โจ รีเกนส์เบอร์เกอร์ รองประธานฝ่ายวิจัยของ Immuta – ซีรีส์สัมภาษณ์

โจ รีเกนส์เบอร์เกอร์ ปัจจุบันเป็นรองประธานฝ่ายวิจัยของ Immuta ผู้นำในด้านความปลอดภัยของข้อมูล Immuta ช่วยให้องค์กรสามารถปลดล็อกคุณค่าจากข้อมูลคลาวด์ของตนโดยการปกป้องและให้การเข้าถึงที่ปลอดภัย

Immuta ได้รับการออกแบบมาเพื่อทำงานร่วมกับ環境คลาวด์ของคุณอย่างราบรื่น โดยมีการรวมเข้ากับซัพพลายเออร์คลาวด์หลักๆ ตาม กรอบการทำงานด้านความปลอดภัยทางไซเบอร์ของ NIST Immuta ครอบคลุมความต้องการด้านความปลอดภัยของข้อมูลส่วนใหญ่สำหรับองค์กรส่วนใหญ่

ประวัติการศึกษาของคุณอยู่ในด้านฟิสิกส์และคณิตศาสตร์ประยุกต์ คุณพบว่าตัวเองทำงานในด้านวิทยาศาสตร์ข้อมูลและวิเคราะห์ข้อมูลได้อย่างไร?

งานวิจัยระดับบัณฑิตศึกษาของฉันอยู่ในด้านฟิสิกส์พลังงานสูงแบบทดลอง การวิเคราะห์ข้อมูลในด้านนี้ต้องใช้การวิเคราะห์ทางสถิติเป็นอย่างมาก โดยเฉพาะการแยกสัญญาณของเหตุการณ์ที่หายากออกจากเหตุการณ์พื้นหลังที่เกิดขึ้นบ่อยๆ ทักษะเหล่านี้คล้ายกับทักษะที่จำเป็นในวิทยาศาสตร์ข้อมูล

คุณสามารถอธิบายถึงบทบาทปัจจุบันของคุณในฐานะรองประธานฝ่ายวิจัยของ Immuta ซึ่งเป็นผู้นำด้านความปลอดภัยของข้อมูลได้อย่างไร?

ที่ Immuta เรามุ่งเน้นไปที่ความปลอดภัยของข้อมูล ซึ่งหมายความว่าเราต้องเข้าใจว่าข้อมูลถูกใช้อย่างไร ข้อมูลสามารถถูกใช้ในทางที่ผิดได้อย่างไร และให้เครื่องมือที่จำเป็นแก่ผู้เชี่ยวชาญด้านข้อมูลเพื่อสนับสนุนภารกิจของพวกเขา ในขณะเดียวกันก็ป้องกันไม่ให้ข้อมูลถูกใช้ในทางที่ผิด บทบาทของเราคือการเข้าใจความต้องการและความท้าทายของผู้เชี่ยวชาญด้านข้อมูล โดยเฉพาะอย่างยิ่งในด้านกฎระเบียบและความปลอดภัย และช่วยแก้ไขความท้าทายเหล่านั้น เราต้องการลดความต้องการด้านกฎระเบียบ และช่วยให้ผู้เชี่ยวชาญด้านข้อมูลสามารถมุ่งเน้นไปที่ภารกิจหลักของตนได้ บทบาทของฉันคือการช่วยพัฒนาวิธีแก้ปัญหาที่ลดภาระเหล่านั้น ซึ่งรวมถึงการสร้างเครื่องมือเพื่อค้นหาข้อมูลที่มีความอ่อนไหว วิธีการเพื่อจัดประเภทข้อมูลโดยอัตโนมัติ การตรวจจับว่าข้อมูลถูกใช้อย่างไร และสร้างกระบวนการที่บังคับใช้นโยบายข้อมูลเพื่อให้แน่ใจว่าข้อมูลถูกใช้อย่างเหมาะสม

อะไรคือความท้าทายที่สำคัญที่สุดในการกำกับดูแล AI เมื่อเทียบกับการกำกับดูแลข้อมูลแบบดั้งเดิม?

