Howard Ting, CEO Opal Security – Wywiad z serii

Howard Ting, CEO Opal Security to doświadczony executive w dziedzinie cyberbezpieczeństwa i technologii, który obecnie kieruje Opal Security od listopada 2025 roku. Przed objęciem tej funkcji pełnił rolę Executive in Residence w Greylock, spędzając ponad pięć lat w Cyberhaven jako CEO i członek zarządu, prowadząc firmę w misji ochrony danych i umożliwienia bezpiecznej innowacji. Jego doświadczenie obejmuje strategiczne stanowiska marketingowe w Redis Labs i Zscaler, a także senior marketingowe i produkcyjne role w Nutanix, Palo Alto Networks (PANW ), Cisco (za pośrednictwem Securent), Microsoft (MSFT ), RSA Security oraz wczesne doświadczenie w fuzjach i przejęciach w Banc of America Securities. Ta kombinacja doświadczenia operacyjnego, wiedzy rynkowej i głębokiej wiedzy z dziedziny cyberbezpieczeństwa umiejscawia go unikalnie na czele szybko rozwijającej się platformy bezpieczeństwa.

Opal Security to nowoczesna firma specjalizująca się w zarządzaniu dostępem opartym na tożsamości, która zapewnia przedsiębiorstwom scentralizowaną platformę do zarządzania i zabezpieczania dostępu do systemów chmurowych, SaaS i wewnętrznych. Platforma dostarcza ujednolicone widoki tożsamości i ścieżek dostępu, obsługuje samodzielne i just-in-time przepływy dostępu oraz automatyzuje przeglądy dostępu w celu egzekwowania zasad dostępu na zasadzie najmniejszych uprawnień, pomagając organizacjom w redukowaniu ryzyka i poprawie zgodności w dynamicznych środowiskach, w tym użytkowników, kont usługowych i agentów AI.

Niedawno objąłeś stanowisko CEO w Opal Security po tym, jak poprowadziłeś Cyberhaven przez znaczący wzrost i pełniłeś stanowiska kierownicze w firmach takich jak Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis i Microsoft. Co skłoniło Cię do przyjęcia stanowiska w Opal w tym momencie Twojej kariery, i jak Twoje poprzednie doświadczenie wpływa na Twoje myślenie o dostępie, tożsamości i bezpieczeństwie opartym na AI?

Zarządzanie dostępem staje się coraz trudniejsze. Więcej tożsamości, więcej maszyn, więcej automatyzacji — a znaczący dostęp coraz częściej pochodzi z wnętrza workflowów inżynierskich i chmurowych, a nie tradycyjnego IT. Standardowe narzędzia IAM i IGA nie zostały zaprojektowane z myślą o tym, a zagrożenia oparte na tożsamości nie czekają, aż się zaktualizują.

To właśnie skłoniło mnie do Opal. Skala tego problemu jest ogromna, a Opal jest już zgodny z kierunkiem, w którym zmierza rynek. Widziałem wcześniej podobne wzorce. W RSA, Palo Alto Networks i Cyberhaven obserwowałem rewolucje wieloczynnikowego uwierzytelniania, następnej generacji zapory sieciowej i linii danych w czasie rzeczywistym, a dynamika tutaj jest porażająco podobna: kategoryzujący problem, który przyspiesza szybciej, niż większość dostawców może zareagować, z wąskim okienkiem dla odpowiedniej drużyny, by je rozwiązać.

Opal ma taką drużynę. Podstawy inżynierskie i produkcyjne są silne, a lista klientów, zbudowana dzięki bezpośredniej i ukierunkowanej pracy, mówi sama za siebie. Każda rozmowa z klientem, w której brałem udział, potwierdzała ten sam sygnał: ten problem przyspiesza, a Opal jest tym, który go rozwiązuje.

