علي حياة، الرئيس التنفيذي والمؤسس لشركة Axipro – سلسلة مقابلات

علي حياة هو الرئيس التنفيذي والمؤسس لشركة Axipro، ويجمع بين خلفية في إدارة المخاطر الصناعية والتدقيق وفق معايير ISO وخبرة في استشارات الأمن السيبراني والامتثال. شملت أعماله الأولى بيئات صناعية عالية المخاطر، حيث كانت السلامة والمتطلبات التنظيمية والمخاطر التشغيلية من الشواغل الأساسية. وأسّس لاحقاً Axipro من دون استثمارات خارجية، مع التركيز على مساعدة الشركات النامية في اعتماد ضوابط أمنية عملية، والاستعداد لعمليات التدقيق، وإدارة مخاطر الذكاء الاصطناعي الناشئة.

Axipro شركة استشارية متخصصة في الأمن السيبراني والامتثال، وتدعم المؤسسات في تطبيق أطر تشمل SOC 2 وISO 27001 وISO 42001 ومتطلبات حماية البيانات. تجمع أعمالها بين الاستشارات وأتمتة الامتثال والاستعداد للتدقيق واختبارات الأمن، مع التركيز على المراقبة المستمرة والإشراف البشري. وفي هذه المقابلة، يناقش حياة مسارات عمل الامتثال المدعومة بالذكاء الاصطناعي، والذكاء الاصطناعي الخفي، ومخاطر الوكلاء المستقلين، والاختلافات الإقليمية في الحوكمة، والفجوة بين الحصول على الشهادات والقدرة على الصمود في وجه تهديدات الأمن السيبراني.

بدأت مسيرتك المهنية في بيئات صناعية عالية المخاطر، وعملت على مشروعات شملت Saudi Aramco وADNOC وTotalEnergies، حيث كانت السلامة وإدارة المخاطر والامتثال التنظيمي أموراً حاسمة. ما الذي ألهمك للانتقال من السلامة الصناعية والتدقيق إلى الأمن السيبراني، وما الذي دفعك في نهاية المطاف إلى تأسيس Axipro؟

أسست Axipro لأنني لاحظت وجود فجوة في السوق أثناء عملي في إدارة الجودة. ففي عام 2021، لاحظت إطلاق العديد من منصات الأمن السيبراني الجديدة التي تقدم حلولاً شبه مؤتمتة للامتثال لمعياري SOC 2 وISO 27001.

واتضح أن هذه المنصات، رغم تخفيفها جانباً كبيراً من أعباء الامتثال عن الفرق التقنية، لا تزال تتطلب الإعداد والصيانة. وكانت الشركات الناشئة، التي تكافح أصلاً لمواكبة النمو، مستعدة للاستعانة بفريق يقوده أشخاص لمتابعة الامتثال. وهكذا وُلدت Axipro.

ثم أُطلقت أولى منصات الذكاء الاصطناعي في عام 2022. وكانت تلك لحظة إدراك أخرى. ففي حين خشي كثيرون في القطاع أن تصبح مهاراتهم غير مطلوبة، أدركت سريعاً أن هذه فرصة هائلة. ومن المرجح أن يؤدي الذكاء الاصطناعي إلى زيادة الهجمات السيبرانية زيادة هائلة، ما سيجعل الاستعانة بأشخاص مهرة أمراً ضرورياً لتوجيه الشركات الناشئة في تلبية احتياجاتها الأمنية واحتياجاتها المتعلقة بالامتثال.

نحن اليوم شريك متميز لدى Drata وشريك مفضل لدى Vanta، وقد ساعدنا أكثر من 300 شركة على الامتثال لمعايير رائدة في الأمن السيبراني والذكاء الاصطناعي.