ผู้นำด้านเทคโนโลยีได้กล่าวถึงว่าการกำกับดูแล AI เป็นขั้นตอนต่อไปที่เป็นธรรมชาติและความก้าวหน้าจากการกำกับดูแลข้อมูลแบบดั้งเดิม นั้น กล่าวคือ มีความแตกต่างที่สำคัญที่ต้องพิจารณา ประการแรกและประการสำคัญที่สุด คือ การกำกับดูแล AI ต้องมีความไว้วางใจในผลลัพธ์ของระบบ AI มากกว่า ในการกำกับดูแลข้อมูลแบบดั้งเดิม ผู้นำด้านข้อมูลสามารถติดตามผลลัพธ์จากแบบจำลองสถิติแบบดั้งเดิมได้อย่างง่ายดาย แต่ใน AI การติดตามและสายพันธุ์กลายเป็นความท้าทายที่แท้จริง และเส้นแบ่งระหว่างสิ่งเหล่านั้นสามารถเบลอได้ง่าย การไว้วางใจผลลัพธ์ที่ระบบ AI พึงพอใจสามารถถูกทำลายได้โดยการหลอกลวงและข้อความที่ไม่ถูกต้อง ซึ่งเป็นความท้าทายที่ไม่เหมือนใครต่อ AI ที่ต้องแก้ไขเพื่อให้แน่ใจว่าการกำกับดูแลที่เหมาะสม

คุณเชื่อว่ามีวิธีแก้ปัญหาแบบสากลสำหรับการกำกับดูแล AI และความปลอดภัยของข้อมูลหรือไม่ หรือเป็นเรื่องเฉพาะกรณี?

“ในขณะที่ฉันไม่คิดว่ามีวิธีแก้ปัญหาแบบสากลสำหรับการกำกับดูแล AI ที่เกี่ยวข้องกับการรักษาความปลอดภัยของข้อมูลในขณะนี้ มีความพิจารณาที่ผู้นำด้านข้อมูลควรใช้ตอนนี้เพื่อสร้างรากฐานสำหรับความปลอดภัยและการกำกับดูแล เมื่อพูดถึงการกำกับดูแล AI มันสำคัญมากที่จะมีบริบทเกี่ยวกับว่า AI ถูกใช้เพื่ออะไรและทำไม ถ้าคุณใช้ AI สำหรับสิ่งที่น่าเบื่อหน่ายและมีผลกระทบน้อย การคำนวณความเสี่ยงของคุณจะน้อยกว่ามาก ถ้าคุณใช้ AI ในการตัดสินใจเกี่ยวกับการดูแลสุขภาพหรือการฝึกอบรมยานพาหนะอัตโนมัติ ผลกระทบต่อความเสี่ยงของคุณจะสูงกว่ามาก ซึ่งคล้ายกับการกำกับดูแลข้อมูล ว่าข้อมูลถูกใช้ทำไม มีความสำคัญไม่แพ้กับการใช้ข้อมูล

คุณได้เขียนบทความที่มีชื่อว่า “การแก้ไขภัยคุกคามที่ซ่อนอยู่ของ AI ที่ไม่ถูกต้อง” AI ที่ไม่ถูกต้องคืออะไร และทำไมองค์กร nênให้ความสนใจกับเรื่องนี้?

