Nick Kathmann, CISO/CIO στην LogicGate – Σειρά Συνεντεύξεων

Ο Nicholas Kathmann είναι ο Chief Information Security Officer (CISO) στην LogicGate, όπου ηγείται του προγράμματος информационной безопасности της εταιρείας, εποπτεύει τις καινοτομίες ασφαλείας της πλατφόρμας και συνεργάζεται με πελάτες για τη διαχείριση του κυβερνοαπορρίματος. Με πάνω από δύο δεκαετίες εμπειρίας στις ΤΠΕ και 18+ χρόνια στην κυβερνοασφάλεια, ο Kathmann έχει δημιουργήσει και ηγηθεί επιχειρήσεων ασφαλείας σε μικρές επιχειρήσεις και επιχειρήσεις Fortune 100.

Η LogicGate είναι μια πλατφόρμα για την διαχείριση του κινδύνου και της συμμόρφωσης που βοηθά τις οργανώσεις να αυτοματοποιούν και να κλιμακώνουν τα προγράμματα διακυβέρνησης, κινδύνου και συμμόρφωσης (GRC). Μέσω του προϊόντος Risk Cloud®, η LogicGate ermöglicht στις ομάδες να αναγνωρίζουν, να αξιολογούν και να διαχειρίζονται τον κίνδυνο σε ολόκληρη την επιχείρηση με προσαρμόσιμες ροές εργασιών, εchtzeit ενημερώσεις και ενσωματώσεις. Η πλατφόρμα υποστηρίζει eine ευρεία γκάμα用途, συμπεριλαμβανομένης της διαχείρισης κινδύνου τρίτων, της συμμόρφωσης με την κυβερνοασφάλεια και της διαχείρισης εσωτερικών ελέγχων, βοηθώντας τις εταιρείες να χτίσουν πιο ευέλικτες και ανθεκτικές στρατηγικές διαχείρισης κινδύνου.

Εξυπηρετείτε και ως CISO και CIO στην LogicGate — πώς βλέπετε την τεχνητή νοημοσύνη να μεταμορφώνει τις ευθύνες αυτών των ρόλων τα επόμενα 2-3 χρόνια;

Η τεχνητή νοημοσύνη έχει ήδη αρχίσει να μεταμορφώνει και τους δύο ρόλους, αλλά τα επόμενα 2-3 χρόνια, νομίζω ότι θα δούμε μια σημαντική αύξηση της Agentic AI που έχει τη δύναμη να ανασχεδιάσει τον τρόπο με τον οποίο αντιμετωπίζουμε τις επιχειρηματικές διαδικασίες στην καθημερινή μας ζωή. Οτιδήποτε θα πήγαινε συνήθως στο τμήμα υποστήριξης ΤΠΕ — όπως η επαναφορά κωδικών πρόσβασης, η εγκατάσταση εφαρμογών και άλλα — μπορεί να χειριστεί από έναν πράκτορα AI. Ένας άλλος κρίσιμος用途 θα είναι η αξιοποίηση των πρακτόρων AI για τη χειρίστηκε των δυσκολών αξιολογήσεων ελέγχου, επιτρέποντας στους CISO και CIO να προτεραιοποιούν πιο στρατηγικές αιτήσεις.

Με τις ομοσπονδιακές κυβερνοαπολύσεις και τις τάσεις απορρύθμισης, πώς πρέπει οι επιχειρήσεις να προσεγγίσουν την ανάπτυξη της τεχνητής νοημοσύνης ενώ διατηρούν μια ισχυρή στάση ασφαλείας;

Ενώ βλέπουμε μια τάση απορρύθμισης στις ΗΠΑ, οι κανονισμοί ενισχύονται στην ΕΕ. Έτσι, αν είστε μια πολυεθνική επιχείρηση, πρέπει να αναμένετε ότι θα πρέπει να συμμορφωθείτε με τις παγκόσμιες κανονιστικές απαιτήσεις για την υπεύθυνη χρήση της τεχνητής νοημοσύνης. Για τις εταιρείες που λειτουργούν μόνο στις ΗΠΑ, νομίζω ότι είναι σημαντικό να δημιουργήσουν ισχυρές πολιτικές διακυβέρνησης AI και να διατηρήσουν κάποια ανθρώπινη εποπτεία στη διαδικασία ανάπτυξης, βεβαιωμένοι ότι τίποτα δεν πάει στραβά.

