Ali Hayat, διευθύνων σύμβουλος και ιδρυτής της Axipro – Σειρά συνεντεύξεων

Ο Ali Hayat είναι διευθύνων σύμβουλος και ιδρυτής της Axipro. Συνδυάζει το υπόβαθρό του στη διαχείριση βιομηχανικών κινδύνων και στους ελέγχους ISO με εμπειρία στη συμβουλευτική για την κυβερνοασφάλεια και τη συμμόρφωση. Στα πρώτα χρόνια της σταδιοδρομίας του εργάστηκε σε βιομηχανικά περιβάλλοντα υψηλού κινδύνου, όπου καθοριστική σημασία είχαν η ασφάλεια, οι κανονιστικές απαιτήσεις και οι λειτουργικοί κίνδυνοι. Αργότερα ίδρυσε και ανέπτυξε την Axipro χωρίς εξωτερική χρηματοδότηση, με στόχο να βοηθήσει αναπτυσσόμενες εταιρείες να εφαρμόσουν πρακτικά μέτρα ασφάλειας, να προετοιμαστούν για ελέγχους και να διαχειριστούν τους αναδυόμενους κινδύνους της τεχνητής νοημοσύνης.

Η Axipro είναι εταιρεία συμβούλων κυβερνοασφάλειας και συμμόρφωσης, η οποία υποστηρίζει οργανισμούς στην εφαρμογή πλαισίων όπως τα SOC 2, ISO 27001 και ISO 42001, καθώς και απαιτήσεων προστασίας δεδομένων. Οι υπηρεσίες της συνδυάζουν συμβουλευτική, αυτοματοποίηση της συμμόρφωσης, προετοιμασία για ελέγχους και δοκιμές ασφάλειας, με έμφαση στη συνεχή παρακολούθηση και την ανθρώπινη εποπτεία. Σε αυτή τη συνέντευξη, ο Hayat μιλά για τις ροές εργασίας συμμόρφωσης που βασίζονται στην τεχνητή νοημοσύνη, τη «σκιώδη» τεχνητή νοημοσύνη, τους κινδύνους των αυτόνομων πρακτόρων, τις διαφορές στη διακυβέρνηση μεταξύ περιοχών και το χάσμα ανάμεσα στην πιστοποίηση και την ανθεκτικότητα στον κυβερνοχώρο.

Η σταδιοδρομία σας ξεκίνησε σε βιομηχανικά περιβάλλοντα υψηλού κινδύνου, με τη συμμετοχή σας σε έργα για τη Saudi Aramco, την ADNOC και την TotalEnergies, όπου η ασφάλεια, η διαχείριση κινδύνων και η κανονιστική συμμόρφωση ήταν κρίσιμης σημασίας. Τι σας ενέπνευσε να στραφείτε από τη βιομηχανική ασφάλεια και τους ελέγχους στην κυβερνοασφάλεια και τι σας ώθησε τελικά να ιδρύσετε την Axipro;

Ίδρυσα την Axipro επειδή, όσο εργαζόμουν στη διαχείριση ποιότητας, διαπίστωσα ότι υπήρχε ένα κενό στην αγορά. Το 2021 παρατήρησα ότι λανσάρονταν πολλές νέες πλατφόρμες κυβερνοασφάλειας για ημιαυτοματοποιημένη συμμόρφωση με τα SOC 2 και ISO 27001.

Έγινε σαφές ότι, παρόλο που αυτές οι πλατφόρμες απάλλασσαν τις τεχνικές ομάδες από μεγάλο μέρος του φόρτου συμμόρφωσης, εξακολουθούσαν να απαιτούν εγκατάσταση και συντήρηση. Οι νεοφυείς επιχειρήσεις, που ήδη δυσκολεύονταν να συμβαδίσουν με την ανάπτυξή τους, θα πλήρωναν μια ομάδα ανθρώπων για να παρακολουθεί διαρκώς τη συμμόρφωσή τους. Έτσι γεννήθηκε η Axipro.

