Алі Хаят, генеральний директор і засновник Axipro — серія інтерв’ю

Алі Хаят — генеральний директор і засновник Axipro. Він поєднує досвід у сфері управління промисловими ризиками й аудиту за стандартами ISO з досвідом у кібербезпеці та консалтингу з питань відповідності вимогам. На початку кар’єри він працював у промислових галузях із високими ставками, де ключове значення мали безпека, нормативні вимоги та операційні ризики. Згодом він створив Axipro без зовнішніх інвестицій, зосередившись на тому, щоб допомагати компаніям, які розвиваються, запроваджувати практичні заходи безпеки, готуватися до аудитів і керувати новими ризиками, пов’язаними зі ШІ.

Axipro — консалтингова компанія у сфері кібербезпеки та відповідності вимогам, яка допомагає організаціям працювати з такими стандартами й нормативними рамками, як SOC 2, ISO 27001, ISO 42001, а також виконувати вимоги щодо захисту даних. Її робота охоплює консалтинг, автоматизацію процесів відповідності, підготовку до аудитів і тестування безпеки з акцентом на безперервний моніторинг і людський нагляд. У цьому інтерв’ю Хаят розповідає про процеси забезпечення відповідності на основі ШІ, тіньовий ШІ, ризики автономних агентів, відмінності в регіональному регулюванні та розрив між сертифікацією і кіберстійкістю.

Ваша кар’єра почалася в промислових галузях із високими ставками: ви працювали над проєктами за участю Saudi Aramco, ADNOC і TotalEnergies, де критично важливими були безпека, управління ризиками та дотримання нормативних вимог. Що спонукало вас перейти від промислової безпеки й аудиту до кібербезпеки та зрештою заснувати Axipro?

Я заснував Axipro, бо, працюючи у сфері управління якістю, побачив прогалину на ринку. У 2021 році я помітив, що з’являється багато нових платформ кібербезпеки для частково автоматизованого забезпечення відповідності SOC 2 та ISO 27001.

Стало зрозуміло: хоча ці платформи й знімали з технічних команд значну частину тягаря забезпечення відповідності, їх усе одно потрібно було налаштовувати й обслуговувати. Стартапи, яким і без того було складно встигати за темпами зростання, були готові платити команді фахівців, щоб вона стежила за дотриманням вимог. Так і з’явилася Axipro.

Потім, у 2022 році, з’явилися перші платформи ШІ. Це стало ще одним моментом прозріння. Хоча багато хто в галузі боявся втратити роботу, я швидко зрозумів, що це відкриває величезні можливості. Найімовірніше, ШІ призведе до експоненційного зростання кількості кібератак, тож стартапам знадобляться кваліфіковані фахівці, які допомагатимуть їм задовольняти потреби у сфері безпеки та відповідності вимогам.

Сьогодні ми є елітним партнером Drata і рекомендованим партнером Vanta, а також допомогли понад 300 компаніям забезпечити відповідність провідним стандартам кібербезпеки та ШІ.

Ви створили Axipro з нуля без зовнішніх інвестицій і перетворили її на міжнародну консалтингову компанію, що обслуговує сотні клієнтів. Якими були найбільші труднощі під час розвитку кібербезпекового бізнесу власними силами та як технології й автоматизація допомогли вам масштабувати діяльність, зберігаючи якість послуг?

Перші кілька років були надзвичайно складними. Від того, як я витратив усі заощадження, очікуючи на народження дитини, до того, як перші моделі ШІ почали захоплювати галузь, — імовірно, саме перші 2–3 роки стали причиною появи сивого волосся, яке маю тепер.

Я конкурував із кількома гігантами, які мали усталену репутацію, великі офіси та значні маркетингові бюджети. Я працював у Бахрейні, мав досвід в управлінні якістю, а мій маркетинговий бюджет дорівнював 0.

Я вирішив діяти всупереч загальноприйнятій стратегії: зберігав компактність і ефективність, а ціни встановлював нижчі, ніж у великих усталених гравців.

Це принесло мені багато нових клієнтів, але наша рентабельність була низькою. Управління грошовими потоками перетворилося на справжнє мистецтво, і ми ледве пережили ті перші 2 роки. Усе змінилося, коли ми уклали першу угоду на п’ятизначну суму, що охоплювала кілька стандартів і нормативних рамок. Це дало нам змогу трохи перепочити, найняти перших штатних працівників і почати думати про маркетинг за межами партнерств і рекомендацій.

Axipro зосереджується на спрощенні складних нормативних рамок завдяки цифровій трансформації та автоматизації. Як штучний інтелект змінює традиційні процеси забезпечення відповідності вимогам і які завдання, на вашу думку, дають найбільші можливості для підвищення ефективності за допомогою ШІ?

