كيفن بيج، كبير مسؤولي أمن المعلومات في شركة ConductorOne – سلسلة مقابلات

كيفن بيجبايج، كبير مسؤولي أمن المعلومات في شركة ConductorOne، هو خبير مخضرم في مجال الأمن السيبراني، يتمتع بخبرة تزيد عن ثلاثة عقود في قطاعات الحكومة، وتكنولوجيا المؤسسات، والشركات الناشئة سريعة النمو. يتخذ بايج من منطقة خليج سان فرانسيسكو مقرًا له، حيث يقود استراتيجية أمن الهوية للشركة، ويقدم الاستشارات للمؤسسات بشأن أمن وحوكمة القوى العاملة الحديثة. شغل بايج سابقًا منصب كبير مسؤولي أمن المعلومات في شركات Uptycs وFlexport وMuleSoft، حيث ساهم في بناء وتوسيع برامج الأمن خلال فترات النمو السريع. وفي بداية مسيرته المهنية، شغل مناصب قيادية في مجال الأمن والبنية التحتية في شركتي Salesforce وxMatters، كما خدم في كل من الجيش الأمريكي والقوات الجوية الأمريكية. وإلى جانب أدواره التشغيلية، يُعد بايج ناشطًا في بيئة الشركات الناشئة في مجال الأمن السيبراني كمستشار ومستثمر.

موصل واحد تُطوّر هذه المنصة نظامًا لإدارة الهوية والوصول مُصممًا خصيصًا للبيئات السحابية والهجينة الحديثة. توفر تقنيتها رؤية موحدة للهويات والصلاحيات عبر التطبيقات والبنية التحتية والأنظمة المحلية، مما يُمكّن المؤسسات من أتمتة مراجعات الوصول، وتطبيق مبدأ أقل الامتيازات، والحد من المخاطر الأمنية المرتبطة بالهوية. ومن خلال دمج تحليلات الهوية مع سير العمل الآلي، تُساعد المنصة فرق الأمن على إدارة الوصول على نطاق واسع مع تحسين الامتثال والكفاءة التشغيلية.

لقد حظيتَ بمسيرة مهنية طويلة شملت العمليات السيبرانية العسكرية في القوات الجوية الأمريكية، ومناصب قيادية في مجال أمن المؤسسات في شركات مثل MuleSoft وFlexport وSalesforce، وتشغل حاليًا منصب كبير مسؤولي أمن المعلومات في ConductorOne. كيف تطورت نظرتك لأمن الهوية عبر هذه الأدوار، ولماذا تعتقد أن الهوية أصبحت إحدى أهم ساحات المعارك في الأمن السيبراني الحديث؟

في القوات الجوية، كان تحديد الهوية أبسط بكثير - مستوى التصريح الأمني، والحاجة إلى المعرفة، وكل شيء محمي بجدران الحماية، وانتهى الأمر. أما في شركة MuleSoft، فقد أصبح الأمر متعلقًا بالتوسع - توفير الوصول لآلاف المستخدمين عبر مئات تطبيقات SaaS دون إحداث ثغرات. وفي شركة Flexport، اختفى مفهوم المحيط الأمني ​​تمامًا، وأصبحت الهوية هي عنصر التحكم الوحيد الذي يعمل بغض النظر عن مكان وجود المستخدم.

يشهد مفهوم الهوية في ConductorOne تحولاً جذرياً. لم يعد الأمر مقتصراً على الأفراد فحسب، بل يشمل أيضاً الآلات، وواجهات برمجة التطبيقات، وحسابات الخدمات، ووكلاء الذكاء الاصطناعي الذين يعملون بشكل مستقل. صُممت الأدوات التي تستخدمها معظم المؤسسات لعالم لم يعد موجوداً.

تُعدّ الهوية ساحة المعركة الحاسمة لأنها تمسّ كل شيء. حتى لو امتلكت أفضل أنظمة أمان نقاط النهاية وتقسيم الشبكة في العالم، فإذا كان هناك وصول غير مصرح به، فلن يُجدي ذلك نفعاً.

