Ashley Rose, Pendiri dan CEO Living Security – Seri Wawancara

Ashley Rose, Pendiri dan CEO Living Security, adalah seorang wirausaha serial dan inovator keamanan siber yang fokus pada mendefinisikan kembali bagaimana organisasi mengatasi risiko manusia dalam keamanan. Sejak mendirikan perusahaan pada 2017, dia telah memimpin pengembangan pendekatan data-driven, behavior-focused terhadap keamanan siber yang bergerak melampaui pelatihan kesadaran tradisional menuju pengurangan risiko yang dapat diukur dan perubahan budaya. Menggambar dari latar belakangnya dalam kepemimpinan produk dan kewirausahaan, dia telah membantu memperluas Living Security menjadi platform SaaS yang tumbuh cepat yang digunakan oleh organisasi perusahaan, sementara juga berkontribusi pada ekosistem keamanan siber yang lebih luas sebagai mentor, penasihat, dan advokat untuk inisiatif seperti Women in CyberSecurity.

Living Security adalah perusahaan SaaS keamanan siber yang fokus pada Manajemen Risiko Manusia, membantu organisasi mengidentifikasi, mengukur, dan mengurangi risiko yang terkait dengan perilaku karyawan. Platformnya mengumpulkan data perilaku, identitas, dan ancaman untuk menunjukkan pengguna berisiko tinggi dan memberikan pelatihan dan intervensi yang ditargetkan, dirancang untuk mencegah pelanggaran sebelum terjadi. Dengan menggabungkan analitik, otomatisasi, dan metode pelatihan yang menarik seperti simulasi dan pengalaman yang digamifikasi, perusahaan memungkinkan perusahaan untuk beralih dari kesadaran keamanan yang didorong oleh kepatuhan ke pengurangan risiko yang proaktif dan dapat diukur di seluruh tenaga kerja.

Anda mendirikan Living Security pada 2017 setelah sebelumnya memiliki pengalaman membangun dan memperluas bisnis produk konsumen dan bekerja sebagai pemilik produk. Apa momen atau kesadaran spesifik yang membuat Anda beralih ke keamanan siber dan fokus pada risiko manusia, dan bagaimana tesis asli itu bertahan ketika AI menjadi bagian dari tenaga kerja?

Pada 2017, sebagian besar organisasi mengobati pelatihan kesadaran keamanan sebagai latihan kotak centang, dan itu tidak mengubah perilaku. Titik baliknya adalah menyadari bahwa jika perilaku manusia mengemudi pelanggaran, jawabannya tidak bisa hanya pelatihan yang lebih mudah dilupakan. Drew Rose, Co-Pendiri Living Security, menjalankan program keamanan sendiri dan mulai menggamifikasi mereka, membangun prototipe awal yang menjadi ruang pelarian keamanan siber. Kami melihat langsung bahwa ketika Anda membuat keamanan menjadi pengalaman, orang-orang terlibat, belajar, dan benar-benar mengubah perilaku. Itu menjadi dasar untuk Living Security.

Sebagai co-pendiri, Drew dan saya dengan cepat menyadari bahwa keterlibatan hanya merupakan titik awal. Ketika kami memperluas pengalaman tersebut menjadi platform, kami mulai melihat pola dalam bagaimana orang berperilaku, di mana mereka bergelut, dan di mana risiko sebenarnya terkonsentrasi. Itu memaparkan celah yang jauh lebih besar: organisasi tidak memiliki visibilitas nyata ke risiko manusia atau bagaimana menguranginya dengan cara yang ditargetkan. Wawasan itu memimpin kami untuk mempelopori Manajemen Risiko Manusia, yang tentang mengidentifikasi, mengukur, dan mengurangi risiko berdasarkan perilaku individu, akses, dan ancaman, bukan hanya mengirimkan pelatihan. Ketika AI menjadi terintegrasi ke tenaga kerja, tesis asli itu hanya berkembang: tantangan tidak lagi hanya perilaku manusia, tetapi bagaimana manusia dan sistem AI bekerja bersama. Manusia masih berada di pusat, sekarang mengelola dan menerapkan agen AI, yang berarti Anda harus memperluas visibilitas ke agen-agen tersebut dan menghubungkan risiko itu kembali ke individu. Itulah yang mendorong evolusi kami ke Keamanan Tenaga Kerja.

Anda telah berargumen bahwa kesalahan manusia adalah penjelasan yang tidak lengkap untuk pelanggaran. Bagaimana organisasi harus memikirkan kembali risiko tenaga kerja hari ini ketika baik perilaku manusia maupun tindakan yang digerakkan AI menyumbang ke permukaan serangan?

