Shannon McWilliams, Leiter des weltweiten Vertriebs bei Orca Security – Interviewreihe

Shannon McWilliams ist Leiter des weltweiten Vertriebs bei Orca Security. Zu seinem Aufgabenbereich gehören das Partnerökosystem des Unternehmens und die dazugehörigen Tools. Da er zuvor ein Softwareentwicklungsunternehmen gegründet hat, bringt er Erfahrung darin mit, geschäftliche Anforderungen in Anwendungen umzusetzen. In jüngerer Zeit nutzte er KI-Entwicklungstools, um eine frühe Version der Partner Success Platform von Orca zu entwickeln. Gemeinsam mit dem Sicherheitsteam führte er das Projekt vom Wochenendprototyp in Richtung eines produktionsreifen Systems.

Orca Security bietet eine Cloud-Sicherheitsplattform, mit der Unternehmen Ressourcen ermitteln, Risiken erkennen und priorisieren sowie Cloud-Umgebungen schützen können. Zu den abgedeckten Bereichen gehören unter anderem Schwachstellen, Fehlkonfigurationen, Identitäten und Berechtigungen, sensible Daten sowie KI-Sicherheit. In diesem Interview spricht McWilliams darüber, wie KI es Geschäftsleuten ermöglicht, Software zu entwickeln, warum auch funktionierende Anwendungen unabhängig auf ihre Sicherheit geprüft werden müssen und wie kontinuierliche Erkennung, das Prinzip der geringsten Berechtigungen und menschliche Aufsicht Unternehmen dabei helfen können, dieses neue Entwicklungsmodell zu steuern.

Sie kamen als Leiter des weltweiten Vertriebs zu Orca Security und entwickelten innerhalb weniger Monate mithilfe von KI selbst eine neue Partnerplattform. Welches Problem wollten Sie ursprünglich lösen, und wann wurde aus dem Experiment ein Projekt, das Orca tatsächlich in den Produktivbetrieb überführen konnte?

Als ich zu Orca kam, sollte ich mir unter anderem das gesamte Partnererlebnis ansehen. Wir nutzten eine Plattform eines Drittanbieters, aber ich sah die Chance, etwas Moderneres und Benutzerfreundlicheres für unsere Partner zu schaffen. Ich hatte zwar etwas Erfahrung in der Anwendungsentwicklung, war aber selbst kein Entwickler. Anfang des Sommers hatte ich mit einer Plattform eines Drittanbieters zur App-Generierung an Verbraucher-Apps gearbeitet. Deshalb beschloss ich, mit KI auszuprobieren, was ich selbst entwickeln konnte.

Im Laufe eines Wochenendes gelang es mir, eine einfache erste Version dessen zu erstellen, was später zu unserer Partner Success Platform wurde. Sie bot bereits Funktionen, die über das hinausgingen, was ich von herkömmlichen Partnerportalen kannte, darunter KI-gestützte Funktionen wie den Abgleich mit idealen Kunden und Unterstützung beim Abschluss von Geschäften. Wir ergänzten die Plattform um viele weitere Anwendungen, etwa die Erfassung von Zertifizierungen und KI-generierte Quizze, und machten den gesamten Zertifizierungsprozess für unsere Partner spielerischer. Anschließend begannen wir, Daten mit unserer Salesforce-Plattform zu synchronisieren. Der Wendepunkt kam, als unser CEO die erste Version sah und ihr Potenzial erkannte. Von da an ging es nicht mehr nur ums Experimentieren, sondern auch um die Frage, was nötig wäre, um etwas Derartiges sicher und produktionsreif zu machen. Unser Sicherheitsteam wurde einbezogen, und ich arbeitete eng mit Dudi Peretz zusammen, um die Umgebung abzusichern. Schließlich ließ ich diese Arbeit unabhängig von einem externen Unternehmen überprüfen.

