Shannon McWilliams, Kepala Distribusi Global di Orca Security – Seri Wawancara

Shannon McWilliams menjabat sebagai Kepala Distribusi Global di Orca Security. Tugasnya mencakup ekosistem mitra perusahaan serta perangkat yang mendukungnya. Sebelumnya, ia mendirikan perusahaan pengembangan perangkat lunak, sehingga memiliki pengalaman menerjemahkan kebutuhan bisnis menjadi aplikasi. Baru-baru ini, ia menggunakan perangkat pengembangan AI untuk membuat versi awal Partner Success Platform milik Orca, bekerja sama dengan tim keamanan untuk mengembangkan proyek tersebut dari prototipe akhir pekan menjadi sistem yang siap digunakan di lingkungan produksi.

Orca Security menyediakan platform keamanan cloud yang membantu organisasi menemukan aset, mengidentifikasi dan memprioritaskan risiko, serta melindungi lingkungan cloud. Kapabilitasnya mencakup berbagai bidang, termasuk kerentanan, kesalahan konfigurasi, identitas dan izin akses, data sensitif, serta keamanan AI. Dalam wawancara ini, McWilliams membahas bagaimana AI memungkinkan pengguna bisnis membuat perangkat lunak, mengapa aplikasi yang sudah berfungsi tetap perlu ditinjau secara independen dari sisi keamanan, serta bagaimana penemuan berkelanjutan, prinsip hak akses minimum, dan pengawasan manusia dapat membantu perusahaan mengelola model pengembangan baru ini.

Anda bergabung dengan Orca Security sebagai Kepala Distribusi Global dan, hanya dalam beberapa bulan, akhirnya membuat sendiri platform mitra baru dengan menggunakan AI. Masalah apa yang awalnya ingin Anda atasi, dan kapan proyek ini berkembang dari eksperimen menjadi sesuatu yang benar-benar dapat diterapkan Orca di lingkungan produksi?

Saat bergabung dengan Orca, salah satu hal yang diminta untuk saya tinjau adalah pengalaman mitra secara keseluruhan. Kami menggunakan platform pihak ketiga, tetapi saya melihat peluang untuk membuat sesuatu yang lebih modern dan praktis bagi para mitra. Saya memiliki pengalaman dalam pengembangan aplikasi, tetapi bukan sebagai pengembang. Pada awal musim panas itu, saya pernah mengerjakan aplikasi konsumen menggunakan platform pembuatan aplikasi dari penyedia pihak ketiga, jadi saya memutuskan bereksperimen untuk melihat apa yang bisa saya buat sendiri dengan AI.

Dalam waktu satu akhir pekan, saya berhasil membuat versi awal sederhana dari apa yang kemudian menjadi Partner Success Platform kami. Fungsinya melampaui apa yang saya lihat di portal mitra tradisional, termasuk kapabilitas berbasis AI seperti pencocokan pelanggan ideal dan pendampingan dalam menangani transaksi. Kami menambahkan banyak aplikasi lain ke dalam platform, seperti pelacakan sertifikasi, kuis yang dibuat dengan AI, dan gamifikasi untuk seluruh proses sertifikasi mitra kami, lalu mulai menyinkronkan data dengan platform Salesforce kami. Titik baliknya terjadi ketika CEO kami melihat versi awal tersebut dan menyadari potensinya. Saat itulah kami beralih dari tahap eksperimen ke pertanyaan tentang apa saja yang diperlukan agar sesuatu seperti ini aman dan siap digunakan di lingkungan produksi. Tim keamanan kami pun terlibat, dan saya mulai bekerja sama erat dengan Dudi Peretz untuk mengamankan lingkungan tersebut sebelum akhirnya pekerjaan itu diverifikasi secara independen oleh perusahaan eksternal.

Anda sebelumnya mendirikan perusahaan pengembangan perangkat lunak, sehingga memiliki pengalaman tentang cara aplikasi dibuat secara tradisional. Bagaimana pengalaman membangun perangkat lunak melalui AI berbahasa alami dibandingkan dengan mengelola para pengembang, dan dalam hal apa keahlian Anda di bidang tersebut tetap paling penting?

Perbedaan terbesarnya adalah kecepatan. Dalam pengembangan perangkat lunak tradisional, biasanya ada beberapa tahap antara munculnya gagasan, penerjemahannya menjadi persyaratan teknis, pengerjaannya oleh pengembang, dan penyempurnaan hasilnya. Dengan AI, saya bisa menjelaskan apa yang saya inginkan, melihatnya mulai terbentuk, lalu langsung menyempurnakannya. Proses iterasi hanya memerlukan hitungan menit, bukan berhari-hari rapat dengan pengembang untuk menentukan UI yang diinginkan dan seluruh pemetaan basis data yang diperlukan untuk mewujudkan fungsinya. Dengan pengembangan berbantuan AI, semua itu cukup dilakukan dengan prompt 2 kalimat, bukan rapat selama 2 hari.

