Ali Hayat ซีอีโอและผู้ก่อตั้ง Axipro – ซีรีส์สัมภาษณ์

Ali Hayat เป็นซีอีโอและผู้ก่อตั้ง Axipro โดยมีพื้นฐานด้านการบริหารความเสี่ยงในภาคอุตสาหกรรมและการตรวจประเมินตามมาตรฐาน ISO ควบคู่กับประสบการณ์ด้านการให้คำปรึกษาเรื่องความมั่นคงปลอดภัยทางไซเบอร์และการปฏิบัติตามข้อกำหนด งานช่วงแรกของเขาเกี่ยวข้องกับสภาพแวดล้อมทางอุตสาหกรรมที่มีความเสี่ยงสูง ซึ่งให้ความสำคัญกับความปลอดภัย ข้อกำหนดด้านกฎระเบียบ และความเสี่ยงในการดำเนินงาน ต่อมาเขาก่อตั้ง Axipro โดยไม่รับเงินลงทุนจากภายนอก โดยมุ่งช่วยบริษัทที่กำลังเติบโตให้นำมาตรการรักษาความปลอดภัยที่ใช้ได้จริงมาใช้ เตรียมพร้อมสำหรับการตรวจประเมิน และรับมือกับความเสี่ยงใหม่ ๆ ที่เกิดจาก AI

Axipro เป็นบริษัทที่ปรึกษาด้านความมั่นคงปลอดภัยทางไซเบอร์และการปฏิบัติตามข้อกำหนด ซึ่งสนับสนุนองค์กรในการดำเนินงานตามกรอบมาตรฐานต่าง ๆ รวมถึง SOC 2, ISO 27001, ISO 42001 และข้อกำหนดด้านการคุ้มครองข้อมูล งานของบริษัทผสานการให้คำปรึกษา ระบบอัตโนมัติสำหรับการปฏิบัติตามข้อกำหนด การเตรียมความพร้อมสำหรับการตรวจประเมิน และการทดสอบความปลอดภัย โดยเน้นการติดตามตรวจสอบอย่างต่อเนื่องและการกำกับดูแลโดยมนุษย์ ในบทสัมภาษณ์นี้ Hayat พูดถึงขั้นตอนการทำงานด้านการปฏิบัติตามข้อกำหนดที่ขับเคลื่อนด้วย AI การใช้ AI นอกเหนือจากระบบที่องค์กรอนุมัติ ความเสี่ยงจากเอเจนต์อัตโนมัติ ความแตกต่างด้านธรรมาภิบาลในแต่ละภูมิภาค และช่องว่างระหว่างการได้รับการรับรองกับความสามารถในการรับมือด้านความมั่นคงปลอดภัยทางไซเบอร์

เส้นทางอาชีพของคุณเริ่มต้นในสภาพแวดล้อมทางอุตสาหกรรมที่มีความเสี่ยงสูง โดยทำงานในโครงการที่เกี่ยวข้องกับ Saudi Aramco, ADNOC และ TotalEnergies ซึ่งความปลอดภัย การบริหารความเสี่ยง และการปฏิบัติตามข้อกำหนดด้านกฎระเบียบมีความสำคัญอย่างยิ่ง อะไรเป็นแรงบันดาลใจให้คุณเปลี่ยนจากงานด้านความปลอดภัยและการตรวจประเมินในภาคอุตสาหกรรมมาสู่ความมั่นคงปลอดภัยทางไซเบอร์ และอะไรเป็นแรงผลักดันให้คุณก่อตั้ง Axipro ในที่สุด?

ผมก่อตั้ง Axipro เพราะเห็นช่องว่างในตลาดระหว่างที่ทำงานด้านการบริหารคุณภาพ ในปี 2021 ผมสังเกตเห็นว่ามีแพลตฟอร์มความมั่นคงปลอดภัยทางไซเบอร์ใหม่ ๆ จำนวนมากเปิดตัว โดยนำเสนอโซลูชันการปฏิบัติตามข้อกำหนด SOC 2 และ ISO 27001 แบบกึ่งอัตโนมัติ

