Sri Iyer, CTO och medgrundare av Kovr.ai – Intervjuserie

Sri Iyer, CTO och medgrundare av Kovr.ai, är en erfaren teknisk ledare med omfattande erfarenhet av att driva innovation inom artificiell intelligens, dataanalys, kvantberäkning och automatisering. Innan han grundade Kovr.ai hade han ledande roller på Amazon (AMZN ), Guidehouse, PwC och Raytheon, där han ledde team som utvecklade nästa generations lösningar inom både offentlig och privat sektor. Med över ett decennium av erfarenhet inom ny teknik och många branschcertifieringar har Iyer byggt ett rykte för att hjälpa organisationer att utnyttja disruptiva verktyg för att lösa komplexa affärs- och säkerhetsutmaningar.

Kovr.ai omdefinierar cybersäkerhetskrav genom en AI-nativ plattform som är utformad för moln- och hybridmiljöer. Företaget automatiserar komplexa regleringsramverk som FedRAMP och CMMC med hjälp av realtidsbaserad, koddriven intelligens, vilket gör det möjligt för företag att uppnå auktorisation att operera (ATO) på så lite som 15 minuter. Genom att ersätta traditionell manuell konsultverksamhet och inflexibla kravverktyg erbjuder Kovr.ai en skalbar och anpassningsbar approach till riskhantering, vilket möjliggör för högt reglerade organisationer att förbli säkra, regelefterlevande och redo för kontinuerlig förändring.

Innan du grundade Kovr.ai hade du ledande roller på AWS, PwC och olika federala startups. Vilka personliga eller professionella erfarenheter ledde dig till att inse att det fanns ett bättre sätt att hantera federal IT-krav – och vad inspirerade dig att lansera Kovr.ai?

Jag har upplevt federal IT-krav utmaningar från båda sidor – först som systemägare som byggde storskaliga plattformar för försvarsdepartementet och senare medan jag ledde moln- och AI-initiativ på AWS. I ett fall tog en system jag hjälpte till att bygga år att utveckla, bara för att sedan bli stoppad i krav under ännu längre tid. Den frustrationen var en vändpunkt.

På AWS ledde jag team som stödde tjänster som gick igenom FedRAMP och liknande kravprocesser. Trots Amazons omfattande resurser kan det fortfarande ta upp till tre år att få tjänsteauktorisation i nya regioner. Även på den skalan var de bästa interna lösningarna i princip förhärligade kalkylblad – verktyg som Quip eller Google Docs – för att spåra och hantera processen. Ineffektiviteten var häpnadsväckande, och jag såg förstahands att de flesta myndigheter stod inför samma problem.

Under många år trodde jag att det måste finnas ett bättre sätt, men komplexiteten i att mappa tusentals kontroller över kodbas och dokumentation gjorde att verklig automatisering kändes övermäktig. Det ändrades när jag ledde AI/ML-lösningens arkitekturteam på AWS. Att se hur generativ AI kunde omvandla manuella arbetsflöden var ögonöppnande. Plötsligt verkade det som tidigare tycktes omöjligt – att minska kravbördan istället för att bara flytta den till ett annat verktyg – möjligt.

Efter några experiment och FoU-insatser insåg min nuvarande medgrundare och jag att vi kunde bygga en plattform som inte bara spårar krav utan också meningsfullt accelererar det. Den insikten var grunden till Kovr.ai, ett sätt att utnyttja AI för att minska, inte bara hantera, bördan av federal IT-krav.

Många tekniska startups kämpar med komplexiteten, kostnaden och takten i federala krav. Vilka var några av de största hindren du stötte på tidigt – och hur navigerade Kovr.ai framgångsrikt runt eller övervann dessa utmaningar för att bygga en livskraftig lösning?