Галузь забезпечення відповідності вимогам значно виграла від використання ШІ. Раніше вона спиралася на великий обсяг повторюваної роботи: збирання доказів і їх зіставлення з вимогами, відповіді на анкети з питань безпеки та підготовку політик. Тепер майже всі ці завдання автоматизовано. ШІ також дав змогу здійснювати безперервний моніторинг і виявляти сигнали про ризики у сферах кібербезпеки та відповідності вимогам.

ШІ тепер задіяний майже на кожному етапі процесу забезпечення відповідності вимогам. Щойно ми починаємо працювати з новим клієнтом, наша внутрішня система ШІ автоматично оцінює ризики з огляду на галузь, розмір і місце розташування компанії. У нас є велика база даних про попередні проєкти, яка допомагає автоматично виявляти потенційні ризики й тривожні сигнали. Імовірно, саме в цьому полягає найбільша додана цінність ШІ.

Кіберзловмисники також скористалися перевагами ШІ, і кількість атак зросла експоненційно. Виникла своєрідна гонка озброєнь між ШІ та ШІ: з одного боку — такі компанії, як наша, що працюють над автоматичним виявленням загроз, а з іншого — хакери, які автоматизують атаки.

Саме тут потрібне людське судження, і воно є центральним елементом нашої роботи: ШІ має виконувати повторювані завдання й підвищувати операційну ефективність, щоб люди могли зосередитися на оцінюванні загроз і реагуванні на них.

Багато організацій і досі сприймають дотримання вимог кібербезпеки як періодичне завдання, зосереджене на підготовці до аудиторських перевірок. Як інструменти на основі ШІ та платформи безперервного моніторингу, як-от Drata, змінюють цей підхід і що перехід до безперервного дотримання вимог означає для бізнесу?

Коли я починав працювати у сфері дотримання вимог, усі боялися сезону аудиторських перевірок. Більшу частину року компанії не зважали на свої засоби контролю, а перед дедлайном тижнями збирали знімки екрана й журнали подій. Успішне проходження перевірки означало, що на той день вимог було дотримано, і, власне, на цьому все.

Drata та подібні платформи змінили ситуацію. Вони під’єднуються до хмарних сервісів і кадрових систем компанії та щодня перевіряють засоби контролю. Якщо хтось вимикає багатофакторну автентифікацію або колишній працівник досі має доступ, це одразу виявляється, і наша команда негайно усуває проблему.

Для бізнесу дотримання вимог перестало бути щорічним проєктом і стало частиною повсякденної роботи. Аудиторські перевірки стали коротшими й дешевшими, а команди продажів можуть на вимогу показати корпоративним клієнтам поточний стан безпеки, що допомагає швидше укладати угоди.

Захист персональних даних і кібербезпека поступово перетворюються з вимоги для роботи в чутливих галузях на додаткову маркетингову перевагу.

Оскільки організації дедалі частіше покладаються на ШІ для підготовки документації з безпеки, оцінювання ризиків і перевірки доказів дотримання вимог, як їм переконатися, що ці системи дають точні й надійні результати? На яких етапах аудиту та сертифікації людська експертиза має залишатися незамінною?

ШІ дуже добре пише документи, які звучать переконливо. Політика може здаватися бездоганною, хоча описані в ній процеси в компанії не існують.

Ми працюємо так: ШІ готує чернетки й позначає проблеми, але хтось із нашої команди перевіряє все, перш ніж матеріали потраплять до клієнта чи аудитора. Також кожне твердження, створене ШІ, має містити посилання на докази, на яких воно ґрунтується, щоб ми могли його перевірити.

Саме під час внутрішнього й зовнішнього аудиту я проводжу чітку межу. Аудитори засвідчують висновки своїм ім’ям і професійною репутацією. ШІ може допомогти їм швидше опрацювати докази, але рішення про сертифікацію компанії має залишатися за людиною. Якщо ніхто не несе відповідальності, сертифікат втрачає свою цінність.

Axipro допомагає організаціям дотримуватися таких стандартів, як ISO 27001, SOC 2 та ISO 42001 — міжнародного стандарту для систем управління штучним інтелектом. З якими новими викликами стикаються компанії, намагаючись запровадити відповідальне управління ШІ, і чим управління ризиками, пов’язаними зі ШІ, відрізняється від традиційного дотримання вимог інформаційної безпеки?

Більшість компаній, з якими ми спілкуємося, навіть не знають, наскільки активно використовують ШІ. Це явище називають «тіньовим ШІ».

