Vibhuti Sinha, Chief Product Officer di Saviynt – Seri Wawancara

Vibhuti Sinha, Chief Product Officer di Saviynt, memimpin visi, inovasi, dan arah strategis portofolio identitas dan kecerdasan perusahaan, sementara juga mengawasi keberhasilan produk dan mitra. Dengan hampir dua dekade pengalaman di bidang manajemen identitas dan akses (IAM), ia telah memainkan peran sentral dalam membentuk arsitektur keamanan skala besar untuk organisasi Fortune 500. Sebelum posisinya saat ini, ia menjabat sebagai Chief Cloud Officer di Saviynt, di mana ia mengarahkan pengembangan solusi keamanan cloud generasi berikutnya yang dirancang untuk mengamankan lingkungan cloud yang kompleks. Keahliannya mencakup kerangka kerja kepatuhan seperti FFIEC, autentikasi berbasis risiko, dan manajemen siklus akses, yang menempatkannya di persimpangan keamanan perusahaan, infrastruktur cloud, dan tata kelola identitas yang didorong AI.

Saviynt adalah platform keamanan identitas asli cloud yang fokus membantu perusahaan mengelola dan mengamankan akses di seluruh pengguna, aplikasi, data, dan sistem AI yang semakin kompleks. Penawaran unggulannya, Identity Cloud, menyediakan tata kelola identitas dan administrasi (IGA) yang terintegrasi, manajemen akses aplikasi, dan pemerintahan akses dalam satu platform, memungkinkan organisasi untuk menerapkan keamanan, kepatuhan, dan prinsip Zero Trust secara luas. Platform ini menggunakan AI untuk mengotomatisasi keputusan akses, memantau risiko, dan mengatur tidak hanya pengguna manusia tetapi juga identitas non-manusia seperti akun layanan dan agen AI, mencerminkan kompleksitas lingkungan perusahaan modern yang terus berkembang. Dengan mengkonsolidasikan keamanan identitas menjadi satu lapisan kontrol, Saviynt bertujuan untuk mengurangi beban operasional sambil meningkatkan visibilitas dan kepatuhan di seluruh sistem cloud, hybrid, dan on-premise.

Anda telah menghabiskan lebih dari satu dekade di Saviynt membantu memperluas perusahaan dari fokus awal cloud ke platform keamanan identitas global, bagaimana perjalanan itu membentuk pandangan Anda tentang identitas sebagai fondasi untuk mengamankan perusahaan yang didorong AI?

Ketika saya bergabung dengan Saviynt, identitas bukanlah sesuatu yang dibicarakan oleh kebanyakan dewan atau CEO. Ini sering dilihat sebagai provisioning akun dan menjalankan sertifikasi. Selama bertahun-tahun, ketika perusahaan pindah ke cloud dan SaaS meledak, identitas diam-diam menjadi lapisan yang menghubungkan semua hal: orang, aplikasi, infrastruktur, dan data.

Menjadi bagian dari perjalanan itu mengubah perspektif saya. Saya mulai melihat identitas bukan sebagai kategori produk, tetapi sebagai lapisan kontrol untuk bagaimana pekerjaan sebenarnya dilakukan dalam sebuah perusahaan. Setiap keputusan akses, setiap persetujuan, setiap proses otomatis — semuanya kembali ke identitas.

Sekarang dengan AI, kita melihat pergeseran yang sama lagi. Agen AI pada dasarnya adalah pekerja digital yang dapat bertindak atas nama manusia atau bisnis. Jika Anda tidak memberi mereka identitas, kepemilikan, dan tata kelola, Anda akan berakhir dengan otomatisasi tanpa pertanggungjawaban. Itulah mengapa saya percaya identitas akan menjadi fondasi untuk mengamankan perusahaan yang didorong AI. Identitas adalah yang membawa pertanggungjawaban, tata kelola, dan kontrol ke sistem otonom.

Saviynt meluncurkan pesawat kontrol identitas khusus untuk agen AI, dari perspektif perusahaan, apa celah dalam arsitektur identitas dan keamanan saat ini yang mendorong keputusan ini?

