Ali Hayat, Tổng giám đốc kiêm nhà sáng lập Axipro – Loạt bài phỏng vấn

Ali Hayat là tổng giám đốc kiêm nhà sáng lập Axipro, kết hợp kinh nghiệm quản lý rủi ro công nghiệp và đánh giá ISO với chuyên môn tư vấn an ninh mạng và tuân thủ. Công việc đầu tiên của ông gắn với các môi trường công nghiệp có mức độ rủi ro cao, nơi an toàn, yêu cầu pháp lý và rủi ro vận hành là những mối quan tâm trọng yếu. Sau đó, ông xây dựng Axipro mà không cần vốn đầu tư bên ngoài, tập trung giúp các công ty đang phát triển áp dụng những biện pháp kiểm soát an ninh thiết thực, chuẩn bị cho các cuộc đánh giá và quản lý những rủi ro AI mới nổi.

Axipro là đơn vị tư vấn về an ninh mạng và tuân thủ, hỗ trợ các tổ chức đáp ứng những bộ tiêu chuẩn như SOC 2, ISO 27001, ISO 42001 và các yêu cầu về bảo vệ dữ liệu. Công việc của công ty kết hợp tư vấn, tự động hóa tuân thủ, chuẩn bị đánh giá và kiểm thử bảo mật, chú trọng giám sát liên tục và sự giám sát của con người. Trong cuộc phỏng vấn này, Hayat trao đổi về quy trình tuân thủ ứng dụng AI, AI ngầm, rủi ro từ các tác nhân tự hành, khác biệt trong quản trị giữa các khu vực và khoảng cách giữa chứng nhận với khả năng chống chịu trước các mối đe dọa an ninh mạng.

Sự nghiệp của ông bắt đầu trong các môi trường công nghiệp có mức độ rủi ro cao, với những dự án liên quan đến Saudi Aramco, ADNOC và TotalEnergies, nơi an toàn, quản lý rủi ro và tuân thủ quy định là những yếu tố tối quan trọng. Điều gì đã thôi thúc ông chuyển từ lĩnh vực an toàn công nghiệp và đánh giá sang an ninh mạng, và động lực nào cuối cùng khiến ông thành lập Axipro?

Tôi thành lập Axipro vì nhận thấy một khoảng trống trên thị trường khi làm việc trong lĩnh vực quản lý chất lượng. Năm 2021, tôi nhận thấy nhiều nền tảng an ninh mạng mới đang ra mắt, cung cấp giải pháp tuân thủ SOC 2 và ISO 27001 bán tự động.

Dần dần, tôi nhận ra rằng dù những nền tảng này giúp các nhóm kỹ thuật giảm bớt phần lớn gánh nặng tuân thủ, chúng vẫn cần được thiết lập và bảo trì; trong khi đó, các công ty khởi nghiệp vốn đã chật vật theo kịp tốc độ tăng trưởng sẽ sẵn sàng trả tiền cho một đội ngũ do con người trực tiếp phụ trách để luôn theo sát việc tuân thủ. Axipro ra đời như vậy.

Sau đó, vào năm 2022, những nền tảng AI đầu tiên được ra mắt. Đó lại là một khoảnh khắc bừng tỉnh. Trong khi nhiều người trong ngành lo sợ mình sẽ trở nên thừa thãi, tôi nhanh chóng nhận ra đây là một cơ hội lớn. Nhiều khả năng AI sẽ khiến các cuộc tấn công mạng gia tăng theo cấp số nhân, và cần có những người giàu chuyên môn hướng dẫn các công ty khởi nghiệp đáp ứng nhu cầu về an ninh và tuân thủ trong bối cảnh đó.

Hiện nay, chúng tôi là Đối tác Ưu tú của Drata và Đối tác Ưu tiên của Vanta, đồng thời đã hướng dẫn hơn 300 công ty đáp ứng các tiêu chuẩn hàng đầu về an ninh mạng và AI.

Ông đã tự mình xây dựng Axipro mà không cần vốn đầu tư bên ngoài, phát triển công ty thành một đơn vị tư vấn quốc tế phục vụ hàng trăm khách hàng. Những thách thức lớn nhất khi tự gây dựng một doanh nghiệp an ninh mạng là gì, và công nghệ cùng tự động hóa đã giúp ông mở rộng hoạt động mà vẫn duy trì chất lượng dịch vụ ra sao?

