Howard Ting, CEO de Opal Security – Serie de entrevistas

Howard Ting, CEO de Opal Security es un experimentado ejecutivo de ciberseguridad y tecnología que actualmente lidera Opal Security desde noviembre de 2025. Antes de este cargo, se desempeñó como Executive in Residence en Greylock mientras pasaba más de cinco años en Cyberhaven como CEO y director de la junta, guiando a la empresa a través de su misión de proteger los datos y permitir la innovación segura. Su experiencia incluye puestos de liderazgo en marketing estratégico en Redis Labs y Zscaler, así como roles senior de marketing y producto en Nutanix, Palo Alto Networks (PANW ), Cisco (a través de Securent), Microsoft (MSFT ), RSA Security y experiencia temprana en fusiones y adquisiciones en Banc of America Securities. Esta combinación de liderazgo operativo, experiencia en llegar al mercado y experiencia en ciberseguridad lo posiciona de manera única al frente de una plataforma de seguridad en rápido crecimiento.

Opal Security es una empresa moderna de gestión de acceso basada en identidad que proporciona a las empresas una plataforma centralizada para gobernar y proteger quién tiene acceso a qué en sistemas en la nube, SaaS y sistemas internos. La plataforma ofrece visibilidad unificada de identidad y rutas de acceso, admite flujos de trabajo de autoservicio y acceso justo a tiempo, y automatiza las revisiones de acceso para hacer cumplir las políticas de privilegios mínimos a gran escala, lo que ayuda a las organizaciones a reducir el riesgo y mejorar el cumplimiento en entornos dinámicos que incluyen usuarios humanos, cuentas de servicio y agentes de inteligencia artificial.

Recientemente asumió el cargo de CEO en Opal Security después de liderar Cyberhaven a través de un crecimiento significativo y ocupar puestos senior en empresas como Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis y Microsoft. ¿Qué lo atrajo a Opal en este momento de su carrera, y cómo su experiencia anterior influye en su forma de pensar sobre el acceso, la identidad y la seguridad nativa de IA?

La gestión del acceso se está volviendo más difícil en todas partes. Más identidades, más máquinas, más automatización, y el acceso significativo se origina cada vez más dentro de los flujos de trabajo de ingeniería y la nube, no en la TI tradicional. Las herramientas de IAM y IGA estándar no fueron diseñadas para nada de esto, y las amenazas impulsadas por la identidad no están esperando a que las herramientas las alcancen.

Es lo que me atrajo a Opal. La escala de este problema es masiva, y Opal ya está alineada con hacia dónde se dirige el mercado. He visto versiones de este patrón antes. En RSA, Palo Alto Networks y Cyberhaven, vi cómo se desplegaron las revoluciones de la autenticación multifactor, los firewalls de próxima generación y la línea de datos en tiempo real, y la dinámica aquí es sorprendentemente similar: un problema que define la categoría que se acelera más rápido de lo que la mayoría de los proveedores pueden responder, con una ventana estrecha para que el equipo correcto lo domine.

Opal tiene ese equipo. La base de ingeniería y producto es sólida, y la cartera de clientes, construida a través del trabajo directo y enfocado, habla por sí misma. Cada conversación con los clientes que atendí refuerza la misma señal: este problema se está acelerando, y Opal es quien lo está resolviendo.

Lo que he aprendido al construir y escalar equipos en empresas es que la ejecución se vuelve radicalmente más simple cuando el producto, la ingeniería y el mercado comparten el mismo nivel de enfoque en el cliente. Cuando todos ven el mismo problema y la misma oportunidad, se mueven rápido sin perder precisión. Opal ya tiene esa base. Mi trabajo es construir sobre ella, y asegurarme de que nuestros clientes sientan la fuerza total de este equipo detrás de ellos a medida que escalamos.

Después de años trabajando en identidad, infraestructura en la nube y seguridad empresarial, ¿dónde cree que los modelos de control de acceso tradicionales se están rompiendo a medida que las organizaciones adoptan la IA de manera más profunda?

La respuesta honesta es que la mayoría de los modelos de control de acceso tradicionales fueron diseñados para resolver la autenticación, y para los humanos, ese problema está en gran medida resuelto. Los IDP y los métodos de autenticación modernos manejan “¿quién eres?” de manera razonable. Para las identidades no humanas, las claves de API y la gestión de secretos te llevan parte del camino. Pero la autorización, “¿qué debes poder hacer y durante cuánto tiempo?”, sigue siendo profundamente irresuelta tanto para los humanos como para las máquinas, y ahí es donde vive el verdadero riesgo.

