Joe Regensburger, VP of Research, Immuta – Interview-Serie

Joe Regensburger ist derzeit Vice President of Research bei Immuta. Als Leader im Bereich Daten-Sicherheit ermöglicht Immuta es Organisationen, den Wert ihrer Cloud-Daten zu nutzen, indem sie diese schützen und sichere Zugriffe ermöglichen.

Immuta ist so konzipiert, dass es nahtlos in Ihre Cloud-Umgebung integriert werden kann und native Integrationen mit den führenden Cloud-Anbietern bietet. Immuta deckt den größten Teil der Daten-Sicherheitsanforderungen für die meisten Organisationen ab, indem es dem NIST-Cyber-Sicherheits-Framework folgt.

Ihre akademische Ausbildung liegt im Bereich Physik und angewandte Mathematik. Wie kamen Sie schließlich dazu, im Bereich Data Science und Analytics zu arbeiten?

Mein Forschungsgebiet war Experimentelle Hochenergiephysik. Die Analyse von Daten in diesem Bereich erfordert eine große Menge an statistischer Analyse, insbesondere die Trennung von Signaturen seltener Ereignisse von denen häufigerer Hintergrundereignisse. Diese Fähigkeiten sind sehr ähnlich zu denen, die im Data Science erforderlich sind.

Können Sie Ihre aktuelle Rolle als VP of Research bei dem Daten-Sicherheits-Leader Immuta beschreiben?

Bei Immuta konzentrieren wir uns auf Daten-Sicherheit. Das bedeutet, dass wir verstehen müssen, wie Daten verwendet werden, wie sie missbraucht werden können und Daten-Professionals mit den notwendigen Tools ausstatten, um ihre Mission zu unterstützen, während wir Missbrauch verhindern. Unsere Rolle besteht darin, die Anforderungen und Herausforderungen von Daten-Professionals zu verstehen, insbesondere in Bezug auf Vorschriften und Sicherheit, und diese Herausforderungen zu lösen. Wir möchten die regulatorischen Anforderungen verringern und Daten-Professionals ermöglichen, sich auf ihre Kernmission zu konzentrieren. Meine Rolle besteht darin, Lösungen zu entwickeln, die diese Lasten verringern. Dazu gehören die Entwicklung von Tools zur Entdeckung sensibler Daten, Methoden zur Automatisierung der Daten-Klassifizierung, die Erkennung, wie Daten verwendet werden, und die Schaffung von Prozessen, die Daten-Richtlinien durchsetzen, um sicherzustellen, dass Daten ordnungsgemäß verwendet werden.

Was sind die größten Herausforderungen bei der AI-Governance im Vergleich zur traditionellen Daten-Governance?

Führungskräfte haben erwähnt, dass die AI-Governance ein natürlicher nächster Schritt und eine Fortentwicklung der Daten-Governance ist. Allerdings gibt es einige wichtige Unterschiede, die berücksichtigt werden müssen. Zunächst einmal erfordert die Governance von AI ein bestimmtes Maß an Vertrauen in die Ausgabe des AI-Systems. Bei der traditionellen Daten-Governance konnten Daten-Verantwortliche leicht von einer Antwort zu einem Ergebnis zurückverfolgen, indem sie ein traditionelles statistisches Modell verwendeten. Bei AI ist die Rückverfolgbarkeit und die Herkunft eine echte Herausforderung und die Linien können leicht verwischt werden. Es kann schwierig sein, dem Ergebnis eines AI-Modells zu vertrauen, da Halluzinationen und Konfabulationen auftreten können, was eine einzigartige Herausforderung bei der AI-Governance darstellt, die gelöst werden muss, um eine ordnungsgemäße Governance zu gewährleisten.

Glauben Sie, dass es eine universelle Lösung für AI-Governance und Daten-Sicherheit gibt, oder ist es eher spezifisch für jeden Fall?

