Shannon McWilliams, Orca Securityn globaalista jakelusta vastaava johtaja – haastattelusarja

Shannon McWilliams vastaa Orca Securityn globaalista jakelusta, ja hänen työhönsä kuuluvat yhtiön kumppaniverkosto ja sitä tukevat työkalut. Aiemmin ohjelmistokehitysyrityksen perustaneena hänellä on kokemusta liiketoiminnan tarpeiden muuttamisesta sovelluksiksi. Viime aikoina hän on käyttänyt tekoälypohjaisia kehitystyökaluja rakentaakseen varhaisen version Orcan Partner Success Platformista. Hän työskenteli tietoturvatiimin kanssa viedäkseen projektia viikonlopun prototyypistä kohti tuotantokäyttöön valmista järjestelmää.

Orca Security tarjoaa pilvitietoturva-alustan, jonka avulla organisaatiot voivat löytää omaisuuseränsä, tunnistaa riskit ja asettaa ne tärkeysjärjestykseen sekä suojata pilviympäristöjään. Sen ominaisuuksiin kuuluvat muun muassa haavoittuvuuksien, virheellisten määritysten, identiteettien ja käyttöoikeuksien, arkaluonteisten tietojen sekä tekoälyn tietoturvan hallinta. Tässä haastattelussa McWilliams kertoo, miten tekoäly mahdollistaa ohjelmistojen rakentamisen liiketoimintakäyttäjille, miksi toimivat sovellukset tarvitsevat yhä riippumatonta tietoturva-arviointia ja miten jatkuva kartoitus, vähimpien oikeuksien periaate ja ihmisen valvonta voivat auttaa yrityksiä hallitsemaan tätä uutta kehitysmallia.

Liityit Orca Securityn palvelukseen globaalista jakelusta vastaavaksi johtajaksi ja päädyit vain muutamassa kuukaudessa rakentamaan itse uuden kumppanialustan tekoälyn avulla. Minkä ongelman halusit alun perin ratkaista, ja missä vaiheessa kokeilusta kehittyi jotain, jonka Orca saattoi todella ottaa tuotantokäyttöön?

Kun aloitin Orcalla, yksi tehtävistäni oli tarkastella kumppanikokemusta kokonaisuutena. Käytössämme oli kolmannen osapuolen alusta, mutta näin mahdollisuuden luoda kumppaneillemme jotain nykyaikaisempaa ja sujuvampaa. Minulla oli jonkin verran kokemusta sovelluskehityksestä, mutta en ollut itse kehittäjä. Olin työskennellyt kuluttajasovellusten parissa aiemmin samana kesänä kolmannen osapuolen sovellusten generointialustan tarjoajan palvelussa, joten päätin kokeilla, mitä pystyisin rakentamaan itse tekoälyn avulla.

Pystyin rakentamaan viikonlopun aikana perusversion siitä, mistä tuli Partner Success Platformimme. Sen ominaisuudet ylittivät perinteisten kumppaniportaalien tarjoamat mahdollisuudet, ja niihin kuului tekoälypohjaisia toimintoja, kuten ihanteellisten asiakkaiden tunnistaminen ja kauppojen valmentava tuki. Lisäsimme alustalle monia muitakin sovelluksia, kuten sertifiointien seurannan ja tekoälyn luomia tietovisoja, ja pelillistimme kumppaneidemme koko sertifiointiprosessin. Sen jälkeen aloimme synkronoida tietoja Salesforce-alustamme kanssa. Käännekohta tuli, kun toimitusjohtajamme näki ensimmäisen version ja ymmärsi sen potentiaalin. Samalla aloimme siirtyä kokeilusta pohtimaan, mitä tällaisen ratkaisun saaminen tietoturvalliseksi ja tuotantokäyttöön valmiiksi todella edellyttäisi. Tietoturvatiimimme tuli mukaan, ja aloin tehdä tiivistä yhteistyötä Dudi Peretzin kanssa ympäristön suojaamiseksi. Lopuksi ulkopuolinen yritys varmisti työn riippumattomasti.

