Ali Hayat, vd och grundare av Axipro – intervjuserie

Ali Hayat är vd och grundare av Axipro. Han kombinerar en bakgrund inom industriell riskhantering och ISO-revision med erfarenhet av cybersäkerhet och regelefterlevnad. I början av karriären arbetade han i industriella högriskmiljöer, där säkerhet, regulatoriska krav och operativa risker stod i centrum. Senare byggde han upp Axipro utan externt kapital, med fokus på att hjälpa växande företag att införa praktiska säkerhetskontroller, förbereda sig för revisioner och hantera framväxande AI-risker.

Axipro är en konsultbyrå inom cybersäkerhet och regelefterlevnad som hjälper organisationer att uppfylla krav enligt bland annat SOC 2, ISO 27001 och ISO 42001 samt dataskyddskrav. Företagets arbete omfattar konsulttjänster, automatisering av regelefterlevnad, revisionsförberedelser och säkerhetstester, med tonvikt på kontinuerlig övervakning och mänsklig tillsyn. I den här intervjun diskuterar Hayat AI-drivna arbetsflöden för regelefterlevnad, skugg-AI, risker med autonoma agenter, regionala skillnader i styrning samt gapet mellan certifiering och motståndskraft inom cybersäkerhet.

Din karriär började i industriella högriskmiljöer, med arbete i projekt som involverade Saudi Aramco, ADNOC och TotalEnergies, där säkerhet, riskhantering och regelefterlevnad var avgörande. Vad inspirerade dig att gå från industriell säkerhet och revision till cybersäkerhet, och vad fick dig till slut att grunda Axipro?

Jag grundade Axipro eftersom jag såg en lucka på marknaden när jag arbetade med kvalitetsledning. 2021 lade jag märke till att många nya cybersäkerhetsplattformar lanserades med halvautomatiserade plattformar för regelefterlevnad enligt SOC 2 och ISO 27001.

Det blev tydligt att även om plattformarna avlastade de tekniska teamen från en stor del av arbetet med regelefterlevnad, krävde de fortfarande installation och underhåll. Nystartade företag, som redan hade svårt att hålla jämna steg med tillväxten, var därför beredda att anlita ett team med mänsklig expertis för att hålla koll på regelefterlevnaden. Så föddes Axipro.

Sedan lanserades de första AI-plattformarna 2022. Det blev ännu en aha-upplevelse. Medan många i branschen oroade sig för att bli överflödiga insåg jag snabbt att det här var en enorm möjlighet. AI skulle sannolikt öka antalet cyberattacker exponentiellt, och kunniga människor skulle behövas för att hjälpa nystartade företag att möta sina behov inom säkerhet och regelefterlevnad.

I dag är vi Drata Elite Partner och Vanta Preferred Partner, och vi har hjälpt över 300 företag att uppfylla kraven i ledande standarder för cybersäkerhet och AI.

Du byggde upp Axipro från grunden utan externt kapital och utvecklade företaget till en internationell konsultbyrå med hundratals kunder. Vilka var de största utmaningarna med att starta och driva ett cybersäkerhetsföretag med begränsade resurser, och hur har teknik och automatisering hjälpt dig att skala upp verksamheten och samtidigt upprätthålla tjänsternas kvalitet?

De första åren var oerhört utmanande. Allt från att göra slut på mina besparingar medan vi väntade barn till att se de första AI-modellerna ta över branschen – de första 2 till 3 åren är förmodligen orsaken till de gråa hår jag har i dag.

Jag konkurrerade med några få giganter som hade ett etablerat anseende, stora kontor och omfattande marknadsföringsbudgetar. Jag var baserad i Bahrain, hade en bakgrund inom kvalitetsledning och hade en marknadsföringsbudget på 0.

Jag valde i stället en okonventionell väg: jag höll verksamheten slimmad och effektiv och satte lägre priser än de stora, etablerade aktörerna.

Det gav mig många nya kunder, men våra marginaler var små. Att hantera kassaflödet blev en konstform, och vi överlevde knappt de första 2 åren. Allt förändrades när vi tecknade vårt första avtal på ett femsiffrigt belopp som omfattade flera ramverk. Det gav oss ett visst andrum, gjorde det möjligt för mig att göra mina första heltidsanställningar och fick mig att börja fundera på marknadsföring utöver partnerskap och rekommendationer.

