Elizabeth Nammour, CEO & Gründerin von Teleskope – Interview-Serie

Elizabeth Nammour, CEO und Gründerin von Teleskope, ist eine Sicherheitsingenieurin, die zu einer Gründerin wurde, deren Karriere Daten-Sicherheit, Software-Engineering und Innovationsrollen bei einigen der größten Technologie-Unternehmen der Welt umfasst. Während ihrer Arbeit als leitende Software-Ingenieurin mit Fokus auf Daten-Sicherheit bei Airbnb (ABNB ), stieß sie auf die operative Herausforderung, enorme, schnell wachsende Daten-Bestände zu verstehen und zu kontrollieren, die über Dutzende von Systemen verteilt waren. Diese Erfahrung, kombiniert mit früheren technischen und strategischen Rollen bei Amazon (AMZN ) und Booz Allen Hamilton (BAH ), prägte ihre Perspektive darauf, wie moderne Organisationen Schwierigkeiten haben, sensible Daten im großen Maßstab zu verwalten, und führte letztendlich dazu, dass sie ein Unternehmen gründete, um diese Lücke zu schließen.

Teleskope ist eine moderne Daten-Sicherheitsplattform, die Unternehmen hilft, kontinuierlich zu verstehen, wo ihre Daten leben, wie sie verwendet werden und welche Risiken sie erzeugen, wenn Umgebungen komplexer werden. Die Plattform ist für Entwickler und Sicherheitsteams konzipiert und betont präzise Daten-Sichtbarkeit, automatisierte Remediation und politikgesteuerte Kontrollen über Cloud-, SaaS- und Hybrid-Umgebungen hinweg. Indem sie über statische Audits und manuelle Prozesse hinausgeht, zielt Teleskope darauf ab, Unternehmen eine praktische Grundlage für die Verwaltung von Daten-Sprawl zu bieten, während sie gleichzeitig die verantwortungsvolle Adoption von KI ermöglicht.

Sie haben Teleskope gegründet, nachdem Sie in-house Daten-Sicherheits-Tools bei Airbnb entwickelt hatten, um Daten zu katalogisieren und zu klassifizieren, im großen Maßstab. Welcher Moment überzeugte Sie davon, dass dies ein Unternehmen und kein internes Projekt sein musste, und wie haben diese frühen Lektionen Ihre Produkt-These geprägt?

Als ich dieses Produkt bei AirBnB fertiggestellt hatte, hatte ich die Gelegenheit, einen Beitrag auf dem AirBnB-Blog zu schreiben, der “Automatisierung des Datenschutzes im großen Maßstab” hieß. Ich hatte nicht wirklich erwartet, dass etwas daraus werden würde, aber die Sicherheits-Community reagierte sehr positiv und ich begann, von Praktikern auf der ganzen Welt kontaktiert zu werden. Ich hatte definitiv diesen Moment, in dem ich erkannte, dass so viele Menschen die gleichen Herausforderungen hatten, mit denen ich konfrontiert war, und dass dieses Produkt etwas war, das der Markt wirklich verlangte. Ich habe mich sehr auf Feedback von Kollegen in den frühen Tagen gestützt und sogar Teleskope v1.0 war viel besser als das, was ich ursprünglich bei AirBnB entwickelt hatte. Heute ist unser Produkt viel größer und einflussreicher, als ich es mir damals hätte vorstellen können.

Ihre multi-modale Klassifizierungs-Pipeline kombiniert traditionelles ML, format-spezifische Modelle und GenAI-Validierung. Können Sie uns durch die Entscheidungslogik führen und erklären, wie Sie falsche Positiv- und Negativ-Ergebnisse im großen Maßstab reduzieren?

Ich würde definitiv empfehlen, unseren Blog zu lesen, den ich zusammen mit unserem Leiter der Daten-Wissenschaft, Ivan, über Daten-Klassifizierung geschrieben habe. Ich werde zunächst sagen, dass dies eine Kunst ist, so sehr wie es eine Wissenschaft ist. Es gibt eine enorme Menge an Nuancen – jedes Mal, wenn Sie eine sensible Daten-Entität finden, ist der Kontext einzigartig. Gleichzeitig hat die Größe der Daten dieses Problem unendlich viel schwieriger gemacht, da das Scannen von Petabytes an Produktions-Daten viel Rechenleistung und viel Zeit erfordert. Im Grunde genommen gibt es einen Grund, warum dies immer noch als ein größtenteils ungelöstes Problem angesehen wird.