Perustit aiemmin ohjelmistokehitysyrityksen, joten tiedät, miten sovelluksia on perinteisesti rakennettu. Miten ohjelmistojen rakentaminen luonnollisen kielen avulla tekoälyä hyödyntäen vertautui kehittäjien työn johtamiseen, ja missä oma toimialaosaamisesi oli edelleen tärkeintä?

Suurin ero oli nopeus. Perinteisessä ohjelmistokehityksessä idean syntymisen ja sen teknisiksi vaatimuksiksi muuttamisen välissä on yleensä useita vaiheita. Sen jälkeen kehittäjät rakentavat ratkaisun, jota vielä muokataan saadun tuloksen perusteella. Tekoälyn avulla pystyin kuvailemaan, mitä halusin, näkemään sen muotoutuvan ja jatkamaan sen hiomista lähes välittömästi. Kehitysprosessi vie minuutteja päivien sijaan: perinteisesti kehittäjien kanssa pidetään kokouksia, joissa määritellään haluttu käyttöliittymä ja toiminnallisuuden edellyttämät tietokantakytkennät. Tekoälyavusteisessa kehityksessä tähän riittää kahden virkkeen kehote kahden kokouspäivän sijaan.

Asiantuntemuksen tarve ei kuitenkaan katoa, vaan asiantuntemuksen merkitys muuttuu. Tekoäly voi madaltaa merkittävästi sovellusten rakentamisen teknistä kynnystä, mutta sen ohjaajan on edelleen ymmärrettävä, mitä ongelmaa hän yrittää ratkaista, millainen käyttökokemus on hyödyllinen ja mitä sovelluksen on viime kädessä saatava aikaan liiketoiminnan kannalta. Eniten minua yllätti se, miten nopeasti ideasta voi päästä toimivaan ratkaisuun. Esimerkiksi tietojen analysointi, johon aiemmin saattoi kulua viikkoja, voi nyt mahdollisesti valmistua päivässä.

Orca on kuvaillut kumppanialustan ensimmäistä toimivaa versiota ratkaisuksi, jonka rakensit yhden viikonlopun aikana. Mitä tekoäly pystyi nopeuttamaan huomattavasti, ja mitkä tuotantokäyttöön valmiin sovelluksen rakentamisen osa-alueet osoittautuivat aluksi luultua vaikeammiksi?

Tekoäly lyhensi huomattavasti matkaa ideasta toimivaan sovellukseen. Pystyin rakentamaan viikonlopun aikana toiminnallisuuksia, joiden kehittäminen olisi perinteisesti vaatinut paljon pidemmän prosessin. Pystyin myös lisäämään ja muuttamaan ominaisuuksia erittäin nopeasti. Se on sekä uskomatonta että hieman pelottavaa.

Tekoäly ei poistanut mitään siitä työstä, jota sovelluksen saaminen turvalliseksi tuotantokäyttöön edellyttää. Kun päätimme, että tästä voisi tulla oikea tuote, tietoturvatiimimme piti arvioida ympäristö, puuttua tietoturvaongelmiin ja varmistaa, että sovellus oli suojattu asianmukaisesti. Toimme lopulta mukaan ulkopuolisen yrityksen toimimaan toisena varmennuskerroksena. Tekoäly siis teki rakentamisesta uskomattoman nopeaa, mutta ”se toimii” ja ”se on valmis turvalliseen käyttöön yritysympäristössä” ovat yhä kaksi aivan eri vaatimustasoa.

Tekoälykehitysalustan omat tietoturvatyökalut osoittivat sovelluksen olevan turvallinen, mutta Orcan myöhemmässä tarkastuksessa havaittiin käyttöoikeuksiin ja tietojen käyttöön liittyviä ongelmia. Mitä tämä kokemus opetti sinulle siitä, kuinka paljon yrityskäyttäjien tulisi luottaa tekoälykehitysalustojen antamiin tietoturvaa koskeviin vakuutuksiin?

