Joe Regensburger, VP di Ricerca, Immuta – Serie di Interviste

Joe Regensburger è attualmente il Vice Presidente di Ricerca presso Immuta. Leader nella sicurezza dei dati, Immuta consente alle organizzazioni di sbloccare il valore dei loro dati cloud proteggendoli e fornendo un accesso sicuro.

Immuta è progettata per integrarsi perfettamente nel tuo ambiente cloud, fornendo integrazioni native con i principali fornitori di servizi cloud. Seguendo il framework di sicurezza informatica NIST, Immuta copre la maggior parte delle esigenze di sicurezza dei dati per la maggior parte delle organizzazioni.

La tua formazione accademica è in fisica e matematica applicata, come sei arrivato a lavorare nel settore della scienza e dell’analisi dei dati?

Il mio campo di ricerca di laurea era la Fisica Sperimentale ad Alta Energia. Analizzare i dati in questo campo richiede una grande quantità di analisi statistica, in particolare separare le firme di eventi rari da quelle di eventi di background più frequenti. Queste competenze sono molto simili a quelle richieste nella scienza dei dati.

Puoi descrivere cosa comporta il tuo ruolo attuale di VP di Ricerca presso il leader della sicurezza dei dati Immuta?

Presso Immuta, ci concentriamo sulla sicurezza dei dati. Ciò significa che dobbiamo capire come vengono utilizzati i dati, come possono essere utilizzati in modo improprio e fornire agli esperti di dati gli strumenti necessari per supportare la loro missione, impedendo al contempo l’uso improprio. Quindi, il nostro ruolo consiste nel capire le esigenze e le sfide degli esperti di dati, in particolare per quanto riguarda le norme e la sicurezza, e aiutare a risolvere queste sfide. Vogliamo ridurre le richieste normative e consentire agli esperti di dati di concentrarsi sulla loro missione principale. Il mio ruolo è quello di aiutare a sviluppare soluzioni che riducano questi oneri. Ciò include lo sviluppo di strumenti per scoprire dati sensibili, metodi per automatizzare la classificazione dei dati, rilevare come vengono utilizzati i dati e creare processi che applichino le politiche dei dati per assicurarsi che i dati vengano utilizzati in modo appropriato.

Quali sono le principali sfide nella governance dell’AI rispetto alla governance dei dati tradizionale?

I leader tecnologici hanno menzionato che la governance dell’AI è un passo naturale e una progressione dalla governance dei dati. Tuttavia, ci sono alcune differenze importanti da considerare. In primo luogo, la governance dell’AI richiede un livello di fiducia nell’output del sistema di intelligenza artificiale. Con la governance dei dati tradizionale, i leader dei dati potevano facilmente tracciare da una risposta a un risultato utilizzando un modello statistico tradizionale. Con l’AI, la tracciabilità e la discendenza diventano una vera sfida e i confini possono essere facilmente offuscati. Essere in grado di fidarsi del risultato raggiunto dal modello di intelligenza artificiale può essere negativamente influenzato da allucinazioni e confabulazioni, che sono una sfida unica per l’AI che deve essere risolta per garantire una corretta governance.

Credi che esista una soluzione universale per la governance dell’AI e la sicurezza dei dati, o è più specifica per ogni caso?

“Non credo che esista un approccio universale per la governance dell’AI al momento, in quanto riguarda la sicurezza dei dati, ma ci sono sicuramente considerazioni che i leader dei dati dovrebbero adottare ora per gettare le basi per la sicurezza e la governance. Quando si tratta di governare l’AI, è fondamentale avere un contesto su cosa viene utilizzato il modello di intelligenza artificiale e perché. Se si utilizza l’AI per qualcosa di più banale con un impatto minore, il tuo calcolatore di rischio sarà molto più basso. Se si utilizza l’AI per prendere decisioni sulla sanità o addestrare un veicolo autonomo, il tuo impatto di rischio è molto più alto. Ciò è simile alla governance dei dati; il motivo per cui i dati vengono utilizzati è altrettanto importante quanto il modo in cui vengono utilizzati.

Hai recentemente scritto un articolo intitolato “Affrontare le minacce nascoste dell’AI ombra”. Cosa è l’AI ombra e perché le imprese dovrebbero prenderne nota?

“L’AI ombra può essere definita come l’uso rogue di strumenti di intelligenza artificiale non autorizzati che cadono al di fuori del framework di governance di un’organizzazione. Le imprese devono essere consapevoli di questo fenomeno per proteggere i dati, poiché alimentare i dati interni in un’applicazione non autorizzata come uno strumento di intelligenza artificiale può presentare enormi rischi. L’AI ombra è generalmente ben nota e relativamente facile da gestire una volta individuata. Basta semplicemente dismettere l’applicazione e proseguire. Con l’AI ombra, non si ha un accordo chiaro con l’utente finale su come vengono utilizzati i dati per addestrare un modello di intelligenza artificiale o dove il modello condivide le sue risposte una volta generate. In sostanza, una volta che i dati sono nel modello, si perde il controllo su di esso. Per mitigare il rischio potenziale dell’AI ombra, le organizzazioni devono stabilire accordi chiari e processi formalizzati per l’utilizzo di questi strumenti se i dati lasceranno l’ambiente in qualsiasi modo.

