Howard Ting, PDG d’Opal Security – Série d’entretiens

Howard Ting, PDG d’Opal Security, est un dirigeant chevronné dans le domaine de la cybersécurité et de la technologie, qui dirige actuellement Opal Security depuis novembre 2025. Auparavant, il a occupé le poste de directeur en résidence chez Greylock, tout en passant plus de cinq ans chez Cyberhaven en tant que PDG et membre du conseil d’administration, guidant l’entreprise dans sa mission de protéger les données et de permettre l’innovation sécurisée. Son parcours comprend des postes de leadership marketing stratégique chez Redis Labs et Zscaler, ainsi que des rôles de marketing et de produits seniors chez Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security, et une expérience précoce dans les fusions et acquisitions chez Banc of America Securities. Cette combinaison de leadership opérationnel, d’expertise en lancement de produits et de connaissance approfondie du domaine de la cybersécurité le positionne de manière unique à la tête d’une plate-forme de sécurité à croissance rapide.

Opal Security est une entreprise de gestion d’accès moderne, centrée sur l’identité, qui fournit aux entreprises une plate-forme centralisée pour gérer et sécuriser l’accès à leurs systèmes, applications et données, sur le cloud, le SaaS et les systèmes internes. La plate-forme offre une visibilité unifiée sur les identités et les chemins d’accès, prend en charge les flux de travail d’accès en libre-service et juste-à-temps, et automatise les examens d’accès pour appliquer les politiques de moindre privilège à grande échelle, aidant ainsi les organisations à réduire les risques et à améliorer la conformité dans des environnements dynamiques qui comprennent des utilisateurs humains, des comptes de service et des agents d’IA.

Vous venez de prendre les rênes de la direction d’Opal Security après avoir dirigé Cyberhaven à une échelle significative et occupé des postes de direction chez des entreprises comme Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis et Microsoft. Qu’est-ce qui vous a attiré vers Opal à ce stade de votre carrière, et comment votre expérience antérieure influence-t-elle votre réflexion sur l’accès, l’identité et la sécurité native aux IA ?

La gestion de l’accès devient de plus en plus difficile partout. Plus d’identités, plus de machines, plus d’automatisation – et l’accès significatif provient de plus en plus des flux de travail d’ingénierie et du cloud, et non plus de l’informatique traditionnelle. Les outils IAM et IGA standard n’ont pas été conçus pour cela, et les menaces liées à l’identité ne attendent pas qu’ils rattrapent leur retard.

C’est ce qui m’a attiré vers Opal. L’ampleur de ce problème est massive, et Opal est déjà aligné sur la direction que prend le marché. J’ai vu des versions de ce schéma auparavant. Chez RSA, Palo Alto Networks et Cyberhaven, j’ai observé les révolutions de l’authentification multifacteur, des pare-feu de nouvelle génération et de la lignée des données se dérouler en temps réel, et les dynamiques ici sont frappamment similaires : un problème de catégorie se définit qui s’accélère plus vite que la plupart des fournisseurs ne peuvent y répondre, avec une fenêtre étroite pour que l’équipe appropriée le possède.

Opal a cette équipe. Les fondations d’ingénierie et de produit sont solides, et la liste des clients, construite grâce à un travail direct et ciblé, parle d’elle-même. Chaque conversation que j’ai eue avec les clients a renforcé le même signal : ce problème s’accélère, et Opal est la seule à le résoudre.

Ce que j’ai appris en construisant et en faisant croître des équipes au sein d’entreprises, c’est que l’exécution devient radicalement plus simple lorsque le produit, l’ingénierie et le lancement de produits partagent le même niveau de focalisation sur le client. Lorsque tout le monde voit le même problème et la même opportunité, vous bougez rapidement sans perdre de précision. Opal a déjà cette fondation. Mon rôle est de la renforcer – et de m’assurer que nos clients ressentent la pleine force de cette équipe derrière eux à mesure que nous nous développons.

Ayant passé des années à travailler sur l’identité, les infrastructures cloud et la sécurité des entreprises, où pensez-vous que les modèles traditionnels de contrôle d’accès sont en train de se briser à mesure que les organisations adoptent plus profondément les IA ?

L’honnête réponse est que la plupart des modèles traditionnels de contrôle d’accès ont été conçus pour résoudre l’authentification – et pour les humains, ce problème est en grande partie résolu. Les IDP et les méthodes d’authentification modernes gèrent raisonnablement bien la question « Qui êtes-vous ? ». Pour les identités non humaines, les clés API et la gestion des secrets vous amènent partiellement là. Mais l’autorisation – « que devriez-vous être autorisé à faire, et pour combien de temps ? » – reste profondément non résolue pour les humains et les machines, et c’est là que vit le véritable risque.