Namun, hal itu tidak menghilangkan kebutuhan akan keahlian. Yang berubah adalah di bagian mana keahlian tersebut diperlukan. AI dapat secara drastis menurunkan hambatan teknis dalam membangun aplikasi, tetapi orang yang mengarahkannya tetap perlu memahami masalah yang ingin diatasi, seperti apa pengalaman pengguna yang bermanfaat, dan apa yang pada akhirnya perlu dicapai aplikasi tersebut bagi bisnis. Hal yang paling mengejutkan bagi saya adalah betapa cepatnya kita bisa beralih dari gagasan ke sesuatu yang berfungsi. Tugas seperti menganalisis data, yang sebelumnya mungkin memerlukan waktu berminggu-minggu, kini berpotensi diselesaikan dalam sehari.

Orca pernah menyebut versi awal platform mitra yang sudah berfungsi sebagai sesuatu yang Anda buat hanya dalam satu akhir pekan. Apa yang dapat dipercepat secara drastis oleh AI, dan bagian mana dari proses membangun aplikasi yang siap digunakan di lingkungan produksi ternyata tetap lebih sulit daripada perkiraan awal?

AI secara drastis memangkas jarak antara gagasan dan aplikasi yang berfungsi. Saya bisa membuat dalam satu akhir pekan berbagai fungsi yang secara tradisional memerlukan proses pengembangan jauh lebih lama, dan terus menambahkan serta mengubah fitur dengan sangat cepat. Kecepatan itu luar biasa sekaligus sedikit menakutkan.

AI tidak menghilangkan semua hal yang diperlukan agar aplikasi aman digunakan di lingkungan produksi. Setelah memutuskan bahwa proyek ini dapat diwujudkan, tim keamanan kami perlu menilai lingkungannya, menangani masalah keamanan, dan memastikan aplikasi tersebut terlindungi dengan semestinya. Pada akhirnya, kami melibatkan perusahaan eksternal sebagai lapisan validasi tambahan. Jadi, AI membuat proses pengembangan menjadi sangat cepat, tetapi “aplikasi ini berfungsi” dan “aplikasi ini siap dioperasikan dengan aman di lingkungan perusahaan” tetap merupakan dua tolok ukur yang sangat berbeda.

Perangkat keamanan bawaan platform pengembangan AI menunjukkan bahwa aplikasi tersebut aman, tetapi peninjauan Orca setelahnya menemukan masalah terkait izin dan akses data. Apa yang Anda pelajari dari pengalaman itu tentang seberapa besar kepercayaan yang sebaiknya diberikan pengguna bisnis terhadap jaminan keamanan dari platform pengembangan AI?

Itu mungkin salah satu pelajaran terbesar yang saya dapat dari pengalaman tersebut. Platform itu memiliki kemampuan pemindaian keamanan sendiri, yang memberikan dasar awal yang berguna saat saya membangun aplikasi. Namun, proses peninjauan bersama tim keamanan kami menunjukkan manfaat dari pemeriksaan tambahan, terutama terkait hal-hal seperti izin dan akses data. Pengalaman itu menegaskan bahwa perangkat keamanan bawaan merupakan bagian penting dari proses pengembangan, tetapi hasilnya akan lebih baik jika dilengkapi dengan pemahaman mendalam dan keahlian yang dimiliki tim keamanan khusus.

Hal ini sangat penting karena kini banyak orang yang dapat membangun aplikasi dengan AI bukanlah pakar keamanan. Mereka mungkin tidak tahu pertanyaan apa yang perlu diajukan, izin mana yang terlalu luas, atau konfigurasi apa yang dapat mengekspos data. Pernyataan platform pengembangan bahwa suatu aplikasi aman tidak boleh menjadi akhir dari proses. Sebelum dipublikasikan atau dihubungkan ke sistem perusahaan yang sensitif, aplikasi tersebut tetap memerlukan peninjauan keamanan menyeluruh yang tidak hanya memeriksa apakah aplikasi lolos pemeriksaan bawaan platform.

Ketika tim keamanan menemukan kerentanan, Anda sering kali dapat memasukkan temuan tersebut kembali ke lingkungan pengembangan AI dan menghasilkan perbaikan dalam hitungan menit. Mungkinkah AI mengubah penanganan masalah keamanan secara mendasar, dari siklus pengembangan yang panjang menjadi dialog berkelanjutan antara pembuat aplikasi dan tim keamanan?

Ini salah satu kemungkinan yang paling menarik. Ketika Dudi dan tim keamanan menemukan masalah, saya dapat menindaklanjuti masukan mereka, memasukkannya langsung ke lingkungan pengembangan AI, lalu menghasilkan perbaikan dengan sangat cepat. Hal ini membuka peluang terciptanya siklus umpan balik yang jauh lebih erat antara orang yang membangun aplikasi dan tim yang bertanggung jawab mengamankannya.

