Howard Ting, CEO di Opal Security – Intervista

Howard Ting, CEO di Opal Security è un esperto di cybersecurity e tecnologia con una lunga esperienza come dirigente d’azienda, attualmente alla guida di Opal Security dal novembre 2025. Prima di questo ruolo, ha ricoperto la posizione di Executive in Residence presso Greylock e ha trascorso oltre cinque anni in Cyberhaven come CEO e membro del consiglio di amministrazione, guidando l’azienda nella sua missione di proteggere i dati e consentire l’innovazione sicura. La sua esperienza include ruoli di leadership nel marketing strategico presso Redis Labs e Zscaler, nonché ruoli senior nel marketing e nel prodotto presso Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security e una prima esperienza nel settore delle fusioni e acquisizioni presso Banc of America Securities. Questa combinazione di leadership operativa, competenze di mercato e profonda esperienza nel settore della cybersecurity lo posiziona in modo unico alla guida di una piattaforma di sicurezza in rapida crescita.

Opal Security è un’azienda di gestione degli accessi basata sull’identità che fornisce alle aziende una piattaforma centralizzata per gestire e proteggere l’accesso ai sistemi cloud, SaaS e interni. La piattaforma offre una visibilità unificata sugli identità e i percorsi di accesso, supporta i flussi di lavoro di accesso self-service e just-in-time, e automatizza le verifiche di accesso per applicare le politiche di privilegi minimi su larga scala, aiutando le organizzazioni a ridurre i rischi e migliorare la conformità in ambienti dinamici che includono utenti umani, account di servizio e agenti AI.

Hai recentemente assunto il ruolo di CEO di Opal Security dopo aver guidato Cyberhaven attraverso una significativa crescita e aver ricoperto ruoli senior in aziende come Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis e Microsoft. Cosa ti ha attirato verso Opal in questo momento della tua carriera e come la tua esperienza precedente influenza il tuo modo di pensare all’accesso, all’identità e alla sicurezza nativa AI?

La gestione degli accessi sta diventando sempre più difficile ovunque. Ci sono più identità, più macchine, più automazione e l’accesso significativo si origina sempre più all’interno dei flussi di lavoro di ingegneria e cloud, e non più nell’IT tradizionale. Gli strumenti IAM e IGA standard non sono stati progettati per nulla di tutto ciò e le minacce basate sull’identità non aspettano che si aggiornino.

È questo che mi ha attirato verso Opal. La portata di questo problema è enorme e Opal è già allineata con la direzione in cui si sta muovendo il mercato. Ho visto versioni di questo modello in precedenza. A RSA, Palo Alto Networks e Cyberhaven, ho visto le rivoluzioni della multi-fattoriale, del next-generation firewall e della lineage dei dati svilupparsi in tempo reale, e le dinamiche qui sono sorprendentemente simili: un problema di categoria definito che si sta accelerando più velocemente di quanto la maggior parte dei fornitori possa rispondere, con una finestra ristretta per il team giusto per possederlo.

Opal ha quel team. La base di ingegneria e prodotto è solida e il roster dei clienti, costruito attraverso il lavoro diretto e focalizzato, parla da solo. Ogni conversazione con i clienti che ho avuto ha rafforzato lo stesso segnale: questo problema si sta accelerando e Opal è l’unico che lo sta risolvendo.

Cosa ho imparato costruendo e scalando team in aziende è che l’esecuzione diventa radicalmente più semplice quando prodotto, ingegneria e mercato condividono lo stesso livello di focus sul cliente. Quando tutti vedono lo stesso problema e la stessa opportunità, si muovono velocemente senza perdere precisione. Opal ha già questa base. Il mio lavoro è costruire su di essa e assicurarmi che i nostri clienti sentano la piena forza di questo team dietro di loro mentre scaliamo.

Aver trascorso anni lavorando sull’identità, l’infrastruttura cloud e la sicurezza aziendale, dove pensi che i modelli di controllo di accesso tradizionali stiano cedendo mentre le organizzazioni adottano AI più profondamente?

La risposta onesta è che la maggior parte dei modelli di controllo di accesso tradizionali sono stati costruiti per risolvere l’autenticazione – e per gli esseri umani, questo problema è in gran parte risolto. IDP e metodi di autenticazione moderni gestiscono “chi sei?” in modo ragionevole. Per le identità non umane, le chiavi API e la gestione dei segreti ti portano parte del cammino. Ma l’autorizzazione – “cosa dovresti essere autorizzato a fare e per quanto tempo?” – rimane profondamente irrisolta sia per gli esseri umani che per le macchine, ed è lì che vive il vero rischio.

