Ashley Rose, Ιδρυτής και Διευθύνων Σύμβουλος της Living Security – Σειρά Συνεντεύξεων

Ashley Rose, Ιδρυτής και Διευθύνων Σύμβουλος της Living Security, είναι ένας σειριακός επιχειρηματίας και καινοτόμος στον κυβερνοχώρο, που επικεντρώνεται στην ανασύνθεση του τρόπου με τον οποίο οι οργανισμοί αντιμετωπίζουν τον ανθρώπινο κίνδυνο στην ασφάλεια. Από την ίδρυση της εταιρείας το 2017, έχει ηγηθεί της ανάπτυξης μιας δεδομενο-κεντρικής, συμπεριφορικής προσεγγίσεως στην ασφάλεια που μετατοπίζει την παραδοσιακή ευαισθητοποίηση πέρα από την παραδοσιακή εκπαίδευση toward μετρήσιμοι μειώσεις κινδύνου και πολιτιστικές αλλαγές. Με βάση το υπόβαθρο του στη διοίκηση προϊόντων και την επιχειρηματικότητα, έχει βοηθήσει να αναπτυχθεί η Living Security σε μια γρήγορα αναπτυσσόμενη πλατφόρμα SaaS που χρησιμοποιείται από επιχειρηματικές οργανώσεις, ενώ συμβάλλει επίσης στο ευρύτερο οικοσύστημα κυβερνοασφάλειας ως μέντορας, σύμβουλος και υποστηρικτής πρωτοβουλιών όπως οι Γυναίκες στον Κυβερνοχώρο.

Living Security είναι μια εταιρεία κυβερνοασφάλειας SaaS που επικεντρώνεται στην Διαχείριση Ανθρώπινου Κινδύνου, βοηθώντας τις οργανώσεις να αναγνωρίσουν, να μετρήσουν και να μειώσουν τους κινδύνους που συνδέονται με την συμπεριφορά των εργαζομένων. Η πλατφόρμα της συλλέγει δεδομένα συμπεριφοράς, ταυτότητας και απειλών για να εντοπίσει τους υψηλού κινδύνου χρήστες και να παρέχει στοχευμένες, πραγματικού χρόνου εκπαιδεύσεις και παρεμβάσεις που σχεδιάζονται για να προληφθούν οι παραβιάσεις πριν συμβούν. Συνδυάζοντας αναλύσεις, αυτοματοποίηση και ελκυστικές μεθόδους εκπαίδευσης όπως προσομοιώσεις και παιχνίδια, η εταιρεία ermöglicht στις επιχειρήσεις να μετατοπίσουν από την ευαισθητοποίηση που βασίζεται στην συμμόρφωση στην ασφάλεια toward μετρήσιμες μειώσεις κινδύνου σε όλη την εργατική δύναμη.

Ιδρύσατε την Living Security το 2017 μετά από προηγούμενη εμπειρία στην κατασκευή και ανάπτυξη καταναλωτικών προϊόντων και εργασίας ως ιδιοκτήτης προϊόντων. Ποια συγκεκριμένη στιγμή ή συνειδητοποίηση σας οδήγησε να μετατοπιστείτε στον κυβερνοχώρο και να επικεντρωθείτε στον ανθρώπινο κίνδυνο, και πώς έχει διατηρηθεί η αρχική σας θέση καθώς το AI γίνεται μέρος της εργατικής δύναμης;

Το 2017, οι περισσότερες οργανώσεις αντιμετώπιζαν την εκπαίδευση ευαισθητοποίησης ασφάλειας ως μια άσκηση ελέγχου, και δεν άλλαζε τη συμπεριφορά. Η στροφή ήταν η συνειδητοποίηση ότι αν η ανθρώπινη συμπεριφορά οδηγούσε σε παραβιάσεις, η απάντηση δεν μπορούσε να είναι περισσότερη λησμονημένη εκπαίδευση. Ο Drew Rose, συν-ιδρυτής της Living Security, διηύθυνε προγράμματα ασφάλειας και άρχισε να κάνει παιχνίδια από αυτά, κατασκευάζοντας πρώιμους πρωτότυπους που έγιναν δωμάτια διαφυγής κυβερνοασφάλειας. Είδαμε από πρώτο χέρι ότι όταν κάποιος κάνει την ασφάλεια εμπειρική, οι άνθρωποι συμμετέχουν, μαθαίνουν και πραγματικά αλλάζουν τη συμπεριφορά. Αυτό έγινε η βάση για την Living Security.

