Howard Ting, Opal Securityn toimitusjohtaja – Haastattelusarja

Howard Ting, Opal Securityn toimitusjohtaja on kokenut kyberturva- ja teknologiajohtaja, joka on johtanut Opal Securitya marraskuusta 2025 lähtien. Ennen tätä roolia hän toimi Greylockin asuinjohtajana ja vietti yli viisi vuotta Cyberhavenissa sekä toimitusjohtajana että hallituksen jäsenenä, johdaten yhtiötä sen tehtävänä suojella tietoja ja mahdollistaa turvallinen innovaatio. Hänen taustansa käsittää strategisen markkinointijohtajuuden Redis Labsissa ja Zscalerissa, sekä seniorimarkkinointi- ja tuotejohtajuustehtäviä Nutanixissa, Palo Alto Networksissa, Cisco (Securent kautta), Microsoftissa, RSA Securityssä ja varhaisessa kokemuksessa M&A:ssa Banc of America Securitiesissa. Tämä yhdistelmä operatiivisesta johdosta, markkinointitaidosta ja syvällisestä kyberturvataustasta asettaa hänet ainutlaatuiseen asemaan nopeasti kasvavan turvallisuusalan johtajana.

Opal Security on moderni identiteettipohjainen pääsyhallintayritys, joka tarjoaa yrityksille keskitetyn alustan, jolla voidaan hallita ja turvata, kuka pääsee mihin pilvi-, SaaS- ja sisäisissä järjestelmissä. Alusta tarjoaa yhdistetyn näkymän identiteetteihin ja pääsyreitteihin, tukee itsepalvelu- ja tarvittaessa pääsytöitä, sekä automatisoi pääsytarkastukset, jotta voidaan toteuttaa vähimmäispääsyoikeudet laajassa mittakaavassa, auttaen organisaatioita vähentämään riskiä ja parantamaan vaatimustenmukaista toimintaa dynaamisissa ympäristöissä, joissa on sekä ihmisiä, palvelutilejä että tekoälyagentteja.

Olet vastikään siirtynyt Opal Securityn toimitusjohtajaksi johtaan Cyberhavenin kautta ja seniorirooleja yrityksissä kuten Palo Alto Networks (PANW ), Nutanix, Cisco, RSA Security, Redis ja Microsoft (MSFT ). Mikä veti sinut Opaliin tällä uran vaiheessa, ja miten aikaisempi kokemuksesi vaikuttaa siihen, miten ajattelet pääsyä, identiteettiä ja tekoälyturvallisuutta tänään?

Pääsyt hallinta on muuttunut vaikeammaksi kaikkialla. Lisää identiteettejä, koneita, automaatiota – ja merkittävä pääsy syntyy yhä enemmän insinöörien ja pilvi-työnkulkujen sisällä, eikä perinteisessä IT:ssä. Standardit IAM- ja IGA-työkalut eivät ole suunniteltu tätä varten, eikä identiteettipohjaiset uhkat ole odottamassa, että ne ehtivät pysyä perässä.

Se veti minut Opaliin. Ongelman mittakaava on massiivinen, ja Opal on jo nyt kohdistettu siihen, mihin markkinat ovat menossa. Olen nähnyt tämän kaltaisia malleja aiemmin. RSA:ssa, Palo Alto Networksissa ja Cyberhavenissa seurasin monenkerroksisen, seuraavan sukupolven palomuurien ja datalinjan vallankumouksen kehittymistä, ja dynamiikka täällä on yllättävän samanlainen: kategoriamaailman määrittelevä ongelma, joka kiihtyy nopeammin kuin useimmat toimittajat voivat reagoida, ja kapea ikkuna, jolloin oikea tiimi voi omistaa sen.

Opalilla on se tiimi. Insinöörien ja tuotteen perusta on vahva, ja asiakasluettelo, joka on rakennettu suoraan ja keskittyneesti, puhuu puolestaan itseään. Jokainen asiakkaan keskustelu, johon osallistuin, vahvisti samaa signaalia: ongelma kiihtyy, ja Opal on se, joka ratkaisee sen.

