كيفين بايج، مسؤول أمن المعلومات في ConductorOne – سلسلة المقابلات

كيفين بايج، مسؤول أمن المعلومات في ConductorOne، هو مسؤول أمن سيبراني متمرس مع أكثر من ثلاثة عقود من الخبرة التي تشمل الحكومة والتقنية والشركات الناشئة التي تعرف نمواً سريعاً. ومقر في منطقة خليج سان فرانسيسكو، يقود استراتيجية أمن الهوية للشركة بينما يشارك المنظمات في أمن القوى العاملة الحديث وتحكمه. وكان بايج قد شغل منصب مسؤول أمن المعلومات في Uptycs وFlexport وMuleSoft، حيث ساعد في بناء وتنمية برامج الأمن خلال فترات النمو السريع. وفي وقت سابق من مسيرته المهنية، شغل مناصب قيادية في الأمن والبنية التحتية في Salesforce (CRM ) وxMatters، وخدم في كل من الجيش الأمريكي والقوات الجوية الأمريكية. بالإضافة إلى أدوار التشغيل، فهو نشط في hệ thống بدء التشغيل الأمني السيبراني كمسؤول مستشار ومستثمر.

ConductorOne تطوير منصة حوكمة الهوية وإدارة الوصول مصممة للبيئات السحابية والهجينة الحديثة. توفر تقنيتها رؤية موحدة للهويات والصلاحيات عبر التطبيقات والبنية التحتية والأنظمة الموجودة، مما يمكّن المنظمات من تلقيم مراجعات الوصول تلقائياً وفرض الوصول الأقل امتيازاً وتقليل المخاطر الأمنية القائمة على الهوية. من خلال الجمع بين تحليلات الهوية والعمليات الآلية، تساعد المنصة فرق الأمن على إدارة الوصول بمقياس بينما تحسن الامتثال والكفاءة التشغيلية.

لقد عملت في مسيرة طويلة تشمل العمليات السيبرانية العسكرية في القوات الجوية الأمريكية، وأدوار قيادية في أمن الشركات في شركات مثل MuleSoft وFlexport وSalesforce، والآن تخدم كمسؤول أمن المعلومات في ConductorOne. كيف تغيرت وجهة نظرك حول أمن الهوية عبر هذه الأدوار، ولماذا تعتقد أن الهوية أصبحت واحدة من أكثر ميادين القتال حرجة في أمن السيبراني الحديث؟

في القوات الجوية، كانت الهوية بسيطة جداً – مستوى التصريح، الحاجة إلى المعرفة، كل شيء خلف جدران الحماية، انتهى. في MuleSoft، أصبحت مسألة النطاق – توفير آلاف المستخدمين عبر مئات التطبيقات السحابية دون خلق فجوات. في Flexport، اختفت الحدود تماماً والهوية كانت السيطرة الوحيدة التي لا تزال تعمل بغض النظر عن مكان وجود شخص ما.

الآن في ConductorOne، الهوية تخضع لأكثر تحولها الأساسي. لم يعد الأمر فقط حول الأشخاص – بل حول الآلات والواجهات البرمجية ووكلاء الخدمات ووكلاء الذكاء الاصطناعي الذين يعملون بشكل مستقل. الأدوات التي تستخدمها معظم المنظمات تم تصميمها لعالم لا وجود له بعد.

الهوية هي ساحة القتال الحاسمة لأنها تلمس كل شيء. يمكنك أن يكون لديك أفضل أمان النقاط النهائية وتنسيق الشبكة في العالم – إذا كان شيء ما له الوصول الخاطئ، لا يهم ذلك.

وجد تقرير مستقبل الهوية القادم أن 95٪ من الشركات تقول إن وكلاء الذكاء الاصطناعي يقومون بالفعل بمهمات تكنولوجيا المعلومات أو الأمن بشكل مستقل. ما هي المهام التي يقوم بها هؤلاء الوكلاء في الواقع اليوم، وكيف تتوقع أن يزيد مستوى استقلاليتهم بسرعة؟

ما الذي فاجأني لم يكن التبني – بل السرعة. العام الماضي 96٪ خططوا لتنفيذ وكلاء. هذا العام 95٪ لديهم بالفعل. هذا ليس منحنى تدريجي. هذا هو عبور العتبة.

