นิก คัทมันน์ CISO/CIO ที่ LogicGate – สัมภาษณ์เชิงลึก

นิโคลัส คัทมันน์ เป็น Chief Information Security Officer (CISO) ที่ LogicGate ซึ่งเขานำโปรแกรมความปลอดภัยของข้อมูลของบริษัท ดูแลนวัตกรรมด้านความปลอดภัยของแพลตฟอร์ม และมีส่วนร่วมในการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์กับลูกค้า ด้วยประสบการณ์มากกว่า 20 ปีในด้าน IT และ 18 ปีในด้านความปลอดภัยทางไซเบอร์ คัทมันน์ ได้สร้างและนำทีมด้านการดำเนินงานด้านความปลอดภัยในธุรกิจขนาดเล็กและองค์กร Fortune 100

LogicGate เป็นแพลตฟอร์มด้านความเสี่ยงและความเป็นไปตามข้อกำหนดที่ช่วยให้องค์กรสามารถจัดการและปรับขนาดโปรแกรมด้านการกำกับดูแล ความเสี่ยง และความเป็นไปตามข้อกำหนด (GRC) ได้ ด้วยผลิตภัณฑ์หลักคือ Risk Cloud® LogicGate ช่วยให้ทีมสามารถระบุ ประเมิน และจัดการความเสี่ยงในองค์กรได้ด้วย 워์กโฟลว์ที่สามารถปรับแต่งได้ ข้อมูลในเวลาจริง และการผสานรวม แพลตฟอร์มนี้รองรับกรณีการใช้งานหลากหลาย รวมถึงความเสี่ยงของบุคคลที่สาม การปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ และการจัดการการตรวจสอบภายใน ช่วยให้บริษัทต่างๆ สร้างกลยุทธ์ด้านความเสี่ยงที่มีความยืดหยุ่นและทนทานมากขึ้น

คุณดำรงตำแหน่ง CISO และ CIO ที่ LogicGate ในขณะเดียวกัน — คุณมองเห็น AI ที่จะเปลี่ยนแปลงความรับผิดชอบของบทบาทเหล่านี้ในอีก 2-3 ปีข้างหน้าอย่างไร?

AI ได้เปลี่ยนแปลงบทบาทเหล่านี้แล้ว แต่ในอีก 2-3 ปีข้างหน้า ฉันคิดว่าเราจะเห็นการเพิ่มขึ้นอย่างมากของ Agentic AI ที่มีพลังในการจินตนาการถึงวิธีการจัดการกระบวนการทางธุรกิจในแต่ละวัน สิ่งที่ปกติจะไปที่ IT help desk เช่น การรีเซ็ตพาสเวิร์ด การติดตั้งแอปพลิเคชัน และอื่นๆ สามารถจัดการได้ด้วยตัวแทน AI อีกกรณีการใช้งานที่สำคัญคือการใช้ตัวแทน AI เพื่อจัดการการประเมินการตรวจสอบที่น่าเบื่อๆ ช่วยให้ CISO และ CIO สามารถจัดลำดับความสำคัญของคำขอที่มีกลยุทธ์มากขึ้น

เมื่อเผชิญกับการปลดพนักงานด้านความปลอดภัยทางไซเบอร์ของรัฐบาลกลางและแนวโน้มการปลดออกจากตำแหน่ง ควรใช้ AI อย่างไรเพื่อรักษาความปลอดภัยที่แข็งแกร่ง?

ในขณะที่เรากำลังเห็นแนวโน้มการปลดออกจากตำแหน่งในประเทศสหรัฐอเมริกา กฎระเบียบกำลังเข้มงวดมากขึ้นใน EU ดังนั้น หากคุณเป็นองค์กรหลายชาติ ควรเตรียมพร้อมที่จะปฏิบัติตามข้อกำหนดด้านกฎระเบียบระดับโลกเกี่ยวกับการใช้ AI ที่รับผิดชอบ สำหรับบริษัทที่ดำเนินธุรกิจเฉพาะในประเทศสหรัฐอเมริกา ฉันคิดว่าพวกเขาจะต้องมีระยะเวลาการเรียนรู้ในการนำ AI ไปใช้ ฉันคิดว่าสำหรับองค์กรเหล่านั้น ควรสร้างนโยบายการกำกับดูแล AI ที่เข้มแข็งและรักษาการกำกับดูแลของมนุษย์ในกระบวนการนำไปใช้ เพื่อให้แน่ใจว่าสิ่งใดไม่หลุดออกจากควบคุม

คุณเห็นจุดบอดที่สำคัญที่สุดอย่างไรเมื่อเปรียบเทียบการรวม AI เข้ากับกรอบการทำงานด้านความปลอดภัยทางไซเบอร์ที่มีอยู่?

