Nick Kathmann, CISO/CIO bij LogicGate – Interviewreeks

Nicholas Kathmann is de Chief Information Security Officer (CISO) bij LogicGate, waar hij het informatiebeveiligingsprogramma van het bedrijf leidt, de beveiliging van het platform innoveert en met klanten samenwerkt om cyberbeveiligingsrisico’s te beheren. Met meer dan twee decennia ervaring in IT en 18+ jaar in cybersecurity, heeft Kathmann beveiligingsoperaties opgebouwd en geleid bij kleine bedrijven en Fortune 100-ondernemingen.

LogicGate is een platform voor risico- en compliancebeheer dat organisaties helpt bij het automatiseren en schalen van hun governance-, risico- en complianceprogramma’s (GRC). Met zijn vlaggenschipproduct, Risk Cloud®, stelt LogicGate teams in staat om risico’s te identificeren, te beoordelen en te beheren op het hele bedrijf, met aanpasbare workflows, real-time inzichten en integraties. Het platform ondersteunt een breed scala aan use cases, waaronder derderisico’s, cybersecurity-compliance en interne auditbeheer, waardoor bedrijven meer agile en veerkrachtige risicestrategieën kunnen opbouwen

U dient zowel als CISO als CIO bij LogicGate — hoe ziet u AI de verantwoordelijkheden van deze rollen veranderen in de komende 2-3 jaar?

AI verandert beide rollen al, maar in de komende 2-3 jaar denk ik dat we een grote toename zullen zien in Agentic AI die de manier waarop we dagelijks met bedrijfsprocessen omgaan, kan herdefiniëren. Alles wat normaal gesproken naar een IT-helpdesk zou gaan — zoals wachtwoorden resetten, applicaties installeren en meer — kan worden afgehandeld door een AI-agent. Een ander kritisch use case zal zijn het gebruik van AI-agents om saaie auditbeoordelingen af te handelen, waardoor CISO’s en CIO’s prioriteit kunnen geven aan strategischere verzoeken.

Met federale cyberontslagen en deregulerings­trends, hoe moeten bedrijven AI-implementatie benaderen terwijl ze een sterke beveiligings­positie behouden?

Terwijl we in de VS een deregulerings­trend zien, worden de regels in de EU eigenlijk strenger. Dus, als u een multinationaal bedrijf bent, moet u rekening houden met het feit dat u moet voldoen aan mondiale regelgevings­eisen voor het verantwoord gebruik van AI. Voor bedrijven die alleen in de VS opereren, denk ik dat er een leerperiode zal zijn in termen van AI-adoptie. Ik denk dat het belangrijk is voor die bedrijven om sterke AI-beleids­regels te vormen en enige menselijke toezicht te behouden in het implementatieproces, om ervoor te zorgen dat niets uit de hand loopt.

Wat zijn de grootste blinde vlekken die u vandaag ziet bij het integreren van AI in bestaande cybersecurity-kaders?

Terwijl er een paar gebieden zijn waar ik aan kan denken, is de meest impactvolle blinde vlek waar uw gegevens zijn gelegen en waar ze worden doorgestuurd. De introductie van AI zal de bewaking in dat gebied alleen maar uitdagender maken. Leveranciers maken AI-functies mogelijk in hun producten, maar die gegevens gaan niet altijd rechtstreeks naar het AI-model/leverancier. Dat maakt traditionele beveiligings­tools zoals DLP en web­monitoring effectief blind.

U hebt gezegd dat de meeste AI-beleids­strategieën “papieren tijgers” zijn. Wat zijn de kern­ingredienten van een beleids­kader dat echt werkt?

Wanneer ik “papieren tijgers” zeg, bedoel ik specifiek beleids­strategieën waar alleen een klein team de processen en standaarden kent en die niet worden afgedwongen of zelfs begrepen binnen de hele organisatie. AI is zeer invasief, wat betekent dat het elke groep en elk team beïnvloedt. “One size fits all”-strategieën zullen niet werken. Een financieel team dat AI-functies in zijn ERP implementeert, is anders dan een productteam dat een AI-functie in een specifiek product implementeert, en zo verder. De kern­ingredienten van een sterk beleids­kader variëren, maar IAPP, OWASP, NIST en andere advies­organen hebben goede kaders voor het bepalen van wat moet worden geëvalueerd. Het moeilijkste deel is het bepalen wanneer de eisen van toepassing zijn op elk use case.

Hoe kunnen bedrijven AI-model­drift en verantwoord gebruik in de loop van de tijd voorkomen zonder hun beleids­regels over­te engineeren?

Drift en degradatie zijn gewoon onderdeel van het gebruik van technologie, maar AI kan dit proces aanzienlijk versnellen. Maar als de drift te groot wordt, zijn corrigerende maatregelen nodig. Een uitgebreide test­strategie die zoekt naar en meet nauwkeurigheid, voor­oordeel en andere rode vlaggen is noodzakelijk in de loop van de tijd. Als bedrijven bias en drift willen voorkomen, moeten ze beginnen met het zorgen voor de juiste tools om het te identificeren en te meten.

Wat is de rol van changelogs, beperkte beleids­updates en real-time feedback­loops bij het behouden van agile AI-beleid?

