Joe Regensburger, VP de Pesquisa, Immuta – Série de Entrevistas

Joe Regensburger é atualmente o Vice-Presidente de Pesquisa da Immuta. Líder em segurança de dados, a Immuta permite que as organizações desbloqueiem o valor de seus dados em nuvem protegendo-os e fornecendo acesso seguro.

A Immuta é projetada para se integrar perfeitamente ao seu ambiente de nuvem, fornecendo integrações nativas com os principais fornecedores de nuvem. Seguindo o quadro de cibersegurança do NIST, a Immuta cobre a maioria das necessidades de segurança de dados para a maioria das organizações.

Sua formação acadêmica é em física e matemática aplicada, como você acabou trabalhando em ciência de dados e análise?

Meu campo de trabalho de pós-graduação foi Física Experimental de Alta Energia. Analisar dados nesse campo requer uma grande quantidade de análise estatística, particularmente separar assinaturas de eventos raros daqueles de eventos de fundo mais frequentes. Essas habilidades são muito semelhantes às necessárias em ciência de dados.

Pode descrever o que seu papel atual como VP de Pesquisa da líder em segurança de dados Immuta envolve?

Na Immuta, estamos focados em segurança de dados. Isso significa que precisamos entender como os dados estão sendo usados, como podem ser mal utilizados e fornecer aos profissionais de dados as ferramentas necessárias para apoiar sua missão, enquanto prevenimos o mau uso. Então, nosso papel envolve entender as demandas e desafios dos profissionais de dados, particularmente em relação a regulamentações e segurança, e ajudar a resolver esses desafios. Queremos reduzir as demandas regulamentares e permitir que os profissionais de dados se concentrem em sua missão principal. Meu papel é ajudar a desenvolver soluções que reduzam essas cargas. Isso inclui desenvolver ferramentas para descobrir dados sensíveis, métodos para automatizar a classificação de dados, detectar como os dados estão sendo usados e criar processos que façam cumprir as políticas de dados para garantir que os dados sejam usados corretamente.

Quais são os principais desafios na governança de IA em comparação com a governança de dados tradicional?

Líderes de tecnologia mencionaram que a governança de IA é um passo natural e uma progressão a partir da governança de dados. Dito isso, há algumas diferenças importantes a considerar. Em primeiro lugar e principalmente, governar a IA requer um nível de confiança na saída do sistema de IA. Com a governança de dados tradicional, os líderes de dados costumavam ser capazes de rastrear facilmente de uma resposta para um resultado usando um modelo estatístico tradicional. Com a IA, a rastreabilidade e a linhagem se tornam um desafio real e as linhas podem ser facilmente borradas. Ser capaz de confiar no resultado que o modelo de IA alcança pode ser negativamente afetado por alucinações e confabulações, o que é um desafio único para a IA que deve ser resolvido para garantir uma governança adequada.

Você acredita que há uma solução universal para a governança de IA e segurança de dados, ou é mais específica para cada caso?

“Embora eu não pense que haja uma abordagem única para a governança de IA no que diz respeito à segurança de dados, há certamente considerações que os líderes de dados devem adotar agora para estabelecer uma base para segurança e governança. Quando se trata de governar a IA, é realmente crítico ter contexto sobre o que o modelo de IA está sendo usado e por quê. Se você estiver usando a IA para algo mais mundano com menos impacto, seu cálculo de risco será muito menor. Se você estiver usando a IA para tomar decisões sobre saúde ou treinar um veículo autônomo, seu impacto de risco é muito maior. Isso é semelhante à governança de dados; por que os dados estão sendo usados é tão importante quanto como eles estão sendo usados.

Você recentemente escreveu um artigo intitulado “Abordando as Ameaças Ocultas da IA Sombra”. O que é IA Sombra e por que as empresas devem prestar atenção a isso?

“A IA Sombra pode ser definida como o uso irregular de ferramentas de IA não autorizadas que caem fora do quadro de governança de uma organização. As empresas precisam estar cientes desse fenômeno para proteger os dados, pois alimentar dados internos em uma aplicação não autorizada, como uma ferramenta de IA, pode apresentar um risco enorme. A TI Sombra é geralmente bem conhecida e relativamente fácil de gerenciar uma vez detectada. Basta descomissionar a aplicação e seguir em frente. Com a IA Sombra, você não tem um acordo de usuário claro sobre como os dados são usados para treinar um modelo de IA ou onde o modelo está compartilhando suas respostas uma vez geradas. Basicamente, uma vez que os dados estão no modelo, você perde o controle sobre eles. Para mitigar o risco potencial da IA Sombra, as organizações devem estabelecer acordos claros e processos formalizados para usar essas ferramentas, se os dados estiverem saindo do ambiente de qualquer forma.

