شانون ماكويليامز، رئيس التوزيع العالمي في Orca Security – سلسلة مقابلات

Shannon McWilliams هو رئيس التوزيع العالمي في Orca Security، حيث يشمل عمله منظومة شركاء الشركة والأدوات التي تدعمها. وقد أسس سابقًا شركة لتطوير البرمجيات، ما أكسبه خبرة في تحويل احتياجات الأعمال إلى تطبيقات. ومؤخرًا، استخدم أدوات تطوير الذكاء الاصطناعي لبناء نسخة أولية من منصة Partner Success Platform التابعة لـ Orca، وعمل مع فريق الأمن لنقل المشروع من نموذج أولي أُنجز في عطلة نهاية أسبوع إلى نظام جاهز للإنتاج.

توفّر Orca Security منصة لأمن السحابة تساعد المؤسسات على اكتشاف الأصول وتحديد المخاطر وترتيب أولوياتها وحماية البيئات السحابية. وتشمل إمكاناتها مجالات عدة، منها الثغرات الأمنية، وسوء الإعداد، والهويات والأذونات، والبيانات الحساسة، وأمن الذكاء الاصطناعي. وفي هذه المقابلة، يناقش ماكويليامز كيف يمكّن الذكاء الاصطناعي مستخدمي الأعمال من بناء البرمجيات، ولماذا تظل التطبيقات العاملة بحاجة إلى تدقيق أمني مستقل، وكيف يمكن للاكتشاف المستمر ومبدأ الحد الأدنى من الامتيازات والإشراف البشري أن تساعد المؤسسات على إدارة هذا النموذج الجديد للتطوير.

انضممت إلى Orca Security رئيسًا للتوزيع العالمي، وخلال بضعة أشهر وجدت نفسك تبني بنفسك منصة جديدة للشركاء باستخدام الذكاء الاصطناعي. ما المشكلة التي كنت تحاول حلها في البداية، ومتى تطور المشروع من تجربة إلى شيء تستطيع Orca استخدامه فعليًا في بيئة الإنتاج؟

عندما انضممت إلى Orca، كان من بين الأمور التي طُلب مني النظر فيها تجربة الشركاء عمومًا. كنا نستخدم منصة تابعة لجهة خارجية، لكنني رأيت فرصة لإنشاء شيء أكثر حداثة وسلاسة لشركائنا. كانت لديّ بعض الخبرة في تطوير التطبيقات، لكنني لم أكن مطورًا بنفسي. وفي وقت سابق من ذلك الصيف، كنت قد عملت على تطبيقات للمستهلكين باستخدام منصة لتوليد التطبيقات تابعة لمزود خارجي، لذلك قررت أن أجرّب ما يمكنني بناؤه بنفسي باستخدام الذكاء الاصطناعي.

تمكنت خلال عطلة نهاية أسبوع من إنشاء نسخة أولية أساسية مما أصبح لاحقًا منصة Partner Success Platform، بميزات تجاوزت ما كنت أراه في بوابات الشركاء التقليدية، ومنها إمكانات مدعومة بالذكاء الاصطناعي مثل مطابقة العملاء المثاليين وتقديم الإرشاد بشأن الصفقات. وأضفنا إلى المنصة تطبيقات أخرى كثيرة، مثل تتبع الشهادات والاختبارات التي ينشئها الذكاء الاصطناعي، وحوّلنا عملية اعتماد الشركاء بأكملها إلى تجربة قائمة على التحفيز، ثم بدأنا بمزامنة البيانات مع منصة Salesforce التابعة لنا. وجاءت نقطة التحول عندما اطّلع رئيسنا التنفيذي على النسخة الأولية وأدرك إمكاناتها. وفي تلك المرحلة أيضًا انتقلنا من التجريب إلى التساؤل عما يتطلبه فعليًا جعل شيء كهذا آمنًا وجاهزًا للإنتاج. وانضم فريق الأمن إلى العمل، وبدأت أتعاون عن كثب مع Dudi Peretz لتأمين البيئة، قبل أن تتولى شركة خارجية التحقق بصورة مستقلة من ذلك العمل.

