Ali Hayat, CEO dan Pendiri Axipro – Seri Wawancara

Ali Hayat adalah CEO dan pendiri Axipro. Ia memadukan latar belakang di bidang manajemen risiko industri dan audit ISO dengan pengalaman dalam konsultasi keamanan siber dan kepatuhan. Pada awal kariernya, ia bekerja di lingkungan industri berisiko tinggi, dengan keselamatan, persyaratan peraturan, dan risiko operasional sebagai perhatian utama. Kemudian, ia membangun Axipro tanpa investasi dari pihak luar, dengan fokus membantu perusahaan yang sedang berkembang menerapkan kontrol keamanan praktis, mempersiapkan audit, dan menangani risiko AI yang terus bermunculan.

Axipro adalah konsultan keamanan siber dan kepatuhan yang mendukung berbagai organisasi dalam memenuhi kerangka kerja, termasuk SOC 2, ISO 27001, ISO 42001, serta persyaratan perlindungan data. Layanannya mencakup konsultasi, otomatisasi kepatuhan, persiapan audit, dan pengujian keamanan, dengan penekanan pada pemantauan berkelanjutan dan pengawasan manusia. Dalam wawancara ini, Hayat membahas alur kerja kepatuhan berbasis AI, penggunaan AI tanpa sepengetahuan organisasi (shadow AI), risiko agen otonom, perbedaan tata kelola antarwilayah, serta kesenjangan antara sertifikasi dan ketahanan keamanan siber.

Karier Anda dimulai di lingkungan industri berisiko tinggi, dengan mengerjakan proyek yang melibatkan Saudi Aramco, ADNOC, dan TotalEnergies, tempat keselamatan, manajemen risiko, dan kepatuhan terhadap peraturan menjadi hal yang sangat penting. Apa yang mendorong Anda beralih dari bidang keselamatan industri dan audit ke keamanan siber, dan apa yang akhirnya memotivasi Anda mendirikan Axipro?

Saya mendirikan Axipro karena melihat adanya kesenjangan di pasar saat bekerja di bidang manajemen mutu. Pada 2021, saya melihat banyak platform keamanan siber baru diluncurkan, yang menawarkan platform kepatuhan SOC 2 dan ISO 27001 semiotomatis.

Jelas bahwa meskipun platform-platform ini meringankan sebagian besar beban kepatuhan tim teknis, platform tersebut tetap memerlukan penyiapan dan pemeliharaan. Sementara itu, perusahaan rintisan yang sudah kesulitan mengimbangi pertumbuhan bersedia membayar tim yang dipimpin manusia untuk terus mengelola kepatuhan mereka. Begitulah Axipro lahir.

Kemudian, pada 2022, platform AI pertama diluncurkan. Ini menjadi momen pencerahan lainnya. Ketika banyak orang di industri ini khawatir akan tergantikan, saya segera menyadari bahwa hal ini merupakan peluang besar. AI kemungkinan besar akan meningkatkan serangan siber secara eksponensial, sehingga tenaga ahli diperlukan untuk membantu perusahaan rintisan menangani kebutuhan keamanan dan kepatuhan mereka sebagai respons terhadap hal tersebut.

Kini, kami merupakan Mitra Elite Drata dan Mitra Pilihan Vanta, serta telah membantu lebih dari 300 perusahaan memenuhi standar keamanan siber dan AI terkemuka.

Anda membangun Axipro dari nol tanpa investasi dari pihak luar hingga berkembang menjadi konsultan internasional yang melayani ratusan klien. Apa tantangan terbesar dalam membangun bisnis keamanan siber dengan mengandalkan sumber daya sendiri, dan bagaimana teknologi serta otomatisasi membantu Anda memperluas operasi sekaligus menjaga kualitas layanan?

Beberapa tahun pertama sangatlah menantang. Mulai dari menghabiskan tabungan saat bayi akan segera lahir hingga menyaksikan model AI pertama mengambil alih industri, rentang 2 hingga 3 tahun pertama mungkin menjadi penyebab rambut saya kini beruban.

Saya bersaing dengan beberapa pemain raksasa yang memiliki reputasi mapan, kantor besar, dan anggaran pemasaran yang besar. Saya berbasis di Bahrain, berlatar belakang manajemen mutu, dan memiliki anggaran pemasaran sebesar 0.