أسست Axipro من الصفر من دون استثمارات خارجية، ووسّعتها لتصبح شركة استشارية دولية تخدم مئات العملاء. ما أكبر التحديات التي واجهتك في بناء شركة للأمن السيبراني بالاعتماد على مواردها الذاتية، وكيف ساعدتك التكنولوجيا والأتمتة على توسيع نطاق العمليات مع الحفاظ على جودة الخدمة؟

كانت السنوات الأولى القليلة صعبة للغاية. فمن استنزاف مدخراتي فيما كنت أنتظر مولوداً، إلى مشاهدة نماذج الذكاء الاصطناعي الأولى وهي تهيمن على القطاع، أظن أن أول سنتين إلى 3 سنوات هي المسؤولة عن الشيب الذي ظهر في رأسي.

كنت أنافس عدداً قليلاً من العمالقة الذين رسخوا سمعتهم، ولديهم مكاتب كبيرة وميزانيات ضخمة للتسويق. كنت أعمل من البحرين، وخلفيتي في إدارة الجودة، وكانت ميزانيتي التسويقية 0.

وكان ردي أن أسلك نهجاً مخالفاً للسائد: حافظت على هيكل رشيق وكفاءة عالية، وقدمت أسعاراً أقل من الشركات الكبرى الراسخة.

جلب ذلك إليّ كثيراً من العملاء الجدد، لكن هوامش أرباحنا كانت ضيقة. وأصبحت إدارة التدفق النقدي فناً بحد ذاته، وبالكاد تجاوزنا أول سنتين. وتغير كل شيء عندما أبرمنا أول صفقة متعددة الأطر بقيمة من خمسة أرقام. وقد أتاح لنا ذلك بعض الهامش للتنفس، ومكّنني من تعيين أول موظفين بدوام كامل، والبدء في التفكير بالتسويق خارج نطاق الشراكات والإحالات.

تركز Axipro على تبسيط أطر الامتثال المعقدة من خلال التحول الرقمي والأتمتة. كيف يغيّر الذكاء الاصطناعي مسارات العمل التقليدية للامتثال، وما الأنشطة التي ترى أنها تتيح أكبر فرص لرفع الكفاءة بالاعتماد على الذكاء الاصطناعي؟

استفاد قطاع الامتثال كثيراً من الذكاء الاصطناعي. فقد كان يعتمد في السابق على قدر كبير من الأعمال المتكررة، مثل جمع الأدلة وربطها، والإجابة عن استبيانات الأمن، وصياغة السياسات. وقد أُتمتت الآن جميع هذه المهام تقريباً. كما أتاح الذكاء الاصطناعي المراقبة المستمرة ورصد مؤشرات المخاطر المتعلقة بالأمن السيبراني والامتثال.

يمس الذكاء الاصطناعي الآن جميع مراحل عملية الامتثال تقريباً. فبمجرد انضمام عميل جديد إلينا، يجري نظام الذكاء الاصطناعي الداخلي لدينا تقييماً آلياً للمخاطر استناداً إلى قطاع الشركة وحجمها وموقعها. ولدينا قاعدة بيانات كبيرة تضم أعمالاً سابقة، تساعدنا على رصد أي مخاطر محتملة وإشارات تحذيرية تلقائياً. وربما تكون هذه أكبر قيمة يضيفها الذكاء الاصطناعي.

استفاد المهاجمون في مجال الأمن السيبراني أيضاً من الذكاء الاصطناعي، وازدادت الهجمات زيادة هائلة. وثمة ما يشبه سباق تسلح بين الذكاء الاصطناعي والذكاء الاصطناعي؛ إذ تعمل شركات مثل شركتنا على أحد الجانبين على الكشف الآلي عن التهديدات، بينما يعمل المخترقون على الجانب الآخر على أتمتة الهجمات.

وهنا يأتي دور الحكم البشري، وهو عنصر أساسي في طريقة عملنا: يجب أن يتولى الذكاء الاصطناعي المهام المتكررة وأن يحقق الكفاءة التشغيلية، حتى يتمكن البشر من التركيز على تقييم التهديدات والاستجابة لها.

