Κέβιν Πέιτζ, CISO στην ConductorOne – Σειρά Συνεντεύξεων

Κέβιν Πέιτζ, CISO στην ConductorOne, είναι ένας βετεράνος εκτελεστικός της κυβερνοασφάλειας με περισσότερες από τρεις δεκαετίες εμπειρίας σε κυβερνητικούς, εταιρικούς τεχνολογικούς και startups υψηλής ανάπτυξης. Βασισμένος στην περιοχή του κόλπου του Σαν Φρανσίσκο, ηγείται της στρατηγικής ασφάλειας ταυτότητας για την εταιρεία ενώ συμβουλεύει οργανισμούς για σύγχρονη ασφάλεια εργατικού δυναμικού και διακυβέρνηση. Ο Πέιτζ προηγουμένως υπηρέτησε ως CISO στην Uptycs, Flexport και MuleSoft, όπου βοήθησε να κατασκευαστούν και να κλιμακωθούν προγράμματα ασφάλειας κατά τις περιόδους ταχείας ανάπτυξης. Νωρίτερα στην καριέρα του, κατέλαβε ρόλους ηγεσίας ασφάλειας και υποδομής στην Salesforce (CRM ) και xMatters, και υπηρέτησε και στις δύο τις Ηνωμένες Πολιτείες Στρατό και Ηνωμένες Πολιτείες Αεροπορία. Επιπλέον των оперативικών του ρόλων, είναι ενεργός στο οικοσύστημα startups της κυβερνοασφάλειας ως σύμβουλος και επενδυτής.

ConductorOne αναπτύσσει μια πλατφόρμα διακυβέρνησης και διαχείρισης ταυτότητας σχεδιασμένη για σύγχρονα cloud και υβριδικά περιβάλλοντα. Η τεχνολογία της παρέχει ενοποιημένη ορατότητα σε ταυτότητες και άδειες σε εφαρμογές, υποδομή και συστήματα on-prem, επιτρέποντας στους οργανισμούς να αυτοματοποιούν τις αναθεωρήσεις πρόσβασης, να επιβάλλουν την πρόσβαση με την ελάχιστη απαιτούμενη εξουσία και να μειώσουν τους κινδύνους ασφάλειας που βασίζονται στην ταυτότητα. Συνδυάζοντας την ανάλυση ταυτότητας με αυτοματοποιημένες εργοτικές διαδικασίες, η πλατφόρμα βοηθά τις ομάδες ασφάλειας να διαχειρίζονται την πρόσβαση σε κλίμακα ενώ βελτιώνουν τη συμμόρφωση και την επιχειρησιακή αποτελεσματικότητα.

Έχετε μια μακρά καριέρα που εκτείνεται σε κυβερνοασφάλεια militær στην αεροπορία των ΗΠΑ, ηγετικές θέσεις ασφάλειας σε εταιρείες όπως MuleSoft, Flexport και Salesforce, και τώρα υπηρετείτε ως CISO στην ConductorOne. Πώς έχει εξελιχθεί η προοπτική σας για την ασφάλεια ταυτότητας σε αυτούς τους ρόλους, και γιατί πιστεύετε ότι η ταυτότητα έχει γίνει ένα από τα πιο κρίσιμα πεδία μάχης στην σύγχρονη κυβερνοασφάλεια;

Στην αεροπορία, η ταυτότητα ήταν πολύ απλούστερη — επίπεδο εξουσιοδότησης, ανάγκη να γνωρίζω, όλα πίσω από τοίχους προστασίας, έτοιμο. Στο MuleSoft, έγινε θέμα κλίμακας — προμήθεια χιλιάδων χρηστών σε εκατοντάδες εφαρμογές SaaS χωρίς να δημιουργούν κενά. Στο Flexport, το περιβάλλον εξαφανίστηκε εντελώς και η ταυτότητα ήταν ο seul έλεγχος που λειτουργούσε ακόμη και αν κάποιος ήταν σε οποιοδήποτε σημείο.

