Ali Hayat, administrerende direktør og grunnlegger av Axipro – intervjuserie

Ali Hayat er administrerende direktør og grunnlegger av Axipro. Han kombinerer bakgrunn innen industriell risikostyring og ISO-revisjon med erfaring fra rådgivning innen cybersikkerhet og etterlevelse. I begynnelsen av karrieren arbeidet han i industrielle miljøer med høy risiko, der sikkerhet, myndighetskrav og operasjonell risiko sto sentralt. Senere bygget han opp Axipro uten ekstern finansiering, med fokus på å hjelpe vekstselskaper med å ta i bruk praktiske sikkerhetstiltak, forberede seg på revisjoner og håndtere nye KI-risikoer.

Axipro er et konsulentselskap innen cybersikkerhet og etterlevelse som støtter organisasjoner med rammeverk som SOC 2, ISO 27001 og ISO 42001, samt krav til databeskyttelse. Arbeidet omfatter rådgivning, automatisering av etterlevelse, revisjonsforberedelser og sikkerhetstesting, med vekt på kontinuerlig overvåking og menneskelig kontroll. I dette intervjuet snakker Hayat om KI-drevne arbeidsflyter for etterlevelse, skygge-KI, risikoer knyttet til autonome agenter, regionale forskjeller i styring og gapet mellom sertifisering og robusthet innen cybersikkerhet.

Karrieren din begynte i industrielle miljøer med høy risiko, der du arbeidet med prosjekter som involverte Saudi Aramco, ADNOC og TotalEnergies, og der sikkerhet, risikostyring og etterlevelse av regelverk var avgjørende. Hva inspirerte deg til å gå fra industriell sikkerhet og revisjon til cybersikkerhet, og hva fikk deg til slutt til å grunnlegge Axipro?

Jeg grunnla Axipro fordi jeg så et udekket behov i markedet mens jeg arbeidet med kvalitetsstyring. I 2021 la jeg merke til at mange nye cybersikkerhetsplattformer ble lansert, med delvis automatiserte løsninger for etterlevelse av SOC 2 og ISO 27001.

Det ble tydelig at selv om disse plattformene lettet mye av etterlevelsesarbeidet for tekniske team, krevde de fortsatt oppsett og vedlikehold. Oppstartsbedrifter, som allerede slet med å holde tritt med veksten, var villige til å betale et team ledet av mennesker for å holde etterlevelsen på stell. Slik ble Axipro til.

Så, i 2022, ble de første KI-plattformene lansert. Dette var enda et slikt aha-øyeblikk. Mens mange i bransjen fryktet å bli overflødige, innså jeg raskt at dette var en enorm mulighet. KI ville sannsynligvis føre til en eksponentiell økning i cyberangrep, og dyktige mennesker ville være nødvendige for å hjelpe oppstartsbedrifter med sikkerhets- og etterlevelsesbehovene deres som følge av dette.

I dag er vi Drata Elite Partner og Vanta Preferred Partner, og vi har hjulpet over 300 selskaper med å oppnå etterlevelse av ledende standarder for cybersikkerhet og KI.

Du bygget Axipro opp fra grunnen av uten ekstern finansiering og utviklet selskapet til et internasjonalt konsulentselskap som betjener hundrevis av kunder. Hva var de største utfordringene ved å bygge opp en cybersikkerhetsvirksomhet på egen hånd, og hvordan har teknologi og automatisering hjulpet deg med å skalere driften samtidig som du opprettholder tjenestekvaliteten?

De første årene var svært krevende. Fra å bruke opp sparepengene mine mens vi ventet barn, til å se de første KI-modellene ta over bransjen – de første 2 til 3 årene er sannsynligvis årsaken til de grå hårene jeg har fått.

Jeg konkurrerte mot noen få giganter med veletablerte omdømmer, store kontorer og betydelige markedsføringsbudsjetter. Jeg holdt til i Bahrain, hadde bakgrunn innen kvalitetsstyring og hadde et markedsføringsbudsjett på 0.

Jeg valgte en utradisjonell tilnærming: Jeg holdt virksomheten slank og effektiv og satte lavere priser enn de store, etablerte aktørene.

Dette ga meg mange nye kunder, men marginene våre var små. Likviditetsstyring ble en kunstform, og vi kom oss så vidt gjennom de første 2 årene. Alt endret seg da vi inngikk vår første avtale på et femsifret beløp som omfattet flere rammeverk. Det ga oss litt økonomisk pusterom, gjorde det mulig for meg å ansette mine første medarbeidere på heltid og fikk meg til å begynne å tenke på markedsføring utover partnerskap og anbefalinger.

