Sri Iyer, CTO y cofundador de Kovr.ai – Serie de entrevistas

Sri Iyer, CTO y cofundador de Kovr.ai, es un líder tecnológico experimentado con una amplia experiencia en la innovación en inteligencia artificial, análisis de datos, computación cuántica y automatización. Antes de fundar Kovr.ai, ocupó puestos senior en Amazon (AMZN ), Guidehouse, PwC y Raytheon, donde lideró equipos que desarrollaron soluciones de próxima generación en ambos sectores público y privado. Con más de una década de experiencia en tecnologías emergentes y numerosas certificaciones de la industria, Iyer ha construido una reputación por ayudar a las organizaciones a aprovechar herramientas disruptivas para resolver complejos desafíos comerciales y de seguridad.

Kovr.ai está redefiniendo el cumplimiento cibernético a través de una plataforma nativa de inteligencia artificial diseñada para entornos en la nube y híbridos. La empresa automatiza marcos regulatorios complejos como FedRAMP y CMMC utilizando inteligencia en tiempo real y basada en código, lo que permite a las empresas obtener la autorización para operar (ATO) en tan solo 15 minutos. Al reemplazar la consultoría manual tradicional y las herramientas de cumplimiento inflexibles, Kovr.ai proporciona un enfoque escalable y adaptable para la gestión de riesgos, lo que permite a las organizaciones altamente reguladas mantenerse seguras, cumplir con las normas y estar preparadas para el cambio continuo.

Antes de cofundar Kovr.ai, ocupó puestos de liderazgo en AWS, PwC y varias startups enfocadas en el gobierno federal. ¿Qué experiencias personales o profesionales lo llevaron a darse cuenta de que había una mejor manera de abordar el cumplimiento de la IT federal — y finalmente lo inspiraron a lanzar Kovr.ai?

He experimentado los desafíos del cumplimiento de la IT federal desde ambos lados – primero como propietario de sistemas que construía plataformas a gran escala para el Departamento de Defensa, y más tarde mientras lideraba iniciativas de nube y IA en AWS. En un caso, un sistema que ayudé a construir tardó años en desarrollarse, solo para ser retenido en el cumplimiento durante aún más tiempo. Esa frustración fue un punto de inflexión.

En AWS, lideré equipos que apoyaban servicios que pasaban por procesos de cumplimiento como FedRAMP y similares. A pesar de los recursos extensos de Amazon, obtener la autorización de servicios en nuevas regiones puede tardar hasta tres años. Incluso a esa escala, las mejores soluciones internas eran esencialmente hojas de cálculo glorificadas – herramientas como Quip o Google Docs – para rastrear y gestionar el proceso. La ineficiencia era asombrosa, y vi de primera mano que la mayoría de las agencias enfrentaban el mismo problema.

Durante años, creí que debía haber una mejor manera, pero la complejidad de mapear miles de controles a través de codebases y documentación hizo que la automatización real pareciera inalcanzable. Eso cambió cuando lideré el equipo de arquitectura de soluciones de IA/ML en AWS. Ver cómo la IA generativa podía transformar flujos de trabajo manuales fue revelador. De repente, lo que parecía imposible – reducir la carga de trabajo de cumplimiento en lugar de simplemente trasladarla a una herramienta diferente – parecía factible.

Después de algunos experimentos y R&D, mi ahora cofundador y yo nos dimos cuenta de que podríamos construir una plataforma que no solo rastreara el cumplimiento, sino que también acelerara significativamente el proceso. Esa idea fue el origen de Kovr.ai, una forma de aprovechar la IA para reducir, no solo gestionar, la carga del cumplimiento de la IT federal.

Muchas startups tecnológicas luchan con la complejidad, el costo y el ritmo de los requisitos de cumplimiento federal. ¿Cuáles fueron algunos de los obstáculos más grandes que enfrentó al principio — y cómo Kovr.ai superó o superó esos desafíos para construir una solución viable?