Τώρα στην ConductorOne, η ταυτότητα υποβάλλεται στην πιο θεμελιώδη μεταμόρφωσή της. Δεν αφορά πλέον μόνο τους ανθρώπους — αφορά τις μηχανές, τις APIs, τους λογαριασμούς υπηρεσιών και τους αυτονομούς πράκτορες. Τα εργαλεία που χρησιμοποιούν οι περισσότερες οργανώσεις σχεδιάστηκαν για einen κόσμο που δεν υπάρχει πλέον.

Η ταυτότητα είναι το κρίσιμο πεδίο μάχης επειδή αφορά όλα. Μπορείτε να έχετε την καλύτερη ασφάλεια τερματικού και διαχωρισμό δικτύου στον κόσμο — αν κάτι έχει λάθος πρόσβαση, τίποτα από αυτά δεν έχει σημασία.

Η επικείμενη μελέτη σας Future of Identity Report βρήκε ότι το 95% των επιχειρήσεων λέει ότι οι αυτονομικοί πράκτορες AI εκτελούν ήδη αυτόνομες εργασίες IT ή ασφάλειας. Ποιοι είναι οι τύποι εργασιών που αυτοί οι πράκτορες εκτελούν πραγματικά σήμερα, και πόσο γρήγορα περιμένετε να αυξηθεί το επίπεδο αυτονομίας τους;

Αυτό που με έκπληξε δεν ήταν η υιοθέτηση — είναι η ταχύτητα. Το προηγούμενο έτος, το 96% των επιχειρήσεων σχεδίαζαν να αναπτύξουν πράκτορες. Αυτό το έτος, το 95% έχει ήδη αναπτύξει πράκτορες. Αυτό δεν είναι μια σταδιακή καμπύλη. Αυτό είναι ένα όριο που διασχίζεται.

Οι πράκτορες χειρίζονται εργοτικές διαδικασίες helpdesk, αναθεώρηση ενημερώσεων, αναθεώρηση πρόσβασης, προμήθεια και σε ορισμένες περιπτώσεις αυτοματοποιημένη διόρθωση. Το μέρος που οι περισσότεροι άνθρωποι παραλείπουν: το 64% των οργανισμών ήδη επιτρέπουν στους πράκτορες να ενεργούν αυτονομamente με μόνο μετα-ενέργεια αναθεώρηση. Ο πράκτορας ενεργεί πρώτα, ένας άνθρωπος ελέγχει αργότερα — αν ελέγξει καθόλου.

Οι πράκτορες που εκτελούν εργασίες helpdesk σήμερα θα λαμβάνουν αποφάσεις ασφαλείας εντός 12 μηνών. Το ερώτημα δεν είναι αν η αυτονομία αυξάνεται — είναι αν η διακυβέρνηση παραμένει στο ίδιο επίπεδο. Αυτή τη στιγμή, δεν παραμένει.

Η μελέτη σας υπογραμμίζει την άνοδο των μη ανθρώπινων ταυτοτήτων — συμπεριλαμβανομένων των API, bots και πρακτόρων AI. Γιατί αυξάνονται τόσο γρήγορα αυτές οι μηχανικές ταυτότητες, και γιατί πολλές οργανώσεις ακόμη δυσκολεύονται να τις διαχειριστούν αποτελεσματικά;

Τρεις σύγκλινοι δυνάμεις. Η υιοθέτηση cloud και SaaS σημαίνει ότι κάθε ολοκλήρωση χρειάζεται τη δική της ταυτότητα. Η DevOps παράγει μηχανικές ταυτότητες σε κλίμακα — κάθε pipeline, container και microservice. Και οι πράκτορες AI προσθέτουν μια ολοκληρωτικά νέα κατηγορία που δεν κρατά μόνο πρόσβαση αλλά τη χρησιμοποιεί για να λαμβάνει αποφάσεις.

Οι οργανώσεις δυσκολεύονται επειδή τα εργαλεία δεν κατασκευάστηκαν για αυτό. Η παραδοσιακή διαχείριση ταυτότητας υποθέτει έναν άνθρωπο που συνδέεται και αποσυνδέεται. Οι μηχανικές ταυτότητες λειτουργούν συνεχώς, δεν ανταποκρίνονται στο MFA, συχνά έχουν μόνιμες πιστοποιήσεις και συσσωρεύουν προνόμια επειδή κανείς δεν αναθεωρεί την πρόσβασή τους όπως αναθεωρεί την πρόσβαση ενός ανθρώπου.