Στη συνέχεια, το 2022, κυκλοφόρησαν οι πρώτες πλατφόρμες τεχνητής νοημοσύνης. Ήταν άλλη μία στιγμή αποκάλυψης. Ενώ πολλοί στον κλάδο φοβούνταν ότι θα κατέληγαν περιττοί, γρήγορα συνειδητοποίησα ότι επρόκειτο για μια τεράστια ευκαιρία. Η τεχνητή νοημοσύνη πιθανότατα θα αύξανε εκθετικά τις κυβερνοεπιθέσεις και, ως εκ τούτου, θα χρειάζονταν εξειδικευμένοι άνθρωποι για να καθοδηγήσουν τις νεοφυείς επιχειρήσεις στις ανάγκες τους για ασφάλεια και συμμόρφωση.

Σήμερα είμαστε Elite Partner της Drata και Preferred Partner της Vanta, ενώ έχουμε καθοδηγήσει περισσότερες από 300 εταιρείες ώστε να συμμορφωθούν με κορυφαία πρότυπα κυβερνοασφάλειας και τεχνητής νοημοσύνης.

Δημιουργήσατε την Axipro από το μηδέν, χωρίς εξωτερική χρηματοδότηση, και την αναπτύξατε σε διεθνή εταιρεία συμβούλων που εξυπηρετεί εκατοντάδες πελάτες. Ποιες ήταν οι μεγαλύτερες προκλήσεις όταν αναπτύσσατε μια επιχείρηση κυβερνοασφάλειας με ίδια μέσα και πώς σας βοήθησαν η τεχνολογία και ο αυτοματισμός να επεκτείνετε τις δραστηριότητές σας, διατηρώντας παράλληλα την ποιότητα των υπηρεσιών;

Τα πρώτα χρόνια ήταν εξαιρετικά δύσκολα. Από το να εξαντλήσω τις οικονομίες μου ενώ περιμέναμε παιδί μέχρι το να βλέπω τα πρώτα μοντέλα τεχνητής νοημοσύνης να κυριαρχούν στον κλάδο, τα πρώτα 2 έως 3 χρόνια ευθύνονται πιθανότατα για τα γκρίζα μαλλιά που έχω σήμερα.

Ανταγωνιζόμουν μερικούς γίγαντες με εδραιωμένη φήμη, μεγάλα γραφεία και σημαντικούς προϋπολογισμούς για το μερίδιο αγοράς. Εγώ βρισκόμουν στο Μπαχρέιν, είχα υπόβαθρο στη διαχείριση ποιότητας και μηδενικό προϋπολογισμό μάρκετινγκ.

Επέλεξα να κινηθώ αντίθετα από το συνηθισμένο: κράτησα την επιχείρηση ευέλικτη και αποδοτική και προσέφερα χαμηλότερες τιμές από τους μεγάλους, καθιερωμένους παίκτες.

Έτσι απέκτησα πολλούς νέους πελάτες, αλλά τα περιθώρια κέρδους μας ήταν μικρά. Η διαχείριση των ταμειακών ροών έγινε τέχνη και μετά βίας επιβιώσαμε τα πρώτα 2 χρόνια. Όλα άλλαξαν όταν κλείσαμε την πρώτη μας συμφωνία πενταψήφιου ποσού που κάλυπτε πολλά πλαίσια. Αυτό μας έδωσε μια ανάσα, μου επέτρεψε να προσλάβω τους πρώτους εργαζομένους πλήρους απασχόλησης και να αρχίσω να σκέφτομαι το μάρκετινγκ πέρα από τις συνεργασίες και τις συστάσεις.

Η Axipro εστιάζει στην απλούστευση σύνθετων πλαισίων συμμόρφωσης μέσω του ψηφιακού μετασχηματισμού και του αυτοματισμού. Πώς αλλάζει η τεχνητή νοημοσύνη τις παραδοσιακές ροές εργασίας συμμόρφωσης και ποιες δραστηριότητες θεωρείτε ότι προσφέρουν τις μεγαλύτερες ευκαιρίες για βελτίωση της αποδοτικότητας με τη βοήθειά της;

Ο κλάδος της συμμόρφωσης έχει ωφεληθεί σημαντικά από την τεχνητή νοημοσύνη. Παλαιότερα βασιζόταν σε μεγάλο όγκο επαναλαμβανόμενων εργασιών, όπως η συλλογή και αντιστοίχιση αποδεικτικών στοιχείων, η συμπλήρωση ερωτηματολογίων ασφάλειας και η σύνταξη πολιτικών. Σήμερα, σχεδόν όλες αυτές οι εργασίες αυτοματοποιούνται. Η τεχνητή νοημοσύνη έχει επίσης καταστήσει δυνατές τη συνεχή παρακολούθηση και την έγκαιρη επισήμανση κινδύνων κυβερνοασφάλειας και συμμόρφωσης.