لا تزال مؤسسات كثيرة تتعامل مع الامتثال للأمن السيبراني بوصفه إجراءً دوريًا يتمحور حول الاستعداد لعمليات التدقيق. كيف تغيّر الأدوات المدعومة بالذكاء الاصطناعي ومنصات المراقبة المستمرة مثل Drata هذا النهج، وماذا يعني الانتقال إلى الامتثال المستمر بالنسبة إلى الشركات؟

عندما بدأت العمل في مجال الامتثال، كان الجميع يخشى موسم التدقيق. كانت الشركات تتجاهل ضوابطها معظم العام، ثم تقضي أسابيع في جمع لقطات الشاشة والسجلات قبل الموعد النهائي للتدقيق. وكان اجتياز التدقيق يعني أنك ملتزم بالمتطلبات في ذلك اليوم، لا أكثر.

غيّرت Drata والمنصات المشابهة هذا الواقع. فهي تتصل بأدوات الشركة السحابية وأدوات الموارد البشرية، وتتحقق من الضوابط يوميًا. فإذا عطّل أحدهم المصادقة متعددة العوامل، أو ظل موظف سابق يحتفظ بإمكانية الوصول، يظهر ذلك فورًا، ويعالج فريقنا المشكلة على الفور.

لم يعد الامتثال بالنسبة إلى الشركات مشروعًا سنويًا، بل أصبح جزءًا من العمليات المعتادة. وأصبحت عمليات التدقيق أقصر وأقل تكلفة، كما بات بإمكان فرق المبيعات عرض وضعها الأمني على المشترين من الشركات الكبرى عند الطلب، ما يساعد على إتمام الصفقات بسرعة أكبر.

يتحول الاهتمام بخصوصية البيانات والأمن السيبراني تدريجيًا من مجرد شرط للعمل في القطاعات الحساسة إلى قيمة مضافة تُستخدم في التسويق.

مع تزايد اعتماد المؤسسات على الذكاء الاصطناعي لإعداد وثائق الأمن وتقييم المخاطر ومراجعة أدلة الامتثال، كيف يمكنها ضمان دقة النتائج التي تنتجها هذه الأنظمة وموثوقيتها؟ وفي أي مراحل من عمليات التدقيق والاعتماد تظل الخبرة البشرية أساسية؟

يجيد الذكاء الاصطناعي صياغة وثائق تبدو سليمة. فقد تبدو السياسة مثالية، مع أنها تصف عمليات لا تطبقها الشركة.

نتعامل مع الأمر بأن يتولى الذكاء الاصطناعي إعداد المسودات والتنبيه إلى المشكلات، ثم يراجع أحد أعضاء فريقنا كل شيء قبل إرساله إلى العميل أو المدقق. وينبغي أيضًا أن يشير كل ما ينتجه الذكاء الاصطناعي إلى الأدلة التي يستند إليها، حتى نتمكن من التحقق منه.

في التدقيق الداخلي والخارجي، أضع حدًا فاصلًا لا أتهاون فيه. فالمدققون يقرّون النتائج باسمهم وبسمعتهم المهنية. ويمكن للذكاء الاصطناعي أن يساعدهم على مراجعة الأدلة بسرعة أكبر، لكن ينبغي أن يبقى قرار اعتماد الشركة بيد شخص. وإذا لم يكن هناك أحد يتحمل المسؤولية، فقدت الشهادة قيمتها.

تساعد Axipro المؤسسات على التعامل مع معايير مثل ISO 27001 وSOC 2 وISO 42001، المعيار الدولي لأنظمة إدارة الذكاء الاصطناعي. ما التحديات الجديدة التي تواجهها الشركات وهي تسعى إلى إرساء حوكمة مسؤولة للذكاء الاصطناعي، وكيف تختلف إدارة المخاطر المرتبطة به عن الامتثال التقليدي لأمن المعلومات؟

كثير من الشركات التي نتحدث إليها لا تعرف حتى مدى استخدامها للذكاء الاصطناعي. ويُطلق على هذه الظاهرة اسم «الذكاء الاصطناعي الخفي».