Axipro fokuserar på att förenkla komplexa ramverk för regelefterlevnad genom digital omställning och automatisering. Hur förändrar artificiell intelligens traditionella arbetsflöden för regelefterlevnad, och vilka aktiviteter tror du har störst potential att effektiviseras med AI?

Branschen för regelefterlevnad har haft stor nytta av AI. Tidigare byggde arbetet på stora mängder repetitiva uppgifter, som att samla in och kartlägga underlag, besvara säkerhetsfrågeformulär och utforma policyer. Nästan allt detta är nu automatiserat. AI har också möjliggjort kontinuerlig övervakning och riskindikering för risker inom cybersäkerhet och regelefterlevnad.

AI berör nu nästan alla steg i processen för regelefterlevnad. När vi tar in en ny kund genomför vår egen AI en automatiserad riskbedömning utifrån företagets bransch, storlek och geografiska läge. Vi har en omfattande databas över tidigare uppdrag som hjälper oss att automatiskt upptäcka potentiella risker och varningssignaler. Det här är förmodligen AI:s största mervärde.

Även angripare inom cybersäkerhet har haft nytta av AI, och antalet attacker har ökat exponentiellt. Det pågår ett slags kapprustning mellan AI-system, där företag som vårt arbetar med automatisk hotdetektering på ena sidan och hackare automatiserar attacker på den andra.

Det är här det mänskliga omdömet kommer in, och det är centralt för vårt arbetssätt: AI måste hantera repetitiva uppgifter och effektivisera verksamheten, så att människor kan fokusera på att bedöma hot och agera på dem.

Många organisationer ser fortfarande cybersäkerhetsefterlevnad som något som återkommer med jämna mellanrum och främst handlar om att förbereda sig inför revisioner. Hur förändrar AI-drivna verktyg och plattformar för kontinuerlig övervakning, som Drata, detta synsätt, och vad innebär övergången till kontinuerlig efterlevnad för företag?

När jag började arbeta med efterlevnad såg alla fram emot revisionssäsongen med fasa. Företagen ägnade större delen av året åt att ignorera sina kontroller och lade sedan flera veckor på att jaga skärmbilder och loggar inför revisionsdeadlinen. Att bli godkänd innebar att man uppfyllde kraven just den dagen, och det var ungefär allt.

Drata och liknande plattformar har förändrat det här. De ansluter till företagets moln- och HR-verktyg och kontrollerar efterlevnaden varje dag. Om någon stänger av MFA eller en tidigare anställd fortfarande har åtkomst upptäcks det direkt, och vårt team åtgärdar det omedelbart.

För företag har efterlevnad gått från att vara ett årligt projekt till att bli en del av den löpande verksamheten. Revisionerna blir kortare och billigare, och säljteam kan på begäran visa företagskunder vilken säkerhetsstatus företaget har, vilket bidrar till att affärer går snabbare i lås.

Dataskydd och cybersäkerhet håller på att gå från att vara ett krav för att verka inom känsliga branscher till att bli en marknadsföringsmässig tillgång som skapar mervärde.

När organisationer i allt högre grad förlitar sig på AI för att ta fram säkerhetsdokumentation, bedöma risker och granska underlag för efterlevnad, hur kan de säkerställa att systemen ger korrekta och tillförlitliga resultat? Var bör mänsklig expertis fortfarande vara oumbärlig i revisions- och certifieringsprocessen?

AI är mycket bra på att skriva dokument som verkar trovärdiga. En policy kan se perfekt ut och ändå beskriva processer som företaget inte har.

Vi hanterar det genom att låta AI ta fram utkast och flagga problem, medan någon i vårt team kontrollerar allt innan det skickas till kunden eller revisorn. Allt som AI producerar bör också hänvisa till underlaget det bygger på, så att vi kan verifiera det.

När det gäller intern och extern revision drar jag en tydlig gräns. Revisorer godkänner med sitt namn och sitt yrkesmässiga anseende på spel. AI kan hjälpa dem att gå igenom underlag snabbare, men beslutet om huruvida ett företag ska certifieras bör fattas av en människa. Om ingen är ansvarig förlorar certifikatet sitt värde.

Axipro hjälper organisationer att navigera bland standarder som ISO 27001, SOC 2 och ISO 42001, den internationella standarden för ledningssystem för AI. Vilka nya utmaningar möter företag när de försöker införa ansvarsfull styrning av AI, och hur skiljer sig hanteringen av AI-relaterade risker från traditionell efterlevnad av informationssäkerhetskrav?