Lo que complica esto es que los equipos de ingeniería ahora operan a través de la automatización, la infraestructura como código y la herramientas asistidas por IA que generan nuevos permisos como parte del desarrollo diario. El acceso no cambia lentamente a través de los flujos de trabajo de TI; se crea, modifica y amplía de forma programática, a menudo sin que nadie revise lo que se acaba de conceder. El resultado es un creciente desorden de cuentas sobrepotenciadas, herramientas de privilegios fragmentadas y una gobernanza que es costosa, reactiva y en gran medida ciega a lo que realmente está sucediendo.

Y seré directo sobre algo más: hay una cantidad enorme de “lavado de IA” en este mercado en este momento. Los proveedores están apresurándose a adjuntar “IA” a arquitecturas heredadas, lo que está oscureciendo una realidad crítica para los compradores: un marco de seguridad y gobernanza validado para los agentes de IA todavía no existe. El hype está superando a los controles reales, y esa brecha es donde se construye la exposición real.

Es lo que hace que el enfoque de Opal sea diferente. En lugar de agregar la gobernanza a los flujos de trabajo después del hecho, Opal modela el acceso directamente desde los sistemas que los ingenieros ya usan, aplica la política en tiempo real y da a los equipos de seguridad una forma de guiar las decisiones de autorización sin crear fricción. Cuando la gobernanza se ajusta naturalmente a la forma en que la ingeniería realmente funciona, deja de ser un obstáculo y se convierte en infraestructura en la que se puede confiar.

Opal se centra en gestionar quién y qué puede acceder a sistemas sensibles en entornos nativos de la nube modernos. ¿Cuáles son los problemas de seguridad que las empresas que construyen con agentes de IA y flujos de trabajo automatizados subestiman más?

Los problemas más subestimados no son en realidad nuevos. Son los que han estado acumulándose silenciosamente durante años alrededor de las identidades humanas. La higiene básica de la gobernanza como los flujos de trabajo de unión/movimiento/salida, el acceso justo a tiempo y las revisiones de acceso de usuario han sido pasados por alto o reunidos con cinta adhesiva en la mayoría de las organizaciones durante mucho tiempo. Las obligaciones de cumplimiento como SOX no han desaparecido; han vuelto a ser más difíciles de satisfacer a medida que los entornos crecen en complejidad. Nada de esto es glamoroso, pero es exactamente la base que se rompe cuando se capas de agentes de IA.

Las organizaciones están integrando la IA para simplificar los flujos de trabajo y eliminar tareas mundanas, pero al hacerlo, están introduciendo identidades no humanas que multiplican las relaciones de acceso de maneras que las herramientas existentes nunca estuvieron diseñadas para manejar. El resultado es una red desordenada donde el acceso humano ya estaba mal gobernado y el acceso de la máquina ahora se expande con aún menos visibilidad. Las decisiones de acceso necesitan ser explicables, vinculadas a la hora, vinculadas al uso real y monitoreadas continuamente, pero la mayoría de los equipos todavía confían en sistemas estáticos, de un tamaño único, que no pueden entregar nada de eso. Mientras tanto, los agentes de codificación están generando y desplegando código con permisos incrustados, interactuando con la infraestructura directamente y operando con acceso que nadie está revisando a través de una lente de seguridad tradicional: una exposición de seguridad y cumplimiento que la mayoría de las organizaciones ni siquiera han comenzado a dimensionar.

Las empresas que construyen con agentes de IA tienden a centrarse en la novedad de la tecnología mientras subestiman lo rápido que el desorden de acceso y los permisos invisibles se convierten en una responsabilidad grave, especialmente cuando la base de identidad humana subyacente ya era frágil.

Ha visto evolucionar la seguridad a lo largo de múltiples generaciones de infraestructura. ¿Qué cambia fundamentalmente cuando las identidades de máquina y los agentes de IA comienzan a superar en número a los usuarios humanos?

