แอชลีย์ โรส ผู้ก่อตั้งและซีอีโอของ Living Security – สัมภาษณ์ซีรีส์

แอชลีย์ โรส ผู้ก่อตั้งและซีอีโอของ Living Security เป็นผู้ประกอบการรายบุคคลและผู้นำนวัตกรรมด้านความปลอดภัยไซเบอร์ที่มุ่งเน้นในการเปลี่ยนแปลงวิธีการที่องค์กรต่างๆ จัดการความเสี่ยงด้านความปลอดภัยของมนุษย์ ตั้งแต่ก่อตั้งบริษัทในปี 2017 เธอได้นำการพัฒนาแนวทางที่ขับเคลื่อนด้วยข้อมูลและเน้นพฤติกรรมในการรักษาความปลอดภัยไซเบอร์ที่เคลื่อนไหวไปไกลกว่าการฝึกอบรมความตระหนักแบบดั้งเดิมสู่การลดความเสี่ยงและเปลี่ยนแปลงวัฒนธรรมที่วัดได้ โดยอาศัยประสบการณ์ของเธอในการเป็นผู้นำผลิตภัณฑ์และผู้ประกอบการ เธอได้ช่วยให้ Living Security ขยายตัวเป็นแพลตฟอร์ม SaaS ที่เติบโตอย่างรวดเร็วซึ่งใช้โดยองค์กรระดับองค์กร ในขณะเดียวกันก็ได้มีส่วนร่วมในระบบนิเวศด้านความปลอดภัยไซเบอร์ที่กว้างขึ้นในฐานะผู้ให้คำปรึกษา ผู้ให้คำแนะนำ และผู้สนับสนุนโครงการต่างๆ เช่น Women in CyberSecurity

Living Security เป็นบริษัท SaaS ด้านความปลอดภัยไซเบอร์ที่มุ่งเน้นในการจัดการความเสี่ยงด้านมนุษย์ โดยช่วยให้องค์กรสามารถระบุ วัด และลดความเสี่ยงที่เกี่ยวข้องกับพฤติกรรมของพนักงานได้ แพลตฟอร์มของบริษัทรวบรวมข้อมูลพฤติกรรม ข้อมูลประจำตัว และข้อมูลภัยคุกคามเพื่อระบุผู้ใช้ที่มีความเสี่ยงสูงและจัดให้มีการฝึกอบรมและการแทรกแซงที่มุ่งเป้าและแบบเรียลไทม์เพื่อป้องกันการละเมิดความปลอดภัยก่อนที่จะเกิดขึ้น โดยการผสมผสานการวิเคราะห์ การอัตโนมัติ และวิธีการฝึกอบรมที่น่าสนใจ เช่น การจำลองและประสบการณ์ที่มีการเล่นเกม บริษัทช่วยให้องค์กรสามารถเปลี่ยนจากการรักษาความปลอดภัยที่ขับเคลื่อนด้วยการปฏิบัติตามกฎระเบียบไปยังการลดความเสี่ยงแบบวัดผลและเชิงรุกทั่วทั้งพนักงาน

คุณก่อตั้ง Living Security ในปี 2017 หลังจากมีประสบการณ์ก่อนหน้านี้ในการสร้างและขยายธุรกิจผลิตภัณฑ์สำหรับผู้บริโภคและการทำงานเป็นผู้ดูแลผลิตภัณฑ์ สิ่งใดคือช่วงเวลาที่เฉพาะเจาะจงหรือความเข้าใจที่ทำให้คุณเปลี่ยนไปสู่ความปลอดภัยไซเบอร์และเน้นไปที่ความเสี่ยงด้านมนุษย์ และวิธีการที่ทฤษฎีเดิมได้รับการสนับสนุนเมื่อ AI กลายเป็นส่วนหนึ่งของกำลังแรงงาน?