De flesta företag vi pratar med vet inte ens hur mycket AI de använder. Det kallas ”skugg-AI”.

Marknadsavdelningen har registrerat sig för ett verktyg, utvecklarna har integrerat en modell i produkten och någon på ekonomiavdelningen klistrar in kalkylblad i en chattbot. Inget av detta görs med ont uppsåt; människor försöker arbeta snabbare, och AI-verktyg är billiga och snabba. Det kan dock lätt leda till att företagsdata röjs.

Det första och viktigaste steget i de flesta projekt för ISO 42001- och AI-efterlevnad är att kartlägga all användning. Vi går igenom utläggsrapporter, registreringar av programvara och nätverksdata, och pratar med varje team om vad de faktiskt använder i det dagliga arbetet. Listan vi får fram är nästan alltid längre än väntat.

Att förbjuda AI fungerar sällan och är både kontraproduktivt och ineffektivt. Vi vill att våra kunder ska kunna dra nytta av den effektivisering som AI-modeller möjliggör. Ett bättre tillvägagångssätt är att ge personalen godkända verktyg som gör jobbet, fastställa tydliga regler för vilka data som får matas in i dem och göra det enkelt att begära nya verktyg.

Styrning av AI väcker också frågor som informationssäkerhet aldrig har behövt ställa. Med ISO 27001 är det viktigaste att hindra obehöriga från att komma åt dina data. Med ISO 42001 behöver du också veta om AI:n fungerar som den ska, om du kan förklara dess beslut och vem som ansvarar när den gör fel.

De här riskerna förändras också snabbare. En leverantör kan uppdatera en modell över en natt och förändra hur produkten beter sig utan att du gör någonting.

Företag som redan har ISO 27001 har ett försprång. Båda standarderna använder samma struktur för ledningssystem, så mycket av grundarbetet är redan gjort.

Vilka nya cybersäkerhets- och efterlevnadsrisker bör organisationer förbereda sig på när autonoma AI-agenter som kan komma åt känslig information, interagera med företagssystem och utföra affärsprocesser blir allt vanligare? Är befintliga säkerhetsramverk rustade för att hantera dessa alltmer autonoma system?

Agenter är det område jag följer allra noggrannast just nu. Vanlig programvara gör precis det den blir tillsagd. En agent fattar egna beslut, och den kan luras och lura andra, vilket vi såg i incidenten med Hugging Face.

Den vanligaste risken vi ser är promptinjektion. En angripare kan gömma instruktioner i ett mejl eller en PDF, och när agenten läser det följer den instruktionerna med den åtkomst du har gett den.

Den andra risken är att företag ger agenter alldeles för stor åtkomst eftersom det är enklare så. Ofta ger anställda AI-agenter åtkomst via sina egna e-postkonton i stället för särskilda konton, vilket gör det mycket svårt att avgöra om en människa eller en bot har gjort en ändring. Om loggningen dessutom är bristfällig kanske man inte ens vet vad agenten har gjort.

ISO 27001 och SOC 2 omfattar fortfarande grunder som åtkomstkontroll och loggning, och ISO 42001 ger stöd på AI-området. Inget av dem har dock utformats med autonoma agenter i åtanke, och jag räknar med att ny vägledning kommer snart.

AIUC-1 håller på att växa fram som en ledande standard för AIUC-1, och vi har precis börjat utbilda vår personal i hur den ska tillämpas. Vi har haft några samtal med kunder om den, men har ännu inga fallstudier att presentera. Den har ett starkt stöd från stora cybersäkerhetsföretag, så vi räknar med att det här ramverket kommer att bli den ledande standarden för AI-agenter.

Du har arbetat i Mellanöstern, Europa och USA och därmed mött olika regelverk och förhållningssätt till riskhantering. Hur påverkar regionala skillnader i AI-styrning och dataskydd företagens användning av AI, och vilka utmaningar uppstår när organisationer verkar i flera jurisdiktioner?

Eftersom jag är baserad i Bahrain och arbetar med kunder i Europa och USA har jag slutat förvänta mig att AI-reglerna ska närma sig varandra. Om något går regionerna snarare alltmer isär.

