Ali Hayat, CEO e fondatore di Axipro – Serie di interviste

Ali Hayat è CEO e fondatore di Axipro. Alla formazione nella gestione del rischio industriale e negli audit ISO affianca l’esperienza nella consulenza in materia di cybersecurity e conformità. All’inizio della sua carriera ha lavorato in contesti industriali ad alto rischio, in cui la sicurezza, i requisiti normativi e il rischio operativo erano aspetti centrali. In seguito ha fondato Axipro senza finanziamenti esterni, con l’obiettivo di aiutare le aziende in crescita ad adottare misure di sicurezza concrete, prepararsi agli audit e gestire i nuovi rischi legati all’IA.

Axipro è una società di consulenza in cybersecurity e conformità che supporta le organizzazioni nell’adozione di framework quali SOC 2, ISO 27001 e ISO 42001 e nel rispetto dei requisiti di protezione dei dati. Le sue attività comprendono consulenza, automazione della conformità, preparazione agli audit e test di sicurezza, con particolare attenzione al monitoraggio continuo e alla supervisione umana. In questa intervista, Hayat parla dei flussi di lavoro per la conformità basati sull’IA, dell’IA ombra, dei rischi legati agli agenti autonomi, delle differenze regionali nella governance e del divario tra certificazione e resilienza informatica.

La sua carriera è iniziata in contesti industriali ad alto rischio, lavorando a progetti che coinvolgevano Saudi Aramco, ADNOC e TotalEnergies, nei quali la sicurezza, la gestione del rischio e la conformità normativa erano fondamentali. Cosa l’ha spinta a passare dalla sicurezza industriale e dagli audit alla cybersecurity? E cosa l’ha motivata, in definitiva, a fondare Axipro?

Ho fondato Axipro perché, mentre lavoravo nella gestione della qualità, ho individuato una lacuna nel mercato. Nel 2021 ho notato il lancio di molte nuove piattaforme di cybersecurity semiautomatizzate per la conformità a SOC 2 e ISO 27001.

È diventato chiaro che, nonostante alleggerissero i team tecnici da gran parte degli oneri legati alla conformità, queste piattaforme richiedevano comunque configurazione e manutenzione. Le startup, già in difficoltà nel tenere il passo con la crescita, erano disposte a rivolgersi a un team guidato da persone per gestire la conformità. È così che è nata Axipro.

Poi, nel 2022, sono state lanciate le prime piattaforme di IA. È stato un altro momento illuminante. Mentre molti nel settore temevano di diventare superflui, ho capito subito che si trattava di una grande opportunità. Con ogni probabilità, l’IA avrebbe fatto aumentare esponenzialmente gli attacchi informatici e, di conseguenza, sarebbero servite persone qualificate per guidare le startup nelle loro esigenze di sicurezza e conformità.

Oggi siamo Drata Elite Partner e Vanta Preferred Partner e abbiamo guidato oltre 300 aziende verso la conformità ai principali standard di cybersecurity e IA.

Ha costruito Axipro da zero e senza finanziamenti esterni, trasformandola in una società di consulenza internazionale al servizio di centinaia di clienti. Quali sono state le sfide più grandi nel far crescere un’attività di cybersecurity con risorse proprie? E in che modo la tecnologia e l’automazione l’hanno aiutata a espandere le attività mantenendo alta la qualità del servizio?

I primi anni sono stati estremamente difficili. Ho esaurito i miei risparmi mentre aspettavo un bambino e ho visto i primi modelli di IA conquistare il settore: probabilmente sono stati i primi 2 o 3 anni a causarmi i capelli grigi che ho oggi.

Mi trovavo a competere con alcuni colossi, forti di una reputazione consolidata, grandi uffici e ingenti budget di marketing. Ero in Bahrein, venivo dalla gestione della qualità e il mio budget di marketing era pari a 0.

Ho scelto una strada controcorrente: ho mantenuto una struttura snella ed efficiente e ho proposto prezzi inferiori a quelli dei grandi operatori.

Questo mi ha portato molti nuovi clienti, ma i margini erano ridotti. La gestione dei flussi di cassa è diventata un’arte e siamo riusciti a malapena a superare quei primi 2 anni. Tutto è cambiato quando abbiamo firmato il nostro primo accordo multi-framework a cinque cifre. Ci ha dato un po’ di respiro, mi ha permesso di assumere i primi dipendenti a tempo pieno e di iniziare a pensare a iniziative di marketing al di fuori delle partnership e delle segnalazioni.

Axipro si impegna a semplificare framework di conformità complessi attraverso la trasformazione digitale e l’automazione. In che modo l’intelligenza artificiale sta cambiando i tradizionali flussi di lavoro per la conformità? E quali attività, secondo lei, offrono le maggiori opportunità di miglioramento dell’efficienza grazie all’IA?