Mitä olen oppinut rakentamalla ja skaalauttamalla tiimejä yhtiöissä, on, että suorituskyky yksinkertaistuu radikaalisti, kun tuote, insinöörit ja markkinointi jakavat saman tason asiakaslähtöisyyttä. Kun jokainen näkee saman ongelman ja saman mahdollisuuden, liikutaan nopeasti ilman tarkkuuden menettämistä. Opalilla on jo tämä perusta. Minun tehtäväni on rakentaa siitä ja varmistaa, että asiakkaamme tuntevat koko tiimin voiman takanaan, kun skaalautamme.

Olet työskennellyt identiteetin, pilvi-infrastruktuurin ja yritysturvalisuuden parissa useita vuosia. Mihin kohti perinteiset pääsyvalvontamallit menevät rikki, kun organisaatiot omaksuvat tekoälyä syvemmin?

Rehellinen vastaus on, että useimmat perinteiset pääsyvalvontamallit on suunniteltu ratkaisemaan todennus – ja ihmisille tämä ongelma on suurelta osin ratkaistu. IDP:t ja modernit todennusmenetelmät käsittelevät “kuka sinä olet?” kohtuullisen hyvin. Epäihmisidentiteetille, kuten API-avaimille ja salaisuuden hallinnalle, päästään osittain sinne. Mutta valtuutus – “mitä sinun pitäisi voida tehdä, ja kuinka kauan?” – on edelleen syvästi ratkaisematon sekä ihmisille että koneille, ja siinä on todellinen riski.

Mitä pahentaa tätä on, että insinööritiimit toimivat nyt automaation, infrastruktuurin koodin ja tekoälyavusteisen työkalujen kautta, jotka luovat uusia käyttöoikeuksia osana päivittäistä kehitystyötä. Pääsy ei muutu hitaasti IT-työnkulkujen kautta – se luodaan, muutetaan ja laajennetaan ohjelmallisesti, usein ilman, että kukaan tarkistaa, mitä juuri myönnettiin. Tuloksena on kasvava määrä yli-etuutettuja tilejä, hajanaisia etuoikeusvälineitä ja hallintoa, joka on kallista, reaktiivista ja suurelta osin sokea sille, mitä todella tapahtuu.

Ja olen suora siinä, että on valtava määrä tekoälypesua tässä markkinassa tällä hetkellä. Toimittajat kiirehtivät liittämään “tekoäly” perinteisiin arkkitehtuureihin, mikä peittää kriittisen todellisuuden ostajille – toimiva, validoitua turvallisuus- ja hallintokehys tekoälyagentteja varten ei vielä ole olemassa. Hype etenee todellisten valvontakeinojen edelle, ja se aukko on siellä, missä todellinen altis on rakentunut.

Se, mikä tekee Opalin lähestymistavasta erilaisen, on, että sen sijaan, että hallintoa kiinnittäisiin työnkulkuihin jälkikäteen, Opal mallintaa pääsyn suoraan järjestelmistä, joita insinöörit jo käyttävät, soveltaa käytäntöä reaaliajassa ja antaa turvallisuustiimille keinon ohjata valtuutusptöksiä ilman kitkaa. Kun hallinto sopii luonnollisesti siihen, miten insinöörit todella työskentelevät, se lakkaa olemasta este ja muuttuu infrastruktuuriksi, johon voidaan luottaa.

Opal keskittyy hallitsemaan, kuka ja mitä voi päästä herkkiin järjestelmiin modernissa, pilvipohjaisissa ympäristöissä. Mitkä turvallisuusongelmat ovat vähiten arvioituja yrityksille, jotka rakentavat tekoälyagentteja ja automaattisia työnkulkuja?

Vähiten arvioidut ongelmat eivät ole uusia. Ne ovat sellaisia, jotka ovat hiljalleen kasaantuneet vuosien varrella ihmisten identiteettien ympärillä. Perushallintohygienia, kuten liittymis-, siirtymis- ja poistumistyönkulut, tarvittaessa pääsy ja käyttäjän pääsytarkastukset on joko laiminlyöty tai tehty tilapäisesti useimmissa organisaatioissa jo kauan. Noudattamisvelvoitteet, kuten SOX, eivät ole poistuneet; ne ovat vain muuttuneet vaikeammaksi tyydyttää, kun ympäristöt kasvavat monimutkaisemmiksi. Tämä ei ole glamouuria, mutta se on juuri perusta, joka murtuu, kun tekoälyagentteja lisätään päälle.