Υπάρχει επίσης ένα πρόβλημα ιδιοκτησίας. Όταν ένας dévelopπεur δημιουργεί einen λογαριασμό υπηρεσίας και μετακινείται σε μια άλλη ομάδα, ποιος είναι ο ιδιοκτήτης; Συχνά κανείς. Η έρευνα της βιομηχανίας δείχνει ότι το 97% των μηχανικών ταυτοτήτων έχει υπερβολικά προνόμια. Αυτό δεν είναι ένα πρόβλημα εργαλείων — είναι ένα κενό διακυβέρνησης.

Σχεδόν η μισή των εταιρειών λέει ότι οι μηχανικές ταυτότητες ξεπερνούν πλέον τους ανθρώπινους χρήστες,然而 μόνο ένα μικρό ποσοστό των επιχειρήσεων έχει πλήρη ορατότητα σε αυτά που μπορούν να προσεγγίσουν αυτές οι αυτοματοποιημένες ταυτότητες. Ποιοι κίνδυνοι προκύπτουν όταν οι οργανώσεις χάνουν την ορατότητα σε αυτές τις αυτοματοποιημένες ταυτότητες;

Τρεις στρώσεις. Πρώτα, οι παραβιασμένες πιστοποιήσεις. Οι μηχανικές ταυτότητες συχνά χρησιμοποιούν μακροχρόνιες API κλειδιά ή στατικά tokens που δεν περιστρέφονται. Ένας επιτιθέμενος με ένα από αυτά έχει μόνιμη πρόσβαση που δεν προκαλεί τις ίδιες συναγερμούς όπως ένας παραβιασμένος ανθρώπινος λογαριασμός.

Δεύτερον, η συσσώρευση προνομίων. Οι ολοκλήρωσεις που ξεκίνησαν με πρόσβαση ανάγνωσης κρυφά κερδίζουν πρόσβαση γραφής. Κανείς δεν αφαιρεί παλιά προνόμια επειδή κανείς δεν αναθεωρεί τις μηχανικές ταυτότητες.

Τρίτον — και αυτό εμφανίζεται γρήγορα — οι πράκτορες AI ενισχύουν και τους δύο αυτούς κινδύνους. Ένας παραβιασμένος λογαριασμός υπηρεσίας με πρόσβαση βάσης δεδομένων είναι κακός. Ένας πράκτορας AI με την ίδια πρόσβαση που μπορεί να ενεργεί αυτονομamente και να λαμβάνει αποφάσεις είναι εξοντωτικά χειρότερος.

Η μελέτη μας βρήκε ότι η ορατότητα των μηχανικών ταυτοτήτων είναι στην πραγματικότητα σε μειούμενη τάση — από 30% σε 22% ετησίως. Οι οργανώσεις ανακαλύπτουν το πρόβλημα γρηγορότερα από ό,τι μπορούν να το λύσουν.

Πολυάριθμες εταιρείες θεωρούν τον AI ως einen επιταχυντή της παραγωγικότητας, αλλά η έρευνά σας δείχνει ότι μπορεί επίσης να επεκτείνει ήσυχος τον χώρο επίθεσης. Πώς η υιοθέτηση εργαλείων και πρακτόρων AI δημιουργεί νέους κινδύνους ασφάλειας που σχετίζονται με την ταυτότητα;

Ο πιο άμεσος κίνδυνος είναι η ακούσια υπερ-εξουσιοδότηση. Οι ομάδες αναπτύσσουν έναν πράκτορα AI για μια εργοτική διαδικασία αλλά του δίνουν ευρύτερη πρόσβαση από ό,τι χρειάζεται επειδή η οριοθέτηση προνομίων για μηχανές είναι πιο δύσκολη από ό,τι για τους ανθρώπους. Ο πράκτορας δεν βλέπει μόνο τα εισιτήρια υποστήριξης — βλέπει ολόκληρη τη βάση δεδομένων του πελάτη.