أظهر تقريركم القادم حول مستقبل الهوية أن 95% من المؤسسات تُشير إلى أن أنظمة الذكاء الاصطناعي تُؤدي بالفعل مهامًا مستقلة في مجال تكنولوجيا المعلومات أو الأمن السيبراني. ما هي أنواع المهام التي تُنفذها هذه الأنظمة حاليًا، وما مدى سرعة توقعكم لزيادة مستوى استقلاليتها؟

ما أثار دهشتي ليس مدى انتشار هذه التقنية، بل سرعتها. ففي العام الماضي، خطط 96% من المستخدمين لنشر برامجهم، أما هذا العام فقد فعل 95% منهم ذلك بالفعل. هذا ليس نموًا تدريجيًا، بل هو تجاوزٌ لعتبةٍ حاسمة.

يتولى الموظفون إدارة سير عمل مكتب المساعدة، وفرز التنبيهات، ومراجعة صلاحيات الوصول، وتوفيرها، وفي بعض الحالات، المعالجة الآلية. لكن ما يغفل عنه الكثيرون هو أن 64% من المؤسسات تسمح للموظفين بالعمل بشكل مستقل مع مراجعة لاحقة فقط. يقوم الموظف بالتنفيذ أولاً، ثم يقوم موظف بشري بالتحقق لاحقاً - إن تم التحقق أصلاً.

سيُصبح الموظفون الذين يقومون بمهام الدعم الفني اليوم مسؤولين عن اتخاذ قرارات أمنية خلال 12 شهرًا. السؤال ليس ما إذا كانت الاستقلالية ستزداد، بل ما إذا كانت الحوكمة ستواكب هذا التطور. في الوقت الراهن، لا يحدث ذلك.

يسلط التقرير الضوء على تزايد استخدام الهويات غير البشرية، بما في ذلك واجهات برمجة التطبيقات (APIs) وبرامج الروبوت ووكلاء الذكاء الاصطناعي. لماذا تنمو هذه الهويات الآلية بهذه السرعة، ولماذا لا تزال العديد من المؤسسات تكافح لإدارتها بفعالية؟

ثلاثة عوامل متداخلة. يعني تبني الحوسبة السحابية والبرمجيات كخدمة (SaaS) أن كل عملية تكامل تحتاج إلى هوية خاصة بها. وتُنشئ منهجية DevOps هويات آلية على نطاق واسع - لكل مسار عمل، وحاوية، وخدمة مصغرة. وتُضيف وكلاء الذكاء الاصطناعي فئة جديدة تمامًا لا تقتصر وظيفتها على امتلاك صلاحيات الوصول فحسب، بل تستخدمها أيضًا لاتخاذ القرارات.

تواجه المؤسسات صعوبات لأن الأدوات لم تُصمم لهذا الغرض. يفترض نظام إدارة الهوية والوصول التقليدي وجود شخص يسجل الدخول والخروج. تعمل الهويات غير البشرية باستمرار، ولا تستجيب للمصادقة متعددة العوامل، وغالبًا ما تمتلك بيانات اعتماد دائمة، وتراكم الصلاحيات لأن لا أحد يراجع صلاحياتها كما يراجع صلاحيات المستخدم البشري.

هناك أيضًا مشكلة تتعلق بالملكية. فعندما يُنشئ مطور حساب خدمة وينقله بين الفرق، من يملكه؟ غالبًا لا أحد. تُظهر أبحاث القطاع أن 97% من حسابات الخدمات الصحية الوطنية (NHIs) تتمتع بصلاحيات مفرطة. هذه ليست مشكلة في الأدوات، بل هي فجوة في الحوكمة.

يقول ما يقرب من نصف الشركات إن عدد الهويات غير البشرية يفوق الآن عدد المستخدمين البشريين، ومع ذلك، فإن نسبة ضئيلة فقط من المؤسسات لديها رؤية كاملة لما يمكن لهذه الهويات الوصول إليه. ما هي المخاطر التي تنشأ عندما تفقد المؤسسات القدرة على رؤية هذه الهويات الآلية؟

ثلاث طبقات. أولاً، بيانات الاعتماد المخترقة. غالبًا ما تستخدم أنظمة المعلومات الصحية الوطنية مفاتيح واجهة برمجة تطبيقات طويلة الأمد أو رموزًا ثابتة لا تتغير. يمتلك المهاجم الذي يمتلك أحد هذه المفاتيح وصولاً دائمًا لا يُثير نفس الإنذارات التي يُثيرها اختراق حساب بشري.

