جيف مارغوليس، رئيس المنتجات والاستراتيجية في Saviynt – سلسلة المقابلات

جيف مارغوليس، رئيس المنتجات والاستراتيجية في Saviynt، يُدير إدارة المنتجات والاستراتيجية العامة والشراكات التكنولوجية والتنمية الشركة، ويعمل مع العملاء والشركاء والفرق عبر المنظمة لتشكيل رؤية الشركة وطريق خارطة النمو على المدى الطويل. وهو يأتي مع أكثر من 25 عامًا من الخبرة في الهوية والأمن السيبراني، بعد أن شغل منصب رئيس الاستراتيجية في Saviynt وشغل مناصب قيادية في Mandiant وDeloitte وAccenture. في Mandiant، أشرف على الاستراتيجية والشراكات الاستراتيجية والتنمية الشركة، في حين شملت مسيرته المهنية المبكرة مساعدة في إنشاء وتوسيع ممارسة Accenture للهوية وإدارة الوصول إلى منظمة عالمية تضم أكثر من 700 محترف. يحمل مارغوليس درجة البكالوريوس في الهندسة البصرية من جامعة روتشستر ودرجة الماجستير في الهندسة الكهربائية من جامعة كاليفورنيا، بيركلي.

Saviynt هي شركة أمن الهوية مدعومة بالذكاء الاصطناعي، تركز على مساعدة المؤسسات في حوكمة وأمن الوصول عبر المستخدمين البشر، والهويات غير البشرية، والآلات، والتطبيقات، والبنية التحتية ووكلاء الذكاء الاصطناعي. منصة Saviynt Identity توفر حوكمة الهوية وإدارة الوصول المتميزة وحوكمة الوصول التطبيقية وإدارة الهوية الخارجية وأمن الهوية غير البشرية وإدارة موقف أمن الهوية في منصة سحابية موحدة مصممة للبيئات السحابية وفي الموقع وSaaS وIaaS والهجينة. لقد وضع الشركة نفسها بشكل متزايد حول احتياجات عصر الذكاء الاصطناعي، بما في ذلك أدوات تأمين وكلاء الذكاء الاصطناعي وحوكمة سير عمل الوكلاء وتأهيل عمليات الهوية الطبيعية من خلال عروض مثل Saviynt MCP Server في سوق AWS.

كقائد المنتجات والاستراتيجية، لديك مقعد في الصف الأمامي لمشاهدة كيف تتغير متطلبات أمن الهوية للمؤسسات. كيف غيرت ظهور وكلاء الذكاء الاصطناعي الطريقة التي يجب على المنظمات التفكير فيها في الهوية والوصول والحوكمة، وكيف أثرت تلك التحولات على تطوير Saviynt لبوابة الوصول الوكيل والتفويض في وقت التشغيل المتأثر بالنية؟

تغير وكلاء الذكاء الاصطناعي أمن الهوية لأن الهويات البشرية والآلية تعمل بطرق مختلفة جدا. لم يعد الأمر فقط يتعلق بإدارة الأشخاص الذين يقومون بتسجيل الدخول إلى التطبيقات. المنظمات تدير البرمجيات التي يمكن أن تفكر وتتخذ قرارات وتعمل بشكل مستقل عبر الأنظمة. أعتبر الوكلاء الجيل التالي من التطبيقات. بعد تطبيقات المايكروويف والعميل والخادم والويب وSaaS، نحن الآن ندخل عصر تطبيقات الوكلاء.

المبادئ الأساسية لا تزال نفسها. المنظمات تحتاج إلى معرفة من يملك الوكيل، ومن يمكنه استخدامه، وما هي الأنظمة التي يمكنه الوصول إليها، وكيف يتم حوكمة نشاطه. الهويات الآلية تغير السرعة والنطاق. يمكن لمستخدم الأعمال الآن إنشاء وكيل في دقائق، مما يعني أن الحوكمة يجب أن تتحرك بنفس السرعة. هذا هو ما دفعنا إلى تطوير بوابة الوصول الوكيل والتفويض في وقت التشغيل المتأثر بالنية — لمساعدة المؤسسات على تبني الوكلاء مع التحكمات في الوصول والمساءلة والحدود الأمنية من البداية.

