Шри Иер, технический директор и сооснователь Kovr.ai – Интервью

Шри Иер, технический директор и сооснователь Kovr.ai, является опытным технологическим лидером с обширным опытом в области искусственного интеллекта, анализа данных, квантовых вычислений и автоматизации. До основания Kovr.ai он занимал руководящие должности в Amazon (AMZN ), Guidehouse, PwC и Raytheon, где возглавлял команды, разрабатывающие решения нового поколения как в государственном, так и в частном секторах. Благодаря более чем десятилетнему опыту работы с новыми технологиями и многочисленным отраслевым сертификатам, Иер построил репутацию компании, которая помогает организациям использовать инновационные инструменты для решения сложных бизнес- и безопасных задач.

Kovr.ai переопределяет кибербезопасность через платформу, основанную на искусственном интеллекте, предназначенную для облачных и гибридных сред. Компания автоматизирует сложные нормативные рамки, такие как FedRAMP и CMMC, с помощью кодированной интеллекта в режиме реального времени, что позволяет предприятиям получить разрешение на эксплуатацию (ATO) всего за 15 минут. Заменяя традиционные ручные консультации и негибкие инструменты соответствия, Kovr.ai предоставляет масштабируемый, адаптивный подход к управлению рисками, который позволяет высокорегулируемым организациям оставаться безопасными, соответствующими и готовыми к постоянным изменениям.

До основания Kovr.ai вы занимали руководящие должности в AWS, PwC и различных федеральных стартапах. Какие личные или профессиональные опыт привели вас к пониманию того, что есть лучший способ решить проблемы федеральной ИТ-службы – и в конечном итоге вдохновили вас на запуск Kovr.ai?

Я испытал проблемы федеральной ИТ-службы с обеих сторон – сначала как владелец системы, разрабатывающий крупномасштабные платформы для Министерства обороны, а позже, возглавляя облачные и ИИ-инициативы в AWS. В одном случае система, над которой я работал, заняла годы на разработку, только чтобы быть задержанной на этапе соответствия на еще более долгий период. Это разочарование стало поворотным моментом.

В AWS я возглавлял команды, которые поддерживали услуги, проходящие через процесс соответствия FedRAMP и аналогичные процессы. Несмотря на обширные ресурсы Amazon, получение разрешения на эксплуатацию услуг в новых регионах может занять до трех лет. Даже на таком масштабе лучшие внутренние решения были по сути украшенными таблицами – инструментами, такими как Quip или Google Docs – для отслеживания и управления процессом. Неэффективность была ошеломляющей, и я увидел своими глазами, что большинство агентств сталкиваются с одной и той же проблемой.

В течение многих лет я считал, что должен быть лучший способ, но сложность сопоставления тысяч контролей с кодбазами и документацией сделала истинную автоматизацию недостижимой. Это изменилось, когда я возглавлял команду архитектуры решений ИИ/МЛ в AWS. Смотреть, как генеративный ИИ может преобразовать ручные рабочие процессы, было откровением. Внезапно то, что казалось невозможным – снижение нагрузки соответствия, а не просто ее перенос в другой инструмент – показалось осуществимым.

После некоторых экспериментов и исследований мой нынешний сооснователь и я поняли, что мы можем построить платформу, которая не только отслеживает соответствие, но и существенно ускоряет его. Это прозрение стало началом Kovr.ai, способом использования ИИ для снижения, а не просто управления, бремени федеральной ИТ-службы.

Многие технологические стартапы сталкиваются с сложностью, стоимостью и темпом федеральных требований к соответствию. Какие были самые большие препятствия, с которыми вы столкнулись на ранней стадии – и как Kovr.ai успешно преодолел или преодолел эти проблемы, чтобы построить жизнеспособное решение?