Η τεχνητή νοημοσύνη εμπλέκεται πλέον σχεδόν σε κάθε στάδιο της διαδικασίας συμμόρφωσης. Μόλις αναλάβουμε έναν νέο πελάτη, το εσωτερικά ανεπτυγμένο σύστημα τεχνητής νοημοσύνης μας διενεργεί αυτοματοποιημένη αξιολόγηση κινδύνων με βάση τον κλάδο, το μέγεθος και την τοποθεσία της εταιρείας. Διαθέτουμε μια μεγάλη βάση δεδομένων από προηγούμενες συνεργασίες, η οποία μας βοηθά να εντοπίζουμε αυτόματα πιθανούς κινδύνους και προειδοποιητικά σημάδια. Αυτή είναι πιθανότατα η μεγαλύτερη προστιθέμενη αξία της τεχνητής νοημοσύνης.

Οι δράστες κυβερνοεπιθέσεων έχουν επίσης ωφεληθεί από την τεχνητή νοημοσύνη και οι επιθέσεις έχουν αυξηθεί εκθετικά. Έχει ξεκινήσει ένας ιδιότυπος αγώνας εξοπλισμών μεταξύ τεχνητής νοημοσύνης, με εταιρείες όπως η δική μας στη μία πλευρά να αναπτύσσουν αυτόματο εντοπισμό απειλών και χάκερ στην άλλη να αυτοματοποιούν τις επιθέσεις.

Εδώ είναι καθοριστική η ανθρώπινη κρίση, και αποτελεί κεντρικό στοιχείο του τρόπου με τον οποίο εργαζόμαστε: η τεχνητή νοημοσύνη πρέπει να αναλαμβάνει τις επαναλαμβανόμενες εργασίες και να βελτιώνει την επιχειρησιακή αποδοτικότητα, ώστε οι άνθρωποι να μπορούν να εστιάζουν στην αξιολόγηση των απειλών και στην αντιμετώπισή τους.

Πολλοί οργανισμοί εξακολουθούν να αντιμετωπίζουν τη συμμόρφωση με τις απαιτήσεις κυβερνοασφάλειας ως μια περιοδική διαδικασία, με επίκεντρο την προετοιμασία για ελέγχους. Πώς αλλάζουν αυτή την προσέγγιση τα εργαλεία που αξιοποιούν την τεχνητή νοημοσύνη και οι πλατφόρμες συνεχούς παρακολούθησης, όπως η Drata, και τι σημαίνει για τις επιχειρήσεις η μετάβαση στη συνεχή συμμόρφωση;

Όταν ξεκίνησα να εργάζομαι στον τομέα της συμμόρφωσης, όλοι έτρεμαν την περίοδο των ελέγχων. Οι εταιρείες αγνοούσαν τους μηχανισμούς ελέγχου τους το μεγαλύτερο μέρος του χρόνου και, στη συνέχεια, περνούσαν εβδομάδες αναζητώντας στιγμιότυπα οθόνης και αρχεία καταγραφής πριν από την προθεσμία του ελέγχου. Το να περάσεις τον έλεγχο σήμαινε ότι συμμορφωνόσουν εκείνη τη συγκεκριμένη ημέρα, και μέχρι εκεί.

Η Drata και παρόμοιες πλατφόρμες άλλαξαν αυτή την κατάσταση. Συνδέονται με τις υπηρεσίες νέφους και τα εργαλεία ανθρώπινου δυναμικού μιας εταιρείας και ελέγχουν καθημερινά τους μηχανισμούς ελέγχου. Αν κάποιος απενεργοποιήσει τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) ή αν ένας πρώην εργαζόμενος εξακολουθεί να έχει πρόσβαση, αυτό εντοπίζεται αμέσως και η ομάδα μας διορθώνει το πρόβλημα αμέσως.