„Ich denke nicht, dass es einen Ansatz für AI-Governance gibt, der auf alle Fälle zutrifft, insbesondere wenn es um die Sicherheit von Daten geht. Es gibt jedoch bestimmte Überlegungen, die Daten-Verantwortliche jetzt anwenden sollten, um eine Grundlage für Sicherheit und Governance zu schaffen. Wenn es um die Governance von AI geht, ist es sehr wichtig, den Kontext zu verstehen, in dem das AI-Modell verwendet wird und warum. Wenn Sie AI für etwas Alltägliches mit geringerem Einfluss verwenden, ist Ihr Risikokalkulator viel niedriger. Wenn Sie AI verwenden, um Entscheidungen über Gesundheitswesen oder die Schulung von autonomen Fahrzeugen zu treffen, ist Ihr Risiko-Einfluss viel höher. Dies ist ähnlich wie bei der Daten-Governance; warum Daten verwendet werden, ist ebenso wichtig wie die Art und Weise, wie sie verwendet werden.

Sie haben kürzlich einen Artikel mit dem Titel „Die lauernden Bedrohungen von Shadow AI“ veröffentlicht. Was ist Shadow AI und warum sollten Unternehmen darauf achten?

„Shadow AI kann definiert werden als die unerlaubte Verwendung von nicht autorisierten AI-Tools, die außerhalb des Governance-Frameworks einer Organisation liegen. Unternehmen müssen sich dieser Erscheinung bewusst sein, um ihre Daten zu schützen, da die Verwendung von internen Daten in einer nicht autorisierten Anwendung wie einem AI-Tool enormes Risiko birgt. Shadow IT ist im Allgemeinen gut bekannt und relativ einfach zu handhaben, sobald es entdeckt wird. Man kann die Anwendung einfach außer Betrieb nehmen und weitermachen. Bei Shadow AI haben Sie keine klare Vereinbarung darüber, wie Daten verwendet werden, um ein AI-Modell zu trainieren, oder wohin das Modell seine Antworten letztendlich weiterleitet, nachdem sie generiert wurden. Im Wesentlichen verlieren Sie die Kontrolle über die Daten, sobald sie im Modell sind. Um das potenzielle Risiko von Shadow AI zu mindern, müssen Organisationen klare Vereinbarungen und formalisierte Prozesse für die Verwendung dieser Tools schaffen, wenn Daten die Umgebung verlassen.

Können Sie die Vorteile von attribute-basiertem Zugriffs-Kontroll-System (ABAC) im Vergleich zum traditionellen rollenbasierten Zugriffs-Kontroll-System (RBAC) im Bereich Daten-Sicherheit erläutern?

Das rollenbasierte Zugriffs-Kontroll-System (RBAC) funktioniert, indem es die Berechtigungen oder den System-Zugriff auf der Grundlage der Rolle eines Einzelnen innerhalb der Organisation einschränkt. Der Vorteil davon ist, dass es den Zugriffskontrolle statisch und linear macht, da Benutzer nur auf Daten zugreifen können, wenn sie bestimmten vordefinierten Rollen zugewiesen sind. Während ein RBAC-Modell traditionell als hands-off-Methode zur Kontrolle der internen Daten-Verwendung diente, ist es keineswegs unzerstörbar, und heute können wir sehen, dass seine Einfachheit auch sein größter Nachteil ist.

RBAC war praktisch für eine kleine Organisation mit begrenzten Rollen und wenigen Daten-Initiativen. Heutige Organisationen sind jedoch datengetrieben, und ihre Daten-Bedürfnisse wachsen mit der Zeit. In diesem zunehmend häufigen Szenario bricht die Effizienz von RBAC zusammen. Glücklicherweise haben wir eine modernere und flexiblere Option für die Zugriffskontrolle: das attribute-basierte Zugriffs-Kontroll-System (ABAC). Das ABAC-Modell geht einen dynamischeren Ansatz für den Daten-Zugriff und die Daten-Sicherheit als RBAC. Es definiert logische Rollen, indem es die beobachtbaren Attribute von Benutzern und Daten kombiniert und Zugriffs-Entscheidungen auf der Grundlage dieser Attribute trifft. Eine der größten Stärken von ABAC ist seine dynamische und skalierbare Natur. Wenn die Daten-Verwendungsfälle wachsen und die Daten-Demokratisierung mehr Benutzer innerhalb von Organisationen ermöglicht, müssen die Zugriffskontrollen mit ihrer Umgebung wachsen, um eine konsistente Daten-Sicherheit aufrechtzuerhalten. Ein ABAC-System tendiert auch dazu, inhärent sicherer zu sein als vorherige Zugriffskontroll- und Governance-Standards. Diese hohe Ebene der Daten-Sicherheit kommt nicht auf Kosten der Skalierbarkeit. Im Gegensatz zu vorherigen Zugriffskontroll- und Governance-Standards schafft die dynamische Natur von ABAC ein zukunftssicheres Modell.

