Sri Iyer, CTO a spoluzakladatel Kovr.ai – rozhovor

Sri Iyer, CTO a spoluzakladatel Kovr.ai, je zkušený technologický lídr s rozsáhlými zkušenostmi s inovacemi v oblasti umělé inteligence, datové analýzy, kvantového výpočtu a automatizace. Před založením Kovr.ai zastával seniorní pozice v Amazonu, Guidehouse, PwC a Raytheon, kde vedl týmy, které vyvíjely řešení pro veřejný a soukromý sektor. S více než desetiletými zkušenostmi v oblasti nových technologií a mnoha průmyslovými certifikacemi si Iyer vybudoval reputaci pomoci organizacím využít inovativní nástroje pro řešení složitých obchodních a bezpečnostních problémů.

Kovr.ai předefinuje kybernetickou compliance prostřednictvím AI-nativní platformy navržené pro cloudové a hybridní prostředí. Společnost automatizuje komplexní regulační rámce, jako je FedRAMP a CMMC, pomocí reálných, kódem řízených inteligentních nástrojů, což umožňuje podnikům získat autorizaci k provozu (ATO) za pouhých 15 minut. Nahrazující tradiční manuální konzultace a inflexibilní nástroje pro compliance, Kovr.ai poskytuje škálovatelný, adaptivní přístup k řízení rizik, který umožňuje vysoce regulovaným organizacím zůstat zabezpečené, dodržovat předpisy a být připravené na nepřetržitou změnu.

Předtím, než jste založili Kovr.ai, jste zastával seniorní pozice v AWS, PwC a různých startupů zaměřených na federální vládu. Jaké osobní nebo profesionální zkušenosti vás vedly k tomu, že jste si uvědomili, že existuje lepší způsob, jak řešit federální IT compliance – a nakonec vás inspirovaly k založení Kovr.ai?

Zažil jsem výzvy federální IT compliance z obou stran – jako vlastník systému, který buduje velké platformy pro ministerstvo obrany, a později jako líder týmu, který vedl cloudové a AI iniciativy v AWS. V jednom případě systém, na kterém jsem pracoval, trval roky, než byl vyvinut, ale poté byl zadržen v compliance ještě déle. Tato frustrace byla zlomovým bodem.

V AWS jsem vedl týmy, které podporovaly služby, které procházely procesy FedRAMP a podobnými procesy compliance. Navzdory rozsáhlým zdrojům Amazonu může získání autorizace služeb v nových regionech trvat až tři roky. I na této úrovni byly nejlepší interní řešení vlastně glorifikované tabulky – nástroje jako Quip nebo Google Docs – pro sledování a správu procesu. Nerovnost byla ohromující a viděl jsem přímo, že většina agentur čelila stejnému problému.

Po mnoho let jsem věřil, že musí existovat lepší způsob, ale složitost mapování tisíců kontrol napříč kódy a dokumentací dělala automatizaci skutečnou výzvou. To se změnilo, když jsem vedl tým architektury AI/ML řešení v AWS. Sledování, jak generativní AI může transformovat manuální pracovní postupy, bylo otevřením očí. Najednou se zdálo, že cokoli, co se zdálo nemožné – snížení zátěže compliance místo jejího pouze přesunutí do jiného nástroje – je proveditelné.

Po nějaké experimentaci a výzkumu můj nyní spoluzakladatel a já si uvědomili, že můžeme postavit platformu, která nejen sleduje compliance, ale také významně urychluje. Tato myšlenka byla základem Kovr.ai, způsobem, jak využít AI ke snížení, ne pouze ke správě, zátěže federální IT compliance.

Mnohé technologické startupy bojují se složitostí, náklady a tempem federálních požadavků na compliance. Jaké byly některé z největších překážek, se kterými jste se setkali na počátku – a jak Kovr.ai úspěšně překonalo tyto výzvy a postavilo životaschopné řešení?

