Ashley Rose, Założyciel i Dyrektor Generalny Living Security – Seria Wywiadów

Ashley Rose, Założyciel i Dyrektor Generalny Living Security, jest serialem przedsiębiorcą i innowatorem w dziedzinie cyberbezpieczeństwa, skupionym na zmianie sposobu, w jaki organizacje podechodzą do ryzyka związanego z ludźmi w bezpieczeństwie. Od założenia firmy w 2017 roku, poprowadził rozwój podejścia opartego na danych i zachowaniach do cyberbezpieczeństwa, które przechodzi od tradycyjnego szkolenia świadomościowego w kierunku zmierzonej redukcji ryzyka i zmiany kulturowej. Korzystając z doświadczenia w zakresie przywództwa produktowego i przedsiębiorczości, pomógł skalować Living Security w szybko rozwijającą się platformę SaaS używaną przez organizacje przedsiębiorstw, a także przyczynił się do szerszego ekosystemu cyberbezpieczeństwa jako mentor, doradca i orędownik inicjatyw takich jak Women in CyberSecurity.

Living Security to firma zajmująca się cyberbezpieczeństwem SaaS, która koncentruje się na Zarządzaniu Ryzykiem Ludzkim, pomagając organizacjom identyfikować, mierzyć i redukować ryzyko związane z zachowaniami pracowników. Jej platforma agreguje dane behawioralne, tożsamościowe i zagrożeń, aby wskazać użytkowników o wysokim ryzyku i dostarczyć ukierunkowane, rzeczywiste szkolenia i interwencje zaprojektowane w celu zapobiegania naruszeniom zanim wystąpią. Łącząc analizy, automatyzację i angażujące metody szkoleniowe, takie jak symulacje i doświadczenia grywalizowane, firma umożliwia przedsiębiorstwom przechodzenie od świadomości bezpieczeństwa opartej na zgodności do proaktywnej, zmierzonej redukcji ryzyka w całej ich siatce.

Założyłeś Living Security w 2017 roku, po wcześniejszym doświadczeniu w budowaniu i skalowaniu biznesu konsumenckiego oraz pracy jako właściciel produktu. Jaki konkretny moment lub uznanie skłoniło Cię do zmiany kierunku na cyberbezpieczeństwo i skupienia się na ryzyku ludzkim, i jak ta pierwotna teza utrzymała się, gdy AI staje się częścią siły roboczej?

W 2017 roku większość organizacji traktowała szkolenia świadomościowe jako ćwiczenie checkbox, i nie zmieniało to zachowania. Punkt zwrotny nastąpił, gdy zrealizowaliśmy, że jeśli ludzkie zachowania powodowały naruszenia, odpowiedź nie mogła być tylko bardziej zapominalnym szkoleniem. Drew Rose, współzałożyciel Living Security, prowadził programy bezpieczeństwa i zaczął je grywalizować, tworząc wczesne prototypy, które stały się pokoje ucieczki cyberbezpieczeństwa. Zobaczyliśmy na własne oczy, że gdy zrobisz bezpieczeństwo doświadczalnym, ludzie angażują się, uczą i naprawdę zmieniają swoje zachowania. To stało się podstawą dla Living Security.

Jako współzałożyciele, Drew i ja szybko zrealizowaliśmy, że zaangażowanie było tylko punktem wyjścia. Gdy skalowaliśmy te doświadczenia w platformę, zaczęliśmy dostrzegać wzorce w tym, jak ludzie zachowują się, gdzie mają trudności i gdzie ryzyko jest naprawdę skoncentrowane. To ujawniło znacznie większą lukę: organizacje nie miały prawdziwej widoczności ryzyka ludzkiego ani nie wiedziały, jak je w sposób ukierunkowany zmniejszyć. To zrozumienie doprowadziło nas do pionierskiego Zarządzania Ryzykiem Ludzkim, które polega na identyfikowaniu, mierzeniu i zmniejszaniu ryzyka na podstawie indywidualnego zachowania, dostępu i zagrożeń, a nie tylko dostarczaniu szkoleń. Gdy AI staje się wbudowane w siłę roboczą, ta pierwotna teza rozwinęła się tylko: wyzwanie nie jest już tylko ludzkim zachowaniem, ale tym, jak ludzie i systemy AI współpracują razem. Ludzie nadal są w centrum, teraz zarządzają i wdrożenie agentów AI, co oznacza, że trzeba rozszerzyć widoczność na tych agentów i związać to ryzyko z osobą. To napędza naszą ewolucję w kierunku Bezpieczeństwa Siły Roboczej.

