Sri Iyer, CTO und Mitgründer von Kovr.ai – Interview-Serie

Sri Iyer, CTO und Mitgründer von Kovr.ai, ist ein erfahrener Technologieführer mit umfassender Erfahrung in der Förderung von Innovationen im Bereich künstlicher Intelligenz, Datenanalyse, Quantencomputing und Automatisierung. Bevor er Kovr.ai gründete, hatte er Führungspositionen bei Amazon (AMZN ), Guidehouse, PwC und Raytheon inne, wo er Teams leitete, die nächste Generationen von Lösungen in beiden öffentlichen und privaten Sektoren entwickelten. Mit über einem Jahrzehnt Erfahrung in aufstrebenden Technologien und zahlreichen Branchenzertifizierungen hat Iyer den Ruf aufgebaut, Organisationen dabei zu helfen, disruptive Tools zu nutzen, um komplexe Geschäfts- und Sicherheitsprobleme zu lösen.

Kovr.ai definiert die Cybersicherheitskonformität durch eine AI-nativen Plattform neu, die für Cloud- und Hybridumgebungen konzipiert ist. Das Unternehmen automatisiert komplexe regulatorische Rahmenbedingungen wie FedRAMP und CMMC mithilfe von Echtzeit-, codegetriebener Intelligenz, sodass Unternehmen in nur 15 Minuten eine Betriebsgenehmigung (ATO) erhalten können. Durch die Ersetzung traditioneller manueller Beratung und unflexibler Konformitätstools bietet Kovr.ai einen skalierbaren, adaptiven Ansatz für das Risikomanagement, der hoch regulierte Organisationen in die Lage versetzt, sicher, konform und bereit für kontinuierliche Veränderungen zu bleiben.

Bevor Sie Kovr.ai mitgründeten, hatten Sie Führungspositionen bei AWS, PwC und verschiedenen federalen Startups inne. Welche persönlichen oder beruflichen Erfahrungen führten Sie dazu, dass Sie erkannten, es gäbe eine bessere Möglichkeit, die Konformität mit den Bundesvorschriften anzugehen – und letztendlich dazu, Kovr.ai zu gründen?

Ich habe die Herausforderungen der Konformität mit den Bundesvorschriften aus beiden Seiten erlebt – zunächst als Systemeigentümer, der große Plattformen für das Verteidigungsministerium aufbaute, und später, als ich Cloud- und KI-Initiativen bei AWS leitete. In einem Fall wurde ein System, an dem ich mitgearbeitet hatte, über Jahre hinweg entwickelt, nur um dann noch länger in der Konformitätsprüfung hängen zu bleiben. Diese Frustration war ein Wendepunkt.

Bei AWS leitete ich Teams, die Dienste unterstützten, die den FedRAMP- und ähnlichen Konformitätsprozessen unterzogen wurden. Trotz der umfangreichen Ressourcen von Amazon kann die Erlangung einer Dienstgenehmigung in neuen Regionen noch bis zu drei Jahre dauern. Selbst in diesem Maßstab waren die besten internen Lösungen im Wesentlichen glorifizierte Tabellen – Tools wie Quip oder Google Docs –, um den Prozess zu verfolgen und zu verwalten. Die Ineffizienz war atemberaubend, und ich sah mit eigenen Augen, dass die meisten Behörden mit demselben Problem konfrontiert waren.

Jahrelang glaubte ich, es müsste eine bessere Möglichkeit geben, aber die Komplexität der Zuordnung von Tausenden von Kontrollen zu Codebasen und Dokumentationen ließ eine wahre Automatisierung unerreichbar erscheinen. Das änderte sich, als ich das Team für die Architektur von KI/ML-Lösungen bei AWS leitete. Das Beobachten, wie generative KI manuelle Arbeitsabläufe transformieren konnte, war aufschlussreich. Plötzlich schien das, was unmöglich erschien – die Reduzierung der Konformitätsarbeitslast anstelle der bloßen Verschiebung in ein anderes Tool – machbar.

Nach einigen Experimenten und Forschung erkannten mein jetziger Mitgründer und ich, dass wir eine Plattform aufbauen könnten, die nicht nur die Konformität verfolgt, sondern auch bedeutend beschleunigt. Diese Erkenntnis war die Geburt von Kovr.ai, einer Möglichkeit, KI zu nutzen, um die Belastung der Konformität mit den Bundesvorschriften zu reduzieren und nicht nur zu verwalten.

Viele Technologie-Startups kämpfen mit der Komplexität, den Kosten und dem Tempo der Konformitätsanforderungen des Bundes. Welche waren die größten Hindernisse, auf die Sie zu Beginn stießen – und wie überwand Kovr.ai diese Herausforderungen erfolgreich, um eine tragfähige Lösung aufzubauen?