Για τις επιχειρήσεις, η συμμόρφωση έπαψε να είναι ένα ετήσιο έργο και γίνεται μέρος της καθημερινής λειτουργίας. Οι έλεγχοι γίνονται συντομότεροι και φθηνότεροι, ενώ οι ομάδες πωλήσεων μπορούν, όποτε τους ζητηθεί, να παρουσιάσουν την κατάσταση της ασφάλειάς τους σε μεγάλους εταιρικούς πελάτες, κάτι που βοηθά να κλείνουν συμφωνίες ταχύτερα.

Η προστασία των δεδομένων και η κυβερνοασφάλεια μετατρέπονται σταδιακά από απαιτήσεις για δραστηριοποίηση σε ευαίσθητους κλάδους σε πρόσθετα πλεονεκτήματα για την προώθηση μιας επιχείρησης.

Καθώς οι οργανισμοί βασίζονται όλο και περισσότερο στην τεχνητή νοημοσύνη για τη σύνταξη εγγράφων ασφάλειας, την αξιολόγηση κινδύνων και την εξέταση τεκμηρίων συμμόρφωσης, πώς μπορούν να διασφαλίσουν ότι αυτά τα συστήματα παράγουν ακριβή και αξιόπιστα αποτελέσματα; Σε ποια σημεία πρέπει να παραμείνει απαραίτητη η ανθρώπινη εμπειρογνωμοσύνη στη διαδικασία ελέγχου και πιστοποίησης;

Η τεχνητή νοημοσύνη είναι πολύ καλή στο να συντάσσει έγγραφα που ακούγονται σωστά. Μια πολιτική μπορεί να φαίνεται άψογη και παρ’ όλα αυτά να περιγράφει διαδικασίες που δεν εφαρμόζει η εταιρεία.

Ο τρόπος με τον οποίο το διαχειριζόμαστε είναι να αφήνουμε την τεχνητή νοημοσύνη να συντάσσει προσχέδια και να επισημαίνει ζητήματα, αλλά κάποιο μέλος της ομάδας μας να ελέγχει τα πάντα πριν σταλούν στον πελάτη ή στον ελεγκτή. Οτιδήποτε παράγει η τεχνητή νοημοσύνη πρέπει επίσης να παραπέμπει στα τεκμήρια στα οποία βασίζεται, ώστε να μπορούμε να το επαληθεύσουμε.

Στους εσωτερικούς και εξωτερικούς ελέγχους θέτω σαφή όρια. Οι ελεγκτές υπογράφουν με το όνομά τους και διακυβεύουν την επαγγελματική τους φήμη. Η τεχνητή νοημοσύνη μπορεί να τους βοηθήσει να εξετάζουν τα τεκμήρια ταχύτερα, αλλά η απόφαση για το αν μια εταιρεία θα πιστοποιηθεί πρέπει να παραμένει στα χέρια ανθρώπου. Αν δεν λογοδοτεί κανείς, το πιστοποιητικό χάνει την αξία του.

Η Axipro υποστηρίζει οργανισμούς που καλούνται να εφαρμόσουν πρότυπα όπως τα ISO 27001, SOC 2 και ISO 42001, το διεθνές πρότυπο για τα συστήματα διαχείρισης τεχνητής νοημοσύνης. Ποιες νέες προκλήσεις αντιμετωπίζουν οι εταιρείες καθώς προσπαθούν να θεσπίσουν υπεύθυνη διακυβέρνηση της τεχνητής νοημοσύνης και σε τι διαφέρει η διαχείριση των κινδύνων που σχετίζονται με την τεχνητή νοημοσύνη από την παραδοσιακή συμμόρφωση με τις απαιτήσεις ασφάλειας πληροφοριών;

Οι περισσότερες εταιρείες με τις οποίες μιλάμε δεν γνωρίζουν καν πόσο χρησιμοποιούν την τεχνητή νοημοσύνη. Ο όρος γι’ αυτό είναι «σκιώδης τεχνητή νοημοσύνη» («Shadow AI»).

