Ешлі Роуз, засновник і генеральний директор Living Security – Серія інтерв’ю

Ешлі Роуз, засновник і генеральний директор Living Security, – серійний підприємець і інноватор у сфері кібербезпеки, який зосереджується на переосмисленні того, як організації підходять до людського ризику в сфері безпеки. З моменту заснування компанії в 2017 році вона очолювала розвиток даних, орієнтованого на поведінку, підходу до кібербезпеки, який переходить від традиційної програми підвищення обізнаності до вимірного зниження ризику та культурних змін. Використовуючи свій досвід у сфері керівництва продуктами та підприємництва, вона допомогла розширити Living Security у швидкозростаючу платформу SaaS, яку використовують підприємства, а також внесла свій внесок у ширшу екосистему кібербезпеки як наставник, радник та захисник ініціатив, таких як Women in CyberSecurity.

Living Security – це компанія з кібербезпеки SaaS, яка зосереджується на управлінні людським ризиком, допомагаючи організаціям визначати, вимірювати та знижувати ризики, пов’язані з поведінкою працівників. Її платформа агрегує поведінкові, ідентифікаційні та загрозливі дані для визначення працівників з високим рівнем ризику та надання їм цілевих, реальних навчальних та інтервенційних заходів, розроблених для запобігання порушень безпеки до того, як вони трапляться. Об’єднуючи аналіз, автоматизацію та привабливі навчальні методи, такі як симуляції та ігрові trải nghiệm, компанія дозволяє підприємствам перейти від дотримання вимог безпеки до проактивного, вимірного зниження ризику по всьому персоналу.

Ви заснували Living Security у 2017 році після попереднього досвіду створення та розширення споживчого бізнесу та роботи у сфері управління продуктами. Який конкретний момент або усвідомлення змусило вас перейти до сфери кібербезпеки та зосередитися на людському ризику, і як ця первинна теза витримала випробування часом, коли штучний інтелект став частиною робочої сили?

У 2017 році більшість організацій розглядали навчання з підвищення обізнаності щодо безпеки як формальність, і це не змінювало поведінку. Переломним моментом стало усвідомлення того, що якщо людська поведінка була причиною порушень безпеки, то відповідь не могла полягати у більш забутніх навчальних програмах. Дрю Роуз, співзасновник Living Security, проводив програми безпеки та почав gamify їх, створюючи ранні прототипи, які стали кімнатами для виходу з ситуації з кібербезпекою. Ми побачили на власні очі, що коли ви робите безпеку досвідченим, люди взаємодіють, вчаться та фактично змінюють свою поведінку. Це стало основою для Living Security.

Як співзасновники, Дрю та я швидко зрозуміли, що взаємодія була лише початком. Коли ми розширили ці досвіди до платформи, ми почали бачити закономірності в тому, як люди поводяться, де вони відчувають труднощі, та де ризик був фактично концентрований. Це викрило значущий розрив: організації не мали реальної видимості людського ризику чи того, як його знижувати цілевим способом. Це розуміння привело нас до розробки управління людським ризиком, яке полягає у визначенні, вимірюванні та зниженні ризику на основі індивідуальної поведінки, доступу та загроз, а не лише надання навчальних програм. Коли штучний інтелект стає частиною робочої сили, ця первинна теза розширилася: проблема вже не полягає лише у людській поведінці, а у тому, як люди та системи штучного інтелекту взаємодіють разом. Люди все ще знаходяться в центрі, тепер керуючи та розгортаючи агенти штучного інтелекту, що означає, що вам потрібно розширити видимість цих агентів та зв’язати цей ризик з індивідуумом. Це те, що рухає нашу еволюцію до безпеки робочої сили.

Ви стверджували, що людська помилка – це неповне пояснення порушень безпеки. Як організації повинні переосмислити ризик робочої сили сьогодні, коли як людська поведінка, так і дії, керовані штучним інтелектом, внесли свій внесок у поверхню атаки?

Формулювання порушень безпеки як “людської помилки” спрощує проблему та приховує справжнє джерело ризику. Людський ризик не полягає лише у помилках, а формується комбінацією поведінки, доступу та експозиції до загроз. Деякі працівники мають привілейований доступ до чутливих систем, деяких працівників часто націлюють, а деякі демонструють ризикованішу поведінку, тому ризик порушень не розподіляється рівномірно. Щоб真正ньо зрозуміти ризик, організації повинні мати видимість того, де ці фактори перетинаються та де існує людський ризик.