Alat identitas dan keamanan saat ini tidak dirancang untuk aktor otonom. Mereka dirancang untuk karyawan dan aplikasi, bukan untuk entitas perangkat lunak yang dapat membuat keputusan, mengambil tindakan, dan beroperasi secara independen.

Sistem identitas saat ini sangat baik dalam menjawab “Siapa Anda?” dan “Akses apa yang Anda terima?” Tetapi di dunia agen AI, pertanyaan yang lebih penting menjadi “Apa yang Anda lakukan sekarang, dan apakah Anda seharusnya melakukannya?”

Terdapat juga celah tata kelola. Perusahaan mulai mengirimkan ratusan atau ribuan agen di seluruh platform seperti Copilot, Vertex AI, dan Bedrock, tetapi banyak organisasi tidak tahu berapa banyak agen yang mereka miliki, siapa yang memiliki mereka, apa data yang dapat mereka akses, atau apa yang terjadi jika pemilik meninggalkan perusahaan. Ini menciptakan lebih dari sekadar masalah keamanan. Ini adalah masalah tata kelola dan pertanggungjawaban.

Itulah yang membawa kita ke ide pesawat kontrol identitas untuk agen AI: cara terpusat untuk menemukan, mengatur, mengontrol, dan mengaudit identitas AI di seluruh siklus hidup dan tindakan runtime mereka.

Bagaimana mengelola agen AI otonom berbeda dari mengatur identitas non-manusia tradisional seperti akun layanan atau bot?

Mengelola agen AI sangat berbeda dari mengatur identitas non-manusia (NHIs) karena identitas tersebut biasanya deterministik dan dapat diprediksi. Akun layanan menjalankan pekerjaan tertentu. Bot melakukan tugas yang ditentukan. Perilaku mereka tidak berubah kecuali seseorang memodifikasi kode.

Agen AI berbeda karena mereka otonom, adaptif, dan berorientasi tujuan. Mereka tidak hanya menjalankan skrip tetap. Agen-agen ini memutuskan bagaimana menyelesaikan tugas, alat apa yang digunakan, data apa yang diakses, dan kadang-kadang bahkan dengan agen mana yang berkolaborasi. Perilaku mereka dapat berkembang seiring waktu ketika model, prompt, atau integrasi berubah.

Itu berarti provisioning akses sekali dan meninjauinya setiap triwulan bukanlah model tata kelola yang berkelanjutan. Anda memerlukan tata kelola terus-menerus, termasuk penemuan, kepemilikan, manajemen siklus hidup, dan yang paling penting, kontrol runtime untuk mengevaluasi apa yang dilakukan agen pada saat itu.

Pergeseran ini adalah: dengan NHIs tradisional, Anda mengatur akses. Dengan agen AI, Anda harus mengatur perilaku dan tindakan secara real-time. Otorisasi tidak menyiratkan kesesuaian. Keamanan AI akan dibangun di atas ide itu.

Bagaimana perusahaan harus memikirkan tentang mengamankan interaksi agen-ke-agen ketika sistem AI mulai beroperasi dan berkolaborasi secara mandiri?

Saya pikir interaksi agen-ke-agen akan menjadi salah satu tantangan keamanan terbesar dalam beberapa tahun mendatang.

Hari ini, kita sebagian besar khawatir tentang apakah seorang manusia harus memiliki akses ke sistem. Di masa depan, kita akan memiliki ribuan agen yang berbicara dengan agen lain, memicu alur kerja, mengakses data, dan membuat keputusan tanpa campur tangan manusia.

Risikonya tidak hanya apa yang dapat dilakukan oleh satu agen, tetapi apa yang dapat dilakukan oleh beberapa agen bersama-sama. Anda dapat berakhir dengan situasi di mana tidak ada agen tunggal yang memiliki terlalu banyak akses, tetapi ketika mereka berkolaborasi, mereka dapat melakukan tindakan yang sangat kuat.

Perusahaan harus mempertimbangkan beberapa hal:

• Setiap agen harus memiliki identitas unik.
• Kontrol keamanan waktu desain tidak cukup. Pengawalan runtime sangat penting.
• Panggilan agen-ke-agen harus diotentikasi.
• Tindakan harus diotorisasi secara real-time.
• Pendelegasian harus dibatasi dan terikat waktu.
• Semua harus dicatat untuk audit.