Il settore della conformità ha tratto grandi vantaggi dall’IA. In precedenza si basava su grandi quantità di lavoro ripetitivo, come raccogliere e mappare le prove, rispondere ai questionari di sicurezza e redigere le politiche. Oggi quasi tutte queste attività sono automatizzate. L’IA ha inoltre reso possibile il monitoraggio continuo e la segnalazione dei rischi legati alla cybersecurity e alla conformità.

Oggi l’IA interviene in quasi tutte le fasi del processo di conformità. Quando accogliamo un nuovo cliente, la nostra IA interna esegue una valutazione automatizzata dei rischi in base al settore, alle dimensioni e alla sede dell’azienda. Disponiamo di un ampio database di incarichi precedenti che ci permette di individuare automaticamente potenziali rischi e segnali d’allarme. Probabilmente è questo il principale valore aggiunto dell’IA.

Anche gli autori di attacchi informatici hanno tratto vantaggio dall’IA e gli attacchi sono aumentati in modo esponenziale. È in corso una sorta di corsa agli armamenti tra IA, con aziende come la nostra da una parte, impegnate nello sviluppo del rilevamento automatico delle minacce, e gli hacker dall’altra, che automatizzano gli attacchi.

È qui che entra in gioco il giudizio umano, un elemento centrale del nostro modo di lavorare: l’IA deve occuparsi delle attività ripetitive e migliorare l’efficienza operativa, così che le persone possano concentrarsi sulla valutazione delle minacce e sulla risposta.

Molte organizzazioni considerano ancora la conformità in materia di cybersecurity un’attività periodica incentrata sulla preparazione agli audit. In che modo gli strumenti basati sull’IA e le piattaforme di monitoraggio continuo come Drata stanno cambiando questo approccio, e cosa comporta per le aziende il passaggio alla conformità continua?

Quando ho iniziato a occuparmi di conformità, tutti temevano il periodo degli audit. Per gran parte dell’anno, le aziende trascuravano i propri controlli, poi passavano settimane a rincorrere schermate e registri in vista della scadenza dell’audit. Superarlo significava essere conformi quel giorno, e poco più.

Drata e piattaforme simili hanno cambiato le cose. Si collegano agli strumenti cloud e HR di un’azienda e verificano ogni giorno i controlli. Se qualcuno disattiva l’autenticazione a più fattori o un ex dipendente conserva l’accesso, il problema emerge subito e il nostro team interviene immediatamente.

Per le aziende, la conformità ha smesso di essere un progetto annuale ed è diventata parte delle normali attività operative. Gli audit sono più brevi e meno costosi, e i team commerciali possono mostrare su richiesta il proprio livello di sicurezza ai clienti aziendali, contribuendo così a concludere gli accordi più rapidamente.

La protezione dei dati e la cybersecurity stanno gradualmente passando dall’essere requisiti per operare nei settori sensibili a diventare un valore aggiunto da promuovere sul mercato.

Poiché le organizzazioni si affidano sempre più all’IA per redigere la documentazione sulla sicurezza, valutare i rischi e analizzare le prove di conformità, come possono assicurarsi che questi sistemi producano risultati accurati e affidabili? In quali fasi dell’audit e della certificazione le competenze umane devono restare essenziali?

L’IA è molto brava a scrivere documenti che sembrano corretti. Una policy può apparire impeccabile e descrivere comunque processi che l’azienda non applica.

Affrontiamo la questione facendo redigere le bozze all’IA e chiedendole di segnalare i problemi, ma un membro del nostro team controlla tutto prima che il materiale venga inviato al cliente o all’auditor. Inoltre, ogni contenuto prodotto dall’IA dovrebbe rimandare alle prove su cui si basa, così da poterlo verificare.

È nell’audit interno ed esterno che traccio una linea netta. Gli auditor appongono la propria firma e mettono in gioco la propria reputazione professionale. L’IA può aiutarli a esaminare le prove più rapidamente, ma la decisione di certificare o meno un’azienda deve restare nelle mani di una persona. Se nessuno è responsabile, il certificato perde valore.

Axipro affianca le organizzazioni che devono orientarsi tra standard quali ISO 27001, SOC 2 e ISO 42001, lo standard internazionale per i sistemi di gestione dell’IA. Quali nuove sfide incontrano le aziende nel tentativo di definire una governance responsabile dell’IA, e in che modo la gestione dei rischi legati all’IA differisce dalla conformità tradizionale in materia di sicurezza delle informazioni?

La maggior parte delle aziende con cui parliamo non sa nemmeno quanto ricorra all’IA. Questo fenomeno si chiama «IA ombra».

