Shannon McWilliams, vedoucí globální distribuce ve společnosti Orca Security – série rozhovorů

Shannon McWilliams je vedoucím globální distribuce ve společnosti Orca Security, kde se věnuje partnerskému ekosystému společnosti a nástrojům, které jej podporují. Dříve založil softwarovou vývojářskou společnost, takže má zkušenosti s převáděním obchodních potřeb do podoby aplikací. V poslední době využil nástroje pro vývoj s umělou inteligencí k vytvoření rané verze platformy Orca Partner Success Platform a ve spolupráci s bezpečnostním týmem posunul projekt od víkendového prototypu směrem k systému připravenému pro produkční provoz.

Orca Security nabízí cloudovou bezpečnostní platformu, která organizacím pomáhá vyhledávat prostředky, identifikovat rizika a určovat jejich priority a chránit cloudová prostředí. Její funkce zahrnují oblasti, jako jsou zranitelnosti, nesprávná nastavení, identity a oprávnění, citlivá data a zabezpečení umělé inteligence. V tomto rozhovoru McWilliams hovoří o tom, jak umělá inteligence umožňuje pracovníkům z obchodních týmů vytvářet software, proč je třeba nezávisle prověřovat zabezpečení i fungujících aplikací a jak mohou podniky tento nový model vývoje zvládat díky průběžnému vyhledávání, principu nejnižších oprávnění a lidskému dohledu.

Nastoupil jste do Orca Security jako vedoucí globální distribuce a během několika měsíců jste nakonec sám vytvořil novou partnerskou platformu s využitím umělé inteligence. Jaký problém jste se původně snažil vyřešit a kdy se projekt z experimentu proměnil v něco, co mohla Orca skutečně uvést do produkčního provozu?

Když jsem nastoupil do Orca, jedním z úkolů, které jsem dostal, bylo zhodnotit celkovou zkušenost partnerů. Používali jsme platformu třetí strany, ale viděl jsem příležitost vytvořit pro naše partnery něco modernějšího a přehlednějšího. Měl jsem určité zkušenosti s vývojem aplikací, sám jsem ale vývojářem nebyl. Už dříve toho léta jsem pracoval na spotřebitelských aplikacích na platformě třetí strany pro generování aplikací, a tak jsem se rozhodl vyzkoušet, co dokážu s pomocí umělé inteligence vytvořit sám.

Během jednoho víkendu se mi podařilo vytvořit základní první verzi toho, z čeho se stala naše Partner Success Platform. Nabízela funkce, které předčily možnosti tradičních partnerských portálů, jež jsem znal, včetně funkcí využívajících umělou inteligenci, jako je párování s ideálními zákazníky a koučování při uzavírání obchodů. Do platformy jsme přidali mnoho dalších aplikací, například sledování certifikací a kvízy vytvořené umělou inteligencí, a celý certifikační proces pro naše partnery jsme převedli do podoby hry. Poté jsme začali synchronizovat data s naší platformou Salesforce. Zlom nastal, když náš generální ředitel uviděl první verzi a rozpoznal její potenciál. Tehdy jsme také přešli od experimentování k otázce, co by bylo potřeba, aby se něco takového dalo bezpečně připravit pro produkční provoz. Zapojil se náš bezpečnostní tým a já začal úzce spolupracovat s Dudi Peretzem na zabezpečení prostředí. Nakonec tuto práci nezávisle ověřila externí firma.

Dříve jste založil softwarovou vývojářskou společnost, takže víte, jak se aplikace tradičně vyvíjely. Jak se tvorba softwaru pomocí přirozeného jazyka a umělé inteligence lišila od řízení vývojářů a v čem byly vaše vlastní znalosti dané oblasti stále nejdůležitější?

Největší rozdíl spočíval v rychlosti. Tradiční vývoj softwaru obvykle zahrnuje několik kroků mezi vznikem nápadu, jeho převedením do podoby technických požadavků, samotným vývojem a následným dolaďováním výsledku. S umělou inteligencí jsem mohl popsat, co chci, sledovat, jak se to postupně utváří, a téměř okamžitě výsledek dál upravovat. Iterace tak trvá minuty místo dnů schůzek s vývojáři, na kterých se definuje požadované uživatelské rozhraní a veškeré mapování databáze potřebné k vytvoření funkcí. Při vývoji s umělou inteligencí stačí zadání o 2 větách, nikoli 2 dny schůzek.