Dalam banyak cara, kita bergerak menuju model keamanan yang sangat berbeda: dari mengelola akses manusia ke mengelola kolaborasi mesin dalam skala yang belum pernah terjadi sebelumnya.

Apa risiko terbesar yang dihadapi perusahaan saat ini ketika mengirimkan agen AI tanpa tata kelola identitas yang tepat?

Risiko terbesar saat ini bukanlah skenario pengambilalihan AI di masa depan. Ini jauh lebih mendasar, dan sudah terjadi di sebagian besar organisasi yang bereksperimen dengan agen AI. Perusahaan menciptakan agen di mana-mana, tetapi mereka tidak memiliki cara terpusat untuk melacaknya, mengatur, atau mengelola apa yang dapat mereka akses.

Adopsi telah menjadi prioritas sehingga saat ini, dan itu dapat dimengerti. Setiap teknologi baru melalui fase itu, tetapi keamanan dan tata kelola perlu mengejar ketinggalan dengan cepat.

Jika tidak, perusahaan berisiko memiliki agen tanpa pemilik yang jelas dan dengan terlalu banyak data. Agen-agen ini mungkin bocorkan informasi sensitif dan terus berjalan setelah proyek berakhir — semua tanpa jejak audit yang jelas.

Kita telah melihat ini sebelumnya dengan akun layanan dan sumber daya cloud. Pertama kali adopsi, kemudian penyebaran, kemudian masalah keamanan dan tata kelola. AI mengikuti pola yang sama, hanya lebih cepat dan dengan lebih banyak otonomi dan kekuatan.

Tanpa tata kelola identitas, agen AI pada dasarnya menjadi identitas privileg yang tidak dikelola. Itu berisiko bagi setiap organisasi. Itu bukanlah inovasi, tetapi risiko institusional tambahan.

Bagaimana munculnya agen AI mengubah definisi identitas dalam sistem perusahaan?

Saya pikir definisi identitas di dalam perusahaan berekspansi dengan cara besar. Ini dulu sebagian besar tentang karyawan, kemudian berkembang ke identitas eksternal dengan ledakan pekerja rantai pasokan, pekerja jarak jauh, dll. Pandemi mempercepatnya bahkan lebih ketika kita mulai mengelola akun layanan dan bot sebagai identitas non-manusia. Sekarang, agen AI membawanya satu langkah lebih jauh.

Agen AI bukan hanya akun atau skrip. Mereka membuat keputusan, mengakses sistem, menghasilkan konten, memicu alur kerja, dan berkolaborasi dengan agen lain. Mereka menyentuh data Anda, membuat keputusan, dan mengubah hasil. Mereka mulai berperilaku lebih seperti pekerja digital daripada akun perangkat lunak.

Itu berarti identitas sekarang tentang lebih dari sekadar siapa yang dapat masuk. Ini tentang siapa atau apa yang bertindak di dalam perusahaan, apa yang mereka izinkan untuk dilakukan, siapa yang memiliki mereka, dan bagaimana kita melacak dan mengatur tindakan mereka.

Identitas berkembang dari sesuatu yang mewakili pengguna menjadi sesuatu yang mewakili setiap aktor — manusia atau mesin — yang dapat mengambil tindakan dan mengubah hasil di dalam sebuah organisasi.

Ketika mengevaluasi pendiri atau tim yang membangun keamanan AI atau identitas, apa sinyal yang menunjukkan mereka benar-benar memahami kompleksitas ruang ini?

Mereka yang benar-benar memahami ruang ini tidak memimpin dengan teknologi. Mereka memimpin dengan masalah. Mereka dapat mengartikulasikan tidak hanya apa yang mereka bangun, tetapi mengapa pendekatan saat ini rusak dan siapa yang kehilangan tidur karena itu.

