Shannon McWilliams, responsable de Distribución Global en Orca Security: serie de entrevistas

Shannon McWilliams es responsable de Distribución Global en Orca Security, donde su trabajo abarca el ecosistema de socios de la empresa y las herramientas que lo respaldan. Como anteriormente fundó una empresa de desarrollo de software, aporta experiencia en la transformación de necesidades empresariales en aplicaciones. Más recientemente, utilizó herramientas de desarrollo con IA para crear una primera versión de Partner Success Platform de Orca, y trabajó con el equipo de seguridad para llevar el proyecto desde un prototipo desarrollado durante un fin de semana hasta un sistema listo para producción.

Orca Security ofrece una plataforma de seguridad en la nube que ayuda a las organizaciones a descubrir activos, identificar y priorizar riesgos, y proteger entornos en la nube. Sus capacidades abarcan áreas como vulnerabilidades, configuraciones incorrectas, identidades y permisos, datos confidenciales y seguridad de la IA. En esta entrevista, McWilliams explica cómo la IA permite a los usuarios empresariales crear software, por qué las aplicaciones funcionales siguen necesitando una revisión de seguridad independiente y cómo el descubrimiento continuo, el principio de mínimo privilegio y la supervisión humana pueden ayudar a las empresas a gestionar este nuevo modelo de desarrollo.

Se incorporó a Orca Security como responsable de Distribución Global y, en cuestión de meses, terminó creando por su cuenta una nueva plataforma para socios con ayuda de la IA. ¿Qué problema intentaba resolver al principio y en qué momento el proyecto dejó de ser un experimento y se convirtió en algo que Orca podía poner realmente en producción?

Cuando me incorporé a Orca, una de las cosas que me pidieron analizar fue la experiencia general de los socios. Utilizábamos una plataforma de terceros, pero vi la oportunidad de crear algo más moderno y sencillo para nuestros socios. Tenía cierta experiencia en desarrollo de aplicaciones, aunque no como desarrollador. A principios de aquel verano había trabajado en aplicaciones de consumo con un proveedor externo de una plataforma de generación de aplicaciones, así que decidí experimentar y ver qué podía crear por mi cuenta con IA.

En el transcurso de un fin de semana, pude crear una primera versión básica de lo que se convirtió en Partner Success Platform, con funcionalidades que iban más allá de lo que veía en los portales tradicionales para socios, incluidas capacidades impulsadas por IA, como la identificación de clientes ideales y el asesoramiento sobre oportunidades de venta. Añadimos muchas más aplicaciones a la plataforma, como seguimiento de certificaciones y cuestionarios generados por IA, y gamificamos todo el proceso de certificación para nuestros socios; luego empezamos a sincronizar datos con nuestra plataforma Salesforce. El punto de inflexión llegó cuando nuestro director ejecutivo vio la versión inicial y reconoció su potencial. Fue también entonces cuando pasamos de la experimentación a plantearnos qué hacía falta realmente para que algo así fuera seguro y estuviera listo para producción. Se involucró nuestro equipo de seguridad y empecé a trabajar estrechamente con Dudi Peretz para proteger el entorno, antes de que una empresa externa verificara de forma independiente ese trabajo.

Anteriormente fundó una empresa de desarrollo de software, por lo que conoce la forma tradicional de crear aplicaciones. ¿Qué diferencias encontró entre desarrollar software mediante instrucciones en lenguaje natural para la IA y gestionar a desarrolladores? ¿Y en qué aspectos siguió siendo más importante su propio conocimiento especializado del sector?

La mayor diferencia fue la velocidad. En el desarrollo tradicional de software, suele haber varias etapas entre tener una idea, traducirla en requisitos técnicos, encargar a los desarrolladores que la construyan e iterar sobre el resultado. Con la IA, podía describir lo que quería, ver cómo tomaba forma y seguir perfeccionándolo casi de inmediato. El proceso de iteración lleva minutos, en lugar de los días que pueden ocupar las reuniones con desarrolladores para definir la interfaz de usuario deseada y todas las correspondencias con la base de datos necesarias para crear la funcionalidad. Con el desarrollo mediante IA, basta con una instrucción de 2 frases, en vez de 2 días de reuniones.