Uzasadniłeś, że błąd ludzki jest niepełnym wyjaśnieniem naruszeń. Jak organizacje powinny przebudować ryzyko siły roboczej dzisiaj, gdy zarówno ludzkie zachowania, jak i działania napędzane przez AI przyczyniają się do powierzchni ataku?

Opisywanie naruszeń jako „błędu ludzkiego” upraszcza problem i zaciemnia, skąd pochodzi prawdziwe ryzyko. Ryzyko ludzkie nie jest tylko o błędach, jest kształtowane przez kombinację zachowania, dostępu i narażenia na zagrożenia. Niektórzy pracownicy mają przywilejowany dostęp do wrażliwych systemów, niektórzy są częściej atakowani, a niektórzy wykazują bardziej ryzykowne zachowania, więc ryzyko naruszeń nie jest równomiernie rozłożone. Aby naprawdę zrozumieć ryzyko, organizacje potrzebują widoczności tam, gdzie te czynniki się krzyżują i gdzie istnieje ryzyko ludzkie.

Narzędzia AI tworzą teraz kod, obsługują przepływy pracy i nawet podejmują decyzje. W którym momencie systemy AI przestają być tylko narzędziami i zaczynają być traktowane jako część siły roboczej z punktu widzenia bezpieczeństwa?

Systemy AI przestają być tylko narzędziami i zaczynają być częścią siły roboczej w momencie, gdy podejmują działania w środowiskach przedsiębiorstw. W tym momencie wprowadzają ryzyko w taki sam sposób, jak pracownicy: przez działania, które podejmują, uprawnienia, z którymi działają, i dane, których dotykają. Zmiana dla organizacji polega na uznaniu, że agenci AI nie są tylko warstwami produktywności – są uczestnikami operacyjnymi i muszą być zarządzani, monitorowani i zabezpieczani obok użytkowników ludzkich w ramach zjednoczonego modelu ryzyka siły roboczej.

Jak przedsiębiorstwa powinny podejść do zarządzania, gdy ryzyko nie jest już ograniczone do pracowników, ale rozciąga się na agenty AI działające z różnymi poziomami autonomii i dostępu?

Przedsiębiorstwa muszą wyjść poza zarządzanie oparte na zasadach i traktować je jako ciągły, zachowanie-powodowany proces, który dotyczy zarówno ludzi, jak i agentów AI. Większość organizacji już ma polityki AI na miejscu, ale luka polega na egzekwowaniu i widoczności, szczególnie gdy pracownicy przyjmują narzędzia poza środowiskami zatwierdzonymi, a systemy AI działają z różnymi poziomami dostępu.

Living Security skupił się intensywnie na modelach bezpieczeństwa opartych na zachowaniach. Jak ta filozofia tłumaczy się, gdy niektóre zachowania pochodzą teraz z systemów AI, a nie z ludzi?

Podejście Living Security oparte na zachowaniach rozciąga się naturalnie na AI, ponieważ koncentruje się nie tylko na tym, kto tworzy ryzyko, ale na tym, jak ryzyko jest wprowadzane przez działania. Niezależnie od tego, czy to osoba, czy system AI, ryzyko pojawia się w zachowaniach, w tym, jak dane są dostępne, jakie działania są podejmowane i jak decyzje są wykonywane w ramach przepływów pracy. Gdy systemy AI biorą na siebie więcej odpowiedzialności operacyjnej, ten sam model ma zastosowanie: organizacje potrzebują widoczności tych zachowań, wraz z możliwością kierowania i interwencji w czasie rzeczywistym.

Wiele organizacji wciąż polega na okresowych szkoleniach świadomościowych. Dlaczego ten model się rozpadnie w nowoczesnych środowiskach, i co wygląda naprawdę adaptacyjne, oparte na danych podejście w praktyce?

