Sri Iyer, CTO e co-fondatore di Kovr.ai – Serie di interviste

Sri Iyer, CTO e co-fondatore di Kovr.ai, è un leader tecnologico di successo con una vasta esperienza nella guida dell’innovazione nell’intelligenza artificiale, nell’analisi dei dati, nel calcolo quantistico e nell’automazione. Prima di fondare Kovr.ai, ha ricoperto ruoli senior in Amazon, Guidehouse, PwC e Raytheon, dove ha guidato team che sviluppavano soluzioni di nuova generazione in entrambi i settori pubblici e privati. Con oltre un decennio di esperienza nelle tecnologie emergenti e numerose certificazioni di settore, Iyer ha costruito una reputazione per aiutare le organizzazioni a sfruttare strumenti innovativi per risolvere complessi problemi di business e sicurezza.

Kovr.ai sta ridefinendo la conformità informatica attraverso una piattaforma nativa AI progettata per ambienti cloud e ibridi. La società automatizza complessi framework normativi come FedRAMP e CMMC utilizzando intelligenza in tempo reale e guidata dal codice, consentendo alle imprese di ottenere l’autorizzazione all’operazione (ATO) in soli 15 minuti. Sostituendo la consulenza manuale tradizionale e gli strumenti di conformità inflessibili, Kovr.ai fornisce un approccio scalabile e adattivo alla gestione dei rischi, consentendo alle organizzazioni altamente regolamentate di rimanere sicure, conformi e pronte per il cambiamento continuo.

Prima di co-fondare Kovr.ai, ha ricoperto ruoli di leadership in AWS, PwC e varie startup focalizzate sul governo federale. Quali esperienze personali o professionali l’hanno portato a rendersi conto che c’era un modo migliore per affrontare la conformità IT federale – e alla fine l’hanno ispirato a lanciare Kovr.ai?

Ho sperimentato le sfide di conformità IT federale da entrambi i lati – prima come proprietario di sistema che costruiva piattaforme su larga scala per il Dipartimento della Difesa, e successivamente mentre guidavo iniziative cloud e AI in AWS. In un caso, un sistema che ho aiutato a costruire ha richiesto anni per essere sviluppato, solo per essere bloccato nella conformità per ancora più tempo. Quella frustrazione è stata un punto di svolta.

In AWS, ho guidato team che supportavano servizi che passavano attraverso processi di conformità come FedRAMP. Nonostante le risorse estese di Amazon, ottenere l’autorizzazione dei servizi in nuove regioni può ancora richiedere fino a tre anni. Anche a quella scala, le migliori soluzioni interne erano essenzialmente fogli di calcolo glorificati – strumenti come Quip o Google Docs – per tenere traccia e gestire il processo. L’inefficienza era sbalorditiva e ho visto di persona che la maggior parte delle agenzie affrontava lo stesso problema.

Per anni, ho creduto che ci dovesse essere un modo migliore, ma la complessità di mappare migliaia di controlli su codebase e documentazione ha reso l’automazione vera e propria un obiettivo irraggiungibile. Ciò è cambiato quando ho guidato il team di soluzioni di architettura AI/ML in AWS. Vedere come l’AI generativa potesse trasformare i flussi di lavoro manuali è stato rivelatorio. All’improvviso, ciò che sembrava impossibile – ridurre il carico di lavoro della conformità invece di semplicemente spostarlo in uno strumento diverso – sembrava fattibile.

Dopo alcuni esperimenti e R&D, il mio co-fondatore e io abbiamo realizzato che potevamo costruire una piattaforma che non solo tenesse traccia della conformità, ma anche la accelerasse in modo significativo. Quell’intuizione è stata la genesi di Kovr.ai, un modo per sfruttare l’AI per ridurre, e non solo gestire, il carico di conformità IT federale.

Molte startup tecnologiche lottano con la complessità, il costo e il ritmo delle richieste di conformità federale. Quali sono stati alcuni degli ostacoli più grandi che ha incontrato all’inizio – e come Kovr.ai è riuscita a superare o superare quelle sfide per costruire una soluzione fattibile?