Ce qui aggrave cela, c’est que les équipes d’ingénierie opèrent maintenant à travers l’automatisation, l’infrastructure en tant que code et des outils d’IA qui génèrent de nouvelles autorisations dans le cadre du développement quotidien. L’accès ne change plus lentement à travers les flux de travail informatiques – il est créé, modifié et étendu de manière programmatique, souvent sans que quiconque examine ce qui vient d’être accordé. Le résultat est une croissance de la prolifération de comptes sur-autorisés, d’outils de privilèges fragmentés et d’une gouvernance qui est coûteuse, réactive et en grande partie aveugle à ce qui se passe réellement.

Et je serai direct sur autre chose : il y a une énorme quantité de lessivage d’IA sur ce marché en ce moment. Les fournisseurs se précipitent pour attacher « IA » à des architectures héritées, ce qui obscurcit une réalité critique pour les acheteurs – un cadre de sécurité et de gouvernance validé pour les agents IA n’existe toujours pas. L’hype dépasse les contrôles réels, et c’est là que se construit l’exposition réelle.

C’est ce qui rend l’approche d’Opal différente. Plutôt que de greffer la gouvernance sur les flux de travail après coup, Opal modèle l’accès directement à partir des systèmes que les ingénieurs utilisent déjà, applique la politique en temps réel et donne aux équipes de sécurité un moyen de guider les décisions d’autorisation sans créer de friction. Lorsque la gouvernance s’intègre naturellement dans la façon dont l’ingénierie fonctionne réellement, elle cesse d’être un bloqueur et devient une infrastructure de confiance.

Opal se concentre sur la gestion de qui et de ce qui peut accéder à des systèmes sensibles dans des environnements modernes, natifs du cloud. Quels problèmes de sécurité sont les plus sous-estimés par les entreprises qui construisent avec des agents IA et des flux de travail automatisés ?

Les problèmes les plus sous-estimés ne sont pas vraiment nouveaux. Ce sont ceux qui se sont accumulés discrètement pendant des années autour des identités humaines. L’hygiène de base de la gouvernance, tels que les flux de travail de joiner/mover/leaver, l’accès juste-à-temps et les examens d’accès des utilisateurs, ont été négligés ou rafistolés chez la plupart des organisations depuis longtemps. Les obligations de conformité, telles que SOX, n’ont pas disparu non plus ; elles sont simplement devenues plus difficiles à satisfaire à mesure que les environnements grandissent en complexité. Rien de tout cela n’est glamour, mais c’est exactement la fondation qui se brise lorsque vous superposez des agents IA.

Les organisations intègrent l’IA pour rationaliser les flux de travail et éliminer les tâches fastidieuses, mais en le faisant, elles introduisent des identités non humaines qui multiplient les relations d’accès de manière que les outils existants n’ont jamais été conçus pour gérer. Le résultat est une toile embrouillée où l’accès humain était déjà mal géré et où l’accès des machines est maintenant étendu avec encore moins de visibilité. Les décisions d’accès doivent être explicables, liées dans le temps, liées à une utilisation réelle et surveillées en continu, mais la plupart des équipes s’appuient encore sur des systèmes statiques, uniques, qui ne peuvent pas fournir cela. Pendant ce temps, les agents de codage génèrent et déployeront du code avec des autorisations intégrées, interagiront avec l’infrastructure directement et opéreront avec un accès que personne n’examine à travers une lentille de sécurité traditionnelle – une exposition de sécurité et de conformité que la plupart des organisations n’ont même pas commencé à évaluer.

Les entreprises qui construisent avec des agents IA ont tendance à se concentrer sur la nouveauté de la technologie tout en sous-estimant à quel point rapidement la prolifération d’accès et les autorisations invisibles deviennent une responsabilité grave – en particulier lorsque la fondation d’identité humaine en dessous était déjà fragile.

Vous avez vu la sécurité évoluer à travers plusieurs générations d’infrastructures. Qu’est-ce qui change fondamentalement lorsque les identités de machine et les agents IA commencent à dépasser le nombre d’utilisateurs humains ?