เห็นได้ชัดว่าแม้แพลตฟอร์มเหล่านี้จะช่วยลดภาระด้านการปฏิบัติตามข้อกำหนดของทีมเทคนิคได้มาก แต่ก็ยังต้องมีการตั้งค่าและบำรุงรักษา ขณะที่บริษัทสตาร์ตอัปซึ่งกำลังพยายามอย่างหนักเพื่อให้เติบโตให้ทันอยู่แล้ว ก็พร้อมจ่ายเงินให้ทีมที่มีบุคลากรคอยดูแลเพื่อให้การปฏิบัติตามข้อกำหนดเป็นไปอย่างต่อเนื่อง นั่นคือจุดเริ่มต้นของ Axipro

ต่อมาในปี 2022 แพลตฟอร์ม AI รุ่นแรก ๆ ก็เปิดตัว นี่เป็นอีกช่วงเวลาที่ทำให้ผมตระหนักได้อย่างฉับพลัน ขณะที่คนจำนวนมากในอุตสาหกรรมกลัวว่าจะถูกแทนที่ ผมกลับมองเห็นได้อย่างรวดเร็วว่านี่คือโอกาสครั้งใหญ่ AI มีแนวโน้มสูงที่จะทำให้การโจมตีทางไซเบอร์เพิ่มขึ้นอย่างทวีคูณ และจำเป็นต้องมีผู้เชี่ยวชาญคอยชี้แนะบริษัทสตาร์ตอัปให้ตอบสนองต่อความต้องการด้านความปลอดภัยและการปฏิบัติตามข้อกำหนด

ปัจจุบันเราเป็นพันธมิตรระดับ Elite ของ Drata และพันธมิตรระดับ Preferred ของ Vanta อีกทั้งยังช่วยบริษัทกว่า 300 แห่งให้ปฏิบัติตามมาตรฐานชั้นนำด้านความมั่นคงปลอดภัยทางไซเบอร์และ AI

คุณสร้าง Axipro ขึ้นมาจากศูนย์โดยไม่มีเงินลงทุนจากภายนอก และขยายธุรกิจจนกลายเป็นบริษัทที่ปรึกษาระดับนานาชาติซึ่งให้บริการลูกค้าหลายร้อยราย อะไรคือความท้าทายที่ใหญ่ที่สุดในการสร้างธุรกิจด้านความมั่นคงปลอดภัยทางไซเบอร์ด้วยเงินทุนของตนเอง และเทคโนโลยีกับระบบอัตโนมัติช่วยให้คุณขยายการดำเนินงานไปพร้อมกับรักษาคุณภาพการบริการได้อย่างไร?

ช่วงสองสามปีแรกเป็นช่วงที่ท้าทายอย่างยิ่ง ตั้งแต่เงินเก็บร่อยหรอในช่วงที่กำลังจะมีลูก ไปจนถึงการได้เห็นโมเดล AI รุ่นแรกเข้ามาพลิกโฉมอุตสาหกรรม ช่วง 2 ถึง 3 ปีแรกน่าจะเป็นสาเหตุที่ทำให้ผมหงอกขึ้นอย่างที่เห็นในตอนนี้

ผมต้องแข่งขันกับคู่แข่งรายใหญ่ไม่กี่รายที่มีชื่อเสียงเป็นที่ยอมรับ มีสำนักงานขนาดใหญ่ และมีงบประมาณด้านการตลาดมหาศาล ผมตั้งฐานอยู่ในบาห์เรน มีพื้นฐานด้านการบริหารคุณภาพ และมีงบประมาณด้านการตลาดเป็น 0

ผมจึงเลือกแนวทางที่สวนกระแส โดยรักษาองค์กรให้คล่องตัวและมีประสิทธิภาพ พร้อมตั้งราคาต่ำกว่าบริษัทชั้นนำรายใหญ่

แนวทางนี้ทำให้ผมได้ลูกค้าใหม่จำนวนมาก แต่กำไรของเราบางมาก การบริหารกระแสเงินสดกลายเป็นเรื่องที่ต้องใช้ความชำนาญอย่างยิ่ง และเราแทบประคองธุรกิจให้รอดในช่วง 2 ปีแรกไม่ไหว ทุกอย่างเปลี่ยนไปเมื่อเราเซ็นสัญญาดีลแรกที่มีมูลค่า 5 หลักและครอบคลุมหลายกรอบมาตรฐาน ดีลนี้ช่วยให้เราหายใจหายคอได้คล่องขึ้น ทำให้ผมจ้างพนักงานประจำเต็มเวลาเป็นครั้งแรก และเริ่มคิดถึงการทำการตลาดนอกเหนือจากการเป็นพันธมิตรและการบอกต่อ

