Ashley Rose, Living Security’nin Kurucusu ve CEO’su – Röportaj Serisi

Ashley Rose, Living Security’nin kurucusu ve CEO’su, insan riskini güvenlikte yeniden tanımlamak için çalışarak bir dizi girişimci ve siber güvenlik yenilikçisidir. Şirketin 2017 yılında kurulmasından bu yana, geleneksel farkındalık eğitiminden ölçülebilir risk azaltma ve kültürel değişime yönelik veri odaklı, davranış odaklı bir siber güvenlik yaklaşımının geliştirilmesine liderlik etmiştir. Ürün liderliği ve girişimcilik alanındaki geçmişine dayanarak, Living Security’yi hızlı büyüyen bir SaaS platformuna dönüştürmüş ve Women in CyberSecurity gibi girişimlere mentor, danışman ve savunucu olarak da siber güvenlik ekosistemine katkıda bulunmuştur.

Living Security bir siber güvenlik SaaS şirketidir ve İnsan Risk Yönetimi üzerine odaklanır, organizasyonların çalışan davranışları ile ilgili riskleri tanımlamasına, ölçmesine ve azaltmasına yardımcı olur. Platform, davranışsal, kimlik ve tehdit verilerini birleştirerek yüksek riskli kullanıcıları belirler ve gerçek zamanlı eğitim ve müdahaleler sağlar. Analitik, otomasyon ve etkileşimli eğitim yöntemlerini birleştirerek, şirketler uyumluluk odaklı güvenlik farkındalığını proaktif, ölçülebilir risk azaltmaya dönüştürebilir.

2017’de Living Security’yi kurmadan önce tüketici ürünleri işini kurup büyüttünüz ve ürün sahibi olarak çalıştınız. Siber güvenliğe ve insan riskine odaklanmanıza yol açan özel bir anı veya realizasyon nedir ve bu orijinal tezin AI’nin işgücüne katılmasıyla nasıl değişmiştir?

2017’de çoğu organizasyon güvenlik farkındalık eğitimini bir onay kutusu olarak görüyordu ve bu davranışları değiştirmiyordu. Dönüm noktası, insan davranışının ihlallere neden olduğunu ve cevabın daha unutulabilir eğitim olamayacağını anlamaktı. Living Security’nin kurucu ortaklarından Drew Rose, güvenlik programlarını kendisi yürütüyordu ve bunları oyunlaştırıyordu, siber güvenlik kaçış odaları gibi erken prototipler oluşturuyordu. İlk elden gördük ki, güvenlik deneyimsel olduğunda, insanlar katılım gösteriyor, öğreniyor ve gerçekten davranışlarını değiştiriyordu. Bu, Living Security’nin temelini oluşturdu.

Kurucu ortaklar olarak Drew ve ben, katılımın sadece başlangıç noktası olduğunu nhanh chóng anladık. O deneyimlere bir platforma dönüştürürken, insanların nasıl davrandığını, nerede zorlandıklarını ve riskin gerçekten yoğunlaştığını görmeye başladık. Bu, çok daha büyük bir açığı ortaya çıkardı: organizasyonlar insan riskine veya onu hedeflenmiş bir şekilde azaltma konusunda gerçek bir görünürlüğe sahip değildi. Bu anlayış, insan riskini davranış, erişim ve tehditlere dayalı olarak tanımlamak, ölçmek ve azaltmaya yönelik İnsan Risk Yönetimi’ni pioneermemize yol açtı. AI işgücüne dahil edildiğinde, bu orijinal tezin sadece genişlediğini görüyoruz: artık sadece insan davranışı değil, insanların ve AI sistemlerinin birlikte nasıl çalıştığı da önemlidir. İnsanlar hala merkezdedir, şimdi AI ajanlarını yönetiyor ve dağıtıyor, bu nedenle bu riski o ajanlara uzatmanız ve bunu bireye bağlamanız gerekir. Bu, bizi İşgücü Güvenliği’ne doğru evrilmeye yöneltiyor.

