Shannon McWilliams, chef for global distribution hos Orca Security – interviewserie

Shannon McWilliams er chef for global distribution hos Orca Security, hvor hans arbejde omfatter virksomhedens partnerøkosystem og de værktøjer, der understøtter det. Han har tidligere grundlagt en softwareudviklingsvirksomhed og har derfor erfaring med at omsætte forretningsbehov til applikationer. For nylig brugte han AI-udviklingsværktøjer til at bygge en tidlig version af Orcas Partner Success Platform. Sammen med sikkerhedsteamet arbejdede han på at føre projektet fra en weekendprototype frem mod et system, der var klar til produktion.

Orca Security leverer en cloud-sikkerhedsplatform, der hjælper organisationer med at finde aktiver, identificere og prioritere risici samt beskytte cloudmiljøer. Platformens funktioner dækker blandt andet sårbarheder, fejlkonfigurationer, identiteter og tilladelser, følsomme data og AI-sikkerhed. I dette interview taler McWilliams om, hvordan AI gør det muligt for forretningsbrugere at bygge software, hvorfor fungerende applikationer stadig kræver en uafhængig sikkerhedsvurdering, og hvordan løbende opdagelse, princippet om mindst mulige privilegier og menneskeligt tilsyn kan hjælpe virksomheder med at håndtere denne nye udviklingsmodel.

Du kom til Orca Security som chef for global distribution, og inden for få måneder endte du med selv at bygge en ny platform til partnere ved hjælp af AI. Hvilket problem forsøgte du oprindeligt at løse, og hvornår udviklede projektet sig fra et eksperiment til noget, Orca faktisk kunne sætte i produktion?

Da jeg kom til Orca, blev jeg blandt andet bedt om at se på den samlede partneroplevelse. Vi brugte en tredjepartsplatform, men jeg så en mulighed for at skabe noget mere moderne og strømlinet til vores partnere. Jeg havde en vis erfaring med applikationsudvikling, men var ikke selv udvikler. Tidligere på sommeren havde jeg arbejdet med forbrugerrettede applikationer på en tredjepartsudbyders platform til appgenerering, så jeg besluttede at eksperimentere med, hvad jeg selv kunne bygge ved hjælp af AI.

I løbet af en weekend kunne jeg skabe en enkel første version af det, der blev til vores Partner Success Platform. Den havde funktioner, der gik videre end det, jeg kendte fra traditionelle partnerportaler, herunder AI-drevne funktioner som matchning med ideelle kunder og rådgivning om aftaler. Vi tilføjede mange flere applikationer på platformen, blandt andet sporing af certificeringer, AI-genererede quizzer og spilelementer i hele certificeringsprocessen for vores partnere, og begyndte derefter at synkronisere data med vores Salesforce-platform. Vendepunktet kom, da vores administrerende direktør så den første version og fik øje på dens potentiale. Det var også dér, vi gik fra eksperimentering til at spørge, hvad der konkret skulle til for at gøre noget lignende sikkert og klar til produktion. Vores sikkerhedsteam blev involveret, og jeg begyndte at arbejde tæt sammen med Dudi Peretz om at sikre miljøet, inden arbejdet til sidst blev uafhængigt verificeret af et eksternt firma.

Du grundlagde tidligere en softwareudviklingsvirksomhed, så du har erfaring med, hvordan applikationer traditionelt blev bygget. Hvordan var det at bygge software ved hjælp af naturligt sprog og AI sammenlignet med at lede udviklere, og hvor var din egen domæneekspertise stadig vigtigst?

Den største forskel var hastigheden. Ved traditionel softwareudvikling er der typisk flere trin fra idé til tekniske krav, videre til udviklernes arbejde og derefter til forbedringer af resultatet. Med AI kunne jeg beskrive, hvad jeg ønskede, se det tage form og næsten med det samme fortsætte med at finpudse det. Iterationsprocessen tager minutter i stedet for dage med møder med udviklere, hvor man fastlægger den ønskede brugerflade og alle databasetilknytninger, der skal til for at skabe funktionaliteten. Med AI-udvikling kræver det en prompt på 2 sætninger, ikke 2 dages møder.