“AI ที่ไม่ถูกต้องสามารถกำหนดได้ว่าเป็นการใช้เครื่องมือ AI ที่ไม่ได้รับอนุญาตซึ่งไม่อยู่ภายใต้กรอบการกำกับดูแลขององค์กร องค์กรต้องตระหนักถึงปรากฏการณ์นี้เพื่อปกป้องข้อมูลของตน เนื่องจากการป้อนข้อมูลภายในเข้าสู่แอปพลิเคชันที่ไม่ได้รับอนุญาต เช่น เครื่องมือ AI อาจนำไปสู่ความเสี่ยงที่ยิ่งใหญ่ AI ที่ไม่ถูกต้องโดยทั่วไปแล้วเป็นที่รู้จักและสามารถจัดการได้ง่ายๆ เมื่อถูกตรวจพบ เพียงแค่ยกเลิกแอปพลิเคชันและดำเนินการต่อ แต่เมื่อใช้ AI ที่ไม่ถูกต้อง คุณไม่มีข้อตกลงผู้ใช้สุดท้ายที่ชัดเจนเกี่ยวกับวิธีการใช้ข้อมูลในการฝึกอบรมโมเดล AI หรือที่ไหนโมเดลจะแบ่งปันคำตอบที่สร้างขึ้นเมื่อสร้างขึ้น โดยพื้นฐานแล้ว เมื่อข้อมูลเข้าไปในโมเดล คุณจะสูญเสียการควบคุมเหนือมัน เพื่อลดความเสี่ยงที่อาจเกิดขึ้นจาก AI ที่ไม่ถูกต้อง องค์กรต้องสร้างข้อตกลงและกระบวนการที่เป็นทางการสำหรับการใช้เครื่องมือเหล่านี้หากข้อมูลจะออกจากสภาพแวดล้อมใดๆ

คุณสามารถอธิบายถึงข้อดีของการใช้การควบคุมการเข้าถึงตามคุณลักษณะ (ABAC) มากกว่าการควบคุมการเข้าถึงตามบทบาท (RBAC) ในด้านความปลอดภัยของข้อมูลได้อย่างไร?

การควบคุมการเข้าถึงตามบทบาท (RBAC) ทำงานโดยการจำกัดการอนุญาตหรือการเข้าถึงระบบตามบทบาทของบุคคลภายในองค์กร ข้อดีของมันคือ ทำให้การควบคุมการเข้าถึงเป็นแบบคงที่และเชิงเส้น เนื่องจากผู้ใช้สามารถเข้าถึงข้อมูลได้เฉพาะเมื่อพวกเขาได้รับมอบหมายให้บทบาทที่กำหนดไว้ล่วงหน้า ในขณะที่โมเดล RBAC ได้ให้บริการเป็นวิธีการควบคุมการใช้ข้อมูลภายในที่ไม่ต้องมีการแทรกแซง แต่ความเรียบง่ายของมันก็เป็นจุดอ่อนหลักของมันในขณะเดียวกัน องค์กรที่ทันสมัยมีข้อมูลที่ขับเคลื่อนและความต้องการข้อมูลที่เติบโตตามเวลา ในสถานการณ์ที่พบได้บ่อยนี้ ความสามารถของ RBAC จะพังทลายได้幸นั้น เรามีตัวเลือกที่ทันสมัยและยืดหยุ่นกว่าสำหรับการควบคุมการเข้าถึง: การควบคุมการเข้าถึงตามคุณลักษณะ (ABAC) โมเดล ABAC ใช้แนวทางที่มีพลวัตมากกว่าในการเข้าถึงข้อมูลและความปลอดภัยมากกว่า RBAC มันกำหนดบทบาทเชิงตรรกะโดยการรวมคุณลักษณะที่สังเกตได้ของผู้ใช้และข้อมูล และการตัดสินใจการเข้าถึงตามคุณลักษณะเหล่านั้น จุดแข็งสำคัญของ ABAC คือ สภาพที่มีพลวัตและสามารถปรับขนาดได้ เมื่อกรณีการใช้ข้อมูลเติบโตและข้อมูลประชาธิปไตยทำให้ผู้ใช้ภายในองค์กรมีจำนวนมากขึ้น การควบคุมการเข้าถึงต้องสามารถขยายตัวตามสภาพแวดล้อมเพื่อรักษาความปลอดภัยของข้อมูลที่สม่ำเสมอ ระบบ ABAC มักจะปลอดภัยมากกว่าโมเดลการควบคุมการเข้าถึงก่อนหน้านี้ด้วย นอกจากนี้ ระดับความปลอดภัยของข้อมูลที่สูงนี้ไม่ได้มาจากการเสียสละความสามารถในการปรับขนาด แต่ลักษณะที่มีพลวัตของ ABAC ทำให้สร้างแบบจำลองที่มีอนาคต

ขั้นตอนหลักๆ ในการขยายการเข้าถึงข้อมูลในขณะเดียวกันก็รักษาความปลอดภัยและความเป็นระเบียบของข้อมูลให้เข้มแข็งคืออะไร?