Những năm đầu tiên vô cùng khó khăn. Từ việc tiêu hết tiền tiết kiệm khi sắp có con đến chứng kiến những mô hình AI đầu tiên làm thay đổi ngành, có lẽ 2 đến 3 năm đầu là nguyên nhân khiến tóc tôi bạc đi nhiều như hiện nay.

Tôi phải cạnh tranh với một vài đối thủ khổng lồ đã có danh tiếng, văn phòng lớn và ngân sách tiếp thị đáng kể. Tôi sống ở Bahrain, có nền tảng về quản lý chất lượng và ngân sách tiếp thị của tôi là 0.

Tôi chọn cách đi ngược số đông: duy trì bộ máy tinh gọn, hoạt động hiệu quả và đưa ra mức giá thấp hơn các doanh nghiệp lớn đầu ngành.

Cách làm này giúp tôi có thêm nhiều khách hàng mới, nhưng biên lợi nhuận của chúng tôi rất thấp. Quản lý dòng tiền trở thành cả một nghệ thuật, và chúng tôi chỉ vừa đủ sức vượt qua 2 năm đầu tiên. Mọi thứ thay đổi khi chúng tôi ký được hợp đồng đầu tiên trị giá 5 chữ số, áp dụng nhiều bộ tiêu chuẩn. Hợp đồng này giúp chúng tôi bớt chật vật, cho phép tôi tuyển những nhân viên toàn thời gian đầu tiên và bắt đầu nghĩ đến hoạt động tiếp thị ngoài các quan hệ đối tác và nguồn giới thiệu khách hàng.

Axipro tập trung đơn giản hóa các bộ tiêu chuẩn tuân thủ phức tạp thông qua chuyển đổi số và tự động hóa. Trí tuệ nhân tạo đang thay đổi các quy trình tuân thủ truyền thống như thế nào, và theo ông, những hoạt động nào có nhiều tiềm năng nhất để nâng cao hiệu quả nhờ AI?

Ngành tuân thủ đã hưởng lợi rất nhiều từ AI. Trước đây, ngành này phụ thuộc vào khối lượng lớn công việc lặp đi lặp lại, chẳng hạn như thu thập và lập bản đồ bằng chứng, trả lời bảng câu hỏi về an ninh và soạn thảo chính sách. Hầu hết những nhiệm vụ này hiện đã được tự động hóa. AI cũng cho phép giám sát liên tục và phát tín hiệu cảnh báo rủi ro an ninh mạng cũng như rủi ro tuân thủ.

Hiện nay, AI được ứng dụng trong hầu hết các bước của quy trình tuân thủ. Khi tiếp nhận một khách hàng mới, hệ thống AI nội bộ của chúng tôi sẽ tự động đánh giá rủi ro dựa trên ngành nghề, quy mô và địa điểm hoạt động của công ty. Chúng tôi có một cơ sở dữ liệu lớn về các dự án đã thực hiện, giúp tự động phát hiện những rủi ro tiềm ẩn và dấu hiệu cảnh báo. Đây có lẽ là giá trị gia tăng lớn nhất mà AI mang lại.

Các đối tượng tấn công an ninh mạng cũng đã hưởng lợi từ AI, và số vụ tấn công đã tăng theo cấp số nhân. Một cuộc chạy đua giữa AI với AI đang diễn ra: một bên là những công ty như chúng tôi, phát triển khả năng tự động phát hiện mối đe dọa; bên kia là tin tặc, tự động hóa các cuộc tấn công.

Đây là lúc cần đến sự phán đoán của con người, và yếu tố này giữ vai trò cốt lõi trong cách chúng tôi làm việc: AI phải xử lý các nhiệm vụ lặp đi lặp lại và nâng cao hiệu quả vận hành, để con người có thể tập trung đánh giá và ứng phó với các mối đe dọa.