To ale neznamená, že už nejsou potřeba odborné znalosti. Mění se jen to, kde jsou důležité. Umělá inteligence může výrazně snížit technickou náročnost vývoje aplikace, ale člověk, který ji vede, stále musí rozumět problému, který se snaží vyřešit, tomu, jak má vypadat užitečné uživatelské prostředí, a tomu, čeho má aplikace pro podnikání nakonec dosáhnout. Nejvíc mě překvapilo, jak rychle se dá od nápadu dostat k něčemu funkčnímu. Úkoly, jako je analýza dat, které dříve mohly zabrat celé týdny, lze nyní potenciálně zvládnout za jediný den.

Orca uvedla, že první funkční verzi partnerské platformy jste vytvořil během jediného víkendu. Které činnosti dokázala umělá inteligence výrazně urychlit a které části vývoje aplikace připravené pro produkční provoz zůstaly náročnější, než se zpočátku zdálo?

Umělá inteligence výrazně zkrátila cestu od nápadu k funkční aplikaci. Během víkendu jsem mohl vytvořit funkce, jejichž vývoj by tradičně vyžadoval mnohem více času, a nové funkce jsem mohl přidávat a měnit mimořádně rychle. Tato rychlost je zároveň úžasná i trochu děsivá.

Umělá inteligence však neodstranila nic z toho, co je potřeba k tomu, aby byla aplikace bezpečná pro produkční provoz. Jakmile jsme se rozhodli, že by se z projektu mohlo stát něco skutečného, náš bezpečnostní tým musel posoudit prostředí, řešit bezpečnostní problémy a zajistit, aby byla aplikace náležitě zabezpečená. Jako další úroveň ověření jsme nakonec přizvali externí firmu. Umělá inteligence tedy vývoj výrazně zrychlila, ale „funguje to“ a „je to připravené k bezpečnému provozu v podniku“ jsou stále dvě velmi odlišné hranice.

Vlastní bezpečnostní nástroje platformy pro vývoj AI naznačovaly, že aplikace je zabezpečená, následná kontrola společnosti Orca však odhalila problémy týkající se oprávnění a přístupu k datům. Co vás tato zkušenost naučila o tom, nakolik by měli firemní uživatelé důvěřovat bezpečnostním zárukám, které poskytují platformy pro vývoj AI?

To byla pravděpodobně jedna z nejdůležitějších věcí, které jsem si z této zkušenosti odnesl. Platforma měla vlastní nástroje pro bezpečnostní skenování, které mi při vývoji poskytovaly užitečný základ. Proces kontroly s naším bezpečnostním týmem mi ale ukázal, jak přínosné je přidat další úroveň prověřování, zejména v oblastech, jako jsou oprávnění a přístup k datům. Potvrdilo se mi, že vestavěné bezpečnostní nástroje jsou důležitou součástí vývoje, nejlépe však fungují v kombinaci s hlubšími znalostmi a odbornými zkušenostmi, které může nabídnout specializovaný bezpečnostní tým.

To je obzvlášť důležité, protože mnoho lidí, kteří dnes mohou pomocí AI vytvářet aplikace, nejsou odborníci na bezpečnost. Nemusí vědět, na co se ptát, která oprávnění jsou příliš široká ani jaká nastavení by mohla odhalit data. To, že vám vývojová platforma oznámí, že je aplikace zabezpečená, nemůže být konečnou fází procesu. Než bude aplikace zveřejněna nebo propojena s citlivými firemními systémy, stále musí projít komplexní bezpečnostní kontrolou, která se neomezuje pouze na ověření, zda vyhověla vlastním kontrolám platformy.

Když bezpečnostní tým odhalil zranitelnosti, často jste mohli jeho zjištění předat zpět do prostředí pro vývoj AI a během několika minut vygenerovat opravy. Může AI zásadně změnit nápravu bezpečnostních problémů a proměnit zdlouhavý vývojový cyklus v nepřetržitý dialog mezi vývojáři a bezpečnostními týmy?

