Elizabeth Nammour, CEO & Founder of Teleskope – Seri Wawancara

Elizabeth Nammour, CEO dan pendiri Teleskope, adalah insinyur keamanan yang berubah menjadi pendiri yang karirnya meliputi keamanan data, rekayasa perangkat lunak, dan peran inovasi di beberapa organisasi teknologi terbesar di dunia. Sementara bekerja sebagai insinyur perangkat lunak senior yang fokus pada keamanan data di Airbnb, dia menghadapi tantangan operasional untuk memahami dan mengontrol estate data yang besar dan tumbuh dengan cepat yang tersebar di selusin sistem. Pengalaman itu, dikombinasikan dengan peran teknis dan strategis sebelumnya di Amazon dan Booz Allen Hamilton, membentuk perspektifnya tentang bagaimana organisasi modern berjuang untuk mengatur data sensitif dalam skala dan akhirnya memimpinnya untuk membangun perusahaan yang menangani kesenjangan itu.

Teleskope adalah platform keamanan data modern yang dirancang untuk membantu organisasi terus-menerus memahami di mana data mereka hidup, bagaimana data tersebut digunakan, dan apa risiko yang dihasilkannya ketika lingkungan menjadi lebih kompleks. Dibangun dengan mempertimbangkan pengembang dan tim keamanan, platform ini menekankan visibilitas data yang akurat, remediasi otomatis, dan kontrol berbasis kebijakan di seluruh lingkungan cloud, SaaS, dan hybrid. Dengan melampaui audit statis dan proses manual, Teleskope bertujuan untuk memberikan organisasi dasar yang praktis untuk mengelola penyebaran data sambil memungkinkan adopsi AI yang bertanggung jawab.

Anda mendirikan Teleskope setelah membangun alat keamanan data internal di Airbnb untuk mengatalog dan mengklasifikasikan data dalam skala besar. Apa momen yang membuat Anda yakin bahwa ini perlu menjadi perusahaan dan tidak hanya proyek internal, dan bagaimana pelajaran awal itu membentuk tesis produk Anda?

Ketika saya selesai membangun produk ini di AirBnB, saya memiliki kesempatan untuk menulis posting di blog AirBnB yang berjudul “Mengotomatisasi Perlindungan Data pada Skala”. Saya tidak pernah benar-benar mengantisipasi apa pun yang akan datang dari itu, tetapi komunitas keamanan merespons sangat positif dan saya mulai dihubungi oleh praktisi dari seluruh dunia. Saya pasti memiliki momen itu ketika saya menyadari bahwa banyak orang berbagi tantangan yang sama yang saya hadapi, dan bahwa produk ini adalah sesuatu yang pasar benar-benar minta. Saya banyak bergantung pada umpan balik dari rekan-rekan di hari-hari awal, dan bahkan Teleskope v1.0 jauh lebih baik dari apa yang saya bangun di AirBnB. Hari ini produk kami lebih besar dan lebih berdampak daripada yang saya bisa bayangkan sebelumnya.

Anda menggunakan pipa klasifikasi multi-model yang menggabungkan ML tradisional, model spesifik format, dan validasi GenAI. Bisakah Anda menjelaskan logika keputusan dan bagaimana Anda mengurangi false positif/negatif pada skala besar?

Saya sangat merekomendasikan membaca blog kami, yang saya tulis bersama dengan kepala Ilmu Data kami, Ivan, tentang klasifikasi data. Saya akan mengatakan bahwa ini adalah seni, sama seperti itu adalah ilmu. Ada banyak nuansa – setiap kali Anda menemukan entitas data sensitif, konteksnya akan unik. Sementara itu, skala data telah membuat masalah ini menjadi lebih menantang, karena memindai petabyte data produksi membutuhkan banyak komputasi dan waktu. Secara dasar, ada alasan mengapa ini terus dilihat sebagai masalah yang belum terpecahkan.

Di mana seni itu datang adalah dengan menemukan cara untuk mengimbangkan semua trade-off – kecepatan, latensi, akurasi, biaya, dan cakupan (dalam toko data, format file, bahasa, dll.). Kami selalu percaya bahwa jawabannya harus kreatif, dan harus multi-modal. Ini adalah mengapa kami telah mengambil pendekatan yang kami lakukan, menggabungkan banyak metode klasifikasi yang tersedia untuk memiliki pendekatan yang dinamis dan nuansa yang, untuk menyimpulkan, dibangun untuk menggunakan metode ringan mungkin, tanpa mengorbankan akurasi secara signifikan. Pendekatan dinamis ini memungkinkan kami untuk memindai data 10-20 kali lebih cepat daripada alat yang bergantung pada LLM satu-ukuran-untuk-semua, sambil juga memberikan hasil yang jauh lebih akurat daripada pendekatan berbasis REGEX atau konteks konvensional.

Anda baru-baru ini memperkenalkan Prism, yang fokus pada pemahaman data tingkat bisnis dan remediasi yang ditenagai GenAI. Apa kasus penggunaan baru yang dibuka kuncinya dibandingkan dengan deteksi PII tingkat elemen, dan bagaimana Anda melindungi terhadap halusinasi dalam tindakan remediasi?