Men det fjerner ikke behovet for ekspertise. Det ændrer, hvor ekspertisen er vigtig. AI kan sænke den tekniske tærskel for at bygge en applikation markant, men den person, der styrer arbejdet, skal stadig forstå det problem, vedkommende forsøger at løse, hvordan en brugbar oplevelse ser ud, og hvad applikationen i sidste ende skal opnå for virksomheden. Det, der overraskede mig mest, var, hvor hurtigt man kunne gå fra en idé til noget funktionelt. Opgaver som dataanalyse, der tidligere kunne tage uger, kan nu potentielt klares på en dag.

Orca har beskrevet den første fungerende version af partnerplatformen som noget, du byggede på en enkelt weekend. Hvad kunne AI sætte markant fart på, og hvilke dele af arbejdet med at bygge en produktionsklar applikation viste sig stadig at være vanskeligere, end de først så ud til?

AI forkortede markant vejen fra idé til fungerende applikation. Jeg kunne på en weekend bygge funktionalitet, som traditionelt ville have krævet en langt længere udviklingsproces, og jeg kunne fortsætte med at tilføje og ændre funktioner meget hurtigt. Den hastighed er både fantastisk og en smule skræmmende.

AI fjernede ikke alt det, der skal til for at gøre en applikation sikker til produktion. Da vi besluttede, at dette kunne blive til noget reelt, skulle vores sikkerhedsteam vurdere miljøet, håndtere sikkerhedsproblemer og sikre, at applikationen var tilstrækkeligt beskyttet. Til sidst inddrog vi et eksternt firma som et ekstra lag af validering. AI gjorde altså udviklingen utrolig hurtig, men »det virker« og »det er klar til sikker drift i en virksomhed« er stadig to meget forskellige tærskler.

AI-udviklingsplatformens egne sikkerhedsværktøjer viste, at applikationen var sikker, men Orcas efterfølgende gennemgang afdækkede problemer med tilladelser og dataadgang. Hvad lærte den oplevelse dig om, hvor stor tillid erhvervsbrugere bør have til de sikkerhedsgarantier, som AI-udviklingsplatforme giver?

Det var nok en af de vigtigste erfaringer, jeg gjorde mig. Platformen havde sine egne funktioner til sikkerhedsscanning, som gav et nyttigt udgangspunkt, mens jeg byggede. Men gennemgangen med vores sikkerhedsteam viste mig værdien af et ekstra lag kontrol, især på områder som tilladelser og dataadgang. Det bekræftede, at indbyggede sikkerhedsværktøjer er en vigtig del af udviklingsprocessen, men at de fungerer bedst sammen med den dybere indsigt og ekspertise, et dedikeret sikkerhedsteam kan bidrage med.

Det er især vigtigt, fordi mange af dem, der nu kan udvikle applikationer med AI, ikke er sikkerhedseksperter. De ved måske ikke, hvilke spørgsmål de skal stille, hvilke tilladelser der er for vidtgående, eller hvilke konfigurationer der kan føre til, at data bliver eksponeret. At udviklingsplatformen fortæller dig, at en applikation er sikker, kan ikke være slutningen på processen. Før en applikation offentliggøres eller forbindes med følsomme virksomhedssystemer, skal den stadig gennemgå en omfattende sikkerhedsvurdering, der går videre end blot at undersøge, om applikationen består platformens egne kontroller.

Når sikkerhedsteamet identificerede sårbarheder, kunne du ofte føre resultaterne tilbage til AI-udviklingsmiljøet og få genereret rettelser på få minutter. Kan AI grundlæggende ændre sikkerhedsafhjælpning fra en langvarig udviklingscyklus til en løbende dialog mellem dem, der udvikler applikationer, og sikkerhedsteams?

Det er en af de mest spændende muligheder. Når Dudi og sikkerhedsteamet identificerede problemer, kunne jeg tage deres feedback, føre den direkte ind i AI-udviklingsmiljøet og få genereret rettelser meget hurtigt. Det åbner mulighed for en langt tættere feedbacksløjfe mellem den person, der udvikler en applikation, og teamet, der har ansvaret for at sikre den.