ينتقل وكلاء الذكاء الاصطناعي بسرعة من التجارب إلى بيئات الإنتاج. كيف يتغير وكلاء الذكاء الاصطناعي النموذج التقليدي لإدارة الهوية والوصول الذي اعتمدت عليه المؤسسات لعدة عقود؟

تم بناء إدارة الهوية والوصول التقليدية حول الأشخاص والبرمجيات المتوقعة. يقوم المستخدم بتسجيل الدخول، ويتقدم بطلب الوصول، وينفذ إجراءات محددة في أنظمة محددة. نفهم دورة حياة الهوية البشرية بوضوح في هذا السياق، بما في ذلك كيفية توفير الوصول. وكلاء الذكاء الاصطناعي يقدمون دورة حياة مختلفة. يمكن إنشاؤهم بسرعة، ويتحركون بشكل مستمر، ويتكيفون عبر سير العمل، ويتفاعلون مع تطبيقات متعددة وواجهات برمجة التطبيقات ومصادر بيانات مع زيادة الاستقلالية.

مبادئ الهوية الأساسية لا تزال سارية: كل هوية تحتاج إلى مصادقة، وتصريح، وحوكمة، ومساءلة. السرعة مختلفة جدا. بدلا من عدد قليل من التطبيقات المؤسسية التي بنيت بواسطة فرق مركزية، قد يكون للمنظمات آلاف الوكلاء التي تم إنشاؤها بواسطة مستخدمي الأعمال. في الواقع، 92% من مسؤولي أمن المعلومات يفتقرون إلى رؤية كاملة للهويات الذكاء الاصطناعي، و95% يشككون في khảيتهم لكشف أو احتواء سوء الاستخدام إذا حدث. يجب أن تتطور أمن الهوية بحيث يتم إنشاء الملكية ومراقبة الوصول والموافقات والرصد تلقائيا عند إنشاء الوكلاء.

ما هي التحديات التي لا تزال تواجهها المنظمات عند التعامل مع وكلاء الذكاء الاصطناعي التي يمكن أن تفكر وتتكيف وتنفذ الإجراءات بشكل مستقل؟

التصريح التقليدية عادة ما تسأل، “هل هذه الهوية مسموح لها بتنفيذ هذا الإجراء؟” هذا لا يكفي للوكلاء الذكاء الاصطناعي لأن الوكيل قد يكون لديه إذن فني لتنفيذ شيء ما، ولكنه قد يتصرف مع ذلك خارج نية المستخدم.

على سبيل المثال، إذا سأل المستخدم وكيل “تنظيف” قاعدة البيانات، قد يفسر الوكيل ذلك بإزالة السجلات. قد يكون الوكيل مخولا بإزالة تلك السجلات، ولكن ذلك قد لا يكون ما قصده المستخدم. مع الوكلاء، المنظمات تحتاج إلى تقييم ليس فقط ما إذا كان الإجراء مسموحًا به، ولكن ما إذا كان يتوافق مع الخطة والنية الأصلية خلف المهمة.

ما هو التفويض المتأثر بالنية الذي قدمته Saviynt مؤخرا؟ وكيف يختلف عن نماذج المصادقة والتصريح التقليدية؟

التصريح المتأثر بالنية يعني تقييم ما إذا كانت إجراءات الوكيل تتوافق مع ما قصده المستخدم. كل وكيل تم إنشاؤه أو إرساله لتحقيق مهمة، وتخلق تلك المهمة سياقا لما يجب على الوكيل فعله وما لا يجب عليه فعله.