Ποιοι είναι οι μεγαλύτεροι κίνδυνοι που βλέπετε σήμερα όταν πρόκειται για την ενσωμάτωση της τεχνητής νοημοσύνης σε υπάρχουσες πλαισιώσεις κυβερνοασφάλειας;

Ενώ υπάρχουν κάποια πεδία που μπορώ να σκεφτώ, ο πιο επηρεαστικός κίνδυνος θα ήταν εκεί όπου βρίσκεται τα δεδομένα σας και όπου τα διασχίζει. Η εισαγωγή της τεχνητής νοημοσύνης θα κάνει την εποπτεία σε εκείνη την περιοχή ακόμη πιο δύσκολη. Οι προμηθευτές ενεργοποιούν χαρακτηριστικά AI στα προϊόντα τους, αλλά αυτά τα δεδομένα δεν πάνε πάντα trực tiếp στο μοντέλο/προμηθευτή AI. Αυτό καθιστά τα παραδοσιακά εργαλεία ασφαλείας όπως DLP και web monitoring αποτελεσματικά τυφλά.

Έχετε πει ότι οι περισσότερες στρατηγικές διακυβέρνησης AI είναι “χαρτόνι τίγρεις”. Ποια είναι τα βασικά συστατικά ενός πλαισίου διακυβέρνησης που λειτουργεί πραγματικά;

Όταν λέω “χαρτόνι τίγρεις”, αναφέρομαι συγκεκριμένα σε στρατηγικές διακυβέρνησης όπου μόνο μια μικρή ομάδα γνωρίζει τις διαδικασίες και τα πρότυπα, και δεν επιβάλλονται ή ακόμη και δεν κατανοούνται σε ολόκληρη την οργάνωση. Η τεχνητή νοημοσύνη είναι πολύ διαδεδομένη, που σημαίνει ότι επηρεάζει κάθε ομάδα και κάθε ομάδα. Οι στρατηγικές “ένα μέγεθος ταιριάζει σε όλα” δεν θα λειτουργήσουν. Τα βασικά συστατικά ενός ισχυρού πλαισίου διακυβέρνησης ποικίλλουν, αλλά οι IAPP, OWASP, NIST και άλλες συμβουλευτικές αρχές έχουν khá καλά πλαισιά για τον καθορισμό τι να αξιολογηθεί. Το πιο δύσκολο μέρος είναι να κατανοήσετε πότε οι απαιτήσεις ισχύουν για κάθε περίπτωση.

Πώς μπορούν οι εταιρείες να αποφύγουν την ολίσθηση του μοντέλου AI και να διασφαλίσουν την υπεύθυνη χρήση με την πάροδο του χρόνου χωρίς να υπερμηχανεύουν τις πολιτικές τους;

Η ολίσθηση και η υποβάθμιση είναι απλώς μέρος της χρήσης της τεχνολογίας, αλλά η τεχνητή νοημοσύνη μπορεί να επιταχύνει σημαντικά τη διαδικασία. Αλλά αν η ολίσθηση γίνει πολύ μεγάλη, θα χρειαστούν μέτρα διόρθωσης. Μια綜合τική στρατηγική δοκιμής που αναζητά και μετρά την ακρίβεια, την προκατάληψη και άλλα κόκκινα σημαδάκια είναι απαραίτητη με την πάροδο του χρόνου. Αν οι εταιρείες θέλουν να αποφύγουν την προκατάληψη και την ολίσθηση, πρέπει να αρχίσουν να διασφαλίζουν ότι έχουν τα εργαλεία στη διάθεσή τους για να αναγνωρίσουν και να μετρήσουν.

