Axipro CEO’su ve Kurucusu Ali Hayat – Röportaj Serisi

Ali Hayat, endüstriyel risk yönetimi ve ISO denetçiliği alanlarındaki geçmişini siber güvenlik ve uyum danışmanlığı deneyimiyle birleştiren Axipro’nun CEO’su ve kurucusudur. Kariyerinin ilk dönemlerinde güvenliğin, mevzuat gerekliliklerinin ve operasyonel risklerin ön planda olduğu, yüksek riskli endüstriyel ortamlarda çalıştı. Daha sonra dışarıdan yatırım almadan Axipro’yu kurdu; büyüyen şirketlerin uygulanabilir güvenlik kontrollerini benimsemelerine, denetimlere hazırlanmalarına ve ortaya çıkan yapay zekâ risklerini yönetmelerine yardımcı olmaya odaklandı.

Axipro, SOC 2, ISO 27001, ISO 42001 ve veri koruma gereklilikleri dâhil çeşitli çerçeveler kapsamında kuruluşlara destek veren bir siber güvenlik ve uyum danışmanlığı şirketidir. Şirketin çalışmaları; danışmanlık, uyum süreçlerinin otomasyonu, denetim hazırlığı ve güvenlik testlerini bir araya getirirken sürekli izleme ve insan denetimine ağırlık verir. Hayat bu röportajda yapay zekâ destekli uyum iş akışlarını, gölge yapay zekâyı, otonom ajanların yol açtığı riskleri, bölgesel yönetişim farklılıklarını ve sertifikasyon ile siber güvenlik dayanıklılığı arasındaki uçurumu ele alıyor.

Kariyeriniz, Saudi Aramco, ADNOC ve TotalEnergies’in yer aldığı; güvenliğin, risk yönetiminin ve mevzuata uyumun kritik önem taşıdığı projelerde çalıştığınız yüksek riskli endüstriyel ortamlarda başladı. Sizi endüstriyel güvenlik ve denetim alanlarından siber güvenliğe geçmeye yönelten neydi ve sonunda Axipro’yu kurmaya sizi ne motive etti?

Kalite yönetimi alanında çalışırken piyasada bir boşluk gördüğüm için Axipro’yu kurdum. 2021’de, yarı otomatik SOC 2 ve ISO 27001 uyum platformları sunan çok sayıda yeni siber güvenlik platformunun piyasaya çıktığını fark ettim.

Bu platformların teknik ekiplerin uyum yükünü büyük ölçüde hafifletmesine rağmen kurulum ve bakım gerektirdiği açıktı. Büyümeye yetişmekte zaten zorlanan girişimler, uyum süreçlerini sürekli takip edecek insanlardan oluşan bir ekibe ödeme yapmaya hazırdı. Axipro böyle doğdu.

Ardından 2022’de ilk yapay zekâ platformları piyasaya sürüldü. Bu da benim için bir başka aydınlanma anıydı. Sektördeki pek çok kişi gereksiz hâle gelmekten korkarken ben bunun büyük bir fırsat olduğunu hemen fark ettim. Yapay zekânın siber saldırıları büyük olasılıkla katlanarak artıracağını ve bunun karşısında girişimlerin güvenlik ve uyum ihtiyaçlarına yön vermek için uzman insanlara ihtiyaç duyulacağını öngördüm.

Bugün Drata Elite Partner ve Vanta Preferred Partner’ıyız; 300’ün üzerinde şirketin önde gelen siber güvenlik ve yapay zekâ standartlarına uyum sağlamasına yardımcı olduk.

Axipro’yu dışarıdan yatırım almadan sıfırdan kurdunuz ve yüzlerce müşteriye hizmet veren uluslararası bir danışmanlık şirketine dönüştürdünüz. Bir siber güvenlik şirketini kendi kaynaklarınızla büyütürken karşılaştığınız en büyük zorluklar nelerdi? Teknoloji ve otomasyon, hizmet kalitesini korurken operasyonlarınızı ölçeklendirmenize nasıl yardımcı oldu?