İnsan hatasının ihlallere neden olmasının eksik bir açıklama olduğunu savunuyorsunuz. AI’nin de saldırının yüzeyine katkıda bulunduğu günümüzde organizasyonlar nasıl işgücü riskini yeniden düşünmelidir?

İhlallere “insan hatası” demenin problemi basitleştirdiğini ve riskin nereden geldiğini gizlediğini düşünüyorum. İnsan riski sadece hatalardan ibaret değildir, davranış, erişim ve tehditlere maruz kalma ile şekillenir. Bazı çalışanlar duyarlı sistemlere özel erişim sahiptir, bazıları daha sık hedeflenir ve bazıları daha riskli davranışlar sergiler, bu nedenle ihlal riski eşit dağılmaz. Gerçek riski anlamak için, organizasyonların bu faktörlerin kesiştiği noktaları ve insan riskinin nerede olduğunu görebilmeleri gerekir.

Bu nedenle, organizasyonlar farkındalık tabanlı modellerin ötesine geçmeli ve işgücü riskini paylaşılan, operasyonel bir zorluk olarak yeniden düşünmelidir. Bu, riskin sadece izole kullanıcı hataları değil, sürekli olarak nasıl iş yapıldığını anlamak, riskin nerede yoğunlaştığını anlamak ve hibrit bir işgücü boyunca gerçek zamanlı müdahaleler uygulamayı içerir.

AI araçları artık kod yazıyor, iş akışlarını yönetiyor ve hatta kararlar veriyor. AI sistemleri ne zaman araçlardan çıkıp güvenlik açısından işgücü’nin bir parçası haline geliyor?

AI sistemleri, işletme ortamlarında eylem aldıkları anda sadece araçlardan çıkıp işgücü’nün bir parçası haline gelir. Bu noktada, eylemleri, izinleri ve dokundukları veriler aracılığıyla risk oluştururlar, tıpkı çalışanlar gibi. Organizasyonlar için değişim, AI ajanlarının sadece üretkenlik katmanları değil, operasyonel katılımcılar olduğunu ve insan kullanıcılarla birlikte birleşik bir işgücü risk modeli içinde yönetilmeleri, izlenmeleri ve güvence altına alınmaları gerektiğini tanımaktır.

Risk artık sadece çalışanlarla sınırlı değil, aynı zamanda çeşitli düzeylerde özerklik ve erişimle çalışan AI ajanlarına da uzanıyor. Organizasyonlar bu durumda nasıl governance uygulamalıdır?

Organizasyonlar, politika tabanlı governance’in ötesine geçmeli ve bunu insanlarla AI ajanlarına sürekli, davranış odaklı bir süreç olarak ele almalıdır. Çoğu organizasyon zaten AI politikalarına sahiptir, ancak boşluk, özellikle çalışanlar onaylanmayan ortamların ötesinde araçlar kullanmaya başladıklarında ve AI sistemleri farklı düzeylerde erişimle çalıştıklarında, uygulama ve görünürlükte ortaya çıkar.

Etkili governance, kabul edilebilir kullanımın rol ve veri erişimine dayalı olarak net bir şekilde tanımlanmasıyla başlar, ancak aynı zamanda iş akışlarına gömülü gerçek zamanlı rehberlik ve sürekli ölçüm gerektirir, böylece organizasyonlar riskin nerede ortaya çıktığını görebilir ve adapte olabilir. Son olarak, governance, işlerin gerçekten nasıl yapıldığını yansıtmalıdır: hem insanlar hem de AI sistemleri kararlar alıyor, veri erişimi sağlıyor ve risk oluşturuyor.

Living Security, davranış odaklı güvenlik modellerine odaklandı. AI sistemlerinin de davranışlar sergilediği durumda bu felsefe nasıl değişir?