Organisaatiot integroivat tekoälyä sujuvoittamaan työnkulkuja ja poistamaan tylsät tehtävät, mutta tekemällä niin, ne esittävät epäihmisidentiteettejä, jotka moninkertaistavat pääsyihmisuhteita tavoilla, joita olemassa olevat työkalut eivät ole suunniteltu käsittämään. Tuloksena on sekasorto, jossa ihmisten pääsy on jo hallitsematon ja koneiden pääsy laajenee vielä vähemmän näkyvyydellä. Pääsypäätöksiä on tehtävä selitettäväksi, aikariippuvaksi, sidottavaksi todelliseen käyttöön ja jatkuvasti valvottavaksi, mutta useimmat tiimit luottavat edelleen staattisiin, yhden kokoon sopiviin järjestelmiin, jotka eivät voi tarjota mitään näistä. Koodausagentit luovat ja käyttävät koodia sisäänrakennetuilla käyttöoikeuksilla, vuorovaikuttavat infrastruktuurin kanssa suoraan ja toimivat pääsyllä, jota kukaan ei tarkista perinteisen turvallisuuden näkökulmasta – tämä on noudattamis- ja turvallisuusaltis, jota useimmat organisaatiot eivät ole edes alkuun arvioineet.

Yritykset, jotka rakentavat tekoälyagentteja, keskittyvät usein uuden teknologian uutuuteen, kun taas he aliarvioivat, kuinka nopeasti pääsylevitys ja näkymättömät käyttöoikeudet muuttuvat vakavaksi vastuksi – erityisesti, kun ihmisen identiteetin perusta alla oli jo hauras.

Olet nähnyt turvallisuuden kehittyvän useiden infrastruktuurisukupolvien ajan. Mitä muuttuu perustavasti, kun koneiden identiteetit ja tekoälyagentit alkavat ylittää ihmiskäyttäjien määrän?

Kun koneiden identiteetit ylittävät ihmiskäyttäjien määrän, se tulee yhä vaikeammaksi seurata, kuka pääsee mihin. Perinteinen IAM ei ollut suunniteltu tätä todellisuutta varten, ja useimmat HR- ja IAM-alustat tarjoavat vain osittaisen näkyvyyden, erityisesti identiteetin valvonta laajenee yhden tiimin ulkopuolelle. Onnistuneesti seuratakseen näitä identiteettejä, meidän on annettava tekoälyagentteille selkeä omistajuus, laajuudet käyttöoikeudet ja täydellinen auditointikelpoisuus alusta alkaen. Opal Security ratkaisee tämän mallimalla ihmiset, palvelut ja agentit yhden kehyksen sisällä, sen sijaan, että ne käsiteltäisiin erillisinä entiteetteinä.

Tarkastelijat odottavat nyt, että he voivat tarkastella sekä ihmisten että agenteiden käyttäytymistä rinnakkain analysoitaessaan pääsytarkastuksia. Agentit periytyvät yleensä käyttäjien, jotka käyttävät niitä, käyttöoikeuksia, mutta tietyt käyttötarkoitukset vaativat agenteja, jotka tunnetaan palvelutilinä mukautetuilla (yleensä alasäädettyjen) käyttöoikeuksilla.

Teckoäly on sekä hyökkäyspinta että puolustusväline. Missä määrin tekoäly parantaa turvallisuustuloksia tänään, ja missä se edelleen esittää uusia riskejä?

Teckoäly on valtavan voimakas työkalu, joka on perusta tuotteellemme. Opal Security käyttää tekoälyä seuraamaan, havaitsemaan ja estämään epäsäännöllistä pääsyä organisaatioiden ympärillä. Tekoäly myös muuttaa identiteettiturvallisuutta, koska se esittää toimijoita, jotka eivät ainoastaan todenna ja suorita tehtäviä – ne myös järkeilevät, sopeutuvat ja toimivat itsenäisesti. Perinteiset identiteettijärjestelmät olivat suunniteltu ihmisille ja staattisille palvelutilille, joilla pääsy muuttui hitaasti ja aikomus oli suhteellisen ennustettavissa.

