Vibhuti Sinha, Saviyntin Chief Product Officer – Haastattelusarja

Vibhuti Sinha, Saviyntin Chief Product Officer, johtaa yrityksen työvoiman identiteetin ja älymäisen portfolion visiota, innovaatiota ja strategista suuntaa sekä valvoo tuotteen ja kumppanuuden menestystä. Lähes kaksi vuosikymmentä identiteetin ja pääsysteemin hallinnan (IAM) kokemusta omaava Sinha on ollut keskeisessä roolissa muotoilemassa suurten yritysten turvallisuusarkkitehtuureja. Ennen nykyistä tehtäväänsä hän toimi Saviyntin Chief Cloud Officerina, jossa hän johti seuraavan sukupolven pilviturvallisuusratkaisujen kehittämistä monimutkaisten monipilviympäristöjen turvallisuuden varmistamiseksi. Hänen asiantuntemuksensa kattaa säädösyhdistelmät, kuten FFIEC, riskiperusteisen todennuksen ja pääsyelinkaaren hallinnan, mikä asettaa hänet yrityksen turvallisuuden, pilvirakenteen ja älykkään identiteetin hallinnan risteykseen.

Saviynt on pilvipohjainen identiteettiturvallisuusalan yritys, joka keskittyy auttamaan yrityksiä hallitsemaan ja turvaamaan pääsyä käyttäjien, sovellusten, tietojen ja kasvavassa määrin myös tekoälyjärjestelmien keskuudessa. Sen lippulaivatuote, Identity Cloud, tarjoaa yhdistetyn identiteetin hallinnan ja hallitsemisen (IGA), etuoikeutetun pääsysteemin hallinnan ja sovelluksen pääsysteemin hallitsemisen yhdessä alustassa, mahdollistaen organisaatioiden toteuttaa turvallisuutta, säätelyä ja Zero Trust -periaatteita laajassa mittakaavassa. Alusta käyttää tekoälyä automatisoidakseen pääsypäätöksiä, seuratakseen riskejä ja hallitakseen sekä ihmiskäyttäjiä että ei-ihmiskäyttäjiä, kuten palvelutilejä ja tekoälyagentteja, heijastellen modernin yritysympäristön kasvavaa monimutkaisuutta. Konsolidoimalla identiteettiturvallisuuden yhteen hallintakerrokseen Saviynt pyrkii vähentämään toiminnallista kuormitusta parantaen samalla näkyvyyttä ja säätelyä pilvi-, hybridi- ja paikallissysteemeissä.

Olet viettänyt yli vuosikymmenen Saviyntissa auttaen yritystä kasvamaan pilvipohjaisesta identiteettiturvallisuusalan yrityksestä maailmanlaajuiseksi identiteettiturvallisuusalan yritykseksi. Miten tämä matka on muovannut näkemyksesi identiteetistä perustana tekoälyä hyödyntävien yritysten turvallisuudelle?

Kun liityin Saviyntiin, identiteetti ei ollut asia, josta useimmat hallitukset tai toimitusjohtajat puhuivat. Se nähtiin usein vain tilien käsittelyynä ja sertifioinnin suorittamisena. Vuosien varrella, kun yritykset siirtyivät pilveen ja SaaS kasvoi, identiteetti muodostui hiljalleen kerrokseksi, joka yhdisti kaiken: ihmiset, sovellukset, infrastruktuuri ja data.

Olemalla osana tätä matkaa, muutin näkemystäni. Aloitin näkemään identiteetin ei vain tuotekategoriana, vaan työn todellisena hallintakerroksena yrityksissä. Jokainen pääsypäätös, jokainen hyväksyntä, jokainen automaattinen prosessi – kaikki palautuu identiteettiin.

Nyt tekoälyn myötä näemme saman muutoksen uudelleen. Tekoälyagentit ovat digitaalisia työntekijöitä, jotka voivat toimia ihmisten tai yritysten puolesta. Jos heille ei anneta identiteettiä, omistajuutta ja hallintaa, lopputuloksena on automaatio ilman vastuuta. Siksi uskon, että identiteetti tulee olemaan perusta tekoälyä hyödyntävien yritysten turvallisuudelle. Identiteetti tuo vastuun, hallinnan ja valvonnan autonomisiin järjestelmiin.