Cosa sta aggravando questo problema è che i team di ingegneria operano ora attraverso l’automazione, l’infrastruttura come codice e strumenti di assistenza AI che generano nuove autorizzazioni come parte dello sviluppo quotidiano. L’accesso non cambia più lentamente attraverso i flussi di lavoro IT – è creato, modificato ed esteso programmaticamente, spesso senza che nessuno verifichi cosa è stato appena concesso. Il risultato è una crescente dispersione di account sovra-autorizzati, strumenti di privilegi frammentati e governance che è costosa, reattiva e in gran parte cieca a ciò che sta realmente accadendo.

E sarò diretto su qualcos’altro: c’è un’enorme quantità di “lavaggio AI” in questo mercato al momento. I fornitori stanno correndo ad attaccare “AI” ad architetture legacy, il che oscura una realtà critica per gli acquirenti – un quadro di sicurezza e governance valido per gli agenti AI non esiste ancora. L’ipérbole sta superando i controlli reali e quel gap è dove si costruisce l’esposizione reale.

È questo che rende diverso l’approccio di Opal. Invece di aggiungere la governance ai flussi di lavoro dopo il fatto, Opal modella l’accesso direttamente dai sistemi che gli ingegneri già utilizzano, applica le politiche in tempo reale e fornisce ai team di sicurezza un modo per guidare le decisioni di autorizzazione senza creare attrito. Quando la governance si adatta naturalmente a come funziona l’ingegneria, smette di essere un blocco e diventa un’infrastruttura di cui ci si può fidare.

Opal si concentra sulla gestione di chi e cosa può accedere ai sistemi sensibili in ambienti cloud nativi moderni. Quali problemi di sicurezza sono più sottovalutati dalle aziende che costruiscono con agenti AI e flussi di lavoro automatizzati?

I problemi più sottovalutati non sono in realtà nuovi. Sono quelli che si sono accumulati silenziosamente per anni intorno alle identità umane. L’igiene di base della governance come i flussi di lavoro di joiner/mover/leaver, l’accesso just-in-time e le verifiche di accesso utente sono stati trascurati o messi insieme alla bell’e meglio nella maggior parte delle organizzazioni da molto tempo. Gli obblighi di conformità come SOX non sono scomparsi; sono solo diventati più difficili da soddisfare mentre gli ambienti crescono in complessità. Nessuna di queste cose è glamour, ma è esattamente la base che si rompe quando si aggiungono agenti AI in cima.

Le organizzazioni stanno integrando AI per semplificare i flussi di lavoro ed eliminare i compiti noiosi, ma facendo ciò stanno introducendo identità non umane che moltiplicano le relazioni di accesso in modi che gli strumenti esistenti non sono stati progettati per gestire. Il risultato è una rete complicata in cui l’accesso umano era già scarsamente governato e l’accesso macchina è ora in espansione con ancora meno visibilità. Le decisioni di accesso devono essere spiegabili, legate nel tempo, legate all’uso reale e monitorate continuamente, ma la maggior parte dei team si affida ancora a sistemi statici e unici che non possono offrire nulla di tutto ciò. Nel frattempo, gli agenti di codifica stanno generando e distribuendo codice con autorizzazioni incorporate, interagendo con l’infrastruttura direttamente e operando con accesso che nessuno sta revisionando attraverso una lente di sicurezza tradizionale – un’esposizione di sicurezza e conformità che la maggior parte delle organizzazioni non ha nemmeno iniziato a valutare.

Le aziende che costruiscono con agenti AI tendono a concentrarsi sulla novità della tecnologia mentre sottovalutano quanto rapidamente la dispersione degli accessi e le autorizzazioni invisibili diventano una seria passività – soprattutto quando la base dell’identità umana sottostante era già fragile.

Hai visto l’evoluzione della sicurezza attraverso molte generazioni di infrastrutture. Cosa cambia fondamentalmente quando le identità delle macchine e gli agenti AI iniziano a superare gli utenti umani?

Quando le identità delle macchine superano gli utenti umani, diventa sempre più difficile monitorare chi ha accesso a cosa. La gestione delle identità tradizionale non è stata progettata per questa realtà e la maggior parte delle piattaforme HR e IAM fornisce solo una visibilità parziale, soprattutto poiché la supervisione delle identità si estende oltre un solo team. Per monitorare con successo queste tipologie di identità, dobbiamo dare agli agenti AI una chiara proprietà, autorizzazioni definite e completa tracciabilità fin dall’inizio. Opal Security affronta questo modellando umani, servizi e agenti all’interno di un unico framework, anziché trattarli come entità separate.