Kovr.ai столкнулся с несколькими серьезными препятствиями на ранней стадии решения проблем федерального соответствия для технологических стартапов, включая:

• Сложность и ручные процессы: Стартапы часто находили федеральное соответствие подавляющим из-за огромного количества контролей (например, NIST 800-53 имеет более 1200 контролей) и ручных, основанных на таблицах процессов, обычно используемых. Это сделало соответствие медленным, склонным к ошибкам и требующим много ресурсов.
• Медленная обратная связь и итерация: Традиционные процессы соответствия требовали длительных циклов обратной связи между командами и консультантами, задерживая прогресс и затрудняя стартапам понимание их положения или определение того, что нужно исправить дальше.
• Высокая стоимость и бремя ресурсов: Стартапы, с ограниченным временем и деньгами, боролись с приоритетом соответствия над своей основной дорожной картой продукта, часто откладывая государственные работы на годы.

Мы преодолели эти препятствия, используя автоматизацию, гибкие входные данные, быструю итерацию и глубокую интеграцию рабочих процессов, чтобы сделать соответствие более доступным для стартапов. Платформа автоматически сканирует документацию, код и облачные среды, чтобы сопоставить их с контролями соответствия и предоставить мгновенные оценки пробелов. Она поддерживает артефакты в любом формате, снижая барьеры для входа, и подчеркивает быструю обратную связь пользователей, чтобы обеспечить реальную актуальность. Включая проверки соответствия в конвейеры разработки, Kovr.ai помогает командам интегрировать соответствие без значительных сбоев.

Как сдвиг в сторону форматов соответствия,читаемых машиной, таких как OSCAL [Открытый язык оценки безопасности], изменил подход как поставщиков, так и агентств к безопасности?

OSCAL имеет потенциал сделать соответствие более автоматизированным и эффективным, но его влияние в настоящее время ограничено темпом принятия среди поставщиков и агентств. По мере того, как больше сторон используют OSCAL, ожидается рост преимуществ автоматизации и стандартизации в процессах соответствия. Kovr.ai построен на основе OSCAL, что позволяет ему передавать и обрабатывать информацию о соответствии в этом формате, но более широкие выгоды будут реализованы только тогда, когда больше заинтересованных сторон примут рабочие процессы на основе OSCAL.

Вы описываете Kovr.ai как “пилота соответствия”. Пройдите со мной через то, как это выглядит на практике – от документации до готовности к аудиту. Что происходит за кулисами, что делает этот процесс быстрее или проще?

За кулисами Kovr.ai использует ИИ и автоматизацию, чтобы исключить ручную работу, предоставить мгновенную обратную связь и поддерживать документацию соответствия в актуальном состоянии, что делает весь процесс, от документации до готовности к аудиту, намного быстрее и проще для пользователей.

Пользователи могут ввести любые артефакты соответствия, которые у них уже есть, в любом формате – документы, код, данные облачной среды, диаграммы архитектуры и т. д. Оттуда Kovr.ai автоматически сканирует каждую строку каждого документа, кодовой базы и среды, а затем сопоставляет всю эту информацию с соответствующими контролями безопасности, такими как те, что в NIST 800-53. Это делается с помощью моделей ИИ, которые строят всестороннюю графическую модель ландшафта соответствия пользователя.

Затем наша система оценивает каждый контроль, выявляет пробелы и генерирует действенные рекомендации по исправлению. Пользователи могут устранить эти пробелы, обновив свою среду или документацию и повторно загрузив в Kovr.ai, которая затем предоставляет мгновенную обратную связь о том, решены ли проблемы. Хорошая новость заключается в том, что этот процесс может быть повторен столько раз, сколько необходимо, позволяя пользователям итеративно улучшать свою позицию соответствия с быстрой, автоматизированной обратной связью, тем самым исключая традиционные задержки между командами и консультантами.

Kovr.ai также может генерировать всю необходимую документацию соответствия, включая шаблоны правительства, такие как FedRAMP SSP, используя информацию в графической модели.

Наконец, платформа поддерживает все информацию о соответствии в актуальном состоянии и может упаковать ее для аудиторов. Все чаще аудиторы могут даже получить прямой доступ к Kovr.ai, чтобы просмотреть и запросить данные соответствия, оптимизируя процесс аудита.