ثانيًا، تراكم الصلاحيات. تكتسب عمليات التكامل التي بدأت بصلاحية القراءة صلاحية الكتابة دون علم المستخدم. ولا أحد يزيل الصلاحيات القديمة لأن لا أحد يراجع هويات الأجهزة.

ثالثًا - وهذا ما يتضح بسرعة - تُضاعف أنظمة الذكاء الاصطناعي كلا هذين الخطرين. فوجود حساب خدمة مخترق يتمتع بصلاحية قراءة قاعدة البيانات أمرٌ سيء. أما وجود نظام ذكاء اصطناعي يتمتع بنفس الصلاحية، وقادر على تلخيص ما يقرأه ومشاركته والتصرف بناءً عليه بشكل مستقل، فهو أسوأ بكثير.

أظهر تقريرنا أن مستوى وضوح نظام التأمين الصحي الوطني يتراجع فعلياً، من 30% إلى 22% على أساس سنوي. وتكتشف المؤسسات المشكلة أسرع من قدرتها على حلها.

ترى العديد من الشركات الذكاء الاصطناعي كعامل معزز للإنتاجية، لكن بحثكم يشير إلى أنه قد يُوسّع نطاق الهجمات الإلكترونية دون أن يشعر. كيف يُؤدي استخدام أدوات ووكلاء الذكاء الاصطناعي إلى ظهور مخاطر أمنية جديدة متعلقة بالهوية؟

يتمثل الخطر المباشر الأكبر في منح صلاحيات زائدة عن غير قصد. تقوم الفرق بنشر وكيل ذكاء اصطناعي لسير عمل واحد، لكنها تمنحه صلاحيات أوسع من اللازم لأن تحديد نطاق الصلاحيات للأجهزة أصعب من تحديدها للبشر. لا يقتصر عمل الوكيل على الاطلاع على تذاكر الدعم فحسب، بل يطلع على قاعدة بيانات العملاء بأكملها.

ثمّة ما يُعرف بالحقن المُوجَّه. إذ يُمكن التلاعب بالبرامج التي تُعالج المدخلات الخارجية لحملها على اتخاذ إجراءات غير مقصودة. فإذا كان لدى البرنامج صلاحيات وصول واسعة، فإنّ رسالة مُصمَّمة خصيصًا تُحوِّل مساعدًا مُفيدًا إلى أداة لتسريب البيانات.

ثالثًا، الذكاء الاصطناعي الخفي. تشير تقارير غارتنر إلى أن أكثر من 50% من استخدام الذكاء الاصطناعي في المؤسسات يتم دون ترخيص. كل اتصال غير مصرح به يُنشئ هويات جديدة ونقاط ضعف أمنية لا يستطيع فريق الأمن رصدها.

لقد رأيت ذلك بنفسي – منح أحدهم عميلاً صلاحية الوصول إلى الأنظمة الداخلية، وفي غضون أيام، حثّه أحدهم على كشف تفاصيل رواتب الرئيس التنفيذي وجدول إجازاته. لقد عمل العميل كما هو مصمم له. كان الخلل في نموذج الوصول.

لطالما ركزت إدارة الهوية والوصول على تسجيل دخول الموظفين إلى الأنظمة. كيف يجب أن تتطور حوكمة الهوية الآن مع تزايد تفاعل برامج التشغيل المستقلة مع البنية التحتية واتخاذها للقرارات؟

يتمثل التحول الجذري في الانتقال من الدورية إلى المستمرة. تعتمد الحوكمة التقليدية على مراجعات ربع سنوية وإعادة اعتماد سنوية. أما أنظمة الذكاء الاصطناعي، فتعمل على مدار الساعة، وتتخذ آلاف القرارات بين دورات المراجعة، ويمكنها تغيير سلوكها بناءً على تحديث النموذج. وبحلول الوقت الذي تكشف فيه مراجعة ربع سنوية عن نظام يتمتع بصلاحيات مفرطة، يكون الضرر قد وقع بالفعل.