Το τμήμα μάρκετινγκ έχει εγγραφεί σε ένα εργαλείο, οι προγραμματιστές έχουν ενσωματώσει ένα μοντέλο στο προϊόν και κάποιος από το οικονομικό τμήμα αντιγράφει και επικολλά υπολογιστικά φύλλα σε ένα chatbot. Τίποτα από αυτά δεν γίνεται με κακόβουλη πρόθεση· οι άνθρωποι προσπαθούν να εργάζονται ταχύτερα, ενώ τα εργαλεία τεχνητής νοημοσύνης είναι φθηνά και γρήγορα. Ωστόσο, έτσι μπορούν εύκολα να εκτεθούν εταιρικά δεδομένα.

Το πρώτο και σημαντικότερο βήμα στα περισσότερα έργα συμμόρφωσης με το ISO 42001 και τις απαιτήσεις για την τεχνητή νοημοσύνη είναι η καταγραφή όλων αυτών. Εξετάζουμε αναφορές εξόδων, εγγραφές σε λογισμικό και δεδομένα δικτύου, ενώ συζητάμε με κάθε ομάδα για τα εργαλεία που χρησιμοποιεί στην πράξη καθημερινά. Ο κατάλογος που προκύπτει είναι σχεδόν πάντα μεγαλύτερος απ’ όσο περιμέναμε.

Η απαγόρευση της τεχνητής νοημοσύνης σπάνια αποδίδει και είναι αντιπαραγωγική και αναποτελεσματική. Θέλουμε οι πελάτες μας να μπορούν να αξιοποιούν την αποδοτικότητα που προσφέρουν τα μοντέλα τεχνητής νοημοσύνης. Καλύτερη προσέγγιση είναι να παρέχονται στους εργαζομένους εγκεκριμένα εργαλεία που κάνουν τη δουλειά, να ορίζονται σαφείς κανόνες για τα δεδομένα που μπορούν να εισάγονται σε αυτά και να διευκολύνεται η υποβολή αιτημάτων για νέα εργαλεία.

Η διακυβέρνηση της τεχνητής νοημοσύνης θέτει επίσης ερωτήματα που δεν έθετε έως τώρα η ασφάλεια πληροφοριών. Με το ISO 27001, βασικό μέλημα είναι να μην έχουν πρόσβαση στα δεδομένα σας τα ακατάλληλα άτομα. Με το ISO 42001, πρέπει επίσης να γνωρίζετε αν η τεχνητή νοημοσύνη λειτουργεί σωστά, αν μπορείτε να εξηγήσετε τις αποφάσεις της και ποιος ευθύνεται όταν κάνει λάθος.

Αυτοί οι κίνδυνοι αλλάζουν επίσης ταχύτερα. Ένας πάροχος μπορεί να ενημερώσει ένα μοντέλο μέσα σε μια νύχτα και να αλλάξει τον τρόπο λειτουργίας του προϊόντος σας, χωρίς να πειράξετε τίποτα.

Οι εταιρείες που έχουν ήδη πιστοποιηθεί κατά το ISO 27001 ξεκινούν με πλεονέκτημα. Και τα δύο πρότυπα βασίζονται στην ίδια δομή συστήματος διαχείρισης, οπότε μεγάλο μέρος της προεργασίας έχει ήδη γίνει.

Με την εμφάνιση αυτόνομων πρακτόρων τεχνητής νοημοσύνης, οι οποίοι μπορούν να έχουν πρόσβαση σε ευαίσθητες πληροφορίες, να αλληλεπιδρούν με εταιρικά συστήματα και να εκτελούν επιχειρησιακές διαδικασίες, για ποιους νέους κινδύνους κυβερνοασφάλειας και συμμόρφωσης θα πρέπει να προετοιμάζονται οι οργανισμοί; Είναι τα υφιστάμενα πλαίσια ασφάλειας κατάλληλα για την αντιμετώπιση αυτών των συστημάτων που αποκτούν ολοένα μεγαλύτερη αυτονομία;

Οι πράκτορες είναι ο τομέας που παρακολουθώ πιο στενά αυτή την περίοδο. Το συνηθισμένο λογισμικό κάνει ακριβώς ό,τι του ζητείται. Ένας πράκτορας παίρνει τις δικές του αποφάσεις και μπορεί να εξαπατηθεί αλλά και να εξαπατήσει άλλους, όπως είδαμε στο περιστατικό με το Hugging Face.