Dahulu, perangkat lunak mungkin dibuat dan dirilis dalam jangka waktu yang jauh lebih panjang. Sekarang, seseorang dapat membuat dan menerbitkan perubahan setiap hari. Keamanan harus bekerja dengan kecepatan yang sama. Peluangnya adalah menjadikan penilaian keamanan berkelanjutan sebagai bagian dari proses pengembangan, sehingga masalah dapat ditemukan, disampaikan kembali kepada pembuat aplikasi, ditangani, lalu aplikasinya dinilai ulang dengan jauh lebih cepat.

Namun, penanganan masalah yang lebih cepat bukan berarti standar validasi boleh diturunkan. AI dapat menghasilkan perbaikan dengan cepat, tetapi tim keamanan tetap memerlukan cara untuk memastikan bahwa perbaikan tersebut benar-benar mengatasi risiko dan tidak menimbulkan risiko lain.

Partner Success Platform yang dihasilkan mencakup asisten AI, kecerdasan alur penjualan, pembuatan kampanye, dan pendampingan transaksi. Bagaimana Anda menentukan aktivitas mana yang sebaiknya ditangani langsung oleh AI dan keputusan mana yang harus tetap berada di tangan mitra atau tenaga penjualan?

Bagi saya, tujuannya bukanlah menyingkirkan manusia dari proses kemitraan atau penjualan. Tujuannya adalah memanfaatkan AI untuk membantu orang bekerja lebih cepat dan menggunakan informasi yang sudah tersedia dengan lebih baik. Pendampingan transaksi adalah contoh yang tepat: AI dapat membantu menemukan cara untuk memajukan peluang yang sudah lama tertahan dalam alur penjualan, sekaligus memberikan konteks tambahan atau rekomendasi langkah berikutnya.

Menurut saya, perbedaan pentingnya terletak pada kemampuan AI untuk dengan cepat mengambil informasi dari berbagai sistem yang terpisah, menganalisis relevansinya, lalu menyajikannya dalam bentuk yang dapat ditindaklanjuti pengguna. Platform seharusnya membantu mitra atau tenaga penjualan bekerja lebih efektif, sementara manusia tetap bertanggung jawab atas keputusan yang memerlukan pertimbangan bisnis. Tujuannya adalah mempersingkat waktu dari penemuan peluang hingga transaksi berhasil ditutup melalui penggunaan platform.

AI memungkinkan karyawan di bidang penjualan, pemasaran, keuangan, dan departemen lainnya untuk membangun aplikasi sendiri tanpa melibatkan tim rekayasa. Kontrol keamanan dan tata kelola minimum apa yang harus diterapkan sebelum aplikasi tersebut diizinkan terhubung ke data pelanggan, sistem internal, atau infrastruktur cloud?

Persyaratan pertama adalah visibilitas. Kebijakan organisasi sebaiknya mendorong eksplorasi dan inovasi semacam ini, tetapi organisasi tidak dapat mengamankan aplikasi yang tidak diketahuinya. Karena itu, dorongan untuk berinovasi lebih mungkin membuat karyawan mengungkapkan proyek mereka daripada menyembunyikannya. Setelah itu, organisasi perlu memahami identitas dan izin yang dimiliki aplikasi, data yang dapat diaksesnya, sistem pihak ketiga yang dihubunginya, serta apakah hak akses tersebut memang diperlukan. Bukalah jalan bagi tumbuhnya inovasi, tetapi siapkan proses yang mendukung para inovator sekaligus memenuhi persyaratan keamanan.

Prinsip hak akses minimum menjadi sangat penting. Salah satu risiko yang kami lihat adalah aplikasi memperoleh akses yang lebih luas daripada yang sebenarnya dibutuhkan. Keamanan juga tidak boleh hanya diperiksa sekali sebelum peluncuran. Jika aplikasi dapat terus berubah, organisasi juga harus mampu menilainya kembali secara berkelanjutan.

Tata kelola perangkat lunak tradisional dirancang dengan mengandalkan tim rekayasa, permintaan pull, siklus rilis, dan alur penerapan yang relatif terkendali. Jika kini pengguna bisnis dapat mengubah dan menerapkan aplikasi secara berkelanjutan, bagaimana siklus pengembangan perangkat lunak perusahaan perlu berubah?

Tantangan utamanya adalah ritme pengembangan telah berubah. Dahulu, perangkat lunak dibuat dan dirilis dari waktu ke waktu melalui proses yang relatif mapan. Dengan alat pengembangan AI, seseorang berpotensi membuat dan menerbitkan sesuatu yang baru setiap hari. Dalam lingkungan seperti itu, proses keamanan dan tata kelola yang mengandalkan pemeriksaan berkala tidak akan memadai.