Saviynt on lanseerannut omistaman identiteettiohjaimen tekoälyagenteille. Miten yritysten näkökulmasta tätä päätöstä edelsi aukko nykyisissä identiteetin ja turvallisuuden arkkitehtuureissa?

Nykyiset identiteetin ja turvallisuuden työkalut eivät ole suunniteltu autonomisille toimijoille. Ne on suunniteltu työntekijöille ja sovelluksille, ei ohjelmistoentiteeteille, jotka voivat tehdä päätöksiä, suorittaa toimintoja ja toimia itsenäisesti.

Useimmat identiteettijärjestelmät tänään ovat hyviä vastaamaan kysymyksiin “Kuka sinä olet?” ja “Mikä pääsy sinulle on annettu?” Mutta tekoälyagenttien maailmassa tärkeämmäksi kysymykseksi muodostuu “Mitä sinä teet tällä hetkellä, ja pitäisikö sinun tehdä se?”

Hallinnollinen aukko oli myös olemassa. Yritykset ovat alkaneet käyttää tuhansia agenteja eri alustoilla, mutta useat organisaatiot eivät tiedä, miten monta agenttia heillä on, kuka omistaa ne, mihin tietoihin ne voivat päästä, tai mitä tapahtuu, jos omistaja lähtee yrityksestä. Se luo enemmän kuin vain turvallisuuden ongelman – se on hallintoon ja vastuuseen liittyvä ongelma.

Tämä johti meidät ajatukseen tekoälyagenttien identiteettiohjaimesta: keskitetystä tavasta löytää, hallita, valvoa ja tarkastella tekoälyidentiteettejä koko elinkaarensa ajan ja toimintansa aikana.

Miten autonomisten tekoälyagenttien hallinta eroaa perinteisten ei-ihmisten identiteettien hallinnasta, kuten palvelutunnuksista tai botteja?

Tekoälyagenttien hallinta on erilainen kuin perinteisten ei-ihmisten identiteettien (NHIs) hallinta, koska nämä identiteetit ovat yleensä deterministisiä ja ennustettavissa. Palvelutunnus suorittaa tietyn tehtävän. Botti suorittaa määritellyn tehtävän. Heidän käyttäytymisensä ei muutu, ellei koodia muuteta.

Tekoälyagentit ovat erilaisia, koska ne ovat autonomisia, sopeutuvia ja tavoitteellisia. Ne eivät suorita vain kiinteää skriptiä. Nämä agentit päättävät, miten tehtävä suoritetaan, mitkä työkalut käytetään, mihin tietoihin pääsy on, ja joskus jopa mihin muihin agenteihin ne voivat yhteistyössä toimia. Heidän käyttäytymisensä voi muuttua ajan myötä, kun malleja, ohjelmointikieliä tai integraatioita muutetaan.

Se tarkoittaa, että pääsyoikeuksien myöntäminen kerran ja tarkastaminen joka neljäs kuukausi ei ole kestävä hallintamalli. Tarvitaan jatkuva hallinta, mukaan lukien löytäminen, omistajuus, elinkaaren hallinta ja ennen kaikkea toimintaa koskevat valvontatoimenpiteet, joilla arvioidaan, mitä agentti tekee kyseisellä hetkellä.

Sekaannus on se, että perinteisillä ei-ihmisten identiteeteillä hallitaan pääsyä, kun taas tekoälyagenteilla on hallittava käyttäytyminen ja toiminta reaaliajassa. Valtuutus ei tarkoita sovellettavuutta. Tekoälyturvallisuus rakentuu tästä ajatuksesta.

Kuinka tärkeää on yhdenmukainen näkyvyys eri ympäristöissä, kun yritykset ottavat käyttöön työkaluja kuten Amazon Bedrock, Google Vertex AI ja Microsoft Copilot Studio?

Et voi suojella sitä, mitä et voi nähdä.

Yhdenmukainen näkyvyys alustoilla kuten Amazon Bedrock, Google Vertex AI ja Microsoft Copilot Studio on erittäin tärkeää, ja rehellisesti sanottuna, se on se, missä useimmat organisaatiot kamppailevat tällä hetkellä. Tekoälyn omaksuminen on tapahtumassa hyvin nopeasti, ja se tapahtuu useilla alustoilla samanaikaisesti.