ในปี 2017 องค์กรส่วนใหญ่กำลังปฏิบัติต่อการฝึกอบรมความตระหนักด้านความปลอดภัยเป็นเพียงการทำเครื่องหมายในกล่อง และไม่ได้เปลี่ยนแปลงพฤติกรรม จุดเปลี่ยนคือการรับรู้ว่าหากพฤติกรรมของมนุษย์เป็นตัวขับเคลื่อนการละเมิดความปลอดภัย คำตอบไม่สามารถเป็นการฝึกอบรมที่น่าลืมได้ Drew Rose ผู้ร่วมก่อตั้ง Living Security กำลังดำเนินโครงการรักษาความปลอดภัยด้วยตนเองและเริ่มสร้างต้นแบบการฝึกอบรมความปลอดภัยแบบจำลองสถานการณ์ เราได้เห็นด้วยตนเองว่าเมื่อคุณทำให้ความปลอดภัยเป็นประสบการณ์ ผู้คนจะเข้าใจ เข้าใจ และเปลี่ยนแปลงพฤติกรรมจริงๆ สิ่งนั้นกลายเป็นรากฐานของ Living Security

ในฐานะผู้ร่วมก่อตั้ง Drew และฉันรับรู้อย่างรวดเร็วว่าการมีส่วนร่วมเป็นเพียงจุดเริ่มต้นเท่านั้น เมื่อเราขยายประสบการณ์เหล่านั้นเป็นแพลตฟอร์ม เราเริ่มเห็นรูปแบบในพฤติกรรมของมนุษย์ ที่พวกเขาต่อสู้ และที่ความเสี่ยงแท้จริงถูกกระจายอยู่ สิ่งนั้นเปิดเผยช่องว่างที่ใหญ่กว่ามาก: องค์กรไม่มีการมองเห็นความเสี่ยงด้านมนุษย์หรือวิธีการลดมันในลักษณะที่มุ่งเป้า ไม่ใช่แค่การนำเสนอการฝึกอบรมเท่านั้น ความเข้าใจนั้นนำเราไปสู่การเป็นผู้บุกเบิกในการจัดการความเสี่ยงด้านมนุษย์ ซึ่งเกี่ยวกับการระบุ วัด และลดความเสี่ยงตามพฤติกรรมของแต่ละบุคคล การเข้าถึง และภัยคุกคาม ไม่ใช่แค่การนำเสนอการฝึกอบรมเท่านั้น เมื่อ AI ถูกฝังตัวเข้ากับกำลังแรงงาน ทฤษฎีเดิมของเราขยายออกไป: ความท้าทายไม่ใช่แค่พฤติกรรมของมนุษย์เท่านั้น แต่ยังรวมถึงวิธีการทำงานร่วมกันของมนุษย์และระบบ AI ด้วย มนุษย์ยังคงอยู่ที่ศูนย์กลาง โดยที่พวกเขากำกับและใช้งานตัวแทน AI ซึ่งหมายความว่าคุณต้องขยายการมองเห็นไปยังตัวแทนเหล่านั้นและผูกมันเข้ากับความเสี่ยงของแต่ละบุคคล

คุณได้โต้แย้งว่าข้อผิดพลาดของมนุษย์เป็นคำอธิบายที่ไม่สมบูรณ์สำหรับการละเมิดความปลอดภัย องค์กรควรพิจารณาความเสี่ยงของกำลังแรงงานใหม่ๆ เมื่อการกระทำที่ขับเคลื่อนด้วย AI และพฤติกรรมของมนุษย์ทั้งสองมีส่วนทำให้เกิดพื้นที่โจมตี?

การอธิบายการละเมิดความปลอดภัยว่าเป็น “ข้อผิดพลาดของมนุษย์” ทำให้ปัญหาง่ายเกินไปและบดบังที่มาของความเสี่ยงจริงๆ ความเสี่ยงด้านมนุษย์ไม่ใช่แค่เรื่องของข้อผิดพลาดเท่านั้น แต่ยังถูกกำหนดโดยพฤติกรรม การเข้าถึง และการเปิดรับภัยคุกคามด้วย พนักงานบางคนมีการเข้าถึงระบบที่มีเอกสิทธิ์พิเศษ บางคนถูกโจมตีบ่อยครั้ง และบางคนแสดงพฤติกรรมที่มีความเสี่ยงมากกว่า ดังนั้นความเสี่ยงของการละเมิดจึงไม่ได้กระจายเท่าๆ กัน 为了真正เข้าใจความเสี่ยง องค์กรต้องมีการมองเห็นถึงจุดที่ปัจจัยเหล่านี้ตัดกันและที่ความเสี่ยงด้านมนุษย์เกิดขึ้น

