Howard Ting, CEO van Opal Security – Interviewreeks

Howard Ting, CEO van Opal Security is een ervaren cybersecurity- en technologie-executive die momenteel leiding geeft aan Opal Security sinds november 2025. Voordat hij deze rol had, was hij Executive in Residence bij Greylock en bracht hij meer dan vijf jaar door bij Cyberhaven als CEO en bestuurslid, waar hij het bedrijf leidde in zijn missie om gegevens te beschermen en veilige innovatie mogelijk te maken. Zijn achtergrond omvat strategische marketingleiderschapsposities bij Redis Labs en Zscaler, evenals senior marketing- en productrollen bij Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security en vroege ervaring in M&A bij Banc of America Securities. Deze combinatie van operationeel leiderschap, go-to-market-expertise en diepe cybersecurity-domeinkennis stelt hem uniek aan het hoofd van een snel groeiend beveiligingsplatform.

Opal Security is een modern, identiteitsgecentreerd toegangsbeheerbedrijf dat ondernemingen biedt een centraal platform om te regelen en te beveiligen wie toegang heeft tot wat in de cloud, SaaS en interne systemen. Het platform biedt een uniforme visie op identiteit en toegangspaden, ondersteunt self-service- en just-in-time-toegangsworkflows en automatiseert toegangsbeoordelingen om least-privilege-beleid op grote schaal af te dwingen, waardoor organisaties het risico kunnen verminderen en de naleving kunnen verbeteren in dynamische omgevingen die menselijke gebruikers, serviceaccounts en AI-agents omvatten.

U bent onlangs in de CEO-rol van Opal Security gestapt nadat u Cyberhaven had geleid door een significante schaal en seniorrollen had gehad bij bedrijven als Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis en Microsoft. Wat trok u naar Opal op dit moment in uw carrière, en hoe beïnvloedt uw voorgaande ervaring uw denken over toegang, identiteit en AI-natieve beveiliging vandaag?

Het beheren van toegang wordt overal moeilijker. Meer identiteiten, meer machines, meer automatisering – en de betekenisvolle toegang ontstaat steeds vaker binnen engineering- en cloud-workflows, niet traditionele IT. Standaard IAM- en IGA-hulpmiddelen waren niet gebouwd voor deze situatie, en identiteitsgedreven bedreigingen wachten niet tot ze bij kunnen blijven.

Daarom werd ik aangetrokken door Opal. De omvang van dit probleem is enorm, en Opal is al uitgelijnd met de richting waarin de markt gaat. Ik heb eerder soortgelijke patronen gezien. Bij RSA, Palo Alto Networks en Cyberhaven zag ik de multi-factor-, next-generation-firewall- en data-lijnrevoluties zich in real-time ontvouwen, en de dynamiek hier is opvallend vergelijkbaar: een categorie-definierend probleem dat sneller versnelt dan de meeste leveranciers kunnen reageren, met een smalle venster voor het juiste team om het te bezitten.

Opal heeft dat team. De engineering- en productiefundering is sterk, en de klantenaanwas, opgebouwd door directe en gefocuste inspanningen, spreekt voor zich. Elk gesprek met klanten dat ik had, bevestigde hetzelfde signaal: dit probleem versnelt, en Opal lost het op.

Wat ik heb geleerd van het opbouwen en schalen van teams in ondernemingen is dat uitvoering radicaal eenvoudiger wordt wanneer product, engineering en go-to-market hetzelfde niveau van klantfocus delen. Wanneer iedereen hetzelfde probleem en dezelfde kans ziet, beweeg je snel zonder precisie te verliezen. Opal heeft die fundering al. Mijn taak is om daarop te bouwen – en ervoor te zorgen dat onze klanten de volledige kracht van dit team achter zich voelen terwijl we schalen.

Na jaren te hebben gewerkt aan identiteit, cloud-infrastructuur en ondernemingsbeveiliging, waar denkt u dat traditionele toegangscontrolemodellen afbreken als organisaties AI dieper adopteren?

Het eerlijke antwoord is dat de meeste traditionele toegangscontrolemodellen zijn gebouwd om authenticatie op te lossen – en voor mensen is dat probleem grotendeels opgelost. IDP’s en moderne auth-methoden behandelen “wie bent u?” redelijk goed. Voor niet-menselijke identiteiten krijgen API-sleutels en geheime sleutelbeheer je een deel van de weg. Maar autorisatie – “wat mag je doen, en voor hoe lang?” – blijft diep onopgelost voor zowel mensen als machines, en dat is waar het echte risico leeft.