Menggambarkan pelanggaran sebagai “kesalahan manusia” menyederhanakan masalah dan mengaburkan dari mana risiko sebenarnya berasal. Risiko manusia tidak hanya tentang kesalahan, tetapi dibentuk oleh kombinasi perilaku, akses, dan paparan terhadap ancaman. Beberapa karyawan memiliki akses istimewa ke sistem sensitif, beberapa ditargetkan lebih sering, dan beberapa menunjukkan perilaku yang lebih berisiko, sehingga risiko pelanggaran tidak terdistribusi secara merata. Untuk benar-benar memahami risiko, organisasi perlu visibilitas ke mana faktor-faktor tersebut berpotongan dan di mana risiko manusia ada.

Sebagai hasilnya, organisasi perlu melampaui model kesadaran dan memikirkan kembali risiko tenaga kerja sebagai tantangan operasional bersama, satu yang meliputi baik risiko manusia maupun tindakan yang digerakkan AI. Ini berarti fokus pada visibilitas terus-menerus tentang bagaimana pekerjaan dilakukan, memahami di mana risiko terkonsentrasi, dan menerapkan intervensi yang ditargetkan dan real-time di seluruh tenaga kerja hibrida, bukan mengobati risiko sebagai kesalahan pengguna yang terisolasi.

Alat AI sekarang menggambar kode, menangani alur kerja, dan bahkan membuat keputusan. Pada titik mana sistem AI berhenti menjadi alat dan mulai diobati sebagai bagian dari tenaga kerja dari perspektif keamanan?

Sistem AI berhenti menjadi hanya alat dan mulai menjadi bagian dari tenaga kerja saat mereka mengambil tindakan di dalam lingkungan perusahaan. Pada titik itu, mereka memperkenalkan risiko dengan cara yang sama seperti karyawan: melalui tindakan yang mereka ambil, izin yang mereka operasikan, dan data yang mereka sentuh. Perubahan untuk organisasi adalah mengakui bahwa agen AI tidak hanya lapisan produktivitas—mereka adalah peserta operasional, dan mereka perlu diatur, dipantau, dan diamankan bersama dengan pengguna manusia dalam model risiko tenaga kerja yang terintegrasi.

Bagaimana perusahaan harus mendekati tata kelola ketika risiko tidak lagi terbatas pada karyawan, tetapi meluas ke agen AI yang beroperasi dengan berbagai tingkat otonomi dan akses?

Perusahaan perlu melampaui tata kelola berbasis kebijakan dan mengobatinya sebagai proses yang berkelanjutan, didorong oleh perilaku, yang berlaku untuk baik manusia maupun agen AI. Sebagian besar organisasi sudah memiliki kebijakan AI di tempat, tetapi celahnya ada dalam penegakan dan visibilitas, terutama karena karyawan mengadopsi alat di luar lingkungan yang disetujui dan sistem AI beroperasi dengan akses yang bervariasi.

Tata kelola yang efektif dimulai dengan mendefinisikan penggunaan yang dapat diterima berdasarkan peran dan akses data, tetapi juga memerlukan bimbingan real-time yang tertanam dalam alur kerja dan pengukuran terus-menerus sehingga organisasi dapat melihat di mana risiko muncul dan beradaptasi. Pada akhirnya, tata kelola harus mencerminkan bagaimana pekerjaan sebenarnya terjadi hari ini: di seluruh tenaga kerja hibrida di mana baik manusia maupun sistem AI membuat keputusan, mengakses data, dan memperkenalkan risiko.

Living Security telah fokus berat pada model keamanan yang didorong oleh perilaku. Bagaimana filosofi itu diterjemahkan ketika beberapa perilaku sekarang berasal dari sistem AI daripada manusia?

Pendekatan yang didorong oleh perilaku dari Living Security diperluas secara alami ke AI karena fokusnya tidak pernah hanya pada siapa yang menciptakan risiko, tetapi bagaimana risiko diperkenalkan melalui tindakan. Baik itu seorang manusia atau sistem AI, risiko muncul dalam perilaku, bagaimana data diakses, tindakan apa yang diambil, dan bagaimana keputusan dijalankan di dalam alur kerja. Ketika sistem AI mengambil tanggung jawab operasional yang lebih besar, model yang sama berlaku: organisasi perlu visibilitas ke dalam perilaku tersebut, bersama dengan kemampuan untuk membimbing dan mengintervensi secara real-time di dalam model risiko tenaga kerja yang terintegrasi.

Banyak organisasi masih mengandalkan pelatihan kesadaran keamanan berkala. Mengapa model ini gagal dalam lingkungan modern, dan apa yang terlihat seperti pendekatan yang benar-benar adaptif dan didorong oleh data dalam praktiknya?

Pelatihan kesadaran keamanan berkala gagal karena dibangun untuk lanskap ancaman statis dan mengasumsikan risiko dapat dikurangi melalui pendidikan yang luas. Pada kenyataannya, sebagian besar insiden berasal dari perilaku operasional sehari-hari, bukan kurangnya pelatihan, dan risiko sering terkonsentrasi di antara subset kecil pengguna. Pendekatan yang lebih adaptif dan didorong oleh data fokus pada mengidentifikasi secara terus-menerus di mana risiko sebenarnya ada dan mengirimkan bimbingan yang ditargetkan dan real-time dalam alur kerja—bergeser dari penyelesaian pelatihan ke pengurangan risiko yang dapat diukur.