Як результат, організації повинні перейти від моделей, заснованих на обізнаності, та переосмислити ризик робочої сили як спільну операційну проблему, яка охоплює як людський ризик, так і дії, керовані штучним інтелектом. Це означає зосередження уваги на безперервній видимості того, як виконуються завдання, розуміння того, де ризик концентрується, та застосування цілевих, реальних інтервенцій по всій гібридній робочій силі, а не лікування ризику як ізольованих помилок користувачів.

Інструменти штучного інтелекту зараз створюють код, обробляють робочі процеси та навіть приймають рішення. На якому етапі системи штучного інтелекту перестають бути інструментами та починають розглядатися як частина робочої сили з точки зору безпеки?

Системи штучного інтелекту перестають бути лише інструментами та починають розглядатися як частина робочої сили в момент, коли вони починають діяти всередині підприємств. На цьому етапі вони вводять ризик тим же чином, що й працівники: через дії, які вони здійснюють, дозволи, з якими вони діють, та дані, до яких вони мають доступ. Зміна для організацій полягає у визнанні того, що агенти штучного інтелекту не є лише шарами продуктивності – вони оперативними учасниками, і їх потрібно керувати, контролювати та захищати поряд з людськими користувачами у рамках єдиної моделі ризику робочої сили.

Як підприємства повинні підходити до управління, коли ризик вже не обмежується працівниками, а поширюється на агенти штучного інтелекту, які діють з різним рівнем автономності та доступу?

Підприємства повинні перейти від політики керування та розглядати його як безперервний, поведінковий процес, який застосовується як до людей, так і до агентів штучного інтелекту. Більшість організацій вже мають політики штучного інтелекту на місці, але розрив полягає у виконанні та видимості, особливо коли працівники приймають інструменти поза санкціонованими середовищами, а системи штучного інтелекту діють з різним рівнем доступу.

Ефективне управління починається з чіткого визначення прийнятного використання на основі ролі та доступу до даних, але воно також вимагає реальної допомоги, вбудованої у робочі процеси, та безперервного вимірювання, щоб організації могли бачити, де ризик виникає, та адаптуватися. У кінцевому підсумку, управління повинно відображати, як робота відбувається сьогодні: по всій гібридній робочій силі, де люди та системи штучного інтелекту приймають рішення, доступ до даних та вводять ризик.

Living Security зосередилася сильно на моделях безпеки, керованих поведінкою. Як ця філософія перекладується, коли деякі поведінки походять від систем штучного інтелекту, а не від людей?

Підхід Living Security, керований поведінкою, розширюється природно на штучний інтелект, оскільки зосередження завжди було не лише на тому, хто створює ризик, а на тому, як ризик вводиться через дії. Чи це людина, чи система штучного інтелекту, ризик проявляється у поведінці, тому як дані доступуються, які дії здійснюються, та як рішення приймаються у робочих процесах. Коли системи штучному інтелекту приймають на себе більше операційної відповідальності, та сама модель застосовується: організації повинні мати видимість цих поведінок, разом з можливістю керувати та втручатися в реальному часі.

Це призвело до розробки Livvy, штучного інтелекту, який живить платформу Living Security – застосовуючи передбачувану інтелігенцію та безперервний моніторинг як над людською, так і над діяльністю штучного інтелекту. Замість того, щоб розглядати штучний інтелект як окремий виклик, це дозволяє більш єдиний підхід, де поведінка, людська чи машинна, безперервно вимірюється, керується та керується у рамках єдиної моделі ризику робочої сили.

Багато організацій все ще покладаються на періодичне навчання з підвищення обізнаності щодо безпеки. Чому ця модель розбивається у сучасних середовищах, і що виглядає真正ньо адаптивний, даних-орієнтований підхід у практиці?

Періодичне навчання з підвищення обізнаності щодо безпеки розбивається, оскільки воно було створене для статичного ландшафту загроз та припускає, що ризик можна зменшити через загальну освіту. На ділі більшість інцидентів походять від повсякденної операційної поведінки, а не від відсутності навчання, та ризик часто концентрується серед певної частини користувачів. Більш адаптивний, даних-орієнтований підхід зосереджується на безперервному визначенні того, де ризик фактично існує, та наданні цілевих, реальних вказівок у потоці роботи – переходячи від завершення навчання до вимірного зниження ризику.

Ваша платформа підкреслює кількісне визначення людського ризику за допомогою реальних даних. Які найважливіші сигнали організації повинні відстежувати сьогодні, щоб зрозуміти ризик динамічно, а не ретроспективно?