ثلاثة أمور يجب تغييرها. يجب أن تكون الحوكمة مستمرة - أي تقييم الوصول في الوقت الفعلي، وليس وفق جدول زمني محدد. يجب أن تكون قائمة على السياسات لا على الأدوار - أي سياسات ديناميكية محددة النطاق لمهام معينة، لا تعيينات أدوار ثابتة. ويجب أن تكون قابلة للتدقيق بالكامل - أي تسجيل كل إجراء يقوم به المستخدم وتتبعه إلى من قام بتفويضه.

يجب أن تعمل إدارة الهوية بسرعة فائقة لكي تتمكن من إدارة الجهات الفاعلة التي تعمل بنفس السرعة. ويكمن الخطر في هذا التباين.

تصف ConductorOne منصتها بأنها تساعد المؤسسات على تأمين هويات البشر والآلات معًا. من الناحية التقنية، ما التغييرات المطلوبة في بنية الهوية التحتية لتأمين وكلاء الذكاء الاصطناعي العاملين داخل بيئات المؤسسات بشكل صحيح؟

يتمثل التغيير الأكبر في التوحيد. تدير معظم المؤسسات هويات المستخدمين من خلال مزودي الهوية، وهويات الأجهزة من خلال مجموعة من برامج إدارة البيانات السرية والعمليات اليدوية. تقع أنظمة الذكاء الاصطناعي في الفجوة بين هذين العالمين.

ثلاثة أمور ضرورية. أولًا، يحتاج كل وكيل ذكاء اصطناعي إلى هوية مستقلة تمامًا - ليست حساب خدمة مشتركًا، ولا بيانات اعتماد مطور، بل هوية مخصصة لها دورة حياة وسجل تدقيق خاص بها. ثانيًا، تحتاج هذه الهويات إلى وصول فوري ودقيق - أي الحد الأدنى من الصلاحيات اللازمة لمهمة محددة، ويتم إلغاؤها عند إنجاز المهمة. ثالثًا، تحتاج المؤسسات إلى مراقبة مستمرة لما يفعله الوكلاء فعليًا باستخدام صلاحياتهم، وليس فقط ما هو مسموح لهم بفعله.

في ConductorOne، ندير هويات البشر وغير البشر من خلال منصة تحكم مركزية واحدة. هذا هو التوجه السائد في هذا المجال، حيث يستخدم 45% من الشركات بالفعل أدوات إدارة الهوية والوصول (IAM) لإدارة المعلومات الصحية غير البشرية، بينما يخطط 45% آخرون للقيام بذلك خلال 12 شهرًا. لقد ولّى زمن إدارة هويات البشر فقط.

تحاول بعض المؤسسات إدارة مخاطر الذكاء الاصطناعي عن طريق تقييد أو حظر أدواته بشكل كامل. بناءً على ما تلاحظه في مختلف المؤسسات، هل هذا النهج واقعي، أم أنه ببساطة يدفع استخدام الذكاء الاصطناعي إلى بيئات غير مُدارة وأقل وضوحًا؟

يدفع ذلك إلى التستر. في كل مرة. لقد رأيت هذا مع كل موجة تكنولوجية - سياسة إحضار الأجهزة الشخصية، والحوسبة السحابية، والبرمجيات كخدمة. عندما يقول الأمن لا، لا يتوقف الناس. إنهم ببساطة يتوقفون عن إبلاغ الأمن.

تشير تقارير غارتنر إلى أن الذكاء الاصطناعي غير الرسمي يمثل أكثر من 50% من استخدام الذكاء الاصطناعي في المؤسسات. إن حظر الذكاء الاصطناعي لا يقضي على المخاطر، بل يقضي على الشفافية. ولا يمكن تأمين ما لا يُرى.

