Joe Regensburger, Vice President för forskning, Immuta – Intervju-serie

Joe Regensburger är för närvarande Vice President för forskning på Immuta. En ledande aktör inom datasäkerhet, Immuta möjliggör för organisationer att utnyttja värdet av sin molndata genom att skydda den och tillhandahålla säker åtkomst.

Immuta är utformat för att integreras sömlöst i er molnmiljö, med nativa integrationer med de ledande molntjänstleverantörerna. Följande NIST:s ramverk för cybersäkerhet, täcker Immuta de flesta datasäkerhetsbehoven för de flesta organisationer.

Er utbildningsbakgrund är i fysik och tillämpad matematik, hur hamnade du till slut med att arbeta inom datavetenskap och analys?

Mitt forskningsområde var experimentell högenergifysik. Att analysera data inom detta område kräver en hel del statistisk analys, särskilt för att skilja på signaturer av sällsynta händelser från de av mer frekventa bakgrundsändelser. Dessa färdigheter är mycket lika de som krävs inom datavetenskap.

Kan du beskriva vad din nuvarande roll som Vice President för forskning på datasäkerhetsledaren Immuta innebär?

På Immuta fokuserar vi på datasäkerhet. Detta innebär att vi måste förstå hur data används, hur den kan missbrukas och tillhandahålla dataexperter med de verktyg som behövs för att stödja deras uppdrag, samtidigt som vi förhindrar missbruk. Vår roll innebär att förstå kraven och utmaningarna för dataexperter, särskilt i fråga om regler och säkerhet, och hjälpa till att lösa dessa utmaningar. Vi vill minska de regleringsmässiga kraven och möjliggöra för dataexperter att fokusera på sitt kärnuppdrag. Min roll är att hjälpa till att utveckla lösningar som minskar dessa bördor. Detta inkluderar att utveckla verktyg för att upptäcka känslig data, metoder för att automatisera dataklassificering, upptäcka hur data används och skapa processer som säkerställer att data används på rätt sätt.

Vilka är de största utmaningarna inom AI-styrning jämfört med traditionell datastyrning?

Tekniska ledare har nämnt att AI-styrning är ett naturligt nästa steg och en utveckling från datastyrning. Det finns dock vissa viktiga skillnader att ta hänsyn till. Först och främst kräver AI-styrning en viss tillit till utdata från AI-systemet. Med traditionell datastyrning kunde dataledare enkelt spåra från ett svar till ett resultat med hjälp av en traditionell statistisk modell. Med AI blir spårbarhet och härkomst en verklig utmaning och gränserna kan lätt suddas ut. Att kunna lita på resultatet av AI-modellen kan påverkas negativt av hallucinationer och konfabulationer, vilket är en unik utmaning för AI som måste lösas för att säkerställa ordentlig styrning.

Tror du att det finns en universell lösning för AI-styrning och datasäkerhet, eller är det mer situationsbaserat?

“Jag tror inte att det finns en lösning som passar alla för AI-styrning när det gäller datasäkerhet just nu, men det finns vissa överväganden som dataledare bör anta nu för att skapa en grund för säkerhet och styrning. När det gäller att styra AI är det mycket viktigt att ha kontext kring vad AI-modellen används för och varför. Om du använder AI för något mer vardagligt med mindre påverkan kommer din riskkalkyl att vara mycket lägre. Om du använder AI för att fatta beslut om hälsovård eller utbilda ett autonomt fordon är din riskpåverkan mycket högre. Detta är liknande datastyrning; varför data används är lika viktigt som hur den används.

Du skrev nyligen en artikel med titeln “Att hantera de dolda hoten från skugg-AI”. Vad är skugg-AI och varför bör företag ta hänsyn till detta?

“Skugg-AI kan definieras som det obehöriga användandet av obehöriga AI-verktyg som ligger utanför en organisations styrningsram. Företag måste vara medvetna om detta fenomen för att skydda data eftersom att mata in intern data i ett obehörigt program som ett AI-verktyg kan presentera enorma risker. Skugg-IT är allmänt känt och relativt lätt att hantera när det upptäcks. Avsluta bara programmet och gå vidare. Med skugg-AI har du inte ett tydligt användaravtal om hur data används för att träna en AI-modell eller var modellen slutligen delar sina svar när de genereras. I princip, när data väl är i modellen, förlorar du kontrollen över den. För att mildra den potentiella risken med skugg-AI måste organisationer etablera tydliga avtal och formaliserade processer för att använda dessa verktyg om data lämnar miljön på något sätt.