الوكلاء يتعاملون مع عمليات الدعم الفني وفرز التنبيهات ومراجعة الوصول وتوفير الوصول وفي بعض الحالات التصحيح التلقائي. الجزء الذي يغفل عنه معظم الناس: 64٪ من المنظمات تسمح بالفعل للوكلاء بالعمل بشكل مستقل مع المراجعة بعد العمل فقط. الوكيل يعمل أولاً، ثم يتحقق الإنسان لاحقاً – إذا كان يتحقق على الإطلاق.

الوكلاء الذين يقومون بمهام الدعم الفني اليوم سوف يتخذون قرارات أمنية في غضون 12 شهراً. السؤال ليس ما إذا كان الاستقلال يزيد – بل ما إذا كان الحوكمة تظل متقدمة. الآن، لا يزال.

يبرز التقرير زيادة الهويات غير البشرية – بما في ذلك واجهات برمجة التطبيقات والrobots ووكلاء الذكاء الاصطناعي. لماذا تنتشر هذه الهويات الآلية بسرعة، ولماذا ما زالت العديد من المنظمات تعاني من صعوبة في إدارتها بشكل فعال؟

ثلاثة قوى متقاربة. اعتماد السحابة والتطبيقات السحابية يعني أن كل تكامل يحتاج إلى هويته الخاصة. DevOps يولد هويات آلة بمقياس كبير – كل خط أنابيب و حاوية وميكروسيرفس. ووكلاء الذكاء الاصطناعي يضيفون فئة جديدة تماماً لا تحتفظ فقط بالوصول ولكن تستخدمه لاتخاذ القرارات.

المنظمات تعاني لأن الأدوات لم تكن مصممة لهذا. نظام إدارة الهوية التقليدية يفترض شخصاً يسجل الدخول ويخرج. الهويات غير البشرية تعمل بشكل مستمر، لا تستجيب للمصادقة المتعددة، غالباً ما يكون لها أذونات دائمة، وتراكم الامتيازات لأن لا أحد يراجع الوصول لها مثل ما يفعل للهوية البشرية.

هناك أيضاً مشكلة ملكية. عندما يخلق المطور حساب خدمة وينتقل إلى فريق آخر، من يملكه؟ غالباً لا أحد. يظهر البحث في الصناعة أن 97٪ من الهويات غير البشرية لها امتيازات زائدة. هذا ليس مشكلة أداة – بل فجوة حوكمة.

يقول تقريرك أن حوالي نصف الشركات تقول إن الهويات غير البشرية تتجاوز الآن عدد المستخدمين البشر، ومع ذلك فإن نسبة صغيرة فقط من الشركات لديها رؤية كاملة لما يمكن لهذه الهويات الوصول إليه. ما هي المخاطر التي ت出现 عندما تفقد المنظمات الرؤية للهويات الآلية؟

ثلاث طبقات. الأولى، بيانات اعتماد مخترقة. الهويات غير البشرية غالباً ما تستخدم مفاتيح واجهة برمجة التطبيقات أو رموز ثابتة لا تتم دورة دورانها. مهاجم يمتلك واحدة من هذه المفاتيح له الوصول الدائم الذي لا يثير نفس الإنذارات مثل حساب بشري مخترق.

الطبقة الثانية، تراكم الامتيازات. التكاملات التي بدأت بالوصول للقراءة تكتسب بصمت الوصول للكتابة. لا أحد يزيل الأذونات القديمة لأن لا أحد يراجع الهويات الآلية.

الطبقة الثالثة – وهذه تظهر بسرعة – وكلاء الذكاء الاصطناعي يزيدون من مخاطر كلتا الطبقتين. حساب خدمة مخترق مع وصول قاعدة بيانات للقراءة سيئ. وكيل ذكاء اصطناعي مع نفس الوصول يمكنه العمل بشكل مستقل على ما يقرأه هو أسوأ بشكل كبير.

وجد تقريرنا أن رؤية الهوية غير البشرية تقل في الواقع – من 30٪ إلى 22٪ سنوياً. المنظمات تكتشف المشكلة أسرع مما يمكنها حلها.

ترى العديد من الشركات الذكاء الاصطناعي كعامل مساعد لزيادة الإنتاجية، ولكن بحثك يشير إلى أنه يمكن أن يوسع أيضاً سطح الهجوم. كيف يخلق اعتماد أدوات الذكاء الاصطناعي ووكلاءه مخاطر أمنية جديدة متعلقة بالهوية؟

أعظم خطر فوري هو الإذن المفرط بالخطأ. الفرق ي نشر وكلاء آليين لتدفق عمل معين لكنه يمنحهم وصولاً أوسع مما هو مطلوب لأن تحديد أذونات الآلات أكثر صعوبة من تحديد أذونات البشر. الوكيل لا يرى فقط تذاكر الدعم – بل يرى قاعدة بيانات العملاء بأكملها.