Puoi spiegare i vantaggi dell’utilizzo del controllo di accesso basato sugli attributi (ABAC) rispetto al controllo di accesso basato sui ruoli (RBAC) nella sicurezza dei dati?

Il controllo di accesso basato sui ruoli (RBAC) funziona limitando i permessi o l’accesso al sistema in base al ruolo di un individuo all’interno dell’organizzazione. Il vantaggio di ciò è che rende il controllo di accesso statico e lineare, poiché gli utenti possono accedere ai dati solo se sono assegnati a ruoli predeterminati. Mentre un modello RBAC ha tradizionalmente funzionato come un modo per controllare l’uso dei dati interni, non è affatto indistruttibile e oggi possiamo vedere che la sua semplicità è anche il suo principale svantaggio.

RBAC era pratico per un’organizzazione più piccola con ruoli limitati e poche iniziative di dati. Le organizzazioni contemporanee sono guidate dai dati con esigenze di dati che crescono nel tempo. In questo scenario sempre più comune, l’efficienza di RBAC si dissolve. Fortunatamente, abbiamo un’opzione più moderna e flessibile per il controllo di accesso: il controllo di accesso basato sugli attributi (ABAC). Il modello ABAC adotta un approccio più dinamico alla sicurezza dei dati e all’accesso rispetto a RBAC. Definisce ruoli logici combinando gli attributi osservabili degli utenti e dei dati e determinando le decisioni di accesso in base a questi attributi. Una delle principali forze di ABAC è la sua natura dinamica e scalabile. Mentre le esigenze di utilizzo dei dati crescono e la democratizzazione dei dati consente a più utenti all’interno delle organizzazioni di accedere ai dati, i controlli di accesso devono essere in grado di espandersi con l’ambiente per mantenere una sicurezza dei dati coerente. Un sistema ABAC tende anche a essere intrinsecamente più sicuro dei modelli di controllo di accesso precedenti. Inoltre, questo alto livello di sicurezza dei dati non si verifica a scapito della scalabilità. A differenza degli standard di controllo di accesso e governance precedenti, il carattere dinamico di ABAC crea un modello a prova di futuro.”

Quali sono i passaggi chiave per espandere l’accesso ai dati mantenendo al contempo una solida governance e sicurezza dei dati?

Il controllo dell’accesso ai dati viene utilizzato per limitare l’accesso, i permessi e i privilegi concessi a determinati utenti e sistemi che aiutano a garantire che solo gli individui autorizzati possano visualizzare e utilizzare determinati set di dati. Tuttavia, i team di dati devono avere accesso a quanti più dati possibile per guidare le informazioni aziendali più accurate. Ciò presenta un problema per i team di sicurezza e governance dei dati che sono responsabili di garantire che i dati siano adeguatamente protetti contro l’accesso non autorizzato e altri rischi. In un ambiente aziendale sempre più guidato dai dati, deve essere trovato un equilibrio tra questi interessi contrastanti. In passato, le organizzazioni hanno cercato di trovare un equilibrio utilizzando un approccio passivo al controllo dell’accesso ai dati, che presentava collo di bottiglia dei dati e teneva le organizzazioni indietro quando si trattava di velocità. Per espandere l’accesso ai dati mantenendo al contempo una solida governance e sicurezza dei dati, le organizzazioni devono adottare il controllo dell’accesso ai dati automatizzato, che introduce velocità, agilità e precisione nel processo di applicazione delle regole ai dati. Ci sono cinque passaggi da padroneggiare per automatizzare il controllo dell’accesso ai dati:

1. Deve supportare qualsiasi strumento utilizzato da un team di dati.
2. Deve supportare tutti i dati, indipendentemente da dove sono archiviati o dalla tecnologia di archiviazione sottostante.
3. Richiede l’accesso diretto ai dati live dello stesso livello in tutta l’organizzazione.
4. Chiunque, con qualsiasi livello di competenza, può capire quali regole e politiche vengono applicate ai dati aziendali.
5. Le politiche di privacy dei dati devono trovarsi in un’unica posizione centrale.
6. Una volta che questi pilastri sono stati padroneggiati, le organizzazioni possono liberarsi dall’approccio passivo al controllo dell’accesso ai dati e abilitare un controllo dell’accesso ai dati sicuro, efficiente e scalabile.

In termini di monitoraggio dei dati in tempo reale, come Immuta consente alle organizzazioni di gestire proattivamente l’utilizzo dei dati e i rischi di sicurezza?

Il prodotto Immuta Detect consente alle organizzazioni di gestire proattivamente l’utilizzo dei dati assegnando automaticamente un punteggio ai dati in base a quanto sono sensibili e come vengono protetti (ad esempio, mascheramento dei dati o uno scopo dichiarato per accedervi) in modo che i team di dati e sicurezza possano prioritizzare i rischi e ricevere avvisi in tempo reale su potenziali incidenti di sicurezza. Grazie a Immuta Detect, i clienti possono ridurre il tempo di mitigazione dei rischi e mantenere una solida sicurezza dei dati per i propri dati.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Immuta.