To je jedna z nejzajímavějších možností. Když Dudi a bezpečnostní tým odhalili problémy, mohl jsem jejich zpětnou vazbu přímo vložit do prostředí pro vývoj AI a velmi rychle nechat vygenerovat opravy. Vzniká tak možnost mnohem těsnější zpětné vazby mezi člověkem, který aplikaci vytváří, a týmem odpovědným za její zabezpečení.

V minulosti se software mohl vyvíjet a vydávat po mnohem delší dobu. Dnes může někdo každý den provádět změny a zveřejňovat je. Bezpečnost musí fungovat stejným tempem. Příležitostí je začlenit průběžné bezpečnostní hodnocení do vývojového procesu, abyste mohli mnohem rychleji odhalit problém, upozornit na něj vývojáře, napravit ho a znovu posoudit aplikaci.

Rychlejší náprava ale neznamená, že můžeme snížit nároky na ověřování. AI dokáže rychle vygenerovat opravu; bezpečnostní týmy však stále potřebují způsob, jak ověřit, že oprava skutečně odstranila riziko a nevytvořila jiné.

Výsledná platforma Partner Success Platform zahrnuje asistenty AI, přehled o obchodním procesu, tvorbu kampaní a podporu při uzavírání obchodů. Jak jste rozhodovali, které činnosti má AI vykonávat přímo a která rozhodnutí mají zůstat na lidském partnerovi nebo obchodníkovi?

Mým cílem nebylo odstranit člověka z partnerského ani prodejního procesu. Chtěl jsem využít AI k tomu, aby lidé mohli pracovat rychleji a lépe využívat informace, které už mají k dispozici. Dobrým příkladem je podpora při uzavírání obchodů: AI může pomoci najít způsoby, jak posunout obchodní příležitost, která už nějakou dobu zůstává v obchodním procesu, a poskytnout člověku další souvislosti nebo doporučit další krok.

Za důležitý považuji rozdíl mezi tím, když AI dokáže rychle získat informace z různých systémů, vyhodnotit jejich relevanci a následně je předložit uživateli v podobě, která mu umožní jednat. Platforma má zvýšit efektivitu partnera nebo obchodníka, zatímco člověk zůstává odpovědný za rozhodnutí vyžadující obchodní úsudek. Cílem je zkrátit dobu od objevení obchodní příležitosti po uzavření obchodu s výsledkem „vyhráno“ díky zapojení platformy.

AI umožňuje zaměstnancům v prodeji, marketingu, financích a dalších odděleních vytvářet vlastní aplikace bez zapojení vývojářského týmu. Jaká minimální bezpečnostní a řídicí opatření by měla být zavedena, než těmto aplikacím povolíme přístup k zákaznickým datům, interním systémům nebo cloudové infrastruktuře?

Prvním požadavkem je přehled. Zásady organizace by měly podporovat tento typ experimentování a inovací, ale organizace nemůže zabezpečit aplikaci, o jejíž existenci neví. Podpora inovací proto spíše povede k tomu, že zaměstnanci své projekty představí, místo aby je drželi v tajnosti. Organizace pak potřebují zjistit, jaké identity a oprávnění aplikace má, k jakým datům má přístup, se kterými systémy třetích stran komunikuje a zda jsou tato oprávnění skutečně nezbytná. Vytvořte podmínky pro rozvoj inovací, ale zároveň zaveďte proces, který podporuje inovátory a splňuje bezpečnostní požadavky.

Zásada nejmenších oprávnění je obzvlášť důležitá. Jedním z rizik, která pozorujeme, je, že aplikace dostávají širší přístup, než skutečně potřebují. Bezpečnostní kontrola navíc nemůže proběhnout pouze jednou před spuštěním. Pokud se aplikace mohou průběžně měnit, organizace je musí být schopny průběžně znovu posuzovat.

Tradiční správa softwaru vycházela z práce vývojových týmů, žádostí o začlenění změn, cyklů vydávání nových verzí a poměrně dobře kontrolovaných procesů nasazování. Pokud nyní mohou uživatelé z řad firemních týmů aplikace průběžně upravovat a nasazovat, jak se musí změnit životní cyklus vývoje podnikového softwaru?

Zásadní problém spočívá v tom, že se změnilo tempo. Dříve se software vyvíjel a uváděl do provozu v průběhu času podle poměrně ustálených postupů. Díky nástrojům pro vývoj s využitím AI může někdo vytvořit a zveřejnit něco nového třeba každý den. Bezpečnostní a řídicí procesy založené na pravidelných kontrolních bodech v takovém prostředí stačit nebudou.

