Sri Iyer, CTO e co-fondatore di Kovr.ai – Serie di interviste

Sri Iyer, CTO e co-fondatore di Kovr.ai, è un affermato leader tecnologico con una vasta esperienza nella promozione dell'innovazione nell'intelligenza artificiale, nell'analisi dei dati, nel calcolo quantistico e nell'automazione. Prima di fondare Kovr.ai, ha ricoperto ruoli dirigenziali presso Amazon, Guidehouse, PwC e Raytheon, dove ha guidato team impegnati nello sviluppo di soluzioni di nuova generazione sia nel settore pubblico che in quello privato. Con oltre un decennio di esperienza nelle tecnologie emergenti e numerose certificazioni di settore, Iyer si è costruito una reputazione per aver aiutato le organizzazioni a sfruttare strumenti innovativi per risolvere complesse sfide aziendali e di sicurezza.

Kovr.ai sta ridefinendo la conformità informatica attraverso una piattaforma nativa basata sull'intelligenza artificiale, progettata per ambienti cloud e ibridi. L'azienda automatizza complessi quadri normativi come FedRAMP e CMMC utilizzando intelligence basata sul codice in tempo reale, consentendo alle aziende di ottenere l'autorizzazione a operare (ATO) in soli 15 minuti. Sostituendo la tradizionale consulenza manuale e gli strumenti di conformità rigidi, Kovr.ai offre un approccio scalabile e adattabile alla gestione del rischio, consentendo alle organizzazioni altamente regolamentate di rimanere sicure, conformi e pronte al cambiamento continuo.

Prima di co-fondare Kovr.ai, hai ricoperto ruoli dirigenziali presso AWS, PwC e diverse startup con focus federale. Quali esperienze personali o professionali ti hanno portato a capire che esisteva un modo migliore per gestire la conformità IT federale e, in definitiva, ti hanno ispirato a lanciare Kovr.ai?

Ho affrontato sfide di conformità IT a livello federale da entrambe le parti: prima come responsabile di sistema che sviluppava piattaforme su larga scala per il Dipartimento della Difesa, e poi guidando iniziative cloud e di intelligenza artificiale presso AWS. In un caso, un sistema che avevo contribuito a realizzare ha richiesto anni di sviluppo, solo per poi essere bloccato per motivi di conformità ancora più a lungo. Quella frustrazione ha rappresentato un punto di svolta.

In AWS, ho guidato team che supportavano i servizi sottoposti a FedRAMP e processi di conformità simili. Nonostante le ampie risorse di Amazon, ottenere l'autorizzazione per i servizi in nuove regioni può comunque richiedere fino a tre anni. Anche a quella scala, le migliori soluzioni interne erano essenzialmente fogli di calcolo glorificati – strumenti come Quip o Google Docs – per monitorare e gestire il processo. L'inefficienza era sconcertante e ho visto in prima persona che la maggior parte delle agenzie si trovava ad affrontare lo stesso problema.

Per anni ho creduto che ci dovesse essere un modo migliore, ma la complessità di mappare migliaia di controlli su basi di codice e documentazione faceva sembrare la vera automazione fuori portata. La situazione è cambiata quando ho guidato il team di architettura delle soluzioni AI/ML di AWS. Osservare come l'IA generativa potesse trasformare i flussi di lavoro manuali è stato illuminante. Improvvisamente, ciò che sembrava impossibile – ridurre il carico di lavoro di conformità invece di spostarlo semplicemente su uno strumento diverso – è sembrato fattibile.

Dopo alcuni esperimenti e attività di ricerca e sviluppo, io e il mio attuale co-fondatore ci siamo resi conto che potevamo costruire una piattaforma che non solo monitorasse la conformità, ma la accelerasse in modo significativo. Questa intuizione ha dato vita a Kovr.ai, un modo per sfruttare l'intelligenza artificiale per ridurre, non solo gestire, l'onere della conformità IT federale.

Molte startup tecnologiche si scontrano con la complessità, i costi e la rapidità dei requisiti di conformità federali. Quali sono stati alcuni dei maggiori ostacoli che avete incontrato all'inizio e in che modo Kovr.ai ha affrontato o superato con successo queste sfide per sviluppare una soluzione praticabile?