Ως συν-ιδρυτές, ο Drew και εγώ συνειδητοποιήσαμε γρήγορα ότι η συμμετοχή ήταν μόνο η αρχή. Όταν μετετρεψαμε αυτές τις εμπειρίες σε μια πλατφόρμα, αρχίσαμε να βλέπουμε πρότυπα σε πώς οι άνθρωποι συμπεριφέρονταν, πού δυσκολεύονταν και πού ο κίνδυνος ήταν πραγματικά συγκεντρωμένος. Αυτό εξέθεσε ένα πολύ μεγαλύτερο κενό: οι οργανώσεις δεν είχαν πραγματική ορατότητα στον ανθρώπινο κίνδυνο ή πώς να τον μειώσουν με στοχευμένο τρόπο. Αυτή η εντύπωση μας οδήγησε να πιονερίσουμε τη Διαχείριση Ανθρώπινου Κινδύνου, η οποία αφορά την αναγνώριση, μέτρηση και μείωση του κινδύνου με βάση την ατομική συμπεριφορά, πρόσβαση και απειλές, και όχι μόνο την παράδοση εκπαιδεύσεων. Όσο το AI ενσωματώνεται στην εργατική δύναμη, η αρχική μας θέση έχει επεκταθεί: η πρόκληση δεν είναι πλέον μόνο η ανθρώπινη συμπεριφορά, αλλά πώς οι άνθρωποι και τα συστήματα AI λειτουργούν μαζί. Οι άνθρωποι είναι ακόμη στο κέντρο, τώρα διαχειρίζονται και αναπτύσσουν συστήματα AI, που σημαίνει ότι πρέπει να επεκτείνουμε την ορατότητα σε αυτά τα συστήματα και να συνδέσουμε τον κίνδυνο πίσω στον ατομικό. Αυτό είναι που οδηγεί την εξέλιξη μας στη.Workforce Security.

Έχετε υποστηρίξει ότι ο ανθρώπινος λάθος είναι μια непλήρης εξήγηση για τις παραβιάσεις. Πώς πρέπει οι οργανώσεις να αναθεωρήσουν τον κίνδυνο της εργατικής δύναμης σήμερα, όταν τόσο η ανθρώπινη συμπεριφορά όσο και οι ενέργειες που οδηγούνται από το AI συνεισφέρουν στην επιφάνεια επίθεσης;

Η παρουσίαση των παραβιάσεων ως “ανθρώπινου λάθους” απλοποιεί υπερβολικά το πρόβλημα και αποκρύπτει από πού προέρχεται πραγματικά ο κίνδυνος. Ο ανθρώπινος κίνδυνος δεν είναι μόνο για λάθη, αλλά διαμορφώνεται από μια συνδυασμό συμπεριφοράς, πρόσβασης και έκθεσης σε απειλές. Ορισμένοι εργαζόμενοι έχουν προνομιακή πρόσβαση σε ευαίσθητα συστήματα, ορισμένοι στοχεύονται πιο συχνά και ορισμένοι παρουσιάζουν πιο κινδυνεύουσες συμπεριφορές, οπότε ο κίνδυνος παραβιάσεων δεν είναι ομοιόμορφα κατανεμημένος. Για να κατανοήσουν πραγματικά τον κίνδυνο, οι οργανώσεις χρειάζονται ορατότητα σε εκείνες τις παράμετρους και σε εκείνες τις περιοχές όπου ο ανθρώπινος κίνδυνος υπάρχει.

