Howard Ting, administrerende direktør for Opal Security – Intervju-serie

Howard Ting, administrerende direktør for Opal Security, er en erfaren cybersecurity- og teknologileder, der i øjeblikket leder Opal Security siden november 2025. Før denne rolle fungerede han som Executive in Residence hos Greylock, mens han tilbragte mere end fem år hos Cyberhaven som både CEO og bestyrelsesmedlem, hvor han guidede virksomheden gennem dens mission om at beskytte data og muliggøre sikker innovation. Hans baggrund omfatter strategisk markedsledelsesstillinger hos Redis Labs og Zscaler, samt seniormarkeds- og produktstillinger hos Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security og tidligere erfaring med M&A hos Banc of America Securities. Denne blanding af operationel ledelse, go-to-market-ekspertise og dyb cybersecurity-domæneerfaring placerer ham unikt i spidsen for en hurtigt voksende sikkerhedsplatform.

Opal Security er et moderne identitetscentreret adgangsadministrationsselskab, der giver virksomheder en central platform til at styre og sikre, hvem der har adgang til hvad på tværs af cloud, SaaS og interne systemer. Platformen leverer samlet synlighed i identitet og adgangsveje, understøtter selvbetjening og just-in-time-adgangsarbetsfløde og automatiserer adgangsrevisioner for at gennemtvinge mindstprivilegiepolitikker i stor målestok, hvilket hjælper organisationer med at reducere risikoen og forbedre overholdelsen i dynamiske miljøer, der inkluderer menneskelige brugere, servicekonti og AI-agenter.

De er netop trådt ind i rollen som administrerende direktør for Opal Security efter at have ledet Cyberhaven gennem betydelig vækst og haft seniortillinger hos virksomheder som Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis og Microsoft. Hvad var det, der tiltrak Dem til Opal på dette tidspunkt i Deres karriere, og hvordan påvirker Deres tidligere erfaring, hvordan De tænker om adgang, identitet og AI-natursikkerhed i dag?

At styre adgang bliver sværere overalt. Flere identiteter, flere maskiner, mere automatisering – og den meningsfulde adgang skaber stadig mere inden for ingeniør- og cloud-arbejdsgange, ikke traditionel IT. Standard IAM- og IGA-værktøjer var ikke bygget til noget af dette, og identitetsdrevne trusler venter ikke på, at de kan følge med.

Det var det, der tiltrak mig til Opal. Størrelsen af dette problem er enorm, og Opal er allerede på linje med, hvor markedet er på vej. Jeg har set versioner af dette mønster før. Hos RSA, Palo Alto Networks og Cyberhaven så jeg multi-faktor-, næste generations-brandmur- og data-linje-revolutionerne udvikle sig i realtid, og dynamikken her er slående lig: en kategori-definerende problem, der accelererer hurtigere, end de fleste leverandører kan reagere, med et smalt vindue for det rette team til at eje det.

Opal har det team. Ingeniør- og produktgrundlaget er stærkt, og kundelisten, der er bygget op gennem direkte og fokuseret arbejde, taler for sig selv. Hver kunde-samtale jeg havde, bekræftede den samme signal: dette problem accelererer, og Opal er den, der løser det.

Hvad jeg har lært af at bygge og skalerer hold over virksomheder, er, at udførelsen bliver radikalt enklere, når produkt, ingeniør- og go-to-market-delen deler det samme niveau af kundefokus. Når alle ser det samme problem og den samme mulighed, kan man flytte hurtigt uden at miste præcision. Opal har allerede det grundlag. Min opgave er at bygge videre på det – og sørge for, at vores kunder føler den fulde kraft af dette team bag dem, mens vi skalerer.

Med baggrund i mange års erfaring med identitet, cloud-infrastruktur og virksomhedssikkerhed, hvor mener De, at traditionelle adgangskontrolleringsmodeller bryder sammen, når organisationer adopterer AI mere dybt?

Det ærlige svar er, at de fleste traditionelle adgangskontrolleringsmodeller blev bygget til at løse autentificering – og for mennesker er dette problem stort set løst. IDP’er og moderne autentificeringsmetoder håndterer “hvem er du?” rimeligt godt. For ikke-menneskelige identiteter får API-nøgler og hemmelighedsstyring en del af vejen der. Men autorisation – “hvad skal du have lov til at gøre, og i hvor lang tid?” – forbliver dybt uløst for både mennesker og maskiner, og det er her, den virkelige risiko bor.