Teckoälyagentit rikkovat tämän mallin. Riski on näkyvyyden ja vastuun menetys. Agentit voivat käynnistää ja sammuttaa dynaamisesti, ketjuttaa käyttöoikeuksia järjestelmien yli, ja toimia käyttäjien, muiden agenttien tai itsensä puolesta. Kukaan suojaamaton resurssi ei välttämättä “loukkaa”, mutta herkkä toiminta voi silti tapahtua, koska kaikki oli teknisesti valtuutettu. Tämä on uusi uhka-ala. Tapa hallita tätä on yhdistetty, älykäs alusta, joka ymmärretään ja turvaa kaikkia entiteettejä kontekstin, käyttäytymisen ja jatkuvan sopeutumisen kautta.

Tämä yhdistetty näkymä muodostaa turvallisuuden perustan – ei voida suojella sitä, mitä ei voida nähdä tai ymmärtää. Opalissa uskomme ymmärtämään jokaista suhdetta. Ei riitä tietää, kuka on järjestelmässä. On tiedettävä, kuka on yhteydessä mihin ja miksi.

Kun tekoälykoodausagentit ja automaattiset järjestelmät saavat laajempia valtuuksia organisaatioiden sisällä, miten turvallisuustiimit tulisi uudelleenarvioida vähimmäispääsyoikeuksia käytännössä, ei vain teoriassa?

Moderni identiteettipääsy on kohdella sekä ihmisten että koneiden identiteettejä tasapuolisesti, jotta yritykset voivat saada tarvittavan näkyvyyden, automaation ja luottamuksen skaalautumiseen tekoälyajan turvallisesti. Käytännössä tämä tarkoittaa valtuuksien myöntämistä ainoastaan silloin, kun niitä tarvitaan, ja jatkuvaa tarkastelua ja valtuuksien mukauttamista, kun tehtävät tai roolit muuttuvat. Automaattinen seuranta ja riskiperusteiset valvontatoimenpiteet ovat olennaisia, jotta tekoälytyökalut voivat toimia tehokkaasti ilman turvallisuusaltiuden luomista.

On hyväksi ottaa JIT oletusarvoisesti agentteja varten, mutta tehdä se kitkattomaksi: automaattisesti hyväksyä tiettyjä resursseja, jos käyttäjä toimii ympäristössä, jossa kaikki data on herkkää, rajoittaa käyttöä sandbox-VM:ihin.

Vaikka uudet rajoitukset agenteille voivat ärsyttää loppukäyttäjiä hidastaen heitä, on tärkeää tapaaminen heidän kanssaan. Opalilla tämä tarkoittaa, että pääsypyyntöjä voidaan lähettää ja hyväksyä Slackissa, ja IaaC-strategioita, kuten Terraformia, voidaan käyttää pääsyoikeuksien, peruutusten ja aikariippuvan pääsyn automatisointiin.

Millaiset signaalit kertovat sinulle, että organisaation pääsyvalvonta ei enää ole synkronoitu siinä, miten liiketoiminta tosiasiallisesti toimii?

Organisaatiot voivat tietää, että heidän pääsyvalvontansa on pois synkronoitumisesta, kun pääsy alkaa jäädyttää todellisuutta. Tämä voi ilmetä liiallisina tai vanhentuneina valtuuksina, manuaalisina pullonkaulana perinteisistä järjestelmistä tai tekoälyjärjestelmien omaksumisena ilman päivitettyjä käytäntöjä seurataan epäihmisidentiteettejä. Toinen ilmiselvä merkki on lisääntynyt turvallisuusloukkauksia tai lähesloukkauksia, joissa yli-etuoikeutetut tilet tai huonosti hallitut identiteetit ovat syyllisiä.

Monimutkaiset Sailpoint-käyttöönotot, nojautuminen konsulttitiimiin sekä pääsytarkastusten seuranta taulukoissa eivät olleet tehokkaita aikakaudella ennen agenteja, ja tämä perinteinen lähestymistapa romahtaa yksinkertaisesti agenteiden nopeuden ja monimutkaisuuden alla. Opal toimittaa yhden alustan, joka palvelee turvallisuutta, estää IT:ää ja antaa tarkastelijoille, mitä he tarvitsevat. Havaitsemme, että RBAC on hauras ja harvoin kestävä tila, joten onnistuneet tiimit aloittavat JIT:llä ja siirtyvät sitten roolipohjaiseen pääsyyn (joustavuudella ja seurannalla ajan myötä), jotta Terraform-konfiguraatiot voidaan versionoida, käyttää tai perua, jos tarpeen.