Terwijl ze nu een rol spelen om risico’s en aansprakelijkheid voor de aanbieder te verminderen, beperken real-time feedback­loops de mogelijkheid van klanten en gebruikers om AI-beleid uit te voeren, vooral als veranderingen in communicatie­mechanismen te vaak plaatsvinden.

Wat zijn uw zorgen over AI-voor­oordeel en discriminatie bij onder­schrijving of krediet­scoring, vooral met “Koop nu, betaal later” (BNPL)-diensten?

Laatst sprak ik met een AI/ML-onderzoeker bij een grote, multinationale bank die had geëxperimenteerd met AI/LLM’s in hun risico­modellen. De modellen, zelfs wanneer getraind op grote en nauwkeurige datasets, namen verrassende, onondersteunde beslissingen om onder­schrijving goed te keuren of af te keuren. Als AI wordt vertrouwd, moeten banken betere toezicht en verantwoordelijkheid hebben, en die “verrassingen” moeten worden geminimaliseerd.

Wat is uw mening over hoe we algoritmen moeten auditen of beoordelen die hoge-inzet beslissingen nemen — en wie moet verantwoordelijk worden gehouden?

Dit gaat terug naar het uitgebreide test­model, waarbij het noodzakelijk is om de algoritmen/modellen continu te testen en te benchmarken in zo’n real-time mogelijk. Dit kan moeilijk zijn, omdat het model­output gewenste resultaten kan hebben die door mensen moeten worden geïdentificeerd. Als een bank­voorbeeld, een model dat alle leningen afkeurt, zal een geweldige risico­beoordeling hebben, omdat geen enkele lening die het onder­schrijft ooit in gebreke zal blijven. In dat geval moet de organisatie die het model/algoritme implementeert, verantwoordelijk worden gehouden voor de uitkomst van het model, net zoals ze dat zouden doen als mensen de beslissing zouden nemen.

Met meer bedrijven die cyber­verzekering vereisen, hoe veranderen AI-tools zowel het risico­landschap als de onder­schrijving van verzekeringen zelf?

AI-tools zijn geweldig in het verspreiden van grote hoeveelheden gegevens en het vinden van patronen of trends. Aan de klantzijde zullen deze tools instrumenteel zijn in het begrijpen van de werkelijke risico’s van de organisatie en het beheren van die risico’s. Aan de onder­schrijverszijde zullen deze tools helpen bij het vinden van inconsistenties en organisaties die onvolwassen worden in de loop van de tijd.

Hoe kunnen bedrijven AI gebruiken om proactief cyber­risico’s te verminderen en betere voorwaarden te onderhandelen in de huidige verzekeringen­markt?

Vandaag is de beste manier om AI te gebruiken voor het verminderen van risico’s en het onderhandelen over betere verzekeringen­voorwaarden, om ruis en afleiding te filteren, waardoor u zich kunt concentreren op de meest belangrijke risico’s. Als u die risico’s op een uitgebreide manier vermindert, zouden uw cyber­verzekeringen­tarieven naar beneden moeten gaan. Het is te gemakkelijk om overweldigd te raken door het enorme volume aan risico’s. Ga niet te veel moeite doen om elk enkel issue aan te pakken wanneer het focussen op de meest kritieke kan een veel grotere impact hebben.

Wat zijn een paar tactische stappen die u aanbeveelt voor bedrijven die AI verantwoord willen implementeren — maar weten niet waar ze moeten beginnen?

Eerst moet u uw use cases begrijpen en de gewenste resultaten documenteren. Iedereen wil AI implementeren, maar het is belangrijk om eerst uw doelen te denken en van daaruit terug te werken — iets dat ik denk dat veel organisaties vandaag worstelen. Zodra u een goed begrip heeft van uw use cases, kunt u de verschillende AI-kaders onderzoeken en begrijpen welke van de toepasselijke controles ertoe doen voor uw use cases en implementatie. Sterke AI-beleid is ook zakelijk kritisch, voor risico­mitigatie en efficiëntie, aangezien automatisering alleen zo nuttig is als de invoer­gegevens. Organisaties die AI gebruiken, moeten dit verantwoord doen, aangezien partners en prospects moeilijke vragen stellen over AI-uitbreiding en -gebruik. Het niet weten van het antwoord kan betekenen dat u zaken­deals mist, wat rechtstreeks de onderkant van de lijst beïnvloedt.

Als u de grootste AI-gerelateerde beveiligings­risico’s voor de komende vijf jaar moest voorspellen, wat zou het zijn — en hoe kunnen we ons vandaag voorbereiden?

Mijn voorspelling is dat, naarmate Agentic AI wordt ingebouwd in meer bedrijfs­processen en applicaties, aanvallers zullen deelnemen aan fraude en misbruik om die agenten te manipuleren en kwaadaardige resultaten te leveren. We hebben dit al gezien met de manipulatie van klantenservice­agenten, wat resulteerde in ongeautoriseerde deals en terugbetalingen. Bedreigings­actoren gebruikten taal­trucs om beleid te omzeilen en de besluitvorming van de agent te beïnvloeden.

Bedankt voor het geweldige interview, lezers die meer willen leren, moeten LogicGate bezoeken.