Axipro har som mål å forenkle komplekse rammeverk for etterlevelse gjennom digital transformasjon og automatisering. Hvordan endrer kunstig intelligens tradisjonelle arbeidsflyter for etterlevelse, og hvilke aktiviteter mener du har størst potensial for effektivitetsgevinster drevet av KI?

Etterlevelsesbransjen har hatt stor nytte av KI. Tidligere var arbeidet preget av store mengder repetitive oppgaver, som å samle inn og kategorisere dokumentasjon, besvare sikkerhetsspørreskjemaer og utarbeide retningslinjer. Nesten alle disse oppgavene er nå automatisert. KI har også gjort det mulig å overvåke og varsle kontinuerlig om risikoer knyttet til cybersikkerhet og etterlevelse.

KI er nå involvert i nesten alle trinn i etterlevelsesprosessen. Når vi tar inn en ny kunde, gjennomfører vår egen KI en automatisert risikovurdering basert på selskapets bransje, størrelse og beliggenhet. Vi har en omfattende database over tidligere oppdrag som hjelper oss med å avdekke potensielle risikoer og faresignaler automatisk. Dette er sannsynligvis den største merverdien KI gir.

Cyberkriminelle har også hatt nytte av KI, og antallet angrep har økt eksponentielt. Det pågår et slags kappløp mellom KI-systemer, der selskaper som vårt arbeider med automatisk trusseldeteksjon på den ene siden, mens hackere automatiserer angrep på den andre.

Det er her menneskelig dømmekraft kommer inn, og den står sentralt i måten vi arbeider på: KI må håndtere repetitive oppgaver og effektivisere driften, slik at mennesker kan konsentrere seg om å vurdere trusler og reagere på dem.

Mange organisasjoner behandler fortsatt etterlevelse av cybersikkerhetskrav som en periodisk øvelse med hovedvekt på å forberede seg til revisjoner. Hvordan endrer KI-drevne verktøy og plattformer for kontinuerlig overvåking, som Drata, denne tilnærmingen, og hva innebærer overgangen til kontinuerlig etterlevelse for virksomheter?

Da jeg begynte med etterlevelse, gruet alle seg til revisjonssesongen. Bedriftene ignorerte kontrollene sine det meste av året, før de brukte flere uker på å lete fram skjermbilder og logger før revisjonsfristen. Å bestå betydde at man oppfylte kravene den dagen, og stort sett ikke mer enn det.

Drata og lignende plattformer endret dette. De kobler seg til bedriftens sky- og HR-verktøy og kontrollerer tiltakene hver dag. Hvis noen slår av MFA, eller en tidligere ansatt fortsatt har tilgang, blir det oppdaget med en gang, og teamet vårt retter opp i det umiddelbart.

For virksomheter sluttet etterlevelse å være et årlig prosjekt og ble en del av den daglige driften. Revisjonene blir kortere og rimeligere, og salgsteam kan på forespørsel vise større bedriftskunder sikkerhetsstatusen sin, noe som bidrar til å sluttføre avtaler raskere.

Personvern og cybersikkerhet er gradvis i ferd med å gå fra å være krav for å kunne operere i sensitive bransjer til å bli et markedsføringsfortrinn som gir merverdi.

Etter hvert som organisasjoner i økende grad bruker KI til å utarbeide sikkerhetsdokumentasjon, vurdere risiko og gjennomgå dokumentasjon på etterlevelse, hvordan kan de sikre at disse systemene gir nøyaktige og pålitelige resultater? På hvilke områder bør menneskelig ekspertise fortsatt være avgjørende i revisjons- og sertifiseringsprosessen?

KI er svært god til å skrive dokumenter som virker overbevisende. En policy kan se helt perfekt ut og likevel beskrive prosesser bedriften ikke har.

Vi håndterer dette ved at KI lager utkast og flagger problemer, mens noen i teamet vårt kontrollerer alt før det sendes til kunden eller revisoren. Alt KI-en produserer, bør også vise til dokumentasjonen det bygger på, slik at vi kan kontrollere det.

Intern og ekstern revisjon er områder der jeg setter en tydelig grense. Revisorer skriver under med navn og setter sitt faglige omdømme på spill. KI kan hjelpe dem med å gjennomgå dokumentasjonen raskere, men avgjørelsen om en bedrift skal sertifiseres, bør tas av et menneske. Hvis ingen står ansvarlig, mister sertifikatet sin verdi.

Axipro hjelper organisasjoner med å navigere i standarder som ISO 27001, SOC 2 og ISO 42001, den internasjonale standarden for styringssystemer for KI. Hvilke nye utfordringer møter bedrifter når de forsøker å etablere ansvarlig KI-styring, og hvordan skiller håndteringen av KI-relatert risiko seg fra tradisjonell etterlevelse av krav til informasjonssikkerhet?