ดังนั้น องค์กรจึงต้องดำเนินไปไกลกว่าแบบจำลองการฝึกอบรมความตระหนัก และพิจารณาความเสี่ยงของกำลังแรงงานเป็นความท้าทายในการดำเนินงานร่วมกัน ซึ่งครอบคลุมทั้งความเสี่ยงด้านมนุษย์และการกระทำที่ขับเคลื่อนด้วย AI สิ่งนี้หมายถึงการมุ่งเน้นไปที่การมองเห็นอย่างต่อเนื่องในการทำงานและเข้าใจที่ไหนที่ความเสี่ยงถูกกระจาย และการนำการแทรกแซงแบบเรียลไทม์ไปใช้กับกำลังแรงงานที่ผสมผสานระหว่างมนุษย์และ AI

เครื่องมือ AI กำลังเขียนโค้ด จัดการกระบวนการทำงาน และแม้แต่ตัดสินใจ เมื่อใดที่ระบบ AI จะหยุดเป็นเครื่องมือและเริ่มถูกมองว่าเป็นส่วนหนึ่งของกำลังแรงงานจากมุมมองด้านความปลอดภัย?

ระบบ AI หยุดเป็นเครื่องมือและเริ่มถูกมองว่าเป็นส่วนหนึ่งของกำลังแรงงานเมื่อพวกมันเริ่มดำเนินการภายในสภาพแวดล้อมขององค์กร ณ จุดนั้น พวกมันแนะนำความเสี่ยงในแบบเดียวกับที่พนักงานทำ: ผ่านการกระทำที่พวกมันทำ การอนุญาตที่พวกมันทำงานด้วย และข้อมูลที่พวกมันสัมผัส การเปลี่ยนแปลงสำหรับองค์กรคือการรับรู้ว่าเอเจนต์ AI ไม่ใช่แค่ชั้นการผลิตเท่านั้น แต่เป็นผู้เข้าร่วมการดำเนินงาน และต้องได้รับการกำกับดูแล การตรวจสอบ และการรักษาความปลอดภัยในแบบเดียวกับผู้ใช้งานมนุษย์ภายในแบบจำลองความเสี่ยงของกำลังแรงงานที่รวมกัน

องค์กรควรเข้าใกล้การกำกับดูแลอย่างไรเมื่อความเสี่ยงไม่ได้จำกัดอยู่แค่พนักงานเท่านั้น แต่ยังขยายไปถึงเอเจนต์ AI ที่ดำเนินการด้วยระดับอัตโนมัติที่แตกต่างกันและระดับการเข้าถึง?

องค์กรต้องดำเนินไปไกลกว่าการกำกับดูแลที่ขับเคลื่อนด้วยนโยบาย และพิจารณามันเป็นกระบวนการแบบต่อเนื่องและขับเคลื่อนด้วยพฤติกรรมที่ใช้กับทั้งมนุษย์และเอเจนต์ AI ส่วนใหญ่ขององค์กรมีนโยบาย AI อยู่แล้ว แต่ช่องว่างอยู่ที่การบังคับใช้และการมองเห็น โดยเฉพาะอย่างยิ่งเมื่อพนักงานนำเครื่องมือที่ไม่ได้รับอนุมัติเข้ามาใช้และระบบ AI ดำเนินการด้วยระดับการเข้าถึงที่แตกต่างกัน

การกำกับดูแลที่มีประสิทธิภาพเริ่มต้นด้วยการกำหนดการใช้งานที่ยอมรับได้ตามบทบาทและระดับการเข้าถึงข้อมูล แต่ยังต้องมีการแนะนำแบบเรียลไทม์ที่ฝังอยู่ในกระบวนการทำงานและการวัดต่อเนื่อง เพื่อให้องค์กรสามารถเห็นได้ว่าความเสี่ยงเกิดขึ้นที่ไหนและปรับตัวได้ ในที่สุด การกำกับดูแลต้องสะท้อนถึงวิธีการทำงานที่แท้จริงในปัจจุบัน: ทั่วทั้งกำลังแรงงานที่ผสมผสานระหว่างมนุษย์และระบบ AI ที่กำลังตัดสินใจ เข้าถึงข้อมูล และแนะนำความเสี่ยง

Living Security มุ่งเน้นไปที่แบบจำลองความปลอดภัยที่ขับเคลื่อนด้วยพฤติกรรมอย่างมาก เมื่อพฤติกรรมบางอย่างมาจากระบบ AI มากกว่ามนุษย์ ปรัชญานี้แปลเป็นอย่างไร?