การควบคุมการเข้าถึงข้อมูลใช้เพื่อจำกัดการเข้าถึง การอนุญาต และสิทธิพิเศษที่มอบให้กับผู้ใช้และระบบบางอย่าง เพื่อให้แน่ใจว่าเฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นที่สามารถดูและใช้เซตข้อมูลที่เฉพาะเจาะจงได้ แต่ทีมข้อมูลต้องการการเข้าถึงข้อมูลให้มากที่สุดเพื่อขับเคลื่อนข้อมูลเชิงธุรกิจที่แม่นยำที่สุด ซึ่งนำไปสู่ปัญหาในการรักษาสมดุลระหว่างความสนใจที่แข่งขันกันเหล่านี้ ในอดีต องค์กรพยายามสร้างสมดุลนี้โดยใช้แนวทางแบบผ่อนคลายในการควบคุมการเข้าถึงข้อมูล ซึ่งนำไปสู่ปัญหาการขาดแคลนข้อมูลและทำให้องค์กรล่าช้าในการดำเนินงาน เพื่อขยายการเข้าถึงข้อมูลในขณะเดียวกันก็รักษาความปลอดภัยและความเป็นระเบียบของข้อมูลให้เข้มแข็ง องค์กรต้องใช้การควบคุมการเข้าถึงข้อมูลโดยอัตโนมัติ ซึ่งแนะนำความเร็ว ความคล่องตัว และความแม่นยำในการใช้กฎเกณฑ์กับข้อมูล มีห้าขั้นตอนที่ต้องเชี่ยวชาญเพื่อทำให้การควบคุมการเข้าถึงข้อมูลโดยอัตโนมัติ:

1. ต้องสามารถรองรับเครื่องมือใดๆ ที่ทีมข้อมูลใช้
2. ต้องรองรับข้อมูลทั้งหมด ไม่ว่าจะเก็บไว้ที่ไหนหรือใช้เทคโนโลยีการจัดเก็บข้อมูลใด
3. ต้องสามารถเข้าถึงข้อมูลสดเดียวกันทั่วทั้งองค์กรได้
4. ทุกคน โดยไม่คำนึงถึงระดับความเชี่ยวชาญ สามารถเข้าใจกฎและนโยบายที่ใช้กับข้อมูลองค์กรได้
5. นโยบายความเป็นส่วนตัวของข้อมูลต้องอยู่ในตำแหน่งกลาง
6. เมื่อหลักการเหล่านี้ถูกเชี่ยวชาญ องค์กรสามารถหลุดพ้นจากแนวทางแบบผ่อนคลายในการควบคุมการเข้าถึงข้อมูล และสามารถใช้การควบคุมการเข้าถึงข้อมูลที่ปลอดภัย มีประสิทธิภาพ และสามารถปรับขนาดได้

ในแง่ของการตรวจสอบข้อมูลแบบเรียลไทม์ Immuta ช่วยให้องค์กรสามารถจัดการการใช้ข้อมูลและความเสี่ยงด้านความปลอดภัยได้อย่างไร?

ผลิตภัณฑ์ Immuta Detect ของ Immuta ช่วยให้องค์กรสามารถจัดการการใช้ข้อมูลได้โดยการให้คะแนนข้อมูลโดยอัตโนมัติตามความอ่อนไหวและวิธีการปกป้อง (เช่น การปิดบังข้อมูลหรือวัตถุประสงค์ที่ระบุในการเข้าถึง) เพื่อให้ทีมข้อมูลและความปลอดภัยสามารถจัดลำดับความสำคัญของความเสี่ยงและได้รับ การแจ้งเตือนในเวลาจริงเกี่ยวกับเหตุการณ์ด้านความปลอดภัยที่อาจเกิดขึ้น ด้วยการแสดงและจัดลำดับความสำคัญความเสี่ยงในการใช้ข้อมูลโดย Immuta Detect ลูกค้าสามารถลดเวลาในการบรรเทาและรักษาความปลอดภัยของข้อมูลให้เข้มแข็งสำหรับข้อมูลของตน

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Immuta เพื่อเรียนรู้เพิ่มเติม