İlk birkaç yıl son derece zorluydu. Bebeğimizin doğumunu beklerken birikimlerimi tüketmemden ilk yapay zekâ modellerinin sektöre hâkim olmaya başlamasına kadar yaşananlar, muhtemelen şu an saçlarımda gördüğüm akların başlıca nedeni. İlk 2 ila 3 yıl gerçekten çok çetin geçti.

Yerleşik itibarlara, büyük ofislere ve yüklü pazarlama bütçelerine sahip birkaç devle rekabet ediyordum. Bahreyn’de yaşıyordum, kalite yönetimi geçmişim vardı ve pazarlama bütçem 0’dı.

Ben de alışılmışın tersini yapmaya karar verdim: yalın ve verimli çalıştım, köklü büyük şirketlerden daha düşük fiyat verdim.

Bu yaklaşım bana çok sayıda yeni müşteri kazandırdı, ancak kâr marjlarımız düşüktü. Nakit akışını yönetmek adeta bir sanata dönüştü ve ilk 2 yılımızı zar zor atlattık. Birden fazla çerçeveyi kapsayan ilk beş haneli anlaşmamızı imzaladığımızda her şey değişti. Bu anlaşma bize biraz nefes alma alanı sağladı, ilk tam zamanlı çalışanlarımı işe almama imkân verdi ve ortaklıklar ile tavsiyelerin ötesine geçen pazarlama faaliyetlerini düşünmeye başlamamı sağladı.

Axipro, dijital dönüşüm ve otomasyon yoluyla karmaşık uyum çerçevelerini basitleştirmeye odaklanıyor. Yapay zekâ, geleneksel uyum iş akışlarını nasıl değiştiriyor ve yapay zekâ destekli verimlilik açısından en büyük fırsatları hangi faaliyetlerde görüyorsunuz?

Uyum sektörü yapay zekâdan büyük ölçüde yararlandı. Sektör daha önce kanıt toplama ve bunları eşleştirme, güvenlik anketlerini yanıtlama ve politika taslakları hazırlama gibi tekrara dayalı çok sayıda işe bağlıydı. Bu görevlerin neredeyse tamamı artık otomatikleştirildi. Yapay zekâ ayrıca siber güvenlik ve uyum risklerinin sürekli izlenmesini ve bu risklere ilişkin sinyallerin tespit edilmesini mümkün kıldı.

Yapay zekâ artık uyum sürecinin neredeyse tüm aşamalarında kullanılıyor. Yeni bir müşteriyi sisteme dâhil ettiğimizde şirket içi yapay zekâmız; şirketin sektörüne, büyüklüğüne ve konumuna göre otomatik risk değerlendirmesi yapıyor. Geçmişteki çalışmalarımıza ait geniş veri tabanımız, olası riskleri ve uyarı işaretlerini otomatik olarak belirlememize yardımcı oluyor. Yapay zekânın sağladığı en büyük katma değer muhtemelen bu.

Siber saldırganlar da yapay zekâdan yararlandı ve saldırılar katlanarak arttı. Bizim gibi şirketlerin bir tarafta otomatik tehdit tespiti üzerinde çalıştığı, bilgisayar korsanlarının ise diğer tarafta saldırıları otomatikleştirdiği bir yapay zekâ-yapay zekâ silahlanma yarışı yaşanıyor.

İnsan muhakemesi tam da bu noktada devreye giriyor ve çalışma biçimimizin merkezinde yer alıyor: Yapay zekâ tekrarlanan görevleri üstlenmeli ve operasyonel verimlilik sağlamalı; böylece insanlar tehditleri değerlendirmeye ve bunlara müdahale etmeye odaklanabilmeli.