Was sind die wichtigsten Schritte, um den Daten-Zugriff zu erweitern und gleichzeitig eine robuste Daten-Governance und -Sicherheit aufrechtzuerhalten?

Die Kontrolle des Daten-Zugriffs wird verwendet, um den Zugriff, die Berechtigungen und die Privilegien zu beschränken, die bestimmten Benutzern und Systemen gewährt werden, um sicherzustellen, dass nur autorisierte Personen bestimmte Daten-Sätze sehen und verwenden können. Daten-Teams benötigen jedoch Zugriff auf so viele Daten wie möglich, um die genauesten Geschäftserkenntnisse zu erhalten. Dies stellt ein Problem für die Daten-Sicherheits- und Governance-Teams dar, die dafür verantwortlich sind, sicherzustellen, dass Daten ausreichend gegen unbefugten Zugriff und andere Risiken geschützt sind. In einer zunehmend datengetriebenen Geschäftsumgebung muss ein Gleichgewicht zwischen diesen konkurrierenden Interessen gefunden werden. In der Vergangenheit haben Organisationen versucht, dieses Gleichgewicht durch einen passiven Ansatz für die Daten-Zugriffskontrolle zu erreichen, was jedoch Daten-Engpässe verursachte und Organisationen behinderte, wenn es um Geschwindigkeit ging. Um den Daten-Zugriff zu erweitern und gleichzeitig eine robuste Daten-Governance und -Sicherheit aufrechtzuerhalten, müssen Organisationen automatisierte Daten-Zugriffskontrolle einführen, die Geschwindigkeit, Agilität und Präzision in den Prozess der Anwendung von Regeln auf Daten bringt. Es gibt fünf Schritte, die beherrscht werden müssen, um die Daten-Zugriffskontrolle zu automatisieren:

1. Muss jede von einem Daten-Team verwendete Anwendung unterstützen.
2. Muss alle Daten unterstützen, unabhängig davon, wo sie gespeichert sind oder welche zugrunde liegende Speichertechnologie verwendet wird.
3. Benötigt direkten Zugriff auf dieselben Live-Daten in der gesamten Organisation.
4. Jeder, mit jedem Level an Fachwissen, kann verstehen, welche Regeln und Richtlinien auf die Unternehmensdaten angewendet werden.
5. Datenschutz-Richtlinien müssen an einem zentralen Ort gespeichert werden.
6. Sobald diese Säulen beherrscht sind, können Organisationen den passiven Ansatz für die Daten-Zugriffskontrolle verlassen und sichere, effiziente und skalierbare Daten-Zugriffskontrolle ermöglichen.

In Bezug auf Echtzeit-Daten-Überwachung, wie ermöglicht Immuta es Organisationen, ihre Daten-Verwendung und Sicherheits-Risiken proaktiv zu verwalten?

Das Produktangebot von Immuta, Immuta Detect, ermöglicht es Organisationen, ihre Daten-Verwendung proaktiv zu verwalten, indem es Daten automatisch basierend auf ihrer Sensibilität und ihrem Schutz (wie Daten-Masking oder einer angegebenen Zweck für den Zugriff) bewertet, sodass Daten- und Sicherheitsteams Risiken priorisieren und in Echtzeit Warnungen über potenzielle Sicherheits-Vorfälle erhalten können. Durch die schnelle Darstellung und Priorisierung von Daten-Verwendungs-Risiken mit Immuta Detect können Kunden die Zeit bis zur Risiko-Minderung reduzieren und insgesamt eine robuste Daten-Sicherheit für ihre Daten aufrechterhalten.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Immuta besuchen.