Hvad der forværrer dette, er, at ingeniørhold nu opererer gennem automatisering, infrastruktur som kode og AI-assisteret værktøjer, der genererer nye tilladelser som en del af daglig udvikling. Adgang ændrer ikke langsomt gennem IT-arbejdsgange mere – det skabes, ændres og udvides programmatisk, ofte uden at nogen gennemgår, hvad der lige er blevet givet. Resultatet er en voksende spredning af over-privilegerede konti, fragmenterede privilegieværktøjer og styring, der er dyrekøbt, reaktiv og stort set blind for, hvad der faktisk sker.

Og jeg vil være direkte om noget andet: der er en enorm mængde AI-vask i denne marked i øjeblikket. Leverandører skynder sig at tilføje “AI” til legacy-arkitekturer, hvilket skjuler en kritisk realitet for købere – en gennemførlig, valideret sikkerheds- og styringsramme for AI-agenter findes stadig ikke. Hype overstiger de faktiske kontroller, og det gap er, hvor den virkelige eksponering bygges op.

Det er, hvad der gør Opals tilgang anderledes. I stedet for at tilføje styring til arbejdsgange efterfølgende modellerer Opal adgang direkte fra de systemer, ingeniørerne allerede bruger, anvender politik i realtid og giver sikkerhedsholdene en måde at guide autorisationsbeslutninger uden at skabe friktion. Når styring passer naturligt ind i, hvordan ingeniørarbejde faktisk fungerer, stopper det med at være en blokerer og bliver infrastruktur, man kan stole på.

Opal fokuserer på at styre, hvem og hvad der kan få adgang til følsomme systemer i moderne, cloud-naturlige miljøer. Hvilke sikkerhedsproblemer er mest undervurderede af virksomheder, der bygger med AI-agenter og automatiserede arbejdsgange?

De mest undervurderede problemer er ikke faktisk nye. De er de problemer, der har været stille kompliceret i årevis omkring menneskelige identiteter. Grundlæggende styringshygiejne som joiner/mover/leaver-arbejdsgange, just-in-time-adgang og brugeradgangsrevisioner er blevet overset eller sammensat på en tilfældig måde i de fleste organisationer i lang tid. Overholdelsesforpligtelser som SOX er ikke forsvundet heller; de er blot blevet sværere at opfylde, efterhånden som miljøer bliver mere komplekse. Ingen af dette er glamourøst, men det er netop det grundlag, der bryder sammen, når man lagrer AI-agenter oven på.

Virksomheder integrerer AI for at strømline arbejdsgange og eliminere kedelige opgaver, men ved at gøre det introducerer de ikke-menneskelige identiteter, der multiplicerer adgangsforhold på måder, som eksisterende værktøjer aldrig var designede til at håndtere. Resultatet er et rodet netværk, hvor menneskelig adgang allerede var under-styret, og maskinadgang nu udvides med endnu mindre synlighed. Adgangsbeslutninger skal være forklarbare, tidsbundne, knyttede til reel brug og kontinuerligt overvåget, men de fleste hold afhænger stadig af statiske, en-size-fits-all-systemer, der ikke kan levere noget af dette. Imens genererer kodningsagenter kode med indbyggede tilladelser, interagerer med infrastruktur direkte og opererer med adgang, som ingen gennemgår gennem en traditionel sikkerheds-linse – en overholdelses- og sikkerheds-eksponering, som de fleste virksomheder endnu ikke har begyndt at omfatte.

Virksomheder, der bygger med AI-agenter, tenderer til at fokusere på nytten af teknologien, mens de undervurderer, hvor hurtigt adgangs-sprælling og usynlige tilladelser bliver en alvorlig eksponering – især når det menneskelige identitetsgrundlag under var allerede skrøbeligt.

De har set sikkerhed udvikle sig over flere generationer af infrastruktur. Hvad ændrer sig fundamentalt, når maskinidentiteter og AI-agenter begynder at overgå menneskelige brugere?

Når maskinidentiteter overgår menneskelige brugere, bliver det stadig mere vanskeligt at overvåge, hvem der har adgang til hvad. Traditionel IAM var ikke bygget til denne realitet, og de fleste HR- og IAM-platforme giver kun delvis synlighed, især efterhånden som identitets-overvågning udvides til at omfatte mere end ét team. For at kunne overvåge disse typer identiteter skal vi give AI-agenter klart ejerskab, omfattende tilladelser og fuld gennemsigtighed fra starten. Opal Security løser dette ved at modellere mennesker, tjenester og agenter inden for én ramme, i stedet for at behandle dem som separate enheder.