Pero eso no elimina la necesidad de contar con experiencia especializada; cambia el ámbito en el que esta resulta importante. La IA puede reducir drásticamente las barreras técnicas para crear una aplicación, pero quien la dirige sigue necesitando comprender el problema que intenta resolver, cómo sería una experiencia útil y qué debe lograr, en última instancia, la aplicación para la empresa. Lo que más me sorprendió fue lo rápido que se podía pasar de una idea a algo funcional. Tareas como analizar datos, que antes podían llevar semanas, ahora posiblemente se pueden completar en un día.

Orca ha descrito la primera versión funcional de la plataforma para socios como algo que creó en un solo fin de semana. ¿Qué tareas pudo acelerar drásticamente la IA y qué aspectos de la creación de una aplicación lista para producción siguieron siendo más difíciles de lo que parecían al principio?

La IA acortó drásticamente la distancia entre una idea y una aplicación funcional. Pude crear en un fin de semana funcionalidades que, con los métodos tradicionales, habrían requerido un proceso de desarrollo mucho más largo, y seguir añadiendo y modificando funciones a gran velocidad. Esa rapidez es asombrosa y un poco aterradora.

La IA no eliminó nada de lo necesario para que una aplicación sea segura en producción. Cuando decidimos que podía convertirse en algo real, nuestro equipo de seguridad tuvo que evaluar el entorno, resolver los problemas de seguridad y asegurarse de que la aplicación estuviera debidamente protegida. Finalmente, recurrimos a una empresa externa como otra capa de validación. Así que la IA hizo que el desarrollo fuera increíblemente rápido, pero «funciona» y «está lista para operar de forma segura en una empresa» siguen siendo dos cosas muy distintas.

Las herramientas de seguridad de la propia plataforma de desarrollo de IA indicaban que la aplicación era segura; sin embargo, la revisión posterior de Orca reveló problemas relacionados con los permisos y el acceso a los datos. ¿Qué te enseñó esa experiencia sobre el grado de confianza que deberían depositar los usuarios de negocio en las garantías de seguridad que ofrecen las plataformas de desarrollo de IA?

Esa fue probablemente una de las mayores lecciones que me dejó la experiencia. La plataforma tenía sus propias funciones de análisis de seguridad, que me proporcionaron una base útil mientras desarrollaba la aplicación. Sin embargo, el proceso de revisión con nuestro equipo de seguridad me mostró el valor de añadir otro nivel de escrutinio, sobre todo en aspectos como los permisos y el acceso a los datos. Esto reforzó la idea de que las herramientas de seguridad integradas son una parte importante del proceso de desarrollo, pero funcionan mejor cuando se complementan con el contexto y la experiencia más profundos que puede aportar un equipo de seguridad especializado.

Esto es especialmente importante porque muchas de las personas que ahora pueden crear aplicaciones con IA no son especialistas en seguridad. Quizá no sepan qué preguntas hacer, qué permisos son demasiado amplios o qué configuraciones podrían dejar expuestos los datos. Que la plataforma de desarrollo indique que una aplicación es segura no puede ser el final del proceso. Antes de publicarla o conectarla a sistemas empresariales sensibles, sigue siendo necesario someterla a una revisión de seguridad exhaustiva que vaya más allá de comprobar si supera las verificaciones propias de la plataforma.

Cuando el equipo de seguridad detectaba vulnerabilidades, a menudo podías incorporar esos hallazgos al entorno de desarrollo de IA y generar soluciones en cuestión de minutos. ¿Podría la IA transformar radicalmente la corrección de problemas de seguridad, pasando de un ciclo de desarrollo prolongado a un diálogo continuo entre quienes crean las aplicaciones y los equipos de seguridad?

Esta es una de las posibilidades más emocionantes. Cuando Dudi y el equipo de seguridad detectaban problemas, podía tomar sus observaciones, incorporarlas directamente al entorno de desarrollo de IA y generar soluciones con gran rapidez. Esto abre la posibilidad de establecer un ciclo de retroalimentación mucho más estrecho entre quien crea una aplicación y el equipo responsable de protegerla.