Living Security’nin davranış odaklı yaklaşımı, AI için doğal bir şekilde genişler, çünkü odak sadece riski oluşturanın kim olduğu değil, riskin eylemler aracılığıyla nasıl ortaya çıktığı üzerinedir. Bir insan veya AI sistemi olsun, risk davranışlarda, veri erişiminde, alınan eylemlerde ve iş akışlarında ortaya çıkar. AI sistemleri daha fazla operasyonel sorumluluk aldıkça, aynı model uygulanır: organizasyonlar bu davranışlara ve gerçek zamanlı rehberlik ve müdahale yeteneğine sahip olmalıdır.

Bu, Living Security platformunu güçlendiren AI zekası Livvy’nin geliştirilmesine yol açtı – hem insan hem de AI faaliyeti boyunca öngörülü zeka ve sürekli izleme uygulayan. AI’yi ayrı bir zorluk olarak ele almak yerine, daha birleşik bir yaklaşımı mümkün kılar, burada davranış, insan veya makine olsun, sürekli ölçülür, rehberlik edilir ve yönetilir.

Çoğu organizasyon hala periyodik güvenlik farkındalık eğitimine güveniyor. Bu model neden modern ortamlarda bozuluyor ve gerçekten adaptif, veri odaklı bir yaklaşım nasıl görünüyor?

Periyodik güvenlik farkındalık eğitimi, statik bir tehdit manzarası için tasarlandığı ve riskin geniş eğitim yoluyla azaltılabileceği varsayımı nedeniyle bozuluyor. Gerçekte, most incidents günlük operasyonel davranışlardan kaynaklanıyor, eğitim eksikliğinden değil, ve risk genellikle kullanıcıların küçük bir alt kümesinde yoğunlaşıyor. Daha adaptif, veri odaklı bir yaklaşım, riskin gerçekten nerede olduğunu sürekli olarak tanımlamaya ve iş akışında hedeflenmiş, gerçek zamanlı rehberlik sağlamaya odaklanıyor – eğitim tamamlama yerine ölçülebilir risk azaltmaya geçiş yapıyor.

Platformunuz, gerçek dünya verilerini kullanarak insan riskini nicelendiriyor. Organizasyonlar riski dinamik olarak anlamak için bugün hangi sinyallere odaklanmalıdır?

Organizasyonlar, davranış, kimlik ve erişim, ve tehdit maruziyeti sinyallerine odaklanmalıdır, bunlar riskin nasıl yaratıldığını ve işgücü boyunca nasıl yoğunlaştığını yansıtan sinyallerdir. Bu, AI’yi de içerir, çalışanların kullandığı araçlar, bu sistemlerin erişim düzeyleri ve nasıl yapılandırıldıkları veya yönlendirildikleri dahil. Bu sinyaller riêng riêng faydalıdır, ancak gerçek değer, risk hakkında bir hikaye anlatma şekillerinde bir araya gelir.

Örneğin, mali sistemlere erişim sağlayan, MFA kullanmayan, duyarlı verilere bağlı AI araçları kullanan ve aktif olarak phishing kampanyalarına maruz kalan bir CFO, sınırlı erişim ve daha düşük maruz kalma ile bir BDR’den çok farklı bir risk seviyesini temsil eder. Risk sadece ne yaptığında değil, neye erişim sağladığında, sistemlerin adına hareket ettiğinde ve nasıl sık hedeflendiğinde ortaya çıkar. Bu faktörleri birlikte görebildiğinizde, nerede bir ihlal olabileceğini anlar ve gerçek zamanlı olarak müdahale edebilirsiniz, bu da bireye uyarı vermek, kontrolleri sıkılaştırmak veya bu gruba öncelikli müdahale sağlamak anlamına gelebilir.

AI yeni zafiyetler yaratıyor, ancak aynı zamanda savunma için de kullanılıyor. Denge nereye kayıyor ve AI’nin güvenlik üzerindeki etkisi net olarak olumlu mu yoksa olumsuz mu olacak?