Tämä oli luultavasti yksi kokemuksen suurimmista opetuksista. Alustassa oli omat tietoturvan skannausominaisuutensa, jotka tarjosivat hyödyllisen lähtökohdan sovellusta rakentaessani. Tietoturvatiimimme kanssa läpikäyty tarkastusprosessi kuitenkin osoitti, miten tärkeää on lisätä vielä yksi valvontakerros etenkin käyttöoikeuksien ja tietojen käytön kaltaisilla osa-alueilla. Kokemus vahvisti, että sisäänrakennetut tietoturvatyökalut ovat tärkeä osa kehitysprosessia, mutta ne toimivat parhaiten yhdessä tietoturvatiimin syvällisemmän näkemyksen ja asiantuntemuksen kanssa.

Tämä on erityisen tärkeää, sillä monet niistä, jotka voivat nyt rakentaa sovelluksia tekoälyn avulla, eivät ole tietoturva-asiantuntijoita. He eivät välttämättä tiedä, mitä kysymyksiä pitäisi esittää, mitkä käyttöoikeudet ovat liian laajoja tai mitkä määritykset voisivat paljastaa tietoja. Kehitysalustan ilmoitus sovelluksen turvallisuudesta ei voi olla prosessin päätepiste. Ennen kuin sovellus julkaistaan tai yhdistetään arkaluonteisia tietoja sisältäviin yritysjärjestelmiin, sille on silti tehtävä kattava tietoturvatarkastus, jossa selvitetään muutakin kuin se, läpäiseekö sovellus pelkästään alustan omat tarkistukset.

Kun tietoturvatiimi havaitsi haavoittuvuuksia, pystyit usein syöttämään löydökset takaisin tekoälykehitysympäristöön ja luomaan korjaukset muutamassa minuutissa. Voiko tekoäly muuttaa tietoturvaongelmien korjaamisen perusteellisesti pitkästä kehityssyklistä jatkuvaksi keskusteluksi sovellusten rakentajien ja tietoturvatiimien välillä?

Tämä on yksi kiinnostavimmista mahdollisuuksista. Kun Dudi ja tietoturvatiimi havaitsivat ongelmia, pystyin ottamaan palautteen, viemään sen suoraan tekoälykehitysympäristöön ja luomaan korjaukset erittäin nopeasti. Tämä voi tiivistää merkittävästi palautesykliä sovellusta rakentavan henkilön ja sen suojaamisesta vastaavan tiimin välillä.

Aiemmin ohjelmiston rakentaminen ja julkaiseminen saattoi kestää paljon kauemmin. Nyt joku voi tehdä muutoksia ja julkaista niitä joka päivä. Tietoturvatyön on pysyttävä samassa tahdissa. Mahdollisuutena on sisällyttää jatkuva tietoturvan arviointi kehitysprosessiin, jolloin ongelma voidaan tunnistaa, siitä voidaan ilmoittaa sovelluksen rakentajalle, se voidaan korjata ja sovellus arvioida uudelleen paljon nopeammin.

Korjausten nopeus ei kuitenkaan tarkoita, että voisimme höllentää niiden todentamista koskevia vaatimuksia. Tekoäly voi luoda korjauksen nopeasti, mutta tietoturvatiimit tarvitsevat yhä keinon varmistaa, että korjaus todella poisti riskin eikä aiheuttanut uutta.

Partner Success Platform sisältää tekoälyavustajia, myyntiputken analytiikkaa, kampanjoiden luontia ja kauppojen valmennusta. Miten päätitte, mitkä tehtävät tekoälyn tulisi hoitaa suoraan ja mitkä päätökset pitäisi jättää ihmiskumppanin tai myyjän tehtäviksi?

Minulle tavoitteena ei ollut poistaa ihmistä kumppanuus- tai myyntiprosessista. Tarkoituksena oli hyödyntää tekoälyä, jotta ihmiset voisivat edetä nopeammin ja käyttää paremmin heillä jo olevia tietoja. Kauppojen valmennus on tästä hyvä esimerkki: tekoäly voi auttaa tunnistamaan tapoja viedä eteenpäin myyntiputkessa pitkään ollutta myyntimahdollisuutta sekä tarjota lisätietoa tai suositella seuraavaa askelta.