Tradicionalmente, el desarrollo y la publicación de software podían prolongarse mucho más. Ahora, alguien puede hacer cambios y publicarlos a diario. La seguridad tiene que avanzar al mismo ritmo. La oportunidad consiste en integrar la evaluación continua de la seguridad en el proceso de desarrollo, de modo que se pueda identificar un problema, comunicárselo a quien desarrolla la aplicación, corregirlo y volver a evaluarla mucho más rápido.

Pero corregir los problemas más rápido no significa que podamos rebajar el nivel de exigencia de la validación. La IA puede generar una solución rápidamente; los equipos de seguridad siguen necesitando una forma de verificar que esta haya resuelto realmente el riesgo y no haya introducido otro.

La Plataforma de Éxito de Socios resultante incorpora asistentes de IA, inteligencia sobre el proceso de ventas, generación de campañas y asesoramiento sobre oportunidades comerciales. ¿Cómo determinaron qué tareas debía realizar directamente la IA y qué decisiones debían seguir en manos del socio o del vendedor?

Para mí, el objetivo no era excluir a las personas del proceso de colaboración con los socios o de ventas. Se trataba de usar la IA para ayudar a la gente a avanzar más rápido y aprovechar mejor la información que ya tenía a su disposición. El asesoramiento sobre oportunidades comerciales es un buen ejemplo: la IA puede ayudar a identificar formas de impulsar una oportunidad que lleva tiempo estancada en el proceso de ventas y aportar contexto adicional o recomendar el siguiente paso.

Creo que la distinción importante radica en que la IA puede extraer rápidamente información de distintos sistemas, analizar su pertinencia y presentarla de forma que el usuario pueda actuar en consecuencia. La plataforma debe ayudar al socio o al vendedor a trabajar con más eficacia, mientras que la persona sigue siendo responsable de las decisiones que requieren criterio empresarial. El objetivo es reducir el tiempo que transcurre desde que se descubre una oportunidad hasta que se cierra con éxito mediante la interacción con la plataforma.

La IA permite que empleados de ventas, marketing, finanzas y otros departamentos creen sus propias aplicaciones sin recurrir al equipo de ingeniería. ¿Qué controles mínimos de seguridad y gobernanza deberían establecerse antes de permitir que esas aplicaciones se conecten a datos de clientes, sistemas internos o infraestructura en la nube?

El primer requisito es la visibilidad. Aunque las políticas de la organización deberían fomentar este tipo de exploración e innovación, no se puede proteger una aplicación cuya existencia se desconoce; por eso, fomentar la innovación hace más probable que los empleados presenten sus proyectos en lugar de mantenerlos ocultos. A partir de ahí, las organizaciones deben saber qué identidades y permisos tiene la aplicación, a qué datos puede acceder, con qué sistemas de terceros se comunica y si esos privilegios son realmente necesarios. Hay que abrir camino a la innovación, pero también contar con un proceso que apoye a quienes innovan y cumpla los requisitos de seguridad.

El principio de mínimo privilegio cobra especial importancia. Uno de los riesgos que observamos es que las aplicaciones obtengan más acceso del que realmente necesitan. Además, la seguridad no puede limitarse a una única verificación antes del lanzamiento. Cuando las aplicaciones pueden cambiar continuamente, las organizaciones también necesitan poder reevaluarlas de forma continua.

La gobernanza del software tradicional se diseñó en torno a equipos de ingeniería, solicitudes de incorporación de cambios, ciclos de lanzamiento y procesos de implementación relativamente controlados. Si ahora los usuarios de negocio pueden modificar e implementar aplicaciones de forma continua, ¿cómo debe cambiar el ciclo de vida del desarrollo de software empresarial?

El desafío fundamental es que el ritmo ha cambiado. Tradicionalmente, el software se desarrollaba y se lanzaba a lo largo del tiempo mediante procesos relativamente establecidos. Con las herramientas de desarrollo de IA, alguien puede crear y publicar algo nuevo prácticamente todos los días. En ese entorno, los procesos de seguridad y gobernanza basados en revisiones periódicas ya no serán suficientes.

