Joe Regensburger, Vicepræsident for Forskning, Immuta – Interviewserie

Joe Regensburger er i øjeblikket Vicepræsident for Forskning hos Immuta. En leder inden for datasikkerhed, Immuta giver organisationer mulighed for at låse værdien i deres clouddata ved at beskytte den og give sikker adgang.

Immuta er designet til at integrere næsten uden problemer i jeres cloudmiljø og giver native integrationer med de førende cloud-leverandører. Ved at følge NIST-cybersikkerhedsrammen, dækker Immuta det meste af datasikkerhedsbehovene for de fleste organisationer.

Dit uddannelsesbaggrund er i fysik og anvendt matematik, hvordan endte du med at arbejde med datavidenskab og -analyse?

Min forskningsfelt var Eksperimentel Højenergi-fysik. Analyse af data i dette felt kræver en stor mængde statistisk analyse, især adskillelse af signatures af sjældne begivenheder fra mere hyppige baggrunds begivenheder. Disse færdigheder er meget lig dem, der kræves i datavidenskab.

Kan du beskrive, hvad din nuværende rolle som Vicepræsident for Forskning hos datasikkerhedslederen Immuta indebærer?

Hos Immuta er vi fokuseret på datasikkerhed. Dette betyder, at vi skal forstå, hvordan data bliver brugt, hvordan det kan misbruges, og give datafagfolk de værktøjer, der er nødvendige for at støtte deres mission, samtidig med at vi forhindrer misbrug. Så vores rol indebærer at forstå kravene og udfordringerne for datafagfolk, især i forhold til regler og sikkerhed, og hjælpe med at løse disse udfordringer. Vi ønsker at mindske de regulerende krav og give datafagfolk mulighed for at fokusere på deres kerneopgave. Min rol er at hjælpe med at udvikle løsninger, der mindske disse byrder. Dette inkluderer udvikling af værktøjer til at opdage følsomme data, metoder til at automatisere dataklassificering, opdage, hvordan data bliver brugt, og skabe processer, der gennemtvinger datapolitikker for at sikre, at data bliver brugt korrekt.

Hvad er de største udfordringer i AI-styring i forhold til traditionel datastyring?

Teknologilederne har nævnt, at AI-styring er et naturligt næste skridt og udvikling fra datastyring. Det sagt, er der nogle nøgleforskelle at holde øje med. Først og fremmest kræver AI-styring en vis tillid til outputtet fra AI-systemet. Med traditionel datastyring kunne dataledere let spore fra et svar til en resultatside ved hjælp af en traditionel statistisk model. Med AI bliver sporing og afstamning en reel udfordring, og linjerne kan let blive uklare. At kunne stole på udfaldet af jeres AI-model kan blive negativt påvirket af hallucinationer og konfabulationer, som er en unik udfordring for AI, der skal løses for at sikre ordentlig styring.

Tror du, der er en universel løsning til AI-styring og datasikkerhed, eller er det mere tilfældesspecifikt?

“Jeg tror ikke, der er en løsning, der passer alle, når det kommer til AI-styring og datasikkerhed, men der er bestemt overvejelser, dataledere skal tage i betragtning nu for at lægge grundlag for sikkerhed og styring. Når det kommer til at styre AI, er det virkelig vigtigt at have kontekst om, hvad AI-modellen bliver brugt til og hvorfor. Hvis du bruger AI til noget mere mundænt med mindre indvirkning, vil din risikokalkulator være meget lavere. Hvis du bruger AI til at træffe beslutninger om sundhedspleje eller træne en selvstændig bil, vil din risikoindvirkning være meget højere. Dette er ligesom datastyring; hvorfor data bliver brugt er lige så vigtigt som, hvordan det bliver brugt.

Du skrev for nylig en artikel med titlen “Addressing the Lurking Threats of Shadow AI”. Hvad er Shadow AI, og hvorfor skal virksomheder tage notits af dette?

“Shadow AI kan defineres som den ukontrollerede brug af ikke-godkendte AI-værktøjer, der falder uden for en organisations styringsramme. Virksomheder skal være opmærksomme på dette fænomen for at beskytte data, fordi indsættelse af interne data i en ikke-godkendt ansøgning som et AI-værktøj kan præsentere enormt risiko. Shadow IT er generelt velkendt og relativt let at styre, når det først er blevet opdaget. Man kan blot dekommissionere ansøgningen og gå videre. Med Shadow AI har man ikke en klar bruger aftale om, hvordan data bliver brugt til at træne en AI-model, eller hvor modellen til sidst deler sine svar, når de er blevet genereret. I virkeligheden mister man kontrollen over data, så snart det er kommet ind i modellen. For at mindske den potentielle risiko for Shadow AI skal organisationer etablere klare aftaler og formaliserede processer for at bruge disse værktøjer, hvis data skal forlade miljøet overhovedet.

