Howard Ting, CEO Opal Security – Seri Wawancara

Howard Ting, CEO Opal Security adalah seorang eksekutif cybersecurity dan teknologi yang berpengalaman dan saat ini memimpin Opal Security sejak November 2025. Sebelum memegang peran ini, ia menjabat sebagai Executive in Residence di Greylock sambil menghabiskan lebih dari lima tahun di Cyberhaven sebagai CEO dan direktur dewan, membimbing perusahaan melalui misinya untuk melindungi data dan memungkinkan inovasi yang aman. Latar belakangnya termasuk posisi kepemimpinan pemasaran strategis di Redis Labs dan Zscaler, serta peran pemasaran dan produk senior di Nutanix, Palo Alto Networks (PANW ), Cisco (melalui Securent), Microsoft (MSFT ), RSA Security, dan pengalaman awal di M&A di Banc of America Securities. Campuran kepemimpinan operasional, keahlian go-to-market, dan pengalaman domain cybersecurity yang mendalam memposisikannya secara unik di helm platform keamanan yang tumbuh pesat.

Opal Security adalah perusahaan manajemen akses identitas modern yang menyediakan perusahaan dengan platform terpusat untuk mengatur dan mengamankan siapa yang memiliki akses ke apa di seluruh cloud, SaaS, dan sistem internal. Platform ini menyediakan visibilitas terpadu ke identitas dan jalur akses, mendukung alur kerja akses mandiri dan just-in-time, serta mengotomatisasi tinjauan akses untuk menerapkan kebijakan least-privilege skala besar, membantu organisasi mengurangi risiko dan meningkatkan kepatuhan dalam lingkungan yang dinamis yang mencakup pengguna manusia, akun layanan, dan agen AI.

Anda baru saja memasuki peran CEO di Opal Security setelah memimpin Cyberhaven melalui skala signifikan dan memegang peran senior di perusahaan seperti Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis, dan Microsoft. Apa yang menarik Anda ke Opal pada saat ini dalam karir Anda, dan bagaimana pengalaman sebelumnya Anda membentuk cara Anda berpikir tentang akses, identitas, dan keamanan AI-native saat ini?

Mengelola akses semakin sulit di mana-mana. Lebih banyak identitas, lebih banyak mesin, lebih banyak otomatisasi—dan akses yang bermakna semakin banyak berasal dari dalam alur kerja rekayasa dan cloud, bukan IT tradisional. Alat IAM dan IGA standar tidak dirancang untuk hal ini, dan ancaman identitas tidak menunggu mereka untuk mengejar.

Itulah yang menarik saya ke Opal. Skala masalah ini sangat besar, dan Opal sudah sejalan dengan arah pasar. Saya telah melihat versi pola ini sebelumnya. Di RSA, Palo Alto Networks, dan Cyberhaven, saya menyaksikan revolusi multifaktor, next-generation firewall, dan data lineage terjadi secara nyata, dan dinamika di sini sangat mirip: masalah kategori-definisi yang mempercepat lebih cepat daripada sebagian besar vendor dapat merespons, dengan jendela sempit untuk tim yang tepat untuk memiliki itu.

Opal memiliki tim itu. Pondasi rekayasa dan produk kuat, dan daftar pelanggan yang dibangun melalui kerja langsung dan terfokus, berbicara sendiri. Setiap percakapan pelanggan yang saya layani memperkuat sinyal yang sama: masalah ini mempercepat, dan Opal adalah yang memecahkannya.

Apa yang saya pelajari dari membangun dan menskalakan tim di seluruh perusahaan adalah bahwa eksekusi menjadi jauh lebih sederhana ketika produk, rekayasa, dan go-to-market berbagi fokus pelanggan yang sama. Ketika semua orang melihat masalah yang sama dan kesempatan yang sama, Anda bergerak cepat tanpa kehilangan presisi. Opal sudah memiliki fondasi itu. Tugas saya adalah membangun di atasnya—dan memastikan pelanggan merasakan kekuatan penuh tim ini di belakang mereka saat kami menskalakan.