Tidligere kunne det tage meget længere tid at udvikle og udgive software. Nu kan man foretage og udgive ændringer hver dag. Sikkerhedsarbejdet skal følge samme tempo. Muligheden består i at gøre løbende sikkerhedsvurdering til en del af udviklingsprocessen, så man hurtigere kan identificere et problem, give udvikleren besked, afhjælpe det og vurdere applikationen igen.

Men hurtig afhjælpning betyder ikke, at vi kan sænke kravene til validering. AI kan hurtigt generere en rettelse, men sikkerhedsteams skal stadig kunne kontrollere, at rettelsen faktisk har afhjulpet risikoen og ikke har skabt en ny.

Den resulterende Partner Success Platform omfatter AI-assistenter, indsigt i salgspipelinen, generering af kampagner og sparring om handler. Hvordan afgjorde du, hvilke opgaver AI skulle håndtere direkte, og hvilke beslutninger der fortsat skulle træffes af den menneskelige partner eller sælger?

For mig handlede målet ikke om at fjerne mennesket fra partner- eller salgsprocessen. Det handlede om at bruge AI til at hjælpe folk med at arbejde hurtigere og få bedre udbytte af de oplysninger, de allerede har adgang til. Sparring om handler er et godt eksempel: AI kan hjælpe med at finde måder at bringe en salgsmulighed videre på, når den er gået i stå i salgspipelinen, og give brugeren mere kontekst eller anbefale næste skridt.

Jeg mener, at skellet især bliver vigtigt, når AI hurtigt kan hente oplysninger fra forskellige systemer, analysere, hvor relevante de er, og derefter præsentere dem på en måde, så brugeren kan handle på dem. Platformen bør gøre partneren eller sælgeren mere effektiv, mens mennesket fortsat er ansvarligt for de beslutninger, der kræver forretningsmæssig dømmekraft. Målet er at forkorte tiden fra opdagelsen af en salgsmulighed til den er lukket/vundet gennem interaktion med platformen.

AI gør det muligt for medarbejdere inden for salg, marketing, økonomi og andre afdelinger at udvikle deres egne applikationer uden at involvere udviklingsafdelingen. Hvilke grundlæggende sikkerheds- og styringskontroller bør være på plads, før disse applikationer får lov til at oprette forbindelse til kundedata, interne systemer eller cloudinfrastruktur?

Det første krav er synlighed. Organisationens politikker bør ganske vist fremme denne form for udforskning og innovation, men man kan ikke sikre en applikation, man ikke ved findes. Derfor er det mere sandsynligt, at medarbejderne lægger deres projekter åbent frem i stedet for at holde dem skjult, hvis innovation bliver opmuntret. Derefter skal organisationer forstå, hvilke identiteter og tilladelser applikationen har, hvilke data den kan tilgå, hvilke tredjepartssystemer den kommunikerer med, og om disse adgangsrettigheder faktisk er nødvendige. Giv innovation plads til at gro, men sørg for en proces, der støtter innovatørerne og opfylder sikkerhedskravene.

Princippet om mindst mulige privilegier bliver særligt vigtigt. En af de risici, vi ser, er, at applikationer får bredere adgang, end de faktisk har brug for. Og sikkerhed kan ikke begrænses til en enkelt kontrol før lanceringen. Når applikationer løbende kan ændres, skal organisationer også have mulighed for løbende at vurdere dem igen.

Traditionel styring af software var indrettet efter udviklingsteams, pull requests, udgivelsescyklusser og relativt kontrollerede implementeringsforløb. Hvis forretningsbrugere nu kan ændre og implementere applikationer løbende, hvordan skal virksomhedens livscyklus for softwareudvikling så ændres?

Den grundlæggende udfordring er, at udviklingstempoet har ændret sig. Traditionelt blev software udviklet og udgivet over tid gennem forholdsvis etablerede processer. Med AI-værktøjer til udvikling kan man potentielt skabe og udgive noget nyt hver dag. Sikkerheds- og styringsprocesser, der bygger på periodiske kontrolpunkter, vil ikke være tilstrækkelige i den situation.