ในขณะที่มีหลายพื้นที่ที่ฉันสามารถพิจารณาได้ จุดบอดที่มีผลกระทบมากที่สุดคือที่ที่ข้อมูลของคุณอยู่และที่ที่ข้อมูลนั้นผ่านไป การแนะนำ AI จะทำให้การดูแลในพื้นที่นั้นเป็นเรื่องที่ท้าทายมากขึ้น ผู้ขายได้เปิดใช้งานคุณสมบัติ AI ในผลิตภัณฑ์ของตน แต่ข้อมูลนั้นไม่ได้ไปสู่โมเดล AI หรือผู้ขายเสมอไป ซึ่งทำให้เครื่องมือความปลอดภัยแบบดั้งเดิม เช่น DLP และการตรวจสอบเว็บ มองไม่เห็น

คุณกล่าวไว้ว่ากลยุทธ์การกำกับดูแล AI ส่วนใหญ่เป็น “เสือกระดาษ” ส่วนผสมหลักของกรอบการกำกับดูแลที่ทำงานจริงๆ คืออะไร?

เมื่อฉันพูดถึง “เสือกระดาษ” ฉันหมายถึงกลยุทธ์การกำกับดูแลโดยเฉพาะที่ทีมเล็กๆ รู้กระบวนการและมาตรฐาน แต่ไม่ได้บังคับใช้หรือเข้าใจทั่วทั้งองค์กร AI มีความแพร่หลาย ซึ่งหมายความว่ามันส่งผลกระทบต่อทุกกลุ่มและทุกทีม กลยุทธ์ “ขนาดเดียวใช้ได้ทั้งหมด” ไม่ได้ผล ส่วนผสมหลักของกรอบการกำกับดูแลที่แข็งแกร่งแตกต่างกันไป แต่หน่วยงานที่ปรึกษาต่างๆ เช่น IAPP, OWASP, NIST มีกรอบการทำงานที่ดีสำหรับการกำหนดสิ่งที่ต้องประเมิน ส่วนที่ยากที่สุดคือการกำหนดว่าข้อกำหนดเหล่านั้นใช้กับกรณีการใช้งานแต่ละอย่างเมื่อใด

บริษัทต่างๆ สามารถหลีกเลี่ยงการเปลี่ยนแปลงของแบบจำลอง AI และรับประกันการใช้งานที่รับผิดชอบในระยะยาวโดยไม่ต้องออกแบบนโยบายที่ซับซ้อนเกินไปได้อย่างไร?

การเปลี่ยนแปลงและเสื่อมสภาพเป็นส่วนหนึ่งของการใช้เทคโนโลยี แต่ AI สามารถเร่งกระบวนการนี้ได้ หากการเปลี่ยนแปลงเกิดขึ้นมากเกินไป จะต้องมีการดำเนินการแก้ไขที่เหมาะสม ยุทธศาสตร์การทดสอบที่ครอบคลุมซึ่งตรวจหาสิ่งบ่งชี้และวัดความแม่นยำ ความเอนเอียง และสัญญาณอื่นๆ เป็นสิ่งจำเป็นในระยะยาว หากบริษัทต้องการหลีกเลี่ยงความเอนเอียงและความเสื่อมสภาพ พวกเขาต้องเริ่มต้นด้วยการมีเครื่องมือที่เหมาะสมในการระบุและวัดค่าเหล่านั้น

บันทึกการเปลี่ยนแปลง การอัปเดตนโยบายที่จำกัด และวงจรป้อนกลับในเวลาจริงมีบทบาทอย่างไรในการรักษาการกำกับดูแล AI ที่ยืดหยุ่น?

