अली हयात, Axipro के मुख्य कार्यकारी अधिकारी और संस्थापक – साक्षात्कार शृंखला

अली हयात Axipro के मुख्य कार्यकारी अधिकारी और संस्थापक हैं। उन्हें औद्योगिक जोखिम प्रबंधन और ISO मानकों के लेखापरीक्षण का अनुभव है, साथ ही साइबर सुरक्षा और अनुपालन परामर्श का भी। उनके शुरुआती काम में ऐसे औद्योगिक क्षेत्र शामिल थे जहाँ जोखिम बहुत अधिक था और सुरक्षा, नियामकीय आवश्यकताएँ तथा परिचालन जोखिम प्रमुख चिंताएँ थीं। बाद में उन्होंने बाहरी निवेश के बिना Axipro की स्थापना की। उनका ध्यान बढ़ती कंपनियों को व्यावहारिक सुरक्षा उपाय अपनाने, ऑडिट की तैयारी करने और उभरते एआई जोखिमों का प्रबंधन करने में मदद देने पर रहा।

Axipro साइबर सुरक्षा और अनुपालन परामर्श देने वाली संस्था है, जो SOC 2, ISO 27001, ISO 42001 और डेटा सुरक्षा संबंधी आवश्यकताओं सहित विभिन्न मानकों के अनुरूप काम करने में संगठनों की मदद करती है। इसकी सेवाओं में परामर्श, अनुपालन स्वचालन, ऑडिट की तैयारी और सुरक्षा परीक्षण शामिल हैं। इसमें निरंतर निगरानी और मानवीय देखरेख पर विशेष ज़ोर दिया जाता है। इस साक्षात्कार में हयात एआई-संचालित अनुपालन प्रक्रियाओं, शैडो एआई, स्वायत्त एजेंटों के जोखिमों, क्षेत्रीय शासन-व्यवस्थाओं के अंतर और प्रमाणन तथा साइबर सुरक्षा के प्रति लचीलेपन के बीच की खाई पर चर्चा करते हैं।

आपका करियर जोखिम-भरे औद्योगिक क्षेत्रों में शुरू हुआ। वहाँ आपने Saudi Aramco, ADNOC और TotalEnergies से जुड़ी परियोजनाओं पर काम किया, जिनमें सुरक्षा, जोखिम प्रबंधन और नियामकीय अनुपालन बेहद अहम थे। औद्योगिक सुरक्षा और ऑडिटिंग से साइबर सुरक्षा की ओर जाने की प्रेरणा आपको कहाँ से मिली, और आखिरकार Axipro की स्थापना करने का फैसला आपने क्यों किया?

मैंने गुणवत्ता प्रबंधन में काम करते हुए बाज़ार में एक कमी देखी, इसलिए Axipro की स्थापना की। 2021 में मैंने देखा कि कई नए साइबर सुरक्षा प्लेटफ़ॉर्म लॉन्च हो रहे थे, जो SOC 2 और ISO 27001 अनुपालन के लिए अर्ध-स्वचालित सेवाएँ देते थे।

जल्द ही यह स्पष्ट हो गया कि ये प्लेटफ़ॉर्म तकनीकी टीमों पर अनुपालन का बहुत-सा बोझ तो कम करते थे, लेकिन इन्हें स्थापित करने और उनका रखरखाव करने की ज़रूरत बनी रहती थी। विकास की तेज़ रफ़्तार के साथ तालमेल बैठाने में पहले से जूझ रहे स्टार्टअप अनुपालन पर लगातार नज़र रखने के लिए मानव-नेतृत्व वाली टीम को भुगतान करने को तैयार थे। इसी तरह Axipro की शुरुआत हुई।

फिर 2022 में पहले एआई प्लेटफ़ॉर्म जारी किए गए। यह एक और ऐसा पल था जब मुझे बात समझ में आई। उद्योग के कई लोगों को अपनी भूमिका अप्रासंगिक हो जाने का डर था, लेकिन मुझे तुरंत एहसास हुआ कि यह एक बड़ा अवसर है। एआई से साइबर हमलों में तेज़ी से और बहुत बड़े पैमाने पर बढ़ोतरी होने की पूरी संभावना थी, और इसके जवाब में स्टार्टअप की सुरक्षा तथा अनुपालन संबंधी ज़रूरतों का मार्गदर्शन करने के लिए कुशल लोगों की आवश्यकता पड़ती।