Vi skal bevæge os i retning af sikkerhed, der fungerer løbende og kan følge med udviklingscyklussen. Det betyder, at vi skal finde ud af, hvad der bliver bygget, forstå, hvordan det er konfigureret og forbundet, scanne det, efterhånden som det ændrer sig, og give udviklerne konkret feedback, som de hurtigt kan handle på. Løsningen kan ikke være at forhindre medarbejderne i at bruge disse værktøjer; produktivitetsgevinsten er alt for stor. Udfordringen er at skabe rammer, der gør det muligt at innovere sikkert.

Du har sammenlignet fremkomsten af AI-byggede applikationer med en endnu mere udfordrende version af »skygge-IT«. Hvad gør denne nye generation af skygge-IT potentielt mere problematisk, og hvordan kan organisationer finde applikationer, som sikkerheds- eller IT-teams måske slet ikke ved eksisterer?

Traditionel skygge-IT handlede ofte om, at medarbejdere tog en SaaS-applikation i brug uden IT-afdelingens godkendelse. Forskellen nu er, at medarbejderne selv kan oprette applikationen, og det kan de gøre utroligt hurtigt. Man kan bygge en applikation via en personlig konto, integrere den med tredjepartssystemer og potentielt forbinde den med virksomhedens data, før sikkerhedsafdelingen overhovedet ved, at den findes.

Det er det, der gør situationen særligt udfordrende: Det er blevet så nemt at bygge, at antallet af applikationer og den hastighed, de ændres med, hurtigt kan overhale den traditionelle styring. CISO’er står over for det samme grundlæggende spørgsmål: Hvordan sikrer man noget, når man måske ikke engang ved, hvad der er blevet bygget, eller hvordan det er konfigureret?

Opdagelse skal derfor være en central del af sikkerhedsstrategien. En god måde at finde applikationerne på er at støtte innovatørerne og opmuntre dem til at udforske, men samtidig kræve, at de registrerer deres projekter. Organisationer skal have indsigt ikke kun i koden, men også i de applikationer, der kører i deres miljø, de tilknyttede identiteter og tilladelser, de data, applikationerne tilgår, og de eksterne systemer, de kommunikerer med.

Hvis vi ser flere år frem, forventer du så, at de fleste vidensarbejdere på en eller anden måde bliver softwareudviklere ved hjælp af AI? Hvis ja, hvordan ændrer det så rollerne for professionelle udviklere, sikkerhedsteams og virksomhedsledere?

Vi bevæger os mod en verden, hvor definitionen af en »softwareudvikler« bliver langt bredere. AI gør det muligt for mennesker, der forstår et forretningsproblem, men ikke er traditionelle udviklere, at omsætte en idé til en velfungerende applikation utroligt hurtigt. Det har jeg selv oplevet.

Jeg mener ikke, at det gør professionelle udviklere eller sikkerhedsteams mindre vigtige. Det ændrer, hvor der er brug for deres ekspertise. Forretningsbrugere kan i stigende grad selv bygge løsninger, mens udviklere kan fokusere på mere komplekse tekniske problemer, og sikkerhedsteams skal skabe den indsigt og de rammer, der gør det muligt for denne nye generation af udviklere at innovere sikkert. Support og vedligeholdelse af applikationer får også en ny betydning. »Byggerne« er ikke altid de bedste »vedligeholdere«. De bidrager med visionen og forretningsbehovet, men langsigtet support af en applikation er stadig en opgave, der egner sig bedst til IT- og applikationsorganisationer. For virksomhedsledere skaber det store muligheder, men også et nyt ansvar. Hvis jeres teams kan udvikle software, skal I betragte softwarerisiko som en del af forretningen – ikke blot som noget, der hører til i udviklingsafdelingen.

Tak for et godt interview. Læsere, der ønsker at vide mere om cloud-sikkerhed, AI-byggede applikationer og sikring af virksomhedsmiljøer, kan besøge Orca Security.