Kan du förklara fördelarna med att använda attributbaserad åtkomstkontroll (ABAC) jämfört med traditionell rollbaserad åtkomstkontroll (RBAC) inom datasäkerhet?

Rollbaserad åtkomstkontroll (RBAC) fungerar genom att begränsa tillstånd eller systemåtkomst baserat på en persons roll inom organisationen. Fördelen med detta är att det gör åtkomstkontrollen statisk och linjär eftersom användare bara kan komma åt data om de tilldelats vissa förutbestämda roller. Medan en RBAC-modell traditionellt har fungerat som ett sätt att kontrollera intern dataanvändning på ett hands-off sätt, är den inte oförstörbar och vi kan se att dess enkelhet också är dess största svaghet.

RBAC var praktiskt för en mindre organisation med begränsade roller och få datainitiativ. Moderna organisationer är datastyrda med databehov som växer över tiden. I detta alltmer vanliga scenario faller RBAC:s effektivitet samman. Tack och lov har vi en mer modern och flexibel alternativ för åtkomstkontroll: attributbaserad åtkomstkontroll (ABAC). ABAC-modellen tar en mer dynamisk approach till dataåtkomst och säkerhet än RBAC. Den definierar logiska roller genom att kombinera de observerbara attributen för användare och data och fatta åtkomstbeslut baserat på dessa attribut. En av ABAC:s största styrkor är dess dynamiska och skalbara natur. När dataanvändningsfall växer och data-demokratisering möjliggör fler användare inom organisationer, måste åtkomstkontrollerna kunna expandera med miljöerna för att upprätthålla konsekvent datasäkerhet. Ett ABAC-system tenderar också att vara mer säkert än tidigare åtkomstkontroll- och styrningsmodeller. Dessutom kommer denna höga nivå av datasäkerhet inte på bekostnad av skalbarhet. Till skillnad från tidigare åtkomstkontroll- och styrningsstandarder skapar ABAC:s dynamiska karaktär en framtidssäker modell.”

Vilka är de viktigaste stegen för att utöka dataåtkomst samtidigt som man upprätthåller robust datastyrning och säkerhet?

Att kontrollera dataåtkomst används för att begränsa åtkomst, behörigheter och privilegier som beviljas till vissa användare och system för att säkerställa att endast auktoriserade personer kan se och använda specifika datamängder. Data-team behöver dock åtkomst till så mycket data som möjligt för att driva de mest precisa affärsinsikterna. Detta presenterar ett problem för data-säkerhets- och styrningsteam som ansvarar för att säkerställa att data skyddas tillräckligt mot obehörig åtkomst och andra risker. I en alltmer data-driven affärsmiljö måste en balans slås mellan dessa motstridiga intressen. I det förflutna försökte organisationer slå denna balans med en passiv approach till dataåtkomstkontroll, vilket presenterade dataflaskhalsar och höll organisationer tillbaka när det gällde hastighet. För att utöka dataåtkomst samtidigt som man upprätthåller robust datastyrning och säkerhet, måste organisationer anta automatiserad dataåtkomstkontroll, som introducerar hastighet, smidighet och precision i processen att tillämpa regler på data. Det finns fem steg att bemästra för att automatisera er dataåtkomstkontroll:

1. Måste kunna stödja alla verktyg som ett data-team använder.
2. Behöver stödja all data, oavsett var den lagras eller den underliggande lagringsteknologin.
3. Kräver direkt åtkomst till samma levande data över hela organisationen.
4. Var och en, med vilken nivå av expertis som helst, kan förstå vilka regler och policys som tillämpas på företagsdata.
5. Data-säkerhetspolicys måste finnas på en central plats.
6. När dessa pelare bemästras kan organisationer bryta sig loss från den passiva approachen till dataåtkomstkontroll och möjliggöra säker, effektiv och skalbar dataåtkomstkontroll.

I termer av realtidsdataövervakning, hur möjliggör Immuta för organisationer att proaktivt hantera sin dataanvändning och säkerhetsrisker?

Immutas Detect-produkt möjliggör för organisationer att proaktivt hantera sin dataanvändning genom att automatiskt poängsätta data baserat på hur känslig den är och hur den skyddas (såsom data-maskning eller ett uttalat syfte för att komma åt den) så att data- och säkerhetsteam kan prioritera risker och få larm i realtid om potentiella säkerhetsincidenter. Genom att snabbt identifiera och prioritera dataanvändningsrisker med Immuta Detect, kan kunderna minska tiden till riskminskning och överlag upprätthålla robust datasäkerhet för sin data.

Tack för den utmärkta intervjun, läsare som vill lära sig mer kan besöka Immuta.