Die Kunst besteht darin, herauszufinden, wie man all diese Kompromisse ausgleicht – Geschwindigkeit, Latenz, Genauigkeit, Kosten und Breite (in Daten-Speichern, Dateiformaten, Sprachen usw.). Wir haben immer geglaubt, dass die Antwort kreativ sein muss und multi-modal sein muss. Deshalb haben wir den Ansatz gewählt, den wir haben, indem wir viele der verfügbaren Klassifizierungs-Methoden kombinieren, um einen dynamischen und differenzierten Ansatz zu haben, der, um es zusammenzufassen, darauf ausgelegt ist, die leichtestmögliche Methode zu verwenden, ohne dabei die Genauigkeit wesentlich zu beeinträchtigen. Dieser dynamische Ansatz ermöglicht es uns, Daten 10-20-mal schneller zu scannen als Tools, die auf eine Größe-passt-alles-LLM angewiesen sind, während wir gleichzeitig viel genauere Ergebnisse liefern als REGEX oder herkömmliche kontextbasierte Ansätze.

Sie haben kürzlich Prism vorgestellt, das sich auf Geschäfts-Level-Daten-Verständnis und GenAI-gestützte Remediation konzentriert. Welche neuen Anwendungsfälle schließt dies im Vergleich zur Element-Level-PII-Erkennung ein, und wie schützen Sie sich vor Halluzinationen bei Remediation-Aktionen?

Als ich mich zunächst daran machte, die Herausforderung der Daten-Klassifizierung und -Schutz zu meistern, lag mein Fokus darauf, tatsächliche falsche positive Ergebnisse zu reduzieren. Zum Beispiel, wie können wir sicherstellen, dass mindestens 95 % der Zeit, wenn wir etwas als Sozialversicherungs-Nummer kennzeichnen, es tatsächlich eine SSN ist. Vor einigen Jahren wäre sogar eine Genauigkeit von 80 % bei verschiedenen Daten-Element-Typen eine Verbesserung gewesen.

Aber durch die enge Zusammenarbeit mit unseren Kunden in den letzten Jahren wurde klar, dass das “Rauschen”, das Teams überwältigt, nicht nur durch ungenaue Daten-Entitäts-Klassifizierungen (die traditionellen “falschen Positiven”) verursacht wird. Das Rauschen wird oft ebenso sehr durch irrelevante Warnungen wie durch falsche Warnungen verursacht. Was Prism tut, ist es, unsere Fähigkeit zu entsperren, viel mehr Kontext zu berücksichtigen – nicht nur “was ist diese Daten-Entität” oder “wer greift auf diese Datei zu”, sondern auch “was ist diese Datei im Prinzip”. Wenn wir diese Informationen mit Informationen kombinieren, die wir über das aufnehmen können, was ein bestimmtes Unternehmen tatsächlich tut und worüber es sich Sorgen macht, können wir ein Produkt liefern, das auf die unterschiedlichen Definitionen von “sensiblen” Daten für jedes Unternehmen zugeschnitten ist.

Die Erfassung dieses Niveaus an differenziertem Kontext ist ein echter Game-Changer. Zum Beispiel könnte das Speichern von Hunderten von Sozialversicherungs-Nummern in einem Google-Dokument in Ihrem persönlichen Laufwerk ein großes Risiko und eine Verletzung Ihrer Daten-Verwaltungs-Richtlinie darstellen. Aber ein Ordner in einem sicheren HR-Laufwerk, der voller W2-Formulare für Ihre Mitarbeiter ist? Das ist erwartetes Verhalten. Sicherheitsteams möchten über den ersten Fall benachrichtigt werden, aber eine Warnung für jedes Mitarbeiter-W2, das korrekt gespeichert ist, ist nur Rauschen. Das Verständnis, wo und in welchem Kontext sensible Daten residieren, erfordert mehr als nur ein Entitäts-Klassifizierungs-Modell.

Wir arbeiten mit einem multinationalen Chemie-Unternehmen, Chevron (CVX ) Philips Chemicals. Dieses Unternehmen würde nie ein Datenschutz-Tool oder ein Standard-DSPM kaufen, weil es tatsächlich kein Verbraucher-Daten-Risiko als Priorität sieht. Was es jedoch schätzt, ist geistiges Eigentum in Form von proprietären chemischen Gleichungen. Indem wir die Essenz eines Dokuments in eine Liste von clusterierten Labels destillieren können, können wir nicht nur einzigartige sensible Elemente erkennen, sondern auch Instanzen dieser Daten-Assets finden, die sich an den “falschen” Orten befinden. Durch die Kombination dieses Kontexts mit unserer automatisierten Remediation können wir dann Maßnahmen ergreifen, um diese Dateien zu archivieren, zu löschen, zu schwärzen oder an ihren richtigen Ort zu verschieben. Niemand auf dem Daten-Sicherheits-Markt tut diese Art von Arbeit.

Teleskope betont kontinuierliche Entdeckung über Multi-Cloud, On-Premise und Drittanbieter-Systeme – einschließlich Schatten-Daten. Was sieht eine “vollständige Karte” aus, und wie schnell können Sie unbekannte Speicher in einer Greenfield-Bereitstellung identifizieren?