Ως αποτέλεσμα, οι οργανώσεις πρέπει να μετατοπίσουν πέρα από τα μοντέλα ευαισθητοποίησης και να αναθεωρήσουν τον κίνδυνο της εργατικής δύναμης ως một κοινή, λειτουργική πρόκληση, η οποία περιλαμβάνει τόσο τον ανθρώπινο κίνδυνο όσο και τις ενέργειες που οδηγούνται από το AI. Αυτό σημαίνει ότι πρέπει να επικεντρωθούν στην συνεχής ορατότητα του τρόπου με τον οποίο εκτελείται η εργασία, να κατανοήσουν πού ο κίνδυνος είναι συγκεντρωμένος και να εφαρμόσουν στοχευμένες, πραγματικού χρόνου παρεμβάσεις σε μια υβριδική εργατική δύναμη, αντί να αντιμετωπίζουν τον κίνδυνο ως απομονωμένα λάθη χρηστών.

Τα εργαλεία AI τώρα συντάσσουν κώδικα, χειρίζονται ροές εργασίας και ακόμη και λαμβάνουν αποφάσεις. Σε ποιο σημείο τα συστήματα AI παύουν να είναι εργαλεία και αρχίζουν να αντιμετωπίζονται ως μέρος της εργατικής δύναμης από την άποψη της ασφάλειας;

Τα συστήματα AI παύουν να είναι μόνο εργαλεία και αρχίζουν να αντιμετωπίζονται ως μέρος της εργατικής δύναμης τη στιγμή που λαμβάνουν δράση μέσα στα περιβάλλοντα των επιχειρήσεων. Σε εκείνο το σημείο, εισάγουν κίνδυνο με τον ίδιο τρόπο που οι εργαζόμενοι: μέσω των ενεργειών που λαμβάνουν, των προνομίων που λειτουργούν και των δεδομένων που αγγίζουν. Η μετατόπιση για τις οργανώσεις είναι η αναγνώριση ότι τα συστήματα AI δεν είναι μόνο στρώματα παραγωγικότητας – είναι λειτουργικοί συμμετέχοντες και χρειάζονται να διευθύνονται, να παρακολουθούνται και να ασφαλίζονται μαζί με τους ανθρώπινους χρήστες σε ένα ενοποιημένο μοντέλο κινδύνου εργατικής δύναμης.

Πώς πρέπει οι επιχειρήσεις να αντιμετωπίσουν τη διακυβέρνηση όταν ο κίνδυνος δεν είναι πλέον περιορισμένος στους εργαζόμενους, αλλά επεκτείνεται και στα συστήματα AI που λειτουργούν με διαφορετικά επίπεδα αυτονομίας και πρόσβασης;

Οι επιχειρήσεις πρέπει να μετατοπίσουν πέρα από τη διακυβέρνηση που βασίζεται σε πολιτικές και να τη αντιμετωπίσουν ως một συνεχή, συμπεριφορική διαδικασία που εφαρμόζεται και στους ανθρώπινους και στα συστήματα AI. Οι περισσότερες οργανώσεις ήδη έχουν πολιτικές AI στη θέση, αλλά το κενό είναι στην επιβολή και ορατότητα, ιδιαίτερα καθώς οι εργαζόμενοι υιοθετούν εργαλεία πέρα από τα εγκεκριμένα περιβάλλοντα και τα συστήματα AI λειτουργούν με διαφορετικά επίπεδα πρόσβασης.