Okresowe szkolenia świadomościowe rozpadają się, ponieważ zostały zbudowane dla statycznego krajobrazu zagrożeń i zakładają, że ryzyko można zmniejszyć poprzez ogólne wykształcenie. W rzeczywistości większość incydentów wynika z codziennych zachowań operacyjnych, a nie z braku szkolenia, a ryzyko jest często skoncentrowane wśród niewielkiej części użytkowników. Bardziej adaptacyjne, oparte na danych podejście koncentruje się na ciągłym identyfikowaniu, gdzie ryzyko naprawdę istnieje, i dostarczaniu ukierunkowanych, rzeczywistych wskazówek w przepływie pracy – przechodząc od ukończenia szkolenia do zmierzonej redukcji ryzyka.

Twoja platforma podkreśla ilościowanie ryzyka ludzkiego przy użyciu danych z życia wziętych. Jakie są najważniejsze sygnały, które organizacje powinny śledzić dzisiaj, aby zrozumieć ryzyko dynamicznie, a nie retrospektywnie?

Organizacje powinny koncentrować się na zachowaniach, tożsamości i dostępie, oraz narażeniu na zagrożenia, sygnałach, które odzwierciedlają, jak ryzyko jest tworzone i gdzie się koncentruje w siatce. To teraz rozciąga się również na AI, w tym na to, jakie narzędzia pracownicy używają, jaki dostęp mają te systemy i jak są konfigurowane lub uruchamiane. Same sygnały są użyteczne, ale prawdziwa wartość pochodzi z tego, jak łączą się one, aby opowiedzieć historię o ryzyku.

AI tworzy nowe słabości, ale jest również używany obronnie. Gdzie widzisz przesunięcie równowagi, i czy zmierzamy w kierunku netto-dodatniego czy netto-ujemnego wpływu bezpieczeństwa na AI?

AI robi obie rzeczy, rozszerzając powierzchnię ataku, jednocześnie poprawiając, jak organizacje wykrywają i reagują na ryzyko. Z jednej strony, umożliwia bardziej złożone przepływy pracy i autonomiczne działania, które mogą wprowadzić nowe słabości; z drugiej strony, pozwala zespołom bezpieczeństwa na analizę zachowań w skali i działanie szybciej. Gdzie równowaga ląduje, zależy od tego, jak dobrze organizacje się adaptują. Obecnie wiele z nich wciąż dogania widoczność i zarządzanie, szczególnie gdy AI jest używany w sposób, którego nie w pełni zmapowały. Długoterminowo może to być netto-dodatnie, ale tylko wtedy, gdy organizacje traktują AI jako część siły roboczej i stosują ten sam poziom monitorowania, kierowania i kontroli, jaki stosują w przypadku ryzyka generowanego przez ludzi.

Nie wszyscy pracownicy ani systemy AI stanowią równego ryzyka. Jak organizacje powinny priorytetizować interwencję, nie tworząc tarcia ani nadmiernej inwigilacji?

Nie wszystkie ryzyko jest równe, a traktowanie go w ten sposób tworzy tarcie. Kluczem jest skoncentrowanie się na tym, gdzie ryzyko jest naprawdę skoncentrowane – ponieważ około 10% użytkowników generuje 73% ryzyka – i zastosowanie ukierunkowanych interwencji tam, zamiast na całej siatce. To oznacza używanie danych behawioralnych, dostępu i narażenia, aby priorytetizować, kto i co wymaga uwagi, i dostarczanie wskazówek w przepływie pracy, zamiast nakładania dodatkowych kontroli. Zrobione prawidłowo, redukuje tarcie, czyniąc bezpieczną ścieżkę najłatwiejszą do naśladowania, zamiast zwiększania nadzoru nad wszystkimi.

Gdybyśmy przyspieszyli pięć lat, jak będzie wyglądało bezpieczeństwo siły roboczej, i co większość organizacji nadal niedocenia dzisiaj?

Gdybyśmy przyspieszyli pięć lat, bezpieczeństwo siły roboczej będzie definiowane przez to, jak dobrze organizacje mogą zrozumieć i zarządzać ryzykiem zarówno ludzi, jak i agentów AI działających razem. Nie będzie to już o okresowych szkoleniach lub statycznych kontrolach, ale o ciągłej widoczności, ocenie ryzyka w czasie rzeczywistym i możliwości podjęcia działań dynamicznie, gdy zachowania, dostęp i zagrożenia się zmieniają. Ludzie nadal będą w centrum, ale będą zarządzać i rozszerzać się przez AI, co oznacza, że bezpieczeństwo musi uwzględniać oba.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Living Security.