Birçok kuruluş, siber güvenlik uyumluluğunu hâlâ denetimlere hazırlık etrafında şekillenen, belirli aralıklarla yapılan bir çalışma olarak ele alıyor. Yapay zekâ destekli araçlar ve Drata gibi sürekli izleme platformları bu yaklaşımı nasıl değiştiriyor ve sürekli uyumluluğa geçiş işletmeler için ne anlama geliyor?

Uyumluluk alanında çalışmaya başladığımda herkes denetim döneminden çekinirdi. Şirketler yılın büyük bölümünde kontrollerini göz ardı eder, ardından denetim tarihine yetişmek için haftalarca ekran görüntülerinin ve kayıtların peşinden koşardı. Denetimden geçmek, o gün uyumlu olduğunuz anlamına gelirdi; hepsi bu kadardı.

Drata ve benzeri platformlar bunu değiştirdi. Şirketin bulut ve İK araçlarına bağlanıp kontrolleri her gün denetliyorlar. Birisi çok faktörlü kimlik doğrulamayı (MFA) devre dışı bırakırsa ya da eski bir çalışan hâlâ erişim yetkisine sahipse, bu durum hemen ortaya çıkıyor ve ekibimiz anında müdahale ediyor.

İşletmeler için uyumluluk, yıllık bir proje olmaktan çıkıp günlük operasyonların parçası hâline geldi. Denetimler daha kısa ve daha düşük maliyetli oluyor. Satış ekipleri, kurumsal müşterilere güvenlik durumlarını talep üzerine gösterebildiğinden anlaşmaları daha hızlı sonuçlandırabiliyor.

Veri gizliliği ve siber güvenlik, hassas sektörlerde faaliyet göstermek için yerine getirilmesi gereken bir koşul olmaktan yavaş yavaş çıkıp pazarlamaya değer katan bir unsura dönüşüyor.

Kuruluşlar güvenlik belgeleri hazırlamak, riskleri değerlendirmek ve uyumluluk kanıtlarını incelemek için yapay zekâya giderek daha fazla başvururken bu sistemlerin doğru ve güvenilir sonuçlar üretmesini nasıl sağlayabilir? Denetim ve sertifikasyon süreçlerinde insan uzmanlığının vazgeçilmez olduğu alanlar nerelerdir?

Yapay zekâ, kulağa doğru gelen belgeler yazmakta çok başarılı. Bir politika belgesi kusursuz görünebilir ama şirketin uygulamadığı süreçleri anlatıyor olabilir.

Bu süreci şöyle yürütüyoruz: Yapay zekâ taslak hazırlıyor ve sorunları işaretliyor; ancak müşteriye ya da denetçiye iletilmeden önce ekibimizden biri her şeyi kontrol ediyor. Ayrıca yapay zekânın ürettiği her şey, doğrulayabilmemiz için dayandığı kanıtlara işaret etmeli.

İç ve dış denetim konusunda taviz vermiyorum. Denetçiler, adlarını ve mesleki itibarlarını ortaya koyarak onay veriyor. Yapay zekâ, kanıtları daha hızlı incelemelerine yardımcı olabilir; ancak bir şirketin sertifika alıp almaması gerektiğine yine bir kişi karar vermeli. Hesap verecek kimse yoksa sertifikanın değeri kalmaz.

Axipro, kuruluşların ISO 27001, SOC 2 ve yapay zekâ yönetim sistemlerine ilişkin uluslararası standart olan ISO 42001 gibi standartlara uyum sağlamasına destek oluyor. Şirketler sorumlu yapay zekâ yönetişimi kurmaya çalışırken hangi yeni zorluklarla karşılaşıyor ve yapay zekâ kaynaklı riskleri yönetmek, geleneksel bilgi güvenliği uyumluluğundan nasıl farklılaşıyor?

Konuştuğumuz şirketlerin çoğu, yapay zekâyı ne ölçüde kullandıklarının farkında bile değil. Bu durum “Gölge Yapay Zekâ” olarak adlandırılıyor.