Wat dit verergert, is dat engineeringteams nu opereren via automatisering, infrastructuur als code en AI-geassisteerde tooling die nieuwe machtigingen genereert als onderdeel van de dagelijkse ontwikkeling. Toegang verandert niet langzaam via IT-workflows meer – het wordt programmatisch gegenereerd, gewijzigd en uitgebreid, vaak zonder dat iemand controleert wat er zojuist is toegekend. Het resultaat is een groeiende verspreiding van over-geprivilegieerde accounts, gefragmenteerde privilege-hulpmiddelen en governance die duur, reactief en grotendeels blind is voor wat er werkelijk gebeurt.

En ik zal direct zijn over iets anders: er is een enorm bedrag aan AI-wassen in deze markt op dit moment. Leveranciers zijn haastig om “AI” aan legacy-architecturen te koppelen, wat een kritieke realiteit voor kopers verduistert – een haalbaar, gevalideerd beveiligings- en governance-kader voor AI-agents bestaat nog niet. De hype gaat vooruit op de feitelijke controles, en die kloof is waar echte blootstelling ontstaat.

Daarom is Opal’s aanpak anders. In plaats van governance op workflows te monteren na het feit, modelleert Opal toegang rechtstreeks vanuit de systemen die engineers al gebruiken, past beleid in real-time toe en geeft beveiligingsteams een manier om autorisatiebeslissingen te leiden zonder wrijving te creëren. Wanneer governance natuurlijk past in de manier waarop engineering werkt, houdt het op een blocker te zijn en wordt het infrastructuur die je kunt vertrouwen.

Opal richt zich op het beheren van wie en wat toegang kan krijgen tot gevoelige systemen in moderne, cloud-native omgevingen. Wat zijn de meest onderschatte beveiligingsproblemen voor bedrijven die AI-agents en geautomatiseerde workflows gebruiken?

De meest onderschatte problemen zijn niet nieuw. Ze zijn de problemen die al jaren stilzwijgend zijn samengevoegd rond menselijke identiteiten. Basisgovernancehygiëne zoals joiner/mover/leaver-workflows, just-in-time-toegang en gebruikers-toegangsbeoordelingen is over het hoofd gezien of met ducttape in elkaar gezet bij de meeste organisaties. Compliance-verplichtingen zoals SOX zijn niet verdwenen; ze zijn alleen moeilijker te voldoen naarmate omgevingen complexer worden. Niets hiervan is glamoureus, maar het is precies de fundering die breekt wanneer je AI-agents toevoegt.

Organisaties integreren AI om workflows te stroomlijnen en saaie taken te elimineren, maar daarmee introduceren ze niet-menselijke identiteiten die toegangsrelaties vermenigvuldigen op manieren waarop bestaande hulpmiddelen nooit zijn ontworpen om aan te kunnen. Het resultaat is een rommelige web waar menselijke toegang al onder-gereguleerd was en machine-toegang nu wordt uitgebreid met nog minder zichtbaarheid. Toegangsbeslissingen moeten verklarbaar, tijdsgebonden, gekoppeld aan werkelijk gebruik en continu gemonitord worden, maar de meeste teams vertrouwen nog steeds op statische, one-size-fits-all-systemen die niets van dit alles kunnen leveren. Ondertussen genereren coding-agents code met ingebedde machtigingen, interacteren rechtstreeks met infrastructuur en opereren met toegang die niemand door een traditioneel beveiligingsprisma bekijkt – een compliance- en beveiligingsblootstelling die de meeste organisaties nog niet eens hebben begonnen te begrijpen.

Bedrijven die AI-agents gebruiken, hebben de neiging om zich te concentreren op de nieuwheid van de technologie, terwijl ze onderschatten hoe snel toegangsspreiding en onzichtbare machtigingen een ernstige aansprakelijkheid kunnen worden – vooral wanneer de menselijke identiteitsfundering eronder al kwetsbaar was.

U hebt de evolutie van beveiliging gezien over meerdere generaties van infrastructuur. Wat verandert fundamenteel wanneer machine-identiteiten en AI-agents het aantal menselijke gebruikers overtreffen?

Wanneer machine-identiteiten het aantal menselijke gebruikers overtreffen, wordt het steeds moeilijker om te controleren wie toegang heeft tot wat. Traditionele IAM was niet ontworpen voor deze realiteit en de meeste HR- en IAM-platforms bieden slechts gedeeltelijke zichtbaarheid, vooral wanneer identiteitsbewaking zich uitbreidt tot één team. Om deze identiteiten succesvol te controleren, moeten we AI-agents duidelijke eigendom, gespecificeerde machtigingen en volledige auditeerbaarheid vanaf het begin geven. Opal Security lost dit op door mensen, services en agents binnen één kader te modelleren, in plaats van ze als afzonderlijke entiteiten te behandelen.