Axipro มุ่งทำให้กรอบการปฏิบัติตามข้อกำหนดที่ซับซ้อนเป็นเรื่องง่ายขึ้นด้วยการเปลี่ยนผ่านสู่ดิจิทัลและระบบอัตโนมัติ ปัญญาประดิษฐ์กำลังเปลี่ยนขั้นตอนการทำงานด้านการปฏิบัติตามข้อกำหนดแบบดั้งเดิมอย่างไร และคุณคิดว่ากิจกรรมใดมีโอกาสมากที่สุดที่จะเพิ่มประสิทธิภาพด้วย AI?

อุตสาหกรรมการปฏิบัติตามข้อกำหนดได้รับประโยชน์จาก AI อย่างมาก ก่อนหน้านี้อุตสาหกรรมนี้ต้องพึ่งพางานซ้ำ ๆ จำนวนมาก เช่น การรวบรวมหลักฐานและจับคู่หลักฐานกับข้อกำหนด การตอบแบบสอบถามด้านความปลอดภัย และการร่างนโยบาย ปัจจุบันงานเหล่านี้เกือบทั้งหมดทำได้โดยอัตโนมัติแล้ว AI ยังช่วยให้ติดตามตรวจสอบอย่างต่อเนื่องและส่งสัญญาณเตือนความเสี่ยงด้านความมั่นคงปลอดภัยทางไซเบอร์และการปฏิบัติตามข้อกำหนดได้ด้วย

ปัจจุบัน AI เข้ามามีบทบาทในแทบทุกขั้นตอนของกระบวนการปฏิบัติตามข้อกำหนด เมื่อเราเริ่มให้บริการลูกค้ารายใหม่ AI ที่พัฒนาขึ้นภายในองค์กรจะประเมินความเสี่ยงโดยอัตโนมัติ โดยพิจารณาจากอุตสาหกรรม ขนาด และที่ตั้งของบริษัท เรามีฐานข้อมูลขนาดใหญ่ที่รวบรวมข้อมูลจากการทำงานกับลูกค้าในอดีต ซึ่งช่วยให้เราค้นหาความเสี่ยงและสัญญาณเตือนที่อาจเกิดขึ้นได้โดยอัตโนมัติ นี่น่าจะเป็นประโยชน์สูงสุดที่ AI มอบให้

ผู้โจมตีทางไซเบอร์ก็ได้ประโยชน์จาก AI เช่นกัน และการโจมตีก็เพิ่มขึ้นอย่างทวีคูณ การแข่งขันด้าน AI ระหว่างสองฝ่ายคล้ายกับการแข่งขันด้านอาวุธ โดยบริษัทอย่างเราทำงานเพื่อพัฒนาระบบตรวจจับภัยคุกคามอัตโนมัติ ขณะที่แฮกเกอร์ก็ใช้ระบบอัตโนมัติเพื่อโจมตี

นี่คือจุดที่การใช้วิจารณญาณของมนุษย์เข้ามามีบทบาท และเป็นหัวใจสำคัญของวิธีการทำงานของเรา AI ต้องรับผิดชอบงานซ้ำ ๆ และช่วยเพิ่มประสิทธิภาพการดำเนินงาน เพื่อให้มนุษย์มุ่งเน้นกับการประเมินภัยคุกคามและการตอบสนองได้

หลายองค์กรยังคงมองการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์เป็นงานที่ทำเป็นครั้งคราว โดยเน้นการเตรียมตัวรับการตรวจประเมิน เครื่องมือที่ขับเคลื่อนด้วย AI และแพลตฟอร์มติดตามตรวจสอบอย่างต่อเนื่อง เช่น Drata กำลังเปลี่ยนแนวทางนี้อย่างไร และการเปลี่ยนไปสู่การปฏิบัติตามข้อกำหนดอย่างต่อเนื่องมีความหมายอย่างไรต่อธุรกิจ