Pazarlama ekibi bir araca kaydolmuş, yazılım geliştiriciler bir modeli ürüne entegre etmiş, finanstan biri de elektronik tabloları bir sohbet robotuna yapıştırıyor. Bunların hiçbiri kötü niyetli değil; insanlar daha hızlı çalışmaya uğraşıyor ve yapay zekâ araçları ucuz ve hızlı. Ancak bu durum şirket verilerini kolayca açığa çıkarabilir.

ISO 42001 ve yapay zekâ uyumluluğu projelerinin çoğunda ilk ve en önemli adım, bunların tümünün haritasını çıkarmaktır. Masraf raporlarını, yazılım kayıtlarını ve ağ verilerini inceliyor; her ekiple günlük işlerinde gerçekte neler kullandıklarını konuşuyoruz. Sonunda ortaya çıkan liste, neredeyse her zaman beklenenden daha uzun oluyor.

Yapay zekâyı yasaklamak nadiren işe yarar; ayrıca verimsizliğe ve ters etkilere yol açar. Müşterilerimizin yapay zekâ modellerinin sağladığı verimlilik artışlarından yararlanabilmesini istiyoruz. Daha iyi bir yaklaşım, çalışanlara işlerini görecek onaylı araçlar sunmak, bu araçlara hangi verilerin girilebileceğine dair açık kurallar koymak ve yeni araç talep etmeyi kolaylaştırmaktır.

Yapay zekâ yönetişimi, bilgi güvenliğinin daha önce gündeme getirmediği soruları da beraberinde getiriyor. ISO 27001’de temel kaygı, yetkisiz kişilerin verilerinize erişmesini engellemektir. ISO 42001’de ise yapay zekânın doğru davranıp davranmadığını, kararlarını açıklayıp açıklayamadığınızı ve hata yaptığında kimin sorumlu olduğunu da bilmeniz gerekir.

Bu riskler de daha hızlı değişiyor. Bir tedarikçi, siz hiçbir şeye dokunmadan bir modeli gece boyunca güncelleyip ürününüzün davranışını değiştirebilir.

ISO 27001 sertifikasına zaten sahip olan şirketler avantajlı bir başlangıç yapıyor. Her iki standart da aynı yönetim sistemi yapısını kullandığından, hazırlık çalışmalarının önemli bir bölümü zaten tamamlanmış oluyor.

Hassas bilgilere erişebilen, kurumsal sistemlerle etkileşim kurabilen ve iş süreçlerini yürütebilen otonom yapay zekâ ajanlarının ortaya çıkmasıyla kuruluşlar hangi yeni siber güvenlik ve uyumluluk risklerine karşı hazırlık yapmalı? Mevcut güvenlik çerçeveleri, giderek daha otonom hâle gelen bu sistemleri ele almak için yeterli mi?

Şu anda en yakından takip ettiğim alan ajanlar. Geleneksel yazılımlar kendilerine söyleneni aynen yapar. Bir ajan ise kendi kararlarını verir; Hugging Face olayında gördüğümüz gibi kandırılabilir ve başkalarını da kandırabilir.

Karşılaştığımız en yaygın risk istem enjeksiyonudur. Bir saldırgan talimatları bir e-postaya ya da PDF’ye gizleyebilir; ajanınız bunları okuduğunda, ona verdiğiniz erişim yetkilerini kullanarak bu talimatları izler.

İkinci risk, şirketlerin işleri kolaylaştırdığı için ajanlara gereğinden çok daha fazla erişim izni vermesi. Çalışanlar çoğu zaman yapay zekâ ajanlarına özel hesaplar yerine kendi e-posta hesapları üzerinden erişim izni veriyor; bu da bir değişikliği insanın mı yoksa botun mu yaptığını belirlemeyi son derece zorlaştırıyor. Kayıt tutma da yetersizse ajanın ne yaptığını bile bilmiyor olabilirsiniz.