Yksi liiketoimintayksikkö tai tiimi voi olla rakentamassa agenteja Copilot Studiossa, toinen tiimi kokeilee Bedrockia, ja toinen ryhmä käyttää Vertex AI:ta. Hyvin nopeasti yritykset päätyvät tekoälyagenteilla, jotka ovat levittäytyneet koko yritykseen ilman keskitettyä inventaariota.

Ensimmäinen haaste, jota yritykset kohtaavat, on hyvin yksinkertainen: he eivät tiedä, miten monta tekoälyagenttia heillä on, missä ne toimivat, mihin tietoihin ne voivat päästä tai kuka niitä omistaa. Ilman näkyvyyttä ei voida hallita, ja ilman hallintaa ei voida turvata.

Yhdenmukainen näkyvyys muodostuu perustaksi. Ennen elinkaaren hallintaa, ennen toimintaa koskevia valvontatoimenpiteitä, ennen käytäntöjä näkyvyys on ensimmäinen askel: löytäminen ja inventaario kaikilla tekoälyalustoilla. Tekoälymaailmassa näkyvyys on toiminnallinen, turvallisuuden ja hallinnon vaatimus.

Miten tekoälyagentin koko elinkaari näyttää identiteetin ja hallinnan näkökulmasta, luomisesta poistamiseen?

Pidän selittää tekoälyagentin elinkaarta samalla tavalla kuin selittäisin työntekijän elinkaarta.

Ensinnäkin agentti luodaan ja otetaan käyttöön. Joku (kehittäjä, ohjelmistosuunnittelija tai liiketoimintanalyytikko) luo agentin Bedrockissa tai Copilot Studiossa. Tuossa vaiheessa meidän tulisi kysyä perustietoja identiteetistä: Kuka omistaa tämän agentin? Mikä on sen tehtävä? Mihin järjestelmiin se tarvitsee pääsyä?

Sitten agentti alkaa toimia. Se pääsee järjestelmiin, lukee tai kirjoittaa tietoja API-kutsujen, työkalujen ja työnkulkujen kautta, ja ehkä jopa kommunikoi muiden agenttien kanssa. Tänä aikana meidän on seurattava, mitä se tekee, ja varmistettava, että se pysyy tarkoituksensa ja oikeuksiensa puitteissa. Seuranta ja ymmärrys agentin aikomuksista on tärkein asia, jota organisaatiot eivät vielä täysin ymmärrä.

Ajan myötä agentti muuttuu. Ehkä me lisäämme uusia työkaluja, päivitämme mallia, laajennamme pääsyä tai muutamme roolia. Se on samanlaista kuin työntekijän siirto, ja siihen tarvitaan hallintaa ja hyväksyntää.

Lopulta, kun agentti ei enää ole tarpeen, se tulisi poistaa: pääsy tulisi perua, tunnistetiedot poistaa, integraatiot sulkea ja auditkirjaukset säilyttää.

Yksinkertaisesti sanottuna, elinkaari on: Luominen → omistajan ja tarkoituksen määrittäminen → vähimmäispääsyoikeuksien myöntäminen → seuranta ja hallinta → muutosten hallinta → poistaminen.

Kuinka yritysten tulisi suhtautua tekoälyagenttien välisten vuorovaikutusten turvallisuuteen, kun tekoälyjärjestelmät alkavat toimia ja yhteistyössä toimia itsenäisesti?

Uskon, että agenttien välisten vuorovaikutusten turvallisuus tulee olemaan yksi suurimmista turvallisuushaasteista seuraavien vuosien aikana.

Tänään me olemme enimmäkseen huolissamme siitä, saako ihminen pääsyn järjestelmään. Tulevaisuudessa meidän on huolehdittava siitä, mitä useat agentit voivat tehdä yhdessä. Voimme päätyä tilanteisiin, joissa yksittäinen agentti ei ole liian voimakas, mutta kun ne toimivat yhdessä, ne voivat suorittaa erittäin voimakkaita toimintoja.

Yritysten on otettava huomioon useita seikkoja:

• Jokaisen agentin on oltava yksilöllinen identiteetti.
• Suunnitteluaikaiset turvallisuusohjaimet eivät ole riittäviä. Toimintaa koskevat ohjaimet ovat välttämättömiä.
• Agenttien välisten puhelujen on oltava todennettuja.
• Toiminnot on oltava valtuutettuja reaaliajassa.
• Valtuutus on oltava rajattu ja aikakohtainen.
• Kaikki on oltava kirjattu auditointia varten.