आज हम Drata के एलीट पार्टनर और Vanta के पसंदीदा पार्टनर हैं। हमने 300 से अधिक कंपनियों को साइबर सुरक्षा और एआई के अग्रणी मानकों के अनुरूप काम करने में मार्गदर्शन दिया है।

आपने बाहरी निवेश के बिना Axipro की शुरुआत की और इसे एक अंतरराष्ट्रीय परामर्श संस्था के रूप में विकसित किया, जो सैकड़ों ग्राहकों को सेवाएँ देती है। बिना बाहरी पूँजी के साइबर सुरक्षा व्यवसाय खड़ा करने में सबसे बड़ी चुनौतियाँ क्या थीं? सेवा की गुणवत्ता बनाए रखते हुए परिचालन बढ़ाने में तकनीक और स्वचालन ने आपकी किस तरह मदद की?

शुरुआती कुछ साल बेहद चुनौतीपूर्ण थे। बच्चा आने वाला था और मेरी बचत खत्म हो रही थी; उधर उद्योग पर एआई के शुरुआती मॉडल हावी होने लगे थे। संभवतः शुरुआती 2 से 3 सालों की इन्हीं चुनौतियों के कारण अब मेरे बाल सफ़ेद हो गए हैं।

मेरा मुकाबला कुछ ऐसे दिग्गजों से था जिनकी प्रतिष्ठा पहले से स्थापित थी, बड़े कार्यालय थे और बाज़ार में खर्च करने के लिए भारी बजट था। मैं बहरीन में था, मेरी पृष्ठभूमि गुणवत्ता प्रबंधन की थी और मेरा विपणन बजट शून्य था।

मैंने इसके जवाब में लीक से हटकर रास्ता अपनाया: मैंने कामकाज को चुस्त और कुशल रखा तथा बड़ी, स्थापित कंपनियों से कम कीमतें रखीं।

इससे मुझे कई नए ग्राहक मिले, लेकिन हमारा लाभ-मार्जिन कम था। नकदी प्रवाह का प्रबंधन एक कला बन गया और हम शुरुआती 2 साल मुश्किल से निकाल पाए। जब हमने कई मानकों के दायरे वाला अपना पहला पाँच अंकों का सौदा किया, तो सब कुछ बदल गया। इससे हमें कुछ राहत मिली, मैं पहली बार पूर्णकालिक कर्मचारियों को रख सका और साझेदारियों तथा सिफ़ारिशों से आगे बढ़कर विपणन के बारे में सोचने लगा।

Axipro डिजिटल बदलाव और स्वचालन के ज़रिए अनुपालन के जटिल मानकों को आसान बनाने पर ध्यान देता है। कृत्रिम बुद्धिमत्ता पारंपरिक अनुपालन प्रक्रियाओं को किस तरह बदल रही है, और आपके अनुसार एआई-संचालित दक्षता बढ़ाने के सबसे बड़े अवसर किन गतिविधियों में हैं?

अनुपालन उद्योग को एआई से बहुत लाभ हुआ है। पहले इसमें बार-बार किए जाने वाले कई काम शामिल थे, जैसे प्रमाण जुटाना और उन्हें संबंधित आवश्यकताओं से जोड़ना, सुरक्षा संबंधी प्रश्नावली के जवाब देना और नीतियों के मसौदे तैयार करना। अब इनमें से लगभग सभी काम स्वचालित हो चुके हैं। एआई ने साइबर सुरक्षा और अनुपालन से जुड़े जोखिमों की निरंतर निगरानी और उनके संकेत देने की सुविधा भी उपलब्ध कराई है।

अब अनुपालन प्रक्रिया के लगभग हर चरण में एआई की भूमिका है। नए ग्राहक को जोड़ने के बाद हमारी आंतरिक एआई प्रणाली कंपनी के उद्योग, आकार और स्थान के आधार पर स्वचालित जोखिम आकलन करती है। हमारे पास पिछले कामों का एक बड़ा डेटाबेस है, जिसकी मदद से हम संभावित जोखिमों और चेतावनी के संकेतों का स्वतः पता लगा सकते हैं। एआई से मिलने वाला शायद यही सबसे बड़ा लाभ है।