سبق أن أسست شركة لتطوير البرمجيات، لذا لديك خبرة في أساليب بناء التطبيقات التقليدية. كيف كانت مقارنة بناء البرمجيات باستخدام الذكاء الاصطناعي واللغة الطبيعية بإدارة المطورين، وأين ظلت خبرتك في المجال ذات أهمية أكبر؟

كان الفرق الأكبر هو السرعة. ففي تطوير البرمجيات التقليدي، توجد عادةً خطوات متعددة تفصل بين طرح فكرة وتحويلها إلى متطلبات تقنية، ثم تكليف المطورين ببنائها، وأخيرًا تحسين النتيجة. أما مع الذكاء الاصطناعي، فكان بإمكاني وصف ما أريده، ومشاهدة الفكرة وهي تتبلور، ثم مواصلة تنقيحها على الفور تقريبًا. وتستغرق عملية التحسين دقائق بدلًا من أيام من الاجتماعات مع المطورين لتحديد واجهة المستخدم المطلوبة وجميع عمليات ربط قواعد البيانات اللازمة لإنشاء الوظائف. ومع التطوير بالذكاء الاصطناعي، لا يتطلب ذلك سوى مطالبة من جملتين، لا يومين من الاجتماعات.

لكن ذلك لا يلغي الحاجة إلى الخبرة، بل يغيّر المواضع التي تكتسب فيها هذه الخبرة أهميتها. فالذكاء الاصطناعي قادر على خفض العائق التقني أمام بناء التطبيقات بدرجة كبيرة، لكن الشخص الذي يوجّهه لا يزال بحاجة إلى فهم المشكلة التي يسعى إلى حلها، وشكل التجربة المفيدة، وما ينبغي للتطبيق تحقيقه في نهاية المطاف لصالح الأعمال. وأكثر ما فاجأني هو السرعة التي يمكن بها الانتقال من فكرة إلى شيء عملي. فالمهام، مثل تحليل البيانات، التي كان إنجازها قد يستغرق أسابيع، قد يصبح إنجازها الآن ممكنًا في يوم واحد.

وصفت Orca النسخة العاملة الأولى من منصة الشركاء بأنها شيء بنيته خلال عطلة نهاية أسبوع واحدة. ما الجوانب التي سرّع الذكاء الاصطناعي إنجازها بدرجة كبيرة، وما الجوانب التي ظل إنجازها أصعب مما بدا في البداية عند بناء تطبيق جاهز للإنتاج؟

اختصر الذكاء الاصطناعي كثيرًا المسافة بين الفكرة والتطبيق العامل. فقد تمكنت من بناء وظائف خلال عطلة نهاية أسبوع، وهي وظائف كانت تتطلب تقليديًا عملية تطوير أطول بكثير، كما أمكنني مواصلة إضافة الميزات وتعديلها بسرعة فائقة. هذه السرعة مدهشة ومخيفة بعض الشيء في آن واحد.

لكن الذكاء الاصطناعي لم يُغنِ عن أي من المتطلبات اللازمة لجعل التطبيق آمنًا للاستخدام في بيئة الإنتاج. فبمجرد أن قررنا أن المشروع قد يتحول إلى شيء حقيقي، احتاج فريق الأمن لدينا إلى تقييم البيئة ومعالجة المشكلات الأمنية والتأكد من تأمين التطبيق على النحو المناسب. واستعنا في نهاية المطاف بشركة خارجية لتوفير طبقة أخرى من التحقق. وهكذا، جعل الذكاء الاصطناعي البناء سريعًا للغاية، لكن «كون التطبيق يعمل» و«جاهزيته للعمل بأمان في مؤسسة» يظلان معيارين مختلفين تمامًا.

أشارت أدوات الأمان الخاصة بمنصة تطوير الذكاء الاصطناعي إلى أن التطبيق آمن، لكن مراجعة Orca اللاحقة كشفت عن مشكلات تتعلق بالأذونات والوصول إلى البيانات. ما الذي علمتك إياه هذه التجربة عن مدى الثقة التي ينبغي لمستخدمي الأعمال أن يضعوها في تأكيدات الأمان التي تقدمها منصات تطوير الذكاء الاصطناعي؟

كان ذلك على الأرجح أحد أكبر الدروس التي تعلمتها من التجربة. فقد احتوت المنصة على إمكانات خاصة بها لفحص الأمان، وفرت لي نقطة انطلاق مفيدة أثناء بناء التطبيق. لكن خوض عملية المراجعة مع فريق الأمان لدينا أظهر لي قيمة إضافة مستوى آخر من التدقيق، ولا سيما في مجالات مثل الأذونات والوصول إلى البيانات. وقد رسخ ذلك لديّ أن أدوات الأمان المدمجة جزء مهم من عملية التطوير، لكنها تكون أكثر فاعلية حين تستعين بالسياق الأعمق والخبرة التي يستطيع فريق أمان متخصص تقديمهما.

