Nick Kathmann, CISO/CIO di LogicGate – Serie di Interviste

Nicholas Kathmann è il Chief Information Security Officer (CISO) di LogicGate, dove guida il programma di sicurezza informatica dell’azienda, sovraintende alle innovazioni di sicurezza della piattaforma e interagisce con i clienti sulla gestione del rischio di sicurezza informatica. Con oltre due decenni di esperienza nel settore IT e 18+ anni nel settore della sicurezza informatica, Kathmann ha costruito e diretto operazioni di sicurezza in piccole imprese e aziende del Fortune 100.

LogicGate è una piattaforma di gestione del rischio e della conformità che aiuta le organizzazioni ad automatizzare e scalare i loro programmi di governance, rischio e conformità (GRC). Attraverso il suo prodotto di punta, Risk Cloud®, LogicGate consente ai team di identificare, valutare e gestire il rischio in tutta l’azienda con flussi di lavoro personalizzabili, informazioni in tempo reale e integrazioni. La piattaforma supporta una vasta gamma di casi d’uso, tra cui il rischio di terze parti, la conformità alla sicurezza informatica e la gestione dell’audit interno, aiutando le aziende a costruire strategie di rischio più agili e resilienti.

Ricopri il ruolo di CISO e CIO di LogicGate — come vedi l’AI trasformare le responsabilità di questi ruoli nei prossimi 2-3 anni?

L’AI sta già trasformando entrambi questi ruoli, ma nei prossimi 2-3 anni, credo che vedremo un aumento significativo dell’AI Agente che ha il potere di rimmaginare come gestiamo i processi aziendali nella vita quotidiana. Tutto ciò che normalmente andrebbe al desk di supporto IT — come reimpostare le password, installare applicazioni e altro — può essere gestito da un agente AI. Un altro caso d’uso critico sarà l’utilizzo di agenti AI per gestire le valutazioni di audit tediose, consentendo ai CISO e ai CIO di priorizzare richieste più strategiche.

Con le layoff nel settore della sicurezza informatica e le tendenze alla deregolamentazione, come le aziende dovrebbero affrontare il deploy dell’AI mantenendo una forte postura di sicurezza?

Mentre stiamo vedendo una tendenza alla deregolamentazione negli Stati Uniti, le norme stanno in realtà rafforzandosi nell’UE. Quindi, se sei un’azienda multinazionale, anticipa di dover rispettare i requisiti normativi globali sull’uso responsabile dell’AI. Per le aziende che operano solo negli Stati Uniti, credo che ci sarà un periodo di apprendimento in termini di adozione dell’AI. Credo che sia importante per queste aziende creare solide politiche di governance dell’AI e mantenere una certa supervisione umana nel processo di deploy, assicurandosi che nulla vada storto.

Quali sono i punti ciechi più grandi che vedi oggi quando si tratta di integrare l’AI nei framework di sicurezza informatica esistenti?

Mentre ci sono un paio di aree che posso pensare, il punto cieco più impattante sarebbe dove si trova i tuoi dati e dove li stai trasferendo. L’introduzione dell’AI renderà solo più difficile la sorveglianza in quell’area. I fornitori stanno abilitando funzionalità AI nei loro prodotti, ma quei dati non vanno sempre direttamente al modello/venditore AI. Ciò rende strumenti di sicurezza tradizionali come DLP e monitoraggio web effettivamente ciechi.

Hai detto che la maggior parte delle strategie di governance dell’AI sono “tigri di carta”. Quali sono gli ingredienti chiave di un framework di governance che funziona veramente?

Quando dico “tigri di carta”, mi riferisco specificamente a strategie di governance in cui solo un piccolo team conosce i processi e gli standard, e non vengono applicati o compresi in tutta l’organizzazione. L’AI è molto pervasiva, quindi influenza ogni gruppo e ogni team. Le strategie “una taglia per tutti” non funzioneranno. Un team di finanza che implementa funzionalità AI nel suo ERP è diverso da un team di prodotto che implementa una funzionalità AI in un prodotto specifico, e la lista continua. Gli ingredienti chiave di un solido framework di governance variano, ma IAPP, OWASP, NIST e altri organismi consultivi hanno buoni framework per determinare cosa valutare. La parte più difficile è capire quando i requisiti si applicano a ogni caso d’uso.

Come le aziende possono evitare la deriva del modello AI e assicurare un uso responsabile nel tempo senza sovra-ingegnerizzare le proprie politiche?

La deriva e il degrado sono solo parte dell’uso della tecnologia, ma l’AI può accelerare notevolmente il processo. Ma se la deriva diventa troppo grande, saranno necessarie misure correttive. Una strategia di test completa che cerchi e misuri l’accuratezza, la parzialità e altri segnali di allarme è necessaria nel tempo. Se le aziende vogliono evitare la parzialità e la deriva, devono iniziare assicurandosi di avere gli strumenti per identificare e misurare.

Qual è il ruolo che i registri delle modifiche, le limitate aggiornamenti di politiche e i feedback in tempo reale dovrebbero svolgere nel mantenimento di una governance dell’AI agile?