Kovr.ai stieß zu Beginn auf mehrere große Hindernisse bei der Bewältigung der Konformitätsanforderungen des Bundes für Technologie-Startups, darunter:

• Komplexität und manuelle Prozesse: Startups fanden die Konformität mit den Bundesvorschriften oft überwältigend aufgrund der großen Anzahl von Kontrollen (z. B. NIST 800-53 hat über 1200 Kontrollen) und der manuellen, tabellenbasierten Prozesse, die typischerweise verwendet wurden. Dies machte die Konformität langsam, fehleranfällig und ressourcenintensiv.
• Langsames Feedback und Iteration: Traditionelle Konformitätsprozesse erforderten lange Zyklen von Rück- und Vorwärts-Kommunikation zwischen Teams und Beratern, was den Fortschritt verzögerte und es Startups schwer machte, zu wissen, wo sie standen oder was sie als Nächstes zu beheben hatten.
• Hohe Kosten und Ressourcenbelastung: Startups mit begrenzter Zeit und Geld hatten Schwierigkeiten, die Konformität gegenüber ihrem Kern-Produkt-Roadmap zu priorisieren, oft verzögerten sie die Arbeit für die Regierung um Jahre.

Wir überwanden diese Hindernisse, indem wir Automatisierung, flexible Eingaben, schnelle Iteration und tiefe Workflow-Integration nutzten, um die Konformität für Startups zugänglicher zu machen. Die Plattform scannet automatisch Dokumentation, Code und Cloud-Umgebungen, um sie Konformitätskontrollen zuzuordnen und sofortige Lückenbewertungen bereitzustellen. Sie unterstützt Artefakte in jedem Format, reduziert die Einstiegshürden und betont schnelles Benutzer-Feedback, um die Realwelt-Relevanz sicherzustellen. Durch die Einbettung von Konformitätsprüfungen in die Entwicklungspipelines hilft Kovr.ai Teams, die Konformität nahtlos in ihre Prozesse zu integrieren, ohne größere Störungen zu verursachen.

Wie hat sich die Verschiebung hin zu maschinenlesbaren Konformitätsformaten wie OSCAL [Open Security Controls Assessment Language] auf die Art und Weise ausgewirkt, wie Anbieter und Behörden die Sicherheit angehen?

OSCAL hat das Potenzial, die Konformität effizienter und automatisierter zu machen, aber seine Auswirkungen sind derzeit durch die Tempo der Einführung bei Anbietern und Behörden begrenzt. Wenn mehr Parteien OSCAL verwenden, werden die Vorteile der Automatisierung und Standardisierung in den Konformitätsprozessen wahrscheinlich steigen. Kovr.ai ist native auf OSCAL aufgebaut, sodass es Konformitätsinformationen in diesem Format übertragen und verarbeiten kann, aber die umfassenderen Vorteile werden erst realisiert, wenn mehr Stakeholder OSCAL-basierte Workflows übernehmen.

Sie beschreiben Kovr.ai als “Konformitäts-Copiloten”. Erklären Sie, wie das in der Praxis aussieht – von der Dokumentation bis zur Prüfbereitschaft. Was passiert im Hintergrund, um diesen Prozess schneller oder einfacher zu machen?

Im Hintergrund nutzt Kovr.ai KI und Automatisierung, um manuelle Arbeit zu eliminieren, sofortiges Feedback zu liefern und die Konformitätsdokumentation auf dem neuesten Stand zu halten, was den gesamten Prozess von der Dokumentation bis zur Prüfbereitschaft für die Benutzer viel schneller und einfacher macht.

Benutzer können alle Konformitätsartefakte, die sie bereits haben, in jedem Format – Dokumente, Code, Cloud-Umgebungsdaten, Architekturdiagramme usw. – importieren. Von dort aus scannet Kovr.ai automatisch jede Zeile jedes Dokuments, Codebasen und Umgebungen und ordnet diese Informationen dann den relevanten Sicherheitskontrollen zu, wie z. B. denen in NIST 800-53. Dies geschieht mithilfe von KI-Modellen, die einen umfassenden Wissensgraphen des Konformitätslandschafts des Benutzers aufbauen.

Anschließend bewertet unser System jede Kontrolle, identifiziert Lücken und generiert handhabbare Empfehlungen für die Behebung. Benutzer können diese Lücken durch Aktualisierung ihrer Umgebung oder Dokumentation und erneutes Hochladen in Kovr.ai beheben, woraufhin Kovr.ai sofortiges Feedback darüber liefert, ob die Probleme behoben sind. Die gute Nachricht ist, dass dieser Prozess so oft wie nötig wiederholt werden kann, sodass Benutzer ihre Konformitätslage mit schnellem, automatisiertem Feedback schrittweise verbessern können, wodurch die traditionellen Verzögerungen zwischen Teams und Beratern eliminiert werden.

Kovr.ai kann auch alle erforderlichen Konformitätsdokumente, einschließlich Regierungsvorlagen wie FedRAMP-SSPs, mithilfe der Informationen im Wissensgraphen generieren.

Schließlich hält die Plattform alle Konformitätsinformationen auf dem neuesten Stand und kann sie für Prüfer paketieren. Immer häufiger können Prüfer sogar direkt auf Kovr.ai zugreifen, um Konformitätsdaten zu überprüfen und zu abfragen, wodurch der Prüfprozess gestreamt wird.