Τι ρόλο πρέπει να παίξουν τα changelogs, οι περιορισμένες ενημερώσεις πολιτικής και οι βρόχοι ανατροφοδότησης σε πραγματικό χρόνο στη διατήρηση της ευέλικτης διακυβέρνησης AI;

Ενώ παίζουν ρόλο αυτή τη στιγμή για τη μείωση του κινδύνου και της ευθύνης για τον παρόχο, οι βρόχοι ανατροφοδότησης σε πραγματικό χρόνο εμποδίζουν την ικανότητα των πελατών και των χρηστών να thựcίσουν διακυβέρνηση AI, ιδιαίτερα αν οι αλλαγές στις μεθόδους επικοινωνίας συμβαίνουν πολύ συχνά.

Τι ανησυχίες έχετε γύρω από την προκατάληψη και την διάκριση της τεχνητής νοημοσύνης στην underwriting ή την πίστωση, ιδιαίτερα με τις υπηρεσίες “Αγοράστε Τώρα, Πληρώστε Αργότερα” (BNPL);

Πέρυσι, μίλησα με einen AI/ML ερευνητή σε eine μεγάλη, πολυεθνική τράπεζα που είχε πειραματιστεί με AI/LLMs σε όλα τα μοντέλα κινδύνου. Τα μοντέλα, ακόμη και όταν εκπαιδεύτηκαν σε μεγάλα και ακριβή σύνολα δεδομένων, έκαναν πραγματικά आश्चρηστές, απρόβλεπτες αποφάσεις για να εγκρίνουν ή να απορρίψουν την underwriting. Για παράδειγμα, αν τα λόγια “μεγάλη πίστωση” αναφερθούν σε μια συνομιλία ή επικοινωνία με πελάτες, τα μοντέλα θα απορρίψουν την δάνειο — ανεξάρτητα από το αν ο πελάτης το είπε ή ο υπαλλήλος της τράπεζας το είπε. Αν η τεχνητή νοημοσύνη θα βασιστεί, οι τράπεζες χρειάζονται καλύτερη εποπτεία και ευθύνη, και αυτές οι “έκπληξεις” πρέπει να ελαττωθούν.

Τι είναι η γνώμη σας για το πώς πρέπει να ελέγχουμε ή να αξιολογούμε τους αλγόριθμους που λαμβάνουν αποφάσεις υψηλού κινδύνου — και ποιος πρέπει να είναι υπεύθυνος;

Αυτό επιστρέφει στο綜合τική μοντέλο δοκιμής, όπου είναι απαραίτητο να δοκιμάζουμε και να αξιολογούμε συνεχώς τον αλγόριθμο/μοντέλο σε πραγματικό χρόνο. Αυτό μπορεί να είναι δύσκολο, καθώς η έξοδος του μοντέλου μπορεί να έχει επιθυμητά αποτελέσματα που θα χρειαστούν ανθρώπους για να αναγνωρίσουν τους outlayers. Ως παράδειγμα τραπεζών, ένα μοντέλο που αρνείται όλες τις δανείες θα έχει μια εξαιρετική βαθμολογία κινδύνου,既然 zero δανείες που θα εγκριθούν ποτέ θα αποτύχουν. Σε αυτή την περίπτωση, η οργάνωση που εφαρμόζει το μοντέλο/αλγόριθμο πρέπει να είναι υπεύθυνη για το αποτέλεσμα του μοντέλου, όπως θα ήταν αν οι άνθρωποι έκαναν την απόφαση.

Με περισσότερες επιχειρήσεις που απαιτούν κυβερνοασφάλεια, πώς τα εργαλεία AI ανασχηματίζουν τόσο το τοπίο κινδύνου όσο και την ίδια την ασφάλιση;

Τα εργαλεία AI είναι εξαιρετικά καλά στο να διασκορπίζουν μεγάλες ποσότητες δεδομένων και να βρίσκουν μοτίβα ή τάσεις. Στο πλευρό του πελάτη, αυτά τα εργαλεία θα είναι ουσιαστικά σημαντικά για την κατανόηση του πραγματικού κινδύνου της οργάνωσης και τη διαχείριση του κινδύνου. Στο πλευρό του ασφαλιστή, αυτά τα εργαλεία θα είναι χρήσιμα για την ανίχνευση ασυνεπειών και οργανισμών που γίνονται ακατάλληλοι με την πάροδο του χρόνου.