ตอนที่ผมเริ่มทำงานด้านการปฏิบัติตามข้อกำหนด ทุกคนต่างหวาดหวั่นกับช่วงตรวจประเมิน บริษัทต่าง ๆ ละเลยมาตรการควบคุมของตนเกือบตลอดทั้งปี แล้วค่อยใช้เวลาหลายสัปดาห์ไล่รวบรวมภาพหน้าจอและบันทึกต่าง ๆ ก่อนถึงกำหนดตรวจประเมิน การผ่านการตรวจหมายความว่าคุณปฏิบัติตามข้อกำหนดในวันนั้น และก็มีเพียงเท่านั้น

Drata และแพลตฟอร์มอื่น ๆ ในลักษณะเดียวกันเข้ามาเปลี่ยนแปลงเรื่องนี้ แพลตฟอร์มเหล่านี้เชื่อมต่อกับระบบคลาวด์และเครื่องมือด้านทรัพยากรบุคคลของบริษัท แล้วตรวจสอบมาตรการควบคุมทุกวัน หากมีใครปิด MFA หรืออดีตพนักงานยังเข้าถึงระบบได้ เรื่องนี้จะปรากฏให้เห็นทันที และทีมของเราก็แก้ไขได้ทันทีเช่นกัน

สำหรับธุรกิจ การปฏิบัติตามข้อกำหนดไม่ได้เป็นโครงการประจำปีอีกต่อไป แต่กลายเป็นส่วนหนึ่งของการดำเนินงานตามปกติ การตรวจประเมินใช้เวลาน้อยลงและมีค่าใช้จ่ายลดลง อีกทั้งทีมขายยังสามารถแสดงสถานะด้านความปลอดภัยให้ผู้ซื้อระดับองค์กรดูได้เมื่อต้องการ ซึ่งช่วยปิดการขายได้เร็วขึ้น

ความเป็นส่วนตัวของข้อมูลและความมั่นคงปลอดภัยไซเบอร์กำลังค่อย ๆ เปลี่ยนจากข้อกำหนดสำหรับการดำเนินงานในอุตสาหกรรมที่มีความอ่อนไหว มาเป็นจุดขายที่ช่วยเพิ่มคุณค่าให้กับธุรกิจ

เมื่อองค์กรพึ่งพา AI มากขึ้นในการจัดทำเอกสารด้านความปลอดภัย ประเมินความเสี่ยง และตรวจสอบหลักฐานการปฏิบัติตามข้อกำหนด องค์กรจะมั่นใจได้อย่างไรว่าระบบเหล่านี้ให้ผลลัพธ์ที่ถูกต้องและเชื่อถือได้ ความเชี่ยวชาญของมนุษย์ควรยังมีบทบาทสำคัญในขั้นตอนการตรวจประเมินและการรับรองด้านใดบ้าง

AI เก่งมากในการเขียนเอกสารที่ฟังดูถูกต้อง นโยบายอาจดูสมบูรณ์แบบ ทั้งที่อธิบายกระบวนการซึ่งบริษัทไม่ได้ดำเนินการจริง

วิธีที่เราจัดการเรื่องนี้คือให้ AI ร่างเอกสารและแจ้งประเด็นที่น่าสงสัย แต่สมาชิกในทีมของเราจะตรวจสอบทุกอย่างก่อนส่งให้ลูกค้าหรือผู้ตรวจประเมิน สิ่งที่ AI สร้างขึ้นควรอ้างอิงกลับไปยังหลักฐานที่รองรับได้ด้วย เพื่อให้เราตรวจสอบความถูกต้องได้

การตรวจประเมินภายในและภายนอกเป็นเรื่องที่ผมกำหนดขอบเขตไว้อย่างชัดเจน ผู้ตรวจประเมินลงนามรับรองโดยใช้ชื่อและชื่อเสียงในวิชาชีพของตน AI ช่วยให้ตรวจสอบหลักฐานได้รวดเร็วขึ้น แต่การตัดสินใจว่าจะรับรองบริษัทหรือไม่ควรเป็นหน้าที่ของบุคคล หากไม่มีใครรับผิดชอบ ใบรับรองก็จะสูญเสียคุณค่า

Axipro ช่วยให้องค์กรรับมือกับมาตรฐานต่าง ๆ เช่น ISO 27001, SOC 2 และ ISO 42001 ซึ่งเป็นมาตรฐานสากลสำหรับระบบบริหารจัดการ AI ขณะที่บริษัทต่าง ๆ พยายามวางกรอบกำกับดูแล AI อย่างมีความรับผิดชอบ พวกเขากำลังเผชิญความท้าทายใหม่อะไรบ้าง และการจัดการความเสี่ยงที่เกี่ยวข้องกับ AI แตกต่างจากการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยสารสนเทศแบบดั้งเดิมอย่างไร