Kovr.ai stötte på flera stora hinder tidigt i arbetet med federala krav för tekniska startups, inklusive:

• Komplexitet och manuella processer: Startups fann ofta federala krav överväldigande på grund av det stora antalet kontroller (t.ex. NIST 800-53 har över 1200 kontroller) och de manuella, kalkylbladsdrivna processer som vanligtvis användes. Detta gjorde kraven långsamma, felbenägna och resurskrävande.
• Långsamma feedback och iteration: Traditionella kravprocesser krävde långa cyklar av kommunikation mellan team och konsulter, vilket försenade framstegen och gjorde det svårt för startups att veta var de stod eller vad de skulle åtgärda nästa.
• Hög kostnad och resursbörda: Startups, med begränsad tid och pengar, kämpade för att prioritera krav före sin kärnprodukt, ofta med åtföljande förseningar av regeringsarbete i år.

Vi övervann dessa hinder genom att använda automatisering, flexibla indata, snabb iteration och djup arbetsflödesintegration för att göra krav mer tillgängliga för startups. Plattformen skannar automatiskt dokumentation, kod och molnmiljöer för att mappa dem till kravkontroller och ge omedelbara gap-analyser. Den stöder artefakter i valfri format, vilket minskar inträdesbarriärer, och betonar snabb användarfeedback för att säkerställa verklig relevans. Genom att integrera kravkontroller i utvecklingspipeliner hjälper Kovr.ai team att integrera krav smidigt utan stora störningar.

Hur har skiftet mot maskinläsbara kravformat som OSCAL [Open Security Controls Assessment Language] förändrat hur både leverantörer och myndigheter närmar sig säkerhet?

OSCAL har potentialen att göra krav mer automatiserade och effektiva, men dess påverkan är för närvarande begränsad av antagandetakt hos både leverantörer och myndigheter. När fler parter använder OSCAL förväntas fördelarna med automatisering och standardisering i kravprocesser öka. Kovr.ai är byggt på OSCAL, vilket möjliggör överföring och bearbetning av kravinformation i detta format, men bredare fördelar kommer bara att förverkligas när fler intressenter antar OSCAL-baserade arbetsflöden.

Du beskriver Kovr.ai som en “krav-kopilot”. Vägled oss genom vad det ser ut i praktiken – från dokumentation till revisionsberedskap. Vad händer bakom kulisserna som gör processen snabbare eller enklare?

Bakom kulisserna utnyttjar Kovr.ai AI och automatisering för att eliminera manuellt arbete, ge omedelbar feedback och hålla kravdokumentation uppdaterad, vilket gör hela processen, från dokumentation till revisionsberedskap, mycket snabbare och enklare för användare.

Användare kan ta med sig vilka kravartefakter de redan har, i valfri format – dokument, kod, molnmiljödata, arkitekturdiagram etc. Därefter skannar Kovr.ai automatiskt varje rad i varje dokument, kodbas och miljö och mappar sedan all denna information till relevanta säkerhetskontroller, som de i NIST 800-53. Detta görs med hjälp av AI-modeller som bygger en omfattande kunskapsgraf över användarens kravlandskap.

Sedan utvärderar vårt system varje kontroll, identifierar gap och genererar åtgärdbara rekommendationer för avhjälpande. Användare kan åtgärda dessa gap genom att uppdatera sin miljö eller dokumentation och ladda upp till Kovr.ai, som sedan ger omedelbar feedback på om problemen är lösta. Den goda nyheten är att denna process kan upprepas så ofta som behövs, vilket möjliggör för användare att iterativt förbättra sin kravställning med snabb, automatiserad feedback, och därmed eliminera de traditionella fördröjningarna mellan team och konsulter.

Kovr.ai kan också generera all nödvändig kravdokumentation, inklusive regeringsmallar, som FedRAMP SSP, med hjälp av informationen i kunskapsgrafen.

Slutligen håller plattformen all kravinformation uppdaterad och kan paketera den för revisorer. Alltmer kan revisorer till och med komma åt Kovr.ai direkt för att granska och fråga kravdata, vilket strömlinjeformar revisionsprocessen.