التصريح التقليدية يأخذ قرار ثنائي: هل هذا مسموح به أم لا? التصريح المتأثر بالنية يضيف طبقة أخرى بالسؤال عما إذا كان الإجراء يتناسب مع سياق المهمة الأصلية. إذا كان الوكيل قد طلب منه أرشفة البيانات القديمة ولكن بدأ بحذف السجلات النشطة، فقد يكون ذلك مسموحًا به فنيًا، ولكنه لا يتوافق مع نية المستخدم. الهدف من التفويض المتأثر بالنية في وقت التشغيل هو حوكمة إجراءات الوكيل في الوقت الفعلي بناءً على سياق المهمة والسياسة والنتائج المتوقعة.

كيف يمكن للمنظمات تحديد ما إذا كان وكيل الذكاء الاصطناعي يجب أن يُسمح له بتنفيذ إجراء معين حتى لو كان لديه إذن فني للوصول إلى النظام الأساسي؟

يبدأ ذلك بالتخطيط. قبل أن يتصرف الوكيل، المنظمات تحتاج إلى تحديد ما هو من المفترض أن ينجزه، وما هي الأنظمة التي يجب أن يصل إليها، وما هي الحدود الأمنية التي تنطبق، وما هي السياسات التي يجب اتباعها. ذلك الخطة يصبح أساسًا لتقييم سلوك الوكيل.

السؤال الرئيسي ليس فقط ما إذا كان الوكيل لديه الوصول، ولكن ما إذا كان إجراءه يتوافق مع المهمة التي تم إنشاؤه من أجلها. العديد من التطبيقات والواجهات البرمجية الحالية لم تكن مبنية لفرض مستوى السياق هذا، وهو السبب في أهمية نموذج البوابة. بوابة الوصول الوكيل توفر طبقة تحكم إضافية لتقييم الخطط مقابل الإجراءات، ومساعدة إدارة الإفراط في التعيين أو الفجوات في الأنظمة الأساسية.

ما هي المخاطر الجديدة التي يخلقها وكلاء الذكاء الاصطناعي لأنهم يمكن أن يتصرفوا عبر تطبيقات وبيانات متعددة في ثوان؟

وكلاء الذكاء الاصطناعي لا يخلقون دائمًا مخاطر جديدة تمامًا. في كثير من الحالات، يزيدون من احتمال استغلال المخاطر الحالية. إذا كانت المنظمة لديها بالفعل حسابات مفرطة في التعيين، أو ضوابط ضعيفة، أو أنظمة تعتمد على الغموض، يمكن للوكلاء العثور على تلك الضعف ويتصرفون عليها بشكل أسرع من البشر، ويزيدون من المخاطر.

أشبهها أحيانًا مع ترك باب خلفي غير مقفل. الضعف موجود بالفعل، ولكن احتمال أن يجد شخص ما ذلك قد يكون منخفضًا. تخيل الآن وكيل يتحقق من كل باب خلفي عبر آلاف البيئات في ثوان. هذا هو السبب في أن المنظمات تحتاج إلى الحصول على الأساسيات بشكل صحيح: معرفة ما هي الوكلاء الموجودة، وفهم ما يمكنهم الوصول إليه، وتقييد الأذونات غير الضرورية، وحوكمة نشاطهم بشكل مستمر.

كيف يجب على المنظمات حوكمة من يمكن التفاعل مع هؤلاء الوكلاء وما هي المعلومات أو الأنظمة التي يمكنهم الوصول إليها عند نشر عدة وكلاء الذكاء الاصطناعي عبر الإدارات؟

طريقة مفيدة للتفكير في وكيل الذكاء الاصطناعي هي كتطبيق. المنظمات بالفعل تعرف كيف تحكم التطبيقات: من يملكها، من يمكنه استخدامها، ما هي الأنظمة التي ترتبط بها، ما هي البيانات التي يمكنها الوصول إليها، وكيف يتم استعراض الوصول. نفس الأسئلة تنطبق على الوكلاء.