Стартапы часто сталкиваются с трудным компромиссом: двигаться быстро и ломать вещи или замедлить темп, чтобы соответствовать требованиям. Как вы подходили к этому компромиссу, строив Kovr.ai – и какой совет вы дали бы другим инноваторам, пытающимся масштабироваться на регулируемые рынки?

Kovr.ai был построен с учетом соответствия и безопасности с самого начала, включая функции, такие как системы с воздушным зазором, сильную аутентификацию и шифрование для поддержки регулируемых сред. Мы также интегрировали автоматические проверки соответствия напрямую в наш конвейер DevOps, что позволяет обнаруживать проблемы на ранней стадии и избегать длительных проверок, и сосредоточились на быстром прототипировании и интеграции на основе обратной связи пользователей, гарантируя, что продукт соответствует потребностям пользователей, оставаясь при этом соответствующим. Автоматизация еще больше снижает ручную нагрузку, позволяя быстро и безопасно разрабатывать на масштабе.

Для инноваторов важно встроить соответствие и безопасность в свой продукт с самого начала, особенно для регулируемых рынков. Интегрируйте автоматические проверки соответствия в свой конвейер DevOps, чтобы обнаруживать проблемы на ранней стадии, и привлекайте человеческих экспертов по соответствию, когда это необходимо. Хотя соответствие может замедлить разработку функций, оно в конечном итоге экономит время, избегая дорогостоящего переделывания.

Вы говорили о необходимости модернизации федеральных закупок. Какие части текущей системы кажутся вам наиболее устаревшими – и какие практические изменения сделали бы ее проще для молодых компаний конкурировать?

Система федеральных закупок часто кажется устаревшей, с медленными циклами закупок, финансированием, которое отдает приоритет операциям над инновациями, и сложными механизмами закупок, которые затрудняют стартапам проникновение на рынок. Чтобы поддержать молодые компании, практические реформы включают выделение более гибкого, ориентированного на инновации финансирования, снижение порогов закупок для более быстрых и меньших покупок, расширение доступа к транспортным средствам закупок, таким как Tradewinds Министерства обороны, и создание упрощенных, похожих на “магазин приложений”, платформ для упрощения того, как агентства обнаруживают и покупают новые технологии.

Оглядываясь назад, какие основополагающие решения – вокруг архитектуры, стратегии выхода на рынок или найма – оказались наиболее важными для того, чтобы Kovr.ai достигла своего текущего положения?

Самыми важными основополагающими решениями для Kovr.ai были быстрое прототипирование и итерация, ориентированная на пользователя видение продукта, гибкие производственные стратегии, построение сообщества обратной связи и поддержание сильного внимания к потребностям клиентов. Эти выборы позволили нам построить решение, которое действительно решает проблемы федерального соответствия.

Как технический директор, как вы балансируете между быстрой инновацией и поддержанием идеального соответствия? Есть ли какие-либо рамки или внутренние практики, которые вы приняли, чтобы поддерживать оба приоритета на правильном пути?

Я балансирую инновации и соответствие, встраивая соответствие на каждом этапе разработки, используя автоматизацию, поддерживая гибкие производственные среды и оставаясь в тесной связи с потребностями пользователей и экспертным руководством. Эти практики гарантируют, что оба приоритета – быстрая инновация и идеальное соответствие – последовательно удовлетворяются.

Оглядываясь вперед, куда вы видите Kovr.ai, расширяющийся дальше – будь то в государственное и местное правительство, другие регулируемые отрасли, такие как финансы и энергетика, или даже международные рынки?

Команда продолжит совершенствовать технологию Kovr.ai для непрерывного и автоматизированного управления соответствием, расширяясь в нескольких направлениях за пределы своего текущего внимания к федеральному правительственному соответствию. Это включает расширение в государственное и местное правительство, другие регулируемые отрасли, такие как финансы, энергетика и здравоохранение, и международные рынки.

Спасибо за отличное интервью, читатели, которые хотят узнать больше, должны посетить Kovr.ai.