Τζεφ Μαργκόλις, Chief Product και Strategy Officer στην Saviynt – Σειρά Συνεντεύξεων

Τζεφ Μαργκόλις, Chief Product και Strategy Officer στην Saviynt, ηγείται της διαχείρισης προϊόντων, της εταιρικής στρατηγικής, των τεχνολογικών συνεργασιών και της εταιρικής ανάπτυξης, εργαζόμενος με πελάτες, συνεργάτες και ομάδες σε όλη την οργάνωση για να διαμορφώσει την μακροπρόθεσμη οπτική και τον χάρτη ανάπτυξης της εταιρείας. Φέρνει πάνω από 25 χρόνια εμπειρίας σε θέματα ταυτότητας και κυβερνοασφάλειας, έχοντας προηγουμένως διατελέσει Chief Strategy Officer της Saviynt και κατέχει υψηλές ηγετικές θέσεις στην Mandiant, Deloitte και Accenture. Στην Mandiant, επόπτευε τη στρατηγική, τις στρατηγικές συνεργασίες και την εταιρική ανάπτυξη, ενώ η προηγούμενη καριέρα του περιελάμβανε τη βοήθεια στην ίδρυση και την κλιμάκωση της πρακτικής διαχείρισης ταυτότητας και πρόσβασης της Accenture σε μια παγκόσμια οργάνωση με περισσότερους από 700 επαγγελματίες. Ο Μαργκόλις κατέχει πτυχίο στην Οπτική Μηχανική από το Πανεπιστήμιο του Ρότσεστερ και μεταπτυχιακό τίτλο στην Ηλεκτρική Μηχανική από το Πανεπιστήμιο της Καλιφόρνιας, Μπέρκλεϊ.

Saviynt είναι μια εταιρεία ασφαλείας ταυτότητας που βασίζεται στο AI, επικεντρωμένη στη βοήθεια των επιχειρήσεων να κυβερνούν και να ασφαλίσουν την πρόσβαση σε ανθρώπινους χρήστες, μη ανθρώπινες ταυτότητες, μηχανές, εφαρμογές, υποδομή και πράκτορες AI. Η πλατφόρμα ταυτότητας Saviynt συνδυάζει τη διαχείριση ταυτότητας, τη διαχείριση προνομίων πρόσβασης, τη διαχείριση πρόσβασης εφαρμογών, τη διαχείριση εξωτερικών ταυτοτήτων, την ασφάλεια μη ανθρώπινων ταυτοτήτων και τη διαχείριση στάθμης ασφαλείας ταυτότητας σε μια ενοποιημένη cloud πλατφόρμα που σχεδιάστηκε για cloud, εσωτερικές, SaaS, IaaS και υβριδικά περιβάλλοντα. Η εταιρεία έχει τοποθετήσει τον εαυτό της όλο και περισσότερο γύρω από τις ανάγκες της εποχής του AI, συμπεριλαμβανομένων εργαλείων για την ασφάλεια των πρακτόρων AI, τη διακυβέρνηση των εργασιών των πρακτόρων και την ενεργοποίηση των φυσικών γλωσσικών λειτουργιών ταυτότητας μέσω προσφόρωσης όπως ο διακομιστής Saviynt MCP στο AWS Marketplace.

Ως Chief Product και Strategy Officer, έχετε μια θέση στην πρώτη γραμμή για το πώς οι απαιτήσεις ασφαλείας ταυτότητας των επιχειρήσεων αλλάζουν. Πώς έχει αλλάξει η άνοδος των πρακτόρων AI τον τρόπο με τον οποίο οι οργανισμοί πρέπει να σκέφτονται για την ταυτότητα, την πρόσβαση και τη διακυβέρνηση, και πώς επηρέασαν αυτές οι αλλαγές την ανάπτυξη της Saviynt του Agent Access Gateway και της Intent-Aware Runtime Authorization;

Οι πράκτορες AI αλλάζουν την ασφάλεια ταυτότητας γιατί οι ανθρώπινες και μηχανικές ταυτότητες λειτουργούν με πολύ διαφορετικούς τρόπους. Δεν είναι πλέον μόνο η διαχείριση των ανθρώπων που συνδέονται σε εφαρμογές. Οι οργανισμοί διαχειρίζονται λογισμικό που μπορεί να συλλογιστεί, να λάβει αποφάσεις και να ενεργήσει αυτόνομα σε διάφορες συστήματα. Σκέφτομαι τους πράκτορες ως την επόμενη γενιά εφαρμογών. Μετά τις εφαρμογές κεντρικών υπολογιστών, πελάτη-διακομιστή, ιστού και SaaS, τώρα μπαίνουμε στην εποχή των εφαρμογών πρακτόρων.