Nhiều tổ chức vẫn xem việc tuân thủ an ninh mạng là hoạt động định kỳ, tập trung vào khâu chuẩn bị cho các cuộc kiểm toán. Các công cụ ứng dụng AI và nền tảng giám sát liên tục như Drata đang thay đổi cách tiếp cận này ra sao, và quá trình chuyển sang tuân thủ liên tục có ý nghĩa gì đối với doanh nghiệp?

Khi tôi mới bắt đầu làm trong lĩnh vực tuân thủ, ai cũng ngán mùa kiểm toán. Các công ty gần như bỏ mặc những biện pháp kiểm soát trong phần lớn thời gian của năm, rồi dành nhiều tuần chạy đôn chạy đáo thu thập ảnh chụp màn hình và nhật ký trước hạn kiểm toán. Vượt qua cuộc kiểm toán có nghĩa là bạn tuân thủ tại thời điểm đó, vậy thôi.

Drata và các nền tảng tương tự đã thay đổi điều này. Chúng kết nối với các công cụ đám mây và nhân sự của công ty, đồng thời kiểm tra các biện pháp kiểm soát hằng ngày. Nếu ai đó tắt xác thực đa yếu tố (MFA), hoặc một nhân viên cũ vẫn còn quyền truy cập, vấn đề sẽ được phát hiện ngay và đội ngũ của chúng tôi xử lý ngay.

Việc tuân thủ không còn là dự án hằng năm mà trở thành một phần trong hoạt động thường nhật của doanh nghiệp. Các cuộc kiểm toán ngắn hơn và ít tốn kém hơn, còn đội ngũ bán hàng có thể cung cấp thông tin về tình trạng bảo mật cho khách hàng doanh nghiệp bất cứ khi nào được yêu cầu, qua đó giúp chốt giao dịch nhanh hơn.

Quyền riêng tư dữ liệu và an ninh mạng đang dần chuyển từ yêu cầu chỉ áp dụng trong các ngành nhạy cảm thành một lợi thế tiếp thị gia tăng giá trị.

Khi ngày càng phụ thuộc vào AI để tạo tài liệu bảo mật, đánh giá rủi ro và rà soát bằng chứng tuân thủ, các tổ chức có thể làm gì để bảo đảm những hệ thống này đưa ra kết quả chính xác và đáng tin cậy? Chuyên môn của con người cần giữ vai trò thiết yếu ở khâu nào trong quy trình kiểm toán và chứng nhận?

AI rất giỏi viết những tài liệu nghe có vẻ hợp lý. Một chính sách có thể trông hoàn hảo nhưng vẫn mô tả những quy trình mà công ty không hề có.

Cách chúng tôi xử lý là để AI soạn thảo và đánh dấu các vấn đề, nhưng một thành viên trong đội ngũ sẽ kiểm tra mọi thứ trước khi gửi cho khách hàng hoặc kiểm toán viên. Mọi nội dung do AI tạo ra cũng cần dẫn ngược về bằng chứng làm căn cứ, để chúng tôi có thể xác minh.

Kiểm toán nội bộ và kiểm toán bên ngoài là ranh giới mà tôi kiên quyết giữ vững. Kiểm toán viên ký xác nhận bằng tên mình và đặt uy tín nghề nghiệp của họ vào đó. AI có thể giúp họ rà soát bằng chứng nhanh hơn, nhưng quyết định có chứng nhận một công ty hay không phải do con người đưa ra. Nếu không ai chịu trách nhiệm, chứng chỉ sẽ mất giá trị.

Axipro hỗ trợ các tổ chức đáp ứng những tiêu chuẩn như ISO 27001, SOC 2 và ISO 42001, tiêu chuẩn quốc tế về hệ thống quản lý AI. Các công ty đang gặp những thách thức mới nào khi xây dựng cơ chế quản trị AI có trách nhiệm, và việc quản lý rủi ro liên quan đến AI khác với hoạt động tuân thủ an ninh thông tin truyền thống ra sao?

Hầu hết các công ty chúng tôi trao đổi đều không biết mình đang sử dụng AI ở mức độ nào. Hiện tượng này được gọi là “AI ngầm”.