Monilla tavoin siirrymme erilaiseen turvallisuusmalliin: ihmisten pääsysteemien hallinnasta koneiden yhteistyöhön ennennäkemättömällä mittakaavalla.

Mitkä ovat suurimmat riskit, joita yritykset kohtaavat tällä hetkellä, kun ne käyttävät tekoälyagenteja ilman asianmukaista identiteetin hallintaa?

Suurin riski ei ole joku tulevaisuudennäkymä tekoälyn vallankaappauksesta. Se on paljon perustellumpi ja jo tapahtuu useimmissa yrityksissä, jotka kokeilevat tekoälyagenteja. Yritykset luovat agenteja kaikkialla, mutta heillä ei ole keskitettyä tapaa seurata, hallita tai valvoa niiden pääsyä.

Omaksuminen on ollut prioriteetti tähän asti, ja se on ymmärrettävää. Jokainen uusi teknologia kulkee tämän vaiheen läpi, mutta turvallisuus ja hallinta on saatava kiinni nopeasti.

Jos ei, yritykset altistavat itsensä agenteille, joilla ei ole selkeää omistajaa ja joilla on liian laaja pääsy tietoihin. Nämä agentit voivat vuotaa arkaluontoista tietoa ja jatkaa toimintaa projektin päättymisen jälkeen – kaikki ilman selkeää audit-reittiä.

Olemme nähneet tämän ennen palvelutunnuksilla ja pilviresursseilla. Ensimmäiseksi tulee omaksuminen, sitten laajentuminen, sitten turvallisuuden ja hallinnon ongelmat. Tekoäly seuraa samaa kaavaa, mutta nopeammin ja enemmän autonomialla ja toimintakyvylle.

Ilman identiteetin hallintaa tekoälyagentit muodostuvat hallitsemattomiksi etuoikeutetuiksi identiteeteiksi. Se on riski, joka ei ole innovaatio, vaan lisää organisaatiolle riskiä.

Kuinka tekoälyagenttien nousu muuttaa identiteetin määritelmää yritysten järjestelmissä?

Uskon, että identiteetin määritelmä laajenee suuresti yrityksissä. Se on aiemmin ollut pääasiassa työntekijöistä, sitten se on laajentunut ulkoisiin identiteetteihin, kuten toimittajien työntekijöihin, etätyöntekijöihin jne. Pandemia kiihdytti tätä edelleen, kun aloimme hallita palvelutunnuksia ja botteja ei-ihmisten identiteetteinä. Nyt tekoälyagentit vievät tämän askelen eteenpäin.

Tekoälyagentit eivät ole vain tilit tai skriptit. Ne tekevät päätöksiä, pääsevät järjestelmiin, luovat sisältöä, laukaisevat työnkulkuja ja kommunikoivat muiden agenttien kanssa. Ne koskettavat tietojasi, tekevät päätöksiä ja muuttavat lopputuloksia. Ne alkavat käyttäytyä enemmän digitaalisina työntekijöinä kuin ohjelmistotileinä.

Se tarkoittaa, että identiteetti on enemmän kuin vain se, kuka voi kirjautua sisään. Se on se, kuka tai mikä toimii yrityksen sisällä, mitä heille on sallittu tehdä, kuka heidät omistaa ja miten heidän toimintaa valvotaan.

Identiteetti kehittyy edelleen siitä, mikä edustaa käyttäjää, identiteetiksi, joka edustaa mitä tahansa toimijaa – ihmistä tai konetta – joka voi vaikuttaa ja muuttaa lopputuloksia organisaatiossa.

Kun arvioit perustajia tai tiimejä, jotka kehittävät tekoälyturvallisuutta tai identiteetin hallintaa, mitkä signaalit osoittavat, että he ymmärtävät tämän alan monimutkaisuuden?

Ne, jotka todella ymmärtävät tämän alan, eivät johda teknologialla. He johdattelevat ongelman kanssa. He osaavat kertoa, mitä he rakentavat, mutta myös, miksi nykyinen lähestymistapa on rikki ja kuka menettää unia siitä.

Ilmiömerkki minulle on tarkkuus. Kuka tahansa voi sanoa, että “Tekoäly tuo uusia identiteettiriskejä.” Mutta voivatko he kävellä sinut läpi siitä, miten OAuth-tunniste voidaan väärinkäyttää agenteissa? Ymmärtävätkö he, miksi ei-ihmisten identiteetit ovat perustavasti erilaisia kuin ihmisten, ei vain määrällisesti, vaan käyttäytymisessä, elinkaarella ja vaikutusalueella?