Πώς μπορούν οι εταιρείες να αξιοποιήσουν την τεχνητή νοημοσύνη για να μειώσουν προληπτικά τον κυβερνοκίνδυνο και να διαπραγματευτούν καλύτερους όρους στην αγορά ασφάλισης σήμερα;

Σήμερα, ο καλύτερος τρόπος για να αξιοποιήσετε την τεχνητή νοημοσύνη για τη μείωση του κινδύνου και τη διαπραγμάτευση καλύτερων όρων ασφάλισης είναι να φιλτράρετε τον θόρυβο και τις αποστάσεις, βοηθώντας σας να επικεντρωθείτε στα πιο σημαντικά κινδύνου. Αν μειώσετε αυτούς τους κινδύνους με έναν綜合적인 τρόπο, οι ποσοστά κυβερνοασφάλειας σας πρέπει να μειωθούν. Είναι πολύ εύκολο να παρασυρθείτε από το τεράστιο όγκο των κινδύνων. Μην μπερδευτείτε προσπαθώντας να αντιμετωπίσετε κάθε einzel πρόβλημα όταν η εστίαση στα πιο κρίσιμα μπορεί να έχει μια πολύ μεγαλύτερη επίδραση.

Τι είναι κάποια τακτικά βήματα που συνιστάτε για τις εταιρείες που θέλουν να εφαρμόσουν την τεχνητή νοημοσύνη με υπευθυνότητα — αλλά δεν ξέρουν από πού να αρχίσουν;

Πρώτα, πρέπει να κατανοήσετε ποια είναι τα use cases σας και να τεκμηριώσετε τα επιθυμητά αποτελέσματα. Όλοι θέλουν να εφαρμόσουν την τεχνητή νοημοσύνη, αλλά είναι σημαντικό να σκεφτείτε τους στόχους σας πρώτα και να εργαστείτε προς τα πίσω από εκεί — κάτι που νομίζω ότι πολλές οργανώσεις δυσκολεύονται σήμερα. Όταν έχετε μια καλή κατανόηση των use cases σας, μπορείτε να ερευνήσετε τα διαφορετικά πλαισιά AI και να κατανοήσετε ποια από τα εφαρμόσιμα ελέγχους έχουν σημασία για τα use cases και την εφαρμογή σας. Η ισχυρή διακυβέρνηση AI είναι επίσης επιχειρηματικά κρίσιμη, για την μείωση του κινδύνου και την αποτελεσματικότητα, поскольку η αυτοματοποίηση είναι μόνο τόσο χρήσιμη όσο τα δεδομένα εισόδου της. Οι οργανώσεις που αξιοποιούν την τεχνητή νοημοσύνη πρέπει να το κάνουν με υπευθυνότητα, καθώς οι συνεργάτες και οι πελάτες ζητούν δύσκολα ερωτήματα γύρω από την AI sprawl και τη χρήση. Δεν γνωρίζοντας την απάντηση μπορεί να σημαίνει ότι θα χάσετε επιχειρηματικές συμφωνίες, επηρεάζοντας trực tiếp την κάτω γραμμή.

Αν έπρεπε να προβλέψετε τον μεγαλύτερο κίνδυνο ασφαλείας που σχετίζεται με την τεχνητή νοημοσύνη σε πέντε χρόνια — τι θα ήταν; και πώς μπορούμε να προετοιμαστούμε σήμερα;

Η πρόβλεψή μου είναι ότι καθώς η Agentic AI χτίζεται σε περισσότερες επιχειρηματικές διαδικασίες και εφαρμογές, οι επιτιθέμενοι θα εμπλακούν σε απάτες και κατάχρηση για να χειριστούν αυτούς τους πράκτορες για να παραχθούν κακόβουλα αποτελέσματα. Ήδη abbiamo δει αυτό με την χειραγώγηση των πρακτόρων εξυπηρέτησης πελατών, με αποτέλεσμα μη εξουσιοδοτημένες συμφωνίες και επιστροφές. Οι θρησκευόμενοι χρησιμοποίησαν τρικλοποδιές γλώσσας για να παρακάμψουν τις πολιτικές και να παρεμβαίνουν στη λήψη αποφάσεων του πράκτορα.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα πρέπει να επισκεφθούν LogicGate.