Sie haben zuvor ein Softwareentwicklungsunternehmen gegründet und wissen daher, wie Anwendungen traditionell entwickelt wurden. Wie unterschied sich die Softwareentwicklung mithilfe natürlichsprachlicher KI von der Arbeit mit Entwicklerteams, und wo war Ihre eigene Fachkenntnis weiterhin besonders wichtig?

Der größte Unterschied war die Geschwindigkeit. Bei der traditionellen Softwareentwicklung liegen zwischen einer Idee, ihrer Übersetzung in technische Anforderungen, der Umsetzung durch Entwickler und der anschließenden Überarbeitung des Ergebnisses in der Regel mehrere Schritte. Mit KI konnte ich beschreiben, was ich wollte, sofort sehen, wie es Gestalt annahm, und es direkt weiter verfeinern. Der Überarbeitungsprozess dauert Minuten statt der Tage, die man sonst in Meetings mit Entwicklern verbringt, um die gewünschte Benutzeroberfläche und die gesamte Datenbankzuordnung für die erforderlichen Funktionen festzulegen. Bei der KI-gestützten Entwicklung braucht es dafür einen Prompt mit 2 Sätzen statt 2 Tagen voller Meetings.

Das macht Fachkenntnisse jedoch nicht überflüssig. Es verändert vielmehr, an welcher Stelle sie wichtig sind. KI kann die technischen Hürden bei der Entwicklung einer Anwendung erheblich senken. Die Person, die sie anleitet, muss aber weiterhin verstehen, welches Problem sie lösen will, wie eine nützliche Benutzererfahrung aussieht und welchen Zweck die Anwendung letztlich für das Unternehmen erfüllen soll. Am meisten überraschte mich, wie schnell man von einer Idee zu etwas Funktionierendem gelangen kann. Aufgaben wie die Datenanalyse, für die früher Wochen nötig sein konnten, lassen sich heute möglicherweise an einem Tag erledigen.

Orca hat die erste funktionsfähige Version der Partnerplattform als etwas beschrieben, das Sie an nur einem Wochenende entwickelt haben. Was konnte KI erheblich beschleunigen, und welche Aspekte der Entwicklung einer produktionsreifen Anwendung erwiesen sich als schwieriger als zunächst angenommen?

KI verkürzte den Weg von der Idee zur funktionierenden Anwendung erheblich. Ich konnte an einem Wochenende Funktionen entwickeln, für die es bei der herkömmlichen Entwicklung viel länger gedauert hätte, und weitere Funktionen äußerst schnell hinzufügen und ändern. Diese Geschwindigkeit ist zugleich erstaunlich und ein wenig beängstigend.

Was KI nicht überflüssig machte, waren all die Schritte, die nötig sind, um eine Anwendung für den Produktivbetrieb sicher zu machen. Als wir entschieden, dass daraus etwas Reales werden könnte, musste unser Sicherheitsteam die Umgebung bewerten, Sicherheitsprobleme beheben und sicherstellen, dass die Anwendung angemessen geschützt war. Zur zusätzlichen Validierung zogen wir schließlich ein externes Unternehmen hinzu. KI machte die Entwicklung also unglaublich schnell. Aber „es funktioniert“ und „es ist bereit für den sicheren Einsatz in einem Unternehmen“ sind nach wie vor zwei ganz unterschiedliche Maßstäbe.

Die Sicherheitstools der KI-Entwicklungsplattform zeigten an, dass die Anwendung sicher sei. Bei der anschließenden Prüfung durch Orca wurden jedoch Probleme im Zusammenhang mit Berechtigungen und dem Datenzugriff festgestellt. Was hat Ihnen diese Erfahrung darüber gelehrt, wie sehr Geschäftsanwender den Sicherheitszusicherungen von KI-Entwicklungsplattformen vertrauen sollten?