Kovr.ai ha incontrato diversi ostacoli importanti fin dall'inizio nell'affrontare la conformità federale per le startup tecnologiche, tra cui:

• Complessità e processi manuali: Le startup spesso si sono trovate di fronte a difficoltà nella conformità federale a causa dell'elevato numero di controlli (ad esempio, il NIST 800-53 ne prevede oltre 1200) e dei processi manuali basati su fogli di calcolo tipicamente utilizzati. Ciò ha reso la conformità lenta, soggetta a errori e dispendiosa in termini di risorse.
• Feedback lento e iterazione: I tradizionali processi di conformità richiedevano lunghi cicli di scambi tra team e consulenti, ritardando i progressi e rendendo difficile per le startup sapere a che punto erano o cosa risolvere in seguito.
• Costi elevati e oneri di risorse: Le startup, con tempo e denaro limitati, hanno faticato a dare priorità alla conformità rispetto alle roadmap dei loro prodotti principali, spesso ritardando per anni il lavoro del governo.

Abbiamo superato questi ostacoli utilizzando l'automazione, input flessibili, iterazioni rapide e una profonda integrazione del flusso di lavoro per rendere la conformità più accessibile per le startup. La piattaforma analizza automaticamente la documentazione, il codice e gli ambienti cloud per mapparli ai controlli di conformità e fornire valutazioni immediate delle lacune. Supporta artefatti in qualsiasi formato, riducendo le barriere all'ingresso, e pone l'accento sul feedback rapido degli utenti per garantire la pertinenza nel mondo reale. Integrando i controlli di conformità nelle pipeline di sviluppo, Kovr.ai aiuta i team a integrare la conformità senza interruzioni significative.

In che modo il passaggio a formati di conformità leggibili dalle macchine come OSCAL [Open Security Controls Assessment Language] ha cambiato il modo in cui fornitori e agenzie affrontano la sicurezza?

OSCAL ha il potenziale per rendere la conformità più automatizzata ed efficiente, ma il suo impatto è attualmente limitato dal ritmo di adozione tra fornitori e agenzie. Con l'aumento dell'utilizzo di OSCAL, si prevede che i vantaggi dell'automazione e della standardizzazione nei processi di conformità cresceranno. Kovr.ai è basato nativamente su OSCAL, consentendogli di trasmettere ed elaborare le informazioni di conformità in questo formato, ma vantaggi più ampi si concretizzeranno solo con l'adozione di flussi di lavoro basati su OSCAL da parte di un numero sempre maggiore di stakeholder.

Descrivi Kovr.ai come un "copilota della conformità". Ci spieghi come funziona in pratica, dalla documentazione alla preparazione per l'audit. Cosa succede dietro le quinte che rende questo processo più rapido e semplice?

Dietro le quinte, Kovr.ai sfrutta l'intelligenza artificiale e l'automazione per eliminare il lavoro manuale, fornire feedback immediati e mantenere aggiornata la documentazione sulla conformità, rendendo l'intero processo, dalla documentazione alla preparazione all'audit, molto più rapido e semplice per gli utenti.

Gli utenti possono importare qualsiasi elemento di conformità di cui dispongono già, in qualsiasi formato: documenti, codice, dati dell'ambiente cloud, diagrammi di architettura, ecc. Da lì, Kovr.ai analizza automaticamente ogni riga di ogni documento, base di codice e ambiente, e quindi mappa tutte queste informazioni ai controlli di sicurezza pertinenti, come quelli previsti dallo standard NIST 800-53. Questo viene fatto utilizzando modelli di intelligenza artificiale che costruiscono un knowledge graph completo del panorama di conformità dell'utente.

Il nostro sistema valuta quindi ogni controllo, identifica le lacune e genera raccomandazioni concrete per la risoluzione. Gli utenti possono colmare queste lacune aggiornando il proprio ambiente o la documentazione e ricaricando i dati su Kovr.ai, che fornirà un feedback immediato sulla risoluzione dei problemi. La buona notizia è che questo processo può essere ripetuto tutte le volte che è necessario, consentendo agli utenti di migliorare iterativamente la propria conformità con feedback rapidi e automatizzati, eliminando così i tradizionali ritardi tra team e consulenti.

Kovr.ai può anche generare tutta la documentazione di conformità richiesta, compresi i modelli governativi, come gli SSP FedRAMP, utilizzando le informazioni presenti nel knowledge graph.

Infine, la piattaforma mantiene aggiornate tutte le informazioni sulla conformità e può elaborarle per i revisori. Sempre più spesso, i revisori possono persino accedere direttamente a Kovr.ai per esaminare e interrogare i dati sulla conformità, semplificando il processo di audit.