Revisorer forventer nu at gennemgå både menneskelig og agentic adfærd side om side, når de analyserer adgangsrevisioner. Agenter arver normalt tilladelsessæt fra de brugere, der udruller dem, men visse brugsområder kræver agenter, der identificerer som servicekonti med brugertilpassede (typisk nedskalerede) tilladelsessæt.

AI er både et angrebs-overflade og et forsvarsværktøj. Fra Deres synspunkt, hvor forbedrer AI sikkerhedsresultaterne i dag, og hvor introducerer det stadig nye risici?

AI er et enormt kraftfuldt værktøj, der er grundlaget for vores produkt. Opal Security bruger AI til at overvåge, registrere og forhindre uregelmæssig adgang på tværs af organisationer. AI ændrer også identitetssikkerhed, fordi det introducerer aktører, der ikke kun autentificerer og udfører opgaver – de resonerer, tilpasser sig og handler selvstændigt. Traditionelle identitetssystemer var bygget til mennesker og statiske servicekonti, hvor adgang ændrede sig langsomt, og hensigten var relativt forudsigelig.

Men AI-agenter bryder denne model. Risikoen er tab af synlighed og ansvarlighed. Agenter kan starte og stoppe dynamisk, kæde tilladelser på tværs af systemer og handle på vegne af brugere, andre agenter eller sig selv. Ingen sikrede ressourcer kan være “brudt,” men følsomme handlinger kan stadig ske, fordi alt var teknisk autoriseret. Det er den nye trussels-overflade. Måden at håndtere dette på er gennem en samlet, intelligent platform, der forstår og sikrer alle enhedstyper gennem kontekst, adfærd og kontinuerlig tilpasning.

Dette samlede synspunkt danner grundlaget for sikkerhed – man kan ikke beskytte, hvad man ikke kan se eller forstå. Hos Opal tror vi på at forstå hver relation. Det er ikke nok at vide, hvem der er i systemet. Man skal vide, hvem der er forbundet til hvad, og hvorfor.

Når AI-kodningsagenter og automatiserede systemer får bredere tilladelser inden for organisationer, hvordan skal sikkerhedsholdene omdefinere mindst-privilegie-adgang i praksis, ikke kun i teori?

Modern identitet-adgang skal behandle menneskelige og maskinidentiteter lige, så virksomheder kan have den synlighed, automatisering og tillid, der er nødvendig for at skalerer sikkert i AI-æraen. I praksis betyder det at give tilladelser kun, når det er nødvendigt, og kontinuerligt gennemgå og justere adgang, efterhånden som opgaver eller roller ændrer sig. Automatisk overvågning og risikobaserede kontroller bliver afgørende for at sikre, at AI-værktøjer kan operere effektivt uden at skabe unødvendig sikkerheds-eksponering.

Det er nyttigt at aktivere JIT som standard for agenter, men gøre det friktionsfrit: automatisk godkende bestemte ressourcer, hvor det er passende, eller hvis brugeren opererer i en miljø, hvor alle data er følsomme, begrænse brugen til sandboxede VM’er.

Selvom nogen nye begrænsninger på agentic brug kan have potentialet til at irritere slutbrugere ved at slowe dem ned, er det vigtigt at møde brugerne, hvor de er. Med Opal betyder det, at adgangsanmodninger kan indsendes og godkendes i Slack, og IaaC-strategier, herunder Terraform, kan bruges til at automatisere adgangstildelinger, ophævelser og tidsbundne adgang.

Basert på Deres erfaring med at skalerer sikkerheds-virksomheder, hvilke signaler fortæller Dem, at en organisations adgangskontroller ikke længere er på linje med, hvordan forretningen faktisk opererer?

Virksomheder kan se, at deres adgangskontroller er ude af sync, når adgang begynder at falde bagud i forhold til virkeligheden. Dette kan manifestere sig som over-mål eller forældede tilladelser, manuelle flaskehalse fra legacy-systemer eller adoption af AI-systemer uden opdaterede politikker til at spore ikke-menneskelige identiteter. Endnu et tegn er øget antal sikkerheds-incidenter eller nærmisse, hvor over-privilegerede konti eller dårligt styrede identiteter er skyld i det.