Οι βασικές αρχές παραμένουν οι ίδιες. Οι οργανισμοί πρέπει να γνωρίζουν ποιος είναι ο ιδιοκτήτης του πράκτορα, ποιος μπορεί να τον χρησιμοποιήσει, ποια συστήματα μπορεί να προσεγγίσει και πώς η δραστηριότητά του κυβερνάται. Οι μηχανικές ταυτότητες αλλάζουν την ταχύτητα και την κλίμακα. Ένας επιχειρηματικός χρήστης μπορεί τώρα να δημιουργήσει έναν πράκτορα σε λίγα λεπτά, που σημαίνει ότι η διακυβέρνηση πρέπει να κινηθεί με την ίδια ταχύτητα. Αυτό είναι που μας οδήγησε να αναπτύξουμε το Agent Access Gateway και την Intent-Aware Runtime Authorization — για να βοηθήσουμε τις επιχειρήσεις να υιοθετήσουν πράκτορες με τα σωστά έλεγχα πρόσβασης, λογοδοσία και φραγμούς από την αρχή.

Οι πράκτορες AI μετακινούνται γρήγορα από πειραματικές σε παραγωγικές περιβάλλοντα. Πώς οι αυτόνομοι πράκτορες αλλάζουν το παραδοσιακό μοντέλο ταυτότητας και πρόσβασης που οι επιχειρήσεις έχουν βασιστεί για δεκαετίες;

Η παραδοσιακή διαχείριση ταυτότητας και πρόσβασης χτίστηκε γύρω από τους ανθρώπους και το προβλέψιμο λογισμικό. Ένας χρήστης αυθεντικοποιήθηκε, ζήτησε πρόσβαση και εκτέλεσε συγκεκριμένες ενέργειες σε καθορισμένα συστήματα. Κατανοούμε σαφώς τον κύκλο ζωής της ανθρώπινης ταυτότητας σε αυτό το πλαίσιο, συμπεριλαμβανομένου του πώς να προβλέψουμε την πρόσβαση. Οι πράκτορες AI εισάγουν έναν διαφορετικό κύκλο ζωής. Μπορούν να δημιουργηθούν γρήγορα, να ενεργούν συνεχώς, να προσαρμόζονται σε διαδικασίες και να αλληλεπιδρούν με πολλές εφαρμογές, API και πηγές δεδομένων με πολύ μεγαλύτερη αυτονομία.

Οι βασικές αρχές ταυτότητας εξακολουθούν να ισχύουν: κάθε ταυτότητα χρειάζεται αυθεντικοποίηση, εξουσιοδότηση, διακυβέρνηση και λογοδοσία. Η ταχύτητα είναι πολύ διαφορετική. Αντί για μερικές εταιρικές εφαρμογές που χτίζονται από κεντρικές ομάδες, οι οργανισμοί μπορεί να έχουν χιλιάδες πράκτορες που δημιουργούνται από επιχειρηματικούς χρήστες. Στην πραγματικότητα, 92% των CISOs δεν έχουν πλήρη ορατότητα στις ταυτότητες AI, και το 95% αμφιβάλλει ότι θα μπορούσε να ανιχνεύσει ή να περιορίσει την κακοποίηση εάν συνέβαινε. Η ασφάλεια ταυτότητας πρέπει να εξελιχθεί ώστε η ιδιοκτησία, οι έλεγχοι πρόσβασης, οι έγκρισεις και η παρακολούθηση να καθορίζονται αυτόματα όταν δημιουργούνται πράκτορες.

Πολλές οργανώσεις vẫn χρησιμοποιούν άδειες και έλεγχους πρόσβασης που σχεδιάστηκαν για ανθρώπινους υπαλλήλους και συμβατικές εφαρμογές λογισμικού. Γιατί αυτές οι προσεγγίσεις είναι ανεπαρκείς όταν ασχολούνται με πράκτορες AI που μπορούν να συλλογιστούν, να προσαρμοστούν και να εκτελέσουν ενέργειες ανεξάρτητα;

Η παραδοσιακή εξουσιοδότηση συνήθως ρωτάει, «Είναι αυτή η ταυτότητα επιτρεπόμενη να εκτελέσει αυτήν την ενέργεια;» Αυτό δεν είναι πλέον αρκετό για τους πράκτορες AI γιατί ένας πράκτορας μπορεί να έχει τεχνικά άδεια να κάνει κάτι, αλλά ακόμη να ενεργεί έξω από την πρόθεση του χρήστη.