แนวทางที่ขับเคลื่อนด้วยพฤติกรรมของ Living Security ขยายออกไปอย่างเป็นธรรมชาติสำหรับ AI เนื่องจากจุดสนใจไม่ได้แค่อยู่ที่ใครที่สร้างความเสี่ยง แต่อยู่ที่ว่าความเสี่ยงถูกนำเข้ามาผ่านการกระทำ ไม่ว่าจะเป็นคนหรือระบบ AI ความเสี่ยงจะปรากฏในพฤติกรรม วิธีการเข้าถึงข้อมูล การกระทำที่ดำเนินการ และการดำเนินการตัดสินใจภายในกระบวนการทำงาน เมื่อระบบ AI รับผิดชอบการดำเนินงานมากขึ้น แบบจำลองเดียวกันนี้ใช้ได้: องค์กรต้องมีการมองเห็นพฤติกรรมเหล่านั้นพร้อมกับความสามารถในการแนะนำและแทรกแซงแบบเรียลไทม์

สิ่งนั้นนำไปสู่การพัฒนา Livvy ซึ่งเป็นปัญญาประดิษฐ์ที่ขับเคลื่อนแพลตฟอร์ม Living Security โดยใช้ปัญญาประดิษฐ์แบบคาดการณ์และการตรวจสอบต่อเนื่องสำหรับทั้งการกระทำของมนุษย์และ AI แทนที่จะรักษา AI เป็นความท้าทายที่แยกออกมา มันทำให้สามารถใช้แนวทางที่รวมกันมากขึ้น โดยที่พฤติกรรม ไม่ว่าจะเป็นของมนุษย์หรือเครื่องจักร จะถูกวัด การแนะนำ และจัดการภายในแบบจำลองความเสี่ยงของกำลังแรงงานที่รวมกัน

หลายองค์กรยังคงพึ่งพาการฝึกอบรมความตระหนักด้านความปลอดภัยแบบเป็นระยะ การแบบจำลองนี้ล้มเหลวใน môi trườngสมัยใหม่เช่นใด และแบบจำลองที่ขับเคลื่อนด้วยข้อมูลและปรับให้เหมาะสมอย่างแท้จริงจะดูเหมือนอย่างไรในทางปฏิบัติ?

การฝึกอบรมความตระหนักด้านความปลอดภัยแบบเป็นระยะล้มเหลวเพราะถูกสร้างขึ้นสำหรับภูมิทัศน์ภัยคุกคามที่คงที่และสมมติว่าความเสี่ยงสามารถลดลงผ่านการให้ความรู้ทั่วไป ในความเป็นจริง เหตุการณ์ส่วนใหญ่เกิดจากพฤติกรรมการดำเนินงานทั่วไป ไม่ใช่การขาดการฝึกอบรม และความเสี่ยงมักจะถูกกระจายอยู่ในกลุ่มผู้ใช้ที่เล็กๆ แบบจำลองที่ปรับให้เหมาะสมและขับเคลื่อนด้วยข้อมูลมุ่งเน้นไปที่การระบุอย่างต่อเนื่องว่าความเสี่ยงอยู่ที่ไหนจริงๆ และการนำเสนอคำแนะนำแบบเรียลไทม์ในกระบวนการทำงาน โดยเปลี่ยนจากการเสร็จสิ้นการฝึกอบรมไปสู่การลดความเสี่ยงที่วัดผลได้

แพลตฟอร์มของคุณเน้นการวัดความเสี่ยงด้านมนุษย์โดยใช้ข้อมูลจากโลกแห่งความเป็นจริง สัญญาณที่สำคัญที่สุดคืออะไรที่องค์กรควรติดตามในปัจจุบันเพื่อทำความเข้าใจความเสี่ยงได้อย่างมีพลวัตมากกว่าการมองย้อนหลัง?