साइबर हमलावरों को भी एआई से लाभ हुआ है और हमलों में तेज़ी से बढ़ोतरी हुई है। एआई बनाम एआई की एक तरह की हथियारों की दौड़ चल रही है। इसमें हमारी जैसी कंपनियाँ एक ओर स्वचालित ख़तरा पहचान पर काम कर रही हैं, जबकि दूसरी ओर हैकर हमलों को स्वचालित बना रहे हैं।

यहीं मानवीय विवेक की भूमिका आती है, और हमारे काम में यह केंद्रीय स्थान रखता है: एआई को दोहराव वाले काम संभालकर परिचालन दक्षता बढ़ानी चाहिए, ताकि लोग ख़तरों का आकलन करने और उनका जवाब देने पर ध्यान दे सकें।

कई संगठन अब भी साइबर सुरक्षा अनुपालन को समय-समय पर होने वाली ऐसी कवायद मानते हैं, जिसका मुख्य उद्देश्य ऑडिट की तैयारी करना है। Drata जैसे एआई-संचालित टूल और लगातार निगरानी करने वाले प्लेटफ़ॉर्म इस तरीके को कैसे बदल रहे हैं, और निरंतर अनुपालन की ओर बढ़ने का व्यवसायों के लिए क्या अर्थ है?

जब मैंने अनुपालन के क्षेत्र में काम शुरू किया था, तब हर कोई ऑडिट के मौसम से घबराता था। कंपनियाँ साल के अधिकांश समय अपने नियंत्रणों की अनदेखी करतीं, फिर ऑडिट की समय सीमा से पहले स्क्रीनशॉट और लॉग जुटाने में हफ़्तों लगा देतीं। ऑडिट पास करने का मतलब था कि आप उस दिन अनुपालन कर रहे थे—बस इतना ही।

Drata और ऐसे ही प्लेटफ़ॉर्म ने यह स्थिति बदल दी। वे कंपनी के क्लाउड और मानव संसाधन टूल से जुड़ते हैं और हर दिन नियंत्रणों की जाँच करते हैं। अगर कोई बहु-कारक प्रमाणीकरण (MFA) बंद कर दे या किसी पूर्व कर्मचारी की पहुँच अब भी बनी हो, तो इसका तुरंत पता चल जाता है और हमारी टीम उसे तुरंत ठीक कर देती है।

व्यवसायों के लिए अनुपालन सालाना परियोजना नहीं रह गया; वह रोज़मर्रा के कामकाज का हिस्सा बन गया है। ऑडिट कम समय में और कम खर्च पर पूरे होते हैं, और बिक्री टीमें बड़े उद्यमों के खरीदारों को माँगने पर अपनी सुरक्षा स्थिति दिखा सकती हैं, जिससे सौदे जल्दी पूरे करने में मदद मिलती है।

डेटा गोपनीयता और साइबर सुरक्षा धीरे-धीरे संवेदनशील उद्योगों में काम करने की अनिवार्य शर्त से बढ़कर विपणन में अतिरिक्त मूल्य देने वाली खूबियाँ बन रही हैं।

जैसे-जैसे संगठन सुरक्षा से जुड़े दस्तावेज़ तैयार करने, जोखिमों का आकलन करने और अनुपालन के साक्ष्यों की समीक्षा करने के लिए एआई पर अधिक निर्भर हो रहे हैं, वे कैसे सुनिश्चित कर सकते हैं कि ये प्रणालियाँ सटीक और भरोसेमंद नतीजे दें? ऑडिट और प्रमाणन प्रक्रिया में मानव विशेषज्ञता कहाँ अनिवार्य बनी रहनी चाहिए?