تكتسب هذه المسألة أهمية خاصة لأن كثيرًا ممن باتوا قادرين على بناء التطبيقات باستخدام الذكاء الاصطناعي ليسوا خبراء في الأمان. فقد لا يعرفون ما الأسئلة التي ينبغي طرحها، أو ما الأذونات الواسعة أكثر من اللازم، أو ما الإعدادات التي قد تكشف البيانات. ولا يمكن أن يكون إخبارك منصة التطوير بأن التطبيق آمن نهاية المطاف. فقبل نشر التطبيق أو ربطه بأنظمة مؤسسية حساسة، لا بد من إخضاعه لمراجعة أمنية شاملة تتجاوز مجرد التحقق من اجتيازه الفحوص التي تجريها المنصة نفسها.

عندما اكتشف فريق الأمان ثغرات، تمكنت غالبًا من إدخال هذه النتائج إلى بيئة تطوير الذكاء الاصطناعي وإنشاء إصلاحات في غضون دقائق. فهل يستطيع الذكاء الاصطناعي أن يغير جذريًا معالجة المشكلات الأمنية، محولًا إياها من دورة تطوير طويلة إلى حوار متواصل بين المطورين وفرق الأمان؟

هذا أحد أكثر الاحتمالات إثارة للحماس. فعندما اكتشف Dudi وفريق الأمان مشكلات، استطعت الاستفادة من ملاحظاتهم وإدخالها مباشرةً إلى بيئة تطوير الذكاء الاصطناعي، لتُنشأ الإصلاحات بسرعة كبيرة. وهذا يتيح إقامة حلقة تغذية راجعة أكثر إحكامًا بين الشخص الذي يبني التطبيق والفريق المسؤول عن تأمينه.

تاريخيًا، كان بناء البرمجيات وإصدارها يستغرقان وقتًا أطول بكثير. أما الآن، فيستطيع المرء إجراء التغييرات ونشرها كل يوم. ولذلك يجب أن تعمل إجراءات الأمان بالسرعة نفسها. وتكمن الفرصة في جعل التقييم الأمني المستمر جزءًا من عملية التطوير، بحيث يمكن اكتشاف المشكلة وإبلاغ المطور بها ومعالجتها ثم إعادة تقييم التطبيق بوتيرة أسرع بكثير.

لكن سرعة معالجة المشكلات لا تعني أن بإمكاننا خفض معايير التحقق. فالذكاء الاصطناعي قادر على إنشاء إصلاح بسرعة، لكن لا يزال على فرق الأمان التحقق من أن الإصلاح عالج المخاطر فعلًا ولم يتسبب في مخاطر أخرى.

تضم منصة نجاح الشركاء الناتجة عن ذلك مساعدين يعملون بالذكاء الاصطناعي، ومعلومات استخباراتية عن مسار المبيعات، وإنشاء الحملات، والتوجيه بشأن الصفقات. كيف حددتم المهام التي ينبغي للذكاء الاصطناعي أن يتولاها مباشرةً، والقرارات التي ينبغي أن تبقى بيد الشريك أو مندوب المبيعات؟

لم يكن هدفي إقصاء العنصر البشري من عمليات الشراكة أو المبيعات، بل الاستفادة من الذكاء الاصطناعي لمساعدة الناس على إنجاز أعمالهم بسرعة أكبر والاستفادة على نحو أفضل من المعلومات المتاحة لهم بالفعل. ويُعد التوجيه بشأن الصفقات مثالًا جيدًا على ذلك: إذ يمكن للذكاء الاصطناعي المساعدة في تحديد سبل دفع فرصة ظلت عالقة في مسار المبيعات إلى الأمام، وتزويد الشخص بمعلومات إضافية أو بخطوة تالية مقترحة.