Czego nauczyłem się budując i skalując zespoły w przedsiębiorstwach, to to, że wykonanie staje się radykalnie prostsze, gdy produkt, inżynieria i marketing dzielą ten sam poziom skupienia na kliencie. Gdy wszyscy widzą ten sam problem i tę samą okazję, poruszają się szybko bez utraty precyzji. Opal już ma taką podstawę. Moja praca polega na budowaniu na niej i upewnieniu się, że nasi klienci odczują pełną siłę tej drużyny za nimi, gdy będziemy skalować.

Przez lata pracy nad tożsamością, infrastrukturą chmurową i bezpieczeństwem przedsiębiorstw, gdzie uważasz, że tradycyjne modele kontroli dostępu zaczynają zawodzić, gdy organizacje przyjmują AI na większą skalę?

Szczera odpowiedź brzmi: większość tradycyjnych modeli kontroli dostępu została zaprojektowana, aby rozwiązać uwierzytelnianie — a dla ludzi ten problem jest w dużej mierze rozwiązany. Dostawcy tożsamości i nowoczesne metody uwierzytelniania radzą sobie z “kim jesteś?” w miarę dobrze. Dla nie-ludzkich tożsamości, klucze API i zarządzanie sekretami prowadzą częściowo tam, ale upoważnienie — “co powinno być dozwolone, i przez jaki czas?” — pozostaje głęboko nierozwiązane zarówno dla ludzi, jak i maszyn, i tam właśnie tkwi prawdziwe ryzyko.

To, co jeszcze bardziej skomplikuje tę sytuację, to fakt, że zespoły inżynierskie obecnie działają poprzez automatyzację, infrastrukturę jako kod i narzędzia wspomagane przez AI, które generują nowe uprawnienia w ramach codziennej pracy rozwojowej. Dostęp nie zmienia się już powoli za pośrednictwem workflowów IT — jest tworzony, modyfikowany i rozszerzany programowo, często bez przeglądu, co zostało właśnie udzielone. Wynikiem jest rosnąca ekspansja nadmiernie uprawnionych kont, fragmentaryzacja narzędzi uprawnień i rządzenie, które jest drogie, reaktywne i w dużej mierze nieświadome tego, co się naprawdę dzieje.

I będę szczery co do czegoś jeszcze: jest ogromna ilość “prania AI” na tym rynku. Dostawcy spieszą się, aby dołączyć “AI” do architektur legacy, co zaciemnia krytyczną rzeczywistość dla kupujących — uzasadniona i zwalidowana ramka bezpieczeństwa i zarządzania dla agentów AI wciąż nie istnieje. Hype wyprzedza rzeczywiste kontrole, a ta luka to miejsce, gdzie buduje się prawdziwe narażenie.

To, co sprawia, że podejście Opal jest inne. Zamiast montowania zarządzania w workflowach po fakcie, Opal modeluje dostęp bezpośrednio z systemów, których używają inżynierowie, stosuje politykę w czasie rzeczywistym i daje zespołom bezpieczeństwa sposób na kierowanie decyzjami o upoważnieniu bez tworzenia tarcia. Gdy zarządzanie wpasowuje się naturalnie w to, jak inżynierowie naprawdę pracują, przestaje być blokerem i staje się infrastrukturą, której można ufać.

Opal koncentruje się na zarządzaniu tym, kto i co może uzyskać dostęp do wrażliwych systemów w nowoczesnych, rodzimych środowiskach chmurowych. Jakie problemy bezpieczeństwa są najbardziej niedoceniane przez firmy budujące z użyciem agentów AI i zautomatyzowanych workflowów?

Najbardziej niedoceniane problemy nie są tak naprawdę nowe. Są to te, które przez lata kumulowały się wokół ludzkich tożsamości. Podstawowa higiena zarządzania, taka jak workflowy dołączania, przenoszenia i opuszczania, dostęp just-in-time i przeglądy dostępu użytkowników, była zaniedbywana lub połączona w większości organizacji przez długi czas. Zobowiązania zgodności, takie jak SOX, nie zniknęły; stały się tylko trudniejsze do spełnienia, gdy środowiska stają się bardziej złożone. Nic z tego nie jest glamour, ale jest to właśnie fundament, który się łamie, gdy warstwy agentów AI na górze.