एआई ऐसे दस्तावेज़ लिखने में बहुत अच्छा है जो सुनने में सही लगते हैं। कोई नीति देखने में एकदम सही हो सकती है, फिर भी उसमें ऐसी प्रक्रियाओं का वर्णन हो सकता है जो कंपनी में मौजूद ही न हों।

हम इस स्थिति से निपटने के लिए एआई से मसौदे तैयार करवाते हैं और समस्याओं की पहचान करवाते हैं, लेकिन ग्राहक या ऑडिटर को भेजने से पहले हमारी टीम का कोई सदस्य हर चीज़ जाँचता है। एआई की हर सामग्री में उसके पीछे मौजूद साक्ष्य का संदर्भ भी होना चाहिए, ताकि हम उसकी पुष्टि कर सकें।

आंतरिक और बाहरी ऑडिट के मामले में मैं स्पष्ट सीमा तय करता हूँ। ऑडिटर अपने नाम और पेशेवर प्रतिष्ठा के साथ अपनी मंज़ूरी देते हैं। एआई उन्हें साक्ष्यों की जाँच तेज़ी से करने में मदद कर सकता है, लेकिन किसी कंपनी को प्रमाणन दिया जाए या नहीं, इसका फ़ैसला किसी व्यक्ति को ही करना चाहिए। अगर कोई जवाबदेह न हो, तो प्रमाणपत्र का कोई मूल्य नहीं रह जाता।

Axipro ISO 27001, SOC 2 और एआई प्रबंधन प्रणालियों के अंतरराष्ट्रीय मानक ISO 42001 जैसे मानकों को अपनाने की राह पर संगठनों की मदद करता है। ज़िम्मेदार एआई शासन स्थापित करने की कोशिश में कंपनियों को किन नई चुनौतियों का सामना करना पड़ रहा है, और एआई से जुड़े जोखिमों का प्रबंधन पारंपरिक सूचना सुरक्षा अनुपालन से किस तरह अलग है?

जिन ज़्यादातर कंपनियों से हम बात करते हैं, उन्हें यह भी नहीं पता कि वे एआई का कितना इस्तेमाल कर रही हैं। इस स्थिति को “शैडो एआई” कहा जाता है।

विपणन टीम ने एक टूल के लिए पंजीकरण किया है, डेवलपरों ने किसी मॉडल को उत्पाद में जोड़ दिया है और वित्त विभाग का कोई व्यक्ति चैटबॉट में स्प्रेडशीट कॉपी-पेस्ट कर रहा है। इनमें से किसी का इरादा दुर्भावनापूर्ण नहीं है; लोग तेज़ी से काम करने की कोशिश कर रहे हैं और एआई टूल सस्ते और तेज़ हैं। फिर भी, इससे कंपनी का डेटा आसानी से उजागर हो सकता है।

ज़्यादातर ISO 42001 और एआई अनुपालन परियोजनाओं का पहला और सबसे अहम कदम इन सभी इस्तेमालों का पता लगाना है। हम खर्च की रिपोर्टें, सॉफ़्टवेयर के लिए किए गए पंजीकरण और नेटवर्क डेटा देखते हैं, और हर टीम से बात करते हैं कि वह रोज़मर्रा के काम में वास्तव में किन चीज़ों का इस्तेमाल करती है। अंत में तैयार हुई सूची लगभग हमेशा हमारी अपेक्षा से लंबी होती है।

एआई पर प्रतिबंध लगाने से शायद ही कभी काम बनता है; यह उलटा असर डालने वाला और अक्षम तरीका है। हम चाहते हैं कि हमारे ग्राहक एआई मॉडल से मिलने वाली दक्षता का लाभ उठा सकें। इससे बेहतर तरीका है कर्मचारियों को ऐसे स्वीकृत टूल देना जो उनका काम पूरा करें, यह तय करने के स्पष्ट नियम बनाना कि उनमें कौन-सा डेटा डाला जा सकता है, और नए टूल माँगने की प्रक्रिया आसान रखना।

एआई शासन ऐसे सवाल भी उठाता है जिनकी ज़रूरत सूचना सुरक्षा के क्षेत्र में पहले कभी नहीं पड़ी थी। ISO 27001 के तहत मुख्य चिंता यह होती है कि गलत लोगों को आपके डेटा तक पहुँच न मिले। ISO 42001 के तहत आपको यह भी जानना होता है कि एआई सही ढंग से काम कर रहा है या नहीं, क्या उसके फ़ैसलों को समझाया जा सकता है, और उससे गलती होने पर कौन ज़िम्मेदार होगा।