Για παράδειγμα, αν ένας χρήστης ζητήσει από έναν πράκτορα να «καθαρίσει» μια βάση δεδομένων, ο πράκτορας μπορεί να ερμηνεύσει αυτό ως διαγραφή εγγραφών. Μπορεί να έχει άδεια να διαγράψει αυτές τις εγγραφές, αλλά αυτό μπορεί να μην είναι αυτό που ο χρήστης εννοούσε. Με τους πράκτορες, οι οργανισμοί πρέπει να αξιολογήσουν όχι μόνο αν μια ενέργεια είναι επιτρεπόμενη, αλλά αν συμφωνεί με τον αρχικό σκοπό και την πρόθεση πίσω από την εργασία.

Η Saviynt πρόσφατα εισήγαγε την Intent-Aware Runtime Authorization. Τι σημαίνει ακριβώς «πρόθεση-παρατηρημένη» εξουσιοδότηση, και πώς διαφέρει από τα παραδοσιακά μοντέλα αυθεντικοποίησης και εξουσιοδότησης;

Η πρόθεση-παρατηρημένη εξουσιοδότηση σημαίνει την αξιολόγηση του αν οι ενέργειες του πράκτορα συμφωνούν με αυτό που ο άνθρωπος σκόπευε να κάνει. Κάθε πράκτορας δημιουργείται ή αποστέλλεται για να εκτελέσει μια εργασία, και αυτή η εργασία δημιουργεί το πλαίσιο για αυτό που ο πράκτορας πρέπει και δεν πρέπει να κάνει.

Η παραδοσιακή εξουσιοδότηση λαμβάνει μια δυαδική απόφαση: είναι αυτό επιτρεπόμενο ή όχι; Η πρόθεση-παρατηρημένη εξουσιοδότηση προσθέτει ένα επιπλέον στρώμα ρωτώντας αν η ενέργεια έχει νόημα στο πλαίσιο της αρχικής εργασίας. Αν ένας πράκτορας ζητηθεί να αρχειοθετήσει παλιά δεδομένα αλλά αρχίζει να διαγράφει ενεργά αρχεία, αυτό μπορεί να είναι τεχνικά επιτρεπόμενο, αλλά δεν είναι συμφωνία με την πρόθεση του χρήστη. Ο στόχος της πρόθεση-παρατηρημένης εξουσιοδότησης σε πραγματικό χρόνο είναι να κυβερνήσει τις ενέργειες του πράκτορα με βάση το πλαίσιο της εργασίας, την πολιτική και τα προβλεπόμενα αποτελέσματα.

Πώς μπορούν οι επιχειρήσεις να καθορίσουν αν ένας πράκτορας AI πρέπει να επιτρέπεται να εκτελέσει μια συγκεκριμένη ενέργεια ακόμη και όταν έχει τεχνικά άδεια να προσεγγίσει το υποκείμενο σύστημα;

Ξεκινά με τον προγραμματισμό. Πριν από την εκτέλεση μιας ενέργειας από τον πράκτορα, οι οργανισμοί πρέπει να ορίσουν τι πρέπει να επιτύχει, ποια συστήματα πρέπει να προσεγγίσει, ποιοι φραγμοί ισχύουν και ποίες πολιτικές πρέπει να ακολουθήσει. Αυτός ο προγραμματισμός γίνεται η βάση για την αξιολόγηση της συμπεριφοράς του πράκτορα.

Το κλειδί είναι να μην είναι μόνο αν ο πράκτορας έχει πρόσβαση, αλλά αν η ενέργειά του είναι συνεπής με την εργασία που δημιουργήθηκε για να εκτελέσει. Πολλές υπάρχουσες εφαρμογές και API δεν χτίστηκαν για να επιβάλουν αυτό το επίπεδο επίγνωσης του πλαισίου, που είναι γιατί ένα μοντέλο πυλών είναι σημαντικό. Το Agent Access Gateway παρέχει ένα επιπλέον στρώμα ελέγχου για την αξιολόγηση των σχεδίων έναντι των ενεργειών και τη βοήθεια στη διαχείριση της υπερχρηματοδότησης ή των κενών σε παλαιότερα συστήματα.

