Ali Hayat, administrerende direktør og grundlægger af Axipro – Interviewserie

Ali Hayat er administrerende direktør og grundlægger af Axipro. Han kombinerer en baggrund inden for industriel risikostyring og ISO-auditering med erfaring inden for cybersikkerhed og compliance-rådgivning. I begyndelsen af sin karriere arbejdede han i højrisikoindustrimiljøer, hvor sikkerhed, myndighedskrav og operationel risiko var centrale hensyn. Senere opbyggede han Axipro uden ekstern finansiering med fokus på at hjælpe vækstvirksomheder med at indføre praktiske sikkerhedsforanstaltninger, forberede sig på audits og håndtere nye AI-risici.

Axipro er et konsulenthus inden for cybersikkerhed og compliance, der hjælper organisationer med rammeværk som SOC 2, ISO 27001 og ISO 42001 samt med krav til databeskyttelse. Arbejdet kombinerer rådgivning, automatisering af compliance, auditforberedelse og sikkerhedstest med vægt på løbende overvågning og menneskeligt tilsyn. I dette interview taler Hayat om AI-drevne compliance-arbejdsgange, skygge-AI, risici ved autonome agenter, regionale forskelle i styring og forskellen mellem certificering og robust cybersikkerhed.

Din karriere begyndte i højrisikoindustrimiljøer, hvor du arbejdede på projekter med blandt andre Saudi Aramco, ADNOC og TotalEnergies, og hvor sikkerhed, risikostyring og overholdelse af regler var afgørende. Hvad inspirerede dig til at skifte fra industriel sikkerhed og auditing til cybersikkerhed, og hvad fik dig i sidste ende til at grundlægge Axipro?

Jeg grundlagde Axipro, fordi jeg så et hul i markedet, mens jeg arbejdede med kvalitetsstyring. I 2021 bemærkede jeg, at mange nye cybersikkerhedsplatforme blev lanceret med delvist automatiserede løsninger til compliance med SOC 2 og ISO 27001.

Det blev tydeligt, at selv om disse platforme lettede en stor del af compliance-arbejdet for de tekniske teams, krævede de stadig opsætning og vedligeholdelse. Nystartede virksomheder, der i forvejen havde svært ved at følge med væksten, ville derfor betale et team med menneskelig ekspertise for at holde styr på compliance. Sådan blev Axipro til.

I 2022 blev de første AI-platforme lanceret. Det var endnu et aha-øjeblik. Mens mange i branchen frygtede at blive overflødige, indså jeg hurtigt, at det var en kæmpe mulighed. AI ville højst sandsynligt øge antallet af cyberangreb eksponentielt, og der ville være brug for dygtige mennesker til at vejlede nystartede virksomheder om deres sikkerheds- og compliancebehov som reaktion på udviklingen.

I dag er vi Drata Elite Partner og Vanta Preferred Partner, og vi har hjulpet mere end 300 virksomheder med at opnå compliance med førende standarder inden for cybersikkerhed og AI.

Du opbyggede Axipro fra bunden uden ekstern finansiering og udviklede virksomheden til et internationalt konsulenthus, der betjener hundredvis af kunder. Hvad var de største udfordringer ved at starte og drive en cybersikkerhedsvirksomhed uden ekstern kapital, og hvordan har teknologi og automatisering hjulpet dig med at skalere driften og samtidig opretholde servicekvaliteten?

De første par år var ekstremt udfordrende. Fra at bruge hele min opsparing, mens jeg ventede barn, til at opleve de første AI-modeller overtage branchen – de første 2 til 3 år er nok skyld i de grå hår, jeg har fået.

Jeg konkurrerede med nogle få giganter, der havde et etableret omdømme, store kontorer og betydelige marketingbudgetter. Jeg var baseret i Bahrain, havde en baggrund inden for kvalitetsstyring, og mit marketingbudget var 0.

Jeg valgte i stedet at gå imod strømmen: Jeg holdt virksomheden slank og effektiv og satte priser, der lå under de store, veletablerede konkurrenters.

Det skaffede mig mange nye kunder, men vores avancer var små. Likviditetsstyring blev en kunstart, og vi overlevede kun lige de første 2 år. Alt ændrede sig, da vi indgik vores første femcifrede aftale på tværs af flere rammeværk. Det gav os lidt luft, gjorde det muligt for mig at ansætte mine første fuldtidsmedarbejdere og begynde at tænke på markedsføring ud over partnerskaber og henvisninger.

Axipro fokuserer på at gøre komplekse compliance-rammeværk enklere gennem digital transformation og automatisering. Hvordan ændrer kunstig intelligens traditionelle compliance-arbejdsgange, og hvilke aktiviteter mener du giver de største muligheder for effektivitetsgevinster drevet af AI?