ये जोखिम भी तेज़ी से बदलते हैं। कोई विक्रेता रातोंरात मॉडल को अपडेट करके आपके उत्पाद के काम करने का तरीका बदल सकता है, जबकि आपने उसमें कुछ भी न किया हो।

जिन कंपनियों के पास पहले से ISO 27001 है, उन्हें शुरुआत में बढ़त मिलती है। दोनों मानकों में प्रबंधन प्रणाली की संरचना एक जैसी है, इसलिए शुरुआती तैयारी का बड़ा हिस्सा पहले ही पूरा हो चुका होता है।

संवेदनशील जानकारी तक पहुँचने, उद्यम प्रणालियों से संवाद करने और कारोबारी प्रक्रियाएँ पूरी करने में सक्षम स्वायत्त एआई एजेंटों के उभरने के साथ, संगठनों को साइबर सुरक्षा और अनुपालन से जुड़े किन नए जोखिमों के लिए तैयार रहना चाहिए? क्या मौजूदा सुरक्षा ढाँचे इन बढ़ती स्वायत्तता वाली प्रणालियों से निपटने के लिए पर्याप्त हैं?

एजेंट वह क्षेत्र हैं जिस पर मैं अभी सबसे बारीकी से नज़र रख रहा हूँ। सामान्य सॉफ़्टवेयर वही करता है जो उसे बताया जाता है। एजेंट अपने फ़ैसले खुद लेते हैं और उन्हें बहकाया जा सकता है—वे दूसरों को भी बहका सकते हैं, जैसा कि hugging face की घटना में हमने देखा।

हम जिस जोखिम को सबसे आम तौर पर देख रहे हैं, वह है प्रॉम्प्ट इंजेक्शन। कोई हमलावर ईमेल या PDF में निर्देश छिपा सकता है, और जब आपका एजेंट उसे पढ़ता है, तो वह आपके दिए हुए किसी भी पहुँच-अधिकार का इस्तेमाल करके उन निर्देशों का पालन करता है।

दूसरा जोखिम यह है कि कंपनियाँ आसानी के लिए एजेंटों को जरूरत से कहीं अधिक पहुँच दे देती हैं। अक्सर कर्मचारी समर्पित खातों के बजाय अपने ईमेल खातों के माध्यम से एआई एजेंटों को पहुँच देते हैं, जिससे यह पता लगाना बेहद मुश्किल हो जाता है कि बदलाव किसी इंसान ने किया या बॉट ने। अगर लॉगिंग भी कमजोर हो, तो शायद आपको यह भी पता न चले कि एजेंट ने क्या किया।

ISO 27001 और SOC 2 में अब भी पहुँच नियंत्रण और लॉगिंग जैसी बुनियादी चीजें शामिल हैं, और ISO 42001 एआई के पहलू में मदद करता है। हालाँकि, इनमें से कोई भी मानक स्वायत्त एजेंटों को ध्यान में रखकर नहीं बनाया गया था, और मुझे उम्मीद है कि जल्द ही नए दिशानिर्देश आएँगे।

AIUC-1, AIUC-1 के लिए एक प्रमुख मानक के रूप में उभर रहा है और हमने इसे लागू करने के लिए अपने कर्मचारियों को प्रशिक्षण देना अभी शुरू ही किया है। हमने इस बारे में ग्राहकों से कुछ बातचीत की है, लेकिन अभी पेश करने के लिए कोई केस स्टडी नहीं है। इसे बड़ी साइबर सुरक्षा कंपनियों का मजबूत समर्थन मिला है, इसलिए हमें उम्मीद है कि यह रूपरेखा प्रमुख एआई एजेंट मानक के रूप में उभरेगी।

मध्य पूर्व, यूरोप और संयुक्त राज्य अमेरिका में काम करने के दौरान आपने अलग-अलग नियामक परिवेशों और जोखिम प्रबंधन के तरीकों का अनुभव किया है। एआई शासन और डेटा संरक्षण में क्षेत्रीय अंतर कंपनियों के एआई तैनात करने के तरीकों को कैसे प्रभावित कर रहे हैं, और कई न्यायक्षेत्रों में काम करने वाले संगठनों के सामने कौन-सी चुनौतियाँ आती हैं?