يشترك فريق التسويق في إحدى الأدوات، ويدمج المطورون نموذجًا في المنتج، ويلصق أحد موظفي الإدارة المالية جداول البيانات في روبوت محادثة. لا ينطوي أي من ذلك على نية خبيثة؛ فالناس يحاولون إنجاز العمل بسرعة أكبر، وأدوات الذكاء الاصطناعي رخيصة وسريعة. لكن هذا قد يؤدي بسهولة إلى كشف بيانات الشركة.

تتمثل الخطوة الأولى والأهم في معظم مشروعات الامتثال لمعيار ISO 42001 والذكاء الاصطناعي في حصر كل ذلك ورسم خريطة له. فنراجع تقارير النفقات واشتراكات البرمجيات وبيانات الشبكة، ونتحدث إلى كل فريق لمعرفة الأدوات التي يستخدمها فعليًا يومًا بيوم. وغالبًا ما تكون القائمة التي نعدّها أطول بكثير مما توقعنا.

نادرًا ما ينجح حظر الذكاء الاصطناعي؛ بل يأتي بنتائج عكسية ويكون غير فعال. نريد أن يتمكن عملاؤنا من الاستفادة من مكاسب الكفاءة التي توفرها نماذج الذكاء الاصطناعي. ومن الأفضل تزويد الموظفين بأدوات معتمدة تؤدي الغرض، ووضع قواعد واضحة بشأن البيانات التي يمكن إدخالها فيها، وتسهيل طلب أدوات جديدة.

تطرح حوكمة الذكاء الاصطناعي أيضًا أسئلة لم يكن أمن المعلومات يطرحها من قبل. ففي إطار ISO 27001، ينصب الاهتمام الأساسي على منع الأشخاص غير المخولين من الوصول إلى بياناتك. أما في إطار ISO 42001، فعليك أيضًا معرفة ما إذا كان الذكاء الاصطناعي يعمل على النحو الصحيح، وما إذا كان بإمكانك تفسير قراراته، ومن المسؤول عندما يخطئ.

كما تتغير هذه المخاطر بوتيرة أسرع. فقد يحدّث أحد الموردين نموذجًا بين ليلة وضحاها، فيغيّر طريقة عمل منتجك من دون أن تُجري أي تعديل.

تتمتع الشركات الحاصلة بالفعل على شهادة ISO 27001 بميزة أولية. فالمعياران يعتمدان البنية نفسها لنظام الإدارة، ما يعني أن جزءًا كبيرًا من العمل التأسيسي قد أُنجز بالفعل.

مع ظهور وكلاء الذكاء الاصطناعي المستقلين القادرين على الوصول إلى معلومات حساسة والتفاعل مع أنظمة المؤسسات وتنفيذ العمليات التجارية، ما مخاطر الأمن السيبراني والامتثال الجديدة التي ينبغي للمؤسسات الاستعداد لها؟ وهل أُعدّت أطر الأمن الحالية للتعامل مع هذه الأنظمة المتزايدة الاستقلالية؟

الوكلاء هم المجال الذي أراقبه عن كثب في الوقت الراهن. فالبرمجيات العادية تنفذ ما يُطلب منها حرفيًا، أما الوكيل فيتخذ قراراته بنفسه، ويمكن خداعه كما يمكنه خداع الآخرين، مثلما رأينا في حادثة Hugging Face.

أكثر المخاطر شيوعًا التي نرصدها هو حقن التعليمات. إذ يستطيع المهاجم إخفاء تعليمات في رسالة بريد إلكتروني أو ملف PDF، وعندما يقرأها وكيلك، ينفذها مستفيدًا من أي صلاحيات منحتها له.

الخطر الثاني هو أن الشركات تمنح الوكلاء صلاحيات واسعة أكثر بكثير مما ينبغي، لأن ذلك أسهل. فكثيرًا ما يتيح الموظفون لوكلاء الذكاء الاصطناعي الوصول عبر حسابات بريدهم الإلكتروني الشخصية بدلًا من تخصيص حسابات لهم، ما يجعل تحديد ما إذا كان التغيير قد أجراه شخص أم روبوت أمرًا بالغ الصعوبة. وإذا كانت سجلات الأنشطة غير كافية أيضًا، فقد لا تعرف حتى ما الذي فعله الوكيل.