Bộ phận tiếp thị đăng ký một công cụ, các nhà phát triển tích hợp một mô hình vào sản phẩm, còn ai đó ở phòng tài chính thì dán bảng tính vào một chatbot. Không việc nào trong số đó có ý đồ xấu; mọi người chỉ đang cố làm việc nhanh hơn, và các công cụ AI vừa rẻ vừa nhanh. Tuy nhiên, điều này có thể dễ dàng khiến dữ liệu công ty bị lộ.

Bước đầu tiên và quan trọng nhất trong hầu hết các dự án tuân thủ ISO 42001 và AI là lập bản đồ toàn bộ việc sử dụng này. Chúng tôi xem xét báo cáo chi phí, các đăng ký phần mềm và dữ liệu mạng, đồng thời trao đổi với từng nhóm về những gì họ thực sự sử dụng hằng ngày. Danh sách cuối cùng hầu như lúc nào cũng dài hơn dự kiến.

Cấm AI hiếm khi hiệu quả, lại phản tác dụng và kém hiệu quả. Chúng tôi muốn khách hàng có thể tận dụng những lợi ích về hiệu suất mà các mô hình AI mang lại. Cách tốt hơn là cung cấp cho nhân viên những công cụ được phê duyệt và đáp ứng yêu cầu công việc, đặt ra quy định rõ ràng về loại dữ liệu được phép đưa vào các công cụ đó, đồng thời giúp họ dễ dàng đề xuất công cụ mới.

Quản trị AI còn đặt ra những câu hỏi mà trước đây an ninh thông tin không cần phải giải quyết. Với ISO 27001, mối quan tâm chính là ngăn những người không phù hợp tiếp cận dữ liệu của bạn. Với ISO 42001, bạn còn cần biết liệu AI có hoạt động đúng cách hay không, liệu có thể giải thích các quyết định của nó hay không, và ai chịu trách nhiệm khi nó mắc lỗi.

Những rủi ro này cũng thay đổi nhanh hơn. Nhà cung cấp có thể cập nhật mô hình chỉ sau một đêm, khiến sản phẩm của bạn hoạt động khác đi dù bạn không hề thay đổi bất cứ điều gì.

Các công ty đã có ISO 27001 sẽ bắt đầu với lợi thế. Cả hai tiêu chuẩn đều sử dụng cùng một cấu trúc hệ thống quản lý, vì vậy phần lớn công việc nền tảng đã hoàn tất.

Với sự xuất hiện của các tác nhân AI tự chủ có khả năng truy cập thông tin nhạy cảm, tương tác với hệ thống doanh nghiệp và thực thi quy trình kinh doanh, các tổ chức cần chuẩn bị ứng phó với những rủi ro mới nào về an ninh mạng và tuân thủ? Các khuôn khổ bảo mật hiện có đã đủ khả năng xử lý những hệ thống ngày càng tự chủ này chưa?

Hiện tại, các tác nhân AI là lĩnh vực tôi theo dõi sát nhất. Phần mềm thông thường làm đúng những gì được yêu cầu. Còn một tác nhân AI tự đưa ra quyết định, và nó có thể bị lừa cũng như lừa người khác, như chúng ta đã thấy trong sự cố Hugging Face.

Rủi ro phổ biến nhất mà chúng tôi đang ghi nhận là chèn lệnh nhắc. Kẻ tấn công có thể giấu chỉ dẫn trong email hoặc tệp PDF; khi tác nhân AI đọc được, nó sẽ làm theo những chỉ dẫn đó bằng bất kỳ quyền truy cập nào bạn đã cấp cho nó.

Rủi ro thứ hai là các công ty cấp cho tác nhân quyền truy cập quá rộng chỉ vì làm vậy dễ hơn. Nhân viên thường cấp quyền cho các tác nhân AI thông qua tài khoản email cá nhân thay vì tài khoản chuyên dụng, khiến việc xác định ai đã thực hiện một thay đổi — con người hay bot — trở nên cực kỳ khó khăn. Nếu hệ thống ghi nhật ký cũng yếu, có khi bạn còn không biết tác nhân đã làm gì.