Η αποτελεσματική διακυβέρνηση αρχίζει με τη σαφή ορισμό της αποδεκτής χρήσης με βάση τον ρόλο και την πρόσβαση σε δεδομένα, αλλά cũng απαιτεί πραγματικού χρόνου οδηγίες που είναι ενσωματωμένες στις ροές εργασίας και συνεχείς μετρήσεις, ώστε οι οργανώσεις να μπορούν να δουν πού ο κίνδυνος εμφανίζεται και να προσαρμοστούν. Τελικά, η διακυβέρνηση πρέπει να αντανακλά το πώς πραγματικά γίνεται η εργασία σήμερα: σε μια υβριδική εργατική δύναμη όπου και οι άνθρωποι και τα συστήματα AI λαμβάνουν αποφάσεις, προσεγγίζουν δεδομένα και εισάγουν κίνδυνο.

Η Living Security έχει επικεντρωθεί έντονα στα μοντέλα ασφάλειας που βασίζονται στη συμπεριφορά. Πώς μεταφράζεται αυτή η φιλοσοφία όταν ορισμένες συμπεριφορές προέρχονται τώρα από συστήματα AI και όχι από ανθρώπους;

Η συμπεριφορική προσέγγιση της Living Security επεκτείνεται φυσικά στο AI, επειδή ο στόχος δεν ήταν ποτέ μόνο ποιος δημιουργεί κίνδυνο, αλλά πώς ο κίνδυνος εισάγεται μέσω ενεργειών. Αν είναι πρόσωπο ή σύστημα AI, ο κίνδυνος εμφανίζεται σε συμπεριφορές, πώς τα δεδομένα προσεγγίζονται, ποιες ενέργειες λαμβάνονται και πώς οι αποφάσεις εκτελούνται μέσα στις ροές εργασίας. Όσο τα συστήματα AI αναλαμβάνουν περισσότερες λειτουργικές ευθύνες, το ίδιο μοντέλο εφαρμόζεται: οι οργανώσεις χρειάζονται ορατότητα σε αυτές τις συμπεριφορές, μαζί με την ικανότητα να οδηγούν και να παρεμβαίνουν σε πραγματικό χρόνο.

Αυτό οδήγησε στην ανάπτυξη του Livvy, της νοημοσύνης AI που τροφοδοτεί την πλατφόρμα της Living Security – εφαρμόζοντας προβλεπτική νοημοσύνη και συνεχείς παρακολουθήσεις σε ανθρώπινη και AI δραστηριότητα. Αντί να αντιμετωπίζουν το AI ως eine ξεχωριστή πρόκληση, αυτό ermöglicht μια πιο ενοποιημένη προσέγγιση όπου η συμπεριφορά, ανθρώπινη ή μηχανική, μετράται, οδηγείται και διαχειρίζεται μέσα σε ένα ενιαίο μοντέλο κινδύνου εργατικής δύναμης.

Πολυάριθμες οργανώσεις εξακολουθούν να βασίζονται σε περιοδική εκπαίδευση ευαισθητοποίησης ασφάλειας. Γιατί αυτό το μοντέλο καταρρέει σε σύγχρονα περιβάλλοντα, και τι μοιάζει μια πραγματικά προσαρμοστική, δεδομενο-κεντρική προσέγγιση στην πράξη;

Η περιοδική εκπαίδευση ευαισθητοποίησης ασφάλειας καταρρέει επειδή κατασκευάστηκε για einen στατικό τοπίο απειλών και υποθέτει ότι ο κίνδυνος μπορεί να μειωθεί μέσω ευρείας εκπαίδευσης. Στην πραγματικότητα, οι περισσότερες περιπτώσεις προέρχονται από καθημερινές λειτουργικές συμπεριφορές, όχι από έλλειψη εκπαίδευσης, και ο κίνδυνος συχνά είναι συγκεντρωμένος μεταξύ eines μικρού υποσету χρηστών. Μια πιο προσαρμοστική, δεδομενο-κεντρική προσέγγιση επικεντρώνεται στην συνεχή αναγνώριση πού ο κίνδυνος πραγματικά υπάρχει και στην παράδοση στοχευμένων, πραγματικού χρόνου οδηγιών στη ροή εργασίας – μετατοπίζοντας από την ολοκλήρωση της εκπαίδευσης στην μετρήσιμη μείωση του κινδύνου.