Das war wahrscheinlich eine meiner wichtigsten Erkenntnisse aus dieser Erfahrung. Die Plattform verfügte über eigene Funktionen zur Sicherheitsüberprüfung, die mir beim Entwickeln eine hilfreiche erste Orientierung boten. Die Prüfung durch unser Sicherheitsteam hat mir jedoch gezeigt, wie wertvoll eine zusätzliche Kontrollinstanz ist – insbesondere bei Themen wie Berechtigungen und Datenzugriff. Mir wurde dadurch klar, dass integrierte Sicherheitstools ein wichtiger Teil des Entwicklungsprozesses sind, aber am besten in Verbindung mit dem fundierten Kontextwissen und der Expertise eines spezialisierten Sicherheitsteams funktionieren.

Das ist besonders wichtig, weil viele der Menschen, die heute mit KI Anwendungen entwickeln können, keine Sicherheitsexperten sind. Sie wissen möglicherweise nicht, welche Fragen sie stellen sollten, welche Berechtigungen zu weitreichend sind oder welche Konfigurationen Daten offenlegen könnten. Wenn die Entwicklungsplattform meldet, eine Anwendung sei sicher, kann der Prozess damit nicht beendet sein. Bevor eine Anwendung veröffentlicht oder mit sensiblen Unternehmenssystemen verbunden wird, muss sie weiterhin umfassend auf Sicherheit geprüft werden. Dabei muss auch über die Frage hinausgeschaut werden, ob die Anwendung lediglich die eigenen Prüfungen der Plattform besteht.

Wenn das Sicherheitsteam Schwachstellen entdeckte, konnten Sie diese Erkenntnisse häufig in die KI-Entwicklungsumgebung zurückspielen und innerhalb weniger Minuten Lösungen generieren. Kann KI die Behebung von Sicherheitsproblemen grundlegend verändern – von einem langwierigen Entwicklungszyklus hin zu einem fortlaufenden Austausch zwischen Entwicklern und Sicherheitsteams?

Das ist eine der spannendsten Möglichkeiten. Wenn Dudi und das Sicherheitsteam Probleme feststellten, konnte ich dieses Feedback direkt in die KI-Entwicklungsumgebung einbringen und sehr schnell Lösungen generieren lassen. Dadurch könnte eine wesentlich engere Rückkopplung zwischen der Person entstehen, die eine Anwendung entwickelt, und dem Team, das für ihre Absicherung verantwortlich ist.

Früher konnte es viel länger dauern, Software zu entwickeln und bereitzustellen. Heute kann jemand täglich Änderungen vornehmen und veröffentlichen. Die Sicherheit muss mit diesem Tempo Schritt halten. Die Chance besteht darin, die kontinuierliche Sicherheitsbewertung zum Bestandteil des Entwicklungsprozesses zu machen, damit sich ein Problem deutlich schneller erkennen, an die entwickelnde Person zurückmelden und beheben lässt und die Anwendung anschließend erneut geprüft werden kann.

Eine schnelle Behebung bedeutet jedoch nicht, dass wir die Maßstäbe für die Überprüfung senken können. KI kann zwar rasch eine Lösung generieren, doch Sicherheitsteams brauchen weiterhin eine Möglichkeit, zu überprüfen, ob das Risiko dadurch tatsächlich behoben wurde und kein neues entstanden ist.

Die daraus entstandene Partner-Erfolgsplattform umfasst KI-Assistenten, Pipeline-Analysen, die Erstellung von Kampagnen und Unterstützung beim Abschluss von Geschäften. Wie haben Sie entschieden, welche Aufgaben die KI direkt übernehmen sollte und welche Entscheidungen beim menschlichen Partner oder Vertriebsmitarbeiter bleiben sollten?

Mir ging es nicht darum, den Menschen aus dem Partner- oder Vertriebsprozess zu entfernen. Vielmehr sollte KI den Menschen helfen, schneller voranzukommen und die ihnen bereits verfügbaren Informationen besser zu nutzen. Die Unterstützung beim Abschluss von Geschäften ist ein gutes Beispiel: KI kann dabei helfen, Möglichkeiten zu erkennen, eine im Vertriebstrichter feststeckende Geschäftschance weiterzuentwickeln, und zusätzliche Einblicke oder einen empfohlenen nächsten Schritt liefern.