Auditors verwachten nu dat ze menselijk en agentisch gedrag naast elkaar bekijken bij het analyseren van toegangsbeoordelingen. Agents erven typisch de machtigingssets van de gebruikers die ze implementeren, maar bepaalde use-cases vereisen agents die zich identificeren als service-accounts met aangepaste (typisch down-geprivilegieerde) machtigingssets.

AI is zowel een aanvalsoppervlak als een defensief hulpmiddel. Vanuit uw perspectief, waar verbetert AI de beveiligingsresultaten vandaag, en waar introduceert het nog steeds nieuwe risico’s?

AI is een enorm krachtig hulpmiddel dat de basis vormt van ons product. Opal Security gebruikt AI om onregelmatige toegang over organisaties te monitoren, te detecteren en te voorkomen. AI verandert ook identiteitsbeveiliging omdat het actoren introduceert die niet alleen authenticeren en taken uitvoeren – ze redeneren, passen zich aan en handelen autonoom. Traditionele identiteitssystemen waren gebouwd voor mensen en statische service-accounts, waar toegang langzaam veranderde en intentie relatief voorspelbaar was.

Maar AI-agents breken dat model. Het risico is verlies van zichtbaarheid en verantwoordelijkheid. Agents kunnen dynamisch opkomen en neergaan, machtigingen ketenen over systemen en handelen namens gebruikers, andere agents of zichzelf. Geen beveiligde bronnen worden “gecompromitteerd”, maar gevoelige acties kunnen nog steeds plaatsvinden omdat alles technisch geautoriseerd was. Dat is het nieuwe bedreigingsoppervlak. De manier om dit te beheren is via een geïntegreerd, intelligent platform dat alle entiteitstypen begrijpt en beveiligt via context, gedrag en continue aanpassing.

Deze geïntegreerde visie vormt de basis voor beveiliging – je kunt niet beschermen wat je niet kunt zien of begrijpen. Bij Opal geloven we in het begrijpen van elke relatie. Het is niet genoeg om te weten wie er in het systeem zit. Je moet weten wie verbonden is met wat, en waarom.

Hoe moeten beveiligingsteams least-privilege-toegang opnieuw overwegen in de praktijk, en niet alleen in theorie, nu AI-coding-agents en geautomatiseerde systemen bredere machtigingen binnen organisaties krijgen?

Modern identiteitsbeveiliging moet menselijke en machine-identiteiten gelijk behandelen, zodat bedrijven de zichtbaarheid, automatisering en vertrouwen nodig hebben om veilig te schalen in de AI-tijdperk. In de praktijk betekent dit dat alleen machtigingen worden verleend wanneer nodig, en dat toegang continu wordt herzien en aangepast naarmate taken of rollen veranderen. Geautomatiseerde monitoring en risicogebaseerde controles worden essentieel, waardoor AI-hulpmiddelen efficiënt kunnen werken zonder onnodige beveiligingsblootstelling te creëren.

Het is handig om JIT standaard in te schakelen voor agents, maar het moet frictieloos zijn: automatisch goedkeuren van specifieke bronnen waar nodig, of als de gebruiker opereert in een omgeving waar alle gegevens gevoelig zijn, beperk het gebruik tot sandbox-VM’s.

Hoewel elke nieuwe beperking op agentic-gebruik mogelijk gebruikers kan irriteren door ze te vertragen, is het belangrijk om gebruikers te ontmoeten waar ze zijn. Met Opal betekent dit dat toegangsverzoeken kunnen worden ingediend en goedgekeurd in Slack, en dat IaaC-strategieën, waaronder Terraform, kunnen worden gebruikt om toegang toe te kennen, in te trekken en tijdelijke toegang te automatiseren.

Op basis van uw ervaring met het schalen van beveiligingsbedrijven, welke signalen geven aan dat een organisatie haar toegangscontroles niet langer afstemt op de werkelijke bedrijfsvoering?

Organisaties kunnen zien dat hun toegangscontroles niet langer zijn afgestemd op de werkelijke bedrijfsvoering wanneer toegang achterblijft bij de realiteit. Dit kan zich uiten in overtollige of verouderde machtigingen, handmatige bottlenecks van legacy-systemen, of de adoptie van AI-systemen zonder bijgewerkte beleidsregels om niet-menselijke identiteiten te volgen. Een ander teken is een toename van beveiligingsincidenten of bijna-misses, waar over-geprivilegieerde accounts of slecht gereguleerde identiteiten de oorzaak zijn.