Startups stehen oft vor einer schwierigen Entscheidung: Soll man schnell vorankommen und Risiken eingehen oder langsamer vorgehen, um die Konformität zu gewährleisten. Wie gingen Sie bei der Entwicklung von Kovr.ai mit dieser Entscheidung um – und welche Ratschläge würden Sie anderen Innovatoren geben, die in regulierte Märkte expandieren möchten?

Kovr.ai wurde von Anfang an mit Konformität und Sicherheit im Blick entwickelt, wobei Funktionen wie luftgekapselte Systeme, starke Authentifizierung und Verschlüsselung integriert wurden, um regulierte Umgebungen zu unterstützen. Wir integrierten auch automatisierte Konformitätsprüfungen direkt in unsere DevOps-Pipeline, um frühzeitige Problemerkennung zu ermöglichen und lange Überprüfungen zu vermeiden, und konzentrierten uns auf schnelles Prototyping und Integration basierend auf Benutzer-Feedback, um sicherzustellen, dass das Produkt den Bedürfnissen der Benutzer entsprach, während es konform blieb. Die Automatisierung reduzierte den manuellen Aufwand weiter, sodass eine schnelle und sichere Entwicklung im großen Maßstab möglich wurde.

Für Innovatoren ist es entscheidend, die Konformität und Sicherheit von Anfang an in ihr Produkt einzubauen, insbesondere für regulierte Märkte. Integrieren Sie automatisierte Konformitätsprüfungen in Ihre DevOps-Pipeline, um Probleme frühzeitig zu erkennen, und holen Sie sich menschliche Konformitätsexperten, wenn erforderlich. Zwar kann die Konformität die Entwicklung von Funktionen verlangsamen, letztendlich spart sie jedoch Zeit, indem sie teure Nachbesserungen vermeidet.

Sie haben über die Notwendigkeit gesprochen, die Bundesbeschaffung zu modernisieren. Welche Teile des aktuellen Systems erscheinen Ihnen am meisten veraltet – und welche praktischen Änderungen würden es für Startups einfacher machen, zu konkurrieren?

Das Bundesbeschaffungssystem wirkt oft veraltet, mit langsamen Beschaffungszyklen, Finanzierung, die den Betrieb gegenüber der Innovation priorisiert, und komplexen Kaufmechanismen, die es Startups schwer machen, Fuß zu fassen. Um Startups zu unterstützen, schlagen praktische Reformen vor, wie z. B. die Zuweisung flexibler, innovationsorientierter Mittel, die Senkung der Beschaffungsschwellen für schnellere, kleinere Käufe, die Erweiterung des Zugangs zu Beschaffungsvehikeln wie DODs Tradewinds und die Schaffung gestreamter, “App-Store”-ähnlicher Plattformen, um es Behörden zu erleichtern, neue Technologien zu entdecken und zu kaufen.

Blickt man zurück, welche grundlegenden Entscheidungen – rund um Architektur, Markteinführungsstrategie oder Personalbeschaffung – sich als am wichtigsten für Kovr.ai erwiesen, um es an den heutigen Punkt zu bringen?

Die wichtigsten grundlegenden Entscheidungen für Kovr.ai waren schnelles Prototyping und Iterieren, eine benutzergetriebene Produktvision, flexible Produktionsstrategien, der Aufbau einer Feedback-Community und die Beibehaltung eines starken Fokus auf Kundenbedürfnisse. Diese Entscheidungen ermöglichten es uns, eine Lösung aufzubauen, die die Herausforderungen der Konformität mit den Bundesvorschriften tatsächlich angeht.

Als CTO, wie balancieren Sie die schnelle Innovation mit der Wahrung einer luftdichten Konformität? Gibt es Rahmenbedingungen oder interne Praktiken, die Sie übernommen haben, um beide Prioritäten aufrechtzuerhalten?

Ich balanciere die Innovation und Konformität, indem ich die Konformität in jede Entwicklungsphase einbaue, die Automatisierung nutze, flexible Produktionsumgebungen aufrechterhalte und eng mit den Benutzerbedürfnissen und der Expertenberatung verbunden bleibe. Diese Praktiken stellen sicher, dass beide Prioritäten – schnelle Innovation und luftdichte Konformität – konsistent erfüllt werden.

Blickt man in die Zukunft, wo sehen Sie Kovr.ai als Nächstes expandieren – sei es in die Konformität von Bundesstaaten und Kommunen, in andere regulierte Branchen wie Finanzen und Energie oder sogar in internationale Märkte?

Das Team wird die Kovr.ai-Technologie für kontinuierliches und automatisiertes Konformitätsmanagement weiterentwickeln, wobei es in mehrere Richtungen über den aktuellen Fokus auf die Konformität mit den Bundesvorschriften hinausgeht. Dazu gehören die Expansion in die Konformität von Bundesstaaten und Kommunen, andere regulierte Branchen wie Finanzen, Energie und Gesundheitswesen sowie internationale Märkte.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Kovr.ai besuchen.