Il team marketing si è iscritto a uno strumento, gli sviluppatori hanno integrato un modello nel prodotto e qualcuno in amministrazione incolla fogli di calcolo in un chatbot. Non c’è nulla di malevolo: le persone cercano di lavorare più velocemente e gli strumenti di IA sono economici e rapidi. Tuttavia, questo può esporre facilmente i dati aziendali.

Il primo e più importante passo nella maggior parte dei progetti di conformità all’ISO 42001 e all’IA è mappare tutto. Esaminiamo le note spese, le iscrizioni ai servizi software e i dati di rete, e parliamo con ogni team per capire quali strumenti usa davvero ogni giorno. L’elenco che ne risulta è quasi sempre più lungo del previsto.

Vietare l’IA raramente funziona ed è controproducente e inefficiente. Vogliamo che i nostri clienti possano beneficiare dei guadagni di efficienza offerti dai modelli di IA. Un approccio migliore consiste nel fornire al personale strumenti approvati che svolgano il lavoro, stabilire regole chiare sui dati che vi si possono inserire e rendere semplice la richiesta di nuovi strumenti.

La governance dell’IA solleva anche questioni che la sicurezza delle informazioni non aveva mai dovuto affrontare. Con l’ISO 27001, la preoccupazione principale è impedire alle persone sbagliate di accedere ai dati. Con l’ISO 42001, occorre anche sapere se l’IA si comporta correttamente, se è possibile spiegare le sue decisioni e chi è responsabile quando commette un errore.

Anche questi rischi cambiano più rapidamente. Un fornitore può aggiornare un modello da un giorno all’altro, modificando il comportamento del prodotto senza che tu faccia nulla.

Le aziende che hanno già ottenuto la certificazione ISO 27001 partono avvantaggiate. I due standard adottano la stessa struttura di sistema di gestione, quindi gran parte del lavoro preparatorio è già stata svolta.

Con la comparsa di agenti di IA autonomi, capaci di accedere a informazioni sensibili, interagire con i sistemi aziendali ed eseguire processi commerciali, a quali nuovi rischi di cybersecurity e conformità dovrebbero prepararsi le organizzazioni? I quadri di sicurezza esistenti sono in grado di affrontare questi sistemi sempre più autonomi?

Al momento, gli agenti sono l’ambito che seguo più da vicino. Il software tradizionale fa esattamente ciò che gli viene detto. Un agente prende decisioni autonomamente e può essere ingannato, oltre a ingannare altri, come abbiamo visto nell’incidente di hugging face.

Il rischio più comune che stiamo riscontrando è l’iniezione di prompt. Un aggressore può nascondere istruzioni in un’e-mail o in un PDF e, quando l’agente li legge, le esegue utilizzando tutti gli accessi che gli sono stati concessi.

Il secondo rischio è che le aziende concedano agli agenti un accesso eccessivo, perché è più semplice. Spesso i dipendenti consentono agli agenti di IA di accedere tramite i propri account di posta elettronica anziché tramite account dedicati, rendendo estremamente difficile determinare se una modifica sia stata apportata da una persona o da un bot. Se anche la registrazione delle attività è carente, potresti non sapere nemmeno che cosa abbia fatto l’agente.

ISO 27001 e SOC 2 coprono ancora aspetti fondamentali come il controllo degli accessi e la registrazione delle attività, mentre ISO 42001 è utile per la componente legata all’IA. Tuttavia, nessuno di questi standard è stato concepito pensando agli agenti autonomi, e mi aspetto che arrivino presto nuove linee guida.

AIUC-1 si sta affermando come standard di riferimento per AIUC-1 e abbiamo appena iniziato a formare il nostro personale per applicarlo. Ne abbiamo parlato alcune volte con i clienti, ma non abbiamo ancora casi di studio da presentare. Ha il forte sostegno di grandi aziende di cybersicurezza, quindi ci aspettiamo che questo quadro diventi lo standard di riferimento per gli agenti di IA.

Avendo lavorato in Medio Oriente, in Europa e negli Stati Uniti, hai incontrato contesti normativi e approcci alla gestione del rischio diversi. In che modo le differenze regionali nella governance dell’IA e nella protezione dei dati influenzano il modo in cui le aziende implementano l’IA, e quali difficoltà si presentano quando le organizzazioni operano in più giurisdizioni?

Vivendo in Bahrein e lavorando con clienti in Europa e negli Stati Uniti, ho smesso di aspettarmi che le normative sull’IA convergano. Semmai, le diverse regioni si stanno allontanando sempre più.