Η πλατφόρμα σας τονίζει την ποσοτικοποίηση του ανθρώπινου κινδύνου χρησιμοποιώντας πραγματικά δεδομένα. Ποια είναι τα πιο σημαντικά σήματα που οι οργανώσεις πρέπει να παρακολουθούν σήμερα για να κατανοήσουν τον κίνδυνο δυναμικά και όχι αναδρομικά;

Οι οργανώσεις πρέπει να επικεντρωθούν στη συμπεριφορά, ταυτότητα και πρόσβαση, και έκθεση σε απειλές, σήματα που αντανακλούν πώς ο κίνδυνος δημιουργείται και πού συγκεντρώνεται στην εργατική δύναμη. Αυτό ισχύει τώρα και για το AI, συμπεριλαμβανομένων των εργαλείων που χρησιμοποιούν οι εργαζόμενοι, της πρόσβασης που έχουν αυτά τα συστήματα και του πώς ρυθμίζονται ή προτρέπονται. Από μόνα τους, αυτά τα σήματα είναι χρήσιμα, αλλά η πραγματική αξία έρχεται από το πώς συνδυάζονται για να διηγηθούν μια ιστορία για τον κίνδυνο.

Για παράδειγμα, ένας CFO που έχει πρόσβαση σε οικονομικά συστήματα, δεν χρησιμοποιεί MFA, χρησιμοποιεί εργαλεία AI που συνδέονται με ευαίσθητα δεδομένα και στοχεύεται από καμπάνιες phishing αντιπροσωπεύει ένα πολύ διαφορετικό επίπεδο κινδύνου από έναν BDR με περιορισμένη πρόσβαση και χαμηλότερη έκθεση. Ο κίνδυνος δεν είναι μόνο σε αυτό που κάποιος κάνει, αλλά σε αυτό που έχει πρόσβαση, τα συστήματα που ενεργούν για λογαριασμό του και πόσο συχνά στοχεύεται. Όταν μπορείτε να δείτε αυτές τις παραμέτρους μαζί, μπορείτε να κατανοήσετε πού είναι πιο πιθανό να συμβεί μια παραβίαση και να λάβετε δράση σε πραγματικό χρόνο, είτε αυτό σημαίνει να ειδοποιήσετε τον个, να στενέψετε τους ελέγχους ή να προτεραιότητα παρέμβασης για αυτή την ομάδα.

Το AI δημιουργεί νέες ευπαθύτητες, αλλά χρησιμοποιείται επίσης αμυντικά. Πού βλέπετε την ισορροπία να μετατοπίζεται, και προχωράμε προς μια καθαρή θετική ή αρνητική επίδραση ασφάλειας από το AI;

Το AI κάνει και τα δύο, επεκτείνοντας την επιφάνεια επίθεσης ενώ βελτιώνει επίσης τον τρόπο με τον οποίο οι οργανώσεις ανιχνεύουν και αντιδρούν στον κίνδυνο. Από την μια πλευρά, ermöglicht πιο σύνθετες ροές εργασίας και αυτόνομες ενέργειες που μπορούν να εισάγουν νέες ευπαθύτητες. Από την άλλη, позволяет τις ομάδες ασφάλειας να αναλύουν τη συμπεριφορά σε κλίμακα και να ενεργούν πιο γρήγορα. Πού η ισορροπία καταλήγει εξαρτάται από το πώς οι οργανώσεις προσαρμόζονται. Για τώρα, πολλές εξακολουθούν να προσπαθούν να ικανοποιήσουν την ορατότητα και τη διακυβέρνηση, ιδιαίτερα καθώς το AI χρησιμοποιείται με τρόπους που δεν έχουν πλήρως χαρτογραφηθεί. Μακροπρόθεσμα, μπορεί να είναι καθαρή θετική, αλλά μόνο αν οι οργανώσεις αντιμετωπίσουν το AI ως μέρος της εργατικής δύναμης και εφαρμόσουν το ίδιο επίπεδο παρακολούθησης, οδηγίας και ελέγχου που εφαρμόζουν για τον ανθρώπινο κίνδυνο.