I revisori ora si aspettano di esaminare il comportamento umano e agente fianco a fianco quando analizzano le verifiche di accesso. Gli agenti ereditano normalmente gli insiemi di autorizzazioni degli utenti che li distribuiscono, ma alcuni casi d’uso richiedono agenti che si identificano come account di servizio con insiemi di autorizzazioni personalizzati (tipicamente con autorizzazioni ridotte).

L’AI sta diventando sempre più sia una superficie di attacco che uno strumento difensivo. Dal tuo punto di vista, dove l’AI migliora significativamente i risultati di sicurezza oggi e dove introduce ancora nuovi rischi?

L’AI è uno strumento potentissimo che costituisce la base del nostro prodotto. Opal Security utilizza l’AI per monitorare, rilevare e prevenire l’accesso irregolare attraverso le organizzazioni. L’AI cambia anche la sicurezza dell’identità perché introduce attori che non solo autenticano e eseguono compiti – ragionano, si adattano e agiscono in modo autonomo. I sistemi di identità tradizionali sono stati costruiti per le persone e gli account di servizio statici, dove l’accesso cambiava lentamente e l’intento era relativamente prevedibile.

Ma gli agenti AI rompono questo modello. Il rischio è la perdita di visibilità e responsabilità. Gli agenti possono avviarsi e terminare dinamicamente, concatenare le autorizzazioni attraverso i sistemi, e agire per conto degli utenti, di altri agenti o di se stessi. Nessuna risorsa protetta può essere “violata”, eppure azioni sensibili possono ancora verificarsi perché tutto era tecnicamente autorizzato. Questa è la nuova superficie di attacco. Il modo per gestirla è attraverso una piattaforma unificata e intelligente che comprende e protegge tutti i tipi di entità attraverso il contesto, il comportamento e l’adattamento continuo.

Questa visione unificata costituisce la base per la sicurezza – non puoi proteggere ciò che non puoi vedere o capire. In Opal, crediamo nel comprendere ogni relazione. Non basta sapere chi è nel sistema. Devi sapere chi è connesso a cosa e perché.

Man mano che gli agenti di codifica AI e i sistemi automatizzati guadagnano permessi più ampi all’interno delle organizzazioni, come i team di sicurezza dovrebbero ripensare l’accesso ai privilegi minimi nella pratica, non solo in teoria?

La gestione moderna dell’identità e dell’accesso deve trattare le identità umane e macchina allo stesso modo, in modo che le aziende possano avere la visibilità, l’automazione e la fiducia necessarie per scalare in sicurezza nell’era AI. Nella pratica, ciò significa concedere le autorizzazioni solo quando necessario e continuare a verificare e adattare l’accesso man mano che i compiti o i ruoli cambiano. Il monitoraggio automatizzato e i controlli basati sul rischio diventano essenziali, garantendo che gli strumenti AI possano operare efficientemente senza creare esposizione di sicurezza non necessaria.

È utile abilitare il JIT per default per gli agenti, ma renderlo senza attrito: approvare automaticamente risorse specifiche quando appropriato, o se l’utente opera in un ambiente in cui tutti i dati sono sensibili, limitare l’utilizzo a VM sandboxate.

Sebbene eventuali nuove restrizioni sull’utilizzo degli agenti possano irritare gli utenti finali rallentandoli, è importante incontrare gli utenti dove si trovano. Con Opal, ciò significa che le richieste di accesso possono essere inviate e approvate su Slack e le strategie IaaC, incluse Terraform, possono essere utilizzate per automatizzare le concessioni di accesso, le revocazioni e l’accesso vincolato nel tempo.

Basandoti sulla tua esperienza nel far crescere aziende di sicurezza, quali segnali ti dicono che i controlli di accesso di un’organizzazione non sono più allineati con il modo in cui l’azienda opera effettivamente?

Le organizzazioni possono capire che i loro controlli di accesso sono fuori sincrono quando l’accesso inizia a rimanere indietro rispetto alla realtà. Ciò può manifestarsi come autorizzazioni eccessive o obsolete, collo di bottiglia manuale da sistemi legacy o l’adozione di sistemi AI senza politiche aggiornate per tracciare le identità non umane. Un altro segno rivelatore è l’aumento degli incidenti di sicurezza o dei quasi incidenti, dove gli account sovra-autorizzati o le identità scarsamente governate sono i colpevoli.