Ο συχνότερος κίνδυνος που παρατηρούμε είναι η έγχυση εντολών. Ένας επιτιθέμενος μπορεί να κρύψει οδηγίες σε ένα email ή ένα PDF και, όταν ο πράκτοράς σας το διαβάσει, τις ακολουθεί χρησιμοποιώντας όποια δικαιώματα πρόσβασης τού έχετε παραχωρήσει.

Ο δεύτερος κίνδυνος είναι ότι οι εταιρείες παραχωρούν στους πράκτορες υπερβολικά ευρεία πρόσβαση, επειδή αυτό είναι ευκολότερο. Συχνά, οι εργαζόμενοι δίνουν στους πράκτορες ΤΝ πρόσβαση μέσω των δικών τους λογαριασμών email αντί για ειδικούς λογαριασμούς, γεγονός που καθιστά εξαιρετικά δύσκολο να διαπιστωθεί αν μια αλλαγή έγινε από άνθρωπο ή από bot. Αν, επιπλέον, η καταγραφή των ενεργειών είναι ανεπαρκής, μπορεί να μην ξέρετε καν τι έκανε ο πράκτορας.

Τα ISO 27001 και SOC 2 εξακολουθούν να καλύπτουν βασικά ζητήματα, όπως ο έλεγχος πρόσβασης και η καταγραφή ενεργειών, ενώ το ISO 42001 βοηθά στον τομέα της ΤΝ. Ωστόσο, κανένα από αυτά δεν σχεδιάστηκε με γνώμονα τους αυτόνομους πράκτορες και αναμένω να εκδοθούν σύντομα νέες κατευθυντήριες γραμμές.

Το AIUC-1 αναδεικνύεται σε κορυφαίο πρότυπο για το AIUC-1 και μόλις αρχίσαμε να εκπαιδεύουμε το προσωπικό μας για την εφαρμογή του. Έχουμε συζητήσει σχετικά με ορισμένους πελάτες, αλλά δεν έχουμε ακόμη μελέτες περίπτωσης να παρουσιάσουμε. Έχει την ισχυρή στήριξη μεγάλων εταιρειών κυβερνοασφάλειας, γι’ αυτό αναμένουμε ότι αυτό το πλαίσιο θα αναδειχθεί σε κορυφαίο πρότυπο για τους πράκτορες ΤΝ.

Έχοντας εργαστεί στη Μέση Ανατολή, την Ευρώπη και τις Ηνωμένες Πολιτείες, έχετε συναντήσει διαφορετικά ρυθμιστικά περιβάλλοντα και προσεγγίσεις στη διαχείριση κινδύνων. Πώς επηρεάζουν οι περιφερειακές διαφορές στη διακυβέρνηση της ΤΝ και στην προστασία δεδομένων τον τρόπο με τον οποίο οι εταιρείες αναπτύσσουν συστήματα ΤΝ και ποιες προκλήσεις προκύπτουν όταν οι οργανισμοί δραστηριοποιούνται σε πολλές δικαιοδοσίες;

Με έδρα το Μπαχρέιν και συνεργαζόμενος με πελάτες στην Ευρώπη και τις ΗΠΑ, έχω πάψει να περιμένω ότι οι κανόνες για την ΤΝ θα συγκλίνουν. Αντίθετα, οι περιφέρειες απομακρύνονται όλο και περισσότερο μεταξύ τους.