Kovr.ai se na počátku setkalo s několika významnými překážkami při řešení federální compliance pro technologické startupy, včetně:

• Složitost a manuální procesy: Startupy často považovaly federální compliance za přehlcující kvůli velkému počtu kontrol (například NIST 800-53 má více než 1200 kontrol) a manuálním, tabulkám řízeným procesům, které se obvykle používaly. To činilo compliance pomalou, chybovou a náročnou na zdroje.
• Pomalá zpětná vazba a iterace: Tradiční procesy compliance vyžadovaly dlouhé cykly zpětné vazby a iterací mezi týmy a konzultanty, což zpožďovalo pokrok a činilo obtížným pro startupy zjistit, kde stojí, nebo co mají dále řešit.
• Vysoké náklady a zátěž zdrojů: Startupy, s omezeným časem a penězi, měly obtíže s prioritizací compliance před svými hlavními produktovými plány, často zpožďovaly vládní práce o roky.

Překonali jsme tyto překážky pomocí automatizace, flexibilních vstupů, rychlých iterací a hluboké integrace pracovních postupů, abychom učinili compliance více přístupnou pro startupy. Platforma automaticky skenuje dokumentaci, kód a cloudová prostředí, aby je mapovala na kontrolní body compliance a poskytla okamžité hodnocení mezery. Podporuje artefakty v jakémkoli formátu, snižuje bariéry vstupu a zdůrazňuje rychlou uživatelskou zpětnou vazbu, aby zajistila reálnou relevanci. Integrací kontrol compliance do vývojových kanálů Kovr.ai pomáhá týmům integrovat compliance bez větších přerušení.

Jak změna směrem k strojově čitelným formátům compliance, jako je OSCAL [Open Security Controls Assessment Language], změnila přístup dodavatelů a agentur k bezpečnosti?

OSCAL má potenciál učinit compliance více automatizovaným a efektivním, ale jeho dopad je目前 omezen tempem přijetí mezi dodavateli a agenturami. Jakmile více stran použije OSCAL, očekává se, že se zvýší výhody automatizace a standardizace v procesech compliance. Kovr.ai je postaven na OSCAL, což mu umožňuje přenášet a zpracovávat informace o compliance v tomto formátu, ale širší výhody budou realizovány pouze tehdy, když více zúčastněných stran přijme pracovní postupy založené na OSCAL.

Popište Kovr.ai jako „compliance copilot“. Proveďte nás skrze to, co to znamená v praxi – od dokumentace až po připravenost na audit. Co se děje na pozadí, aby se celý proces, od dokumentace až po připravenost na audit, stal rychlejším a snadnějším pro uživatele?

Na pozadí Kovr.ai využívá AI a automatizaci k eliminaci manuální práce, poskytuje okamžitou zpětnou vazbu a udržuje dokumentaci compliance aktuální, což činí celý proces, od dokumentace až po připravenost na audit, mnohem rychlejším a snadnějším pro uživatele.

Uživatelé mohou přinést jakýkoli compliance artefakt, který již mají, v jakémkoli formátu – dokumenty, kód, cloudová data prostředí, architektonické diagramy atd. Odtud Kovr.ai automaticky skenuje každou řádku každé dokumentace, kódu a prostředí a mapuje všechny tyto informace na relevantní bezpečnostní kontroly, jako jsou ty v NIST 800-53. To se provádí pomocí AI modelů, které vytvářejí komplexní znalostní graf uživatelského compliance prostředí.

Poté náš systém vyhodnotí každou kontrolu, identifikuje mezery a generuje akční doporučení pro nápravu. Uživatelé mohou řešit tyto mezery aktualizací svého prostředí nebo dokumentace a opětovným nahráním do Kovr.ai, které poté poskytuje okamžitou zpětnou vazbu o tom, zda jsou problémy vyřešeny. Skvělé zprávy jsou, že tento proces lze opakovat tolikrát, kolik je třeba, umožňující uživatelům iterativně zlepšovat svou compliance pozici s rychlou, automatizovanou zpětnou vazbou, eliminující tradiční zpoždění mezi týmy a konzultanty.

Kovr.ai může také generovat všechny požadované dokumenty compliance, včetně vládních šablon, jako jsou FedRAMP SSP, pomocí informací v znalostním grafu.