Μια από τις μεγαλύτερες ανησυχίες γύρω από τους πράκτορες AI είναι ότι μπορούν να ενεργούν σε πολλαπλά συστήματα και πηγές δεδομένων σε δευτερόλεπτα. Ποιοι νέοι κίνδυνοι δημιουργούνται για τις ομάδες ασφαλείας, και ποιοι κίνδυνοι υποτιμώνται σήμερα;

Οι πράκτορες AI δεν δημιουργούν πάντα εντελώς νέους κινδύνους. Σε πολλές περιπτώσεις, αυξάνουν την πιθανότητα ότι οι υπάρχοντες κίνδυνοι θα εκμεταλλευτούν. Αν μια οργάνωση έχει ήδη υπερχρηματοδοτημένα λογαριασμούς, αδύναμους έλεγχους ή συστήματα που βασίζονται στην αμνησία, οι πράκτορες μπορούν να βρουν και να ενεργήσουν σε αυτές τις αδυναμίες πολύ γρήγορα από τους ανθρώπους, κλιμάκωνοντας τον κίνδυνο.

Συχνά τους σύγκρινω με το να αφήνεις μια πίσω πόρτα ανοικτή. Η αδυναμία υπάρχει ήδη, αλλά η πιθανότητα κάποιου να τη βρει μπορεί να είναι χαμηλή. Τώρα φανταστείτε έναν πράκτορα που ελέγχει κάθε πίσω πόρτα σε χιλιάδες περιβάλλοντα σε δευτερόλεπτα. Αυτός είναι ο λόγος για τον οποίο οι οργανισμοί πρέπει να βρουν τις βασικές αρχές: να γνωρίζουν ποιοι πράκτορες υπάρχουν, να κατανοούν τι μπορούν να προσεγγίσουν, να περιορίζουν τις άδειες που δεν είναι απαραίτητες και να κυβερνούν τη δραστηριότητά τους συνεχώς.

Όταν οι επιχειρήσεις αναπτύσσουν πολλαπλούς πράκτορες AI σε διάφορα τμήματα, πώς πρέπει οι οργανισμοί να κυβερνούν ποιος μπορεί να αλληλεπιδράσει με αυτούς τους πράκτορες και ποια πληροφορίες ή συστήματα αυτοί οι πράκτορες μπορούν να προσεγγίσουν;

Ένας χρήσιμος τρόπος να σκεφτείτε έναν πράκτορα AI είναι ως μια εφαρμογή. Οι επιχειρήσεις ήδη γνωρίζουν πώς να κυβερνούν τις εφαρμογές: ποιος τις ιδιοκτησία, ποιος μπορεί να τις χρησιμοποιήσει, ποια συστήματα συνδέονται, ποια δεδομένα μπορούν να προσεγγίσουν και πώς η πρόσβαση τους αναθεωρείται. Οι ίδιες ερωτήσεις ισχύουν και για τους πράκτορες.

Η διαφορά είναι ότι οι πράκτορες μπορούν να δημιουργηθούν σε λεπτά από επιχειρηματικούς χρήστες, όχι σε μήνες από μεγάλες ομάδες ανάπτυξης και μόνο 5% των CISOs νιώθουν ότι μπορούν να περιορίσουν έναν υποτιθέμενο πράκτορα AI. Η διακυβέρνηση πρέπει να χτιστεί στην διαδικασία δημιουργίας ώστε η ιδιοκτησία, η πρόσβαση, οι έγκρισεις, οι άδειες και οι περιοδικές αναθεωρήσεις να καθορίζονται από την αρχή αντί να προστίθενται μετά την λειτουργία του πράκτορα.

Ο σκιώδης AI έχει γίνει μια αυξανόμενη ανησυχία καθώς οι υπάλληλοι υιοθετούν εργαλεία AI έξω από την επίσημη εποπτεία IT. Πώς οι πράκτορες AI ενισχύουν αυτήν την πρόκληση, και ποια πρακτικά βήματα μπορούν οι οργανισμοί να λάβουν για να ανακτήσουν την ορατότητα και τον έλεγχο;

Οι πράκτορες AI ενισχύουν τον σκιώδη AI γιατί είναι εύκολο να δημιουργηθούν και μπορούν να ενεργούν σε διάφορα συστήματα. Αυτό δεν σημαίνει ότι οι οργανισμοί πρέπει να προσπαθήσουν να σταματήσουν τους ανθρώπους από τη χρήση τους. Οι κέρδη της παραγωγικότητας είναι πραγματικά, και οι επιχειρήσεις θα τις καταδιώξουν.