Platform Anda menekankan mengkuantifikasi risiko manusia menggunakan data dunia nyata. Apa yang paling penting sinyal yang organisasi harus lacak hari ini untuk memahami risiko secara dinamis daripada retrospektif?

Organisasi harus fokus pada perilaku, identitas dan akses, dan paparan ancaman, sinyal yang mencerminkan bagaimana risiko dibuat dan di mana risiko terkonsentrasi di seluruh tenaga kerja. Itu sekarang meluas ke AI juga, termasuk alat apa yang digunakan karyawan, akses apa yang dimiliki sistem tersebut, dan bagaimana mereka dikonfigurasi atau dipicu. Sendiri, sinyal-sinyal ini berguna, tetapi nilai sebenarnya datang dari bagaimana mereka bersama-sama menceritakan kisah tentang risiko.

AI menciptakan kerentanan baru, tetapi juga digunakan secara defensif. Di mana keseimbangan bergeser, dan apakah kita menuju dampak keamanan bersih positif atau negatif dari AI?

AI melakukan keduanya, memperluas permukaan serangan sambil juga memperbaiki bagaimana organisasi mendeteksi dan menanggapi risiko. Di satu sisi, itu memungkinkan alur kerja yang lebih kompleks dan tindakan otonom yang dapat memperkenalkan kerentanan baru; di sisi lain, itu memungkinkan tim keamanan untuk menganalisis perilaku dalam skala besar dan bertindak lebih cepat. Di mana keseimbangan berada tergantung pada seberapa baik organisasi beradaptasi. Saat ini, banyak yang masih mengejar visibilitas dan tata kelola, terutama karena AI digunakan dengan cara yang belum mereka peta dengan lengkap. Dalam jangka panjang, itu bisa menjadi positif, tetapi hanya jika organisasi mengobati AI sebagai bagian dari tenaga kerja dan menerapkan tingkat pemantauan, bimbingan, dan kontrol yang sama seperti yang mereka lakukan untuk risiko yang digerakkan oleh manusia.

Tidak semua karyawan atau sistem AI memiliki risiko yang sama. Bagaimana organisasi harus memprioritaskan intervensi tanpa menciptakan gesekan atau pengawasan berlebihan?

Tidak semua risiko sama, dan mengobatinya dengan cara yang sama akan menciptakan gesekan. Kunci adalah fokus pada di mana risiko sebenarnya terkonsentrasi—karena sekitar 10% dari pengguna mengemudi 73% risiko—dan menerapkan intervensi yang ditargetkan di sana daripada secara luas di seluruh tenaga kerja. Itu berarti menggunakan data perilaku, akses, dan paparan untuk memprioritaskan siapa dan apa yang memerlukan perhatian, dan mengirimkan bimbingan dalam alur kerja alih-alih menambahkan kontrol lebih banyak. Dilakukan dengan benar, itu mengurangi gesekan dengan membuat jalur yang aman menjadi yang paling mudah diikuti, bukan meningkatkan pengawasan di seluruh orang.

Jika kita melompat maju lima tahun, apa yang akan terlihat seperti keamanan tenaga kerja, dan apa yang sebagian besar organisasi masih meremehkan hari ini?

Jika kita melompat maju lima tahun, keamanan tenaga kerja akan ditentukan oleh seberapa baik organisasi dapat memahami dan mengelola risiko di seluruh manusia dan agen AI yang beroperasi bersama. Itu tidak akan tentang pelatihan berkala atau kontrol statis, itu akan tentang visibilitas terus-menerus, penilaian risiko real-time, dan kemampuan untuk bertindak secara dinamis ketika perilaku, akses, dan ancaman berubah. Manusia masih akan berada di pusat, tetapi mereka akan mengelola dan memperluas diri melalui AI, yang berarti keamanan harus mempertimbangkan keduanya.

Apakah yang sebagian besar organisasi masih meremehkan adalah bahwa ada celah visibilitas risiko manusia hari ini, dan AI memperburuknya. Banyak yang berpikir mereka memiliki strategi AI, tetapi pada kenyataannya, mereka kekurangan visibilitas ke orang-orang dan alat yang digunakan orang-orang tersebut. Langkah pertama adalah memahami risiko manusia, perilaku, akses, dan paparan terhadap ancaman. Langkah kedua adalah memperluas visibilitas ke agen AI yang digunakan karyawan, yang hanya sekuat dan berisiko seperti akses dan keputusan yang diberikan manusia. Tanpa fondasi itu, organisasi tidak hanya tertinggal dalam AI, mereka beroperasi dengan blind spot yang tumbuh di seluruh tenaga kerja mereka.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Living Security.