Johtamisen kannalta, miten balanssit innovaation nopeuden ja turvallisuustuotteiden luottamuksen vaatiman kurinpidon välillä?

Olen oppinut, että suuret yritykset pysyvät kurissa perusasioissa, vaikka ne kasvavat nopeasti. Nämä perusasiat käsittävät selkeät prioriteetit, avoimen viestinnän ja valmiuden tehdä vaikeita valintoja. Innovointi on edelleen tärkeää, mutta se on perustuttava kurinalaisuuteen: vahvoihin oletuksiin, tarkkaan uhkamallinnukseen ja vastuulle lopputuloksista. Tekemällä nämä päätökset tietoisesti voidaan liikkua nopeasti ilman luottamuksen vaarantamista, ja ajan myötä tämä kurinalaisuus muuttuu kilpailueduksi.

Mitä turvallisuusjohtajat ymmärtävät vähiten, kun valmistautuvat tulevaisuuteen, jossa autonomiset järjestelmät hallitsevat, eivätkä enää ihmiset?

Mitä turvallisuusjohtajat useimmin aliarvioivat, on identiteettien monimuotoisuuden hallinta. Yritykset ovat niin innostuneita pääsemään eteenpäin ja pysymään ajan tasalla viimeisimmän teknologian kanssa, että turvallisuustoimenpiteet voivat usein jäädä sivuun. Tekoälytyönkulut esitetään usein ilman selkeää omistajuutta, jolloin organisaatiot jäävät sokeiksi kohtiin, joissa epäihmisidentiteetit hiljalleen kerryttävät pääsyä, toimivat perinteisten valvontakeinojen ulottumattomissa ja luovat uusia mahdollisuuksia kalliille virheille tai uhille. Valmistautuminen tähän tulevaisuuteen vaatii identiteetin käsittelyä dynaamisena, jatkuvasti hallittuna kerroksena.

Kun yritykset kasvavat, turvallisuustiimien tulisi omistaa agenteille ominaiset käytäntöjä ja määritellä, miten, missä ja milloin agenteille myönnetään pääsy, ja miten se on alasäädetty siitä, joka kutsuu agenttia. Prosessit, jotka aiemmin lisäsivät vaivaa ihmisille, romahtavat yksinkertaisesti agenteiden mittakaavan ja eheytymättömän luonteen alla: automaatio on ainoa tapa hallita pyynnön määrää.

Miten “hyvä turvallisuushygienia” näyttää ympäristössä, jossa tekoälyjärjestelmät luovat, muuttavat ja pyytävät pääsyä jatkuvasti omalla tahollaan?

Hyvä turvallisuushygienia on tekoälyn hyödyntämistä turvallisuuden skaalauttamiseksi samalla, kun ylläpidetään riittävä seuranta ja kurinalaisuus, jotta mitään ei jää huomaamatta. Tekoäly ei ole poistumassa; on hyväksyttävä, että pääsy ei ole enää staattista. Kun tekoälyjärjestelmät luovat, muuttavat ja pyytävät pääsyä jatkuvasti, turvallisuuden on siirryttävä yhden kerran hyväksynnästä jatkuvaan valvontaan. Tämä tarkoittaa pääsyoikeuksien käsittelyä jatkuvana elinkaarena eikä yhden kerran valintana.

Yritykset tarvitsevat myös aktiivisesti käyttää tekoälyä osana puolustustaan. Automaatio voi auttaa tiimejä pysymään mukana pääsyoikeuksien muutosten määrässä ja nopeudessa, mutta se on yhdistettävä selkeisiin rajoituksiin, näkyvyyteen valtuutusketjuissa ja ihmisten vastuuseen, kun jotain menee pieleen. On tärkeää esittää selitettävyyden signaaleja: Shapley-arvoja ja piirretunnisteita perinteisille ML-malleille ja lisäkontekstia tai yksityiskohtaisia perusteluja LLM:stä. Ilman näitä hienouksia on vaikea ylläpitää ketjuun luotettavuutta herkkien liiketoimintaresurssien pääsyyn. Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää, kannattaa vierailla Opal Security-sivustolla.