De fleste bedriftene vi snakker med, vet ikke engang hvor mye KI de bruker. Dette kalles «skygge-KI».

Markedsavdelingen har registrert seg for ett verktøy, utviklerne har koblet en modell til produktet, og noen i økonomiavdelingen limer regneark inn i en chatbot. Det er ikke noe ondsinnet ved dette; folk prøver å jobbe raskere, og KI-verktøy er billige og raske. Likevel kan dette lett føre til at bedriftsdata kommer på avveie.

Det første og viktigste steget i de fleste ISO 42001- og KI-etterlevelsesprosjekter er å kartlegge alt dette. Vi ser på utleggsrapporter, registreringer av programvare og nettverksdata, og snakker med hvert team om hva de faktisk bruker i det daglige. Listen vi ender opp med, er nesten alltid lengre enn forventet.

Det fungerer sjelden å forby KI, og det er både kontraproduktivt og ineffektivt. Vi ønsker at kundene våre skal kunne dra nytte av effektiviseringen KI-modeller gir. En bedre tilnærming er å gi de ansatte godkjente verktøy som løser oppgaven, fastsette tydelige regler for hvilke data som kan legges inn i dem, og gjøre det enkelt å be om nye verktøy.

KI-styring reiser også spørsmål som informasjonssikkerhet aldri tidligere har måttet ta stilling til. Med ISO 27001 er hovedbekymringen å hindre uvedkommende i å få tilgang til dataene dine. Med ISO 42001 må du også vite om KI-en oppfører seg som den skal, om du kan forklare avgjørelsene den tar, og hvem som har ansvaret når den gjør noe feil.

Denne risikoen endrer seg også raskere. En leverandør kan oppdatere en modell over natten og endre hvordan produktet ditt oppfører seg, uten at du gjør noe som helst.

Bedrifter som allerede har ISO 27001, har et forsprang. Begge standardene bruker den samme strukturen for styringssystemer, så mye av grunnarbeidet er allerede gjort.

Med framveksten av autonome KI-agenter som kan få tilgang til sensitiv informasjon, samhandle med virksomhetssystemer og utføre forretningsprosesser, hvilke nye risikoer knyttet til cybersikkerhet og etterlevelse bør organisasjoner forberede seg på? Er eksisterende sikkerhetsrammeverk egnet til å håndtere disse stadig mer autonome systemene?

Agenter er det området jeg følger aller tettest akkurat nå. Vanlig programvare gjør nøyaktig det den får beskjed om. En agent tar egne avgjørelser, og den kan lures og lure andre, slik vi så i hendelsen med hugging face.

Den vanligste risikoen vi ser, er prompt-injeksjon. En angriper kan skjule instruksjoner i en e-post eller en PDF, og når agenten din leser den, følger den instruksjonene ved å bruke tilgangen du har gitt den.

Den andre risikoen er at selskaper gir agenter altfor omfattende tilgang fordi det er enklere. Ofte gir ansatte AI-agenter tilgang via sine egne e-postkontoer i stedet for egne dedikerte kontoer, noe som gjør det svært vanskelig å fastslå om det var et menneske eller en bot som utførte en endring. Hvis loggføringen i tillegg er mangelfull, vet man kanskje ikke engang hva agenten gjorde.

ISO 27001 og SOC 2 dekker fortsatt grunnleggende forhold som tilgangskontroll og loggføring, og ISO 42001 bidrar på AI-området. Ingen av standardene ble imidlertid utformet med autonome agenter i tankene, og jeg forventer at det kommer nye retningslinjer snart.

AIUC-1 er i ferd med å bli en ledende standard for AIUC-1, og vi har nettopp begynt å lære opp de ansatte i å implementere den. Vi har hatt noen samtaler med kunder om den, men har foreløpig ingen casestudier å vise til. Standarden har solid støtte fra store cybersikkerhetsselskaper, så vi forventer at dette rammeverket vil bli den ledende standarden for AI-agenter.

Etter å ha arbeidet i Midtøsten, Europa og USA har du møtt ulike regulatoriske miljøer og tilnærminger til risikostyring. Hvordan påvirker regionale forskjeller innen AI-styring og personvern måten selskaper tar i bruk AI på, og hvilke utfordringer oppstår når organisasjoner opererer på tvers av flere jurisdiksjoner?

Etter å ha basert meg i Bahrain og arbeidet med kunder i Europa og USA har jeg sluttet å forvente at AI-reglene vil nærme seg hverandre. Tvert imot beveger regionene seg stadig lenger fra hverandre.