ISO 27001 ve SOC 2, erişim denetimi ve kayıt tutma gibi temel konuları hâlâ kapsıyor; ISO 42001 ise yapay zekâ tarafında yardımcı oluyor. Ancak bunların hiçbiri otonom ajanlar göz önünde bulundurularak hazırlanmadı ve yakında yeni kılavuzlar yayımlanmasını bekliyorum.

AIUC-1, AIUC-1 için önde gelen bir standart olarak öne çıkıyor ve personelimize bu standardı uygulamaları için eğitim vermeye daha yeni başladık. Müşterilerimizle bu konuda birkaç görüşme yaptık, ancak henüz sunabileceğimiz vaka çalışmaları yok. Büyük siber güvenlik şirketlerinden güçlü destek görüyor; bu nedenle bu çerçevenin önde gelen yapay zekâ ajanı standardı olarak öne çıkmasını bekliyoruz.

Orta Doğu, Avrupa ve Amerika Birleşik Devletleri’nde çalışmış biri olarak farklı düzenleyici ortamlarla ve risk yönetimi yaklaşımlarıyla karşılaştınız. Yapay zekâ yönetişimi ve veri koruma konusundaki bölgesel farklılıklar, şirketlerin yapay zekâyı devreye alma biçimlerini nasıl etkiliyor ve kuruluşlar birden fazla yargı alanında faaliyet gösterirken ne gibi zorluklarla karşılaşıyor?

Bahreyn’de yaşayıp Avrupa ve ABD’deki müşterilerle çalışırken, yapay zekâ kurallarının zamanla birbirine yaklaşmasını beklemekten vazgeçtim. Aksine, bölgeler arasındaki farklılıklar giderek artıyor.

Avrupa düzenlemeleri yasalarla belirliyor. AB Yapay Zekâ Yasası, yapay zekâ sistemlerini risk düzeylerine göre sınıflandırıyor ve her kategori için yerine getirilmesi gerekenleri açıklıyor; bu nedenle Avrupalı şirketler genellikle temkinli hareket ediyor ve her şeyi belgeliyor. ABD’de federal düzeyde bir yapay zekâ yasası yok; düzenlemelerin büyük bölümünü piyasa yapıyor. Alıcılar, sözleşmelerinde NIST’in AI RMF’si gibi çerçevelere yer verilmesini istiyor; gerisini ise sorumluluk hukuku tamamlıyor. Çin ise üçüncü bir yol izliyor ve her yeni teknoloji yeni bir risk doğurduğunda yeni bir kural çıkarıyor.

Körfez bölgesi bana en ilginç gelen yer. Örneğin Suudi Arabistan’da henüz yatay kapsamlı bir yapay zekâ yasası yok. Bağlayıcı kuralların çoğu veri koruma mevzuatında ve kamu alımlarında yer alıyor; çünkü bölgedeki en büyük teknoloji alıcısı devlet. Uymanız gereken kurallar büyük ölçüde müşterinizin kim olduğuna bağlı. Suudi düzenleyici kurum SDAIA’nın 2024’te ISO 42001 sertifikasını bizzat alması, piyasaya ihalelerde hangi standardı arayacağı konusunda bir işaret verdi.

En zorlayıcı durum, bir şirketin bu bölgelerden birden fazlasında faaliyet göstermesi. Avrupa’ya satış yapan Riyad merkezli bir SaaS şirketi, AB’nin teknik gerekliliklerini karşılayıp Suudi Arabistan’daki veri kaydı ve aktarım kurallarına yine de takılabilir. Tarafların hiçbiri diğerinin belgelerini kabul etmiyor.

Yaklaşımımız, farklı bölgelerde geçerli olabilecek ortak bir temel oluşturmak: ISO 27001’in yanı sıra ISO 42001’i esas almak ve ardından her bölgenin gerekliliklerini bunun üzerine eklemek. ISO 42001 tek başına hiçbir yerde yasal uyumluluk sağlamaz; ancak tüm bu bölgelerin kabul ettiği ortak dile en yakın şeydir.