Musíme přejít k průběžnému zabezpečení, které dokáže držet krok s tímto vývojovým cyklem. To znamená zjišťovat, co se vytváří, rozumět tomu, jak je to nastavené a propojené, průběžně kontrolovat změny a poskytovat tvůrcům konkrétní zpětnou vazbu, kterou mohou rychle zapracovat. Řešením nemůže být bránit zaměstnancům v používání těchto nástrojů; příležitost ke zvýšení produktivity je příliš významná. Výzvou je nastavit ochranná opatření, která umožní bezpečné inovace.

Nárůst aplikací vytvářených pomocí AI jste přirovnal k ještě náročnější podobě „stínového IT“. Proč může být tato nová generace stínového softwaru větší výzvou a jak mohou organizace odhalit aplikace, o jejichž existenci bezpečnostní nebo IT týmy možná vůbec nevědí?

Tradiční stínové IT často spočívalo v tom, že zaměstnanci začali používat aplikaci SaaS, kterou IT neschválilo. Nové je to, že si zaměstnanci nyní mohou aplikaci sami vytvořit, a navíc neuvěřitelně rychle. Někdo může aplikaci sestavit prostřednictvím osobního účtu, propojit ji se systémy třetích stran a případně ji napojit na podniková data ještě dříve, než bezpečnostní tým vůbec zjistí, že existuje.

Právě proto je to tak náročné: vytváření aplikací je natolik snadné, že jejich počet i rychlost, s jakou se mění, mohou rychle překonat možnosti tradičních kontrolních procesů. Ředitelé pro informační bezpečnost čelí stejné základní otázce: jak zabezpečit něco, když možná ani nevědíte, co bylo vytvořeno nebo jak je to nastavené?

Odhalování aplikací se proto musí stát zásadní součástí bezpečnostní strategie. Skvělým způsobem, jak toho dosáhnout, je podporovat inovátory a povzbuzovat je k objevování nových možností, ale zároveň je vést k registraci jejich projektů. Organizace potřebují přehled nejen o kódu, ale také o aplikacích spuštěných v jejich prostředí, identitách a oprávněních, která jsou s nimi spojená, datech, k nimž přistupují, a externích systémech, se kterými komunikují.

Když se podíváte o několik let dopředu, očekáváte, že většina odborných pracovníků se díky AI do určité míry stane tvůrci softwaru? Pokud ano, jak se tím změní úloha profesionálních vývojářů, bezpečnostních týmů a vedoucích pracovníků v rámci podniku?

Směřujeme ke světu, v němž bude pojem „tvůrce softwaru“ zahrnovat mnohem širší okruh lidí. AI umožňuje lidem, kteří rozumějí potřebám firmy, ale nejsou tradičními vývojáři, proměnit nápad ve funkční aplikaci neuvěřitelně rychle. Sám jsem to zažil.

Nemyslím si, že by tím profesionální vývojáři nebo bezpečnostní týmy ztráceli na důležitosti. Mění se ale to, kde je jejich odbornost potřeba. Firemní uživatelé si stále častěji dokážou vytvářet vlastní řešení, zatímco vývojáři se mohou věnovat složitějším technickým problémům a bezpečnostní týmy musí zajistit přehled a ochranná opatření, které této nové generaci tvůrců umožní bezpečně inovovat. Jiný pohled si žádá také podpora a údržba aplikací. „Tvůrci“ nebývají vždy těmi nejlepšími „správci“. Přinášejí vizi a znají potřeby firmy, ale dlouhodobá podpora aplikace je stále úkolem, který nejlépe zvládnou IT oddělení a oddělení správy aplikací. Pro vedoucí pracovníky to znamená obrovskou příležitost, ale také novou odpovědnost. Pokud vaše týmy dokážou vytvářet software, musíte rizika spojená se softwarem vnímat jako součást podnikání, ne jen jako záležitost vývojového oddělení.

Děkujeme za skvělý rozhovor. Čtenáři, kteří se chtějí dozvědět více o zabezpečení cloudu, aplikacích vytvářených pomocí AI a zabezpečení podnikových prostředí, by měli navštívit Orca Security.