“Vollständig” ist ein schwieriges Wort hier – in Wirklichkeit ist es eine Latte, die ständig bewegt wird, sogar täglich. Das ist, wie schwierig es ist, Daten-Sprawl zu verwalten. Unser Ziel war es immer, dass Teleskope existiert, wo immer unsere Kunden-Daten existieren. Wir sind letztendlich ein integration-basiertes Produkt in vielen Aspekten – wir haben Dutzende von proprietären Daten-Connectors entwickelt, um Daten über eine breite Palette von SaaS-Tools, Cloud-Daten-Speichern und On-Premise-Systemen scannen und klassifizieren zu können. Die meisten Kunden beginnen mit einigen Connectors, die sie als höchstes Risiko oder als Orte betrachten, an denen sie die wenigsten Einblicke haben, also sind wir in Wirklichkeit selten überall, wo ein Unternehmen seine Daten hat. Allerdings scannen wir innerhalb jeder Daten-Quelle kontinuierlich ihre Umgebung, um neue Konten, Tabellen, neue Blobs, Dateien, Nachrichten usw. zu identifizieren. Also, wo immer wir sind, finden wir Daten, neue und alte, in fast Echtzeit.

Für KI-Sicherheit und -Governance: Wie verfolgen Sie die Herkunft zwischen Trainings-Daten-Sätzen, Modellen, Prompts und Ausgaben für Prüfbarkeit?

Wir haben wirklich drei Kern-Wege, um KI-Sicherheit und -Governance zu unterstützen. Erstens ist unsere Fähigkeit, unsere Klassifizierungs- und Remediation-Technologie auf Daten in Bewegung über unsere APIs anzuwenden. Wenn Unternehmen Daten-Sätze für die Ausbildung ihrer eigenen Modelle generieren oder vorbereiten, benötigen sie eine Möglichkeit, um sicherzustellen, dass diese Daten frei von PII oder anderen sensiblen Daten sind. Also stecken wir direkt in eine Daten-Pipeline und können Daten-Sätze scannen, während sie kopiert oder in einen Trainings-Satz verschoben werden, um sicherzustellen, dass diese Modelle nie das Risiko haben, sensible Daten auszugeben.

Zweitens sehen wir unser Kern-Produkt als einen Katalysator für die Adoption von KI. Jedes Unternehmen steht unter Druck, KI-Tools zu nutzen, um effizienter zu arbeiten und mit dem Markt Schritt zu halten. Ein gutes Beispiel dafür ist M365’s Copilot, das eine intelligente Suchfunktion bietet und es einfacher macht, Dateien oder Daten zu finden. Aber diese Tools machen es per Definition auch einfacher, sensible Daten zu finden, und daher haben wir viele Unternehmen, die zu uns kommen und sagen: “Wir müssen dieses KI-Tool implementieren, aber wir haben Angst vor dem, was es ans Licht bringen könnte.” Sie benötigen Teleskope, um in ihre Umgebung zu scannen und automatisch ihre Daten-Verwaltungs- und Sicherheits-Richtlinien durchzusetzen, damit sie KI mit Vertrauen adoptieren können.

Schließlich bauen wir Integrationsmöglichkeiten für KI-Tools, die Prompts, die sensible Daten enthalten, vor dem Leak in öffentliche KI-Tools wie ChatGPT schwärzen oder quarantänen. Viele Unternehmen verbieten einfach die Verwendung dieser Tools, aber es gibt eine Möglichkeit, sie sicher zu adoptieren, um sicherzustellen, dass keine sensiblen Daten (wie von jedem Unternehmen definiert) ausgetragen werden.

Redaktion und “Remediation an der Quelle” sind Kern-Aspekte Ihres Ansatzes. Was ist Ihre Philosophie zu Auto-Remediation vs. Human-in-the-Loop, und wo ziehen Sie Sicherheits-Grenzen?

Wir haben vor ein paar Jahren erkannt, dass Daten-Entdeckung und -Klassifizierung, so notwendig sie auch sind, nur die halbe Geschichte erzählen. Das Finden von Daten-Risiken ist der erste Schritt, aber die Auflösung und Remediation dieses Risikos ist das eigentliche Ziel. Unsere Kunden beginnen normalerweise damit, Teleskopes Ergebnisse in unserem Daten-Katalog zu bewerten, dann zur Remediation mit einem Human-in-the-Loop überzugehen, bevor sie zu vollautomatisierter Remediation übergehen. Wir sind sehr uns bewusst, dass es in Wirklichkeit immer einige Aktionen geben wird, die Teams nie zu 100 % automatisieren werden. Zum Beispiel könnte das Löschen von Daten aus einer Produktions-Datenbank sehr problematisch sein. Aber in vielen Fällen sehen wir Kunden, die vollautomatisierte Remediation für Dinge wie die Rücknahme von Berechtigungen, das Verschieben von Daten, die Durchsetzung von Archivierungs- oder Aufbewahrungs-Richtlinien usw. adoptieren.

