Nick Kathmann, CISO/CIO i LogicGate – Intervju-serie

Nicholas Kathmann er Chief Information Security Officer (CISO) i LogicGate, der han leder selskapets informasjonssikkerhetsprogram, overvåker plattformssikkerhetsinnovasjoner og samarbeider med kunder om å håndtere cybersikkerhetsrisiko. Med over to tiår med erfaring i IT og 18+ år i cybersikkerhet, har Kathmann bygget og ledet sikkerhetsoperasjoner i små bedrifter og Fortune 100-foretak.

LogicGate er en plattform for risiko og compliance som hjelper organisasjoner å automatisere og skalerer sine styring-, risiko- og compliance-programmer (GRC). Gjennom sitt flaggskipprodukt, Risk Cloud®, gjør LogicGate det mulig for team å identifisere, vurdere og håndtere risiko på tvers av bedriften med tilpassede arbeidsflyter, sanntidsinnsikt og integrasjoner. Plattformen støtter en rekke brukstilfeller, inkludert tredjepartsrisiko, cybersikkerhetskompliance og intern revisjonsstyring, og hjelper bedrifter å bygge mer agile og resilient risikostategier

Du fungerer som både CISO og CIO i LogicGate — hvordan ser du på AI som transformerer ansvar i disse rollene de neste 2–3 årene?

AI transformerer allerede disse rollene, men de neste 2-3 årene tror jeg vi vil se en stor økning i Agentic AI som har kraften til å omdefinere hvordan vi håndterer forretningsprosesser på en dag-til-dag-basis. Alt som vanligvis går til en IT-hjelpedesk — som å tilbakestille passord, installere programmer og mer — kan håndteres av en AI-agent. En annen kritisk brukstilfelle vil være å bruke AI-agenter til å håndtere kjedelige revisjonsvurderinger, og la CISO-er og CIO-er prioritere mer strategiske forespørsler.

Med føderale cyber-nedleggelse og deregulerings-trender, hvordan bør bedrifter nærme seg AI-utvikling samtidig som de opprettholder en sterk sikkerhetsposture?

Mens vi ser en deregulerings-trend i USA, styrkes reguleringene faktisk i EU. Så, hvis du er et multinasjonalt foretak, forvent å måtte være i samsvar med globale regulatoriske krav om ansvarlig bruk av AI. For selskaper som bare opererer i USA, ser jeg at det vil være en læringperiode når det gjelder AI-adoptsjon. Jeg tror det er viktig for disse bedriftene å etablere sterke AI-styringspolitikker og opprettholde noe menneskelig tilsyn i utviklingsprosessen, og sikre at ingenting går galt.

Hva er de største blinde flekkene du ser i dag når det gjelder å integrere AI i eksisterende cybersikkerhets-rammeverk?

Mens det er noen områder jeg kan tenke på, er den mest betydningsfulle blinde flekken hvor dine data befinner seg og hvor de befinner seg. Innføringen av AI vil bare gjøre tilsyn i den sammenhengen til en større utfordring. Leverandører aktiverer AI-funksjoner i sine produkter, men de dataene går ikke alltid direkte til AI-modellen/leverandøren. Det gjør tradisjonelle sikkerhetstøyler som DLP og nett-overvåking effektivt blinde.

Du har sagt at de fleste AI-styringsstrategier er “papirtigre”. Hva er de viktigste ingrediensene i en styringsramme som faktisk fungerer?

Når jeg sier “papirtigre”, henviser jeg spesifikt til styringsstrategier hvor bare et lite team kjenner prosessene og standardene, og de ikke er tvungne eller forstått gjennom hele organisasjonen. AI er svært gjennomtrengende, og påvirker hver gruppe og hver enkelt. “En størrelse passer alle”-strategier vil ikke fungere. En finansgruppe som implementerer AI-funksjoner i sin ERP er forskjellig fra en produktgruppe som implementerer en AI-funksjon i et bestemt produkt, og listen fortsetter. De viktigste ingrediensene i en sterk styringsramme varierer, men IAPP, OWASP, NIST og andre rådgivende organer har ganske gode rammeverk for å bestemme hva som skal vurderes. Det hardeste er å finne ut når kravene gjelder for hver enkelt brukstilfelle.

Hvordan kan selskaper unngå AI-modell-drift og sikre ansvarlig bruk over tid uten å over-engineere sine politikker?

Drift og forverring er bare en del av å bruke teknologi, men AI kan akselerere prosessen betydelig. Men hvis drift blir for stor, vil korrigerende tiltak være nødvendige. En omfattende teststrategi som søker etter og måler nøyaktighet, bias og andre advarselsflagg er nødvendig over tid. Hvis selskaper vil unngå bias og drift, må de starte med å sikre at de har verktøyene på plass for å identifisere og måle det.

Hva rolle bør endringslogger, begrensede politioppdateringer og sanntids-tilbakemeldingsløkker spille i å opprettholde en agile AI-styring?