I Europa reguleres AI gjennom lovgivning. EUs AI-forordning klassifiserer AI-systemer etter risiko og fastsetter krav for hver kategori, så europeiske selskaper går gjerne forsiktig fram og dokumenterer alt. USA har ingen føderal AI-lov, og det er i hovedsak markedet som står for reguleringen. Kjøpere ber om rammeverk som NISTs AI RMF i kontraktene sine, og ansvarsreglene dekker resten. Kina følger en tredje vei og utarbeider nye regler hver gang en teknologi skaper en ny risiko.

Golfregionen er den jeg synes er mest interessant. Saudi-Arabia har for eksempel ennå ingen generell AI-lov. De fleste bindende reglene finnes i personvernlovgivningen og i offentlige anskaffelser, fordi staten er den største kjøperen av teknologi i regionen. Hvilke krav du må oppfylle, avhenger i stor grad av hvem kunden din er. Da SDAIA, den saudiarabiske tilsynsmyndigheten, selv ble ISO 42001-sertifisert i 2024, viste det markedet hvilken standard myndigheten ville se etter i anbud.

Det vanskeligste er når et selskap opererer i mer enn én av disse regionene. Et SaaS-selskap i Riyadh som selger til Europa, kan oppfylle EUs tekniske krav og likevel bryte saudiske regler for dat registrering og overføring. Ingen av sidene godtar den andres dokumentasjon.

Vi bygger på et grunnlag som kan brukes på tvers av regioner, med ISO 42001 sammen med ISO 27001, og legger deretter til kravene i hver region. ISO 42001 gjør deg ikke i seg selv juridisk compliant noe sted, men det er det nærmeste vi kommer et felles språk som godtas i alle disse regionene.

Det er ofte et betydelig gap mellom å oppnå en sikkerhetssertifisering og å opprettholde reell robusthet innen cybersikkerhet. Hvordan kan organisasjoner bruke AI og automatisering til å gå lenger enn avkrysningsbasert etterlevelse og utvikle sikkerhetspraksis som kontinuerlig tilpasses nye trusler?

Jeg har sett selskaper med en helt ny SOC 2-rapport og grunnleggende sikkerhetshull som ingen hadde oppdaget. Målet deres hadde vært å bestå revisjonen. Et sertifikat viser at et selskap oppfylte en standard på en bestemt dato, men ikke om det kan stanse et angrep.

For å komme videre må man spørre om hver enkelt kontroll ville bestått testing. Automatisering er til stor hjelp her. Kontinuerlig overvåking fanger opp problemer mens de fortsatt er små, og oppdaterte trusseldata sørger for at risikovurderingene gjenspeiler det angriperne gjør nå. Regelmessige penetrasjonstester og angrepssimuleringer viser deretter om kontrollene fungerer i praksis.

Å bli CREST-sertifisert i år var en del av dette for oss. Vi ønsket å teste kundenes sikkerhet og dokumentere resultatene.

Hvordan ser du for deg at AI vil forandre rådgivningsbransjen innen cybersikkerhet og etterlevelse i løpet av de neste tre til fem årene? Tror du AI-agenter etter hvert vil håndtere det meste av det rutinemessige etterlevelsesarbeidet på egen hånd, og hvordan ser du for deg at Axipro vil utvikle seg etter hvert som teknologien modnes?

Jeg tror AI-agenter vil håndtere det meste av det rutinemessige etterlevelsesarbeidet innen fem år, for eksempel innsamling av dokumentasjon, oppdatering av retningslinjer og utfylling av sikkerhetsspørreskjemaer. Selskaper som tjener penger på å fakturere timer for slikt arbeid uten å ha noen tydelig ekspertise, vil få det vanskelig.

Jeg tror likevel ikke at agenter vil håndtere etterlevelse på egen hånd. Jo mer arbeid AI overtar, desto viktigere blir beslutningene som gjenstår. Noen må fortsatt godkjenne en revisjon og håndtere konsekvensene når noe går galt. Når angriperne også bruker AI, vil etterspørselen etter dyktige forsvarere fortsette å øke.

I Axipro ser jeg for meg at vi bruker mindre tid på dokumentasjon og mer på å gi råd til kundene og teste sikkerheten deres. Vår egen AI vil overta mer av leveransearbeidet, mens teamet vårt vil konsentrere seg om beslutninger som krever menneskelig skjønn. Tilbake i 2022 trodde mange at AI ville gjøre selskaper som vårt overflødige. Så langt har det motsatte skjedd: Vi har vokst med mer enn 10 % fra måned til måned, har noen ganger hatt mer arbeid enn vi klarer å håndtere, og forventer ikke at det skal roe seg.

Takk for et flott intervju! Lesere som ønsker å lære mer om etterlevelse av krav til cybersikkerhet, KI-styring og utvikling av kontinuerlige sikkerhetsrutiner, bør besøke Axipro.