Ali Hayat, director general și fondator al Axipro – serie de interviuri

Ali Hayat este director general și fondator al Axipro. El îmbină experiența în managementul riscurilor industriale și auditarea conformității cu standardele ISO cu cea din domeniul securității cibernetice și al consultanței în materie de conformitate. La începutul carierei, a lucrat în medii industriale cu mize ridicate, unde siguranța, cerințele de reglementare și riscurile operaționale erau preocupări esențiale. Ulterior, a dezvoltat Axipro fără investiții externe, concentrându-se pe sprijinirea companiilor aflate în creștere pentru a adopta măsuri de securitate practice, a se pregăti pentru audituri și a gestiona riscurile emergente asociate IA.

Axipro este o firmă de consultanță în securitate cibernetică și conformitate, care sprijină organizațiile în respectarea unor cadre precum SOC 2, ISO 27001 și ISO 42001, precum și a cerințelor privind protecția datelor. Activitatea sa îmbină consultanța, automatizarea conformității, pregătirea pentru audituri și testarea securității, punând accentul pe monitorizarea continuă și supravegherea umană. În acest interviu, Hayat discută despre fluxurile de lucru pentru conformitate bazate pe IA, utilizarea IA din umbră, riscurile agenților autonomi, diferențele regionale de guvernanță și decalajul dintre certificare și reziliența în materie de securitate cibernetică.

V-ați început cariera în medii industriale cu mize ridicate, lucrând la proiecte care implicau Saudi Aramco, ADNOC și TotalEnergies, unde siguranța, gestionarea riscurilor și conformitatea cu reglementările erau esențiale. Ce v-a determinat să treceți de la siguranța industrială și auditare la securitatea cibernetică și ce v-a motivat, în cele din urmă, să fondați Axipro?

Am fondat Axipro după ce am observat o lacună pe piață în timp ce lucram în managementul calității. În 2021, am remarcat că se lansau multe platforme noi de securitate cibernetică, semi-automatizate, pentru conformitatea cu SOC 2 și ISO 27001.

A devenit clar că, deși aceste platforme reduceau o mare parte din povara conformității pentru echipele tehnice, ele necesitau în continuare configurare și întreținere, iar startupurile, care deja se străduiau să țină pasul cu creșterea, ar fi plătit o echipă condusă de oameni care să se ocupe de conformitate. Așa a luat naștere Axipro.

Apoi, în 2022, au fost lansate primele platforme de IA. A fost un alt moment de revelație. În timp ce mulți oameni din domeniu se temeau că vor deveni inutili, mi-am dat repede seama că era o oportunitate uriașă. Cel mai probabil, IA urma să ducă la o creștere exponențială a atacurilor cibernetice, iar specialiștii calificați urmau să fie necesari pentru a răspunde nevoilor startupurilor în materie de securitate și conformitate.

Astăzi, suntem partener de elită Drata și partener preferențial Vanta și am ajutat peste 300 de companii să respecte principalele standarde de securitate cibernetică și de IA.

Ați dezvoltat Axipro de la zero, fără investiții externe, transformând-o într-o firmă internațională de consultanță care deservește sute de clienți. Care au fost cele mai mari provocări ale construirii unei afaceri de securitate cibernetică prin autofinanțare și cum v-au ajutat tehnologia și automatizarea să vă extindeți operațiunile, menținând în același timp calitatea serviciilor?

Primii ani au fost extrem de dificili. De la epuizarea economiilor în timp ce urma să am un copil până la apariția primelor modele de IA care au preluat controlul asupra domeniului, probabil că primii 2–3 ani sunt responsabili pentru firele albe pe care le am acum.

Concuram cu câțiva giganți cu reputații bine stabilite, birouri mari și bugete considerabile de marketing. Eram în Bahrain, aveam experiență în managementul calității, iar bugetul meu de marketing era 0.

Am ales o abordare neconvențională: am rămas suplu și eficient și am oferit prețuri mai mici decât marile companii consacrate.

Astfel, am atras mulți clienți noi, însă marjele noastre erau mici. Gestionarea fluxului de numerar a devenit o artă, iar în primii 2 ani abia am reușit să supraviețuim. Totul s-a schimbat când am semnat primul nostru contract de cinci cifre, care acoperea mai multe cadre de conformitate. Acesta ne-a oferit un răgaz, mi-a permis să fac primele angajări cu normă întreagă și să încep să mă gândesc la marketing dincolo de parteneriate și recomandări.

Axipro se concentrează pe simplificarea cadrelor complexe de conformitate prin transformare digitală și automatizare. Cum schimbă inteligența artificială fluxurile tradiționale de lucru pentru conformitate și care activități credeți că oferă cele mai mari oportunități de eficientizare prin IA?

