Nick Kathmann, CISO/CIO di LogicGate – Seri Wawancara

Nicholas Kathmann adalah Chief Information Security Officer (CISO) di LogicGate, di mana ia memimpin program keamanan informasi perusahaan, mengawasi inovasi keamanan platform, dan berinteraksi dengan pelanggan untuk mengelola risiko keamanan siber. Dengan lebih dari dua dekade pengalaman di IT dan 18+ tahun di keamanan siber, Kathmann telah membangun dan memimpin operasi keamanan di perusahaan kecil dan perusahaan Fortune 100.

LogicGate adalah platform risiko dan kepatuhan yang membantu organisasi mengotomatisasi dan menskalakan program tata kelola, risiko, dan kepatuhan (GRC). Melalui produk andalannya, Risk Cloud®, LogicGate memungkinkan tim untuk mengidentifikasi, menilai, dan mengelola risiko di seluruh perusahaan dengan alur kerja yang dapat disesuaikan, wawasan waktu nyata, dan integrasi. Platform ini mendukung berbagai kasus penggunaan, termasuk risiko pihak ketiga, kepatuhan keamanan siber, dan manajemen audit internal, membantu perusahaan membangun strategi risiko yang lebih gesit dan tangguh

Anda menjabat sebagai CISO dan CIO di LogicGate — bagaimana Anda melihat AI mengubah tanggung jawab peran-peran ini dalam 2-3 tahun ke depan?

AI sudah mengubah kedua peran ini, tetapi dalam 2-3 tahun ke depan, saya pikir kita akan melihat peningkatan besar dalam Agentic AI yang memiliki kekuatan untuk membayangkan bagaimana kita menangani proses bisnis sehari-hari. Apa pun yang biasanya pergi ke help desk IT — seperti mereset kata sandi, menginstal aplikasi, dan lain-lain — dapat ditangani oleh agen AI. Kasus penggunaan kritis lainnya akan memanfaatkan agen AI untuk menangani penilaian audit yang membosankan, memungkinkan CISO dan CIO untuk memprioritaskan permintaan strategis.

Dengan pemutusan hubungan kerja siber federal dan tren deregulasi, bagaimana perusahaan harus mendekati penerapan AI sambil mempertahankan postur keamanan yang kuat?

Sementara kita melihat tren deregulasi di AS, regulasi sebenarnya diperkuat di UE. Jadi, jika Anda adalah perusahaan multinasional, antisipasi memiliki untuk memenuhi persyaratan regulasi global sekitar penggunaan AI yang bertanggung jawab. Untuk perusahaan yang hanya beroperasi di AS, saya melihat ada periode pembelajaran dalam hal adopsi AI. Saya pikir penting bagi perusahaan-perusahaan tersebut untuk membentuk kebijakan tata kelola AI yang kuat dan mempertahankan pengawasan manusia dalam proses penerapan, memastikan tidak ada yang menjadi liar.

Apa yang menjadi blind spot terbesar yang Anda lihat saat ini ketika mengintegrasikan AI ke dalam kerangka keamanan siber yang ada?

Sementara ada beberapa area yang bisa saya pikirkan, blind spot paling berdampak akan menjadi di mana data Anda berada dan di mana data tersebut bergerak. Pengenalan AI hanya akan membuat pengawasan di area tersebut menjadi lebih menantang. Vendor mengaktifkan fitur AI dalam produk mereka, tetapi data tersebut tidak selalu pergi langsung ke model/vendor AI. Itu membuat alat keamanan tradisional seperti DLP dan pemantauan web menjadi buta.

Anda telah mengatakan bahwa sebagian besar strategi tata kelola AI adalah “paper tigers.” Apa yang menjadi bahan-bahan inti dari kerangka tata kelola yang sebenarnya efektif?

Ketika saya mengatakan “paper tigers,” saya merujuk secara khusus pada strategi tata kelola di mana hanya tim kecil yang mengetahui proses dan standar, dan mereka tidak ditegakkan atau bahkan dipahami di seluruh organisasi. AI sangat meresap, yang berarti itu memengaruhi setiap grup dan setiap tim. Strategi “satu ukuran untuk semua” tidak akan berhasil. Bahan-bahan inti dari kerangka tata kelola yang kuat bervariasi, tetapi IAPP, OWASP, NIST, dan badan penasihat lainnya memiliki kerangka yang cukup baik untuk menentukan apa yang harus dievaluasi. Bagian tersulit adalah menentukan kapan persyaratan tersebut berlaku untuk setiap kasus penggunaan.

Bagaimana perusahaan dapat menghindari drift model AI dan memastikan penggunaan yang bertanggung jawab dari waktu ke waktu tanpa mengover-engineer kebijakan mereka?

Drift dan degradasi hanya merupakan bagian dari menggunakan teknologi, tetapi AI dapat mempercepat proses tersebut secara signifikan. Namun, jika drift menjadi terlalu besar, tindakan korektif akan diperlukan. Strategi pengujian yang komprehensif yang mencari dan mengukur akurasi, bias, dan bendera merah lainnya diperlukan dari waktu ke waktu. Jika perusahaan ingin menghindari bias dan drift, mereka perlu memulai dengan memastikan mereka memiliki alat untuk mengidentifikasi dan mengukur hal tersebut.

Apa peran yang harus dimainkan oleh catatan perubahan, pembaruan kebijakan terbatas, dan umpan balik waktu nyata dalam mempertahankan tata kelola AI yang gesit?