Mentre svolgono un ruolo ora per ridurre il rischio e la responsabilità per il fornitore, i feedback in tempo reale ostacolano la capacità dei clienti e degli utenti di eseguire la governance dell’AI, specialmente se i cambiamenti nei meccanismi di comunicazione avvengono troppo frequentemente.

Quali preoccupazioni hai riguardo alla parzialità e alla discriminazione dell’AI nel sotto-scrivere o nel punteggio del credito, in particolare con i servizi “Acquista ora, paga dopo” (BNPL)?

L’anno scorso, ho parlato con un ricercatore AI/ML di una grande banca multinazionale che stava sperimentando con AI/LLM nei loro modelli di rischio. I modelli, anche quando addestrati su grandi e accurati set di dati, prendevano decisioni sorprendenti e non supportate per approvare o negare il finanziamento. Ad esempio, se le parole “grande credito” erano menzionate in una trascrizione di chat o comunicazioni con i clienti, i modelli negavano il prestito per default — indipendentemente dal fatto che il cliente o il dipendente della banca le avesse dette. Se l’AI deve essere affidabile, le banche devono avere una migliore supervisione e responsabilità, e quelle “sorprese” devono essere minimizzate.

Qual è la tua opinione su come dovremmo valutare o valutare gli algoritmi che prendono decisioni ad alto rischio — e chi dovrebbe essere ritenuto responsabile?

Questo torna al modello di test completo, dove è necessario testare e misurare continuamente l’algoritmo/ modello il più vicino possibile al tempo reale. Ciò può essere difficile, poiché il modello potrebbe produrre risultati desiderabili che richiedono agli esseri umani di identificare gli outlier. Ad esempio, un modello che nega tutti i prestiti avrà un ottimo rating di rischio, poiché nessun prestito che approva andrà mai in default. In quel caso, l’organizzazione che implementa il modello/algoritmo dovrebbe essere responsabile del risultato del modello, proprio come lo sarebbe se gli esseri umani prendessero la decisione.

Con più aziende che richiedono assicurazioni contro i rischi informatici, come gli strumenti AI stanno ridefinendo sia il paesaggio del rischio che la sottoscrizione delle assicurazioni stesse?

Gli strumenti AI sono ottimi nel diffondere grandi quantità di dati e trovare modelli o tendenze. Sul lato del cliente, questi strumenti saranno strumentali nel comprendere il rischio effettivo dell’organizzazione e gestirlo. Sul lato del sottoscrittore, quegli strumenti saranno utili nel trovare incongruenze e organizzazioni che diventano immature nel tempo.

Come le aziende possono sfruttare l’AI per ridurre proattivamente il rischio informatico e negoziare condizioni migliori nel mercato assicurativo di oggi?

Oggi, il modo migliore per sfruttare l’AI per ridurre il rischio e negoziare condizioni assicurative migliori è filtrare il rumore e le distrazioni, aiutandoti a concentrarti sui rischi più importanti. Se riduci quei rischi in modo completo, le tue tariffe assicurative contro i rischi informatici dovrebbero diminuire. È troppo facile essere sopraffatti dal volume di rischi. Non perdere tempo cercando di affrontare ogni singolo problema quando concentrarsi sui più critici può avere un impatto molto più grande.

Quali sono alcuni passi tattici che consigli alle aziende che vogliono implementare l’AI in modo responsabile — ma non sanno da dove iniziare?

Prima, devi capire quali sono i tuoi casi d’uso e documentare i risultati desiderati. Tutti vogliono implementare l’AI, ma è importante pensare ai tuoi obiettivi per primi e lavorare a ritroso da lì — qualcosa che credo molte organizzazioni lottino per fare oggi. Una volta che hai una buona comprensione dei tuoi casi d’uso, puoi ricercare i diversi framework AI e capire quali controlli applicabili sono importanti per i tuoi casi d’uso e implementazione. Una solida governance dell’AI è anche critica per il business, per la mitigazione del rischio e l’efficienza, poiché l’automazione è utile solo quanto i dati di input. Le organizzazioni che sfruttano l’AI devono farlo in modo responsabile, poiché i partner e i potenziali clienti stanno facendo domande difficili sull’AI e sul suo utilizzo. Non conoscere la risposta può significare perdere opportunità di business, colpendo direttamente il bottom line.

Se dovessi prevedere il più grande rischio di sicurezza legato all’AI tra cinque anni, cosa sarebbe — e come possiamo prepararci oggi?

La mia previsione è che, poiché l’AI Agente viene costruito in più processi aziendali e applicazioni, gli attaccanti si impegnano in frodi e abusi per manipolare quegli agenti e ottenere risultati dannosi. Abbiamo già visto questo con la manipolazione degli agenti di servizio clienti, risultando in accordi e rimborsi non autorizzati. Gli attaccanti hanno usato trucchi linguistici per bypassare le politiche e interferire con la presa di decisioni dell’agente.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare LogicGate.