Cuando las identidades de máquina superan en número a los usuarios humanos, se vuelve cada vez más difícil monitorear quién tiene acceso a qué. El IAM tradicional no fue diseñado para esta realidad y la mayoría de las plataformas de TI y HR solo ofrecen visibilidad parcial, especialmente a medida que la supervisión de la identidad se expande más allá de un solo equipo. Para monitorear con éxito este tipo de identidades, necesitamos dar a los agentes de IA una propiedad clara, permisos delimitados y auditoría completa desde el principio. Opal Security aborda esto modelando a los humanos, los servicios y los agentes dentro de un solo marco, en lugar de tratarlos como entidades separadas.

Los auditores ahora esperan revisar el comportamiento humano y agente lado a lado al analizar las revisiones de acceso. Los agentes generalmente heredan los conjuntos de permisos de los usuarios que los despliegan, pero ciertos casos de uso requieren agentes que se identifiquen como cuentas de servicio con conjuntos de permisos personalizados (generalmente con permisos reducidos).

La IA es cada vez más una superficie de ataque y una herramienta defensiva. Desde su perspectiva, ¿dónde mejora significativamente la IA los resultados de seguridad hoy en día, y dónde todavía introduce nuevos riesgos?

La IA es una herramienta inmensamente poderosa que es la base de nuestro producto. Opal Security utiliza la IA para monitorear, detectar y prevenir el acceso irregular en las organizaciones. La IA también cambia la seguridad de la identidad porque introduce actores que no solo autenticación y ejecutan tareas, sino que razonan, se adaptan y actúan de forma autónoma. Los sistemas de identidad tradicionales fueron diseñados para personas y cuentas de servicio estáticas, donde el acceso cambiaba lentamente y la intención era relativamente predecible.

Pero los agentes de IA rompen ese modelo. El riesgo es la pérdida de visibilidad y responsabilidad. Los agentes pueden activarse y desactivarse dinámicamente, encadenar permisos a través de los sistemas, y actuar en nombre de los usuarios, otros agentes o ellos mismos. Ningún recurso seguro puede ser “violado”, pero las acciones sensibles aún pueden ocurrir porque todo fue técnicamente autorizado. Esa es la nueva superficie de ataque. La forma de gestionar esto es a través de una plataforma unificada e inteligente que comprenda y proteja todos los tipos de entidades a través del contexto, el comportamiento y la adaptación continua.

Esta visión unificada forma la base de la seguridad: no puedes proteger lo que no puedes ver o entender. En Opal, creemos en comprender cada relación. No es suficiente saber quién está en el sistema. Debes saber quién está conectado a qué y por qué.

A medida que los agentes de codificación de IA y los sistemas automatizados obtienen permisos más amplios dentro de las organizaciones, ¿cómo deben replantear los equipos de seguridad el acceso de privilegios mínimos en la práctica, no solo en teoría?

El acceso a la identidad moderna necesita tratar a las identidades humanas y de máquina por igual, para que las empresas puedan tener la visibilidad, la automatización y la confianza necesarias para escalar de manera segura en la era de la IA. En la práctica, esto significa otorgar permisos solo cuando sean necesarios y revisar y ajustar el acceso continuamente a medida que cambian las tareas o los roles. El monitoreo automatizado y los controles basados en riesgos se vuelven esenciales, asegurando que las herramientas de IA puedan operar de manera eficiente sin crear exposición de seguridad innecesaria.

Es útil habilitar el acceso justo a tiempo por defecto para los agentes, pero hacerlo sin fricción: aprobar automáticamente recursos específicos cuando corresponda, o si el usuario opera en un entorno donde todos los datos son sensibles, restringir el uso a máquinas virtuales aisladas.

Aunque cualquier nueva restricción en el uso de los agentes puede tener el potencial de molestar a los usuarios finales al ralentizarlos, es importante encontrar a los usuarios donde están. Con Opal, eso significa que las solicitudes de acceso se pueden presentar y aprobar en Slack, y las estrategias de IaaC, incluidas Terraform, se pueden utilizar para automatizar las concesiones de acceso, revocaciones y acceso vinculado al tiempo.

Basándose en su experiencia escalando empresas de seguridad, ¿qué señales le indican que los controles de acceso de una organización ya no están alineados con la forma en que la empresa realmente opera?

Las organizaciones pueden saber que sus controles de acceso están desincronizados cuando el acceso comienza a quedarse atrás de la realidad. Esto puede manifestarse como permisos excesivos o desactualizados, cuellos de botella manuales de sistemas heredados o la adopción de sistemas de IA sin políticas actualizadas para rastrear identidades no humanas. Otra señal de alerta es el aumento de incidentes de seguridad o casi accidentes, donde las cuentas sobrepotenciadas o las identidades mal gobernadas son los culpables.