Lorsque les identités de machine dépassent le nombre d’utilisateurs humains, il devient de plus en plus difficile de suivre qui a accès à quoi. Les systèmes IAM traditionnels n’ont pas été conçus pour cette réalité, et la plupart des plateformes RH et IAM ne fournissent qu’une visibilité partielle, en particulier à mesure que la surveillance des identités s’étend au-delà d’une seule équipe. Pour surveiller avec succès ces types d’identités, nous devons donner aux agents IA une propriété claire, des autorisations étendues et une traçabilité complète dès le départ. Opal Security répond à cela en modélisant les humains, les services et les agents dans un seul cadre, plutôt que de les traiter comme des entités distinctes.

Les auditeurs s’attendent maintenant à examiner le comportement humain et agentic côte à côte lors de l’analyse des examens d’accès. Les agents héritent généralement des jeux d’autorisations des utilisateurs qui les déployeront, mais certains cas d’utilisation nécessitent des agents qui s’identifient comme des comptes de service avec des jeux d’autorisations personnalisés (généralement réduits).

L’IA est de plus en plus à la fois une surface d’attaque et un outil de défense. De votre point de vue, où l’IA améliore-t-elle réellement les résultats de sécurité aujourd’hui, et où introduit-elle encore de nouveaux risques ?

L’IA est un outil immensément puissant qui est à la base de notre produit. Opal Security utilise l’IA pour surveiller, détecter et prévenir les accès irréguliers à travers les organisations. L’IA change également la sécurité de l’identité car elle introduit des acteurs qui ne s’authentifient pas seulement et n’exécutent pas seulement des tâches – ils raisonnent, s’adaptent et agissent de manière autonome. Les systèmes d’identité traditionnels ont été conçus pour les personnes et les comptes de service statiques, où l’accès changeait lentement et l’intention était relativement prévisible.

Mais les agents IA brisent ce modèle. Le risque est la perte de visibilité et de responsabilité. Les agents peuvent se mettre en place et disparaître dynamiquement, enchaîner les autorisations à travers les systèmes, et agir au nom des utilisateurs, d’autres agents ou d’eux-mêmes. Aucune ressource sécurisée n’est « compromise », et pourtant des actions sensibles peuvent toujours se produire car tout a été techniquement autorisé. C’est la nouvelle surface d’attaque. La façon de gérer cela est à travers une plate-forme unifiée et intelligente qui comprend et sécurise tous les types d’entités à travers le contexte, le comportement et l’adaptation continue.

Cette vision unifiée forme la fondation de la sécurité – vous ne pouvez pas protéger ce que vous ne pouvez pas voir ou comprendre. Chez Opal, nous croyons en la compréhension de chaque relation. Il ne suffit pas de savoir qui est dans le système. Vous devez savoir qui est connecté à quoi, et pourquoi.

À mesure que les agents de codage IA et les systèmes automatisés gagnent des autorisations plus larges au sein des organisations, comment les équipes de sécurité devraient-elles repenser l’accès aux moindres privilèges dans la pratique, et non pas seulement en théorie ?

La gestion moderne des identités et des accès doit traiter les identités humaines et machines de la même manière, afin que les entreprises puissent avoir la visibilité, l’automatisation et la confiance nécessaires pour se développer en toute sécurité à l’ère de l’IA. Dans la pratique, cela signifie accorder des autorisations uniquement lorsque nécessaire, et examiner et ajuster en continu l’accès à mesure que les tâches ou les rôles changent. La surveillance automatisée et les contrôles basés sur les risques deviennent essentiels, en veillant à ce que les outils d’IA puissent fonctionner efficacement sans créer d’exposition de sécurité inutile.

Il est utile de permettre l’accès juste-à-temps par défaut pour les agents, mais de le rendre sans friction : approuver automatiquement des ressources spécifiques lorsque cela est approprié, ou si l’utilisateur opère dans un environnement où toutes les données sont sensibles, restreindre l’utilisation à des machines virtuelles sandboxées.

Bien que de nouvelles restrictions sur l’utilisation des agents puissent irriter les utilisateurs finaux en les ralentissant, il est important de rencontrer les utilisateurs là où ils se trouvent. Avec Opal, cela signifie que les demandes d’accès peuvent être soumises et approuvées dans Slack, et que les stratégies IaaC, y compris Terraform, peuvent être utilisées pour automatiser les octrois d’accès, les révocations et les accès limités dans le temps.

Sur la base de votre expérience dans le développement d’entreprises de sécurité, quels signaux vous indiquent qu’un contrôle d’accès d’une organisation n’est plus aligné sur la façon dont l’entreprise fonctionne réellement ?