Pode explicar as vantagens de usar o controle de acesso baseado em atributos (ABAC) em vez do controle de acesso baseado em funções (RBAC) na segurança de dados?

O controle de acesso baseado em funções (RBAC) funciona restringindo permissões ou acesso ao sistema com base em um papel dentro da organização. O benefício disso é que torna o controle de acesso estático e linear, pois os usuários só podem acessar os dados se forem atribuídos a certos papéis pré-determinados. Embora o modelo RBAC tenha servido tradicionalmente como uma forma de controlar o uso interno de dados de forma hands-off, ele não é de forma alguma indestrutível, e hoje podemos ver que sua simplicidade também é sua principal desvantagem.

RBAC foi prático para uma organização menor com papéis limitados e poucas iniciativas de dados. As organizações contemporâneas são impulsionadas por dados, com necessidades de dados que crescem ao longo do tempo. Nesse cenário cada vez mais comum, a eficiência do RBAC se desintegra. Felizmente, temos uma opção mais moderna e flexível para controle de acesso: o controle de acesso baseado em atributos (ABAC). O modelo ABAC adota uma abordagem mais dinâmica para acesso e segurança de dados do que o RBAC. Ele define papéis lógicos combinando os atributos observáveis dos usuários e dos dados e determinando decisões de acesso com base nesses atributos. Uma das maiores forças do ABAC é sua natureza dinâmica e escalável. À medida que os casos de uso de dados crescem e a democratização de dados permite que mais usuários dentro das organizações acessem os dados, os controles de acesso devem ser capazes de expandir com seus ambientes para manter a segurança de dados consistente. Um sistema ABAC também tende a ser intrinsicamente mais seguro do que os modelos de controle de acesso anteriores. Além disso, esse alto nível de segurança de dados não vem à custa da escalabilidade. Ao contrário dos padrões de controle de acesso e governança anteriores, o caráter dinâmico do ABAC cria um modelo à prova de futuro.”

Quais são as etapas principais para expandir o acesso aos dados enquanto se mantém uma governança e segurança de dados robustas?

Controlar o acesso aos dados é usado para restringir o acesso, permissões e privilégios concedidos a certos usuários e sistemas que ajudam a garantir que apenas indivíduos autorizados possam ver e usar conjuntos de dados específicos. Dito isso, as equipes de dados precisam ter acesso a tantos dados quanto possível para impulsionar as informações de negócios mais precisas. Isso apresenta um problema para as equipes de segurança e governança de dados que são responsáveis por garantir que os dados sejam adequadamente protegidos contra acesso não autorizado e outros riscos. Em um ambiente de negócios cada vez mais impulsionado por dados, um equilíbrio deve ser alcançado entre esses interesses concorrentes. No passado, as organizações tentaram alcançar esse equilíbrio usando uma abordagem passiva para o controle de acesso aos dados, o que apresentou gargalos de dados e segurou as organizações quando se tratava de velocidade. Para expandir o acesso aos dados enquanto se mantém uma governança e segurança de dados robustas, as organizações devem adotar o controle de acesso automatizado aos dados, que introduz velocidade, agilidade e precisão no processo de aplicar regras aos dados. Há cinco etapas para dominar para automatizar o controle de acesso aos dados:

1. Deve ser capaz de dar suporte a qualquer ferramenta que uma equipe de dados use.
2. Precisa dar suporte a todos os dados, independentemente de onde estão armazenados ou da tecnologia de armazenamento subjacente.
3. Requer acesso direto aos mesmos dados ao vivo em toda a organização.
4. Qualquer pessoa, com qualquer nível de expertise, pode entender quais regras e políticas estão sendo aplicadas aos dados da empresa.
5. As políticas de privacidade de dados devem viver em um local central.
6. Uma vez que esses pilares sejam dominados, as organizações podem se libertar da abordagem passiva para o controle de acesso aos dados e permitir um controle de acesso seguro, eficiente e escalável.

Em termos de monitoramento de dados em tempo real, como a Immuta permite que as organizações gerenciem proativamente o uso de seus dados e riscos de segurança?

O produto Immuta Detect permite que as organizações gerenciem proativamente o uso de seus dados, pontuando automaticamente os dados com base em quão sensíveis eles são e como são protegidos (como mascaramento de dados ou um propósito declarado para acessá-los), para que as equipes de dados e segurança possam priorizar riscos e receber

Obrigado pela ótima entrevista, leitores que desejam aprender mais devem visitar Immuta.