ในขณะนี้ พวกมันเล่นบทบาทในการลดความเสี่ยงและความรับผิดชอบต่อผู้ให้บริการ แต่วงจรป้อนกลับในเวลาจริงขัดขวางความสามารถของลูกค้าและผู้ใช้ในการดำเนินการกำกับดูแล AI โดยเฉพาะอย่างยิ่งหากการเปลี่ยนแปลงในกลไกการสื่อสารเกิดขึ้นบ่อยเกินไป

คุณมีความกังวลอย่างไรเกี่ยวกับความเอนเอียงและการเลือกปฏิบัติของ AI ในการอนุมัติหรือการให้คะแนนเครดิต โดยเฉพาะอย่างยิ่งกับบริการ “ซื้อแล้วจ่ายทีหลัง” (BNPL)?

ปีที่แล้ว ฉันพูดคุยกับนักวิจัย AI/ML ที่ธนาคารหลายแห่งที่กำลังทดลอง AI/LLMs กับโมเดลความเสี่ยงของพวกเขา โมเดลเหล่านั้น แม้จะถูกฝึกฝนจากชุดข้อมูลขนาดใหญ่และแม่นยำ ก็ยังตัดสินใจที่น่าประหลาดใจและไม่ได้รับการสนับสนุนในการอนุมัติหรือปฏิเสธการอนุมัติเครดิต ตัวอย่างเช่น หากคำว่า “เครดิตที่ดี” ถูกกล่าวถึงในแชทหรือการสื่อสารกับลูกค้า โมเดลเหล่านั้นจะปฏิเสธการให้กู้ยืมโดยอัตโนมัติ ไม่ว่าลูกค้าหรือพนักงานธนาคารจะเป็นคนพูด ถ้า AI ถูกพึ่งพา ธนาคารต้องมีการกำกับดูแลและความรับผิดชอบที่ดีขึ้น และ “ความประหลาดใจ” เหล่านั้นต้องลดให้เหลือน้อยที่สุด

คุณมีมุมมองอย่างไรเกี่ยวกับวิธีการตรวจสอบหรือประเมินอัลกอริทึมที่ตัดสินใจที่มีความเสี่ยงสูง — และใครควรต้องรับผิดชอบ?

สิ่งนี้กลับไปที่โมเดลการทดสอบที่ครอบคลุม ซึ่งจำเป็นต้องทดสอบและประเมินอัลกอริทึม/โมเดลอย่างต่อเนื่องในเวลาจริงมากที่สุดเท่าที่จะเป็นไปได้ สิ่งนี้อาจเป็นเรื่องที่ท้าทาย เนื่องจากผลลัพธ์ของโมเดลอาจมีผลลัพธ์ที่ต้องการ แต่ต้องการมนุษย์ในการระบุผลลัพธ์ที่ไม่ปกติ ตัวอย่างเช่น ในกรณีของธนาคาร โมเดลที่ปฏิเสธการให้กู้ยืมทั้งหมดจะมีอันดับความเสี่ยงที่ดี เนื่องจากการให้กู้ยืมที่ไม่เคยผิดนัดชำระจะไม่ผิดนัดชำระ ในกรณีนั้น องค์กรที่ใช้โมเดล/อัลกอริทึมควรต้องรับผิดชอบต่อผลลัพธ์ของโมเดล เช่นเดียวกับที่พวกเขาจะทำหากมนุษย์ตัดสินใจ

ด้วยการเพิ่มขึ้นของความต้องการประกันความปลอดภัยทางไซเบอร์ AI มีบทบาทอย่างไรในการเปลี่ยนแปลงภูมิทัศน์ด้านความเสี่ยงและการประกันภัย?

เครื่องมือ AI มีประโยชน์ในการกระจายข้อมูลจำนวนมากและค้นหารูปแบบหรือแนวโน้ม ด้านลูกค้า เครื่องมือเหล่านี้จะมีบทบาทสำคัญในการทำความเข้าใจความเสี่ยงขององค์กรและจัดการความเสี่ยงนั้น ด้านผู้ให้บริการประกันภัย เครื่องมือเหล่านี้จะมีประโยชน์ในการค้นหาความไม่สอดคล้องและองค์กรที่กำลังเสื่อมถอย

บริษัทต่างๆ สามารถใช้ AI เพื่อลดความเสี่ยงทางไซเบอร์แบบกระตือรือร้นและต่อรองเงื่อนไขที่ดีกว่าในตลาดประกันภัยในปัจจุบันได้อย่างไร?