Organizacje integrują AI, aby usprawnić workflowy i wyeliminować nudne zadania, ale robiąc to, wprowadzają nie-ludzkie tożsamości, które mnożą relacje dostępu w sposób, jaki istniejące narzędzia nie były projektowane do obsługi. Wynikiem jest splątana sieć, w której dostęp ludzki był już słabo zarządzany, a dostęp maszynowy jest teraz rozszerzany z jeszcze mniejszą widocznością. Decyzje o dostępie muszą być wyjaśnialne, powiązane z czasem, związane z rzeczywistym użyciem i ciągle monitorowane, ale większość zespołów nadal polega na statycznych, jednorazowych systemach, które nie mogą dostarczyć niczego z tego. Tymczasem agenci kodujący generują i wdrażają kod z wbudowanymi uprawnieniami, interakcją z infrastrukturą bezpośrednio i działaniem z dostępem, który nikt nie przegląda przez tradycyjną soczewkę bezpieczeństwa — narażenie na zgodność i bezpieczeństwo, które większość organizacji nawet nie zaczęła jeszcze oceniać.

Firmy budujące z użyciem agentów AI mają tendencję do koncentrowania się na nowości technologii, zaniżając, jak szybko rozprzestrzenianie się dostępu i niewidoczne uprawnienia stają się poważną odpowiedzialnością — szczególnie gdy podstawowa ludzka tożsamość pod spodem była już krucha.

Widziałeś, jak bezpieczeństwo ewoluowało w różnych generacjach infrastruktury. Co fundamentalnie się zmienia, gdy tożsamości maszynowe i agenci AI zaczynają przewyższać liczbę użytkowników ludzkich?

Gdy tożsamości maszynowe przewyższają liczbę użytkowników ludzkich, staje się coraz trudniejsze monitorowanie, kto ma dostęp do czego. Tradycyjne IAM nie zostało zaprojektowane z myślą o tej rzeczywistości, a większość platform HR i IAM zapewnia tylko częściową widoczność, szczególnie gdy nadzór tożsamości rozciąga się poza jeden zespół. Aby pomyślnie monitorować tego typu tożsamości, musimy dać agentom AI wyraźną własność, zakres uprawnień i pełną audytowalność od samego początku. Opal Security rozwiązuje to, modelując ludzi, usługi i agenci w ramach jednej ramki, zamiast traktować je jako oddzielne jednostki.

Audytorzy oczekują teraz przeglądu ludzkiego i agenicznego zachowania obok siebie podczas analizy przeglądów dostępu. Agenci zwykle dziedziczą zestawy uprawnień użytkowników, którzy ich wdrożyli, ale pewne przypadki użycia wymagają agentów, które identyfikują się jako konta usługowe z niestandardowymi (zwykle obniżonymi) zestawami uprawnień.

AI jest coraz częściej zarówno powierzchnią ataku, jak i narzędziem obronnym. Z Twojej perspektywy, gdzie AI znacząco poprawia wyniki bezpieczeństwa dzisiaj, a gdzie wciąż wprowadza nowe ryzyka?

AI jest ogromnie potężnym narzędziem, które jest podstawą naszego produktu. Opal Security wykorzystuje AI do monitorowania, wykrywania i zapobiegania nieregularnemu dostępowi w organizacjach. AI również zmienia bezpieczeństwo tożsamości, wprowadzając aktorów, którzy nie tylko uwierzytelniają się i wykonują zadania — rozumieją, adaptują się i działają autonomicznie. Tradycyjne systemy tożsamości były zaprojektowane dla ludzi i statycznych kont usługowych, gdzie dostęp zmieniał się powoli i intencja była względnie przewidywalna.