In Europa la regolamentazione passa attraverso la legge. L’AI Act dell’UE classifica i sistemi di IA in base al rischio e stabilisce gli obblighi per ciascuna categoria; per questo le aziende europee tendono a procedere con cautela e a documentare ogni cosa. Gli Stati Uniti non hanno una legge federale sull’IA e gran parte della regolamentazione è affidata al mercato. Nei contratti, i committenti chiedono l’adozione di quadri di riferimento come l’AI RMF del NIST, mentre per il resto intervengono le norme sulla responsabilità. La Cina segue una terza strada: introduce una nuova norma ogni volta che una tecnologia comporta un nuovo rischio.

La regione del Golfo è quella che trovo più interessante. L’Arabia Saudita, per esempio, non ha ancora una legge orizzontale sull’IA. La maggior parte delle norme vincolanti rientra nella legislazione sulla protezione dei dati e negli appalti pubblici, perché lo Stato è il principale acquirente di tecnologia della regione. Gli obblighi da rispettare dipendono molto da chi è il cliente. Quando SDAIA, l’autorità di regolamentazione saudita, ha ottenuto la certificazione ISO 42001 nel 2024, ha indicato al mercato quale standard avrebbe richiesto nei bandi di gara.

La difficoltà maggiore si presenta quando un’azienda opera in più di una di queste regioni. Un’azienda SaaS di Riad che vende in Europa può soddisfare i requisiti tecnici dell’UE e comunque non rispettare in Arabia Saudita le norme sulla registrazione e sul trasferimento dei dati. Nessuna delle due parti accetta la documentazione dell’altra.

Il nostro approccio consiste nel creare una base applicabile in diversi contesti, costituita da ISO 42001 affiancata a ISO 27001, e poi aggiungere i requisiti di ciascuna regione. ISO 42001, da sola, non garantisce la conformità legale in nessun luogo, ma è l’elemento più vicino a un linguaggio comune accettato da tutte queste regioni.

Spesso esiste una differenza significativa tra ottenere una certificazione di sicurezza e mantenere una reale resilienza informatica. In che modo le organizzazioni possono usare l’IA e l’automazione per andare oltre una conformità ridotta a una lista di controllo e sviluppare pratiche di sicurezza che si adattino continuamente alle minacce emergenti?

Ho visto aziende con un rapporto SOC 2 appena ottenuto e lacune di sicurezza fondamentali che nessuno aveva notato. Il loro obiettivo era superare l’audit. Un certificato dimostra che un’azienda soddisfaceva uno standard in una determinata data, ma non dimostra che sia in grado di fermare un attacco.

Per andare oltre, bisogna chiedersi se ciascun controllo supererebbe una verifica. L’automazione è di grande aiuto in questo. Il monitoraggio continuo individua i problemi quando sono ancora di entità limitata e i dati aggiornati sulle minacce mantengono le valutazioni del rischio allineate a ciò che fanno gli aggressori in quel momento. I test di penetrazione periodici e le simulazioni di attacco mostrano poi se i controlli funzionano nella pratica.

Ottenere la certificazione CREST quest’anno ha fatto parte di questo percorso. Volevamo testare la sicurezza dei nostri clienti e documentare i risultati.

Guardando ai prossimi tre-cinque anni, come immagini che l’IA trasformerà il settore della consulenza in cybersicurezza e conformità? Pensi che, alla fine, gli agenti di IA gestiranno autonomamente la maggior parte delle attività di routine legate alla conformità, e come vedi evolversi Axipro con la maturazione di queste tecnologie?

Penso che entro cinque anni gli agenti di IA si occuperanno della maggior parte delle attività di routine legate alla conformità, come la raccolta delle prove, l’aggiornamento delle politiche e la compilazione dei questionari di sicurezza. Le aziende che guadagnano fatturando ore di lavoro senza avere competenze riconoscibili in questo ambito faranno fatica.

Non penso, però, che gli agenti gestiranno la conformità da soli. Più lavoro viene svolto dall’IA, più diventano importanti le decisioni rimanenti. Qualcuno dovrà comunque approvare un audit e affrontare le conseguenze quando qualcosa va storto. Poiché anche gli aggressori usano l’IA, la domanda di professionisti qualificati nella difesa continuerà a crescere.

In Axipro, prevedo che dedicheremo meno tempo alla documentazione e più alla consulenza ai clienti e alla verifica della loro sicurezza. La nostra IA sviluppata internamente si occuperà di una quota maggiore del lavoro operativo, mentre il nostro team si concentrerà sulle decisioni che richiedono il giudizio umano. Nel 2022, molti pensavano che l’IA avrebbe reso superflue aziende come la nostra. Finora è accaduto il contrario: siamo cresciuti di oltre il 10% mese su mese, a volte con più lavoro di quanto riuscissimo a gestire, e non ci aspettiamo che la situazione si calmi.

Grazie per questa splendida intervista. I lettori che desiderano saperne di più sulla conformità in materia di sicurezza informatica, sulla governance dell’IA e su come sviluppare pratiche di sicurezza continuative possono visitare Axipro.