النهج الأمثل: اجعل المسار الآمن هو المسار الأسهل. إذا كان تبني الذكاء الاصطناعي الخاضع للحوكمة سريعًا وبسيطًا، فسيستخدمه الناس. أما إذا استغرق الأمر ستة أسابيع للموافقة عليه، فسيقومون بإنشاء حساب شخصي خلال استراحة الغداء.

إن حظر الذكاء الاصطناعي في عام 2026 يشبه حظر الحوسبة السحابية في عام 2016. أنت لا تمنع المخاطر، بل تضمن أنك لن تراها قادمة.

مع ازدياد استقلالية أنظمة الذكاء الاصطناعي، تتلاشى الحدود الفاصلة بين الأتمتة والسلطة. كيف ينبغي للمؤسسات أن تفكر في الحوكمة والموافقات والرقابة عندما تكون أنظمة الذكاء الاصطناعي قادرة على اتخاذ إجراءات تشغيلية؟

فكّر في التفويض، لا في الأتمتة. عندما تفوّض لشخص ما، فإنك تحدد نطاق العمل، وتحاسبه، وتراجع عمله. وينطبق الإطار نفسه على الوكلاء.

هذا يعني استقلالية متدرجة. المهام منخفضة المخاطر والمتكررة - مثل إعادة تعيين كلمات المرور وتوجيه التذاكر - تُنفذ تلقائيًا مع تسجيل البيانات. أما الإجراءات متوسطة المخاطر - مثل تغييرات إعدادات الأمان، ومنح صلاحيات وصول موسعة - فتتطلب موافقة بشرية أو إشعارًا فوريًا. بينما تتطلب الإجراءات عالية المخاطر - مثل البيانات الحساسة، ومنح صلاحيات وصول مميزة، وإجراء تغييرات لا رجعة فيها - تفويضًا صريحًا قبل أن يتصرف النظام.

يحتاج كل وكيل أيضاً إلى مالك بشري مسؤول عن أفعاله. فبدون هذه السلسلة، يعمل الوكلاء في فراغ إداري حيث لا أحد يتحمل مسؤولية العواقب.

أظهر تقريرنا أن 19% فقط من المؤسسات تطبق سياسات إنفاذ مستمرة على الوكلاء. وهذا يعني أن 81% تعتمد على صلاحيات ثابتة وأمل. هذه ليست حوكمة.

بالنظر إلى المستقبل، ما هي أهم الخطوات التي يجب على قادة الأمن اتخاذها خلال الـ 12-24 شهرًا القادمة لإعداد أطر الهوية والوصول الخاصة بهم لعالم تعمل فيه وكلاء الذكاء الاصطناعي كهويات رقمية كاملة داخل المؤسسة؟

خمس أولويات.

أولاً، احرص على الشفافية. فمعظم المؤسسات لا تعرف عدد الهويات غير البشرية التي تمتلكها. لا يمكنك إدارة ما لا تراه.

ثانيًا، تعامل مع كل وكيل ذكاء اصطناعي كما لو كان مستخدمًا. هوية مخصصة، صلاحيات محددة النطاق، تدوير بيانات الاعتماد، مراجعات الوصول. إذا كنت لا تمنح مديرًا بشريًا صلاحيات الوصول الكاملة، فلا تمنحها لوكيل.

ثالثًا، الانتقال من الحوكمة الدورية إلى الحوكمة المستمرة. لا تستطيع المراجعات ربع السنوية مواكبة الجهات الفاعلة التي تغير سلوكها في ثوانٍ.

رابعاً، قم ببناء إطار عمل سياستك الآن - قبل أن يصبح لديك مئات من الوكلاء. حدد حدود الاستقلالية ومتطلبات الموافقة والملكية بينما لا يزال الأمر قابلاً للإدارة.

خامساً، توحيد الحوكمة عبر الهويات البشرية وغير البشرية. الأنظمة المنفصلة تخلق فجوات.

لن تكون المؤسسات التي نشرت أكبر قدر من الذكاء الاصطناعي هي الفائزة، بل ستكون تلك التي بنت أنظمة إدارة هوية قادرة على العمل بسرعة الآلة.

شكرا لك على المقابلة الرائعة ، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا موصل واحد.