Kovr.ai ha incontrato diversi ostacoli importanti all’inizio nell’affrontare la conformità federale per le startup tecnologiche, tra cui:

• Complessità e processi manuali: le startup spesso trovavano la conformità federale soverchiante a causa del gran numero di controlli (ad esempio, NIST 800-53 ha oltre 1200 controlli) e dei processi manuali guidati da fogli di calcolo tipicamente utilizzati. Ciò rendeva la conformità lenta, soggetta a errori e intensiva in termini di risorse.
• Ritardi nel feedback e nell’iterazione: i processi di conformità tradizionali richiedevano lunghi cicli di andata e ritorno tra team e consulenti, ritardando i progressi e rendendo difficile per le startup capire dove si trovavano o cosa fare dopo.
• Alto costo e onere di risorse: le startup, con tempo e denaro limitati, faticavano a priorizzare la conformità rispetto ai loro piani di prodotto principali, spesso ritardando il lavoro per il governo per anni.

Abbiamo superato questi ostacoli utilizzando l’automazione, input flessibili, iterazione rapida e profonda integrazione del flusso di lavoro per rendere la conformità più accessibile per le startup. La piattaforma scansiona automaticamente la documentazione, il codice e gli ambienti cloud per mapparli ai controlli di conformità e fornire valutazioni delle lacune in tempo reale. Supporta artefatti in qualsiasi formato, riducendo le barriere all’ingresso, e si concentra sul feedback rapido degli utenti per garantire la rilevanza nel mondo reale. Integrando i controlli di conformità nei flussi di lavoro di sviluppo, Kovr.ai aiuta i team a integrare la conformità in modo trasparente senza interruzioni significative.

Come ha cambiato il passaggio verso formati di conformità leggibili dalle macchine come OSCAL [Lingua di valutazione della sicurezza dei controlli di sicurezza aperta] il modo in cui sia i fornitori che le agenzie affrontano la sicurezza?

OSCAL ha il potenziale per rendere la conformità più automatizzata ed efficiente, ma il suo impatto è attualmente limitato dal ritmo di adozione tra i fornitori e le agenzie. Man mano che più parti utilizzano OSCAL, i benefici dell’automazione e della standardizzazione nei processi di conformità sono destinati a crescere. Kovr.ai è costruito in modo nativo su OSCAL, consentendogli di trasmettere e elaborare informazioni di conformità in questo formato, ma i benefici più ampi saranno realizzati solo quando più soggetti adotteranno flussi di lavoro basati su OSCAL.

Descriva Kovr.ai come un “copilota di conformità”. Ci guidi attraverso cosa significa nella pratica – dalla documentazione alla prontezza per l’audit. Cosa sta succedendo dietro le quinte che rende questo processo più veloce o più facile?

Dietro le quinte, Kovr.ai sfrutta l’AI e l’automazione per eliminare il lavoro manuale, fornire feedback immediato e mantenere la documentazione di conformità aggiornata, rendendo l’intero processo, dalla documentazione alla prontezza per l’audit, molto più veloce e facile per gli utenti.

Gli utenti possono portare gli artifact di conformità che già possiedono, in qualsiasi formato – documenti, codice, dati ambientali cloud, diagrammi di architettura, ecc. Da lì, Kovr.ai scansiona automaticamente ogni riga di ogni documento, codebase e ambiente, e quindi mappa tutte queste informazioni ai controlli di sicurezza pertinenti, come quelli in NIST 800-53. Ciò viene fatto utilizzando modelli AI che costruiscono un grafico di conoscenza completo del paesaggio di conformità dell’utente.

Quindi il nostro sistema valuta ogni controllo, identifica le lacune e genera raccomandazioni azionabili per la correzione. Gli utenti possono affrontare queste lacune aggiornando il loro ambiente o la documentazione e caricandolo nuovamente su Kovr.ai, che fornisce quindi un feedback immediato su se le questioni sono state risolte. La buona notizia è che questo processo può essere ripetuto più volte, consentendo agli utenti di migliorare iterativamente la loro posizione di conformità con un feedback rapido e automatizzato, eliminando così i ritardi tradizionali di andata e ritorno tra team e consulenti.

Kovr.ai può anche generare tutta la documentazione di conformità richiesta, compresi i modelli del governo, come i piani SSP di FedRAMP, utilizzando le informazioni nel grafico di conoscenza.