Sementara mereka memainkan peran sekarang untuk mengurangi risiko dan tanggung jawab kepada penyedia, umpan balik waktu nyata menghambat kemampuan pelanggan dan pengguna untuk melakukan tata kelola AI, terutama jika perubahan dalam mekanisme komunikasi terjadi terlalu sering.

Apa kekhawatiran yang Anda miliki sekitar bias AI dan diskriminasi dalam penilaian kredit atau skor kredit, terutama dengan layanan “Beli Sekarang, Bayar Nanti” (BNPL)?

Tahun lalu, saya berbicara dengan seorang peneliti AI/ML di sebuah bank multinasional besar yang telah bereksperimen dengan AI/LLMs di seluruh model risiko mereka. Model-model tersebut, bahkan ketika dilatih pada set data besar dan akurat, membuat keputusan yang sangat mengejutkan dan tidak didukung untuk menyetujui atau menolak penilaian kredit. Misalnya, jika kata-kata “kredit besar” disebutkan dalam transkrip obrolan atau komunikasi dengan pelanggan, model-model tersebut secara default akan menolak pinjaman — terlepas dari apakah pelanggan mengatakan itu atau karyawan bank mengatakan itu. Jika AI akan diandalkan, bank perlu memiliki pengawasan dan pertanggungjawaban yang lebih baik, dan “kejutan” tersebut perlu diminimalkan.

Apa pendapat Anda tentang bagaimana kita harus mengaudit atau menilai algoritma yang membuat keputusan dengan risiko tinggi — dan siapa yang harus bertanggung jawab?

Ini kembali ke model pengujian komprehensif, di mana perlu untuk terus menguji dan membandingkan algoritma/model dalam waktu nyata. Ini bisa sulit, karena output model mungkin memiliki hasil yang diinginkan yang perlu diidentifikasi oleh manusia. Sebagai contoh perbankan, model yang menolak semua pinjaman akan memiliki peringkat risiko yang baik, karena tidak ada pinjaman yang dijamin akan gagal. Dalam hal ini, organisasi yang menerapkan model/algoritma tersebut harus bertanggung jawab atas hasil model, sama seperti mereka akan jika manusia membuat keputusan.

Dengan lebih banyak perusahaan yang memerlukan asuransi siber, bagaimana alat AI mengubah lanskap risiko dan penulisan asuransi itu sendiri?

Alat AI sangat baik dalam menyebarkan sejumlah besar data dan menemukan pola atau tren. Di sisi pelanggan, alat-alat tersebut akan sangat membantu dalam memahami risiko sebenarnya organisasi dan mengelola risiko tersebut. Di sisi penulis, alat-alat tersebut akan membantu dalam menemukan inkonsistensi dan organisasi yang menjadi tidak matang dari waktu ke waktu.

Bagaimana perusahaan dapat menggunakan AI untuk proaktif mengurangi risiko siber dan bernegosiasi untuk mendapatkan syarat asuransi yang lebih baik di pasar asuransi saat ini?

Hari ini, cara terbaik untuk menggunakan AI untuk mengurangi risiko dan bernegosiasi untuk mendapatkan syarat asuransi yang lebih baik adalah dengan menyaring kebisingan dan gangguan, membantu Anda fokus pada risiko yang paling penting. Jika Anda mengurangi risiko tersebut dengan cara yang komprehensif, premi asuransi siber Anda seharusnya akan turun. Terlalu mudah untuk terjebak dalam volume risiko yang sangat besar. Jangan terjebak mencoba menangani setiap masalah ketika fokus pada masalah yang paling kritis dapat memiliki dampak yang jauh lebih besar.

Apa langkah taktis yang Anda rekomendasikan untuk perusahaan yang ingin menerapkan AI secara bertanggung jawab — tetapi tidak tahu dari mana harus memulai?

Pertama, Anda perlu memahami kasus penggunaan apa yang Anda miliki dan mendokumentasikan hasil yang diinginkan. Setiap orang ingin menerapkan AI, tetapi penting untuk memikirkan tujuan Anda terlebih dahulu dan bekerja mundur dari sana — sesuatu yang saya pikir banyak organisasi yang bergelut dengan hari ini. Setelah Anda memiliki pemahaman yang baik tentang kasus penggunaan Anda, Anda dapat melakukan penelitian tentang kerangka kerja AI yang berbeda dan memahami kontrol yang berlaku mana yang penting untuk kasus penggunaan dan implementasi Anda. Tata kelola AI yang kuat juga sangat penting untuk mitigasi risiko dan efisiensi karena otomatisasi hanya berguna sebagai input data. Organisasi yang menggunakan AI harus melakukannya secara bertanggung jawab, karena mitra dan prospek mengajukan pertanyaan sulit sekitar penyebaran AI dan penggunaan. Tidak mengetahui jawabannya dapat berarti kehilangan kesempatan bisnis, yang secara langsung memengaruhi garis bawah.

Jika Anda harus memprediksi risiko keamanan AI terbesar dalam lima tahun ke depan, apa yang akan itu — dan bagaimana kita dapat mempersiapkannya hari ini?

Prediksi saya adalah bahwa karena Agentic AI dibangun ke dalam proses bisnis dan aplikasi, penyerang akan terlibat dalam penipuan dan penyalahgunaan untuk memanipulasi agen-agen tersebut untuk menghasilkan hasil yang berbahaya. Kita sudah melihat ini dengan manipulasi agen layanan pelanggan, yang menghasilkan penawaran dan pengembalian yang tidak sah. Pelaku ancaman menggunakan trik bahasa untuk menghindari kebijakan dan mengganggu pengambilan keputusan agen.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi LogicGate.