لا تزال ISO 27001 وSOC 2 تغطيان أساسيات مثل ضبط الوصول وتسجيل الأنشطة، كما تساعد ISO 42001 في الجوانب المتعلقة بالذكاء الاصطناعي. لكن أيًا منها لم يُعَدّ مع أخذ الوكلاء المستقلين في الحسبان، وأتوقع صدور إرشادات جديدة قريبًا.

تُرسّخ AIUC-1 مكانتها بوصفها معيارًا رائدًا لـ AIUC-1، وقد بدأنا للتو تدريب موظفينا على تطبيقها. أجرينا بعض المحادثات مع العملاء بشأنها، لكن ليس لدينا حتى الآن دراسات حالة لعرضها. وتحظى بدعم قوي من شركات كبيرة في مجال الأمن السيبراني، لذا نتوقع أن يصبح هذا الإطار المعيار الرائد لوكلاء الذكاء الاصطناعي.

من خلال عملك في الشرق الأوسط وأوروبا والولايات المتحدة، تعاملت مع بيئات تنظيمية وأساليب مختلفة لإدارة المخاطر. كيف تؤثر الاختلافات الإقليمية في حوكمة الذكاء الاصطناعي وحماية البيانات في طريقة نشر الشركات للذكاء الاصطناعي، وما التحديات التي تواجه المؤسسات عند العمل عبر ولايات قضائية متعددة؟

بعد أن اتخذت من البحرين مقرًا لي وعملت مع عملاء في أوروبا والولايات المتحدة، لم أعد أتوقع أن تتقارب قواعد الذكاء الاصطناعي. بل إن المناطق، إن كان ثمة شيء، تزداد تباعدًا.

تنظّم أوروبا هذا المجال عبر القوانين. ويصنّف قانون الذكاء الاصطناعي للاتحاد الأوروبي أنظمة الذكاء الاصطناعي بحسب مستوى المخاطر، ويحدد ما يتعين على كل فئة الالتزام به؛ لذا تميل الشركات الأوروبية إلى التحرك بحذر وتوثيق كل شيء. أما الولايات المتحدة، فلا يوجد فيها قانون اتحادي للذكاء الاصطناعي، ويتولى السوق معظم مهام التنظيم. ويطلب المشترون إدراج أطر عمل مثل إطار إدارة مخاطر الذكاء الاصطناعي (AI RMF) الصادر عن NIST في عقودهم، فيما تسدّ المسؤولية القانونية ما تبقى. وتسلك الصين مسارًا ثالثًا، إذ تضع قاعدة جديدة كلما أوجدت تقنية ما خطرًا جديدًا.

منطقة الخليج هي الأكثر إثارة لاهتمامي. فالسعودية، على سبيل المثال، لم تعتمد بعد قانونًا شاملًا للذكاء الاصطناعي. وترد معظم القواعد الملزمة في تشريعات حماية البيانات وفي المشتريات الحكومية، لأن الدولة هي أكبر مشترٍ للتقنية في المنطقة. وتعتمد متطلبات الامتثال بدرجة كبيرة على هوية العميل. وعندما حصلت SDAIA، الجهة التنظيمية السعودية، بنفسها على شهادة ISO 42001 في عام 2024، أوضح ذلك للسوق المعيار الذي ستبحث عنه في المناقصات.

تتمثل أصعب التحديات عندما تعمل شركة في أكثر من منطقة من هذه المناطق. فشركة برمجيات كخدمة في الرياض تبيع منتجاتها في أوروبا قد تستوفي المتطلبات التقنية للاتحاد الأوروبي، ومع ذلك تخفق في السعودية بسبب قواعد تسجيل البيانات ونقلها. ولا يقبل أي من الطرفين مستندات الطرف الآخر.

تتمثل طريقتنا في بناء أساس واحد قابل للتطبيق في مختلف المناطق، وهو ISO 42001 إلى جانب ISO 27001، ثم إضافة متطلبات كل منطقة فوقه. لا يضمن ISO 42001 الامتثال القانوني في أي مكان بمفرده، لكنه أقرب ما لدينا إلى لغة مشتركة تقبل بها كل هذه المناطق.