ISO 27001 và SOC 2 vẫn bao quát những nội dung cơ bản như kiểm soát truy cập và ghi nhật ký, còn ISO 42001 hỗ trợ khía cạnh AI. Tuy nhiên, không tiêu chuẩn nào trong số này được xây dựng với tác nhân tự hành làm đối tượng xem xét, và tôi cho rằng hướng dẫn mới sẽ sớm được ban hành.

AIUC-1 đang nổi lên như một tiêu chuẩn hàng đầu dành cho AIUC-1, và chúng tôi vừa bắt đầu đào tạo nhân viên triển khai tiêu chuẩn này. Chúng tôi đã trao đổi với một vài khách hàng về vấn đề này, nhưng hiện chưa có nghiên cứu tình huống nào để trình bày. Tiêu chuẩn này nhận được sự hậu thuẫn đáng kể từ các công ty an ninh mạng lớn, vì vậy chúng tôi kỳ vọng khuôn khổ này sẽ trở thành tiêu chuẩn hàng đầu dành cho tác nhân AI.

Sau khi làm việc tại Trung Đông, châu Âu và Hoa Kỳ, ông đã tiếp xúc với nhiều môi trường pháp lý và cách tiếp cận quản lý rủi ro khác nhau. Sự khác biệt giữa các khu vực trong quản trị AI và bảo vệ dữ liệu đang ảnh hưởng như thế nào đến cách các công ty triển khai AI, và những thách thức nào phát sinh khi tổ chức hoạt động ở nhiều khu vực pháp lý?

Sống tại Bahrain và làm việc với khách hàng ở châu Âu và Hoa Kỳ, tôi không còn kỳ vọng các quy định về AI sẽ hội tụ. Nếu có điều gì thay đổi, thì đó là các khu vực đang ngày càng đi theo những hướng khác nhau.

Châu Âu quản lý bằng luật pháp. Đạo luật AI của EU phân loại các hệ thống AI theo mức độ rủi ro và quy định yêu cầu đối với từng nhóm, vì vậy các công ty châu Âu thường hành động thận trọng và ghi chép mọi thứ. Hoa Kỳ không có luật AI cấp liên bang, và phần lớn hoạt động quản lý do thị trường đảm nhiệm. Bên mua yêu cầu đưa các khuôn khổ như Khung Quản lý Rủi ro AI (AI RMF) của NIST vào hợp đồng, còn trách nhiệm pháp lý sẽ bổ sung phần còn lại. Trung Quốc chọn hướng thứ ba: ban hành quy định mới mỗi khi một công nghệ làm nảy sinh rủi ro mới.

Vùng Vịnh là khu vực tôi thấy thú vị nhất. Chẳng hạn, Saudi Arabia hiện vẫn chưa có đạo luật AI áp dụng trên diện rộng. Phần lớn các quy định có tính ràng buộc nằm trong luật bảo vệ dữ liệu và hoạt động mua sắm của chính phủ, bởi nhà nước là bên mua công nghệ lớn nhất trong khu vực. Những yêu cầu tuân thủ dành cho bạn phụ thuộc nhiều vào khách hàng của bạn là ai. Năm 2024, khi SDAIA, cơ quan quản lý của Saudi Arabia, tự đạt chứng nhận ISO 42001, điều đó đã cho thị trường biết họ sẽ tìm kiếm tiêu chuẩn nào trong các hồ sơ dự thầu.

Khó khăn lớn nhất xuất hiện khi một công ty hoạt động tại nhiều khu vực trong số này. Một công ty SaaS ở Riyadh bán hàng sang châu Âu có thể đáp ứng các yêu cầu kỹ thuật của EU nhưng vẫn không tuân thủ được quy định của Saudi Arabia về đăng ký và chuyển dữ liệu. Không bên nào chấp nhận giấy tờ của bên kia.

Cách tiếp cận của chúng tôi là xây dựng một nền tảng chung có thể áp dụng ở nhiều nơi, gồm ISO 42001 cùng với ISO 27001, rồi bổ sung các yêu cầu của từng khu vực. Bản thân ISO 42001 không giúp bạn tuân thủ pháp luật ở bất kỳ nơi nào, nhưng đây là điều gần nhất với một ngôn ngữ chung được tất cả các khu vực này chấp nhận.