Compliancebranchen har haft stor gavn af AI. Tidligere var branchen afhængig af store mængder gentaget arbejde, såsom indsamling og kortlægning af dokumentation, besvarelse af sikkerhedsspørgeskemaer og udarbejdelse af politikker. Næsten alle disse opgaver er nu automatiseret. AI har også muliggjort løbende overvågning og varsling om risici inden for cybersikkerhed og compliance.

AI indgår nu i næsten alle trin i complianceprocessen. Når vi onboarder en ny kunde, foretager vores egen AI en automatiseret risikovurdering baseret på virksomhedens branche, størrelse og placering. Vi har en stor database med tidligere kundeopgaver, som hjælper os med automatisk at afdække potentielle risici og advarselstegn. Det er sandsynligvis den største merværdi, AI giver.

Cyberangribere har også haft gavn af AI, og antallet af angreb er steget eksponentielt. Der er en slags AI-mod-AI-våbenkapløb, hvor virksomheder som vores arbejder med automatisk trusselsdetektion på den ene side, mens hackere automatiserer angreb på den anden.

Det er her, menneskelig dømmekraft kommer ind i billedet, og den er central for vores måde at arbejde på: AI skal håndtere gentagne opgaver og skabe operationel effektivitet, så mennesker kan fokusere på at vurdere trusler og reagere på dem.

Mange organisationer betragter stadig cybersikkerhedsefterlevelse som en periodisk øvelse, der handler om at forberede sig på revisioner. Hvordan ændrer AI-drevne værktøjer og platforme til løbende overvågning som Drata denne tilgang, og hvad betyder overgangen til løbende efterlevelse for virksomheder?

Da jeg begyndte at arbejde med efterlevelse, frygtede alle revisionssæsonen. Virksomhederne så bort fra deres kontroller det meste af året og brugte derefter flere uger på at jagte skærmbilleder og logfiler inden revisionsfristen. At bestå betød, at man efterlevede kravene den dag, og det var stort set det.

Drata og lignende platforme har ændret dette. De opretter forbindelse til virksomhedens cloud- og HR-værktøjer og kontrollerer foranstaltningerne hver dag. Hvis nogen slår MFA fra, eller en tidligere medarbejder stadig har adgang, bliver det opdaget med det samme, og vores team retter det med det samme.

For virksomheder er efterlevelse ikke længere et årligt projekt, men en del af den daglige drift. Revisioner bliver kortere og billigere, og salgsteams kan på anmodning vise virksomhedskunder deres sikkerhedsstatus, hvilket hjælper med at lukke aftaler hurtigere.

Databeskyttelse og cybersikkerhed er langsomt ved at gå fra at være et krav i følsomme brancher til at blive et markedsføringsaktiv, der skaber merværdi.

I takt med at organisationer i stigende grad bruger AI til at udarbejde sikkerhedsdokumentation, vurdere risici og gennemgå dokumentation for efterlevelse, hvordan kan de så sikre, at disse systemer leverer præcise og pålidelige resultater? Hvor bør menneskelig ekspertise fortsat være afgørende i revisions- og certificeringsprocessen?

AI er meget god til at skrive dokumenter, der lyder rigtige. En politik kan se perfekt ud og stadig beskrive processer, som virksomheden ikke har.

Vi håndterer det ved at lade AI udarbejde udkast og markere problemer, mens et medlem af vores team kontrollerer alt, før det sendes til kunden eller revisoren. Alt, hvad AI udarbejder, bør også henvise til den dokumentation, det bygger på, så vi kan verificere det.

Intern og ekstern revision er et område, hvor jeg trækker en klar grænse. Revisorer står inde for deres arbejde med deres navn og faglige omdømme. AI kan hjælpe dem med at gennemgå dokumentationen hurtigere, men beslutningen om, hvorvidt en virksomhed skal certificeres, bør træffes af et menneske. Hvis ingen holdes ansvarlig, mister certifikatet sin værdi.

Axipro hjælper organisationer med at navigere i standarder som ISO 27001, SOC 2 og ISO 42001, den internationale standard for AI-ledelsessystemer. Hvilke nye udfordringer møder virksomheder, når de forsøger at etablere ansvarlig AI-styring, og hvordan adskiller håndteringen af AI-relaterede risici sig fra traditionel efterlevelse af krav til informationssikkerhed?

De fleste virksomheder, vi taler med, ved ikke engang, hvor meget AI de bruger. Det kaldes »skygge-AI«.