Sinyal untuk saya adalah spesifikasi. Siapa pun dapat mengatakan “AI memperkenalkan risiko identitas baru.” Tetapi apakah mereka dapat membawa Anda melalui bagaimana token OAuth salah digunakan dalam alur kerja agen? Apakah mereka memahami mengapa identitas non-manusia secara fundamental berbeda dari identitas manusia, tidak hanya dalam volume, tetapi dalam perilaku, siklus hidup, dan radius ledakan?

Saya juga memperhatikan bagaimana mereka berbicara tentang pelanggan. Pendiri terbaik di ruang ini biasanya telah mengalami sakitnya sendiri sebagai CISO, arsitek, pemimpin kepatuhan, atau mereka telah menghabiskan banyak waktu dengan praktisi sehingga mereka hampir dapat menyelesaikan kalimat mereka. Mereka tidak menjual kategori. Mereka memecahkan masalah spesifik yang sangat sulit yang mereka tidak bisa berhenti memikirkan.

Dan kemudian ada kelancaran regulasi dan ekosistem. Identitas dan keamanan AI tidak ada dalam vakum. Pendiri yang paling saya kagumi memahami bagaimana produk mereka duduk di dalam postur kepatuhan yang lebih luas — NIST, SOC 2, kerangka tata kelola AI yang muncul — dan mereka telah berpikir keras tentang di mana mereka memasang dan di mana mereka memiliki itu.

Bagi saya, bendera merah adalah tim yang hanya mengejar narasi AI. Mereka dapat menggambarkan pasar dengan indah, tetapi ketika Anda mendorong untuk detail spesifik, narasi melemah.

Apakah Anda melihat identitas menjadi lapisan kontrol utama untuk sistem AI dengan cara yang sama keamanan jaringan pernah mendefinisikan batas perusahaan, dan bagaimana tim keamanan harus mempersiapkan diri untuk pergeseran itu?

Ya, dan saya pikir kita lebih dekat dengan titik infleksi itu daripada yang disadari oleh sebagian besar tim keamanan.

Perimeter jaringan masuk akal ketika aset fisik, seperti server di pusat data, karyawan di kantor, atau lalu lintas di tepi. Tetapi cloud melarutkan batas itu, dan kita mengandalkan identitas untuk mengisi kesenjangan. Zero Trust bukanlah hanya istilah pemasaran; itu adalah pengakuan bahwa perimeter telah hilang dan identitas lebih penting dari sebelumnya.

Agen AI akan memengaruhi identitas dengan cara yang sama seperti cloud memengaruhi jaringan. Sistem ini mengakses sumber daya, membuat keputusan, memanggil API, menghubungkan tindakan di seluruh alat dan platform, dan melakukan semua ini secara otonom pada kecepatan mesin. Pertanyaan “apakah ini diizinkan?” tidak dapat lagi dijawab di firewall. Itu harus dijawab di lapisan identitas, secara real-time, dengan konteks penuh tentang apa yang agen coba lakukan dan mengapa.

Identitas menjadi pesawat kontrol. Tetapi ini adalah versi identitas yang jauh lebih sulit daripada yang kita bangun sebelumnya. Ini bukan hanya autentikasi. Ini adalah otorisasi yang menyadari niat, konteks, dan rantai tindakan yang telah diambil agen. Itu adalah masalah yang berbeda dari mengeluarkan sertifikat atau memutar kredit.

Bagi tim keamanan, persiapan dimulai dengan pergeseran pemikiran. Berhenti memikirkan sistem AI sebagai aplikasi yang perlu diamankan di perimeter dan mulailah memikirkan mereka sebagai prinsipal — entitas dengan identitas, dengan privileg, dengan siklus hidup yang perlu dikelola dari ujung ke ujung. Siapa yang menyediakan agen ini? Apa yang diizinkan untuk dilakukan? Siapa yang bertanggung jawab ketika melakukan sesuatu yang tidak terduga?

Tim yang unggul tidak akan menjadi mereka yang menambahkan keamanan AI sebagai pemikiran terakhir. Mereka akan menjadi mereka yang memperluas postur tata kelola identitas mereka untuk mencakup NHIs dan Agen AI sebelum identitas tersebut membuat keputusan yang signifikan.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Saviynt.