Δεν όλες οι εργαζόμενοι ή τα συστήματα AI υποβάλλονται σε ίσο κίνδυνο. Πώς πρέπει οι οργανώσεις να προτεραιότητα παρέμβασης χωρίς να δημιουργούν τριβή ή υπερ-επίβλεψη;

Δεν όλος ο κίνδυνος είναι ίσος, και η αντιμετώπιση του ως τέτοιος δημιουργεί τριβή. Το κλειδί είναι να επικεντρωθούν σε πού ο κίνδυνος είναι πραγματικά συγκεντρωμένος -既然 περίπου 10% των χρηστών οδηγούν 73% του κινδύνου – και να εφαρμόσουν στοχευμένες παρεμβάσεις εκεί, αντί να τις εφαρμόσουν ευρέως σε όλη την εργατική δύναμη. Αυτό σημαίνει να χρησιμοποιούν δεδομένα συμπεριφοράς, πρόσβασης και έκθεσης για να προτεραιότητα ποιος και τι χρειάζεται προσοχή, και να παρέχουν οδηγίες στη ροή εργασίας αντί να προσθέτουν περισσότερους ελέγχους. Κάνετε σωστά, μειώνει την τριβή making το ασφαλές μονοπάτι το πιο εύκολο να ακολουθήσει, αντί να αυξάνει την επιτήρηση σε όλους.

Αν προωθήσουμε πέντε χρόνια, τι θα μοιάζει η ασφάλεια της εργατικής δύναμης, και τι είναι οι περισσότερες οργανώσεις ακόμη υποτιμούν σήμερα;

Αν προωθήσουμε πέντε χρόνια, η ασφάλεια της εργατικής δύναμης θα ορίζεται από το πώς οι οργανώσεις μπορούν να κατανοήσουν και να διαχειριστούν τον κίνδυνο σε ανθρώπους και συστήματα AI που λειτουργούν μαζί. Δεν θα είναι για περιοδική εκπαίδευση ή στατικές ελέγχους, αλλά για συνεχή ορατότητα, πραγματικού χρόνου αξιολόγηση κινδύνου και την ικανότητα να λάβουν δράση δυναμικά καθώς η συμπεριφορά, πρόσβαση και απειλές αλλάζουν. Οι άνθρωποι θα είναι ακόμη στο κέντρο, αλλά θα διαχειρίζονται και θα επεκτείνουν τον εαυτό τους μέσω του AI, που σημαίνει ότι η ασφάλεια πρέπει να λογαριασμό και για τα δύο.

Τι είναι οι περισσότερες οργανώσεις ακόμη υποτιμούν είναι ότι υπάρχει ήδη ένα κενό ορατότητας στον ανθρώπινο κίνδυνο σήμερα, και το AI το ενισχύει. Πολλοί πιστεύουν ότι έχουν μια στρατηγική AI, αλλά στην πραγματικότητα, δεν έχουν ορατότητα σε ανθρώπους και τα εργαλεία που χρησιμοποιούν. Το βήμα ένα είναι να κατανοήσουν τον ανθρώπινο κίνδυνο, συμπεριφορά, πρόσβαση και έκθεση σε απειλές. Το βήμα δύο είναι να επεκτείνουν αυτή την ορατότητα στα συστήματα AI που χρησιμοποιούν οι εργαζόμενοι, τα οποία είναι μόνο τόσο ισχυρά και κινδυνεύοντα όσο η πρόσβαση και οι αποφάσεις που δίνονται στους ανθρώπους. Χωρίς αυτή τη βάση, οι οργανώσεις δεν είναι μόνο πίσω στο AI, αλλά λειτουργούν με αυξανόμενα τυφλά σημεία σε όλη την εργατική δύναμη.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν Living Security.