غالبًا ما توجد فجوة كبيرة بين الحصول على شهادة أمنية وتحقيق مرونة حقيقية في الأمن السيبراني والحفاظ عليها. كيف يمكن للمؤسسات الاستفادة من الذكاء الاصطناعي والأتمتة لتجاوز الامتثال الشكلي وتطوير ممارسات أمنية تتكيف باستمرار مع التهديدات الناشئة؟

رأيت شركات لديها تقرير SOC 2 حديث، ومع ذلك تعاني ثغرات أمنية أساسية لم يلحظها أحد. كان هدفها اجتياز التدقيق. تُظهر الشهادة أن الشركة استوفت معيارًا في تاريخ معين، لكنها لا تثبت قدرتها على صد هجوم.

يتطلب تجاوز ذلك التحقق مما إذا كانت كل آلية رقابة ستصمد أمام الاختبار. وتساعد الأتمتة كثيرًا في هذا الجانب. فالمراقبة المستمرة تكشف المشكلات وهي لا تزال محدودة، كما تضمن بيانات التهديدات الراهنة أن تواكب تقييمات المخاطر ما يفعله المهاجمون الآن. ثم تُظهر اختبارات الاختراق الدورية ومحاكاة الهجمات ما إذا كانت آليات الرقابة فعالة عمليًا.

كان حصولنا على شهادة CREST هذا العام جزءًا من ذلك. أردنا اختبار أمن عملائنا وتوثيق نتائجه.

بالنظر إلى السنوات الثلاث إلى الخمس المقبلة، كيف تتصور أن يُحدث الذكاء الاصطناعي تحولًا في قطاع استشارات الأمن السيبراني والامتثال؟ هل تعتقد أن وكلاء الذكاء الاصطناعي سيتولون في نهاية المطاف معظم أنشطة الامتثال الروتينية بشكل مستقل، وكيف تتوقع أن تتطور Axipro مع نضوج هذه التقنيات؟

أعتقد أن وكلاء الذكاء الاصطناعي سيتولون معظم أعمال الامتثال الروتينية في غضون خمس سنوات، مثل جمع الأدلة وتحديث السياسات والإجابة عن الاستبيانات الأمنية. وستواجه صعوبات الشركات التي تجني أموالها من احتساب ساعات العمل لهذه المهام من دون امتلاك خبرة واضحة فيها.

لكنني لا أعتقد أن الوكلاء سيتولون إدارة الامتثال بمفردهم. فكلما تولى الذكاء الاصطناعي مزيدًا من العمل، ازدادت أهمية القرارات المتبقية. فلا بد أن يوافق أحدهم على التدقيق وأن يتعامل مع تبعات أي خطأ. ومع استخدام المهاجمين للذكاء الاصطناعي أيضًا، سيستمر الطلب على المدافعين المهرة في النمو.

في Axipro، أتوقع أن نقضي وقتًا أقل في إعداد الوثائق ووقتًا أكثر في تقديم المشورة للعملاء واختبار أمنهم. وسيتولى الذكاء الاصطناعي الذي طورناه داخليًا مزيدًا من أعمال التنفيذ، فيما سيركز فريقنا على القرارات التي تتطلب حكمًا بشريًا. في عام 2022، اعتقد كثيرون أن الذكاء الاصطناعي سيجعل شركات مثل شركتنا زائدة عن الحاجة. لكنه فعل العكس حتى الآن؛ فقد نمونا أحيانًا بأكثر من 10% شهريًا، وكانت لدينا أعمال تفوق قدرتنا على استيعابها، ولا نتوقع أن تهدأ الأمور.

شكرًا على هذا الحوار الرائع. ويمكن للقراء الراغبين في معرفة المزيد عن الامتثال للأمن السيبراني، وحوكمة الذكاء الاصطناعي، وبناء ممارسات أمنية مستمرة، زيارة Axipro.