Wichtig ist meines Erachtens die Unterscheidung zwischen der Fähigkeit der KI, schnell Informationen aus unterschiedlichen Systemen abzurufen, ihre Relevanz zu analysieren und sie so aufzubereiten, dass die Nutzer anschließend darauf reagieren können. Die Plattform sollte Partnern oder Vertriebsmitarbeitern helfen, effektiver zu arbeiten, während die Verantwortung für Entscheidungen, die geschäftliches Urteilsvermögen erfordern, beim Menschen bleibt. Ziel ist es, durch die Nutzung der Plattform die Zeit von der Entdeckung einer Geschäftschance bis zum erfolgreichen Abschluss zu verkürzen.

KI ermöglicht es Beschäftigten in Vertrieb, Marketing, Finanzwesen und anderen Abteilungen, eigene Anwendungen zu entwickeln, ohne dafür die Entwicklungsabteilung einzubeziehen. Welche grundlegenden Sicherheits- und Governance-Kontrollen sollten eingerichtet sein, bevor diese Anwendungen auf Kundendaten, interne Systeme oder Cloud-Infrastruktur zugreifen dürfen?

An erster Stelle steht der Überblick. Unternehmensrichtlinien sollten diese Art von Erkundung und Innovation zwar fördern, doch eine Anwendung, von deren Existenz man nichts weiß, lässt sich nicht absichern. Die Förderung von Innovation erhöht daher die Wahrscheinlichkeit, dass Beschäftigte ihre Projekte vorstellen, statt sie im Verborgenen zu halten. Anschließend müssen Unternehmen wissen, welche Identitäten und Berechtigungen die Anwendung hat, auf welche Daten sie zugreifen kann, mit welchen Drittsystemen sie kommuniziert und ob diese Zugriffsrechte tatsächlich notwendig sind. Schaffen Sie Raum für Innovation, aber sorgen Sie zugleich für einen Prozess, der Innovatoren unterstützt und die Sicherheitsanforderungen erfüllt.

Das Prinzip der geringsten Berechtigungen ist besonders wichtig. Eines der Risiken, die wir beobachten, besteht darin, dass Anwendungen weiterreichende Zugriffsrechte erhalten, als sie tatsächlich benötigen. Außerdem darf die Sicherheitsprüfung nicht auf eine einmalige Kontrolle vor der Einführung beschränkt bleiben. Wenn Anwendungen kontinuierlich geändert werden können, müssen Unternehmen sie auch fortlaufend neu bewerten können.

Die herkömmliche Software-Governance war auf Entwicklungsteams, Pull Requests, Release-Zyklen und vergleichsweise kontrollierte Bereitstellungspipelines ausgelegt. Wie muss sich der Softwareentwicklungslebenszyklus in Unternehmen ändern, wenn Fachanwender Anwendungen nun kontinuierlich ändern und bereitstellen können?

Die grundlegende Herausforderung besteht darin, dass sich der Entwicklungstakt verändert hat. Traditionell wurde Software über einen längeren Zeitraum hinweg nach vergleichsweise etablierten Prozessen entwickelt und veröffentlicht. Mit KI-Entwicklungstools kann jemand potenziell jeden Tag etwas Neues erstellen und veröffentlichen. Sicherheits- und Governance-Prozesse, die auf regelmäßigen Prüfpunkten beruhen, reichen in diesem Umfeld nicht aus.

Wir müssen zu einer Sicherheit übergehen, die kontinuierlich funktioniert und mit diesem Entwicklungszyklus Schritt halten kann. Das bedeutet, herauszufinden, was entwickelt wird, zu verstehen, wie es konfiguriert und angebunden ist, es während seiner Weiterentwicklung zu überprüfen und den Entwicklern umsetzbares Feedback zu geben, das sie schnell berücksichtigen können. Die Lösung kann nicht darin bestehen, Mitarbeitenden die Nutzung dieser Tools zu verbieten; das Produktivitätspotenzial ist zu groß. Die Herausforderung besteht darin, Leitplanken zu schaffen, die diese Innovation sicher ermöglichen.

