Nick Kathmann, CISO/CIO på LogicGate – Intervjuserie

Nicholas Kathmann är Chief Information Security Officer (CISO) på LogicGate, där han leder företagets informations säkerhetsprogram, övervakar plattformssäkerhetsinnovationer och samarbetar med kunder för att hantera cybersäkerhetsrisker. Med över två decenniers erfarenhet inom IT och 18+ år inom cybersäkerhet har Kathmann byggt och lett säkerhetsoperationer i små företag och företag inom Fortune 100.

LogicGate är en plattform för risk och regelefterlevnad som hjälper organisationer att automatisera och skala sina program för styrning, risk och regelefterlevnad (GRC). Genom sitt flaggskeppprodukt, Risk Cloud®, möjliggör LogicGate för team att identifiera, bedöma och hantera risker över hela företaget med anpassningsbara arbetsflöden, realtidsinsikter och integrationer. Plattformen stöder ett brett utbud av användningsfall, inklusive tredjepartsrisk, cybersäkerhetsregelefterlevnad och internrevisionshantering, vilket hjälper företag att bygga mer agile och motståndskraftiga riskstrategier

Du tjänstgör som både CISO och CIO på LogicGate — hur ser du att AI förändrar ansvarsområdena för dessa roller under de närmaste 2–3 åren?

AI förändrar redan båda dessa roller, men under de närmaste 2-3 åren tror jag att vi kommer att se en stor ökning av Agentic AI som har kraften att omdefiniera hur vi hanterar affärsprocesser i vardagen. Allt som vanligtvis går till en IT-helpdesk — som att återställa lösenord, installera program och mer — kan hanteras av en AI-agent. Ett annat kritiskt användningsfall kommer att vara att utnyttja AI-agenter för att hantera tråkiga revisionsbedömningar, vilket gör det möjligt för CISO och CIO att prioritera mer strategiska förfrågningar.

Med federala cybersäkerhetsnedskärningar och avregleringstrender, hur bör företag närma sig AI-distribution samtidigt som de upprätthåller en stark säkerhetspostur?

Medan vi ser en avregleringstrend i USA, förstärks reglerna faktiskt i EU. Om du är ett multinationellt företag bör du förvänta dig att behöva följa globala regleringskrav kring ansvarsfull användning av AI. För företag som bara opererar i USA tror jag att det kommer att finnas en inlärningsperiod när det gäller AI-antagande. Jag tycker att det är viktigt för dessa företag att skapa starka AI-styrningspolicyer och upprätthålla viss mänsklig tillsyn i distributionsprocessen, för att säkerställa att ingenting går fel.

Vilka är de största blindfläckarna du ser idag när det gäller att integrera AI i befintliga cybersäkerhetsramverk?

Medan det finns några områden jag kan tänka på, är den mest betydande blindfläcken var din data är belägen och var den reser. Införandet av AI kommer bara att göra tillsyn i det området till en större utmaning. Leverantörer aktiverar AI-funktioner i sina produkter, men den datan går inte alltid direkt till AI-modellen/leverantören. Det gör traditionella säkerhetsverktyg som DLP och webbövervakning effektivt blinda.

Du har sagt att de flesta AI-styrningsstrategier är “papperstigrar”. Vilka är de centrala ingredienserna i en styrningsram som faktiskt fungerar?

När jag säger “papperstigrar” syftar jag specifikt på styrningsstrategier där bara ett litet team känner till processerna och standarderna, och de inte är påtvingade eller ens förstådda inom hela organisationen. AI är mycket genomträngande, vilket påverkar varje grupp och varje team. “En storlek passar alla”-strategier kommer inte att fungera. En finansiell grupp som implementerar AI-funktioner i sitt ERP är annorlunda än en produktgrupp som implementerar en AI-funktion i en specifik produkt, och listan fortsätter. De centrala ingredienserna i en stark styrningsram varierar, men IAPP, OWASP, NIST och andra rådgivande organ har ganska bra ramverk för att avgöra vad som ska utvärderas. Det svåraste är att avgöra när kraven gäller för varje användningsfall.

Hur kan företag undvika AI-modellglidning och säkerställa ansvarsfull användning över tid utan att överkonstruera sina policyer?

Glidning och försämring är bara en del av att använda teknologi, men AI kan avsevärt påskynda processen. Men om glidningen blir för stor kommer korrigerande åtgärder att behövas. En omfattande teststrategi som letar efter och mäter noggrannhet, bias och andra varningstecken är nödvändig över tid. Om företag vill undvika bias och glidning måste de börja med att säkerställa att de har verktygen på plats för att identifiera och mäta det.

Vilken roll bör ändringslogg, begränsade policyuppdateringar och realtidsåterkopplingsloopar spela för att upprätthålla agile AI-styrning?