Ketika saya pertama kali berusaha untuk menangani tantangan klasifikasi dan perlindungan data, fokus saya adalah mengurangi hasil positif palsu yang sebenarnya. Misalnya, bagaimana kita memastikan bahwa setidaknya 95% dari waktu ketika kita menandai sesuatu sebagai Nomor Keamanan Sosial, itu akan terbukti menjadi SSN yang sebenarnya. Beberapa tahun yang lalu, bahkan akurasi 80% di seluruh jenis elemen data akan menjadi perbaikan.

Namun, dengan bekerja erat dengan pelanggan kami selama setahun terakhir, menjadi jelas bahwa “kebisingan” yang timbul bukan hanya disebabkan oleh klasifikasi entitas data yang tidak akurat (hasil positif palsu tradisional). Kebisingan itu sering kali tentang ditenggelamkan dalam alert yang tidak relevan sama seperti mendapatkan alert palsu. Apa yang dilakukan Prism adalah membuka kemampuan kami untuk mempertimbangkan konteks yang jauh lebih luas – tidak hanya “apa ini potongan data” atau “siapa yang mengakses file ini”, tetapi juga “apa, secara praktis, file ini”. Dengan menggabungkan ini dengan informasi yang dapat kami terima tentang apa yang sebenarnya dilakukan oleh bisnis dan apa yang mereka pedulikan, kami dapat menyampaikan produk yang disesuaikan dengan definisi “data sensitif” yang berbeda-beda untuk setiap perusahaan.

Mengabadikan konteks yang halus ini adalah perubahan permainan yang sebenarnya. Menyimpan ratusan SSN dalam Dokumen Google di drive pribadi, misalnya, mungkin merupakan risiko besar dan pelanggaran Kebijakan Manajemen Data. Tetapi memiliki folder di drive HR yang aman penuh dengan W2 karyawan? Itu perilaku yang diharapkan. Tim keamanan ingin diingatkan tentang yang pertama, tetapi mendapatkan alert untuk setiap W2 karyawan, yang disimpan dengan benar, hanya kebisingan. Memahami di mana dan dalam konteks apa data sensitif berada membutuhkan lebih dari sekadar model klasifikasi entitas.

Kami bekerja dengan perusahaan kimia multinasional, Chevron Philips Chemicals. Bisnis ini tidak akan pernah membeli alat privasi atau DSPM standar, karena mereka tidak benar-benar melihat risiko data konsumen sebagai prioritas. Namun, apa yang mereka pedulikan adalah properti intelektual dalam bentuk persamaan kimia. Dengan menguraikan esensi dokumen menjadi daftar label yang dikelompokkan, kami tidak hanya dapat mendeteksi elemen data sensitif unik, tetapi juga menemukan contoh aset data ini berada di “tempat yang salah”. Dengan menggabungkan konteks ini dengan remediasi otomatis kami, kami kemudian dapat mengambil tindakan untuk mengarsip, menghapus, menyensor, atau memindahkan file-file tersebut ke lokasi yang tepat. Tidak ada yang melakukan pekerjaan seperti ini di pasar keamanan data.

Teleskope menyoroti penemuan berkelanjutan di seluruh multi-cloud, on-prem, dan sistem pihak ketiga – termasuk data bayangan. Apa yang tampak seperti “peta lengkap”, dan seberapa cepat Anda dapat menemukan toko data yang tidak diketahui dalam penerapan greenfield?

“Lengkap” adalah kata yang sulit di sini – dalam kenyataan itu adalah batang yang terus bergerak, bahkan setiap hari. Itulah betapa sulitnya mengelola penyebaran data. Tujuan kami selalu untuk Teleskope ada di mana pun data pelanggan kami ada. Kami pada dasarnya adalah produk berbasis integrasi dalam banyak cara – kami telah membangun lusinan konektor data proprietary untuk dapat merayapi, memindai, dan mengklasifikasikan data di seluruh rangkaian alat SaaS, toko data cloud, dan sistem on-premise. Sebagian besar pelanggan memulai dengan beberapa konektor yang mereka lihat sebagai risiko tertinggi, atau di mana mereka memiliki visibilitas paling sedikit, sehingga dalam kenyataan kami jarang ada di mana pun data perusahaan berada. Namun, di dalam setiap sumber data, kami terus merayapi lingkungan mereka untuk menemukan akun baru, tabel, blob, file, pesan, dll. Jadi, di mana pun kami berada, kami menemukan data, baru dan lama, hampir secara real-time.

Untuk keamanan dan tata kelola AI, bagaimana Anda melacak garis keturunan antara set data pelatihan, model, prompt, dan output untuk keamanan audit?

Kami benar-benar memiliki tiga cara inti untuk mendukung keamanan dan tata kelola AI. Pertama, adalah kemampuan kami untuk menerapkan teknologi klasifikasi dan remediasi kami ke data dalam gerakan melalui API kami. Ketika perusahaan menghasilkan atau menyiapkan set data untuk melatih model mereka sendiri, mereka perlu memiliki cara untuk memastikan bahwa data tersebut bebas dari PII atau data sensitif lainnya. Jadi kami terhubung langsung ke pipa data dan dapat membersihkan set data saat mereka dipindahkan atau disalin ke set pelatihan, memastikan model tersebut tidak pernah berisiko mengeluarkan data sensitif.