บริษัทส่วนใหญ่ที่เราพูดคุยด้วยไม่รู้ด้วยซ้ำว่าตนเองใช้ AI มากแค่ไหน เรื่องนี้เรียกว่า “AI เงา” (Shadow AI)

ฝ่ายการตลาดสมัครใช้เครื่องมือหนึ่งไว้ นักพัฒนานำโมเดลมาต่อเข้ากับผลิตภัณฑ์ และพนักงานฝ่ายการเงินสักคนก็กำลังวางข้อมูลจากสเปรดชีตลงในแชตบอต ไม่มีใครทำไปด้วยเจตนาร้าย ทุกคนแค่พยายามทำงานให้เร็วขึ้น และเครื่องมือ AI ก็มีราคาถูกและทำงานได้รวดเร็ว อย่างไรก็ตาม เรื่องนี้อาจทำให้ข้อมูลของบริษัทถูกเปิดเผยได้ง่าย

ขั้นตอนแรกและสำคัญที่สุดของโครงการ ISO 42001 และโครงการด้านการปฏิบัติตามข้อกำหนด AI ส่วนใหญ่ คือการสำรวจให้เห็นภาพรวมของการใช้งานทั้งหมด เราตรวจดูรายงานค่าใช้จ่าย การสมัครใช้ซอฟต์แวร์ และข้อมูลเครือข่าย พร้อมพูดคุยกับแต่ละทีมว่าพวกเขาใช้เครื่องมืออะไรในแต่ละวันบ้าง รายการที่ได้มักยาวกว่าที่คาดไว้แทบทุกครั้ง

การห้ามใช้ AI แทบไม่ได้ผล ทั้งยังส่งผลเสียและไม่มีประสิทธิภาพ เราต้องการให้ลูกค้าของเราใช้ประโยชน์จากประสิทธิภาพที่เพิ่มขึ้นจากโมเดล AI แนวทางที่ดีกว่าคือจัดหาเครื่องมือที่ผ่านการอนุมัติและทำงานได้ตามต้องการให้พนักงาน กำหนดกฎให้ชัดเจนว่าป้อนข้อมูลประเภทใดลงในเครื่องมือเหล่านั้นได้บ้าง และทำให้การขอใช้เครื่องมือใหม่เป็นเรื่องง่าย

การกำกับดูแล AI ยังทำให้เกิดคำถามที่ไม่เคยเป็นประเด็นในงานด้านความมั่นคงปลอดภัยสารสนเทศมาก่อน สำหรับ ISO 27001 ประเด็นหลักคือการป้องกันไม่ให้ผู้ที่ไม่ควรเข้าถึงข้อมูลของคุณเข้าถึงได้ ส่วน ISO 42001 คุณยังต้องรู้ด้วยว่า AI ทำงานอย่างเหมาะสมหรือไม่ คุณสามารถอธิบายการตัดสินใจของ AI ได้หรือไม่ และใครต้องรับผิดชอบเมื่อ AI ทำผิดพลาด

ความเสี่ยงเหล่านี้เปลี่ยนแปลงเร็วกว่าเช่นกัน ผู้ให้บริการอาจอัปเดตโมเดลในชั่วข้ามคืน และทำให้ผลิตภัณฑ์ของคุณทำงานเปลี่ยนไป โดยที่คุณไม่ได้แตะต้องอะไรเลย

บริษัทที่ได้รับ ISO 27001 อยู่แล้วได้เปรียบตั้งแต่ต้น มาตรฐานทั้งสองใช้โครงสร้างระบบบริหารจัดการแบบเดียวกัน งานพื้นฐานส่วนใหญ่จึงเสร็จไปแล้ว

เมื่อ AI agent อัตโนมัติที่เข้าถึงข้อมูลอ่อนไหว โต้ตอบกับระบบขององค์กร และดำเนินกระบวนการทางธุรกิจได้เริ่มแพร่หลาย องค์กรควรเตรียมรับมือกับความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์และการปฏิบัติตามข้อกำหนดอะไรบ้าง กรอบการรักษาความปลอดภัยที่มีอยู่สามารถรับมือกับระบบที่ทำงานได้อย่างอิสระมากขึ้นเหล่านี้ได้หรือไม่