Η Ευρώπη ρυθμίζει μέσω της νομοθεσίας. Η Πράξη της ΕΕ για την ΤΝ ταξινομεί τα συστήματα ΤΝ ανάλογα με τον κίνδυνο και ορίζει τις υποχρεώσεις κάθε κατηγορίας, γι’ αυτό οι ευρωπαϊκές εταιρείες τείνουν να ενεργούν προσεκτικά και να τεκμηριώνουν τα πάντα. Οι ΗΠΑ δεν έχουν ομοσπονδιακό νόμο για την ΤΝ και το μεγαλύτερο μέρος της ρύθμισης γίνεται από την αγορά. Οι αγοραστές ζητούν στα συμβόλαιά τους πλαίσια όπως το AI RMF του NIST, ενώ για τα υπόλοιπα φροντίζει η ευθύνη. Η Κίνα ακολουθεί μια τρίτη οδό, θεσπίζοντας νέο κανόνα κάθε φορά που μια τεχνολογία δημιουργεί έναν νέο κίνδυνο.

Ο Κόλπος είναι η περιοχή που βρίσκω πιο ενδιαφέρουσα. Η Σαουδική Αραβία, για παράδειγμα, δεν έχει ακόμη οριζόντιο νόμο για την ΤΝ. Οι περισσότεροι δεσμευτικοί κανόνες περιλαμβάνονται στη νομοθεσία για την προστασία δεδομένων και στις κρατικές προμήθειες, επειδή το κράτος είναι ο μεγαλύτερος αγοραστής τεχνολογίας στην περιοχή. Οι υποχρεώσεις συμμόρφωσης εξαρτώνται σε μεγάλο βαθμό από το ποιος είναι ο πελάτης σας. Όταν η SDAIA, η ρυθμιστική αρχή της Σαουδικής Αραβίας, πιστοποιήθηκε η ίδια κατά ISO 42001 το 2024, έδειξε στην αγορά ποιο πρότυπο θα αναζητούσε στους διαγωνισμούς.

Το δυσκολότερο είναι όταν μια εταιρεία δραστηριοποιείται σε περισσότερες από μία από αυτές τις περιοχές. Μια εταιρεία SaaS στο Ριάντ που πουλάει στην Ευρώπη μπορεί να πληροί τις τεχνικές απαιτήσεις της ΕΕ και παρ’ όλα αυτά να μην συμμορφώνεται με τους κανόνες της Σαουδικής Αραβίας για την καταχώριση και τη διαβίβαση δεδομένων. Καμία από τις δύο πλευρές δεν αποδέχεται τα έγγραφα της άλλης.

Η προσέγγισή μας είναι να δημιουργήσουμε ένα κοινό θεμέλιο που μπορεί να εφαρμοστεί παντού —το ISO 42001 μαζί με το ISO 27001— και έπειτα να προσθέσουμε τις απαιτήσεις κάθε περιοχής. Το ISO 42001 δεν σας εξασφαλίζει από μόνο του νομική συμμόρφωση πουθενά, αλλά είναι ό,τι πιο κοντινό υπάρχει σε μια κοινή γλώσσα αποδεκτή από όλες αυτές τις περιοχές.

Υπάρχει συχνά σημαντική απόσταση ανάμεσα στην απόκτηση μιας πιστοποίησης ασφάλειας και στην πραγματική ανθεκτικότητα στον κυβερνοχώρο. Πώς μπορούν οι οργανισμοί να αξιοποιήσουν την ΤΝ και την αυτοματοποίηση για να ξεπεράσουν τη συμμόρφωση που περιορίζεται στο τσεκάρισμα κουτιών και να αναπτύξουν πρακτικές ασφάλειας που προσαρμόζονται διαρκώς στις αναδυόμενες απειλές;

Έχω δει εταιρείες με ολοκαίνουργια έκθεση SOC 2 και βασικά κενά ασφαλείας που κανείς δεν είχε αντιληφθεί. Στόχος τους ήταν να περάσουν τον έλεγχο. Ένα πιστοποιητικό δείχνει ότι μια εταιρεία πληρούσε ένα πρότυπο σε μια συγκεκριμένη ημερομηνία, αλλά δεν δείχνει αν μπορεί να αποτρέψει μια επίθεση.