Kovr.ai enfrentó varios obstáculos importantes al principio al abordar el cumplimiento federal para startups, incluyendo:

• Complejidad y procesos manuales: Las startups a menudo encontraban que el cumplimiento federal era abrumador debido a la gran cantidad de controles (por ejemplo, NIST 800-53 tiene más de 1200 controles) y los procesos manuales y basados en hojas de cálculo que se utilizaban comúnmente. Esto hacía que el cumplimiento fuera lento, propenso a errores y exigente en términos de recursos.
• Retrasos en la retroalimentación y la iteración: Los procesos de cumplimiento tradicionales requerían largos ciclos de ida y vuelta entre equipos y consultores, lo que retrasaba el progreso y hacía que las startups tuvieran dificultades para saber dónde estaban o qué debían solucionar a continuación.
• Alto costo y carga de recursos: Las startups, con tiempo y dinero limitados, luchaban por priorizar el cumplimiento sobre sus hojas de ruta de productos básicos, a menudo retrasando el trabajo del gobierno durante años.

Superamos estos obstáculos utilizando la automatización, las entradas flexibles, la iteración rápida y la integración profunda del flujo de trabajo para hacer que el cumplimiento sea más accesible para las startups. La plataforma escanea automáticamente la documentación, el código y los entornos en la nube para mapearlos a los controles de cumplimiento y proporcionar evaluaciones de brechas instantáneas. Admite artefactos en cualquier formato, reduciendo las barreras de entrada, y enfatiza la retroalimentación rápida del usuario para garantizar la relevancia en el mundo real. Al integrar las comprobaciones de cumplimiento en las tuberías de desarrollo, Kovr.ai ayuda a los equipos a integrar el cumplimiento de manera transparente sin interrupciones importantes.

¿Cómo ha cambiado el paso hacia formatos de cumplimiento legibles por máquina como OSCAL [Lenguaje de Evaluación de Controles de Seguridad Abierta] la forma en que tanto los proveedores como las agencias abordan la seguridad?

OSCAL tiene el potencial de hacer que el cumplimiento sea más automatizado y eficiente, pero su impacto actualmente está limitado por el ritmo de adopción entre los proveedores y las agencias. A medida que más partes utilicen OSCAL, se espera que crezcan los beneficios de la automatización y la estandarización en los procesos de cumplimiento. Kovr.ai está construido de forma nativa en OSCAL, lo que le permite transmitir y procesar información de cumplimiento en este formato, pero los beneficios más amplios solo se realizarán cuando más partes interesadas adopten flujos de trabajo basados en OSCAL.

Usted describe Kovr.ai como un “copiloto de cumplimiento”. ¿Puede guiarnos sobre cómo se ve esto en la práctica — desde la documentación hasta la preparación para la auditoría? ¿Qué sucede detrás de escena que hace que este proceso sea más rápido o fácil?

Detrás de escena, Kovr.ai aprovecha la IA y la automatización para eliminar el trabajo manual, proporcionar retroalimentación instantánea y mantener la documentación de cumplimiento actualizada, lo que hace que todo el proceso, desde la documentación hasta la preparación para la auditoría, sea mucho más rápido y fácil para los usuarios.

Los usuarios pueden traer cualquier artefacto de cumplimiento que ya tengan, en cualquier formato — documentos, código, datos de entorno en la nube, diagramas de arquitectura, etc. Desde allí, Kovr.ai escanea automáticamente cada línea de cada documento, codebase y entorno, y luego mapea toda esta información a controles de seguridad relevantes, como los de NIST 800-53. Esto se logra utilizando modelos de IA que construyen un gráfico de conocimiento integral del paisaje de cumplimiento del usuario.

Luego, nuestro sistema evalúa cada control, identifica las brechas y genera recomendaciones de remedio accionables. Los usuarios pueden abordar estas brechas actualizando su entorno o documentación y volviendo a cargar a Kovr.ai, que luego proporciona retroalimentación instantánea sobre si los problemas están resueltos. La buena noticia es que este proceso se puede repetir tantas veces como sea necesario, lo que permite a los usuarios mejorar iterativamente su postura de cumplimiento con retroalimentación rápida y automatizada, eliminando así los retrasos tradicionales de ida y vuelta entre equipos y consultores.

Kovr.ai también puede generar toda la documentación de cumplimiento necesaria, incluyendo plantillas del gobierno, como los SSP de FedRAMP, utilizando la información en el gráfico de conocimiento.