الفرق هو أن الوكلاء يمكن إنشاؤهم في دقائق بواسطة مستخدمي الأعمال، وليس في أشهر بواسطة فرق تطوير كبيرة و 5% من مسؤولي أمن المعلومات يشعرون بالثقة في khảيتهم احتواء وكيل الذكاء الاصطناعي المخترق. الحوكمة تحتاج إلى أن تكون جزءًا من عملية الإنشاء بحيث يتم إنشاء الملكية والوصول والموافقات والتعيينات والمراجعات الدورية من البداية بدلاً من إضافتها بعد أن يبدأ الوكيل بالفعل.

كيف يمكن للمنظمات التعامل مع تحديات وكلاء الذكاء الاصطناعي التي تزيد من مخاطر Shadow AI؟

وكلاء الذكاء الاصطناعي يزيدون من Shadow AI لأنهم يسهل إنشاؤهم ويمكنهم التفاعل عبر الأنظمة. ذلك لا يعني أن المنظمات يجب أن تحاول إيقاف الناس عن استخدامهم. المكاسب الإنتاجية حقيقية، والشركات سوف تسعى إليها.

الجواب العملي هو الرؤية والحدود الأمنية. المنظمات تحتاج إلى معرفة ما هي الوكلاء الموجودة، ومن يملكها، وما هي المهمة التي تم إنشاؤها من أجلها، وما هي الأنظمة أو البيانات التي يمكنهم الوصول إليها. كل وكيل يجب أن يكون له هوية، وأذونات محددة، ومراقبة مستمرة. العديد من الشركات لا تزال في مراحل تجريبية مبكرة، لذلك لا يزال هناك وقت لإنشاء الحوكمة قبل أن يصل تبني الوكيل إلى حجم أكبر بكثير. ولكن هذا الوقت ينفد بسرعة.

في المستقبل، هل تعتقد أن كل وكيل الذكاء الاصطناعي سيتطلب هوية رقمية و إطار حوكمة و سجل تدقيق مشابه لموظفي الشركة؟

كل وكيل الذكاء الاصطناعي يجب أن يكون له هوية بشكل لا لبس فيه بحيث تعرف المنظمات ما هو، ومن يملكه، وما يمكنه الوصول إليه، وما هو يفعله. الهويات البشرية والهويات غير البشرية، بما في ذلك وكلاء الذكاء الاصطناعي، يجب أن تحكم جميعها من خلال نموذج أمن الهوية الموحد.

المفاهيم مألوفة: المصادقة، والتصريح، والملكية، والتعيينات، وتتبع النشاط، والحوكمة. ما يتغير هو الحجم. قد تنشئ الشركات مئات الوكلاء في الأسبوع، مما يؤدي في النهاية إلى عشرات الآلاف أو حتى ملايين التطبيقات الوكيلية. المستقبل هو تطبيق أساسيات أمن الهوية على كل نوع من الهويات بسرعة وعلى نطاق أكبر. الآن هو الوقت لبدء التنفيذ.

ما هي الأخطاء الأكثر شيوعًا التي ترى المنظمات وهي تطور وكلاء الذكاء الاصطناعي؟

سيكون من الخطأ أن نترك الأمن في هذا العصر للصدفة. المكاسب الإنتاجية المتعلقة بالوكلاء الذكاء الاصطناعي حقيقية، والمنظمات تحتاج إلى التقاطها. أكبر مخاطر هو أن الأمن والحوكمة لا يتبعان ذلك.

على مدى السنوات الـ 12 إلى 24 المقبلة، يجب على القادة التركيز على أساسيات الرؤية والحوكمة: الحفاظ على مخزون من الوكلاء، وتعيين الملكية، و امنح كل وكيل هوية، وافهم ما يمكنه الوصول إليه، واجعل الحوكمة جزءاً من عملية الإنشاء. هذه فرصة لإدماج الأمن منذ البداية في تحول كبير للمنصة، بدلاً من محاولة إضافته لاحقاً. شكراً لكم على هذه المقابلة الرائعة. يمكن للقراء الراغبين في معرفة المزيد زيارة Saviynt.