Erottelu on mielestäni tärkeä siinä, että tekoäly pystyy nopeasti hakemaan tietoja eri järjestelmistä, analysoimaan niiden merkityksellisyyttä ja kokoamaan ne muotoon, jonka pohjalta käyttäjä voi ryhtyä toimiin. Alustan tulisi tehostaa kumppanin tai myyjän työtä, mutta ihmisen pitää edelleen vastata liiketoiminnallista harkintaa vaativista päätöksistä. Tavoitteena on lyhentää alustan avulla aikaa myyntimahdollisuuden löytämisestä kaupan voittamiseen ja päättämiseen.

Tekoäly mahdollistaa sen, että myynnin, markkinoinnin, taloushallinnon ja muiden osastojen työntekijät voivat rakentaa omia sovelluksiaan ilman teknisen kehityksen tiimin apua. Mitkä vähimmäistason tietoturva- ja hallintakäytännöt pitäisi ottaa käyttöön ennen kuin sovellusten sallitaan muodostaa yhteys asiakastietoihin, sisäisiin järjestelmiin tai pilvi-infrastruktuuriin?

Ensimmäinen vaatimus on näkyvyys. Vaikka organisaation käytäntöjen tulisi kannustaa tällaiseen kokeiluun ja innovointiin, organisaatio ei voi suojata sovellusta, jonka olemassaolosta se ei tiedä. Innovoinnin kannustaminen auttaa todennäköisemmin saamaan työntekijät tuomaan projektinsa esiin sen sijaan, että ne jäisivät piiloon. Seuraavaksi organisaatioiden on selvitettävä, mitä tunnuksia ja käyttöoikeuksia sovelluksella on, mitä tietoja se voi käyttää, mihin kolmannen osapuolen järjestelmiin se on yhteydessä ja ovatko nämä oikeudet todella tarpeen. Luokaa innovoinnille edellytykset, mutta ottakaa käyttöön prosessi, joka tukee innovoijia ja täyttää tietoturvavaatimukset.

Vähimpien käyttöoikeuksien periaate on erityisen tärkeä. Yksi havaitsemistamme riskeistä on se, että sovellukset saavat laajemmat käyttöoikeudet kuin ne todellisuudessa tarvitsevat. Tietoturva ei myöskään voi olla vain kertaluonteinen tarkistus ennen julkaisua. Kun sovelluksiin voidaan tehdä jatkuvasti muutoksia, organisaatioiden on pystyttävä myös arvioimaan niitä jatkuvasti uudelleen.

Perinteinen ohjelmistohallinta suunniteltiin kehitystiimejä, pull request -pyyntöjä, julkaisusyklejä ja suhteellisen hallittuja käyttöönoton prosessiketjuja varten. Jos liiketoiminnan käyttäjät voivat nyt muokata ja ottaa sovelluksia käyttöön jatkuvasti, miten yritysten ohjelmistokehityksen elinkaaren pitäisi muuttua?

Perimmäinen haaste on se, että kehitystahti on muuttunut. Perinteisesti ohjelmistoja kehitettiin ja julkaistiin ajan mittaan suhteellisen vakiintuneiden prosessien kautta. Tekoälypohjaisten kehitystyökalujen avulla joku voi mahdollisesti luoda ja julkaista jotain uutta joka päivä. Määräajoin tehtäviin tarkistuspisteisiin perustuvat tietoturva- ja hallintaprosessit eivät riitä tällaisessa ympäristössä.

Meidän on siirryttävä kohti jatkuvasti toimivaa tietoturvaa, joka pysyy kehityssyklin tahdissa. Tämä tarkoittaa sitä, että selvitetään, mitä rakennetaan, ymmärretään, miten se on määritetty ja mihin se on yhdistetty, tarkistetaan sitä sen muuttuessa ja annetaan kehittäjille käytännössä hyödynnettävää palautetta, jonka he voivat ottaa nopeasti huomioon. Ratkaisuna ei voi olla työntekijöiden estäminen käyttämästä näitä työkaluja: niiden tarjoama mahdollisuus tuottavuuden parantamiseen on liian merkittävä. Haasteena on luoda suojakaiteet, joiden avulla innovointi voi tapahtua turvallisesti.