Domeniul conformității a avut mult de câștigat de pe urma IA. Anterior, se baza pe volume mari de muncă repetitivă, precum colectarea și cartografierea dovezilor, completarea chestionarelor de securitate și redactarea politicilor. Aproape toate aceste sarcini sunt acum automatizate. IA a făcut posibilă și monitorizarea continuă, precum și semnalarea riscurilor de securitate cibernetică și de neconformitate.

În prezent, IA intervine în aproape toate etapele procesului de conformitate. După integrarea unui client nou, sistemul nostru intern de IA efectuează o evaluare automată a riscurilor, în funcție de domeniul de activitate, dimensiunea și localizarea companiei. Avem o bază de date extinsă cu proiectele anterioare, care ne ajută să identificăm automat potențialele riscuri și semnalele de alarmă. Acesta este, probabil, cel mai important beneficiu adus de IA.

Atacatorii cibernetici au beneficiat și ei de IA, iar numărul atacurilor a crescut exponențial. Se desfășoară un fel de cursă a înarmării între IA și IA: firme precum a noastră lucrează la detectarea automată a amenințărilor, în timp ce hackerii automatizează atacurile.

Aici intervine judecata umană, care este esențială în modul nostru de lucru: IA trebuie să preia sarcinile repetitive și să sporească eficiența operațională, astfel încât oamenii să se poată concentra asupra evaluării amenințărilor și a răspunsului la acestea.

Multe organizații încă abordează conformitatea în materie de securitate cibernetică drept un exercițiu periodic, axat pe pregătirea pentru audituri. Cum schimbă această abordare instrumentele bazate pe IA și platformele de monitorizare continuă, precum Drata, și ce înseamnă pentru companii tranziția către conformitatea continuă?

Când am început să lucrez în domeniul conformității, toată lumea se temea de perioada auditurilor. Companiile își ignorau controalele cea mai mare parte a anului, apoi petreceau săptămâni întregi căutând capturi de ecran și jurnale înainte de termenul-limită al auditului. Dacă treceai auditul, însemna că erai conform în ziua respectivă și cam atât.

Drata și platformele similare au schimbat lucrurile. Acestea se conectează la instrumentele cloud și de resurse umane ale unei companii și verifică zilnic controalele. Dacă cineva dezactivează autentificarea multifactorială (MFA) sau un fost angajat încă are acces, problema este semnalată imediat, iar echipa noastră o remediază pe loc.

Pentru companii, conformitatea nu mai este un proiect anual, ci devine parte din operațiunile obișnuite. Auditurile durează mai puțin și costă mai puțin, iar echipele de vânzări le pot prezenta oricând cumpărătorilor din companii mari situația securității, ceea ce ajută la încheierea mai rapidă a contractelor.

Confidențialitatea datelor și securitatea cibernetică trec treptat de la statutul de cerință pentru activitatea în industrii sensibile la cel de atu de marketing cu valoare adăugată.

Pe măsură ce organizațiile se bazează tot mai mult pe IA pentru a genera documentație de securitate, a evalua riscuri și a examina dovezi de conformitate, cum se pot asigura că aceste sisteme oferă rezultate exacte și demne de încredere? În ce etape ale procesului de audit și certificare trebuie să rămână esențială expertiza umană?

IA se pricepe foarte bine să redacteze documente care par corecte. O politică poate părea perfectă și totuși să descrie procese pe care compania nu le are.

Procedăm astfel: IA redactează și semnalează problemele, dar cineva din echipa noastră verifică totul înainte ca materialele să ajungă la client sau la auditor. De asemenea, tot ce produce IA ar trebui să trimită la dovezile pe care se bazează, astfel încât să le putem verifica.

În ceea ce privește auditul intern și extern, aici trasez o limită fermă. Auditorii își asumă rezultatul semnându-și numele și punându-și în joc reputația profesională. IA îi poate ajuta să parcurgă mai repede dovezile, dar decizia de a certifica sau nu o companie trebuie să rămână în mâinile unei persoane. Dacă nimeni nu răspunde pentru decizie, certificatul își pierde valoarea.

Axipro sprijină organizațiile care trebuie să respecte standarde precum ISO 27001, SOC 2 și ISO 42001, standardul internațional pentru sistemele de management al IA. Cu ce provocări noi se confruntă companiile când încearcă să instituie o guvernanță responsabilă a IA și prin ce se deosebește gestionarea riscurilor asociate IA de conformitatea tradițională în materie de securitate a informațiilor?

Majoritatea companiilor cu care discutăm nici măcar nu știu cât de mult folosesc IA. Acest fenomen se numește „IA din umbră”.