Viele DSPM/DLP-Tools kämpfen mit Echtzeit-Schutz. Was musste architektonisch geändert werden, um “Echtzeit” zum Standard zu machen, und welche Latenzen und Durchsätze können Unternehmen in der Produktion erwarten?

Um das Echtzeit-Problem zu lösen, war es wichtig, die Aufgabe in ihre Kern-Komponenten zu zerlegen. Verschiedene Situationen erfordern unterschiedliche Arten von Latenzen, aber das Ziel ist immer, die genauesten Erkenntnisse so schnell wie möglich zu liefern. Dies bedeutet, dass eine flexible Architektur erforderlich ist, die es uns ermöglicht, unser Low-Latency-System zu parallelisieren, um unterschiedliche Durchsatz-Anforderungen zu erfüllen. Wenn ein Unternehmen Teleskope in seiner Umgebung ausführt, werden Daten klassifiziert und geschützt, direkt in ihrer Infrastruktur, wodurch die Latenz und der Daten-Fluss nach außen reduziert werden. Dies ermöglicht es uns, in Hoch-Risiko-Szenarien Remediation in unter einer Sekunde zu liefern.

Datenschutz und Compliance: Sie behaupten, kontinuierliche Überwachung und automatische Zuordnung zu Rahmenbedingungen/Richtlinien. Wie halten Sie diese Zuordnungen aktuell, während Gesetze sich entwickeln, und wie anpassbar sind die Kontrollen für verschiedene Regionen oder Geschäftsbereiche?

Ehrlich gesagt, hat sich unser Fokus wirklich von dem Haken setzen auf Richtlinien weg und hin zu einem tiefen Verständnis dessen verschoben, was unsere Kunden wirklich wichtig ist. In einigen Fällen möchten sie 100 % den neuesten Vorschriften entsprechen, und wir überwachen diese Änderungen ständig und integrieren sie in unser Produkt. Aber, ehrlich gesagt, sind die meisten Unternehmen so weit entfernt von der vollständigen Einhaltung dieser Gesetze, dass wir sie dort treffen müssen, wo sie sind, und sicherstellen, dass wir sie von Punkt A zu Punkt B zu Punkt C bringen können, bevor wir uns um den Punkt Z kümmern. Die Art und Weise, wie wir dies tun, besteht darin, zunächst zu verstehen, was Compliance für dieses Unternehmen bedeutet (wiederum mag ein Hersteller-Unternehmen nicht sehen, dass etwas wie die DSGVO eine große Sorge ist), und sicherzustellen, dass wir das Produkt um ihre spezifischen Risiko-Profile und Bedürfnisse herum gestalten können.

GenAI-Adoption: Wie verwenden Kunden Teleskope, um “sichere Eingaben” und “sichere Ausgaben” zu erstellen, ohne die Entwickler-Geschwindigkeit zu beeinträchtigen? Gibt es Muster, die Sie empfehlen?

Kunden integrieren Teleskopes Redact-API in ihre Trainings- und Inferenz-Pipelines, um sicherzustellen, dass sensible Daten nie in generative KI-Modelle fließen. Der Redaktions-Prozess wird für Entwickler abstrahiert, wodurch die Entwickler-Geschwindigkeit erhalten bleibt, indem die Redaktion vor der Inferenz durchgeführt und die Daten danach wiederhergestellt werden.

Ausblick: Sie haben über ein End-to-End-“agentic”-Daten-Sicherheits-Plattform mit autonome Remediation gesprochen. Welche Meilensteine werden anzeigen, dass die Branche bereit ist für vollständig autonome Daten-Schutz?

Wir wissen, dass die Branche bereit ist. Andere Bereiche der Cybersicherheit, wie SOC, haben bereits eine vollständige Verschiebung hin zu agentischer KI als Mittel zur Skalierung der Kapazitäten von Sicherheitsteams gezeigt. Wir haben eine Warteschlange von Kunden, die uns bitten, Design-Partner für diese Arbeit zu sein, also wissen wir, dass viele Unternehmen das gleiche Schmerzempfinden haben, nämlich dass sie immer noch manuell triagieren, untersuchen, eine Entscheidung treffen und dann ausführen müssen, nur um ein einzelnes Ticket zu lösen. Wir haben die absolute Überzeugung, dass dies der Weg ist, den der Markt einschlagen wird, und wir sind entschlossen, diese Verschiebung anzuführen.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten Teleskope besuchen.