Saya memilih mengambil jalur yang berlawanan dengan kebiasaan: menjaga bisnis tetap ramping dan efisien, serta menetapkan harga lebih rendah daripada para pemain besar.

Hal ini mendatangkan banyak klien baru, tetapi margin kami tipis. Mengelola arus kas menjadi seni tersendiri, dan kami nyaris tidak mampu bertahan selama 2 tahun pertama. Semuanya berubah ketika kami menandatangani kesepakatan bernilai 5 digit pertama yang mencakup beberapa kerangka kerja. Kesepakatan ini memberi kami sedikit ruang untuk bernapas, memungkinkan saya merekrut karyawan penuh waktu untuk pertama kalinya, dan mulai memikirkan pemasaran di luar kemitraan dan rujukan.

Axipro berfokus menyederhanakan kerangka kerja kepatuhan yang kompleks melalui transformasi digital dan otomatisasi. Bagaimana kecerdasan buatan mengubah alur kerja kepatuhan tradisional, dan aktivitas apa yang menurut Anda menawarkan peluang terbesar untuk meningkatkan efisiensi dengan bantuan AI?

Industri kepatuhan telah memperoleh banyak manfaat dari AI. Sebelumnya, industri ini bergantung pada banyak pekerjaan berulang, seperti mengumpulkan dan memetakan bukti, menjawab kuesioner keamanan, serta menyusun kebijakan. Kini, hampir semua tugas tersebut telah diotomatisasi. AI juga memungkinkan pemantauan berkelanjutan dan pemberian sinyal risiko terkait keamanan siber dan kepatuhan.

Kini, AI digunakan di hampir setiap tahap proses kepatuhan. Setelah menerima klien baru, AI internal kami melakukan penilaian risiko otomatis berdasarkan industri, ukuran, dan lokasi perusahaan tersebut. Kami memiliki basis data besar berisi proyek-proyek sebelumnya yang membantu kami secara otomatis mengidentifikasi potensi risiko dan tanda bahaya. Inilah mungkin manfaat terbesar AI.

Para pelaku serangan siber juga telah memperoleh manfaat dari AI, dan jumlah serangan meningkat secara eksponensial. Terjadi semacam perlombaan senjata AI melawan AI: perusahaan seperti kami berupaya mendeteksi ancaman secara otomatis, sementara para peretas mengotomatiskan serangan.

Di sinilah pertimbangan manusia berperan, dan hal ini menjadi inti cara kami bekerja: AI harus menangani tugas-tugas berulang dan meningkatkan efisiensi operasional agar manusia dapat berfokus pada penilaian ancaman dan respons.

Banyak organisasi masih memandang kepatuhan keamanan siber sebagai kegiatan berkala yang berfokus pada persiapan audit. Bagaimana alat berbasis AI dan platform pemantauan berkelanjutan seperti Drata mengubah pendekatan ini, dan apa arti peralihan menuju kepatuhan berkelanjutan bagi perusahaan?

Saat saya mulai bekerja di bidang kepatuhan, semua orang merasa cemas menjelang musim audit. Perusahaan mengabaikan kontrol mereka hampir sepanjang tahun, lalu menghabiskan waktu berminggu-minggu untuk mengumpulkan tangkapan layar dan log sebelum tenggat audit. Lulus audit berarti perusahaan patuh pada hari itu, dan kurang lebih hanya itu.

Drata dan platform serupa mengubah keadaan ini. Platform tersebut terhubung ke perangkat cloud dan SDM perusahaan, lalu memeriksa kontrol setiap hari. Jika seseorang menonaktifkan MFA atau mantan karyawan masih memiliki akses, masalah itu langsung terdeteksi dan tim kami segera menanganinya.

Kepatuhan tak lagi menjadi proyek tahunan bagi perusahaan, melainkan bagian dari operasional sehari-hari. Audit menjadi lebih singkat dan murah, sementara tim penjualan dapat menunjukkan status keamanan perusahaan kepada calon pembeli korporat kapan saja, sehingga transaksi dapat diselesaikan lebih cepat.

Privasi data dan keamanan siber perlahan bergeser dari sekadar persyaratan untuk bekerja di industri yang sensitif menjadi aset pemasaran yang memberi nilai tambah.