Στη συνέχεια, υπάρχει η ένεση προτύπων. Οι πράκτορες που επεξεργάζονται εξωτερικές εισόδους μπορούν να χειραγωγηθούν για να λαμβάνουν μη προβλεπόμενες ενέργειες. Αν ο πράκτορας έχει ευρύτερη πρόσβαση, μια κατασκευασμένη πρόταση μετατρέπεται τον βοηθό σε ένα εργαλείο εξαγωγής δεδομένων.

Τρίτον είναι ο σκιώδης AI. Η Gartner αναφέρει ότι πάνω από το 50% της χρήσης AI στην επιχείρηση είναι μη εγκεκριμένη. Κάθε μη εγκεκριμένη σύνδεση δημιουργεί νέες ταυτότητες και χώρους επίθεσης που η ομάδα ασφάλειας δεν μπορεί να δει.

Τо έχω δει από πρώτο χέρι — κάποιος έδωσε στον πράκτορα πρόσβαση σε εσωτερικά συστήματα, και μέσα σε quelques ημέρες, κάποιος τον προέτρεψε να αποκαλύψει το πρόγραμμα και το ωρολόγιο του CEO. Ο πράκτορας λειτουργούσε όπως είχε σχεδιαστεί. Η αποτυχία ήταν το μοντέλο πρόσβασης.

Η διακυβέρνηση και διαχείριση ταυτότητας παραδοσιακά εστιάζει στους υπαλλήλους που συνδέονται σε συστήματα. Πώς πρέπει να εξελιχθεί η διακυβέρνηση ταυτότητας τώρα που οι αυτονομικοί πράκτορες λογισμικού αλληλεπιδρούν όλο και περισσότερο με την υποδομή και λαμβάνουν αποφάσεις;

Η θεμελιώδης μετατόπιση είναι από περιοδική σε συνεχής. Η παραδοσιακή διακυβέρνηση λειτουργεί με trimestριαίες αναθεωρήσεις και ετήσιες επαναπιστοποιήσεις. Οι πράκτορες AI λειτουργούν 24/7, λαμβάνουν χιλιάδες αποφάσεις μεταξύ των κύκλων αναθεώρησης και μπορούν να αλλάξουν συμπεριφορά με βάση μια ενημέρωση μοντέλου. Μέχρι την время που μια trimestριαία αναθεώρηση πιάνει έναν υπερ-εξουσιοδοτημένο πράκτορα, η ζημιά έχει ήδη γίνει.

Τρεις cosas πρέπει να αλλάξουν. Η διακυβέρνηση πρέπει να είναι συνεχής — αξιολογώντας την πρόσβαση σε πραγματικό χρόνο, όχι σε ένα πρόγραμμα. Πρέπει να είναι βασισμένη σε πολιτική και όχι σε ρόλους — δυναμικές πολιτικές που περιορίζονται σε συγκεκριμένες εργασίες, όχι στατικές ανάθεσεις ρόλων. Και πρέπει να είναι πλήρως ελέγξιμη — κάθε ενέργεια του πράκτορα καταγράφεται και μπορεί να αναχθεί σε εκείνον που την εξουσιοδότησε.

Η διακυβέρνηση ταυτότητας πρέπει να λειτουργεί με την ταχύτητα της μηχανής για να διακυβερνήσει τους ηγέτες της μηχανής. Αυτή η ανταπόκριση είναι όπου ζει ο κίνδυνος.

ConductorOne περιγράφει την πλατφόρμα της ως βοηθό για τις οργανώσεις να ασφαλίσουν τις ανθρώπινες και μηχανικές ταυτότητες μαζί. Από τεχνικής πλευράς, ποια είναι τα απαραίτητα изменения που απαιτούνται στην υποδομή ταυτότητας για να ασφαλίσουν τους πράκτορες AI που λειτουργούν μέσα σε επιχειρησιακά περιβάλλοντα;

Η μεγαλύτερη αλλαγή είναι η ενοποίηση. Οι περισσότερες οργανώσεις διαχειρίζονται τις ανθρώπινες ταυτότητες μέσω του IDP και τις μηχανικές ταυτότητες μέσω ενός patchwork από διαχειριστές μυστικών και χειροκίνητες διαδικασίες. Οι πράκτορες AI πέφτουν στο κενό μεταξύ αυτών των κόσμων.