Europa reglerar genom lagstiftning. EU:s AI-förordning klassificerar AI-system utifrån risk och anger vad varje kategori måste göra, så europeiska företag tenderar att agera försiktigt och dokumentera allt. USA har ingen federal AI-lag, och marknaden står för merparten av regleringen. Köpare kräver ramverk som NIST:s AI RMF i sina avtal, och ansvarsfrågor täcker resten. Kina väljer en tredje väg och inför en ny regel varje gång en teknik medför en ny risk.

Gulfregionen är den jag tycker är mest intressant. Saudiarabien har till exempel ännu ingen övergripande AI-lag. De flesta bindande reglerna finns i dataskyddslagstiftningen och reglerna för offentlig upphandling, eftersom staten är regionens största köpare av teknik. Vad du måste följa beror i hög grad på vem din kund är. När SDAIA, den saudiska tillsynsmyndigheten, själv certifierades enligt ISO 42001 år 2024 visade det marknaden vilken standard myndigheten skulle efterfråga i upphandlingar.

Det svåraste är när ett företag verkar i fler än en av de här regionerna. Ett SaaS-företag i Riyadh som säljer till Europa kan uppfylla EU:s tekniska krav och ändå bryta mot saudiska regler för dataregistrering och dataöverföring. Ingen av sidorna godtar den andras dokumentation.

Vårt arbetssätt är att bygga en gemensam grund som fungerar överallt, med ISO 42001 tillsammans med ISO 27001, och sedan lägga till varje regions krav ovanpå den. ISO 42001 gör dig inte automatiskt juridiskt efterlevande någonstans, men det är det närmaste vi kommer ett gemensamt språk som alla de här regionerna godtar.

Det finns ofta ett betydande gap mellan att uppnå en säkerhetscertifiering och att upprätthålla verklig motståndskraft mot cyberangrepp. Hur kan organisationer använda AI och automatisering för att gå bortom att bara bocka av krav och i stället utveckla säkerhetsrutiner som kontinuerligt anpassas till nya hot?

Jag har sett företag med en helt ny SOC 2-rapport och grundläggande säkerhetsbrister som ingen hade upptäckt. Målet hade varit att klara revisionen. Ett certifikat visar att ett företag uppfyllde en standard ett visst datum, men inte om företaget kan stoppa ett angrepp.

För att komma vidare behöver man fråga sig om varje kontroll skulle hålla vid en testning. Automatisering är till stor hjälp här. Kontinuerlig övervakning fångar upp problem medan de fortfarande är små, och aktuella hotdata gör att riskbedömningarna speglar vad angripare gör just nu. Regelbundna penetrationstester och angreppssimuleringar visar sedan om kontrollerna fungerar i praktiken.

Att bli CREST-certifierade i år var en del av det arbetet för oss. Vi ville testa våra kunders säkerhet och dokumentera resultaten.

Hur tror du att AI kommer att förändra konsultbranschen inom cybersäkerhet och regelefterlevnad under de kommande tre till fem åren? Tror du att AI-agenter så småningom kommer att hantera merparten av det löpande regelefterlevnadsarbetet autonomt, och hur ser du att Axipro utvecklas i takt med att den här tekniken mognar?

Jag tror att AI-agenter kommer att hantera merparten av det löpande arbetet med regelefterlevnad inom fem år, till exempel insamling av underlag, uppdatering av policyer och säkerhetsfrågeformulär. Företag som tjänar pengar på att fakturera timmar för sådant arbete utan någon tydlig specialistkompetens kommer att få det svårt.

Jag tror däremot inte att agenter kommer att sköta regelefterlevnaden på egen hand. Ju mer arbete AI tar över, desto viktigare blir de beslut som återstår. Någon måste fortfarande godkänna en revision och hantera följderna när något går fel. Eftersom angripare också använder AI kommer efterfrågan på skickliga försvarare att fortsätta öka.

På Axipro tror jag att vi kommer att lägga mindre tid på dokumentation och mer på att ge kunder råd och testa deras säkerhet. Vår egenutvecklade AI kommer att ta över en större del av leveransarbetet, medan vårt team fokuserar på beslut som kräver mänskligt omdöme. Tillbaka år 2022 trodde många att AI skulle göra företag som vårt överflödiga. Hittills har det blivit tvärtom: vi har vuxit med mer än 10 % från månad till månad och ibland haft mer arbete än vi klarar av, och vi räknar inte med att det lugnar ner sig.

Tack för den fina intervjun! Läsare som vill lära sig mer om efterlevnad inom cybersäkerhet, AI-styrning och att bygga upp kontinuerliga säkerhetsrutiner bör besöka Axipro.