I complessi deploy di Sailpoint, che si affidano a una squadra di consulenti, nonché il tracciamento dell’accesso in fogli di calcolo non erano efficienti nell’era prima degli agenti e, inoltre, questo approccio legacy collasserà semplicemente sotto la velocità e la complessità degli agenti. Opal consegna una piattaforma unica che serve la sicurezza, sblocca l’IT e fornisce agli auditor ciò di cui hanno bisogno. Troviamo che il RBAC sia fragile e raramente uno stato durevole, quindi i team di successo iniziano con il JIT e poi avanzano verso l’accesso basato sulle persone (con flessibilità e tracciabilità nel tempo) in modo che le configurazioni di Terraform possano essere versionate, distribuite o ripristinate se necessario.

Da un punto di vista di leadership, come bilanci la velocità dell’innovazione con la disciplina necessaria per costruire la fiducia nei prodotti di sicurezza?

Ho imparato che le grandi aziende rimangono disciplinate sui fondamentali anche quando crescono rapidamente. Questi fondamentali includono priorità chiare, comunicazione trasparente e la volontà di prendere decisioni difficili. L’innovazione conta ancora, ma deve essere basata sulla rigorosità: forti impostazioni predefinite, modellazione delle minacce pensata e responsabilità per gli esiti. Prendere queste decisioni deliberatamente è ciò che consente di muoversi velocemente senza compromettere la fiducia e, nel tempo, questa disciplina diventa un vantaggio competitivo.

Cosa pensi che i leader della sicurezza fraintendano di più nel prepararsi per un futuro dominato da sistemi autonomi piuttosto che dall’accesso guidato dagli esseri umani?

Cosa i leader della sicurezza sottovalutano più spesso è la complessità della gestione dei diversi tipi di identità. Le aziende sono così ansiose di stare al passo e rimanere aggiornate con le ultime tecnologie che le misure di sicurezza possono spesso cadere nel dimenticatoio. I flussi di lavoro AI non vengono introdotti senza chiara proprietà, lasciando le organizzazioni con punti ciechi in cui le identità non umane si accumulano silenziosamente l’accesso, operano al di fuori dei controlli tradizionali e creano nuove opportunità per errori costosi o minacce. Prepararsi per questo futuro richiede trattare l’identità come uno strato dinamico e continuamente governato.

Man mano che le aziende crescono, i team di sicurezza dovrebbero possedere le politiche di utilizzo degli agenti e determinare come, se e dove l’accesso degli agenti viene ridotto rispetto a quello umano che chiama l’agente. Qualsiasi processo che in precedenza aggiungeva lavoro agli team umani semplicemente collasserà sotto la scala e la natura effimera degli agenti: l’automazione è l’unico modo per gestire il volume delle richieste.

Guardando avanti, cosa significa “buona igiene di sicurezza” in un ambiente in cui i sistemi AI stanno costantemente creando, modificando e richiedendo l’accesso di propria iniziativa?

La buona igiene di sicurezza consiste nell’utilizzare l’AI per scalare la sicurezza mantenendo abbastanza monitoraggio e disciplina per assicurarsi che nulla sfugga. L’AI non sta andando da nessuna parte, quindi che un’azienda utilizzi un fornitore come Opal o gestisca internamente, le aziende devono accettare che l’accesso non è più statico. Quando i sistemi AI stanno costantemente creando, modificando e richiedendo l’accesso, la sicurezza deve passare dall’approvazione una tantum alla supervisione continua. Ciò significa trattare l’accesso come un ciclo di vita continuo anziché come una casella da spuntare una volta.

Le aziende dovranno anche utilizzare attivamente l’AI come parte della loro difesa. L’automazione può aiutare i team a stare al passo con il volume e la velocità dei cambiamenti di accesso, ma deve essere abbinata a chiari limiti, visibilità nelle catene di delega e responsabilità umana quando qualcosa va storto. È importante esporre segnali di spiegabilità: valori di Shapley e coefficienti di caratteristiche per i modelli di apprendimento automatico tradizionali, e contesto aggiuntivo o giustificazioni dettagliate da LLM. Senza queste sfumature, è una battaglia in salita per mantenere qualsiasi catena di fiducia per l’accesso alle risorse aziendali sensibili. Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Opal Security.