ตอนนี้ AI agent เป็นเรื่องที่ผมจับตาใกล้ชิดที่สุด ซอฟต์แวร์ทั่วไปทำงานตามคำสั่งที่ได้รับอย่างเคร่งครัด แต่ AI agent ตัดสินใจเองได้ และอาจถูกหลอกหรือหลอกผู้อื่นได้ ดังที่เราเห็นจากเหตุการณ์ของ Hugging Face

ความเสี่ยงที่เราพบได้บ่อยที่สุดคือการแทรกคำสั่งในพรอมป์ต์ ผู้โจมตีอาจซ่อนคำสั่งไว้ในอีเมลหรือไฟล์ PDF และเมื่อ AI agent อ่านข้อมูลนั้น ก็จะทำตามคำสั่งโดยใช้สิทธิ์การเข้าถึงใดก็ตามที่คุณมอบให้

ความเสี่ยงข้อที่สองคือ บริษัทต่าง ๆ ให้สิทธิ์เข้าถึงแก่เอเจนต์มากเกินไปเพียงเพราะทำเช่นนั้นได้ง่ายกว่า บ่อยครั้งพนักงานให้เอเจนต์ AI เข้าถึงผ่านบัญชีอีเมลส่วนตัวของตน แทนที่จะใช้บัญชีเฉพาะสำหรับเอเจนต์ ทำให้ระบุได้ยากมากว่าการเปลี่ยนแปลงนั้นเกิดจากมนุษย์หรือบอต หากระบบบันทึกกิจกรรมยังมีข้อบกพร่องด้วย คุณอาจไม่รู้ด้วยซ้ำว่าเอเจนต์ทำอะไรไปบ้าง

ISO 27001 และ SOC 2 ยังคงครอบคลุมพื้นฐานต่าง ๆ เช่น การควบคุมการเข้าถึงและการบันทึกกิจกรรม ส่วน ISO 42001 ช่วยในด้าน AI อย่างไรก็ตาม ไม่มีมาตรฐานใดจัดทำขึ้นโดยคำนึงถึงเอเจนต์อัตโนมัติเป็นหลัก และผมคาดว่าจะมีแนวทางใหม่ออกมาในเร็ว ๆ นี้

AIUC-1 กำลังได้รับการยอมรับให้เป็นมาตรฐานชั้นนำสำหรับ AIUC-1 และเราเพิ่งเริ่มฝึกอบรมพนักงานให้นำมาตรฐานนี้ไปใช้ เราได้พูดคุยกับลูกค้าเกี่ยวกับเรื่องนี้มาบ้างแล้ว แต่ยังไม่มีกรณีศึกษาให้นำเสนอ มาตรฐานนี้ได้รับการสนับสนุนอย่างแข็งแกร่งจากบริษัทด้านความปลอดภัยทางไซเบอร์รายใหญ่ เราจึงคาดว่ากรอบการทำงานนี้จะก้าวขึ้นเป็นมาตรฐานชั้นนำสำหรับเอเจนต์ AI

จากประสบการณ์ทำงานในตะวันออกกลาง ยุโรป และสหรัฐอเมริกา คุณได้พบกับสภาพแวดล้อมด้านกฎระเบียบและแนวทางการบริหารความเสี่ยงที่แตกต่างกัน ความแตกต่างระหว่างภูมิภาคในด้านธรรมาภิบาล AI และการคุ้มครองข้อมูลส่งผลต่อวิธีที่บริษัทนำ AI ไปใช้อย่างไร และองค์กรที่ดำเนินงานในหลายเขตอำนาจศาลต้องเผชิญความท้าทายอะไรบ้าง

ผมอยู่ในบาห์เรนและทำงานกับลูกค้าในยุโรปและสหรัฐฯ จนเลิกคาดหวังว่ากฎระเบียบด้าน AI จะบรรจบเข้าหากันแล้ว หากมีอะไรเกิดขึ้น ภูมิภาคต่าง ๆ ก็กำลังเคลื่อนไปในทิศทางที่แตกต่างกันมากขึ้น