Le startup spesso si trovano di fronte a un difficile compromesso: muoversi velocemente e rompere le cose, oppure rallentare per rispettare la conformità. Come hai affrontato questo compromesso durante lo sviluppo di Kovr.ai e quali consigli daresti ad altri innovatori che cercano di espandersi nei mercati regolamentati?

Kovr.ai è stato progettato fin dall'inizio pensando a conformità e sicurezza, integrando funzionalità come sistemi air-gap, autenticazione avanzata e crittografia per supportare ambienti regolamentati. Abbiamo inoltre integrato controlli di conformità automatizzati direttamente nella nostra pipeline DevOps, consentendo il rilevamento precoce dei problemi ed evitando lunghe revisioni, e ci siamo concentrati sulla prototipazione e integrazione rapide basate sul feedback degli utenti, garantendo che il prodotto soddisfacesse le esigenze degli utenti pur rimanendo conforme. L'automazione ha ulteriormente ridotto il sovraccarico manuale, consentendo uno sviluppo rapido e sicuro su larga scala.

Per gli innovatori, è fondamentale integrare conformità e sicurezza nel prodotto fin dall'inizio, soprattutto nei mercati regolamentati. Integrate controlli di conformità automatizzati nella pipeline DevOps per individuare tempestivamente eventuali problemi e coinvolgere esperti di conformità quando necessario. Sebbene la conformità possa rallentare lo sviluppo delle funzionalità, in definitiva consente di risparmiare tempo evitando costose rilavorazioni.

Ha parlato della necessità di modernizzare gli appalti federali. Quali aspetti del sistema attuale sembrano più obsoleti e quali cambiamenti pratici renderebbero più facile per le aziende in fase iniziale competere?

Il sistema di appalti federali appare spesso obsoleto, con cicli di acquisizione lenti, finanziamenti che danno priorità alle operazioni rispetto all'innovazione e meccanismi di acquisto complessi che rendono difficile l'ingresso delle startup. Per supportare le aziende in fase iniziale, le riforme pratiche includono l'assegnazione di finanziamenti più flessibili e incentrati sull'innovazione, l'abbassamento delle soglie di acquisizione per acquisti più rapidi e di dimensioni ridotte, l'ampliamento dell'accesso a strumenti di appalto come Tradewinds del Dipartimento della Difesa e la creazione di piattaforme semplificate, simili ad "app store", per semplificare il modo in cui le agenzie scoprono e acquistano nuove tecnologie.

Guardando indietro, quali decisioni fondamentali (in merito all'architettura, alla strategia di commercializzazione o alle assunzioni) si sono rivelate più importanti nel portare Kovr.ai al punto in cui si trova oggi?

Le decisioni fondamentali più importanti per Kovr.ai sono state la prototipazione e l'iterazione rapide, una visione di prodotto orientata all'utente, strategie di produzione flessibili, la creazione di una community di feedback e il mantenimento di una forte attenzione alle esigenze dei clienti. Queste scelte ci hanno permesso di sviluppare una soluzione che affrontasse concretamente le sfide della conformità federale.

In qualità di CTO, come riesci a trovare il giusto equilibrio tra innovazione rapida e mantenimento di una conformità impeccabile? Hai adottato framework o prassi interne per mantenere entrambe le priorità sulla buona strada?

Bilanciando innovazione e conformità, integro la conformità in ogni fase dello sviluppo, sfruttando l'automazione, mantenendo ambienti di produzione flessibili e rimanendo strettamente connesso alle esigenze degli utenti e alla consulenza di esperti. Queste pratiche garantiscono che entrambe le priorità – innovazione rapida e conformità assoluta – siano costantemente soddisfatte.

Guardando al futuro, dove prevede la prossima espansione di Kovr.ai: nel governo statale e locale, in altri settori regolamentati come finanza ed energia o addirittura nei mercati internazionali?

Il team continuerà a sviluppare la tecnologia Kovr.ai per la gestione continua e automatizzata della conformità, espandendosi in diverse direzioni oltre l'attuale focus sulla conformità del governo federale. Ciò include l'espansione nel settore pubblico statale e locale, in altri settori regolamentati come finanza, energia e sanità, e nei mercati internazionali.

Grazie per l'ottima intervista, i lettori che desiderano saperne di più dovrebbero visitare Kovr.ai.