Marketing har tilmeldt sig ét værktøj, udviklerne har integreret en model i produktet, og en medarbejder i økonomiafdelingen indsætter regneark i en chatbot. Intet af det er ondsindet; folk forsøger at arbejde hurtigere, og AI-værktøjer er billige og hurtige. Det kan dog let føre til, at virksomhedsdata bliver eksponeret.

Det første og vigtigste skridt i de fleste ISO 42001- og AI-efterlevelsesprojekter er at kortlægge det hele. Vi gennemgår udgiftsrapporter, tilmeldinger til software og netværksdata, og vi taler med hvert team om, hvad de rent faktisk bruger til daglig. Listen, vi ender med, er næsten altid længere end forventet.

Det virker sjældent at forbyde AI, og det er både kontraproduktivt og ineffektivt. Vi ønsker, at vores kunder skal kunne drage fordel af den effektivisering, som AI-modeller giver. En bedre tilgang er at give medarbejderne godkendte værktøjer, der løser opgaven, fastsætte klare regler for, hvilke data de må bruge i værktøjerne, og gøre det nemt at anmode om nye værktøjer.

AI-styring rejser også spørgsmål, som informationssikkerhed aldrig har været nødt til at stille. Med ISO 27001 er hovedformålet at holde de forkerte personer væk fra dine data. Med ISO 42001 skal du også vide, om AI fungerer korrekt, om du kan forklare dens beslutninger, og hvem der har ansvaret, når den begår en fejl.

Disse risici ændrer sig også hurtigere. En leverandør kan opdatere en model fra den ene dag til den anden og ændre den måde, dit produkt fungerer på, uden at du rører noget.

Virksomheder, der allerede har ISO 27001, har et forspring. Begge standarder bruger den samme struktur for ledelsessystemer, så meget af grundarbejdet er allerede gjort.

Med fremkomsten af autonome AI-agenter, der kan få adgang til følsomme oplysninger, interagere med virksomhedssystemer og udføre forretningsprocesser, hvilke nye cybersikkerheds- og efterlevelsesrisici bør organisationer forberede sig på? Er de eksisterende sikkerhedsrammer rustet til at håndtere disse stadig mere autonome systemer?

Agenter er det område, jeg følger mest nøje lige nu. Almindelig software gør præcis, hvad den får besked på. En agent træffer sine egne beslutninger, og den kan både narres og narre andre, som vi så ved hændelsen med Hugging Face.

Den mest almindelige risiko, vi ser, er prompt injection. En angriber kan skjule instruktioner i en e-mail eller en PDF-fil, og når din agent læser den, følger den instruktionerne ved hjælp af den adgang, du har givet den.

Den anden risiko er, at virksomheder giver agenter alt for omfattende adgang, fordi det er nemmere. Ofte giver medarbejdere AI-agenter adgang via deres egne e-mailkonti i stedet for dedikerede konti, hvilket gør det ekstremt svært at afgøre, om en ændring er foretaget af et menneske eller en bot. Hvis logningen også er mangelfuld, ved man måske slet ikke, hvad agenten har gjort.

ISO 27001 og SOC 2 dækker stadig grundlæggende områder som adgangskontrol og logning, og ISO 42001 hjælper på AI-området. Ingen af dem er dog udarbejdet med autonome agenter for øje, og jeg forventer, at der snart kommer ny vejledning.

AIUC-1 er ved at blive en førende standard for AIUC-1, og vi er netop begyndt at uddanne vores medarbejdere i at implementere den. Vi har haft et par samtaler med kunder om den, men har endnu ingen casestudier at fremlægge. Den har stærk opbakning fra store cybersikkerhedsvirksomheder, så vi forventer, at denne ramme bliver den førende standard for AI-agenter.

Du har arbejdet i Mellemøsten, Europa og USA og har derfor mødt forskellige lovgivningsmæssige rammer og tilgange til risikostyring. Hvordan påvirker regionale forskelle inden for AI-styring og databeskyttelse den måde, virksomheder implementerer AI på, og hvilke udfordringer opstår, når organisationer opererer på tværs af flere jurisdiktioner?

Jeg bor i Bahrain og arbejder med kunder i Europa og USA, og jeg er holdt op med at forvente, at AI-reglerne vil nærme sig hinanden. Tværtimod bevæger regionerne sig længere fra hinanden.

Europa regulerer gennem lovgivning. EU’s AI-forordning inddeler AI-systemer efter risiko og fastlægger, hvad hver kategori skal leve op til, så europæiske virksomheder har en tendens til at gå forsigtigt frem og dokumentere alt. USA har ingen føderal AI-lovgivning, og markedet står for størstedelen af reguleringen. Købere stiller krav om rammer som NIST’s AI RMF i deres kontrakter, og ansvarsreglerne dækker resten. Kina følger en tredje vej og indfører nye regler, hver gang en teknologi medfører en ny risiko.