Kita perlu beralih ke pendekatan keamanan yang berjalan terus-menerus dan mampu mengikuti siklus pengembangan tersebut. Artinya, kita perlu mengetahui apa yang sedang dibuat, memahami konfigurasi dan koneksinya, memindainya setiap kali ada perubahan, serta memberikan masukan yang dapat ditindaklanjuti agar para pembuat dapat segera menerapkannya. Solusinya bukan melarang karyawan menggunakan alat-alat ini; peluang peningkatan produktivitasnya terlalu besar. Tantangannya adalah membuat batasan pengaman yang memungkinkan inovasi tersebut berlangsung dengan aman.

Anda pernah menyamakan maraknya aplikasi yang dibangun dengan AI dengan versi “TI bayangan” yang lebih sulit lagi. Apa yang membuat generasi perangkat lunak bayangan ini berpotensi lebih menantang, dan bagaimana organisasi dapat menemukan aplikasi yang bahkan mungkin tidak diketahui keberadaannya oleh tim keamanan atau TI?

Dahulu, TI bayangan sering kali merujuk pada karyawan yang menggunakan aplikasi SaaS yang belum disetujui oleh bagian TI. Kini, karyawan dapat membuat aplikasinya sendiri, dan mereka bisa melakukannya dengan sangat cepat. Seseorang dapat membangun aplikasi melalui akun pribadi, mengintegrasikannya dengan sistem pihak ketiga, dan bahkan menghubungkannya ke data perusahaan sebelum tim keamanan mengetahui keberadaannya.

Inilah yang membuat situasi ini sangat menantang: kemudahan membuat aplikasi telah meningkat sedemikian rupa sehingga jumlah aplikasi dan laju perubahannya dapat dengan cepat melampaui kemampuan tata kelola tradisional. Para CISO menghadapi pertanyaan mendasar yang sama: bagaimana mengamankan sesuatu jika Anda bahkan mungkin tidak tahu apa yang telah dibuat atau bagaimana konfigurasinya?

Karena itu, penemuan aplikasi harus menjadi bagian inti dari strategi keamanan. Mendukung para inovator, mendorong mereka untuk bereksplorasi, sekaligus meminta mereka mendaftarkan proyeknya merupakan cara yang bagus untuk menemukan aplikasi tersebut. Organisasi perlu mengetahui bukan hanya kode yang ada, melainkan juga aplikasi yang berjalan di seluruh lingkungan mereka, identitas dan izin yang terkait dengan aplikasi tersebut, data yang diakses, serta sistem eksternal yang terhubung dengannya.

Jika melihat beberapa tahun ke depan, apakah Anda memperkirakan sebagian besar pekerja pengetahuan akan menjadi semacam pembuat perangkat lunak dengan bantuan AI? Jika ya, bagaimana hal itu mengubah peran pengembang profesional, tim keamanan, dan pemimpin bisnis di perusahaan?

Kita sedang bergerak menuju dunia dengan pengertian “pembuat perangkat lunak” yang jauh lebih luas. AI memungkinkan orang yang memahami masalah bisnis, tetapi bukan pengembang tradisional, mengubah gagasan menjadi aplikasi yang berfungsi dengan sangat cepat. Saya sendiri pernah mengalaminya.

Saya tidak berpikir hal itu mengurangi pentingnya pengembang profesional atau tim keamanan. Yang berubah adalah bidang yang membutuhkan keahlian mereka. Pengguna bisnis semakin mampu membangun solusi sendiri, sementara pengembang dapat berfokus pada masalah teknis yang lebih kompleks dan tim keamanan perlu menciptakan visibilitas serta batasan pengaman agar generasi pembuat baru ini dapat berinovasi dengan aman. Dukungan dan pemeliharaan aplikasi juga perlu dilihat dari sudut pandang baru. “Pembuat” tidak selalu menjadi “pemelihara” terbaik. Mereka membawa visi dan memahami kebutuhan bisnis, tetapi dukungan jangka panjang untuk aplikasi tetap merupakan tugas yang paling tepat ditangani oleh organisasi TI dan aplikasi. Bagi para pemimpin bisnis, hal ini membuka peluang besar sekaligus menghadirkan tanggung jawab baru. Jika tim Anda dapat membuat perangkat lunak, Anda perlu mempertimbangkan risiko perangkat lunak sebagai bagian dari bisnis—bukan sekadar urusan bagian rekayasa.

Terima kasih atas wawancara yang menarik ini. Pembaca yang ingin mengetahui lebih lanjut tentang keamanan cloud, aplikasi yang dibangun dengan AI, dan cara mengamankan lingkungan perusahaan dapat mengunjungi Orca Security.