Finalmente, la plataforma mantiene toda la información de cumplimiento actualizada y puede empaquetarla para los auditores. Cada vez más, los auditores incluso pueden acceder directamente a Kovr.ai para revisar y consultar datos de cumplimiento, lo que simplifica el proceso de auditoría.

Las startups a menudo enfrentan un difícil compromiso: moverse rápido y arriesgarse, o desacelerar para cumplir con los requisitos. ¿Cómo abordó este compromiso mientras construía Kovr.ai — y qué consejo daría a otros innovadores que intentan expandirse a mercados regulados?

Kovr.ai se construyó con el cumplimiento y la seguridad en mente desde el principio, incorporando características como sistemas aislados, autenticación sólida y cifrado para apoyar entornos regulados. También integramos comprobaciones de cumplimiento automatizadas directamente en nuestra tubería de DevOps, lo que permite la detección temprana de problemas y evita revisiones largas y nos centramos en la prototipación rápida y la integración basada en la retroalimentación del usuario, asegurando que el producto cumpliera con las necesidades del usuario mientras permanecía cumplidor. La automatización redujo aún más la sobrecarga manual, lo que permitió un desarrollo rápido y seguro a escala.

Para los innovadores, es crucial integrar el cumplimiento y la seguridad en su producto desde el principio, especialmente para los mercados regulados. Integren comprobaciones de cumplimiento automatizadas en su tubería de DevOps para detectar problemas temprano y traigan expertos en cumplimiento humanos cuando sea necesario. Si bien el cumplimiento puede ralentizar el desarrollo de características, a largo plazo ahorra tiempo al evitar rework costoso.

Ha hablado sobre la necesidad de modernizar la adquisición federal. ¿Qué partes del sistema actual se sienten más desactualizadas — y qué cambios prácticos facilitarían que las empresas en etapa inicial compitan?

El sistema de adquisición federal a menudo se siente desactualizado, con ciclos de adquisición lentos, financiación que prioriza las operaciones sobre la innovación y mecanismos de compra complejos que dificultan que las startups se abran camino. Para apoyar a las empresas en etapa inicial, reformas prácticas incluyen asignar más fondos flexibles y enfocados en la innovación, reducir los umbrales de adquisición para compras más rápidas y pequeñas, ampliar el acceso a vehículos de adquisición como Tradewinds de DOD y crear plataformas simplificadas, similares a una “tienda de aplicaciones”, para simplificar cómo las agencias descubren y compran nuevas tecnologías.

Al mirar hacia atrás, ¿qué decisiones fundamentales — alrededor de la arquitectura, la estrategia de llegar al mercado o la contratación — resultaron más importantes para llevar a Kovr.ai a donde está hoy?

Las decisiones fundamentales más importantes para Kovr.ai fueron la prototipación y la iteración rápidas, una visión de producto impulsada por el usuario, estrategias de producción flexibles, la construcción de una comunidad de retroalimentación y el mantenimiento de un fuerte enfoque en las necesidades del cliente. Estas elecciones nos permitieron construir una solución que realmente abordara los desafíos del cumplimiento federal.

Como CTO, ¿cómo equilibra la innovación rápida y el mantenimiento de un cumplimiento hermético? ¿Hay algún marco o práctica interna que haya adoptado para mantener ambas prioridades en marcha?

Equilibro la innovación y el cumplimiento integrando el cumplimiento en cada etapa del desarrollo, aprovechando la automatización, manteniendo entornos de producción flexibles y manteniéndome estrechamente conectado a las necesidades del usuario y la orientación experta. Estas prácticas garantizan que ambas prioridades – innovación rápida y cumplimiento hermético – se cumplan consistentemente.

Al mirar hacia adelante, ¿dónde ve a Kovr.ai expandiéndose a continuación — ya sea en el gobierno estatal y local, otras industrias reguladas como las finanzas y la energía, o incluso mercados internacionales?

El equipo continuará avanzando en la tecnología de Kovr.ai para la gestión de cumplimiento continuo y automatizado, expandiéndose en varias direcciones más allá de su enfoque actual en el cumplimiento del gobierno federal. Esto incluye la expansión hacia el gobierno estatal y local, otras industrias reguladas como las finanzas, la energía y la atención médica, y los mercados internacionales.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Kovr.ai.