วิธีที่ดีที่สุดในการใช้ AI เพื่อลดความเสี่ยงและต่อรองเงื่อนไขประกันภัยที่ดีกว่าคือการกรองเสียงรบกวนและความสับสน ช่วยให้คุณมุ่งเน้นไปที่ความเสี่ยงที่สำคัญที่สุด หากคุณลดความเสี่ยงเหล่านั้นอย่างครอบคลุม อัตราประกันภัยทางไซเบอร์ของคุณควรลดลง มันง่ายเกินไปที่จะถูกครอบงำด้วยปริมาณความเสี่ยงที่มาก ไม่ต้องยุ่งยากในการแก้ไขปัญหาแต่ละข้อเมื่อมุ่งเน้นไปที่ปัญหาที่สำคัญที่สุดสามารถมีผลกระทบได้มาก

คุณแนะนำขั้นตอนเชิงยุทธวิธีใดบ้างสำหรับบริษัทที่ต้องการใช้ AI อย่างรับผิดชอบ — แต่ไม่รู้ว่าจะเริ่มต้นจากที่ไหน?

ขั้นแรก คุณต้องเข้าใจกรณีการใช้งานของคุณและบันทึกผลลัพธ์ที่ต้องการ ทุกคนต้องการใช้ AI แต่สิ่งสำคัญคือต้องคิดถึงเป้าหมายก่อนแล้วจึงย้อนกลับไปจากที่นั่น — ซึ่งฉันคิดว่าหลายองค์กรต้องดิ้นรนในปัจจุบัน เมื่อคุณมีความเข้าใจที่ดีเกี่ยวกับกรณีการใช้งานของคุณ คุณสามารถวิจัยเฟรมเวิร์ก AI ที่แตกต่างกันและเข้าใจว่าข้อควบคุมที่ใช้ได้哪些สิ่งสำคัญสำหรับกรณีการใช้งานและการใช้งานของคุณ การกำกับดูแล AI ที่เข้มแข็งเป็นสิ่งสำคัญสำหรับการลดความเสี่ยงและการเพิ่มประสิทธิภาพ เนื่องจากการอัตโนมัติจะมีประโยชน์เท่ากับข้อมูลที่ป้อนเข้าไป องค์กรที่ใช้ AI ต้องทำเช่นนั้นด้วยความรับผิดชอบ เนื่องจากหุ้นส่วนและผู้มีโอกาสเป็นลูกค้ากำลังถามคำถามที่ยากเกี่ยวกับการใช้ AI และการกระจายตัวของ AI ไม่ทราบคำตอบอาจส่งผลให้พลาดโอกาสทางธุรกิจ ซึ่งส่งผลกระทบโดยตรงต่อผลกำไร

หากคุณต้องคาดการณับความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับ AI ที่ใหญ่ที่สุดในอีก 5 ปี — มันคืออะไร และเราสามารถเตรียมพร้อมได้อย่างไร?

การคาดการณ์ของฉันคือเมื่อ AI ที่มีเจตนาถูกสร้างเข้าไปในกระบวนการทางธุรกิจและแอปพลิเคชันมากขึ้น ผู้โจมตีจะใช้การฉ้อโกงและการละเมิดเพื่อหลอกลวงตัวแทนเหล่านั้นให้ดำเนินการผลลัพธ์ที่เป็นอันตราย เราได้เห็นสิ่งนี้แล้วกับการหลอกลวงตัวแทนบริการลูกค้า ซึ่งนำไปสู่ข้อตกลงและการคืนเงินที่ไม่ได้รับอนุญาต ผู้โจมตีใช้กลอุบายทางภาษาเพื่อหลบหลีกนโยบายและเข้าแทรกแซงกระบวนการตัดสินใจของตัวแทน

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ LogicGate。