बहरीन में रहकर और यूरोप तथा अमेरिका के ग्राहकों के साथ काम करते हुए, मैंने यह उम्मीद करना छोड़ दिया है कि एआई से जुड़े नियम एकरूप हो जाएँगे। अगर कुछ हो रहा है, तो वह यह कि क्षेत्र एक-दूसरे से और दूर जा रहे हैं।

यूरोप कानून के जरिए नियमन करता है। EU AI Act एआई प्रणालियों को जोखिम के आधार पर वर्गीकृत करता है और बताता है कि हर श्रेणी को क्या करना होगा; इसलिए यूरोपीय कंपनियाँ आम तौर पर सावधानी से काम करती हैं और हर चीज़ का दस्तावेजीकरण करती हैं। अमेरिका में संघीय स्तर पर कोई एआई कानून नहीं है और नियमन का अधिकांश काम बाजार करता है। खरीदार अपने अनुबंधों में NIST के AI RMF जैसी रूपरेखाएँ माँगते हैं, और बाकी कमी दायित्व संबंधी नियम पूरी करते हैं। चीन तीसरा रास्ता अपनाता है और जब भी किसी तकनीक से नया जोखिम पैदा होता है, तब नया नियम बनाता है।

खाड़ी क्षेत्र मुझे सबसे दिलचस्प लगता है। उदाहरण के लिए, सऊदी अरब में अभी तक सभी क्षेत्रों पर लागू होने वाला कोई एआई कानून नहीं है। अधिकांश बाध्यकारी नियम डेटा संरक्षण कानून और सरकारी खरीद में शामिल हैं, क्योंकि इस क्षेत्र में सरकार तकनीक की सबसे बड़ी खरीदार है। आपको किन नियमों का पालन करना होगा, यह काफी हद तक इस बात पर निर्भर करता है कि आपका ग्राहक कौन है। जब सऊदी नियामक SDAIA ने 2024 में खुद ISO 42001 प्रमाणन हासिल किया, तो इससे बाजार को संकेत मिला कि निविदाओं में वह किस मानक की अपेक्षा करेगा।

सबसे मुश्किल स्थिति तब आती है जब कोई कंपनी इनमें से एक से अधिक क्षेत्रों में काम करती है। यूरोप में सेवाएँ बेचने वाली रियाद की कोई SaaS कंपनी EU की तकनीकी आवश्यकताएँ पूरी कर सकती है, फिर भी डेटा पंजीकरण और स्थानांतरण के नियमों के मामले में सऊदी अरब में विफल हो सकती है। कोई भी पक्ष दूसरे पक्ष के दस्तावेज़ स्वीकार नहीं करता।

हमारा तरीका एक ऐसा साझा आधार तैयार करना है जिसे हर जगह लागू किया जा सके—ISO 42001 और ISO 27001—और फिर उसके ऊपर हर क्षेत्र की आवश्यकताएँ जोड़ना। ISO 42001 अपने आप में आपको कहीं भी कानूनी अनुपालन की गारंटी नहीं देता, लेकिन यह उस साझा भाषा के सबसे करीब है जिसे ये सभी क्षेत्र स्वीकार करते हैं।

अक्सर सुरक्षा प्रमाणन हासिल करने और वास्तविक साइबर सुरक्षा लचीलापन बनाए रखने के बीच काफी बड़ा अंतर होता है। संगठन एआई और स्वचालन का इस्तेमाल करके केवल औपचारिक अनुपालन से आगे कैसे बढ़ सकते हैं और ऐसी सुरक्षा पद्धतियाँ कैसे विकसित कर सकते हैं जो उभरते खतरों के अनुसार लगातार ढलती रहें?