ยุโรปกำกับดูแลด้วยกฎหมาย EU AI Act แบ่งประเภทระบบ AI ตามระดับความเสี่ยงและกำหนดสิ่งที่แต่ละประเภทต้องปฏิบัติ บริษัทในยุโรปจึงมักดำเนินการอย่างรอบคอบและจัดทำเอกสารทุกอย่าง ส่วนสหรัฐฯ ไม่มีกฎหมาย AI ระดับรัฐบาลกลาง และตลาดเป็นผู้กำกับดูแลเป็นส่วนใหญ่ ผู้ซื้อกำหนดให้ใช้กรอบการทำงานอย่าง AI RMF ของ NIST ในสัญญา และความรับผิดทางกฎหมายก็เข้ามาครอบคลุมส่วนที่เหลือ จีนใช้แนวทางที่สาม โดยออกกฎใหม่ทุกครั้งที่เทคโนโลยีก่อให้เกิดความเสี่ยงใหม่

ผมเห็นว่าอ่าวเปอร์เซียน่าสนใจที่สุด ตัวอย่างเช่น ซาอุดีอาระเบียยังไม่มีกฎหมาย AI ที่ครอบคลุมทุกภาคส่วน ข้อบังคับที่มีผลผูกพันส่วนใหญ่อยู่ในกฎหมายคุ้มครองข้อมูลและการจัดซื้อจัดจ้างภาครัฐ เพราะรัฐเป็นผู้ซื้อเทคโนโลยีรายใหญ่ที่สุดในภูมิภาค สิ่งที่คุณต้องปฏิบัติตามขึ้นอยู่กับว่าลูกค้าของคุณเป็นใครเป็นอย่างมาก เมื่อ SDAIA ซึ่งเป็นหน่วยงานกำกับดูแลของซาอุดีอาระเบียได้รับการรับรอง ISO 42001 ด้วยตนเองในปี 2024 ก็เป็นการบอกตลาดว่าหน่วยงานจะมองหามาตรฐานใดในการประกวดราคา

ส่วนที่ยากที่สุดคือเมื่อบริษัทดำเนินงานในภูมิภาคมากกว่าหนึ่งแห่ง บริษัท SaaS ในริยาดที่ขายสินค้าในยุโรปอาจปฏิบัติตามข้อกำหนดทางเทคนิคของ EU ได้ แต่ก็ยังไม่ผ่านข้อกำหนดของซาอุดีอาระเบียเรื่องการขึ้นทะเบียนและการถ่ายโอนข้อมูล ทั้งสองฝ่ายต่างไม่ยอมรับเอกสารของอีกฝ่าย

แนวทางของเราคือสร้างพื้นฐานชุดเดียวที่ใช้ได้ในทุกภูมิภาค โดยใช้ ISO 42001 ควบคู่กับ ISO 27001 แล้วเพิ่มข้อกำหนดของแต่ละภูมิภาคเข้าไป ISO 42001 ไม่ได้ทำให้คุณปฏิบัติตามกฎหมายได้ในที่ใดด้วยตัวมาตรฐานเอง แต่เป็นสิ่งที่ใกล้เคียงกับภาษากลางที่ทุกภูมิภาคเหล่านี้ยอมรับมากที่สุด

มักมีช่องว่างอย่างมากระหว่างการได้รับการรับรองด้านความปลอดภัยกับการรักษาความสามารถในการรับมือภัยคุกคามทางไซเบอร์อย่างแท้จริง องค์กรจะใช้ AI และระบบอัตโนมัติเพื่อก้าวข้ามการปฏิบัติตามข้อกำหนดเพียงเพื่อให้ผ่านเกณฑ์ และพัฒนาแนวปฏิบัติด้านความปลอดภัยที่ปรับตัวต่อภัยคุกคามใหม่ ๆ อย่างต่อเนื่องได้อย่างไร

ผมเคยเห็นบริษัทที่เพิ่งได้รับรายงาน SOC 2 แต่กลับมีช่องโหว่พื้นฐานด้านความปลอดภัยที่ไม่มีใครสังเกตเห็น เป้าหมายของพวกเขาคือการสอบผ่านการตรวจประเมิน ใบรับรองแสดงให้เห็นว่าบริษัทปฏิบัติตามมาตรฐาน ณ วันที่กำหนด แต่ไม่ได้แสดงว่าบริษัทสามารถหยุดยั้งการโจมตีได้หรือไม่

