リビングセキュリティのアシュリー・ローズ氏、CEO兼創設者 – インタビュー・シリーズ

アシュリー・ローズ氏は、リビングセキュリティの創設者兼CEOであり、シリアル・エントレプレナーであり、サイバーセキュリティの革新者です。彼は、組織がセキュリティにおける人間のリスクに取り組む方法を再定義することに焦点を当てています。2017年に会社を設立して以来、彼は、従来の認識トレーニングを超えた、データ駆動型の行動に焦点を当てたサイバーセキュリティへのアプローチの開発を主導してきました。このアプローチは、文化の変化と測定可能なリスク削減を実現します。彼は、製品リーダーシップと起業家精神の背景を活かし、リビングセキュリティを急成長するSaaSプラットフォームに成長させました。このプラットフォームは、企業組織によって使用されています。また、サイバーセキュリティのエコシステムへの貢献として、メンター、顧問、ウーマン・イン・サイバーセキュリティなどのイニシアチブの支援者としても活動しています。

リビングセキュリティは、サイバーセキュリティのSaaS企業であり、人間のリスク管理に焦点を当てています。組織が従業員の行動に関連するリスクを特定、測定、削減することを支援します。プラットフォームは、行動、ID、脅威のデータを集約して、高リスクユーザーを特定し、リアルタイムのトレーニングと介入を提供します。これにより、企業は、コンプライアンス駆動型のセキュリティ認識から、測定可能なリスク削減への移行を実現できます。

2017年にリビングセキュリティを設立する前に、コンシューマー製品事業の構築とスケーリング、製品所有者の経験がありました。サイバーセキュリティへの転身と人間のリスクへの焦点を当てるきっかけとなった具体的な瞬間や認識は何ですか？また、その当初のテーゼは、AIがワークフォースの一部となるにつれてどう変化しましたか。

2017年当時、多くの組織はセキュリティ認識トレーニングをチェックボックスの演習として扱っていましたが、それは行動を変えることができませんでした。転機となったのは、人間の行動が侵害を引き起こしている場合、忘れやすいトレーニングだけでは解決できないことを認識したことです。リビングセキュリティの共同創設者であるドリュー・ローズは、セキュリティプログラムを実行しており、サイバーセキュリティのエスケープルームを作成するためにそれらをゲーム化していました。私たちは、セキュリティを体験的に行うと、人々が関与し、学び、実際に行動を変えることを実感しました。那がリビングセキュリティの基盤となりました。

共同創設者として、ドリューと私はすぐに、関与は開始点にすぎないことを認識しました。経験をプラットフォームにスケールアップするにつれて、人々がどのように行動し、どこで苦労し、リスクが実際に集中しているかを示すパターンを発見しました。那は、組織が人間のリスクやそれを標的とした方法で削減する方法に関する実際の可視性を持っていないことを暴露しました。那の洞察から、人間のリスク管理の開拓につながりました。これは、個人行動、権限、アクセス、脅威に基づいてリスクを特定、測定、削減することです。AIがワークフォースの一部となるにつれて、当初のテーゼは拡大しました。課題は、人間の行動だけではなく、人間とAIシステムがどのように共同して作業するかという点にあります。人間は依然として中心にあり、AIエージェントを管理および展開しているため、可視性をそれらのエージェントに拡張し、リスクを個々に結び付ける必要があります。那がワークフォースセキュリティへの進化を推進しています。

あなたは、人間のミスは侵害の不完全な説明であると主張しています。組織は、人間の行動とAI駆動の行動の両方が攻撃面を拡大している今日、ワークフォースリスクをどのように再考するべきですか。

侵害を「人間のミス」と表現することは、問題を単純化し、リスクが実際にどこから来ているかを隠します。人間のリスクは、単にミスだけではなく、行動、権限、アクセス、脅威の組み合わせによって形作られます。従業員の中には、機密システムへの特権アクセスを持つ人もいれば、頻繁に標的にされる人もいます。また、リスクのある行動を示す人もいます。したがって、組織は、リスクが実際に集中している場所を理解するために、人間のリスクを可視化する必要があります。

その結果、組織は、認識ベースのモデルを超え、ワークフォースリスクを、人間のリスクとAI駆動の行動の両方を包含する、共有された運用上の課題として再考する必要があります。那には、作業の実行方法に関する継続的な可視性を確保し、リスクが集中している場所を理解し、ハイブリッドワークフォース全体でリアルタイムの介入を適用することを意味します。リスクを単にユーザーのミスとして扱うのではなく、そのようなアプローチは、セキュアなパスを最も簡単にたどれるようにし、フリクションを減らします。

AIツールは、コードの作成、ワークフローの処理、決定の下し方までを行っています。AIシステムがツールとして扱われるのをやめ、セキュリティの観点からワークフォースの一部として扱われる時点はいつですか。

AIシステムは、エンタープライズ環境内で行動を起こす瞬間から、ツールとして扱われるのをやめ、ワークフォースの一部として扱われ始めます。那時点で、AIシステムは、従業員と同様に、行動、権限、データへのアクセスによってリスクをもたらします。組織にとっての転換点は、AIエージェントが生産性の層だけではなく、運用上の参加者であることを認識し、人間のユーザーと同様に統一されたワークフォースリスクモデル内で監視、管理、保護する必要があることを理解することです。

組織は、リスクが従業員だけではなく、さまざまなレベルの自律性とアクセスを持つAIエージェントに拡大する場合、ガバナンスにどのように取り組むべきですか。

組織は、ポリシーベースのガバナンスを超え、人間とAIエージェントの両方に適用される、継続的な行動駆動型のプロセスとしてガバナンスを扱う必要があります。多くの組織にはすでにAIポリシーがあるかもしれませんが、ギャップは、特に従業員が公認環境以外のツールを採用し、AIシステムがさまざまなレベルのアクセスで動作する場合には、執行と可視性にあります。