Komplekse Sailpoint-udrulninger, der læner sig op af en række konsulenter, samt sporing af adgang i regneark var ikke effektivt i æraen før agenter, og desuden vil denne legacy-tilgang blot kollapse under agentic-hastighed og kompleksitet. Opal leverer en samlet platform, der serverer sikkerhed, fjerner blokerer for IT og giver revisorerne, hvad de behøver. Vi finder, at RBAC er skrøbelig og sjældent en varig tilstand, så succesfulde hold starter med JIT og avancerer derefter til persona-baseret adgang (med fleksibilitet og sporing over tid), så Terraform-konfigurationer kan versioneres, udrulles eller ruller tilbage, hvis nødvendigt.

Set fra et ledelsesperspektiv, hvordan balancerer De innovationshastighed med den disciplin, der kræves for at opbygge tillid til sikkerhedsprodukter?

Jeg har lært, at store virksomheder forbliver disciplinerede omkring grundlæggende principper, selv når de vokser hurtigt. Disse grundlæggende principper omfatter klare prioriteringer, åben kommunikation og en villighed til at træffe svære valg. Innovation betyder stadig noget, men det skal være grundlagt i rigor: stærke standarder, omhyggelig trusselsmodelering og ansvarlighed for resultater. At træffe disse beslutninger bevidst er, hvad der giver mulighed for at flytte hurtigt uden at kompromittere tillid, og over tid bliver denne disciplin faktisk en konkurrencemæssig fordel.

Hvad mener De, at sikkerhedsledere misforstår mest omkring forberedelse til en fremtid, der er domineret af autonome systemer snarere end menneske-drevne adgang?

Det, sikkerhedsledere oftest undervurderer, er kompleksiteten ved at styre forskellige typer identiteter. Virksomheder er så ivrige efter at komme foran og holde trit med de seneste teknologier, at sikkerhedsforanstaltninger kan ofte blive overset. AI-drevne arbejdsgange introduceres ofte uden klart ejerskab, hvilket efterlader organisationer med blindspots, hvor ikke-menneskelige identiteter stille og roligt samler adgang, opererer uden for traditionelle kontroller og skaber nye muligheder for dyre fejl eller trusler. Forberedelse til denne fremtid kræver at behandle identitet som en dynamisk, kontinuerligt styret lag.

Som virksomheder vokser, skal sikkerhedsholdene ejer agentic-brugs-politikker og bestemme, hvordan, om og hvor agentic-adgang skal nedskaleres fra den menneskelige, der kalder agenten. Enhver proces, der tidligere lagde til arbejdsmængden på menneskelige hold, vil blot kollapse under skalaen og det efemære natur af agenter: automatisering er den eneste måde at håndtere anmodnings-volumen på.

Set fremad, hvad ligner “god sikkerheds-hygiejne” i et miljø, hvor AI-systemer konstant skaber, ændrer og anmoder om adgang på egen hånd?

God sikkerheds-hygiejne handler om at udnytte AI til at skalerer sikkerhed, mens man opretholder nok overvågning og disciplin til at sikre, at intet glipper igennem sprækkerne. AI er her for at blive, så enten en virksomhed bruger en leverandør som Opal eller styrer internt, skal virksomheder acceptere, at adgang ikke længere er statisk. Når AI-systemer konstant skaber, ændrer og anmoder om adgang, skal sikkerhed flytte sig fra en-gangs-godkendelser til kontinuerlig overvågning. Det betyder at behandle adgang som en kontinuerlig livscyklus i stedet for en enkelt-gangs-afkrydsningsfelt.

Virksomheder skal også aktivt bruge AI som en del af deres forsvar. Automatisering kan hjælpe hold med at følge med volumen og hastighed af adgangsændringer, men det skal være parret med klare vejledninger, synlighed i delegation-kæder og menneskelig ansvarlighed, når noget går galt. Det er vigtigt at fremhæve forklarings-signaler: Shapley-værdier og funktion-koefficienter for traditionelle ML-modeller, og yderligere kontekst eller detaljerede begrundelser fra LLM’er. Uden disse nuancer er det en stejlt kamp at opretholde enhver kæde af tillid til adgang til følsomme forretningsressourcer. Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Opal Security.