula: Okej, dobra. Z technologicznej i trochę filozoficznej rozmowa nam się wywiązała. Tak, bardzo ciekawe. Ogólnie to jest też tak, że osoby w cyber security albo ogólnie w IT są stereotypowo postrzegane jako takie, może powiedzmy trochę skrótowo ujmę, dziwaki.

Karol: A ja właśnie lubię odchodzić od stereotypów.

Paula: Okej, dobra, no właśnie, no to odejdźmy od niego, bo na przykład ja się tym zajmuję, może jestem dziwakiem, natomiast na pewno nie brakuje mi emocji, empatii i zrozumienia tej drugiej strony. Przynajmniej staram się. Ale na przykład są też takie osoby w IT i ja też z nimi współpracuję, że one na przykład kompletnie nie potrafią w emocje. I to ja widzę w takich standardowych rozmowach.

No ale jakby nie ma co się dziwić. Siedzą sobie gdzieś tam przed komputerem, niekoniecznie mają interakcję z człowiekiem. Skąd się w ogóle mogą nauczyć sytuacji życiowych, jeżeli na przykład gdzieś tam spędzają tą większą część czasu przed komputerem. Więc czy w cyberwystarczającej są emocje? No jak widać, w tym obszarze może ich jest mniej.

Natomiast one są koniecznie potrzebne w sytuacji, kiedy… Mamy tą drugą stronę, czyli mamy problem i musimy ten problem rozwiązać i musimy się zaangażować na przykład w incydent. Więc jeżeli wykonujemy pentest na przykład, no to jakie tam emocje są? Raczej żadnych i lepiej, żeby ich nie było. Ale jeżeli mamy decyzję do podjęcia, czy otworzyć, czy pomóc klientowi podjąć decyzję, czy otwierać sklepy w sobotę, bo wszyscy są tam prawie zaszyfrowani i generalnie będzie to ogromny, wielomilionowy problem, i to będzie ogromna strata, no to czy tam są emocje? Tak. Czy należy je rozumieć? Zdecydowanie. Więc empatia połączona ze zrozumieniem sytuacji, myślę, że to jest taki dobry miks.

Karol: A nad wszystkim zdrowy rozsądek.

Paula: Czyli jak zwykle. Czyli jak zwykle. Czyli to jest trochę tak, jak wiesz, masz salę, jakby, daję jako przykład, ale nie byłam, bo tutaj z drugiej strony masz salę operacyjną i masz ciężki przypadek do zoperowania. I czy tam są emocje?

Pewnie jakieś tam są. I w sumie może lepiej, żeby były gdzieś tam w jakichś obszarach, żeby być może zrozumieć dane zagadnienie, tak? Ale znowuż, jakby cyberbezpieczeństwo bycia na sali operacyjnej niekoniecznie musi być zresztą zbliżone. A jak radzisz sobie ze strachem? Ze strachem? Rozumowo, typowo.

Karol: Rozumowo?

Paula: Tak, tak. Ja mam bardzo ekstremalnie, wręcz pragmatyczne podejście do rzeczy. A co cię tego nauczyło? Nawet jak zadałeś to pytanie, to pierwsze co pomyślałam sobie, a czego tu się bać? Co mnie nauczyło? Wydaje mi się, że chyba przejście przez dużą ilość życiowych sytuacji, ale to jakby jak każdy podejrzewam i też spojrzenie na to z dystansu i zrozumienie tego, co czułam wtedy, a co czuję dzisiaj i ogólnie po co się stresować? Czego się bać? Jakby strach jest jakąś tam emocją, która moim zdaniem w dużej mierze wypływa z niewiedzy. wiedzy. I im więcej wiem, tym mniej się boję.

Karol: A strachem i tak niczego nie zmienimy.

Paula: No, zdecydowanie. Jest to strata czasu.

Karol: Paula, serdecznie Ci dziękuję za rozmowę. Dziękuję. To była ogromna przyjemność móc Cię spotkać i porozmawiać z Tobą o AI, jak się okazało, nie tylko.

Paula: Tak jest. Wiele tematów.

Karol: Niech AI będzie z nami wszystkimi zatem.

Paula: Mam nadzieję. Dzięki.