伊姆穆塔研究副总裁乔·雷根斯伯格 – 采访系列

乔·雷根斯伯格目前是伊姆穆塔（Immuta）的研究副总裁。作为数据安全领域的领导者，伊姆穆塔（Immuta）使组织能够通过保护数据和提供安全访问来解锁其云数据的价值。

伊姆穆塔的架构设计为与云环境无缝集成，提供与领先的云供应商的本机集成。按照NIST网络安全框架，伊姆穆塔涵盖了大多数组织的大部分数据安全需求。

您的教育背景是物理和应用数学，如何最终从事数据科学和分析工作？

我的研究领域是实验高能物理。分析数据需要大量的统计分析，特别是将罕见事件的信号与更频繁的背景事件区分开来。这些技能与数据科学所需的技能非常相似。

您能否描述一下您目前在数据安全领先企业伊姆穆塔担任研究副总裁的职责？

在伊姆穆塔，我们专注于数据安全。这意味着我们需要了解数据的使用方式、可能的滥用方式以及为数据专业人员提供必要的工具来支持他们的使命，同时防止滥用。因此，我们的角色包括了解数据专业人员的需求和挑战，特别是在法规和安全方面，并帮助解决这些挑战。我们希望减轻法规要求，并使数据专业人员能够专注于他们的核心使命。我的角色是帮助开发解决方案来减轻这些负担。这些解决方案包括开发工具来发现敏感数据、自动化数据分类、检测数据的使用方式以及创建过程来执行数据策略，以确保数据被正确使用。

AI治理与传统数据治理相比，有哪些主要挑战？

科技领袖提到，AI治理是数据治理的自然下一步和进展。话虽如此，需要注意一些关键的区别。首先，治理AI需要对AI系统的输出有信任。使用传统数据治理，数据领袖可以轻松地从答案到结果追溯使用传统统计模型。使用AI，追溯和血统成为真正的挑战，线条可以轻松模糊。能够相信AI模型达到的结果可能会受到幻觉和编造的负面影响，这是AI治理中需要解决的独特挑战，以确保适当的治理。

您是否相信有一个通用的AI治理和数据安全解决方案，还是更为特定？

“虽然我不认为目前有一个适用于所有AI治理的通用解决方案，特别是在数据安全方面，但数据领袖可以采取一些措施来为安全和治理奠定基础。当谈到AI治理时，了解AI模型被使用的上下文和目的至关重要。如果您使用AI进行一些更平凡的、影响较小的事情，您的风险计算将会降低很多。如果您使用AI来做出关于医疗保健或训练自主车辆的决定，您的风险影响将会大得多。这与数据治理类似；数据被使用的原因与数据被使用的方式一样重要。”

您最近写了一篇题为“解决暗影AI的潜伏威胁”的文章。什么是暗影AI，为什么企业应该注意这一点？

“暗影AI可以定义为未经授权的AI工具的流氓使用，这些工具不在组织的治理框架之内。企业需要意识到这一现象，以保护数据，因为将内部数据输入未经授权的应用程序（如AI工具）可能带来巨大的风险。暗影IT通常是众所周知的，一旦被发现就相对容易管理。只要停止应用程序并继续即可。对于暗影AI，您没有明确的最终用户协议，说明如何使用数据来训练AI模型或最终在哪里共享模型生成的响应。基本上，一旦数据进入模型，您就失去了对其的控制。为了减轻暗影AI的潜在风险，组织必须建立明确的协议和正式的流程来使用这些工具，如果数据将离开环境，则必须这样做。”

您能否解释使用基于属性的访问控制（ABAC）而不是传统的基于角色的访问控制（RBAC）在数据安全方面的优势？

基于角色的访问控制（RBAC）通过限制基于个人的组织角色的许可或系统访问来运行。其优点是它使访问控制静态和线性，因为用户只能访问数据，如果他们被分配到某些预定义的角色。虽然RBAC模型传统上作为一种放手的方式来控制内部数据使用，但它绝对不是不可破坏的，我们可以看到其简单性也是其主要缺点。

RBAC对于拥有有限角色的小型组织和少量数据计划来说是实用的。然而，现代组织是数据驱动的，数据需求会随着时间的推移而增长。在这种日益普遍的场景中，RBAC的效率就会瓦解。幸运的是，我们有一个更现代化和灵活的选择来控制访问：基于属性的访问控制（ABAC）。ABAC模型比RBAC更动态地对数据访问和安全性进行了定义。它通过组合用户和数据的可观察属性来定义逻辑角色，并根据这些属性做出访问决策。ABAC的一个最大优势是其动态和可扩展的性质。随着数据使用案例的增长和数据民主化使组织内的更多用户能够使用数据，访问控制必须能够扩展以适应环境以保持一致的数据安全性。ABAC系统也往往比以前的访问控制和治理标准更安全。此外，这种高水平的数据安全性不会以可扩展性为代价。与以前的访问控制和治理标准不同，ABAC的动态特性创造了一个未来证明的模型。”

在维持强大的数据治理和安全性的同时，扩大数据访问的关键步骤是什么？

控制数据访问用于限制授予某些用户和系统的访问、权限和特权，以确保只有授权人员才能查看和使用特定的数据集。话虽如此，数据团队需要访问尽可能多的数据以驱动最准确的业务洞察。这对负责确保数据受到保护以防止未经授权的访问和其他风险的数据安全和治理团队提出了一个问题。在日益数据驱动的商业环境中，必须在这些相互竞争的利益之间取得平衡。过去，组织试图通过被动的数据访问控制方法来实现这种平衡，这会导致数据瓶颈并阻碍组织的速度。为了在维持强大的数据治理和安全性的同时扩大数据访问，组织必须采用自动化的数据访问控制，这会将速度、敏捷性和精确性引入数据访问控制规则的应用过程中。有五个步骤需要掌握，以自动化您的数据访问控制：

1. 必须支持数据团队使用的任何工具。
2. 需要支持所有数据，无论其存储位置或底层存储技术如何。
3. 需要直接访问组织内的相同实时数据。
4. 任何人，无论其专业水平如何，都可以理解正在应用于企业数据的规则和策略。
5. 数据隐私策略必须存储在一个集中位置。
6. 一旦掌握了这些支柱，组织就可以摆脱被动的数据访问控制方法，并实现安全、高效、可扩展的数据访问控制。

在实时数据监控方面，伊姆穆塔如何使组织能够主动管理其数据使用和安全风险？

伊姆穆塔的Detect产品使组织能够通过自动根据数据的敏感性和保护程度（例如数据屏蔽或访问的声明目的）对数据进行评分来主动管理其数据使用，从而使数据和安全团队能够优先考虑风险并在实时收到潜在安全事件的警报。通过使用Immuta Detect快速发现和优先考虑数据使用风险，客户可以减少风险缓解时间并维持其数据的强大数据安全性。

感谢这次精彩的采访，希望了解更多的读者可以访问Immuta。