Kan du forklare fordelene ved at bruge attributbaseret adgangskontrol (ABAC) i forhold til traditionel rollebaseret adgangskontrol (RBAC) i datasikkerhed?

Rollebaseret adgangskontrol (RBAC) fungerer ved at begrænse tilladelser eller systemadgang baseret på en persons rolle inden for organisationen. Fordelen her er, at det gør adgangskontrol statisk og lineær, fordi brugere kun kan få adgang til data, hvis de er tildelt bestemte forudbestemte roller. Mens en RBAC-model traditionelt har fungeret som en håndsfri måde at kontrollere intern dataanvendelse på, er den ikke udestræbelig, og i dag kan vi se, at dens enkelhed også er dens største svaghed.

RBAC var praktisk for en mindre organisation med begrænsede roller og få datainitiativer. Nutidige organisationer er data-drevne med databehov, der vokser over tid. I denne stadig mere almindelige situation falder RBAC’s effektivitet fra hinanden. Heldigvis har vi en mere moderne og fleksibel mulighed for adgangskontrol: attributbaseret adgangskontrol (ABAC). ABAC-modellen tager en mere dynamisk tilgang til dataadgang og -sikkerhed end RBAC. Den definerer logiske roller ved at kombinere de observerbare attributter af brugere og data og træffer adgangsbeslutninger baseret på disse attributter. En af ABAC’s største styrker er dens dynamiske og skalerbare natur. Da dataanvendelses scenarier vokser, og data-demokratisering giver flere brugere inden for organisationer adgang, skal adgangskontroller kunne udvides med deres miljøer for at opretholde konsekvent datasikkerhed. En ABAC-system tenderer også til at være inherent mere sikker end tidligere adgangskontrollmodeller. Det højeste niveau af datasikkerhed kommer ikke på bekostning af skalerbarhed. I modsætning til tidligere adgangskontrol- og styringsstandarder skaber ABAC’s dynamiske karakter en fremtidssikret model.”

Hvad er de nøgletrin i at udvide dataadgang, samtidig med at man opretholder en robust datastyring og -sikkerhed?

Adgangskontrol til data bruges til at begrænse adgangen, tilladelserne og privilegierne, der gives til bestemte brugere og systemer for at sikre, at kun autoriserede personer kan se og bruge bestemte datasæt. Det sagde, har dataholdene brug for adgang til så meget data som muligt for at drive de mest præcise forretningsindsigter. Dette præsenterer et problem for data-sikkerheds- og styringsteams, der er ansvarlige for at sikre, at data er tilstrækkeligt beskyttet mod uautoriseret adgang og andre risici. I en stadig mere data-drevet forretningsmiljø skal der være balance mellem disse modsatrettede interesser. I fortiden prøvede organisationer at opnå denne balance ved hjælp af en passiv tilgang til adgangskontrol, som præsenterede data-bottlenecks og holdt organisationer tilbage, når det kom til hastighed. For at udvide dataadgang, samtidig med at man opretholder en robust datastyring og -sikkerhed, skal organisationer adoptere automatiseret adgangskontrol, som introducerer hastighed, fleksibilitet og præcision i processen med at anvende regler på data. Der er fem trin at mestre for at automatisere jeres adgangskontrol:

1. Skal kunne understøtte ethvert værktøj, et datahold bruger.
2. Skal kunne understøtte alle data, uanset hvor de er gemt eller den underliggende lagringsteknologi.
3. Kræver direkte adgang til de samme live-data på tværs af organisationen.
4. Enhver, med ethvert niveau af ekspertise, kan forstå, hvilke regler og politikker der anvendes på virksomhedens data.
5. Data-sikkerheds-politikker skal være placeret i én central lokalitet.
6. Når disse søjler er mestret, kan organisationer bryde fri fra den passive tilgang til adgangskontrol og aktivere en sikker, effektiv og skalerbar adgangskontrol.

I forhold til realtids-overvågning af data, hvordan giver Immuta organisationer mulighed for at proaktivt styre deres dataanvendelse og -sikkerhedsrisici?

Immuta’s Detect-produkt giver organisationer mulighed for at proaktivt styre deres dataanvendelse ved automatisk at score data baseret på, hvor følsomt det er, og hvordan det er beskyttet (såsom data-maskering eller en erklæret formål med at få adgang til det), så data- og sikkerhedsteams kan prioritere risici og få beskeder i realtid om potentielle sikkerhedsincidenser. Ved hurtigt at fremhæve og prioritere dataanvendelses-risici med Immuta Detect kan kunderne reducere tiden til risikomindskning og samlet opretholde en robust datasikkerhed for deres data.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Immuta.