Για να ξεπεράσει κανείς αυτό το στάδιο, πρέπει να εξετάσει αν κάθε μέτρο ελέγχου θα άντεχε σε δοκιμές. Η αυτοματοποίηση βοηθά πολύ σε αυτό. Η συνεχής παρακολούθηση εντοπίζει τα προβλήματα όσο είναι ακόμη μικρά, ενώ τα επικαιροποιημένα δεδομένα για τις απειλές διατηρούν τις αξιολογήσεις κινδύνου ευθυγραμμισμένες με τις τρέχουσες τακτικές των επιτιθέμενων. Στη συνέχεια, οι τακτικές δοκιμές διείσδυσης και οι προσομοιώσεις επιθέσεων δείχνουν αν τα μέτρα ελέγχου λειτουργούν στην πράξη.

Η πιστοποίησή μας από την CREST φέτος ήταν μέρος αυτής της προσπάθειας. Θέλαμε να δοκιμάσουμε την ασφάλεια των πελατών μας και να την τεκμηριώσουμε.

Κοιτάζοντας μπροστά, στα επόμενα τρία έως πέντε χρόνια, πώς φαντάζεστε ότι θα μεταμορφώσει η ΤΝ τον κλάδο της συμβουλευτικής για την κυβερνοασφάλεια και τη συμμόρφωση; Πιστεύετε ότι οι πράκτορες ΤΝ θα αναλάβουν τελικά αυτόνομα τις περισσότερες συνήθεις δραστηριότητες συμμόρφωσης και πώς βλέπετε να εξελίσσεται η Axipro καθώς ωριμάζουν αυτές οι τεχνολογίες;

Πιστεύω ότι μέσα σε πέντε χρόνια οι πράκτορες ΤΝ θα αναλάβουν το μεγαλύτερο μέρος των συνήθων εργασιών συμμόρφωσης, όπως τη συλλογή αποδεικτικών στοιχείων, την επικαιροποίηση πολιτικών και τη συμπλήρωση ερωτηματολογίων ασφάλειας. Οι εταιρείες που κερδίζουν χρήματα χρεώνοντας ώρες για αυτή την εργασία, χωρίς να διαθέτουν διακριτή τεχνογνωσία, θα δυσκολευτούν.

Ωστόσο, δεν πιστεύω ότι οι πράκτορες θα διαχειρίζονται τη συμμόρφωση από μόνοι τους. Όσο περισσότερη δουλειά αναλαμβάνει η ΤΝ, τόσο σημαντικότερες γίνονται οι αποφάσεις που απομένουν. Κάποιος πρέπει ακόμη να εγκρίνει έναν έλεγχο και να αντιμετωπίσει τις συνέπειες όταν κάτι πάει στραβά. Καθώς και οι επιτιθέμενοι χρησιμοποιούν ΤΝ, η ζήτηση για εξειδικευμένους επαγγελματίες άμυνας θα συνεχίσει να αυξάνεται.

Στην Axipro, βλέπω ότι θα αφιερώνουμε λιγότερο χρόνο στην τεκμηρίωση και περισσότερο στην παροχή συμβουλών στους πελάτες και στον έλεγχο της ασφάλειάς τους. Η εσωτερική μας ΤΝ θα αναλάβει περισσότερες εργασίες υλοποίησης, ενώ η ομάδα μας θα επικεντρωθεί σε αποφάσεις που απαιτούν ανθρώπινη κρίση. Το 2022, πολλοί πίστευαν ότι η ΤΝ θα καθιστούσε περιττές εταιρείες σαν τη δική μας. Μέχρι στιγμής, έχει συμβεί το αντίθετο: αναπτυσσόμαστε με ρυθμό άνω του 10% από μήνα σε μήνα, μερικές φορές έχοντας περισσότερη δουλειά απ’ όση μπορούμε να διαχειριστούμε, και δεν περιμένουμε να ηρεμήσουν τα πράγματα.

Σας ευχαριστούμε για την εξαιρετική συνέντευξη· οι αναγνώστες που θέλουν να μάθουν περισσότερα για τη συμμόρφωση στον τομέα της κυβερνοασφάλειας, τη διακυβέρνηση της ΤΝ και την ανάπτυξη πρακτικών διαρκούς ασφάλειας, θα πρέπει να επισκεφθούν το Axipro.