Ketika organisasi semakin mengandalkan AI untuk membuat dokumentasi keamanan, menilai risiko, dan meninjau bukti kepatuhan, bagaimana mereka dapat memastikan sistem tersebut menghasilkan keluaran yang akurat dan tepercaya? Dalam proses audit dan sertifikasi, bagian mana yang tetap membutuhkan keahlian manusia?

AI sangat piawai menulis dokumen yang terdengar meyakinkan. Sebuah kebijakan bisa tampak sempurna, tetapi tetap saja menjelaskan proses yang tidak dimiliki perusahaan.

Cara kami menanganinya adalah dengan meminta AI menyusun draf dan menandai masalah, lalu anggota tim kami memeriksa semuanya sebelum diserahkan kepada klien atau auditor. Setiap keluaran AI juga harus merujuk pada bukti yang mendasarinya agar dapat kami verifikasi.

Audit internal dan eksternal adalah batas tegas yang saya pegang. Auditor membubuhkan nama dan mempertaruhkan reputasi profesional mereka saat memberikan persetujuan. AI dapat membantu mereka menelaah bukti dengan lebih cepat, tetapi keputusan apakah suatu perusahaan layak mendapat sertifikasi harus tetap dibuat oleh manusia. Jika tidak ada yang bertanggung jawab, sertifikat itu kehilangan nilainya.

Axipro membantu organisasi menghadapi standar seperti ISO 27001, SOC 2, dan ISO 42001, standar internasional untuk sistem manajemen AI. Tantangan baru apa yang dihadapi perusahaan saat berupaya membangun tata kelola AI yang bertanggung jawab, dan apa perbedaan pengelolaan risiko terkait AI dengan kepatuhan keamanan informasi tradisional?

Sebagian besar perusahaan yang kami ajak bicara bahkan tidak tahu seberapa banyak mereka menggunakan AI. Istilah untuk fenomena ini adalah “Shadow AI”.

Tim pemasaran mendaftar ke satu alat, para pengembang menyematkan model ke dalam produk, dan seseorang di bagian keuangan menempelkan lembar kerja ke chatbot. Tak satu pun dari tindakan itu dilakukan dengan niat jahat; orang-orang hanya berusaha bekerja lebih cepat, dan alat AI murah serta cepat digunakan. Namun, hal ini dapat dengan mudah membuat data perusahaan terekspos.

Langkah pertama dan terpenting dalam sebagian besar proyek kepatuhan ISO 42001 dan AI adalah memetakan semua penggunaan tersebut. Kami memeriksa laporan pengeluaran, pendaftaran perangkat lunak, dan data jaringan, serta berbicara dengan setiap tim tentang alat yang benar-benar mereka gunakan sehari-hari. Daftar yang kami susun hampir selalu lebih panjang daripada perkiraan.

Melarang AI jarang berhasil, kontraproduktif, dan tidak efisien. Kami ingin klien dapat memanfaatkan efisiensi yang ditawarkan model AI. Pendekatan yang lebih baik adalah menyediakan alat yang disetujui dan dapat menyelesaikan pekerjaan, menetapkan aturan yang jelas tentang data yang boleh dimasukkan ke dalamnya, serta memudahkan staf mengajukan permintaan untuk alat baru.

Tata kelola AI juga mengajukan pertanyaan yang sebelumnya tidak perlu dijawab oleh keamanan informasi. Dalam ISO 27001, perhatian utamanya adalah mencegah orang yang tidak berwenang mengakses data Anda. Dalam ISO 42001, Anda juga perlu mengetahui apakah AI berfungsi dengan semestinya, apakah keputusannya dapat dijelaskan, dan siapa yang bertanggung jawab ketika AI melakukan kesalahan.

Risiko-risiko ini juga berubah lebih cepat. Vendor dapat memperbarui model dalam semalam dan mengubah perilaku produk Anda tanpa Anda melakukan apa pun.

Perusahaan yang sudah memiliki ISO 27001 memiliki keunggulan sejak awal. Kedua standar menggunakan struktur sistem manajemen yang sama, sehingga sebagian besar persiapan dasarnya sudah dilakukan.

Dengan munculnya agen AI otonom yang mampu mengakses informasi sensitif, berinteraksi dengan sistem perusahaan, dan menjalankan proses bisnis, risiko keamanan siber dan kepatuhan baru apa yang perlu diantisipasi organisasi? Apakah kerangka kerja keamanan yang ada sudah mampu menangani sistem yang semakin otonom ini?