मैंने ऐसी कंपनियाँ देखी हैं जिनके पास SOC 2 की बिल्कुल नई रिपोर्ट थी, लेकिन सुरक्षा की बुनियादी खामियों पर किसी का ध्यान नहीं गया था। उनका लक्ष्य ऑडिट पास करना था। प्रमाणपत्र यह दिखाता है कि किसी कंपनी ने एक निश्चित तारीख को मानक पूरा किया था, लेकिन यह नहीं बताता कि वह किसी हमले को रोक सकती है या नहीं।

इससे आगे बढ़ने के लिए यह पूछना होगा कि क्या हर नियंत्रण जाँच के दौरान भी कारगर साबित होगा। इसमें स्वचालन बहुत मदद करता है। लगातार निगरानी से समस्याएँ छोटी रहते हुए ही पकड़ में आ जाती हैं, और मौजूदा खतरा-संबंधी डेटा यह सुनिश्चित करता है कि जोखिम आकलन इस बात के अनुरूप हों कि हमलावर अभी क्या कर रहे हैं। इसके बाद नियमित पैठ परीक्षण और हमले के अनुकरण से पता चलता है कि नियंत्रण व्यवहार में कारगर हैं या नहीं।

इस वर्ष CREST प्रमाणन हासिल करना हमारे लिए इसी प्रक्रिया का हिस्सा था। हम अपने ग्राहकों की सुरक्षा का परीक्षण करना और उसका दस्तावेजीकरण करना चाहते थे।

अगले तीन से पाँच वर्षों को देखते हुए, आप साइबर सुरक्षा और अनुपालन परामर्श उद्योग को बदलने में एआई की क्या भूमिका देखते हैं? क्या आपको लगता है कि एआई एजेंट अंततः अनुपालन से जुड़ी अधिकांश नियमित गतिविधियाँ स्वायत्त रूप से सँभालेंगे, और इन तकनीकों के परिपक्व होने के साथ Axipro को किस तरह विकसित होते देखते हैं?

मुझे लगता है कि पाँच वर्षों के भीतर एआई एजेंट अनुपालन से जुड़े अधिकांश नियमित काम सँभालेंगे—जैसे साक्ष्य जुटाना, नीतियों को अद्यतन करना और सुरक्षा प्रश्नावलियाँ भरना। जिन फर्मों की कमाई ऐसे काम के लिए घंटे के हिसाब से शुल्क लेने पर निर्भर है, जबकि उनमें इस काम की कोई स्पष्ट विशेषज्ञता नहीं है, उन्हें मुश्किलों का सामना करना पड़ेगा।

हालाँकि, मुझे नहीं लगता कि एजेंट अपने दम पर अनुपालन का काम सँभालेंगे। एआई जितना अधिक काम करेगा, बाकी बचे फैसले उतने ही अहम होंगे। ऑडिट को मंजूरी देने और कुछ गलत होने पर उसके नतीजों से निपटने के लिए अब भी किसी व्यक्ति की जरूरत होगी। हमलावर भी एआई का इस्तेमाल कर रहे हैं, इसलिए कुशल रक्षकों की माँग बढ़ती रहेगी।

Axipro में मुझे लगता है कि हम दस्तावेज़ीकरण पर कम और ग्राहकों को सलाह देने तथा उनकी सुरक्षा की जाँच करने पर अधिक समय देंगे। हमारी आंतरिक एआई व्यवस्था सेवा-प्रदान से जुड़े अधिक काम सँभालेगी और हमारी टीम उन फैसलों पर ध्यान देगी जिनमें मानवीय विवेक की जरूरत है। 2022 में बहुत से लोगों को लगा था कि एआई हमारी जैसी फर्मों को अप्रासंगिक बना देगा। अब तक तो इसका उलटा हुआ है: हम महीने-दर-महीने 10%+ की दर से बढ़ रहे हैं, कभी-कभी हमारे पास सँभालने की क्षमता से अधिक काम होता है, और हमें नहीं लगता कि काम का दबाव कम होने वाला है।

इस बेहतरीन साक्षात्कार के लिए धन्यवाद। साइबर सुरक्षा अनुपालन, एआई शासन और निरंतर सुरक्षा प्रक्रियाएँ विकसित करने के बारे में अधिक जानने के इच्छुक पाठक Axipro की वेबसाइट देखें।