Departamentul de marketing s-a înscris la un instrument, dezvoltatorii au integrat un model în produs, iar cineva din departamentul financiar copiază foi de calcul într-un chatbot. Nimic din toate acestea nu este rău intenționat; oamenii încearcă să lucreze mai repede, iar instrumentele de IA sunt ieftine și rapide. Totuși, astfel, datele companiei pot fi expuse cu ușurință.

Primul și cel mai important pas în majoritatea proiectelor de conformitate cu ISO 42001 și cu cerințele privind IA este să cartografiem toate aceste utilizări. Analizăm deconturile de cheltuieli, înscrierile la servicii software și datele de rețea, apoi discutăm cu fiecare echipă despre instrumentele pe care le folosește efectiv zi de zi. Lista pe care o întocmim este aproape întotdeauna mai lungă decât ne-am așteptat.

Interzicerea IA rareori dă rezultate și este contraproductivă și ineficientă. Vrem ca și clienții noștri să poată beneficia de eficiența oferită de modelele de IA. O abordare mai bună este să le punem angajaților la dispoziție instrumente aprobate, care își fac treaba, să stabilim reguli clare privind datele care pot fi introduse în ele și să facilităm solicitarea unor instrumente noi.

Guvernanța IA ridică și întrebări pe care securitatea informațiilor nu a trebuit să le abordeze până acum. În cazul ISO 27001, principala preocupare este să împiedici persoanele neautorizate să acceseze datele. În cazul ISO 42001, trebuie să știi și dacă IA funcționează corect, dacă îi poți explica deciziile și cine răspunde atunci când greșește.

Aceste riscuri se schimbă și mai repede. Un furnizor poate actualiza un model peste noapte și poate modifica modul în care se comportă produsul tău, fără ca tu să schimbi ceva.

Companiile care au deja certificarea ISO 27001 pornesc cu un avantaj. Ambele standarde folosesc aceeași structură a sistemului de management, așa că o mare parte din munca pregătitoare este deja făcută.

Odată cu apariția agenților autonomi de IA, capabili să acceseze informații sensibile, să interacționeze cu sistemele întreprinderilor și să execute procese de afaceri, la ce riscuri noi de securitate cibernetică și de conformitate ar trebui să se pregătească organizațiile? Sunt cadrele de securitate existente capabile să gestioneze aceste sisteme din ce în ce mai autonome?

Agenții sunt domeniul pe care îl urmăresc cel mai îndeaproape în acest moment. Software-ul obișnuit face exact ce i se spune. Un agent ia singur decizii și poate fi păcălit, dar îi poate și păcăli pe alții, așa cum am văzut în incidentul Hugging Face.

Cel mai frecvent risc pe care îl observăm este injectarea de prompturi. Un atacator poate ascunde instrucțiuni într-un e-mail sau într-un PDF, iar când agentul tău îl citește, le urmează folosind orice acces i-ai acordat.

Al doilea risc este că firmele le oferă agenților mult prea mult acces, fiindcă e mai simplu așa. Adesea, angajații le acordă agenților IA acces prin propriile conturi de e-mail, în loc să le creeze conturi dedicate, ceea ce face extrem de dificil să se stabilească dacă o modificare a fost făcută de o persoană sau de un bot. Iar dacă jurnalizarea este deficitară, s-ar putea să nu știți nici măcar ce a făcut agentul.

ISO 27001 și SOC 2 acoperă în continuare aspecte de bază, precum controlul accesului și jurnalizarea, iar ISO 42001 este util pentru componenta IA. Totuși, niciunul dintre aceste standarde nu a fost conceput având în vedere agenții autonomi, iar eu mă aștept să apară în curând noi îndrumări.

AIUC-1 se conturează ca un standard de referință pentru AIUC-1, iar noi abia am început să ne instruim personalul pentru a-l implementa. Am discutat de câteva ori despre el cu clienții, dar încă nu avem studii de caz pe care să le prezentăm. Beneficiază de susținerea puternică a unor mari companii de securitate cibernetică, așa că ne așteptăm ca acest cadru să devină standardul de referință pentru agenții IA.

După ce ați lucrat în Orientul Mijlociu, Europa și Statele Unite, ați întâlnit medii de reglementare și abordări ale gestionării riscurilor diferite. Cum influențează diferențele regionale în guvernanța IA și protecția datelor modul în care companiile implementează IA și ce provocări apar atunci când organizațiile își desfășoară activitatea în mai multe jurisdicții?

Având sediul în Bahrain și colaborând cu clienți din Europa și SUA, am încetat să mă mai aștept ca normele privind IA să convergă. Dimpotrivă, regiunile par să se îndepărteze tot mai mult una de alta.