Debemos avanzar hacia una seguridad que opere de forma continua y pueda seguir el ritmo de ese ciclo de desarrollo. Eso implica descubrir qué se está creando, entender cómo está configurado y conectado, analizarlo a medida que cambia y ofrecer a quienes lo desarrollan comentarios prácticos que puedan incorporar rápidamente. La solución no puede ser impedir que los empleados utilicen estas herramientas; la oportunidad de aumentar la productividad es demasiado importante. El desafío consiste en crear barreras de protección que permitan que esa innovación se produzca de forma segura.

Has comparado el auge de las aplicaciones creadas con IA con una versión aún más difícil de la «TI en la sombra». ¿Qué hace que esta nueva generación de software en la sombra pueda plantear más desafíos y cómo pueden las organizaciones descubrir aplicaciones cuya existencia quizá desconozcan los equipos de seguridad o de TI?

Tradicionalmente, la TI en la sombra solía consistir en que los empleados adoptaran una aplicación SaaS que el departamento de TI no había aprobado. Lo que ha cambiado es que ahora los propios empleados pueden crear la aplicación, y hacerlo con una rapidez extraordinaria. Alguien puede crear una aplicación con una cuenta personal, integrarla con sistemas de terceros y, potencialmente, conectarla a datos empresariales antes de que el equipo de seguridad siquiera sepa que existe.

Eso es lo que hace que la situación sea especialmente compleja: crear aplicaciones se ha vuelto tan fácil que su número y la velocidad con la que cambian pueden superar rápidamente la capacidad de la gobernanza tradicional. Los CISO se enfrentan a la misma pregunta fundamental: ¿cómo se puede proteger algo cuando quizá ni siquiera se sabe qué se ha creado o cómo está configurado?

Por lo tanto, el descubrimiento debe convertirse en un elemento central de la estrategia de seguridad. Apoyar a quienes innovan, animarlos a explorar y, al mismo tiempo, pedirles que registren sus proyectos es una excelente manera de facilitar ese descubrimiento. Las organizaciones necesitan tener visibilidad no solo del código, sino también de las aplicaciones que se ejecutan en sus entornos, las identidades y los permisos asociados a ellas, los datos a los que acceden y los sistemas externos con los que se comunican.

De cara a los próximos años, ¿crees que la mayoría de los trabajadores del conocimiento se convertirán en algún tipo de creadores de software gracias a la IA? De ser así, ¿cómo cambiará esto las funciones de los desarrolladores profesionales, los equipos de seguridad y los líderes empresariales dentro de las empresas?

Nos encaminamos hacia un mundo en el que la definición de «creador de software» será mucho más amplia. La IA permite que personas que entienden un problema empresarial, pero no son desarrolladores tradicionales, conviertan una idea en una aplicación funcional con gran rapidez. Lo he vivido en primera persona.

No creo que eso reste importancia a los desarrolladores profesionales ni a los equipos de seguridad. Lo que cambia es dónde se necesita su experiencia. Cada vez más, los usuarios de negocio pueden crear soluciones por sí mismos, mientras que los desarrolladores pueden centrarse en problemas técnicos más complejos y los equipos de seguridad deben crear la visibilidad y las barreras de protección necesarias para que esta nueva generación de creadores pueda innovar de forma segura. El soporte y el mantenimiento de las aplicaciones también adquieren una nueva dimensión. Quienes las crean no siempre son las personas más indicadas para mantenerlas. Aportan la visión y responden a la necesidad empresarial, pero el soporte de una aplicación a largo plazo sigue siendo una tarea más adecuada para los departamentos de TI y de aplicaciones. Para los líderes empresariales, esto representa una oportunidad enorme, pero también una nueva responsabilidad. Si sus equipos pueden crear software, deben considerar los riesgos asociados como parte del negocio, no como algo que compete únicamente al área de ingeniería.

Gracias por esta excelente entrevista. Los lectores que deseen obtener más información sobre seguridad en la nube, aplicaciones creadas con IA y protección de entornos empresariales pueden visitar Orca Security.