Τρεις cosas πρέπει να συμβούν. Κάθε πράκτορας AI χρειάζεται μια ταυτότητα πρώτης τάξης — όχι einen κοινό λογαριασμό υπηρεσίας, όχι τα πιστοποιητικά ενός développeur, αλλά μια αφιερωμένη ταυτότητα με τη δική της ζωή και εύλογη αναθεώρηση. Αυτές οι ταυτότητες χρειάζονται πρόσβαση just-in-time, just-enough — ελάχιστα προνόμια για μια συγκεκριμένη εργασία, ανακληθεί όταν η εργασία ολοκληρωθεί. Και οι οργανώσεις χρειάζονται συνεχής παρακολούθηση того που οι πράκτορες κάνουν με την πρόσβασή τους, όχι μόνο αυτό που τους επιτρέπεται να κάνουν.

Στην ConductorOne, διακυβερνούμε τις ανθρώπινες και μηχανικές ταυτότητες μέσω ενός ενιαίου πλάνου ελέγχου. Αυτό είναι όπου η βιομηχανία πηγαίνει — το 45% ήδη χρησιμοποιεί εργαλεία IAM για τη διακυβέρνηση μηχανικών ταυτοτήτων, ένα άλλο 45% σχεδιάζει να το κάνει εντός 12 μηνών. Η διακυβέρνηση ταυτότητας μόνο για ανθρώπους τελειώνει.

Ορισμένες οργανώσεις προσπαθούν να διαχειριστούν τον κίνδυνο AI απαγορεύοντας ή περιορίζοντας entirely τα εργαλεία AI. Βασισμένος σε αυτό που βλέπετε σε επιχειρήσεις, είναι αυτή η προσέγγιση ρεαλιστική, ή απλά οδηγεί την χρήση AI σε μη διαχειριζόμενες και λιγότερο ορατές περιβάλλοντα;

Οδηγεί σε ένα υπόγειο. Κάθε φορά. Το έχω δει με κάθε τεχνολογική εξέλιξη — BYOD, cloud, SaaS. Όταν η ασφάλεια λέει όχι, οι άνθρωποι δεν σταματούν. Απλά σταματούν να λέουν στην ασφάλεια.

Η Gartner αναφέρει ότι ο σκιώδης AI αντιπροσωπεύει πάνω από το 50% της χρήσης AI στην επιχείρηση. Απαγορεύοντας τον AI δεν εξαφανίζει τον κίνδυνο — εξαφανίζει την ορατότητα. Και δεν μπορείτε να ασφαλίσετε αυτό που δεν μπορείτε να δείτε.

Η καλύτερη προσέγγιση: κάντε τη διαδικασία ασφαλούς την εύκολη διαδικασία. Αν η διακυβέρνηση της υιοθέτησης AI είναι γρήγορη και απλή, οι άνθρωποι θα τη χρησιμοποιήσουν. Αν χρειάζεται έξι εβδομάδες για να εγκριθεί, θα την αναπτύξουν σε προσωπικό λογαριασμό κατά τη διάρκεια της παύσης για το μεσημεριανό γεύμα.

Απαγορεύοντας τον AI το 2026 είναι σαν να απαγορεύεις το cloud το 2016. Δεν προλαμβάνετε τον κίνδυνο — εγγυάστε ότι δεν θα το δείτε να έρχεται.

Όταν οι συστήματα AI αρχίζουν να ενεργούν πιο ανεξάρτητα, η γραμμή μεταξύ αυτοματοποίησης και εξουσίας γίνεται θολή. Πώς πρέπει οι οργανώσεις να σκέφτονται τη διακυβέρνηση, τις εγκρίσεις και την εποπτεία όταν οι πράκτορες AI είναι ικανοί να λαμβάνουν λειτουργικές ενέργειες;

Να σκέφτεστε την ανάθεση, όχι την αυτοματοποίηση. Όταν αναθέτετε σε一个人, ορίζετε το πεδίο, τους κρατάτε υπόλογους και αναθεωρείτε το έργο τους. Η ίδια δομή ισχύει και για τους πράκτορες.