في رأيي، تكمن أهمية هذا التمييز في قدرة الذكاء الاصطناعي على سحب المعلومات بسرعة من أنظمة متباينة، وتحليل مدى صلتها بالموضوع، ثم عرضها بصيغة تمكّن المستخدم من اتخاذ إجراء بناءً عليها. وينبغي للمنصة أن تعزز فاعلية الشريك أو مندوب المبيعات، مع بقاء الإنسان مسؤولًا عن القرارات التي تتطلب تقديرًا تجاريًا. والهدف هو تقليص الوقت من اكتشاف الصفقة إلى إتمامها بالفوز، من خلال التفاعل مع المنصة.

يتيح الذكاء الاصطناعي لموظفي المبيعات والتسويق والمالية وسائر الأقسام بناء تطبيقاتهم الخاصة من دون اللجوء إلى فرق الهندسة. فما الحد الأدنى من ضوابط الأمان والحوكمة التي ينبغي وضعها قبل السماح لهذه التطبيقات بالاتصال ببيانات العملاء أو الأنظمة الداخلية أو البنية التحتية السحابية؟

المتطلب الأول هو وضوح الرؤية. ينبغي لسياسات المؤسسة أن تشجع هذا النوع من الاستكشاف والابتكار، لكن لا يمكنها تأمين تطبيق لا تعرف بوجوده؛ لذا فإن تشجيع الابتكار يزيد احتمال أن يطرح الموظفون مشاريعهم بدلًا من إبقائها طي الكتمان. بعد ذلك، تحتاج المؤسسات إلى معرفة الهويات والأذونات الممنوحة للتطبيق، والبيانات التي يستطيع الوصول إليها، وأنظمة الجهات الخارجية التي يتواصل معها، وما إذا كانت تلك الصلاحيات ضرورية فعلًا. مهدوا الطريق لازدهار الابتكار، مع وضع عملية تدعم المبتكرين وتلبي متطلبات الأمان.

يكتسب مبدأ الحد الأدنى من الصلاحيات أهمية خاصة. ومن المخاطر التي نراها حصول التطبيقات على صلاحيات أوسع مما تحتاج إليه فعلًا. كما لا يمكن أن يقتصر التحقق الأمني على مرة واحدة قبل الإطلاق. فحين تكون التطبيقات قابلة للتغيير المستمر، تحتاج المؤسسات إلى القدرة على إعادة تقييمها باستمرار أيضًا.

صُممت حوكمة البرمجيات التقليدية لتناسب فرق الهندسة وطلبات دمج التغييرات ودورات الإصدارات وخطوط نشر تخضع لقدر معقول من الضبط. إذا أصبح بإمكان مستخدمي الأعمال الآن تعديل التطبيقات ونشرها باستمرار، فكيف ينبغي أن تتغير دورة حياة تطوير البرمجيات في المؤسسات؟

يكمن التحدي الأساسي في تغيّر وتيرة العمل. تقليديًا، كان بناء البرمجيات وإصدارها يتمان بمرور الوقت عبر عمليات راسخة نسبيًا. أما باستخدام أدوات التطوير المدعومة بالذكاء الاصطناعي، فيمكن لأي شخص إنشاء شيء جديد ونشره كل يوم. ولن تكون عمليات الأمن والحوكمة القائمة على نقاط مراجعة دورية كافية في هذه البيئة.

علينا الانتقال إلى نهج أمني يعمل باستمرار ويواكب دورة التطوير هذه. وهذا يعني اكتشاف ما يجري بناؤه، وفهم طريقة إعداده وربطه، وفحصه كلما طرأت عليه تغييرات، وتزويد المطورين بملاحظات عملية يمكنهم الاستفادة منها بسرعة. لا يمكن أن يكون الحل منع الموظفين من استخدام هذه الأدوات؛ ففرصة تعزيز الإنتاجية أكبر من أن تُفوَّت. ويتمثل التحدي في وضع ضوابط تتيح حدوث هذا الابتكار بأمان.