Startups står ofta inför en svår avvägning: gå fort och bryta saker, eller sakta ner för att uppfylla krav. Hur närmade du dig denna avvägning medan du byggde Kovr.ai – och vad råd skulle du ge andra innovatörer som försöker skalera in i reglerade marknader?

Kovr.ai byggdes med krav och säkerhet i åtanke från början, med funktioner som luftgapssystem, stark autentisering och kryptering för att stödja reglerade miljöer. Vi integrerade också automatiserade kravkontroller direkt i vår DevOps-pipeline, vilket möjliggjorde tidig upptäckt av problem och undvek långa granskningar. Vi fokuserade på snabb prototypning och integration baserat på användarfeedback, vilket säkerställde att produkten uppfyllde användarnas behov samtidigt som den förblev regelefterlevande. Automatisering minskade dessutom det manuella underhållet, vilket möjliggjorde snabb och säker utveckling i stor skala.

För innovatörer är det avgörande att införliva krav och säkerhet i produkten från början, särskilt för reglerade marknader. Integrera automatiserade kravkontroller i er DevOps-pipeline för att upptäcka problem i tid och ta in mänskliga kravexperter när det behövs. Medan krav kan sakta ner funktionell utveckling sparar det i slutändan tid genom att undvika dyra omarbeten.

Du har talat om behovet av att modernisera federal upphandling. Vilka delar av det nuvarande systemet känns mest föråldrade – och vilka praktiska förändringar skulle göra det enklare för tidiga företag att konkurrera?

Det federala upphandlingssystemet känns ofta föråldrat, med långsamma anskaffningscyklar, finansiering som prioriterar drift före innovation och komplexa inköpsmekanismer som gör det svårt för startups att bryta in. För att stödja tidiga företag inkluderar praktiska reformer tilldelning av mer flexibel, innovationsinriktad finansiering, sänkning av anskaffningströsklar för snabbare, mindre inköp, utvidgning av tillgång till upphandlingsfordon som DOD:s Tradewinds och skapande av strömlinjeformade, “app-store”-liknande plattformar för att förenkla hur myndigheter upptäcker och köper nya teknologier.

Om du ser tillbaka, vilka grundläggande beslut – runt arkitektur, marknadsstrategi eller rekrytering – visade sig vara mest viktiga för att få Kovr.ai till där det är idag?

De viktigaste grundläggande besluten för Kovr.ai var snabb prototypning och iteration, en användarstyrd produktvision, flexibla produktionsstrategier, byggande av en feedbackgemenskap och underhåll av ett starkt fokus på kundbehov. Dessa val möjliggjorde att vi byggde en lösning som verkligen adresserade utmaningarna med federala krav.

Som CTO, hur balanserar du snabb innovation och underhåll av lufttäta krav? Finns det några ramverk eller interna metoder du har antagit för att hålla båda prioriteringarna på spåret?

Jag balanserar innovation och krav genom att införliva krav i varje utvecklingsstadium, utnyttja automatisering, underhålla flexibla produktionsmiljöer och hålla nära kontakt med användarbehov och expertvägledning. Dessa metoder säkerställer att båda prioriteringarna – snabb innovation och lufttäta krav – konsekvent uppfylls.

Om du ser framåt, var ser du att Kovr.ai expanderar nästa – antingen in i statliga och lokala myndigheter, andra reglerade branscher som finans och energi eller till och med internationella marknader?

Teamet kommer att fortsätta att utveckla Kovr.ai-tekniken för kontinuerlig och automatiserad kravhantering, expandera i flera riktningar bortom det nuvarande fokuset på federala krav. Detta inkluderar expansion in i statliga och lokala myndigheter, andra reglerade branscher som finans, energi och hälsovård samt internationella marknader.

Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka Kovr.ai.