Ale agenci AI łamią ten model. Ryzyko polega na utracie widoczności i odpowiedzialności. Agenci mogą uruchamiać się i zamykać dynamicznie, łączyć uprawnienia w systemach i działać w imieniu użytkowników, innych agentów lub siebie. Żadne zabezpieczone zasoby nie mogą być “naruszone”, a jednak wrażliwe działania mogą nadal wystąpić, ponieważ wszystko było technicznie autoryzowane. To nowa powierzchnia ataku. Sposób na zarządzanie tym polega na zjednoczonej, inteligentnej platformie, która rozumie i zabezpiecza wszystkie typy jednostek za pomocą kontekstu, zachowania i ciągłej adaptacji.

Ten zjednoczony widok tworzy podstawę bezpieczeństwa — nie można chronić tego, czego nie widać ani nie rozumie się. W Opal wierzymy w zrozumienie każdej relacji. Nie wystarczy wiedzieć, kto jest w systemie. Trzeba wiedzieć, kto jest połączony z czym i dlaczego.

Jak zespoły bezpieczeństwa powinny przemyśleć dostęp z najmniejszymi uprawnieniami w praktyce, a nie tylko w teorii, gdy agenci kodowania AI i zautomatyzowane systemy zyskują szersze uprawnienia w organizacjach?

Nowoczesne zarządzanie tożsamością musi traktować ludzkie i maszynowe tożsamości równo, aby firmy mogły mieć widoczność, automatyzację i zaufanie potrzebne do bezpiecznego skalowania w erze AI. W praktyce oznacza to udzielanie uprawnień tylko wtedy, gdy są potrzebne, i ciągłe przeglądanie i dostosowywanie dostępu, gdy role lub zadania się zmieniają. Zautomatyzowane monitorowanie i kontrola oparta na ryzyku stają się niezbędne, zapewniając, że narzędzia AI mogą działać wydajnie bez tworzenia niepotrzebnego narażenia bezpieczeństwa.

Może być pomocne włączenie JIT domyślnie dla agentów, ale uczynienie go bezproblemowym: automatyczne zatwierdzenie określonych zasobów, gdy jest to odpowiednie, lub jeśli użytkownik działa w środowisku, w którym wszystkie dane są wrażliwe, ograniczenie użycia do maszyn wirtualnych sandbox.

Chociaż jakiekolwiek nowe ograniczenia dotyczące użycia agentów mogą mieć potencjał, by rozgniewać użytkowników końcowych, spowalniając ich, ważne jest spotkanie się z użytkownikami tam, gdzie są. Z Opal oznacza to, że żądania dostępu mogą być składane i zatwierdzane w Slacku, a strategie IaaC, w tym Terraform, mogą być używane do zautomatyzowania udzielania, cofania i czasowego dostępu.

Na podstawie Twojego doświadczenia w skalowaniu firm bezpieczeństwa, jakie sygnały wskazują, że kontrola dostępu organizacji nie jest już zgodna z tym, jak firma naprawdę działa?

Organizacje mogą stwierdzić, że ich kontrola dostępu jest niezgodna, gdy dostęp zaczyna opóźniać się względem rzeczywistości. Może to objawić się jako nadmierne lub przestarzałe uprawnienia, ręczne wąskie gardła z systemów legacy lub przyjęcie systemów AI bez zaktualizowanych polityk do śledzenia nie-ludzkich tożsamości. Innym sygnałem jest zwiększona liczba incydentów bezpieczeństwa lub przypadków, w których nadmiernie uprawnione konta lub słabo zarządzane tożsamości są winne.

Kompleksowe wdrożenia Sailpoint, opierające się na zespole konsultantów, a także śledzenie dostępu w arkuszach kalkulacyjnych nie były wydajne w erze przed agentami, a co więcej, ten legacy podejście po prostu załamie się pod szybkością i złożonością agentów. Opal dostarcza jedną platformę, która służy zespołom bezpieczeństwa, odblokowuje IT i daje audytorom to, czego potrzebują. Stwierdzamy, że RBAC jest kruchy i rzadko trwały stan rzeczy, więc skuteczne zespoły zaczynają od JIT, a następnie przechodzą do dostępu opartego na osobach (z elastycznością i śledzeniem w czasie), aby konfiguracje Terraform mogły być wersjonowane, wdrażane lub wycofywane, jeśli to konieczne.