Mens de spiller en rolle nå for å redusere risiko og ansvar for leverandøren, hemmer sanntids-tilbakemeldingsløkker evnen til kunder og brukere til å utføre AI-styring, spesielt hvis endringer i kommunikasjonsmekanismer skjer for ofte.

Hva er dine bekymringer rundt AI-forvrengning og diskriminering i underwriting eller kreditvurdering, spesielt med “Kjøp nå, betal senere” (BNPL)-tjenester?

I fjor snakket jeg med en AI/ML-forsker i en stor, multinasjonal bank som hadde eksperimentert med AI/LLM-er på tvers av deres risikomodeller. Modellene, selv når de var trent på store og nøyaktige datamengder, ville ta svært overraskende, uunderstøttede beslutninger om å godkjenne eller avvise underwriting. For eksempel, hvis ordene “godt kredit” ble nevnt i en chat-transkript eller kommunikasjon med kunder, ville modellene som standard avvise lånet — uavhengig av om kunden sa det eller bankansatt sa det. Hvis AI skal være avhengig, må bankene ha bedre tilsyn og ansvar, og disse “overraskelsene” må minimiseres.

Hva er din vurdering av hvordan vi bør auditere eller vurdere algoritmer som tar høyriskede beslutninger — og hvem bør holdes ansvarlig?

Dette går tilbake til den omfattende testmodellen, hvor det er nødvendig å kontinuerlig teste og benchmark-algoritmer/modeller så nær sanntid som mulig. Dette kan være vanskelig, da modell-utgangen kan ha ønskede resultater som vil trenge mennesker til å identifisere outlier. Som et bank-eksempel vil en modell som avviser alle lån flat ut ha en god risikovurdering, siden ingen lån den underwriter noen gang vil svikte. I dette tilfellet bør organisasjonen som implementerer modellen/algoritmen være ansvarlig for resultatet av modellen, akkurat som de ville være hvis mennesker tok beslutningen.

Med flere bedrifter som krever cybersikkerhetsforsikring, hvordan former AI-verktøy både risikolandskapet og forsikrings-underwriting selv?

AI-verktøy er gode til å formidle store mengder data og finne mønster eller trender. På kundesiden vil disse verktøyene være instrumentale i å forstå bedriftens faktiske risiko og håndtere den risikoen. På underwriter-siden vil disse verktøyene være nyttige i å finne inkonsistenser og bedrifter som blir umodne over tid.

Hvordan kan selskaper utnytte AI til å proaktivt redusere cyberrisiko og forhandle bedre vilkår i dagens forsikringsmarked?

I dag er den beste måten å utnytte AI for å redusere risiko og forhandle bedre forsikringsvilkår å filtrere ut støy og distraksjoner, og hjelpe deg å fokusere på de viktigste risikoene. Hvis du reduserer disse risikoene på en omfattende måte, bør dine cybersikkerhetsforsikringsrater gå ned. Det er for lett å bli overveldet av den enorme mengden risiko. Ikke bli fanget i å prøve å håndtere hver enkelt sak når fokusering på de mest kritiske kan ha en mye større effekt.

Hva er noen taktiske skritt du anbefaler for selskaper som ønsker å implementere AI ansvarlig — men ikke vet hvor de skal starte?

Først må du forstå hva dine brukstilfeller er og dokumentere de ønskede resultater. Alle ønsker å implementere AI, men det er viktig å tenke på dine mål først og arbeide bakover fra der — noe jeg tror mange organisasjoner sliter med i dag. Når du har en god forståelse av dine brukstilfeller, kan du forsk på de ulike AI-rammeverkene og forstå hvilke av de anvendelige kontrollene som betyr noe for dine brukstilfeller og implementering. Sterk AI-styring er også forretnings-kritisk, for risikomildring og effisiens siden automatisering bare er like nyttig som data-inngang. Organisasjoner som utnytter AI må gjøre det ansvarlig, siden partnere og prospekter stiller tøffe spørsmål rundt AI-sprengning og bruk. Ikke å vite svaret kan bety å gå glipp av forretningsavtaler, direkte påvirkning av bunnen.

Hvis du måtte forutsi den største AI-relaterte sikkerhetsrisikoen om fem år — hva ville det være — og hvordan kan vi forberede oss i dag?

Min forutsigelse er at når Agentic AI bygges inn i flere forretningsprosesser og applikasjoner, vil angripere engasjere i svindel og misbruk for å manipulere disse agentene til å levere skadelige resultater. Vi har allerede sett dette med manipulering av kundeservice-agenter, som resulterer i uautoriserte avtaler og refusjoner. Trusler agenter brukte språk-triks for å bypass politikker og forstyrre agentens beslutningstagning.

Takk for det flotte intervjuet, lesere som ønsker å lære mer bør besøke LogicGate.