Setelah menghabiskan tahun-tahun bekerja di identitas, infrastruktur cloud, dan keamanan perusahaan, di mana Anda pikir model kontrol akses tradisional gagal ketika organisasi mengadopsi AI lebih dalam?

Jawaban jujurnya adalah bahwa sebagian besar model kontrol akses tradisional dibangun untuk memecahkan autentikasi—dan untuk identitas manusia, masalah itu sebagian besar sudah terpecahkan. IDP dan metode autentikasi modern menangani “siapa kamu?” dengan cukup baik. Untuk identitas non-manusia, kunci API dan pengelolaan rahasia mendapatkan sebagian jalan di sana. Tapi otorisasi—”apa yang seharusnya kamu diizinkan lakukan, dan untuk berapa lama?”—tetap belum terpecahkan untuk kedua identitas manusia dan mesin, dan itulah tempat risiko yang sebenarnya tinggal.

Apa yang memperburuk ini adalah bahwa tim rekayasa sekarang beroperasi melalui otomatisasi, infrastruktur sebagai kode, dan tooling yang dibantu AI yang menghasilkan izin baru sebagai bagian dari pengembangan sehari-hari. Akses tidak berubah perlahan-lahan melalui alur kerja IT lagi—itu dibuat, dimodifikasi, dan diperluas secara programatis, sering tanpa siapa pun meninjau apa yang baru saja diberikan. Hasilnya adalah penyebaran akun yang berlebihan, alat privilegi yang terfragmentasi, dan tata kelola yang mahal, reaktif, dan sebagian besar buta terhadap apa yang sebenarnya terjadi.

Opal fokus pada mengelola siapa dan apa yang dapat mengakses sistem sensitif di lingkungan cloud-native modern. Apa masalah keamanan yang paling kurang diperkirakan oleh perusahaan yang membangun dengan agen AI dan alur kerja otomatis?

Masalah yang paling kurang diperkirakan sebenarnya bukanlah yang baru. Mereka adalah masalah yang telah menumpuk selama bertahun-tahun di sekitar identitas manusia. Higiene tata kelola dasar seperti alur kerja joiner/mover/leaver, akses just-in-time, dan tinjauan akses pengguna telah diabaikan atau diperbaiki di sebagian besar organisasi selama waktu yang lama. Kewajiban kepatuhan seperti SOX belum hilang; mereka hanya menjadi lebih sulit untuk dipenuhi karena lingkungan tumbuh lebih kompleks. Tidak ada yang glamor di sini, tapi ini adalah fondasi yang rusak ketika Anda melapisi agen AI di atasnya.

Organisasi mengintegrasikan AI untuk mempermudah alur kerja dan menghilangkan tugas-tugas yang membosankan, tapi dengan melakukan itu, mereka memperkenalkan identitas non-manusia yang memperbanyak hubungan akses dengan cara yang alat yang ada tidak pernah dirancang untuk menangani. Hasilnya adalah jaring yang rumit di mana akses manusia sudah tidak tergovernan dan akses mesin sekarang berkembang dengan visibilitas yang bahkan lebih sedikit. Keputusan akses perlu dapat dijelaskan, terikat waktu, terikat dengan penggunaan yang sebenarnya, dan terus dipantau, tapi sebagian besar tim masih mengandalkan sistem statis, satu-ukuran-untuk-semua yang tidak dapat memberikan apa pun dari itu. Sementara itu, agen coding menghasilkan dan mengirimkan kode dengan izin yang tertanam, berinteraksi dengan infrastruktur secara langsung, dan beroperasi dengan akses yang tidak ditinjau melalui lensa keamanan tradisional—paparan keamanan dan kepatuhan yang sebagian besar organisasi belum memulai untuk memetakan.