Jak lider, jak balansujesz szybkość innowacji z dyscypliną wymaganą do budowania zaufania w produktach bezpieczeństwa?

Nauczyłem się, że wielkie firmy pozostają dyscyplinowane w kwestii podstaw. Te podstawy obejmują wyraźne priorytety, przejrzystą komunikację i gotowość do podejmowania trudnych decyzji. Innowacja nadal ma znaczenie, ale musi być ugruntowana w rygorze: silne domyślne ustawienia, staranne modelowanie zagrożeń i odpowiedzialność za wyniki. Podjęcie tych decyzji w sposób zamierzony pozwala poruszać się szybko bez kompromisu zaufania, a z czasem ta dyscyplina staje się przewagą konkurencyjną.

Czego, Twoim zdaniem, liderzy bezpieczeństwa najczęściej nie rozumieją, przygotowując się do przyszłości, w której dominują systemy autonomiczne, a nie ludzkie?

To, czego liderzy bezpieczeństwa najczęściej nie doceniają, to złożoność zarządzania różnymi typami tożsamości. Firmy są tak zainteresowane, aby być na czele i pozostać na bieżąco z najnowszymi technologiami, że środki bezpieczeństwa mogą często zostać z tyłu. Prace AI są często wprowadzane bez wyraźnej własności, pozostawiając organizacje ze słabymi punktami, w których nie-ludzkie tożsamości cichaczem kumulują dostęp, działają poza tradycyjnymi kontrolami i tworzą nowe okazje do kosztownych błędów lub zagrożeń. Przygotowanie się do tej przyszłości wymaga traktowania tożsamości jako dynamicznej, ciągle zarządzanej warstwy.

Jako biznes rośnie, zespoły bezpieczeństwa powinny posiadać polityki użycia agentów i określać, jak, czy i gdzie dostęp agentów jest ograniczony od ludzi, którzy ich wywołują. Jakiekolwiek procesy, które wcześniej nakładały trud na zespoły ludzkie, po prostu załamią się pod skalą i efemeryczną naturą agentów: automatyzacja jest jedynym sposobem na zarządzanie objętością żądań.

Spójrzając w przyszłość, co oznacza “dobra higiena bezpieczeństwa” w środowisku, w którym systemy AI stale tworzą, modyfikują i żądają dostępu na własną rękę?

Dobra higiena bezpieczeństwa polega na wykorzystaniu AI do skalowania bezpieczeństwa, jednocześnie zachowując wystarczające monitorowanie i dyscyplinę, aby nic nie umknęło przez szczeliny. AI nie znika; czy firma używa dostawcy takiego jak Opal, czy zarządza wewnętrznie, firmy muszą zaakceptować, że dostęp nie jest już statyczny. Gdy systemy AI stale tworzą, modyfikują i żądają dostępu, bezpieczeństwo musi przejść od jednorazowych zatwierdzeń do ciągłego nadzoru. Oznacza to traktowanie dostępu jako ciągłego cyklu życia, a nie jednorazowego checkboxa.

Firmy również będą musiały aktywnie wykorzystywać AI jako część swojej obrony. Automatyzacja pomoże zespołom dotrzymać kroku z objętością i szybkością zmian dostępu, ale musi być połączona z wyraźnymi barierami, widocznością w łańcuchach delegacji i ludzką odpowiedzialnością, gdy coś pójdzie nie tak. Ważne jest, aby ujawnić sygnały wyjaśnialności: wartości Shapley i współczynniki cech dla tradycyjnych modeli ML oraz dodatkowy kontekst lub szczegółowe uzasadnienia z LLM. Bez tych niuansów jest to górska walka, aby utrzymać łańcuch zaufania do dostępu do wrażliwych zasobów biznesowych.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Opal Security.