Agen adalah hal yang paling saya cermati saat ini. Perangkat lunak biasa melakukan persis apa yang diperintahkan. Agen mengambil keputusannya sendiri, dan agen dapat diperdaya sekaligus memperdaya pihak lain, seperti yang kita lihat dalam insiden Hugging Face.

Risiko yang paling sering kami temui adalah injeksi perintah. Penyerang dapat menyembunyikan instruksi di dalam email atau PDF. Saat agen Anda membacanya, agen akan mengikuti instruksi tersebut dengan menggunakan hak akses apa pun yang Anda berikan.

Risiko kedua adalah perusahaan memberikan akses yang terlalu luas kepada agen karena cara itu lebih mudah. Sering kali, karyawan memberikan akses kepada agen AI melalui akun email pribadi mereka, bukan akun khusus, sehingga sangat sulit menentukan apakah perubahan dilakukan oleh manusia atau bot. Jika pencatatannya juga lemah, Anda bahkan mungkin tidak tahu apa yang dilakukan agen tersebut.

ISO 27001 dan SOC 2 tetap mencakup hal-hal dasar seperti kontrol akses dan pencatatan, sementara ISO 42001 membantu dalam aspek AI. Namun, tak satu pun standar tersebut dirancang dengan mempertimbangkan agen otonom, dan saya memperkirakan panduan baru akan segera terbit.

AIUC-1 mulai muncul sebagai standar terkemuka untuk AIUC-1, dan kami baru saja mulai melatih staf kami untuk menerapkannya. Kami sudah beberapa kali membicarakannya dengan klien, tetapi belum memiliki studi kasus untuk disajikan. Standar ini mendapat dukungan kuat dari sejumlah perusahaan keamanan siber besar, sehingga kami memperkirakan kerangka kerja ini akan muncul sebagai standar utama bagi agen AI.

Setelah bekerja di Timur Tengah, Eropa, dan Amerika Serikat, Anda telah menjumpai lingkungan regulasi dan pendekatan manajemen risiko yang berbeda-beda. Bagaimana perbedaan tata kelola AI dan perlindungan data di tiap kawasan memengaruhi cara perusahaan menerapkan AI, dan tantangan apa yang muncul ketika organisasi beroperasi di beberapa yurisdiksi?

Berbasis di Bahrain dan bekerja dengan klien di Eropa serta AS membuat saya berhenti berharap bahwa aturan AI akan menjadi seragam. Jika ada, kawasan-kawasan tersebut justru bergerak semakin menjauh satu sama lain.

Eropa mengatur melalui undang-undang. EU AI Act mengelompokkan sistem AI berdasarkan tingkat risikonya dan menetapkan kewajiban untuk setiap kategori. Karena itu, perusahaan Eropa cenderung bertindak hati-hati dan mendokumentasikan segala hal. AS tidak memiliki undang-undang AI federal, dan sebagian besar pengaturan dilakukan oleh pasar. Pembeli meminta kerangka kerja seperti NIST AI RMF dicantumkan dalam kontrak mereka, sementara sisanya diatur melalui tanggung jawab hukum. China menempuh jalur ketiga dengan menyusun aturan baru setiap kali suatu teknologi menimbulkan risiko baru.

Kawasan Teluk adalah yang paling menarik bagi saya. Arab Saudi, misalnya, belum memiliki undang-undang AI yang berlaku secara horizontal. Sebagian besar aturan yang mengikat tercantum dalam undang-undang perlindungan data dan ketentuan pengadaan pemerintah, karena negara merupakan pembeli teknologi terbesar di kawasan ini. Kewajiban yang harus Anda penuhi sangat bergantung pada siapa pelanggan Anda. Ketika SDAIA, regulator Arab Saudi, memperoleh sertifikasi ISO 42001 pada 2024, hal itu memberi tahu pasar standar apa yang akan dicari dalam tender.

Bagian tersulit muncul ketika sebuah perusahaan beroperasi di lebih dari satu kawasan tersebut. Perusahaan SaaS di Riyadh yang menjual produknya ke Eropa dapat memenuhi persyaratan teknis UE, tetapi tetap gagal memenuhi aturan pendaftaran dan transfer data di Arab Saudi. Kedua pihak tidak menerima dokumen kepatuhan dari pihak lainnya.