În Europa, reglementarea se face prin lege. Actul UE privind IA clasifică sistemele de IA în funcție de risc și stabilește obligațiile fiecărei categorii, așa că firmele europene tind să acționeze cu prudență și să documenteze totul. SUA nu au o lege federală privind IA, iar cea mai mare parte a reglementării este lăsată în seama pieței. În contracte, cumpărătorii solicită cadre precum Cadrul de gestionare a riscurilor IA al NIST, iar răspunderea juridică completează restul. China urmează o a treia cale, adoptând câte o nouă regulă de fiecare dată când o tehnologie generează un nou risc.

Regiunea Golfului mi se pare cea mai interesantă. Arabia Saudită, de exemplu, nu are încă o lege orizontală privind IA. Majoritatea normelor obligatorii țin de legislația privind protecția datelor și de achizițiile publice, deoarece statul este cel mai mare cumpărător de tehnologie din regiune. Cerințele de conformitate depind în mare măsură de cine este clientul. Când SDAIA, autoritatea de reglementare saudită, a obținut ea însăși certificarea ISO 42001 în 2024, acest lucru a indicat pieței ce standard urma să solicite în licitații.

Cea mai dificilă situație apare atunci când o companie își desfășoară activitatea în mai multe dintre aceste regiuni. O companie SaaS din Riad care vinde în Europa poate îndeplini cerințele tehnice ale UE și totuși să nu respecte în Arabia Saudită regulile privind înregistrarea și transferul datelor. Niciuna dintre părți nu acceptă documentele celeilalte.

Abordarea noastră este să construim o bază aplicabilă oriunde, formată din ISO 42001 alături de ISO 27001, apoi să adăugăm cerințele fiecărei regiuni. ISO 42001 nu vă asigură, de unul singur, conformitatea legală nicăieri, dar este cel mai apropiat lucru de un limbaj comun acceptat de toate aceste regiuni.

Există adesea un decalaj semnificativ între obținerea unei certificări de securitate și menținerea unei reziliențe reale în materie de securitate cibernetică. Cum pot organizațiile să folosească IA și automatizarea pentru a depăși conformitatea formală, bazată pe bifarea unor cerințe, și pentru a dezvolta practici de securitate care se adaptează continuu la amenințările emergente?

Am văzut companii cu un raport SOC 2 abia emis și cu vulnerabilități de securitate elementare pe care nu le observase nimeni. Obiectivul lor fusese să treacă auditul. Un certificat arată că o companie a respectat un standard la o anumită dată, dar nu demonstrează că poate opri un atac.

Pentru a depăși această problemă, trebuie să ne întrebăm dacă fiecare măsură de control ar rezista testării. Automatizarea este de mare ajutor în acest sens. Monitorizarea continuă detectează problemele cât sunt încă minore, iar datele actuale despre amenințări mențin evaluările riscurilor aliniate la ceea ce fac atacatorii în prezent. Testele periodice de penetrare și simulările de atac arată apoi dacă măsurile de control funcționează în practică.

Obținerea certificării CREST în acest an a făcut parte din acest demers. Am vrut să testăm securitatea clienților noștri și să documentăm rezultatele.

Privind spre următorii trei-cinci ani, cum credeți că va transforma IA industria consultanței în securitate cibernetică și conformitate? Credeți că agenții IA vor ajunge, în cele din urmă, să gestioneze autonom majoritatea activităților de rutină legate de conformitate și cum vedeți evoluția Axipro pe măsură ce aceste tehnologii se maturizează?

Cred că, în următorii cinci ani, agenții IA vor prelua majoritatea activităților de rutină legate de conformitate, precum colectarea dovezilor, actualizarea politicilor și completarea chestionarelor de securitate. Firmele care își câștigă banii facturând ore de lucru fără să aibă o expertiză clară în aceste activități vor întâmpina dificultăți.

Totuși, nu cred că agenții vor gestiona singuri conformitatea. Cu cât IA preia mai multă muncă, cu atât deciziile rămase devin mai importante. Cineva tot trebuie să aprobe un audit și să gestioneze consecințele atunci când ceva nu merge bine. Întrucât și atacatorii folosesc IA, cererea de specialiști calificați în apărare va continua să crească.

La Axipro, cred că vom petrece mai puțin timp cu documentația și mai mult timp oferindu-le consultanță clienților și testându-le securitatea. IA dezvoltată intern va prelua mai multe activități operaționale, iar echipa noastră se va concentra pe deciziile care necesită discernământ uman. În 2022, mulți credeau că IA va face redundante firme precum a noastră. Până acum, s-a întâmplat exact contrariul: am crescut cu peste 10% de la o lună la alta, uneori având mai mult de lucru decât putem gestiona, iar noi nu ne așteptăm ca lucrurile să se liniștească.

Vă mulțumim pentru interviul excelent, iar cititorii care doresc să afle mai multe despre conformitatea în materie de securitate cibernetică, guvernanța IA și dezvoltarea unor practici continue de securitate ar trebui să viziteze Axipro.