Les organisations peuvent voir que leurs contrôles d’accès sont déconnectés lorsque l’accès commence à retarder la réalité. Cela peut se manifester par des autorisations excessives ou obsolètes, des goulets d’étranglement manuels provenant de systèmes hérités, ou l’adoption de systèmes d’IA sans politiques mises à jour pour suivre les identités non humaines. Un autre signe révélateur est l’augmentation des incidents de sécurité ou des quasi-accidents, où des comptes sur-autorisés ou des identités mal gérées sont les coupables.

Les déploiements complexes de Sailpoint, s’appuyant sur une équipe de consultants, ainsi que le suivi de l’accès dans des tableurs, n’étaient pas efficaces à l’époque avant les agents, et cette approche héritée s’effondrera simplement sous la vitesse et la complexité des agents. Opal fournit une plate-forme unique qui sert la sécurité, débloque l’informatique et donne aux auditeurs ce dont ils ont besoin. Nous constatons que le RBAC est fragile et rarement un état durable, donc les équipes réussies commencent par le JIT, puis passent à l’accès basé sur les personas (avec flexibilité et suivi dans le temps) afin que les configurations Terraform puissent être versionnées, déployées ou annulées si nécessaire.

D’un point de vue de leadership, comment équilibrez-vous la vitesse d’innovation avec la discipline requise pour établir la confiance dans les produits de sécurité ?

J’ai appris que les grandes entreprises restent disciplinées sur les fondamentaux, même lorsqu’elles grandissent rapidement. Ces fondamentaux incluent des priorités claires, une communication transparente et une volonté de prendre des décisions difficiles. L’innovation compte toujours, mais elle doit être ancrée dans la rigueur : des paramètres par défaut solides, une modélisation de menace réfléchie et une responsabilité pour les résultats. Prendre ces décisions délibérément est ce qui vous permet de bouger rapidement sans compromettre la confiance, et avec le temps, cette discipline devient réellement un avantage concurrentiel.

Qu’est-ce que les dirigeants de la sécurité mésestiment le plus en ce qui concerne la préparation d’un avenir dominé par des systèmes autonomes plutôt que par des accès humains ?

Ce que les dirigeants de la sécurité sous-estiment le plus souvent, c’est la complexité de la gestion de différents types d’identités. Les entreprises sont si impatientes de rester en tête et de suivre les dernières technologies que les mesures de sécurité peuvent souvent être mises de côté. Les flux de travail d’IA sont souvent introduits sans propriété claire, laissant les organisations avec des angles morts où les identités non humaines s’accumulent discrètement, opèrent en dehors des contrôles traditionnels et créent de nouvelles opportunités pour des erreurs coûteuses ou des menaces. Se préparer à cet avenir nécessite de traiter l’identité comme une couche dynamique et continuellement gérée.

À mesure que les entreprises grandissent, les équipes de sécurité devraient posséder les politiques d’utilisation des agents, et déterminer comment, si et où l’accès des agents est réduit par rapport à l’humain qui appelle l’agent. Tout processus qui a précédemment ajouté de la charge de travail aux équipes humaines s’effondrera simplement sous l’échelle et la nature éphémère des agents : l’automatisation est le seul moyen de gérer le volume de demandes.

En regardant vers l’avenir, à quoi ressemble une « bonne hygiène de sécurité » dans un environnement où les systèmes d’IA créent, modifient et demandent continuellement de l’accès de leur propre initiative ?

Une bonne hygiène de sécurité consiste à utiliser l’IA pour élargir la sécurité tout en maintenant suffisamment de surveillance et de discipline pour s’assurer que rien ne passe à travers les mailles du filet. L’IA ne part pas ; que l’entreprise utilise un fournisseur comme Opal ou gère en interne, les entreprises doivent accepter que l’accès n’est plus statique. Lorsque les systèmes d’IA créent, modifient et demandent continuellement de l’accès, la sécurité doit passer d’une approbation unique à une surveillance continue. Cela signifie traiter l’accès comme un cycle de vie continu plutôt que comme une case à cocher unique.

Les entreprises devront également utiliser activement l’IA dans le cadre de leur défense. L’automatisation peut aider les équipes à suivre le volume et la vitesse des changements d’accès, mais elle doit être associée à des garde-fous clairs, à une visibilité dans les chaînes de délégation et à une responsabilité humaine lorsque quelque chose se passe mal. Il est important de mettre en surface des signaux d’explicabilité : les valeurs de Shapley et les coefficients de caractéristiques pour les modèles d’apprentissage automatique traditionnels, et un contexte ou des justifications détaillées supplémentaires provenant des LLM. Sans ces nuances, il est difficile de maintenir une chaîne de confiance pour l’accès aux ressources commerciales sensibles. Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus devraient visiter Opal Security.