AI her iki şeyi de yapıyor, saldırı yüzeyini genişletirken aynı zamanda organizasyonların riski tespit etme ve buna tepki verme şeklini de geliştiriyor. Bir yandan, daha karmaşık iş akışları ve özerk eylemler ermögiliyor, bu da yeni zafiyetlere neden olabilir; diğer yandan, güvenlik ekiplerinin davranışları ölçeklenebilir bir şekilde analiz etmesine ve daha hızlı hareket etmesine olanak tanır. Denge nereye kayar, organizasyonların nasıl adapte olduğuyla ilgilidir. Şu anda, birçok organizasyon masih AI’nin nasıl kullanıldığını tam olarak haritalamadığı için görünürlük ve governance konusunda geri kalıyor. Uzun vadede, AI’nin etkisi net olarak olumlu olabilir, ancak organizasyonlar AI’yi işgücü’nün bir parçası olarak ele almalı ve insan kaynaklı risk için uyguladıkları aynı düzeyde izleme, rehberlik ve kontrolü uygulamalıdır.

Tüm çalışanlar veya AI sistemleri eşit risk oluşturmaz. Organizasyonlar nasıl müdahale önceliklendirebilirler, böylece sürtüşme veya aşırı gözetim yaratmazlar?

Tüm risk eşit değildir ve onu böyle ele almak sürtüşme yaratır. Anahtar, riskin gerçekten yoğunlaştığı noktaya odaklanmaktır – yaklaşık %10’unun %73’ü riski oluşturduğu gibi – ve orada hedeflenmiş müdahaleler uygulamaktır, tüm işgücü boyunca değil. Bu, davranış, erişim ve maruz kalma verilerini kullanarak dikkati gerektiren kişileri veya sistemleri önceliklendirmeyi ve iş akışında rehberlik sağlamayı içerir. Doğru şekilde yapıldığında, sürtüşmeyi azaltır, çünkü güvenli yolu takip etmeyi en kolay yol haline getirir, herkesi izlemek yerine.

Beş yıl sonrasına hızlıca ilerlediğimizde, işgücü güvenliği nasıl görünüyor olacak ve çoğu organizasyon bugün hala hangi konuyu küçümsüyor?

Beş yıl sonrasına ilerlediğimizde, işgücü güvenliği, organizasyonların hem insanları hem de AI ajanlarını birlikte nasıl yönetip güvence altına aldığını anlamakla tanımlanacak. Periyodik eğitim veya statik kontroller değil, sürekli görünürlük, gerçek zamanlı risk değerlendirmesi ve davranış, erişim ve tehditlerin değişmesi üzerine dinamik olarak harekete geçme yeteneği olacak. İnsanlar hala merkezde olacak, ancak AI ile kendilerini genişletecekler, bu nedenle güvenlik hem insan hem de AI’yi hesaba katmalıdır.

Çoğu organizasyon, bugün zaten insan riskinde bir görünürlük açığının olduğunu küçümsüyor ve AI bunu daha da artırıyor. Birçok organizasyon AI stratejisi olduğunu düşünüyor, ancak gerçekte, hem insanları hem de çalışanların kullandığı araçları görme konusunda eksiklik yaşıyorlar. İlk adım, insan riskini, davranışı, erişimini ve tehditlere maruz kalma durumunu anlamaktır. İkinci adım, bu görünürlüğü AI ajanlarına, çalışanların kullandığı ve insanlara verilen erişim ve kararlarla birlikte, genişletmektir. Bu temel olmadan, organizasyonlar sadece AI’de geri kalmıyor, aynı zamanda tüm işgücü boyunca büyüyen kör noktalarla çalışıyorlar.

Harika röportaj için teşekkür ederiz, okuyucular daha fazla bilgi öğrenmek istiyorsa Living Security‘yi ziyaret edebilirler.