Відділ маркетингу зареєструвався в одному сервісі, розробники інтегрували модель у продукт, а хтось із фінансового відділу вставляє таблиці в чатбот. Нічого з цього не робиться зі злим наміром: люди намагаються працювати швидше, а інструменти ШІ дешеві й швидкі. Однак через це дані компанії легко можуть опинитися під загрозою.

Перший і найважливіший крок у більшості проєктів із впровадження ISO 42001 та дотримання вимог щодо ШІ — скласти повний перелік усіх таких інструментів. Ми аналізуємо звіти про витрати, реєстрації в програмних сервісах і мережеві дані, а також розпитуємо кожну команду про те, чим вона насправді користується щодня. Зрештою перелік майже завжди виявляється довшим, ніж очікувалося.

Заборона ШІ рідко спрацьовує, до того ж вона контрпродуктивна й неефективна. Ми хочемо, щоб наші клієнти могли скористатися перевагами ефективності, яку забезпечують моделі ШІ. Краще надати працівникам затверджені інструменти, які виконують потрібні завдання, чітко визначити, які дані можна в них вводити, і спростити подання запитів на нові інструменти.

Управління ШІ порушує питання, яких раніше не поставала перед інформаційною безпекою. У межах ISO 27001 головне — не допустити доступу до ваших даних сторонніх осіб. А для ISO 42001 потрібно також знати, чи належно працює ШІ, чи можете ви пояснити його рішення і хто відповідатиме, якщо він припуститься помилки.

Ці ризики також змінюються швидше. Постачальник може за одну ніч оновити модель і змінити поведінку вашого продукту, навіть якщо ви нічого не робили.

Компанії, які вже мають сертифікацію ISO 27001, починають із перевагою. В обох стандартах використовується однакова структура системи управління, тож значну частину підготовчої роботи вже виконано.

З появою автономних агентів ШІ, здатних отримувати доступ до конфіденційної інформації, взаємодіяти з корпоративними системами й виконувати бізнес-процеси, до яких нових ризиків для кібербезпеки та дотримання вимог мають готуватися організації? Чи здатні наявні системи безпеки впоратися з дедалі автономнішими системами?

Зараз я найпильніше стежу за агентами. Звичайне програмне забезпечення робить саме те, що йому наказано. Агент самостійно ухвалює рішення, його можна ввести в оману, і сам він може вводити в оману інших — як ми бачили на прикладі інциденту з Hugging Face.

Найпоширеніший ризик, який ми спостерігаємо, — це ін’єкція промптів. Зловмисник може приховати інструкції в електронному листі або PDF-файлі, і, прочитавши їх, агент виконає ці інструкції, використовуючи всі надані йому права доступу.

Другий ризик полягає в тому, що компанії надають агентам надто широкий доступ, бо так простіше. Часто працівники надають ШІ-агентам доступ через власні облікові записи електронної пошти, а не через окремі спеціальні облікові записи, через що вкрай важко визначити, хто вніс зміни — людина чи бот. А якщо журналювання також налаштоване неналежним чином, можна навіть не дізнатися, що саме робив агент.

ISO 27001 і SOC 2 і далі охоплюють основи, як-от контроль доступу та журналювання, а ISO 42001 допомагає врахувати аспекти ШІ. Однак жоден із цих стандартів не розробляли з огляду на автономних агентів, і я очікую, що незабаром з’являться нові рекомендації.

AIUC-1 стає провідним стандартом для AIUC-1, і ми щойно почали навчати наших співробітників його впровадження. Ми вже кілька разів обговорювали його з клієнтами, але поки що не маємо прикладів із практики, які могли б представити. Його активно підтримують великі компанії у сфері кібербезпеки, тож ми очікуємо, що ця система стане провідним стандартом для ШІ-агентів.

Ви працювали на Близькому Сході, у Європі та Сполучених Штатах і стикалися з різними регуляторними середовищами та підходами до управління ризиками. Як регіональні відмінності в управлінні ШІ та захисті даних впливають на те, як компанії впроваджують ШІ, і з якими труднощами стикаються організації, що працюють у кількох юрисдикціях?

Я живу в Бахрейні та працюю з клієнтами в Європі й США, тож уже не очікую, що правила щодо ШІ зблизяться. Якщо й помітна якась тенденція, то регіони віддаляються один від одного.

Європа регулює цю сферу законодавчо. Акт ЄС про штучний інтелект класифікує системи ШІ за рівнем ризику й визначає вимоги для кожної категорії, тому європейські компанії зазвичай діють обережно й документують усе. У США немає федерального закону про ШІ, і основну роль у регулюванні відіграє ринок. Замовники вимагають включати до контрактів такі рамкові документи, як NIST AI RMF, а решту визначає відповідальність за завдану шкоду. Китай обрав третій шлях: щоразу, коли певна технологія породжує новий ризик, там розробляють нове правило.