Організації повинні зосередитися на поведінці, ідентифікації та доступі, а також на експозиції до загроз, сигналів, які відображають, як ризик створюється та де він концентрується по всій робочій силі. Це тепер поширюється на штучний інтелект, включаючи інструменти, які працівники використовують, доступ, який ці системи мають, та як вони конфігуруються чи запускаються. Самі по собі ці сигнали корисні, але справжня цінність полягає в тому, як вони поєднуються, щоб розповісти історію про ризик.

Наприклад, фінансовий директор, який має доступ до фінансових систем, не використовує багатофакторну аутентифікацію, використовує інструменти штучного інтелекту, пов’язані з чутливими даними, та активно націлюється на фішингові кампанії, представляє зовсім інший рівень ризику, ніж бізнес-розвітник з обмеженим доступом та нижчою експозицією. Ризик не полягає лише в тому, що хтось робить, а у тому, до чого він має доступ, систем, які діють від його імені, та як часто його націлюють. Коли ви можете бачити ці фактори разом, ви можете зрозуміти, де порушення найбільш імовірно трапиться, та вжити дії в реальному часі, чи то попередивши особу, чи то緊уючи контроль, чи то пріоритезуючи інтервенцію для цієї групи.

Штучний інтелект створює нові вразливості, але він також використовується оборонно. Де ви бачите зміщення балансу, і чи ми рухаємося до чисто-позитивного чи чисто-негативного впливу безпеки від штучного інтелекту?

Штучний інтелект робить і те, і інше: розширює поверхню атаки, а також покращує, як організації виявляють та реагують на ризик. З одного боку, він дозволяє більш складні робочі процеси та автономні дії, які можуть вводити нові вразливості; з іншого боку, він дозволяє командам безпеки аналізувати поведінку у масштабі та діяти швидше. Де баланс приземляється, залежить від того, як добре організації адаптуються. Наразі багато з них все ще доганяють видимість та управління, особливо коли штучний інтелект використовується способами, яких вони не повністю відображають. У довгостроковій перспективі це може бути чисто-позитивним, але лише якщо організації будуть розглядати штучний інтелект як частину робочої сили та застосовувати той же рівень моніторингу, керування та контролю, який вони застосовують до людського ризику.

Не всі працівники чи системи штучного інтелекту становлять рівний ризик. Як організації повинні пріоритезувати інтервенції, не створюючи тертя чи надмірного спостереження?

Не всі ризики рівні, і лікування їх як рівних створює тертя. Ключ полягає у зосередженні уваги на тому, де ризик фактично концентрується – оскільки близько 10% користувачів створюють 73% ризику – та застосування цілевих інтервенцій саме там, а не широко по всій робочій силі. Це означає використання поведінкових, доступних та експозиційних даних для пріоритезації того, хто та що потребує уваги, та надання вказівок у потоці роботи, а не накладання додаткових контролю. Якщо все зроблено правильно, це зменшує тертя, роблячи безпечний шлях найлегшим для виконання, а не збільшуючи спостереження за всіма.

Якщо ми просунемось вперед на п’ять років, то що буде виглядати безпека робочої сили, і чого більшість організацій сьогодні недооцінюють?

Якщо ми просунемось вперед на п’ять років, безпека робочої сили буде визначатися тим, наскільки добре організації зможуть зрозуміти та керувати ризиком як над людьми, так і над агентами штучного інтелекту, які діють разом. Це не буде про періодичне навчання чи статичні контролі, а про безперервну видимість, реальне оцінювання ризику та можливість діяти динамічно, коли поведінка, доступ та загрози змінюються. Люди все ще будуть у центрі, але вони будуть керувати та розширюватися через штучний інтелект, що означає, що безпека повинна враховувати обидва.

Що більшість організацій сьогодні недооцінюють, то це те, що вже існує розрив у видимості людського ризику, і штучний інтелект посилює його. Багато організацій думають, що вони мають стратегію штучного інтелекту, але на ділі вони не мають видимості ні людей, ні інструментів, які ці люди використовують. Перший крок полягає у розумінні людського ризику, поведінки, доступу та експозиції до загроз. Другий крок полягає у розширенні цієї видимості на агенти штучного інтелекту, які використовуються працівниками, які є такими ж потужними та ризикованими, як і доступ та рішення, які люди їм дають. Без цієї основи організації не лише відстають у сфері штучного інтелекту, а й діють з зростаючими сліпими плямами по всій своїй робочій силі.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Living Security.