ثم هناك حقن البرمجة. الوكلاء الذين يعملون على المدخلات الخارجية يمكن أن يتم التلاعب بهم لاتخاذ إجراءات غير مقصودة. إذا كان للوكيل وصول واسع، فإن البرمجة المصممة تتحول من مساعد مفيد إلى أداة لتصريف البيانات.

ثالثاً، هناك ظل الذكاء الاصطناعي. تقارير غارتنر أن أكثر من 50٪ من استخدام الذكاء الاصطناعي في الشركات هو غير مصرح به. كل اتصال غير مصرح به يخلق هويات وجهاً سطح الهجوم الجديد الذي لا يمكن لفريق الأمن رؤيته.

لقد رأيت ذلك بنفسي – شخص ما منح وكيل وصولاً إلى الأنظمة الداخلية، وفي غضون أيام، شخص ما حثه على الكشف عن جدول رحلات الرئيس التنفيذي ومكافأته. الوكيل عمل كما تم تصميمه. الفشل كان نموذج الوصول.

كيف يجب على المنظمات التفكير في الحوكمة والموافقة والرقابة عندما يصبح وكلاء الذكاء الاصطناعي قادرون على اتخاذ إجراءات تشغيلية؟

فكر في تفويض، لا تلقيم. عندما تفوض إلى شخص، تحدد النطاق وتحملونه مسؤولاً وتراجع عمله. نفس الإطار يطبق على الوكلاء.

ذلك يعني استقلالية متدرجة. مهام منخفضة الخطورة ومتكررة – إعادة تعيين كلمات المرور وتنسيق التذاكر – تعمل بشكل مستقل مع تسجيل. إجراءات متوسطة الخطورة – تغييرات تكوين الأمان وصول مرفع – تتطلب موافقة بشرية أو إشعار في الوقت الفعلي. إجراءات عالية الخطورة – بيانات حساسة وصول متميز و تغييرات لا يمكن逆ها – تتطلب تفويض صريح قبل أن يعمل الوكيل.

كل وكيل يحتاج أيضاً إلى مالك بشري مسؤول عما يفعله. بدون هذه السلسلة، يعمل الوكلاء في فراغ حوكمة حيث لا أحد يرد على العواقب.

وجد تقريرنا أن فقط 19٪ لديهم تنفيذ سياسة مستمرة لمراقبة الوكلاء. ذلك يعني أن 81٪ يعتمدون على أذونات ساكنة وأمل. ذلك ليس حوكمة.

نظرًا إلى المستقبل، ما هي أهم الخطوات التي يجب على قادة الأمن اتخاذها خلال الـ 12-24 شهرًا القادمة لتحضير إطارات الهوية والوصول ل世界 حيث يعمل وكلاء الذكاء الاصطناعي كهويات رقمية كاملة داخل المؤسسة؟

خمس أولويات.

أولاً، احصل على الرؤية. معظم المنظمات لا تعرف كم عدد الهويات غير البشرية التي لديها. لا يمكنك حوكمة ما لا ترى.

ثانياً، عامل كل وكيل آلي كالمستخدم. هوية مخصصة، صلاحيات محددة، دورة دوران بيانات اعتماد، مراجعة وصول. إذا كنت لا تمنح حساب بشري وصولاً دائماً إلى كل شيء، لا تمنح ذلك للوكيل.

ثالثاً، انتقل من الحوكمة الدورية إلى الحوكمة المستمرة. المراجعات الربع سنوية لا يمكنها مواكبة الوكلاء الذين يغيرون سلوكهم في ثوان.

رابعاً، بناء إطار سياسة الآن – قبل أن يكون لديك مئات من الوكلاء. حدد حدود الاستقلالية ومتطلبات الموافقة والملكية بينما لا يزال من الممكن إدارته.

خامساً، وحد الحوكمة عبر الهويات البشرية وغير البشرية. أنظمة منفصلة تخلق فجوات.

المنتصرون لن يكونوا المنظمات التي نشرت أكثر وكلاء الذكاء الاصطناعي. سيكونون أولئك الذين بنوا حوكمة الهوية قادرة على العمل بسرعة الآلة.

شكراً على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يمكنهم زيارة ConductorOne.