Golfregionen finder jeg mest interessant. Saudi-Arabien har for eksempel endnu ikke en generel AI-lov. De fleste bindende regler findes i databeskyttelseslovgivningen og reglerne for offentlige indkøb, fordi staten er den største køber af teknologi i regionen. Hvilke krav man skal overholde, afhænger i høj grad af, hvem kunden er. Da SDAIA, den saudiske tilsynsmyndighed, selv blev ISO 42001-certificeret i 2024, viste det markedet, hvilken standard myndigheden ville efterspørge i udbud.

Det sværeste er, når en virksomhed opererer i mere end én af disse regioner. En SaaS-virksomhed i Riyadh, der sælger til Europa, kan opfylde EU’s tekniske krav og stadig ikke leve op til de saudiske regler for dataregistrering og -overførsel. Ingen af parterne accepterer den andens dokumentation.

Vores tilgang er at opbygge et fælles fundament, der kan bruges på tværs af regioner: ISO 42001 sammen med ISO 27001. Derefter tilføjer vi kravene i de enkelte regioner. ISO 42001 gør dig ikke i sig selv lovmedholdelig noget sted, men det er det nærmeste, vi kommer på et fælles sprog, som alle disse regioner accepterer.

Der er ofte stor forskel på at opnå en sikkerhedscertificering og at opretholde reel robusthed over for cybersikkerhedstrusler. Hvordan kan organisationer bruge AI og automatisering til at gå videre end blot at sætte flueben for at opfylde kravene og i stedet udvikle sikkerhedspraksisser, der løbende tilpasses nye trusler?

Jeg har set virksomheder med en helt ny SOC 2-rapport og grundlæggende sikkerhedshuller, som ingen havde opdaget. Målet havde været at bestå revisionen. Et certifikat viser, at en virksomhed opfyldte en standard på en bestemt dato, men ikke, om den kan standse et angreb.

For at komme videre skal man spørge, om hver enkelt kontrol kan modstå en afprøvning. Automatisering hjælper meget her. Kontinuerlig overvågning opdager problemer, mens de stadig er små, og aktuelle trusselsdata sikrer, at risikovurderingerne afspejler det, angriberne gør lige nu. Regelmæssige penetrationstests og angrebssimuleringer viser derefter, om kontrollerne fungerer i praksis.

At blive CREST-certificeret i år var en del af dette arbejde for os. Vi ønskede at teste vores kunders sikkerhed og dokumentere resultaterne.

Hvordan ser du AI forandre konsulentbranchen inden for cybersikkerhed og compliance i løbet af de næste tre til fem år? Tror du, at AI-agenter på sigt vil kunne håndtere de fleste rutinemæssige complianceopgaver selvstændigt, og hvordan ser du Axipro udvikle sig, efterhånden som disse teknologier modnes?

Jeg tror, at AI-agenter vil kunne håndtere det meste rutinemæssige compliancearbejde inden for fem år, for eksempel indsamling af dokumentation, opdatering af politikker og besvarelse af sikkerhedsspørgeskemaer. Virksomheder, der tjener penge på at fakturere timer for dette arbejde uden at kunne fremvise nogen tydelig ekspertise, vil få det svært.

Jeg tror dog ikke, at agenter vil kunne stå for compliance på egen hånd. Jo mere arbejde AI overtager, desto vigtigere bliver de beslutninger, der er tilbage. Nogen skal stadig godkende en revision og håndtere konsekvenserne, når noget går galt. Eftersom angribere også bruger AI, vil efterspørgslen efter dygtige forsvarsspecialister fortsat vokse.

Hos Axipro forventer jeg, at vi vil bruge mindre tid på dokumentation og mere på at rådgive kunder og teste deres sikkerhed. Vores interne AI vil overtage flere af de opgaver, vi leverer, mens vores team vil fokusere på beslutninger, der kræver menneskelig dømmekraft. Tilbage i 2022 troede mange, at AI ville gøre virksomheder som vores overflødige. Indtil videre er det gået stik modsat: Vi er vokset med 10 % eller mere fra måned til måned, har til tider haft mere arbejde, end vi kan håndtere, og forventer ikke, at der bliver mindre travlt.

Tak for det gode interview. Læsere, der ønsker at lære mere om efterlevelse af cybersikkerhedskrav, AI-governance og opbygning af løbende sikkerhedspraksis, bør besøge Axipro.