Medan de spelar en roll just nu för att minska risk och ansvar för leverantören, försvårar realtidsåterkopplingsloopar kundernas och användarnas förmåga att utföra AI-styrning, särskilt om förändringar i kommunikationsmekanismer sker alltför ofta.

Vilka är dina farhågor kring AI-bias och diskriminering i underwriting eller kreditvärdering, särskilt med “Köp nu, betala senare” (BNPL)-tjänster?

Förra året talade jag med en AI/ML-forskare på en stor multinationell bank som hade experimenterat med AI/LLM över hela deras riskmodeller. Modellerna, även när de tränades på stora och precisa datamängder, kunde fatta riktigt överraskande, obefogade beslut för att antingen godkänna eller avvisa underwriting. Till exempel, om orden “utmärkt kredit” nämndes i en chatttranskript eller kommunikation med kunder, skulle modellerna som standard avvisa lånet — oavsett om kunden sa det eller banktjänstemannen sa det. Om AI ska förlitas på, behöver banker bättre tillsyn och ansvar, och dessa “överraskningar” måste minskas.

Vad är din syn på hur vi ska granska eller bedöma algoritmer som fattar högriskbeslut — och vem bör hållas ansvarig?

Detta går tillbaka till den omfattande testmodellen, där det är nödvändigt att kontinuerligt testa och benchmarka algoritmen/modellerna så nära realtid som möjligt. Det kan vara svårt, eftersom modellutdata kan ha önskvärda resultat som kommer att behöva mänsklig identifiering av avvikelser. Som ett bankexempel kommer en modell som avvisar alla lån att ha en utmärkt riskklassificering, eftersom inga lån den underwriter någonsin kommer att förfalla. I det fallet bör organisationen som implementerar modellen/algoritmen vara ansvarig för modellens resultat, precis som de skulle vara om människor fattade beslutet.

Med fler företag som kräver cybersäkerhetsförsäkring, hur förändrar AI-verktyg både risklandskapet och försäkringsunderwriting i sig?

AI-verktyg är bra på att sprida stora mängder data och hitta mönster eller trender. På kundsidan kommer dessa verktyg att vara avgörande för att förstå organisationens faktiska risk och hantera den risken. På underwriter-sidan kommer dessa verktyg att vara hjälpsamma för att hitta inkonsekvenser och organisationer som blir omogna över tid.

Hur kan företag utnyttja AI för att proaktivt minska cyberrisk och förhandla om bättre villkor på dagens försäkringsmarknad?

Idag är det bästa sättet att utnyttja AI för att minska risk och förhandla om bättre försäkringsvillkor att filtrera bort brus och distraktioner, vilket hjälper er att fokusera på de viktigaste riskerna. Om ni minskar dessa risker på ett omfattande sätt bör era cybersäkerhetsförsäkringspremier gå ner. Det är för lätt att bli överväldigad av den enorma volymen risker. Få inte fastna i att försöka hantera varje enskild fråga när fokusering på de mest kritiska kan ha en mycket större inverkan.

Vilka är några taktiska steg du rekommenderar för företag som vill implementera AI på ett ansvarsfullt sätt — men inte vet var de ska börja?

Först måste du förstå vad dina användningsfall är och dokumentera de önskade resultaten. Alla vill implementera AI, men det är viktigt att tänka på dina mål först och arbeta bakåt från där — något jag tror att många organisationer kämpar med idag. När du har en bra förståelse för dina användningsfall kan du forska i de olika AI-ramverken och förstå vilka av de tillämpliga kontrollerna som är viktiga för dina användningsfall och implementation. Stark AI-styrning är också affärskritisk för riskminskning och effektivitet, eftersom automatisering endast är så användbar som dess datainmatning. Organisationer som utnyttjar AI måste göra det på ett ansvarsfullt sätt, eftersom partners och prospekt frågar tuffa frågor kring AI-spridning och användning. Att inte veta svaret kan innebära att man missar affärer, vilket direkt påverkar resultaträkningen.

Om du skulle förutsäga den största AI-relaterade säkerhetsrisken om fem år, vad skulle det vara — och hur kan vi förbereda oss idag?

Min förutsägelse är att när Agentic AI byggs in i fler affärsprocesser och applikationer kommer angripare att engagera sig i bedrägeri och missbruk för att manipulera dessa agenter till att leverera skadliga resultat. Vi har redan sett detta med manipulationen av kundtjänstmedarbetare, vilket resulterade i obehöriga erbjudanden och återbetalningar. Hotaktörer använde språktrick för att kringgå policyer och störa medarbetarens beslutsfattande.

Tack för den utmärkta intervjun, läsare som vill lära sig mer kan besöka LogicGate.