Thường có khoảng cách đáng kể giữa việc đạt chứng nhận bảo mật và duy trì khả năng chống chịu thực sự trước các mối đe dọa an ninh mạng. Các tổ chức có thể sử dụng AI và tự động hóa như thế nào để vượt qua việc tuân thủ chỉ nhằm đánh dấu vào danh sách kiểm tra, từ đó phát triển các biện pháp bảo mật liên tục thích ứng với những mối đe dọa mới nổi?

Tôi từng thấy những công ty vừa có báo cáo SOC 2 mới toanh nhưng lại tồn tại các lỗ hổng bảo mật cơ bản mà không ai phát hiện. Mục tiêu của họ là vượt qua cuộc kiểm toán. Chứng nhận cho thấy một công ty đáp ứng tiêu chuẩn vào một thời điểm nhất định, nhưng không cho biết công ty đó có thể ngăn chặn một cuộc tấn công hay không.

Để vượt qua tình trạng đó, cần đặt câu hỏi liệu từng biện pháp kiểm soát có đứng vững khi được kiểm thử hay không. Tự động hóa giúp ích rất nhiều. Giám sát liên tục phát hiện vấn đề khi chúng còn nhỏ, còn dữ liệu về mối đe dọa hiện tại giúp các đánh giá rủi ro phù hợp với những gì kẻ tấn công đang làm. Sau đó, các cuộc kiểm thử xâm nhập và mô phỏng tấn công định kỳ sẽ cho thấy liệu các biện pháp kiểm soát có hiệu quả trong thực tế hay không.

Việc đạt chứng nhận CREST trong năm nay là một phần trong nỗ lực đó của chúng tôi. Chúng tôi muốn kiểm thử bảo mật cho khách hàng và lập tài liệu ghi lại kết quả.

Nhìn về 3 đến 5 năm tới, ông hình dung AI sẽ chuyển đổi ngành tư vấn an ninh mạng và tuân thủ như thế nào? Ông có tin rằng các tác nhân AI cuối cùng sẽ tự đảm nhiệm phần lớn hoạt động tuân thủ thường lệ không, và ông hình dung Axipro sẽ phát triển ra sao khi những công nghệ này ngày càng hoàn thiện?

Tôi nghĩ trong vòng 5 năm, các tác nhân AI sẽ đảm nhiệm phần lớn công việc tuân thủ thường lệ, chẳng hạn như thu thập bằng chứng, cập nhật chính sách và trả lời bảng câu hỏi bảo mật. Các công ty kiếm tiền bằng cách tính phí theo giờ cho những công việc đó mà không có chuyên môn rõ rệt sẽ gặp khó khăn.

Tuy nhiên, tôi không nghĩ các tác nhân sẽ tự mình điều hành hoạt động tuân thủ. AI càng đảm nhận nhiều công việc thì những quyết định còn lại càng trở nên quan trọng. Vẫn phải có người phê duyệt cuộc kiểm toán và xử lý hậu quả khi có sự cố. Khi kẻ tấn công cũng sử dụng AI, nhu cầu về những chuyên gia phòng thủ có kỹ năng sẽ tiếp tục tăng.

Tại Axipro, tôi thấy chúng tôi sẽ dành ít thời gian hơn cho việc lập tài liệu và tập trung nhiều hơn vào tư vấn cho khách hàng cũng như kiểm thử bảo mật cho họ. AI nội bộ của chúng tôi sẽ đảm nhận nhiều công việc triển khai hơn, còn đội ngũ sẽ tập trung vào những quyết định cần đến sự phán đoán của con người. Trở lại năm 2022, nhiều người nghĩ AI sẽ khiến những công ty như chúng tôi trở nên thừa thãi. Cho đến nay, điều ngược lại đã xảy ra: chúng tôi tăng trưởng hơn 10% mỗi tháng, đôi khi có nhiều việc hơn khả năng xử lý, và không nghĩ tình hình sẽ sớm dịu lại.

Cảm ơn vì cuộc phỏng vấn tuyệt vời. Độc giả muốn tìm hiểu thêm về việc tuân thủ các quy định an ninh mạng, quản trị AI và xây dựng các quy trình bảo mật liên tục có thể truy cập Axipro.