Anda telah melihat evolusi keamanan di seluruh beberapa generasi infrastruktur. Apa yang secara mendasar berubah ketika identitas mesin dan agen AI mulai melampaui jumlah pengguna manusia?

Ketika identitas mesin melampaui jumlah pengguna manusia, menjadi semakin sulit untuk memantau siapa yang memiliki akses ke apa. IAM tradisional tidak dirancang untuk kenyataan ini dan sebagian besar platform HR dan IAM hanya menyediakan visibilitas sebagian, terutama karena pengawasan identitas berkembang di luar satu tim. Untuk memantau jenis identitas ini dengan sukses, kita perlu memberikan agen AI kepemilikan yang jelas, izin yang diatur, dan auditabilitas penuh dari awal. Opal Security menangani ini dengan memodelkan manusia, layanan, dan agen dalam satu kerangka, bukan memperlakukan mereka sebagai entitas terpisah.

Auditor sekarang mengharapkan untuk meninjau perilaku manusia dan agen secara berdampingan saat menganalisis tinjauan akses. Agen biasanya mewarisi himpunan izin pengguna yang mengirimkannya, tapi beberapa kasus penggunaan memerlukan agen yang mengidentifikasi sebagai akun layanan dengan himpunan izin kustom (biasanya dengan skala yang lebih rendah).

AI semakin menjadi baik sebagai permukaan serangan dan alat pertahanan. Dari perspektif Anda, di mana AI secara signifikan meningkatkan hasil keamanan saat ini, dan di mana masih memperkenalkan risiko baru?

AI adalah alat yang sangat kuat yang merupakan dasar produk kami. Opal Security menggunakan AI untuk memantau, mendeteksi, dan mencegah akses yang tidak teratur di seluruh organisasi. AI juga mengubah keamanan identitas karena memperkenalkan aktor yang tidak hanya mengautentikasi dan mengeksekusi tugas—mereka bernalar, beradaptasi, dan bertindak secara otonom. Sistem identitas tradisional dibangun untuk orang dan akun layanan statis, di mana akses berubah perlahan-lahan dan niat relatif dapat diprediksi.

Tapi agen AI memecahkan model ini. Risikonya adalah kehilangan visibilitas dan akuntabilitas. Agen dapat muncul dan turun secara dinamis, menggabungkan izin di seluruh sistem, dan bertindak atas nama pengguna, agen lain, atau diri mereka sendiri. Tidak ada sumber daya yang aman yang “dibobol”, namun tindakan sensitif masih dapat terjadi karena semuanya secara teknis diberi wewenang. Itulah permukaan ancaman baru. Cara untuk mengelolanya adalah melalui platform terpadu dan cerdas yang memahami dan mengamankan semua jenis entitas melalui konteks, perilaku, dan adaptasi terus-menerus.

Bagaimana tim keamanan harus memikirkan kembali akses least-privilege dalam praktek, bukan hanya dalam teori, ketika agen coding AI dan sistem otomatis mendapatkan izin yang lebih luas di dalam organisasi?

Akses identitas modern perlu memperlakukan identitas manusia dan mesin secara setara, sehingga perusahaan dapat memiliki visibilitas, otomatisasi, dan kepercayaan yang dibutuhkan untuk menskalakan dengan aman di era AI. Dalam praktek, ini berarti memberikan izin hanya ketika diperlukan, dan terus-menerus meninjau dan menyesuaikan akses karena tugas atau peran berubah. Pemantauan otomatis dan kontrol berbasis risiko menjadi penting, memastikan bahwa alat AI dapat beroperasi dengan efisiensi tanpa menciptakan paparan keamanan yang tidak perlu.

Berdasarkan pengalaman Anda dalam menskalakan perusahaan keamanan, apa yang menunjukkan bahwa kontrol akses organisasi tidak lagi sejalan dengan cara bisnis sebenarnya beroperasi?