องค์กรควรเน้นไปที่พฤติกรรม การระบุตัวตนและเข้าถึง และการเปิดรับภัยคุกคาม ซึ่งเป็นสัญญาณที่สะท้อนถึงวิธีการที่ความเสี่ยงถูกสร้างขึ้นและที่ไหนที่ความเสี่ยงถูกกระจายไปทั่วทั้งกำลังแรงงาน สิ่งนี้ใช้ได้กับ AI เช่นกัน รวมถึงเครื่องมือที่พนักงานใช้ การเข้าถึงที่ระบบเหล่านั้นมี และวิธีการที่พวกมันถูกกำหนดค่าหรือกระตุ้นให้ทำงาน เมื่อแยกออกมา สัญญาณเหล่านี้มีประโยชน์ แต่คุณค่าแท้จริงมาจากการรวมกันเพื่อเล่าเรื่องราวเกี่ยวกับความเสี่ยง

ตัวอย่างเช่น CFO ที่มีการเข้าถึงระบบการเงิน ไม่ได้ใช้ MFA กำลังใช้เครื่องมือ AI ที่เชื่อมต่อกับข้อมูลที่มีความเสี่ยง และกำลังถูกโจมตีโดยแคมเปญฟิชชิ่งอย่างแข็งขัน แสดงถึงระดับความเสี่ยงที่แตกต่างจาก BDR ที่มีการเข้าถึงที่จำกัดและความเสี่ยงที่ต่ำกว่า ความเสี่ยงไม่ได้มาจากสิ่งที่ใครทำ แต่มาจากสิ่งที่พวกเขามีการเข้าถึง ระบบที่ดำเนินการแทนพวกเขา และบ่อยครั้งที่พวกเขากำลังถูกโจมตี เมื่อคุณสามารถเห็นปัจจัยเหล่านั้นร่วมกัน คุณสามารถเข้าใจที่ไหนที่การละเมิดความปลอดภัยมีแนวโน้มที่จะเกิดขึ้นและดำเนินการในแบบเรียลไทม์ ไม่ว่าจะเป็นการแจ้งเตือนบุคคลนั้น การควบคุมที่เข้มงวดขึ้น หรือจัดลำดับความสำคัญของการแทรกแซงสำหรับกลุ่มนั้น

AI กำลังสร้างช่องโหว่ใหม่ๆ แต่ก็ถูกใช้ในการป้องกันเช่นกัน คุณเห็นสมดุลเปลี่ยนไปทางไหน และเรากำลังจะสู่ผลกระทบด้านความปลอดภัยเชิงบวกหรือเชิงลบจาก AI?

AI ทำทั้งสองอย่าง ขยายพื้นที่โจมตีในขณะเดียวกันก็ช่วยให้องค์กรสามารถตรวจจับและตอบสนองต่อความเสี่ยงได้ดีขึ้น ในทางหนึ่ง มันทำให้กระบวนการทำงานที่ซับซ้อนและอัตโนมัติมากขึ้น ซึ่งสามารถแนะนำช่องโหว่ใหม่ๆ ได้ ในทางกลับกัน มันช่วยให้ทีมรักษาความปลอดภัยวิเคราะห์พฤติกรรมในระดับใหญ่และดำเนินการได้เร็วขึ้น ที่ไหนที่สมดุลลงจอดขึ้นอยู่กับว่าองค์กรปรับตัวได้ดีเพียงใด ในขณะนี้ องค์กรหลายแห่งยังคงตามหลังในด้านการมองเห็นและการกำกับดูแล โดยเฉพาะอย่างยิ่งเมื่อ AI ถูกใช้ในรูปแบบที่พวกเขาไม่ได้ทำการแมปอย่างเต็มที่ ในระยะยาว มันสามารถเป็นผลเชิงบวกได้ แต่เฉพาะหากองค์กรรักษา AI เป็นส่วนหนึ่งของกำลังแรงงานและใช้ระดับการตรวจสอบ การแนะนำ และการควบคุมในระดับเดียวกับที่พวกเขาทำสำหรับความเสี่ยงด้านมนุษย์

ไม่ใช่ทุกพนักงานหรือระบบ AI ที่มีความเสี่ยงเท่ากัน องค์กรควรจัดลำดับความสำคัญของการแทรกแซงโดยไม่สร้างความเสื่อมสมรรถภาพหรือการ giám sátมากเกินไป?