Nakonec platforma udržuje všechny informace o compliance aktuální a může je balit pro auditory. Často mohou auditoři přímo přístupovat do Kovr.ai, aby prohlédli a dotazovali compliance data, což urychluje proces auditu.

Startupy často čelí obtížnému rozhodnutí: pohybovat se rychle a riskovat chyby, nebo zpomalit, aby splnily compliance. Jak jste se vyrovnali s tímto rozhodnutím při budování Kovr.ai – a jakou radu byste dali jiným inovátorům, kteří se snaží expandovat do regulovaných trhů?

Kovr.ai byl postaven s compliance a bezpečností na mysli od samého počátku, zahrnující funkce, jako jsou vzduchově izolované systémy, silná autentizace a šifrování, aby podpořil regulovaná prostředí. Také jsme integrovali automatizované kontroly compliance přímo do našeho DevOps kanálu, umožňující časnou detekci problémů a vyhýbání se dlouhým kontrolám a zaměřili se na rychlé prototypování a integraci na základě uživatelské zpětné vazby, zajišťující, že produkt splňuje uživatelské potřeby, zatímco zůstává v souladu s předpisy. Automatizace dále snížila manuální režii, umožňující rychlý a bezpečný vývoj v měřítku.

Pro inovátory je důležité začlenit compliance a bezpečnost do produktu od samého počátku, zejména pro regulované trhy. Integrujte automatizované kontroly compliance do svého DevOps kanálu, abyste mohli časně odhalit problémy a přivést lidské odborníky na compliance, když je to potřeba. Zatímco compliance může zpomalit vývoj funkcí, nakonec ušetří čas, aby se zabránilo nákladnému přepracování.

Mluvili jste o potřebě modernizovat federální zadávání. Které části současného systému se zdají nejvíce zastaralé – a jaké praktické změny by učinily soutěž pro začínající společnosti snazší?

Federální zadávací systém často vypadá zastarale, s pomalými akvizičními cykly, financováním, které upřednostňuje operace před inovacemi, a složitými nákupními mechanismy, které činí obtížným pro startupy prorazit. Aby se podpořily začínající společnosti, praktické reformy zahrnují přidělení více flexibilního, inovativně zaměřeného financování, snížení akvizičních prahů pro rychlejší, menší nákupy, rozšíření přístupu k zadávacím vozidlům, jako je DOD Tradewinds, a vytvoření zjednodušených, „app-store“-podobných platforem, aby se usnadnilo, jak agentury objevují a nakupují nové technologie.

Ohlédnutím se, jaké základní rozhodnutí – kolem architektury, marketingové strategie nebo náboru – se ukázala jako nejvýznamnější pro to, aby Kovr.ai dosáhlo svého současného stavu?

Nejvýznamnějšími základními rozhodnutími pro Kovr.ai byly rychlé prototypování a iterace, uživatelsky řízená vize produktu, flexibilní výrobní strategie, budování komunity zpětné vazby a udržování silného zaměření na potřeby zákazníků. Tyto volby nám umožnily postavit řešení, které skutečně řeší výzvy federální compliance.

Jako CTO, jak dosáhnete správné rovnováhy mezi rychlou inovací a udržením compliance?

Rovnováhu mezi inovací a compliance dosahuji začleněním compliance do každé fáze vývoje, využíváním automatizace, udržováním flexibilních výrobních prostředí a blízkou vazbou na potřeby uživatelů a odborné rady. Tyto postupy zajišťují, že obě priority – rychlá inovace a compliance – jsou konzistentně plněny.

Pohledem do budoucna, kde vidíte Kovr.ai expandující dále – zda do státní a místní vlády, do dalších regulovaných odvětví, jako je finance a energie, nebo dokonce na mezinárodní trhy?

Tým bude pokračovat v pokroku technologie Kovr.ai pro nepřetržitou a automatizovanou správu compliance, expandující v několika směrech za současného zaměření na federální vládní compliance. To zahrnuje expanzi do státní a místní vlády, dalších regulovaných odvětví, jako je finance, energie a zdravotnictví, a mezinárodních trhů.

Děkuji za skvělý rozhovor, čtenáři, kteří si přejí dozvědět se více, by měli navštívit Kovr.ai.