Αυτό σημαίνει ιεραρχική αυτονομία. Χαμηλού κινδύνου, επαναλαμβανόμενες εργασίες — επαναφορά κωδικών, διαδρομή εισιτηρίων — τρέχουν αυτονομamente με καταγραφή. Μεσαίου κινδύνου ενέργειες — αλλαγές ρυθμίσεων ασφαλείας, αυξημένη πρόσβαση — απαιτούν ανθρώπινη έγκριση ή ειδοποίηση σε πραγματικό χρόνο. Υψηλού κινδύνου ενέργειες — ευαίσθητα δεδομένα, προνομιούχες πρόσβαση, μη αναστρέψιμες αλλαγές — απαιτούν ρητή εξουσιοδότηση πριν ο πράκτορας ενεργήσει.

Κάθε πράκτορας χρειάζεται επίσης έναν ανθρώπινο ιδιοκτήτη που είναι υπεύθυνος για αυτό που κάνει. Χωρίς αυτήν την αλυσίδα, οι πράκτορες λειτουργούν σε ένα κενό διακυβέρνησης όπου κανείς δεν απαντά για τις συνέπειες.

Η μελέτη μας βρήκε ότι μόνο το 19% έχει συνεχής policy-βασισμένη επιβολή για τους πράκτορες. Αυτό σημαίνει ότι το 81% βασίζονται σε στατικές άδειες και ελπίδα. Αυτό δεν είναι διακυβέρνηση.

Κοιτάζοντας μπροστά, ποια είναι τα πιο σημαντικά βήματα που οι ηγέτες ασφαλείας πρέπει να κάνουν τις επόμενες 12-24 μήνες για να προετοιμάσουν τα πλάνη ταυτότητας και πρόσβασης για einen κόσμο όπου οι πράκτορες AI λειτουργούν ως πλήρεις ψηφιακές ταυτότητες μέσα στην επιχείρηση;

Πέντε προτεραιότητες.

Πρώτα, πάρτε ορατότητα. Οι περισσότερες οργανώσεις δεν ξέρουν πόσες μηχανικές ταυτότητες έχουν. Δεν μπορείτε να διακυβερνήσετε αυτό που δεν μπορείτε να δείτε.

Δεύτερον, αντιμετωπίστε κάθε πράκτορα AI σαν έναν χρήστη. Αφιερωμένη ταυτότητα, περιορίζοντας άδειες, περιστροφή πιστοποιητικών, αναθεωρήσεις πρόσβασης. Αν δεν θα δώσετε σε έναν άνθρωπο μόνιμη διαχειριστική πρόσβαση σε όλα, μην το κάνετε και στον πράκτορα.

Τρίτον, μεταβείτε από περιοδική σε συνεχής διακυβέρνηση. Trimestριαίες αναθεωρήσεις δεν μπορούν να跟παθούν τους πράκτορες που αλλάζουν συμπεριφορά σε δευτερόλεπτα.

Τέταρτον, κατασκευάστε το πλάνό σας πολιτικής τώρα — πριν να έχετε εκατοντάδες πράκτορες. Ορίστε τα όρια αυτονομίας, τις απαιτήσεις εγκρίσεων και την ιδιοκτησία ενώ είναι ακόμη διαχειρίσιμη.

Πέμπτον, ενοποιήστε τη διακυβέρνηση σε ανθρώπινες και μηχανικές ταυτότητες. Ξεχωριστά συστήματα δημιουργούν κενά.

Οι νικητές δεν θα είναι οι οργανώσεις που αναπτύσσουν τον περισσότερο AI. Θα είναι εκείνοι που κατασκευάζουν διακυβέρνηση ταυτότητας ικανή να λειτουργεί με την ταχύτητα της μηχανής.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν ConductorOne.