ไม่ใช่ทุกความเสี่ยงที่มีค่าเท่ากัน และการรักษามันให้เท่ากันจะสร้างความเสื่อมสมรรถภาพ การแก้ปัญหาหลักคือการมุ่งเน้นไปที่ที่ที่ความเสี่ยงถูกกระจายอยู่จริงๆ – เนื่องจากประมาณ 10% ของผู้ใช้ขับเคลื่อน 73% ของความเสี่ยง – และการนำการแทรกแซงที่มุ่งเป้าไปที่จุดนั้นแทนการกระจายไปทั่วทั้งกำลังแรงงาน สิ่งนี้หมายถึงการใช้ข้อมูลพฤติกรรม การเข้าถึง และการเปิดรับภัยคุกคามเพื่อจัดลำดับความสำคัญของใครและอะไรที่ต้องการความสนใจ และการนำเสนอคำแนะนำในกระบวนการทำงานแทนการเพิ่มการควบคุม

ถ้าเราคูณเวลาออกไปอีกห้าปี ความปลอดภัยของกำลังแรงงานจะมีลักษณะอย่างไร และสิ่งที่ส่วนใหญ่ขององค์กรยังคงประเมินต่ำเกินไปในปัจจุบัน?

ถ้าเราคูณเวลาออกไปอีกห้าปี ความปลอดภัยของกำลังแรงงานจะถูกกำหนดโดยวิธีการที่องค์กรสามารถเข้าใจและจัดการความเสี่ยงได้ทั้งพฤติกรรมของมนุษย์และเอเจนต์ AI ที่ดำเนินการร่วมกัน มันจะไม่ใช่เรื่องของการฝึกอบรมแบบเป็นระยะหรือการควบคุมแบบคงที่ แต่จะเป็นเรื่องของการมองเห็นอย่างต่อเนื่อง การประเมินความเสี่ยงแบบเรียลไทม์ และความสามารถในการดำเนินการได้แบบไดนามิกเมื่อพฤติกรรม การเข้าถึง และภัยคุกคามเปลี่ยนแปลง มนุษย์ยังคงอยู่ที่ศูนย์กลาง แต่พวกเขาจะขยายตัวผ่าน AI ซึ่งหมายความว่าความปลอดภัยต้องคำนึงถึงทั้งสอง

สิ่งที่ส่วนใหญ่ขององค์กรยังคงประเมินต่ำเกินไปคือว่ามีช่องว่างการมองเห็นความเสี่ยงด้านมนุษย์อยู่แล้ว และ AI กำลังทำให้มันแย่ลง องค์กรหลายแห่งคิดว่าพวกเขามีกลยุทธ์ AI แต่ในความเป็นจริง พวกเขาไม่มีการมองเห็นถึงทั้งคนและเครื่องมือที่คนเหล่านั้นใช้ ขั้นตอนแรกคือการทำความเข้าใจความเสี่ยงด้านมนุษย์ พฤติกรรม การเข้าถึง และการเปิดรับภัยคุกคาม ขั้นตอนที่สองคือการขยายการมองเห็นไปยังเอเจนต์ AI ที่พนักงานใช้งาน ซึ่งเป็นเพียงความเสี่ยงและทรงพลังเท่ากับการเข้าถึงและการตัดสินใจที่มนุษย์มอบให้พวกเขา โดยไม่มีพื้นฐานนี้ องค์กรไม่เพียงแต่ล้าหลังใน AI เท่านั้น แต่ยังดำเนินงานด้วยจุดบอดที่เพิ่มขึ้นทั่วทั้งกำลังแรงงาน

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Living Security เพื่อเรียนรู้เพิ่มเติม