การก้าวข้ามจุดนั้นหมายถึงการถามว่ามาตรการควบคุมแต่ละข้อจะยังได้ผลเมื่อนำไปทดสอบหรือไม่ ระบบอัตโนมัติช่วยได้มากในเรื่องนี้ การเฝ้าระวังอย่างต่อเนื่องช่วยตรวจพบปัญหาตั้งแต่ยังเล็ก และข้อมูลภัยคุกคามล่าสุดช่วยให้การประเมินความเสี่ยงสอดคล้องกับสิ่งที่ผู้โจมตีกำลังทำอยู่ในขณะนั้น จากนั้นการทดสอบเจาะระบบและการจำลองการโจมตีเป็นประจำจะแสดงให้เห็นว่ามาตรการควบคุมใช้ได้ผลจริงหรือไม่

การได้รับการรับรองจาก CREST ในปีนี้ก็เป็นส่วนหนึ่งของเรื่องนี้สำหรับเรา เราต้องการทดสอบความปลอดภัยของลูกค้าและจัดทำเอกสารบันทึกผลไว้

เมื่อมองไปข้างหน้าในช่วงสามถึงห้าปี คุณคิดว่า AI จะเปลี่ยนแปลงอุตสาหกรรมที่ปรึกษาด้านความปลอดภัยทางไซเบอร์และการปฏิบัติตามข้อกำหนดอย่างไร คุณเชื่อหรือไม่ว่าในที่สุดเอเจนต์ AI จะจัดการกิจกรรมการปฏิบัติตามข้อกำหนดทั่วไปส่วนใหญ่ได้ด้วยตนเอง และคุณมองว่า Axipro จะพัฒนาไปอย่างไรเมื่อเทคโนโลยีเหล่านี้เติบโตเต็มที่

ผมคิดว่าเอเจนต์ AI จะจัดการงานปฏิบัติตามข้อกำหนดทั่วไปส่วนใหญ่ได้ภายในห้าปี เช่น การรวบรวมหลักฐาน การปรับปรุงนโยบาย และแบบสอบถามด้านความปลอดภัย บริษัทที่หารายได้จากการคิดค่าบริการเป็นชั่วโมง โดยไม่มีความเชี่ยวชาญที่เห็นได้ชัดในงานเหล่านี้ จะประสบปัญหา

อย่างไรก็ตาม ผมไม่คิดว่าเอเจนต์จะจัดการงานด้านการปฏิบัติตามข้อกำหนดได้ด้วยตัวเอง ยิ่ง AI รับงานไปทำมากเท่าไร การตัดสินใจที่ยังเหลืออยู่ก็ยิ่งสำคัญมากขึ้นเท่านั้น ยังต้องมีคนลงนามอนุมัติการตรวจประเมินและรับมือกับผลกระทบเมื่อเกิดข้อผิดพลาด เมื่อผู้โจมตีก็ใช้ AI เช่นกัน ความต้องการผู้เชี่ยวชาญด้านการป้องกันที่มีทักษะก็จะเพิ่มขึ้นต่อไป

ที่ Axipro ผมมองว่าเราจะใช้เวลากับการจัดทำเอกสารน้อยลง และใช้เวลาให้คำปรึกษาแก่ลูกค้าและทดสอบความปลอดภัยของพวกเขามากขึ้น AI ที่เราพัฒนาขึ้นเองจะรับงานส่งมอบบริการมากขึ้น ส่วนทีมของเราจะมุ่งเน้นไปที่การตัดสินใจซึ่งต้องอาศัยวิจารณญาณของมนุษย์ ย้อนกลับไปในปี 2022 หลายคนคิดว่า AI จะทำให้บริษัทอย่างเราหมดความจำเป็น แต่จนถึงตอนนี้กลับเป็นตรงกันข้าม เราเติบโตมากกว่า 10% ต่อเดือนในบางช่วง บางครั้งมีงานมากเกินกว่าจะรับไหว และเราไม่คิดว่าสถานการณ์จะเบาบางลง

ขอขอบคุณสำหรับบทสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่ต้องการเรียนรู้เพิ่มเติมเกี่ยวกับการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ การกำกับดูแล AI และการสร้างแนวปฏิบัติด้านความปลอดภัยอย่างต่อเนื่อง สามารถเยี่ยมชม Axipro ได้