Kiinnitän myös huomiota siihen, miten he puhuvat asiakkaistaan. Parhaat perustajat tässä alan osaavat kertoa asiakkaistaan, koska he ovat itse kokeneet saman ongelman tai ovat viettäneet paljon aikaa asiakkaiden kanssa, jotta he voivat melkein lopettaa heidän lauseensa. He eivät myy kategoriaa, vaan ratkaisevaa, mutkikasta ongelmaa, jota he eivät voineet lopettaa ajattelemasta.

Ja sitten on sääntely- ja ekosysteemiohjattavuus. Identiteetti ja tekoälyturvallisuus eivät ole tyhjiössä. Perustajat, jotka vaikuttavat minuun eniten, ymmärtävät, miten heidän tuotteensa sopii laajempaan säätelyasemaan – NIST, SOC 2, kehittyvät tekoälyhallintokehykset – ja he ovat ajatelleet tarkkaan, mihin he liittyvät pinossa ja mitä he omistavat.

Punaiset liput ovat joukkueet, jotka vain jaavat tekoälyn kertomusta. He voivat kuvailla markkinaa kauniisti, mutta kun pyydät yksityiskohtia, kertomus heikkenee.

Pitäisikö identiteetin kehittyä ensisijaiseksi ohjaimiksi tekoälyjärjestelmissä samalla tavoin kuin verkkoturvallisuus määritteli yritysten rajat, ja miten turvallisuustiimit tulisi valmistautua tähän muutokseen?

Kyllä, ja uskon, että olemme lähempänä tämän käänteentekevää hetkeä kuin useimmat turvallisuustiimit tajuavat.

Verkkoraja oli järkevä, kun varat olivat fyysisiä, kuten palvelimia tietokeskuksessa, työntekijöitä toimistossa tai liikennettä reunassa. Mutta pilvi hajotti tämän rajan, ja turvautuimme identiteettiin tämän aukon täyttämiseksi. Zero Trust ei ollut vain markkinointitermi; se oli tunnustus siitä, että raja oli poissa ja identiteetti on tärkeämpää kuin koskaan.

Tekoälyagentit vaikuttavat identiteettiin samalla tavoin kuin pilvi vaikutti verkkoon. Nämä järjestelmät pääsevät resursseihin, tekevät päätöksiä, kutsuvat API:ita, ketjuavat toimintoja työkalujen ja alustojen yli ja tekevät kaiken tämän autonomisesti koneen nopeudella. Kysymys “onko tämä sallittua?” ei voida enää vastata palomuurissa. Se on vastattava identiteetin kerroksessa, reaaliajassa, kaiken kontekstin kera, mitä agentti yrittää tehdä ja miksi.

Identiteetti muodostuu ohjauskerroksi. Mutta se on perustavasti vaikeampi identiteetin versio kuin mitä olemme aiemmin rakentaneet. Se ei ole vain todennus. Se on valtuutus, joka on tietoinen aikomuksesta, kontekstista ja ketjusta toimia, joita agentti on jo suorittanut. Se on erilainen ongelma kuin sertifikaatin myöntäminen tai salasanan kierrätys.

Turvallisuustiimille valmistautuminen alkaa asenteen muutoksella. Lopeta ajattelu tekoälyjärjestelmistä sovelluksina, joita on turvattava reunassa, ja aloita ajattelu niistä toimijoina – entiteetteinä, joilla on identiteetti, etuoikeudet ja elinkaari, jota on hallittava loppuun asti. Kuka on luonut tämän agentin? Mitä se on sallittu tehdä? Kuka on vastuussa, kun se tekee jotain odottamatonta?

Joukkueet, jotka pääsevät eturiville, eivät ole ne, jotka lisäävät tekoälyturvallisuutta jälkikäteen. Ne ovat ne, jotka laajentavat identiteettihallintaaan kattamaan ei-ihmisten identiteetit ja tekoälyagentit ennen kuin nämä identiteetit tekevät ratkaisevia päätöksiä.

Kiitos hienosta haastattelusta. Lukijat, jotka haluavat oppia lisää, voivat vierailla Saviyntin sivustolla.