Найцікавішим мені здається регіон Перської затоки. Наприклад, у Саудівській Аравії ще немає загального закону про ШІ. Більшість обов’язкових правил міститься в законодавстві про захист даних і правилах державних закупівель, адже держава — найбільший покупець технологій у регіоні. Вимоги, яких потрібно дотримуватися, значною мірою залежать від того, хто ваш клієнт. Коли SDAIA, регулятор Саудівської Аравії, сама пройшла сертифікацію ISO 42001 у 2024 році, ринок зрозумів, який стандарт вона вимагатиме в тендерах.

Найскладніше компаніям, що працюють більш ніж в одному з цих регіонів. Саудівська SaaS-компанія з Ер-Ріяда, яка продає послуги в Європі, може відповідати технічним вимогам ЄС, але водночас порушувати саудівські правила реєстрації та передавання даних. Жодна зі сторін не визнає документи іншої.

Ми прагнемо створити єдину основу, придатну для різних регіонів: ISO 42001 разом із ISO 27001, а потім додавати до неї вимоги кожного регіону. Сам по собі ISO 42001 не забезпечує юридичної відповідності в жодній країні, але це найближче до спільної мови, яку визнають усі ці регіони.

Між отриманням сертифіката з безпеки та справжньою кіберстійкістю часто існує значний розрив. Як організації можуть використовувати ШІ й автоматизацію, щоб вийти за межі формального дотримання вимог і впровадити практики безпеки, які постійно адаптуються до нових загроз?

Я бачив компанії з щойно отриманим звітом SOC 2, у яких залишалися серйозні прогалини в базових заходах безпеки, непомічені ніким. Їхньою метою було пройти аудит. Сертифікат засвідчує, що компанія відповідала певному стандарту на конкретну дату, але не показує, чи здатна вона зупинити атаку.

Щоб вийти за ці межі, потрібно з’ясувати, чи витримав би кожен засіб контролю перевірку. Тут дуже допомагає автоматизація. Постійний моніторинг дає змогу виявляти проблеми, поки вони ще незначні, а актуальні дані про загрози допомагають узгоджувати оцінювання ризиків із тим, що роблять зловмисники зараз. Регулярні тести на проникнення та імітації атак показують, чи працюють засоби контролю на практиці.

Цього року ми також отримали сертифікацію CREST. Ми хотіли перевірити безпеку наших клієнтів і задокументувати результати.

Як, на вашу думку, ШІ змінить індустрію консалтингу з кібербезпеки та відповідності вимогам упродовж наступних трьох-п’яти років? Чи вважаєте ви, що зрештою ШІ-агенти автономно виконуватимуть більшість рутинних завдань із забезпечення відповідності вимогам, і як, на вашу думку, розвиватиметься Axipro у міру вдосконалення цих технологій?

Думаю, протягом п’яти років ШІ-агенти виконуватимуть більшість рутинної роботи із забезпечення відповідності вимогам: збиратимуть докази, оновлюватимуть політики та заповнюватимуть анкети з питань безпеки. Фірмам, які заробляють на погодинній оплаті такої роботи, не маючи помітної експертизи, доведеться скрутно.

Однак я не думаю, що агенти самостійно керуватимуть процесом забезпечення відповідності вимогам. Що більше роботи виконуватиме ШІ, то важливішими ставатимуть рішення, які залишаться людям. Хтось і далі має затверджувати результати аудиту й розбиратися з наслідками, коли щось іде не так. А оскільки зловмисники теж використовують ШІ, попит на кваліфікованих фахівців із захисту й далі зростатиме.

В Axipro, на мою думку, ми витрачатимемо менше часу на документацію й більше — на консультування клієнтів і перевірку їхньої безпеки. Наш внутрішній ШІ виконуватиме дедалі більше завдань із надання послуг, а наша команда зосередиться на рішеннях, що потребують людського судження. Ще у 2022 році багато хто думав, що ШІ зробить такі фірми, як наша, непотрібними. Поки що сталося навпаки: ми зростали більш ніж на 10% щомісяця, іноді роботи було більше, ніж ми могли впоратися, і ми не очікуємо, що ситуація заспокоїться.

Дякуємо за чудове інтерв’ю. Читачам, які хочуть дізнатися більше про дотримання вимог кібербезпеки, управління ШІ та розбудову безперервних практик безпеки, варто відвідати Axipro.