”Smekmånaden är över” när företagen kräver resultat av agenterna

– Jag tror att smekmånaden är över. Nu handlar det verkligen om hur vi ska få det att leverera, säger hon.

Vi träffas vid ett rundabordssamtal under Servicenow World Forum i Amsterdam. Runt bordet sitter också Armis medgrundare Yevgeny Dibrov, som nu leder Servicenows verksamhet inom cybersäkerhet och risk, och Lars Hermind, ansvarig för säkerhets- och riskförsäljning i Norden och Benelux.

Samma kväll presenterade Servicenow sin rapport för tredje kvartalet. Omsättningen ökade med 20,5 procent till 4,1 miljarder dollar. Det redovisade rörelseresultatet sjönk däremot från 572 till 385 miljoner dollar.

Bolaget höjde också målet för det årliga kontraktsvärdet inom AI till 1,7 miljarder dollar vid årets slut. Vid årets början var målet en miljard. Förväntningarna på leverantörens AI-affär har stigit kraftigt. Hur mycket kunderna får ut av sina investeringar är en annan fråga.

Marielle Lindgren brukar fråga företagsledningarna hur väl de känner till den egna organisationens AI-initiativ. Vilka agenter används? Vilka system kommer de åt och vad får de göra där?

Svaren är ofta ofullständiga. Medarbetare tar egna verktyg i bruk innan företaget har bestämt hur de ska hanteras, säger hon. Ledningen kan samtidigt se möjligheter att öka intäkterna men tveka inför att bredda användningen, eftersom det är oklart hur kontrollen ska fungera.

Besluten måste också gå att granska i efterhand. Företaget behöver kunna visa vad som infördes, hur beslutet fattades och vilka risker som vägdes in.

Pengarna fanns hos fastighet

Lars Hermind berättar om en svensk vårdorganisation där Armis försökte sälja in sin säkerhetslösning. Kontakten gick via it-avdelningen, men leverantören hade svårt att få gehör.

Först när representanter för it, den medicinska verksamheten och fastighet samlades blev det tydligt hur behoven hängde ihop.

– De hade aldrig träffats tidigare, säger Lars Hermind.

Det visade sig också att budgeten fanns hos fastighet.

Lars Hermind ser mötet som ett exempel på hur organisationen kan försvåra säkerhetsarbetet. It får uppdraget, medan utrustningen, kunskapen om hur den används och pengarna finns på andra håll.

Medicinteknisk utrustning, fastighetssystem och industriella styrsystem ingår också i den miljö som ska skyddas. De som ansvarar för driften behöver därför vara med i säkerhetsarbetet.

Han vill föra säkerhets- och digitaliseringsfrågorna närmare företagsledningen och pekar särskilt på organisationer där it-chefen rapporterar till ekonomichefen utan att få gehör för säkerhetsbehoven.

Även arbetet med regelkrav kan stanna vid dokumentationen. Lars Hermind beskriver kunder som anlitar hjälp, fyller i kalkylblad och sedan lägger arbetet åt sidan. När någon senare frågar vem som ansvarar är svaret fortfarande oklart.

Agenten har egna nycklar

En AI-agent kan ha en egen identitet och åtkomst till flera av företagets system. Yevgeny Dibrov återkommer till frågan om vilka befogenheter den får.

– Hur många AI-agenter har jag? Hur många har omfattande behörigheter? Hur många är exponerade utåt? säger han.

Säkerhetschefen ska kunna svara när vd ställer de frågorna. Svaren behövs för att ledningen ska kunna bedöma vilka risker verksamheten kan acceptera.

Yevgeny Dibrov beskriver agenten som ytterligare en tillgång i företagets teknikmiljö. Den kan ha sårbarheter och behöver tydliga gränser för vad den får göra. Företaget måste också kunna upptäcka och ingripa om den börjar agera fel.

Alla säkerhetsbrister kräver däremot inte lika snabba åtgärder. Som exempel nämner han en sårbar tillgång i en miljö utan exponering utåt. Andra brister kan då vara mer angelägna att åtgärda. Prioriteringen behöver utgå från vad en angripare faktiskt kan nå och vilka följder ett angrepp skulle få för verksamheten.

Välj verktyg och sätt gränser

Yevgeny Dibrov vill också att företagen begränsar antalet godkända AI-verktyg.

Han jämför med hur lagringstjänster som Dropbox och Box tog sig in på arbetsplatserna genom medarbetarnas egna val. Så småningom bestämde företagen vilka tjänster som skulle godkännas och blockerade andra. Samma vägval behövs för AI. Det handlar också om vilka leverantörer som ska få hantera företagets information.

För Servicenow innebär behovet av kontroll en affärsmöjlighet. Med Armis och identitetssäkerhetsbolaget Veza i koncernen vill bolaget koppla samman information om tillgångar och behörigheter med sina arbetsflöden. Yevgeny Dibrovs uttalade ambition är att bygga världens största cybersäkerhetsplattform.

För it-chefen blir frågan hur väl delarna fungerar tillsammans. Att samla tillgångar, identiteter och arbetsflöden hos samma leverantör säger inte i sig hur mycket integrationsarbete kunden slipper eller hur väl lösningen fungerar med de säkerhetsverktyg som redan finns.

Lars Hermind återkommer till vad kunderna själva behöver förändra. Säkerhetsansvaret måste omfatta hela den uppkopplade verksamheten, och de som får ansvaret behöver också ha mandat att fatta beslut.

– Just nu är det fortfarande extremt fragmenterat och uppdelat i stuprör. Många betraktar det som en it-fråga, men det är mycket bredare än så, säger Lars Hermind.