有効なガバナンスは、役割とデータアクセスに基づいて受け入れ可能な使用を明確に定義することから始まりますが、ワークフローに組み込まれたリアルタイムのガイダンスと継続的な測定も必要です。組織は、リスクがどこで発生し、どのように適応するかを確認できる必要があります。最終的に、ガバナンスは、人間とAIシステムが決定を下し、データにアクセスし、リスクをもたらすハイブリッドワークフォースで実際に作業が行われる方法を反映する必要があります。

リビングセキュリティは、行動駆動型のセキュリティモデルに重点を置いてきました。AIシステムが人間ではなく行動を生み出す場合、この哲学はどのように変化しますか。

リビングセキュリティの行動駆動型アプローチは、AIにも自然に拡張されます。焦点は、リスクを生み出すのは誰かではなく、行動によってどのようにリスクが導入されるかという点にあります。人間かAIシステムかによってリスクが生み出される場合、組織は、行動に関する可視性を持ち、リアルタイムで導き、介入する能力を持つ必要があります。那が、Livvyの開発につながりました。Livvyは、リビングセキュリティのプラットフォームを動かすAIインテリジェンスであり、人間とAIの活動の両方に対して予測インテリジェンスと継続的な監視を適用します。AIを別の課題として扱うのではなく、より統一されたアプローチを可能にし、行動、人間か機械かに関係なく、継続的に測定、導き、管理されます。

多くの組織はまだ定期的なセキュリティ認識トレーニングに頼っています。現代の環境では、このモデルはどのようにして壊れ、データ駆動型のアダプティブアプローチはどのように実践されますか。

定期的なセキュリティ認識トレーニングは、静的な脅威の風景に対して設計されており、リスクは広範な教育を通じて削減できるという前提に基づいています。実際には、ほとんどのインシデントは、トレーニングの欠如ではなく、日常の運用上の行動から生じます。リスクは、ユーザーのサブセットに集中しています。より適応性の高いデータ駆動型アプローチは、実際にリスクが存在する場所を継続的に特定し、作業の流れの中でターゲットを絞ったリアルタイムのガイダンスを提供することに焦点を当てます。トレーニングの完了から、測定可能なリスク削減への移行を実現します。

あなたのプラットフォームは、リアルなデータを使用して人間のリスクを定量化することに重点を置いています。組織は、動的にではなく、後ろ向きにリスクを理解するのではなく、どのようなシグナルを追跡する必要がありますか。

組織は、行動、IDとアクセス、脅威への露出というシグナルに焦点を当てる必要があります。これらは、リスクがどのように生み出され、ワークフォース全体で集中しているかを反映するものです。那には、AIも含まれます。従業員が使用するツール、システムのアクセス、構成やプロンプトについても同様です。これらのシグナルは、それ自体では有用ですが、実際の価値は、それらがどのように組み合わさってリスクの物語を語るかという点にあります。

AIは新しい脆弱性を生み出していますが、防御にも使用されています。バランスはどのように変化し、AIのセキュリティへの影響はプラスかマイナスか。

AIは、ワークフローをより複雑にし、自律的な行動を可能にし、新しい脆弱性を生み出していますが、同時に、リスクを分析し、対応する能力を向上させています。バランスは、組織がどのように適応するかに依存します。現在、多くの組織はまだ可視性とガバナンスに追いつこうとしています。特に、AIが新しい方法で使用されている場合にそうです。長期的には、AIの影響はプラスになる可能性がありますが、組織がAIをワークフォースの一部として扱い、人間のリスクと同様のレベルの監視、ガイダンス、コントロールを適用する必要があります。

すべての従業員やAIシステムは等しくリスクをもたらしません。組織は、フリクションや過剰な監視を生み出すことなく、介入を優先するべきですか。

すべてのリスクは等しくありません、それをそう扱うことはフリクションを生み出します。重要なのは、リスクが実際に集中している場所に焦点を当てることです。約10%のユーザーが73%のリスクを引き起こします。行動、権限、露出のデータを使用して、誰や何に注意が必要かを優先し、作業の流れの中でガイダンスを提供する必要があります。那により、フリクションを減らし、セキュアなパスを最も簡単にたどれるようにします。

5年先、ワークフォースセキュリティはどのように見えますか。組織は今日、どれを最も過小評価していますか。

5年先、ワークフォースセキュリティは、人間とAIエージェントが共同して作業する方法を理解し、管理する能力によって定義されます。那は、定期的なトレーニングや静的なコントロールではなく、継続的な可視性、リアルタイムのリスク評価、行動、権限、脅威の変化に応じて動的に対応する能力についてです。人間は依然として中心にありますが、AIを通じて自分自身を拡張しています。したがって、セキュリティは、人間とAIの両方を考慮する必要があります。

組織は今日、人間のリスクとAIエージェントの使用に関する可視性のギャップを過小評価しています。多くの組織は、すでにAI戦略を持っていると考えていますが、実際には、従業員と使用するツールに関する可視性が不足しています。第一段階は、人間のリスク、行動、権限、アクセス、脅威への露出を理解することです。第二段階は、従業員が使用するAIエージェントへの可視性を拡張することです。これらは、人間が与えるアクセスと決定によってのみ、同じレベルのリスクとパワーを持つことになります。基盤がなければ、組織はAIに遅れています。ワークフォース全体で拡大する盲点を持っています。

素晴らしいインタビュー、詳しく知りたい読者はリビングセキュリティを訪問してください。