Infine, la piattaforma mantiene tutte le informazioni di conformità aggiornate e può confezionarle per gli auditor. Sempre più spesso, gli auditor possono anche accedere direttamente a Kovr.ai per esaminare e interrogare i dati di conformità, semplificando il processo di audit.

Le startup spesso si trovano di fronte a un difficile compromesso: muoversi velocemente e rompere le cose, o rallentare per soddisfare la conformità. Come ha affrontato questo compromesso mentre costruiva Kovr.ai – e quale consiglio darebbe ad altri innovatori che cercano di scalare in mercati regolamentati?

Kovr.ai è stato costruito con la conformità e la sicurezza in mente fin dall’inizio, incorporando funzionalità come sistemi isolati, autenticazione robusta e crittografia per supportare ambienti regolamentati. Abbiamo anche integrato controlli di conformità automatizzati direttamente nella nostra pipeline DevOps, consentendo la rilevazione precoce dei problemi e evitando lunghe revisioni e ci siamo concentrati sulla rapida prototipazione e integrazione in base al feedback degli utenti, assicurandoci che il prodotto soddisfacesse le esigenze degli utenti restando conforme. L’automazione ha ulteriormente ridotto il carico di lavoro manuale, consentendo uno sviluppo rapido e sicuro su larga scala.

Per gli innovatori, è fondamentale incorporare la conformità e la sicurezza nel proprio prodotto fin dall’inizio, soprattutto per i mercati regolamentati. Integrare controlli di conformità automatizzati nella pipeline DevOps per rilevare problemi precocemente e portare esperti di conformità umani quando necessario. Sebbene la conformità possa rallentare lo sviluppo delle funzionalità, alla fine risparmia tempo evitando costosi lavori di ritocco.

Ha parlato della necessità di modernizzare l’acquisto federale. Quali parti del sistema attuale sembrano più obsolete – e quali cambiamenti pratici renderebbero più facile per le aziende in fase di avvio competere?

Il sistema di acquisto federale spesso sembra obsoleto, con cicli di acquisizione lenti, finanziamenti che danno priorità alle operazioni rispetto all’innovazione e meccanismi di acquisto complessi che rendono difficile per le startup rompere gli indugi. Per sostenere le aziende in fase di avvio, riforme pratiche includono l’allocazione di finanziamenti più flessibili e focalizzati sull’innovazione, la riduzione delle soglie di acquisizione per acquisti più rapidi e più piccoli, l’ampliamento dell’accesso ai veicoli di acquisto come Tradewinds del DOD e la creazione di piattaforme semplificate, simili a un “negozio di app”, per semplificare il modo in cui le agenzie scoprono e acquistano nuove tecnologie.

Guardando indietro, quali decisioni fondamentali – relative all’architettura, alla strategia di commercializzazione o all’assunzione – si sono rivelate più importanti per portare Kovr.ai a dove si trova oggi?

Le decisioni fondamentali più importanti per Kovr.ai sono state la prototipazione rapida e l’iterazione, una visione del prodotto guidata dall’utente, strategie di produzione flessibili, la costruzione di una comunità di feedback e il mantenimento di una forte attenzione alle esigenze dei clienti. Queste scelte ci hanno permesso di costruire una soluzione che affrontasse veramente le sfide della conformità federale.

Come CTO, come bilancia l’innovazione rapida e il mantenimento di una conformità a prova di errore? Ci sono framework o pratiche interne che ha adottato per mantenere entrambe le priorità sulla strada giusta?

Bilancio l’innovazione e la conformità incorporando la conformità in ogni fase dello sviluppo, sfruttando l’automazione, mantenendo ambienti di produzione flessibili e restando strettamente connesso alle esigenze degli utenti e alla guida degli esperti. Queste pratiche assicurano che entrambe le priorità – innovazione rapida e conformità a prova di errore – siano costantemente soddisfatte.

Guardando avanti, dove vede Kovr.ai espandersi in seguito – sia nel governo statale e locale, in altri settori regolamentati come finanza e energia, o addirittura in mercati internazionali?

Il team continuerà ad avanzare la tecnologia Kovr.ai per la gestione della conformità continua e automatizzata, espandendosi in diverse direzioni oltre il suo attuale focus sulla conformità del governo federale. Ciò include l’espansione nel governo statale e locale, in altri settori regolamentati come finanza, energia e sanità, e nei mercati internazionali.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Kovr.ai.