Η πρακτική απάντηση είναι η ορατότητα και οι φραγμοί. Οι οργανισμοί πρέπει να γνωρίζουν ποιοι πράκτορες υπάρχουν, ποιος τους ιδιοκτησία, τι προορίζονται να κάνουν και ποια συστήματα ή δεδομένα μπορούν να προσεγγίσουν. Κάθε πράκτορας πρέπει να έχει μια ταυτότητα, καθορισμένες άδειες και συνεχής παρακολούθηση. Πολλές επιχειρήσεις είναι ακόμη σε πρώιμα στάδια πειραματισμού, οπότε υπάρχει ακόμη χρόνος να χτιστεί η διακυβέρνηση πριν η υιοθέτηση του πράκτορα φτάσει σε πολύ μεγαλύτερο μέγεθος. Αλλά ο χρόνος αυτός εξαφανίζεται γρήγορα.

Κοιτάζοντας μπροστά, πιστεύετε ότι κάθε πράκτορας AI θα χρειαστεί τελικά τη δική του ψηφιακή ταυτότητα, πλαίσιο διακυβέρνησης και ιστορικό ελέγχου παρόμοιο με τους ανθρώπινους υπαλλήλους; Τι είναι αυτό το μελλοντικό μοντέλο;

Κάθε πράκτορας AI πρέπει να έχει αναμφισβήτητα τη δική του ταυτότητα ώστε οι οργανισμοί να γνωρίζουν τι είναι, ποιος τον ιδιοκτησία, τι μπορεί να προσεγγίσει και τι κάνει. Οι ανθρώπινες ταυτότητες και οι μη ανθρώπινες ταυτότητες, συμπεριλαμβανομένων των πρακτόρων AI, πρέπει όλες να κυβερνούνται μέσω ενός ενοποιημένου μοντέλου ασφαλείας ταυτότητας.

Οι έννοιες είναι οικείες: αυθεντικοποίηση, εξουσιοδότηση, ιδιοκτησία, άδειες, παρακολούθηση δραστηριότητας και διακυβέρνηση. Τι αλλάζει είναι η κλίμακα. Οι επιχειρήσεις μπορεί να δημιουργήσουν εκατοντάδες πράκτορες την εβδομάδα, οδηγώντας τελικά σε δεκάδες χιλιάδες ή ακόμη και εκατομμύρια εφαρμογές πρακτόρων. Το μέλλον είναι η εφαρμογή των βασικών αρχών ασφαλείας ταυτότητας σε κάθε τύπο ταυτότητας με πολύ μεγαλύτερη ταχύτητα και κλίμακα. Τώρα είναι η ώρα να ξεκινήσει η εφαρμογή.

Όταν οι επιχειρήσεις αγωνίζονται να αναπτύξουν πρακτικούς AI, ποια είναι τα πιο κοινά λάθη που βλέπετε τις οργανώσεις να κάνουν σήμερα, και τι πρέπει οι ηγέτες ασφαλείας και τεχνολογίας να προτεραιοποιήσουν τις επόμενες 12 έως 24 μήνες για να διασφαλίσουν ότι οι πράκτορες AI παραμένουν και παραγωγικοί και αξιόπιστοι;

Θα ήταν một μεγάλο λάθος να αφήσετε την ασφάλεια σε αυτήν την εποχή στη τύχη. Τα κέρδη της παραγωγικότητας που σχετίζονται με τους πρακτικούς AI είναι πραγματικά, και οι οργανισμοί πρέπει να τα εκμεταλλευτούν. Ο μεγαλύτερος κίνδυνος είναι ότι η ασφάλεια και η διακυβέρνηση δεν κρατούν το ρυθμό.

Τις επόμενες 12 έως 24 μήνες, οι ηγέτες πρέπει να επικεντρωθούν στις βασικές αρχές ορατότητας και διακυβέρνησης: να διατηρούν έναν κατάλογο των πρακτόρων, να αναθέτουν ιδιοκτησία, να δίνουν σε κάθε πράκτορα μια ταυτότητα, να κατανοούν τι μπορούν να προσεγγίσουν και να κάνουν τη διακυβέρνηση μέρος της διαδικασίας δημιουργίας. Αυτή είναι μια ευκαιρία να χτιστεί η ασφάλεια σε μια σημαντική αλλαγή πλατφόρμας από την αρχή αντί να προσπαθήσουν να την αναβαθμίσουν αργότερα.

Ευχαριστούμε για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν Saviynt.