Complex Sailpoint-deployments, steunend op een team van consultants, evenals het volgen van toegang in spreadsheets, was niet efficiënt in de tijd voorafgaand aan agents, en bovendien zal deze legacy-aanpak eenvoudigweg instorten onder de snelheid en complexiteit van agents. Opal levert een enkel platform dat dienst doet als beveiliging, ontgrendelt IT en geeft auditors wat ze nodig hebben. We vinden dat RBAC broos is en zelden een duurzame staat van zaken is, dus succesvolle teams beginnen met JIT en gaan dan over naar persona-gebaseerde toegang (met flexibiliteit en tracking over tijd) zodat Terraform-configuraties kunnen worden versiebeheerd, geïmplementeerd of teruggedraaid als nodig.

Vanuit een leiderschapsstandpunt, hoe balanceert u innovatiesnelheid met de discipline die nodig is om vertrouwen op te bouwen in beveiligingsproducten?

Ik heb geleerd dat geweldige bedrijven disciplineer blijven over de basisbeginselen, zelfs wanneer ze snel groeien. Deze basisbeginselen omvatten duidelijke prioriteiten, transparante communicatie en de bereidheid om moeilijke keuzes te maken. Innovatie is nog steeds belangrijk, maar het moet zijn gebaseerd op rigor: sterke standaarden, zorgvuldige bedreigingsmodellering en verantwoordelijkheid voor resultaten. Deze beslissingen bewust nemen, maakt het mogelijk om snel te bewegen zonder vertrouwen te compromitteren, en met de tijd wordt deze discipline zelfs een concurrentievoordeel.

Wat denkt u dat beveiligingsleiders het meest onderschatten bij het voorbereiden op een toekomst die wordt gedomineerd door autonome systemen in plaats van menselijke toegang?

Wat beveiligingsleiders het meest onderschatten, is de complexiteit van het beheren van verschillende soorten identiteiten. Bedrijven zijn zo enthousiast om vooruit te komen en up-to-date te blijven met de laatste technologieën dat beveiligingsmaatregelen vaak opzij worden gezet. AI-gedreven workflows worden vaak geïntroduceerd zonder duidelijke eigendom, waardoor organisaties blind spots hebben waar niet-menselijke identiteiten stilzwijgend toegang accumuleren, buiten traditionele controles opereren en nieuwe kansen creëren voor dure fouten of bedreigingen. Voorbereiden op deze toekomst vereist het behandelen van identiteit als een dynamische, continu gereguleerde laag.

Naarmate bedrijven groeien, moeten beveiligingsteams agentic-gebruiksbeleid bezitten en bepalen hoe, of en waar agentic-toegang wordt down-geprivilegieerd van de mens die de agent aanroept. Alle processen die eerder toil laagden op menselijke teams, zullen eenvoudigweg instorten onder de schaal en de ephemere aard van agents: automatisering is de enige manier om het verzoekvolume te beheren.

Kijkend naar de toekomst, wat ziet “goede beveiligingshygiëne” eruit in een omgeving waar AI-systemen constant toegang creëren, wijzigen en aanvragen op eigen initiatief?

Goede beveiligingshygiëne gaat over het gebruik van AI om beveiliging te schalen, terwijl voldoende monitoring en discipline worden gehandhaafd om ervoor te zorgen dat niets door de mazen glipt. AI gaat nergens heen, dus of een bedrijf een provider zoals Opal gebruikt of intern beheert, bedrijven moeten accepteren dat toegang niet langer statisch is. Wanneer AI-systemen constant toegang creëren, wijzigen en aanvragen, moet beveiliging veranderen van eenmalige goedkeuringen naar continue toezicht. Dat betekent dat toegang moet worden behandeld als een continue levenscyclus in plaats van een eenmalige checkbox.

Bedrijven zullen ook actief AI moeten gebruiken als onderdeel van hun verdediging. Automatisering kan helpen om het volume en de snelheid van toegangsveranderingen bij te houden, maar het moet worden gekoppeld aan duidelijke guardrails, zichtbaarheid in delegatieketens en menselijke verantwoordelijkheid wanneer er iets misgaat. Het is belangrijk om verklarende signalen naar boven te brengen: Shapley-waarden en kenmerkcoëfficiënten voor traditionele ML-modellen, en aanvullende context of gedetailleerde rechtvaardigingen van LLM’s. Zonder deze nuances is het een moeilijke strijd om een keten van vertrouwen te behouden voor toegang tot gevoelige bedrijfsbronnen. Dank u voor het geweldige interview, lezers die meer willen leren, moeten bezoeken Opal Security.