Olet verrannut tekoälyn avulla rakennettujen sovellusten yleistymistä entistä haastavampaan ”varjo-IT:n” muotoon. Mikä tekee tämän sukupolven varjo-ohjelmistoista mahdollisesti aiempaa haastavampia, ja miten organisaatiot voivat löytää sovelluksia, joiden olemassaolosta tietoturva- tai IT-tiimit eivät välttämättä edes tiedä?

Perinteisessä varjo-IT:ssä oli usein kyse siitä, että työntekijät ottivat käyttöön IT:n hyväksymättömän SaaS-sovelluksen. Nyt työntekijät voivat itse luoda sovelluksen, ja se onnistuu uskomattoman nopeasti. Joku voi rakentaa sovelluksen henkilökohtaisella tilillä, yhdistää sen kolmannen osapuolen järjestelmiin ja mahdollisesti liittää sen yrityksen tietoihin, ennen kuin tietoturvatiimi edes tietää sovelluksen olemassaolosta.

Tämä tekee tilanteesta erityisen haastavan: sovellusten rakentamisesta on tullut niin helppoa, että niiden määrä ja muutosten nopeus voivat pian ylittää perinteisen hallinnan kyvyt. Tietoturvajohtajat kohtaavat saman peruskysymyksen: miten voit suojata jotain, kun et ehkä edes tiedä, mitä on rakennettu tai miten se on määritetty?

Siksi sovellusten löytäminen on nostettava tietoturvastrategian keskeiseksi osaksi. Hyvä tapa edistää tätä on tukea innovoijia ja kannustaa heitä kokeilemaan, mutta samalla edellyttää, että he rekisteröivät projektinsa. Organisaatioiden on saatava näkyvyys paitsi koodiin myös ympäristössään toimiviin sovelluksiin, niihin liittyviin käyttäjiin ja käyttöoikeuksiin, niiden käyttämiin tietoihin sekä ulkoisiin järjestelmiin, joiden kanssa ne viestivät.

Kun katsotaan useita vuosia eteenpäin, odotatko, että useimmista tietotyöläisistä tulee tekoälyn avulla jonkinlaisia ohjelmistokehittäjiä? Jos näin käy, miten se muuttaa ammattikehittäjien, tietoturvatiimien ja yritysten johdon rooleja?

Olemme siirtymässä kohti maailmaa, jossa ”ohjelmistokehittäjän” määritelmä laajenee huomattavasti. Tekoälyn ansiosta myös ihmiset, jotka ymmärtävät liiketoiminnan ongelmia mutta eivät ole perinteisiä kehittäjiä, voivat muuttaa idean toimivaksi sovellukseksi uskomattoman nopeasti. Olen kokenut tämän itse.

En usko, että ammattikehittäjien tai tietoturvatiimien merkitys vähenee. Muuttuu se, missä heidän osaamistaan tarvitaan. Liiketoiminnan käyttäjät voivat yhä useammin rakentaa ratkaisuja itse, kun taas kehittäjät voivat keskittyä monimutkaisempiin teknisiin ongelmiin ja tietoturvatiimien on luotava näkyvyys ja suojakaiteet, joiden avulla tämän uuden kehittäjäsukupolven on mahdollista innovoida turvallisesti. Myös sovellusten tuki ja ylläpito näyttäytyvät uudessa valossa. ”Rakentajat” eivät aina ole parhaita ”ylläpitäjiä”. Heillä on visio ja he tuntevat liiketoiminnan tarpeet, mutta sovelluksen pitkäaikainen tukeminen sopii edelleen parhaiten IT- ja sovellusorganisaatioille. Liiketoiminnan johtajille tämä tarjoaa valtavia mahdollisuuksia mutta tuo myös uusia vastuita. Jos tiimisi pystyvät luomaan ohjelmistoja, ohjelmistoriskit on otettava huomioon osana liiketoimintaa – niitä ei voi pitää vain kehityksen vastuulla.

Kiitos hienosta haastattelusta! Lukijoiden, jotka haluavat oppia lisää pilvitietoturvasta, tekoälyn avulla rakennetuista sovelluksista ja yritysympäristöjen suojaamisesta, kannattaa tutustua palveluun Orca Security.