Pendekatan kami adalah membangun satu landasan yang dapat diterapkan di berbagai kawasan, yaitu ISO 42001 bersama ISO 27001, lalu menambahkan persyaratan tiap kawasan di atasnya. ISO 42001 tidak dengan sendirinya membuat Anda patuh secara hukum di mana pun, tetapi standar ini merupakan hal yang paling mendekati bahasa bersama yang diterima semua kawasan tersebut.

Sering kali terdapat kesenjangan besar antara memperoleh sertifikasi keamanan dan mempertahankan ketahanan siber yang sesungguhnya. Bagaimana organisasi dapat memanfaatkan AI dan otomatisasi untuk melampaui kepatuhan yang sekadar memenuhi daftar periksa serta mengembangkan praktik keamanan yang terus menyesuaikan diri dengan ancaman baru?

Saya pernah melihat perusahaan memiliki laporan SOC 2 yang baru terbit, tetapi juga memiliki celah keamanan mendasar yang luput dari perhatian siapa pun. Tujuan mereka adalah lulus audit. Sertifikat menunjukkan bahwa perusahaan memenuhi suatu standar pada tanggal tertentu, tetapi tidak menunjukkan apakah perusahaan tersebut mampu menghentikan serangan.

Untuk melangkah lebih jauh, kita perlu mempertanyakan apakah setiap kontrol akan tetap efektif saat diuji. Otomatisasi sangat membantu dalam hal ini. Pemantauan berkelanjutan mendeteksi masalah selagi masih kecil, sementara data ancaman terkini memastikan penilaian risiko tetap sesuai dengan taktik yang digunakan penyerang saat ini. Selanjutnya, uji penetrasi rutin dan simulasi serangan menunjukkan apakah kontrol tersebut benar-benar berfungsi dalam praktik.

Memperoleh sertifikasi CREST tahun ini merupakan bagian dari upaya tersebut. Kami ingin menguji keamanan klien dan mendokumentasikan hasilnya.

Melihat tiga hingga lima tahun ke depan, bagaimana Anda membayangkan AI akan mengubah industri konsultasi keamanan siber dan kepatuhan? Apakah Anda yakin agen AI pada akhirnya akan menangani sebagian besar aktivitas kepatuhan rutin secara otonom, dan bagaimana Anda melihat Axipro berkembang seiring matangnya teknologi ini?

Menurut saya, dalam lima tahun agen AI akan menangani sebagian besar pekerjaan kepatuhan rutin, seperti pengumpulan bukti, pembaruan kebijakan, dan pengisian kuesioner keamanan. Perusahaan yang menghasilkan uang dengan menagih jam kerja untuk pekerjaan tersebut tanpa keahlian yang jelas akan kesulitan.

Namun, saya tidak yakin agen akan menjalankan kepatuhan secara mandiri. Semakin banyak pekerjaan yang ditangani AI, semakin penting keputusan yang tersisa. Seseorang tetap harus menyetujui audit dan menangani dampaknya ketika terjadi kesalahan. Karena penyerang juga menggunakan AI, permintaan akan tenaga ahli pertahanan siber akan terus meningkat.

Di Axipro, saya melihat kami akan menghabiskan lebih sedikit waktu untuk dokumentasi dan lebih banyak waktu untuk memberi saran kepada klien serta menguji keamanan mereka. AI internal kami akan menangani lebih banyak pekerjaan operasional, sementara tim kami akan berfokus pada keputusan yang memerlukan pertimbangan manusia. Pada 2022, banyak orang mengira AI akan membuat perusahaan seperti kami tak lagi dibutuhkan. Sejauh ini, yang terjadi justru sebaliknya: kami tumbuh lebih dari 10% dari bulan ke bulan, terkadang memiliki lebih banyak pekerjaan daripada yang sanggup kami tangani, dan kami tidak memperkirakan keadaan akan segera mereda.

Terima kasih atas wawancara yang luar biasa. Pembaca yang ingin mengetahui lebih lanjut tentang kepatuhan keamanan siber, tata kelola AI, dan membangun praktik keamanan berkelanjutan sebaiknya mengunjungi Axipro.