Organisasi dapat mengetahui bahwa kontrol akses mereka tidak sejalan ketika akses mulai tertinggal di belakang kenyataan. Ini dapat muncul sebagai izin yang berlebihan atau ketinggalan zaman, bottleneck manual dari sistem warisan, atau adopsi sistem AI tanpa kebijakan yang diperbarui untuk melacak identitas non-manusia. Tanda lain adalah insiden keamanan yang meningkat atau hampir terjadi, di mana akun yang berlebihan atau identitas yang tidak tergovernan adalah pelakunya.

Dari perspektif kepemimpinan, bagaimana Anda menyeimbangkan kecepatan inovasi dengan disiplin yang diperlukan untuk membangun kepercayaan dalam produk keamanan?

Saya telah belajar bahwa perusahaan hebat tetap disiplin tentang dasar-dasar bahkan ketika mereka tumbuh dengan cepat. Dasar-dasar ini termasuk prioritas yang jelas, komunikasi yang transparan, dan kemauan untuk membuat keputusan sulit yang panjang. Inovasi masih penting, tapi harus didasarkan pada keteguhan: default yang kuat, pemodelan ancaman yang hati-hati, dan akuntabilitas untuk hasil. Membuat keputusan tersebut secara sengaja memungkinkan Anda untuk bergerak cepat tanpa mengompromikan kepercayaan, dan dari waktu ke waktu, disiplin itu sebenarnya menjadi keunggulan kompetitif.

Apa yang Anda pikir pemimpin keamanan salah pahami paling tentang mempersiapkan diri untuk masa depan yang didominasi oleh sistem otonom daripada akses yang digerakkan oleh manusia?

Apa yang pemimpin keamanan sering salah pahami adalah kompleksitas mengelola jenis identitas yang berbeda. Perusahaan sangat ingin mendahulu dan tetap up-to-date dengan teknologi terbaru sehingga langkah-langkah keamanan sering terpinggirkan. Alur kerja yang digerakkan AI sering diperkenalkan tanpa kepemilikan yang jelas, meninggalkan organisasi dengan titik buta di mana identitas non-manusia secara diam-diam mengumpulkan akses, beroperasi di luar kontrol tradisional, dan menciptakan peluang baru untuk kesalahan mahal atau ancaman. Mempersiapkan diri untuk masa depan ini memerlukan memperlakukan identitas sebagai lapisan yang dinamis dan terus-menerus diatur.

Menghadap ke depan, apa yang “kebersihan keamanan yang baik” terlihat seperti dalam lingkungan di mana sistem AI terus-menerus menciptakan, memodifikasi, dan meminta akses atas namanya sendiri?

Kebersihan keamanan yang baik adalah tentang menggunakan AI untuk menskalakan keamanan sambil mempertahankan pemantauan dan disiplin yang cukup untuk memastikan tidak ada yang terlewatkan. AI tidak akan pergi, jadi apakah perusahaan menggunakan penyedia seperti Opal atau mengelolanya secara internal, perusahaan harus menerima bahwa akses tidak lagi statis. Ketika sistem AI terus-menerus menciptakan, memodifikasi, dan meminta akses, keamanan harus berpindah dari persetujuan satu kali ke pengawasan terus-menerus. Ini berarti memperlakukan akses sebagai siklus hidup terus-menerus versus kotak centang satu kali.

Perusahaan juga perlu menggunakan AI secara aktif sebagai bagian dari pertahanan mereka. Otomatisasi dapat membantu tim untuk mengikuti volume dan kecepatan perubahan akses, tapi harus dipasangkan dengan guardrail yang jelas, visibilitas ke rantai delegasi, dan akuntabilitas manusia ketika sesuatu salah. Penting untuk menampilkan sinyal keterjelasan: nilai Shapley dan koefisien fitur untuk model ML tradisional, dan konteks tambahan atau justifikasi rinci dari LLM. Tanpa nuansa ini, ini adalah pertarungan menanjak untuk mempertahankan rantai kepercayaan untuk akses ke sumber daya bisnis sensitif. Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Opal Security.