شبّهتَ انتشار التطبيقات المبنية بالذكاء الاصطناعي بنسخة أشد تعقيدًا من «تقنية المعلومات الظلية». ما الذي يجعل هذا الجيل من البرمجيات الظلية أكثر صعوبة، وكيف يمكن للمؤسسات اكتشاف التطبيقات التي قد لا تعلم فرق الأمن أو تقنية المعلومات بوجودها؟

غالبًا ما تمثلت تقنية المعلومات الظلية التقليدية في اعتماد الموظفين تطبيقات برمجية كخدمة لم توافق عليها إدارة تقنية المعلومات. أما الجديد الآن فهو أن الموظفين يستطيعون إنشاء التطبيقات بأنفسهم، وبسرعة هائلة. إذ يمكن لشخص ما إنشاء تطبيق باستخدام حساب شخصي، ودمجه مع أنظمة تابعة لجهات خارجية، وربما ربطه ببيانات المؤسسة قبل أن تدرك فرق الأمن وجوده أصلًا.

وهذا ما يجعل الأمر صعبًا على نحو خاص: فقد أصبح إنشاء التطبيقات سهلًا إلى درجة أن عددها وسرعة تغيّرها قد يتجاوزان سريعًا قدرة الحوكمة التقليدية على مواكبتهما. ويواجه كبار مسؤولي أمن المعلومات السؤال الأساسي نفسه: كيف تؤمّن شيئًا قد لا تعرف حتى ما إذا كان قد بُني أو كيف أُعِدّ؟

لذلك، يجب أن يصبح الاكتشاف جزءًا أساسيًا من استراتيجية الأمن. ويُعد دعم المبتكرين وتشجيعهم على الاستكشاف، مع مطالبتهم بتسجيل مشاريعهم، وسيلة رائعة لتحقيق ذلك. وتحتاج المؤسسات إلى رؤية واضحة لا تقتصر على الشيفرة البرمجية، بل تشمل أيضًا التطبيقات العاملة في بيئتها، والهويات والأذونات المرتبطة بها، والبيانات التي تصل إليها، والأنظمة الخارجية التي تتواصل معها.

إذا استشرفنا السنوات القليلة المقبلة، فهل تتوقع أن يصبح معظم العاملين في مجال المعرفة شكلًا من أشكال مطوري البرمجيات باستخدام الذكاء الاصطناعي؟ وإذا كان الأمر كذلك، فكيف سيغيّر ذلك أدوار المطورين المحترفين وفرق الأمن وقادة الأعمال داخل المؤسسة؟

نتجه نحو عالم يتسع فيه كثيرًا مفهوم «مطور البرمجيات». فالذكاء الاصطناعي يتيح لأشخاص يفهمون مشكلةً في مجال الأعمال، لكنهم ليسوا مطورين تقليديين، تحويل فكرة إلى تطبيق عملي بسرعة هائلة. وقد اختبرت ذلك بنفسي.

لا أعتقد أن ذلك يقلل من أهمية المطورين المحترفين أو فرق الأمن، بل يغيّر المجالات التي تحتاج إلى خبراتهم. فأصبح بإمكان مستخدمي الأعمال، على نحو متزايد، بناء الحلول بأنفسهم، فيما يستطيع المطورون التركيز على مشكلات تقنية أكثر تعقيدًا، ويتعين على فرق الأمن توفير الرؤية والضوابط اللازمة لتمكين هذا الجيل الجديد من المطورين من الابتكار بأمان. كما يأخذ دعم التطبيقات وصيانتها منظورًا جديدًا. فـ«المطورون» ليسوا دائمًا أفضل من يتولى «الصيانة». فهم يأتون بالرؤية ويعرفون حاجة العمل، لكن دعم التطبيق على المدى الطويل يظل مهمة تناسب مؤسسات تقنية المعلومات والتطبيقات أكثر. أما قادة الأعمال، فيتيح لهم ذلك فرصًا هائلة، لكنه يحمّلهم أيضًا مسؤوليات جديدة. فإذا كان بإمكان فرقكم إنشاء البرمجيات، فعليكم التفكير في مخاطرها بوصفها جزءًا من الأعمال، لا أمرًا يخص فرق الهندسة فحسب.

شكرًا على هذه المقابلة الرائعة. ويمكن للقراء الراغبين في معرفة المزيد عن الأمن السحابي والتطبيقات المبنية بالذكاء الاصطناعي وتأمين بيئات المؤسسات زيارة Orca Security.