Las implementaciones complejas de Sailpoint, que dependen de un equipo de consultores, así como el seguimiento del acceso en hojas de cálculo, no eran eficientes en la era anterior a los agentes, y además, este enfoque heredado simplemente colapsará bajo la velocidad y complejidad de los agentes. Opal entrega una plataforma única que sirve a la seguridad, desbloquea a TI y da a los auditores lo que necesitan. Encontramos que el RBAC es frágil y rara vez es un estado de affairs duradero, por lo que los equipos exitosos comienzan con el acceso justo a tiempo y luego avanzan hacia el acceso basado en persona (con flexibilidad y seguimiento con el tiempo) para que las configuraciones de Terraform puedan ser versionadas, desplegadas o revertidas si es necesario.

Desde una perspectiva de liderazgo, ¿cómo equilibra la velocidad de innovación con la disciplina necesaria para generar confianza en los productos de seguridad?

He aprendido que las grandes empresas se mantienen disciplinadas sobre los fundamentos incluso cuando están creciendo rápidamente. Estos fundamentos incluyen prioridades claras, comunicación transparente y la voluntad de tomar decisiones difíciles. La innovación todavía importa, pero debe estar basada en la rigidez: valores predeterminados sólidos, modelado de amenazas reflexivo y responsabilidad por los resultados. Tomar esas decisiones de manera deliberada es lo que permite moverse rápidamente sin comprometer la confianza, y con el tiempo, esa disciplina se convierte en una ventaja competitiva.

¿Qué creen que los líderes de seguridad malinterpretan más sobre la preparación para un futuro dominado por sistemas autónomos en lugar de acceso impulsado por humanos?

Lo que los líderes de seguridad subestiman con más frecuencia es la complejidad de gestionar diferentes tipos de identidades. Las empresas están tan ansiosas por avanzar y mantenerse al día con las últimas tecnologías que las medidas de seguridad a menudo se dejan de lado. Los flujos de trabajo impulsados por IA se introducen sin una propiedad clara, dejando a las organizaciones con puntos ciegos donde las identidades no humanas acumulan acceso silenciosamente, operan fuera de los controles tradicionales y crean nuevas oportunidades para errores costosos o amenazas. Prepararse para este futuro requiere tratar la identidad como una capa dinámica y gobernada continuamente.

Al crecer, los equipos de seguridad deben poseer las políticas de uso de los agentes y determinar cómo, si y dónde el acceso de los agentes se reduce desde el humano que llama al agente. Cualquier proceso que anteriormente capas de trabajo en los equipos humanos simplemente colapsará bajo la escala y la naturaleza efímera de los agentes: la automatización es la única forma de gestionar el volumen de solicitudes.

Mirando hacia adelante, ¿qué aspecto tiene la “buena higiene de seguridad” en un entorno donde los sistemas de IA están creando, modificando y solicitando acceso continuamente por sí mismos?

La buena higiene de seguridad se trata de aprovechar la IA para escalar la seguridad mientras se mantiene el monitoreo y la disciplina suficientes para asegurarse de que nada se escape por las rendijas. La IA no va a desaparecer, así que ya sea que una empresa use un proveedor como Opal o lo gestione internamente, las empresas deben aceptar que el acceso ya no es estático. Cuando los sistemas de IA están creando, modificando y solicitando acceso constantemente, la seguridad debe pasar de la aprobación única a la supervisión continua. Eso significa tratar el acceso como un ciclo de vida continuo en lugar de una casilla de verificación única.

Las empresas también necesitarán usar activamente la IA como parte de su defensa. La automatización puede ayudar a los equipos a mantener el ritmo con el volumen y la velocidad de los cambios de acceso, pero debe estar emparejada con guardias claras, visibilidad en las cadenas de delegación y responsabilidad humana cuando algo sale mal. Es importante mostrar señales de explicabilidad: valores de Shapley y coeficientes de características para los modelos de aprendizaje automático tradicionales, y contexto adicional o justificaciones detalladas de los LLM. Sin estas sutilezas, es una batalla cuesta arriba para mantener cualquier cadena de confianza para acceder a recursos empresariales sensibles. Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Opal Security.