Bir güvenlik sertifikası almakla gerçek anlamda siber güvenlik dayanıklılığını sürdürmek arasında çoğu zaman önemli bir fark vardır. Kuruluşlar, yalnızca kontrol listelerindeki maddeleri yerine getirmeye dayalı uyumluluğun ötesine geçmek ve ortaya çıkan tehditlere sürekli uyum sağlayan güvenlik uygulamaları geliştirmek için yapay zekâdan ve otomasyondan nasıl yararlanabilir?

Yeni SOC 2 raporu almış, ancak kimsenin fark etmediği temel güvenlik açıkları bulunan şirketler gördüm. Amaçları denetimden geçmekti. Bir sertifika, şirketin belirli bir tarihte bir standardı karşıladığını gösterir; ancak bir saldırıyı durdurup durduramayacağını göstermez.

Bunun ötesine geçmek için her bir güvenlik önleminin test edildiğinde işe yarayıp yaramayacağını sorgulamak gerekir. Otomasyon bu konuda çok yardımcı olur. Sürekli izleme, sorunlar henüz küçükken tespit edilmesini sağlar; güncel tehdit verileri de risk değerlendirmelerinin saldırganların günümüzde yaptıklarıyla örtüşmesine yardımcı olur. Düzenli sızma testleri ve saldırı simülasyonları ise güvenlik önlemlerinin uygulamada işe yarayıp yaramadığını gösterir.

Bu yıl CREST sertifikası almamız da bu çalışmaların bir parçasıydı. Müşterilerimizin güvenliğini test etmek ve bunu belgelemek istedik.

Önümüzdeki üç ila beş yılı düşündüğünüzde, yapay zekânın siber güvenlik ve uyumluluk danışmanlığı sektörünü nasıl dönüştüreceğini öngörüyorsunuz? Yapay zekâ ajanlarının rutin uyumluluk faaliyetlerinin çoğunu sonunda otonom biçimde yürüteceğine inanıyor musunuz ve bu teknolojiler olgunlaştıkça Axipro’nun nasıl bir dönüşüm geçireceğini düşünüyorsunuz?

Yapay zekâ ajanlarının beş yıl içinde kanıt toplama, politika güncellemeleri ve güvenlik anketleri gibi rutin uyumluluk işlerinin çoğunu üstleneceğini düşünüyorum. Bu işleri, ayırt edilebilir bir uzmanlık sunmadan saat üzerinden ücretlendirerek gelir elde eden firmalar zorlanacak.

Ancak ajanların uyumluluk süreçlerini kendi başlarına yürüteceğini düşünmüyorum. Yapay zekâ daha fazla işi üstlendikçe geriye kalan kararlar daha da önem kazanıyor. Bir denetimi hâlâ birinin onaylaması ve bir şeyler ters gittiğinde sonuçlarıyla ilgilenmesi gerekiyor. Saldırganlar da yapay zekâ kullandığı için nitelikli savunma uzmanlarına olan talep artmaya devam edecek.

Axipro’da belge hazırlamaya daha az, müşterilere danışmanlık vermeye ve güvenliklerini test etmeye daha fazla zaman ayıracağımızı düşünüyorum. Şirket içi yapay zekâmız, hizmetlerin sunumuna ilişkin daha fazla işi üstlenecek; ekibimiz ise insan muhakemesi gerektiren kararlara odaklanacak. 2022’de birçok kişi, yapay zekânın bizim gibi firmaları gereksiz kılacağını düşünüyordu. Şimdiye kadar tam tersi oldu: büyümemiz bazı dönemlerde aydan aya %10’un üzerine çıktı, zaman zaman üstesinden gelebileceğimizden fazla işimiz oldu ve işlerin yavaşlamasını beklemiyoruz.

Harika röportaj için teşekkürler; siber güvenlik uyumluluğu, yapay zekâ yönetişimi ve sürekli güvenlik uygulamaları geliştirme hakkında daha fazla bilgi edinmek isteyen okuyucular Axipro‘yu ziyaret edebilir.