Sie haben den Aufstieg KI-gestützter Anwendungen mit einer noch schwierigeren Form der „Schatten-IT“ verglichen. Was macht diese neue Generation von Schatten-Software potenziell problematischer, und wie können Unternehmen Anwendungen aufspüren, von denen Sicherheits- oder IT-Teams möglicherweise gar nichts wissen?

Bei der herkömmlichen Schatten-IT ging es oft darum, dass Mitarbeitende eine SaaS-Anwendung nutzten, die von der IT nicht freigegeben worden war. Neu ist, dass Mitarbeitende die Anwendung nun selbst erstellen können – und zwar unglaublich schnell. Jemand kann über ein persönliches Konto eine Anwendung entwickeln, sie in Systeme von Drittanbietern integrieren und möglicherweise mit Unternehmensdaten verbinden, noch bevor die Sicherheitsteams überhaupt von ihrer Existenz wissen.

Das macht die Situation besonders herausfordernd: Das Entwickeln ist so einfach geworden, dass die Zahl der Anwendungen und die Geschwindigkeit, mit der sie sich verändern, die herkömmliche Governance schnell überfordern können. CISOs stehen vor derselben grundlegenden Frage: Wie schützt man etwas, wenn man möglicherweise nicht einmal weiß, was entwickelt wurde oder wie es konfiguriert ist?

Die Erkennung muss daher zu einem zentralen Bestandteil der Sicherheitsstrategie werden. Die Innovatoren zu unterstützen, sie zum Erkunden zu ermutigen und sie ihre Projekte registrieren zu lassen, ist ein guter Weg, um Anwendungen aufzuspüren. Unternehmen benötigen nicht nur Einblick in den Code, sondern auch in die Anwendungen, die in ihrer Umgebung laufen, in die damit verbundenen Identitäten und Berechtigungen, in die Daten, auf die sie zugreifen, und in die externen Systeme, mit denen sie kommunizieren.

Glauben Sie mit Blick auf die kommenden Jahre, dass die meisten Wissensarbeiter mithilfe von KI in gewisser Weise zu Softwareentwicklern werden? Wenn ja, wie verändert das die Rollen professioneller Entwickler, der Sicherheitsteams und der Führungskräfte im Unternehmen?

Wir bewegen uns auf eine Welt zu, in der der Begriff „Softwareentwickler“ viel weiter gefasst sein wird. KI ermöglicht es Menschen, die ein geschäftliches Problem verstehen, aber keine traditionellen Entwickler sind, eine Idee unglaublich schnell in eine funktionierende Anwendung umzusetzen. Das habe ich selbst erlebt.

Ich glaube nicht, dass professionelle Entwickler oder Sicherheitsteams dadurch weniger wichtig werden. Es verändert vielmehr, wo ihre Fachkenntnisse gefragt sind. Fachanwender können zunehmend selbst Lösungen entwickeln, während sich Entwickler auf komplexere technische Probleme konzentrieren können und Sicherheitsteams für die nötige Transparenz und die Leitplanken sorgen müssen, damit diese neue Generation von Entwicklern sicher innovativ sein kann. Auch Anwendungssupport und -wartung erhalten dadurch eine neue Perspektive. „Entwickler“ sind nicht immer die besten „Betreuer“. Sie bringen die Vision und den geschäftlichen Bedarf ein, doch die langfristige Betreuung einer Anwendung ist nach wie vor eine Aufgabe, für die sich IT- und Anwendungsabteilungen am besten eignen. Für Führungskräfte im Unternehmen bedeutet das enorme Chancen, aber auch neue Verantwortung. Wenn Ihre Teams Software entwickeln können, müssen Sie Software-Risiken als Teil des Geschäfts betrachten – und nicht als etwas, das allein in den Zuständigkeitsbereich der Entwicklung gehört.

Vielen Dank für das großartige Interview. Leserinnen und Leser, die mehr über Cloud-Sicherheit, KI-gestützte Anwendungen und den Schutz von Unternehmensumgebungen erfahren möchten, sollten Orca Security besuchen.