Shannon McWilliams, dyrektor ds. globalnej dystrybucji w Orca Security – cykl wywiadów

Shannon McWilliams jest dyrektorem ds. globalnej dystrybucji w Orca Security. Jego praca obejmuje ekosystem partnerów firmy oraz narzędzia, które go wspierają. Wcześniej założył firmę zajmującą się tworzeniem oprogramowania, dzięki czemu zdobył doświadczenie w przekładaniu potrzeb biznesowych na aplikacje. Niedawno wykorzystał narzędzia AI do tworzenia oprogramowania, by zbudować wstępną wersję Partner Success Platform firmy Orca. Współpracował z zespołem ds. bezpieczeństwa, aby przekształcić weekendowy prototyp w system gotowy do wdrożenia produkcyjnego.

Orca Security oferuje platformę bezpieczeństwa chmurowego, która pomaga organizacjom wykrywać zasoby, identyfikować zagrożenia i ustalać ich priorytety, a także chronić środowiska chmurowe. Jej funkcje obejmują między innymi wykrywanie podatności, błędnych konfiguracji, tożsamości i uprawnień oraz danych wrażliwych, a także bezpieczeństwo AI. W tym wywiadzie McWilliams opowiada o tym, jak AI umożliwia użytkownikom biznesowym tworzenie oprogramowania, dlaczego działające aplikacje nadal wymagają niezależnej kontroli bezpieczeństwa oraz jak ciągłe wykrywanie zasobów, zasada najmniejszych uprawnień i nadzór człowieka mogą pomóc firmom zarządzać tym nowym modelem tworzenia oprogramowania.

Dołączył Pan do Orca Security jako dyrektor ds. globalnej dystrybucji, a już po kilku miesiącach samodzielnie zbudował Pan nową platformę partnerską, korzystając z AI. Jaki problem chciał Pan początkowo rozwiązać i kiedy projekt przestał być eksperymentem, a stał się czymś, co Orca mogła faktycznie wdrożyć produkcyjnie?

Kiedy dołączyłem do Orca, poproszono mnie między innymi o przyjrzenie się całościowym doświadczeniom partnerów. Korzystaliśmy z platformy zewnętrznego dostawcy, ale dostrzegłem możliwość stworzenia czegoś nowocześniejszego i bardziej intuicyjnego dla naszych partnerów. Miałem pewne doświadczenie w tworzeniu aplikacji, ale sam nie byłem programistą. Wcześniej tego lata pracowałem nad aplikacjami konsumenckimi na platformie zewnętrznego dostawcy narzędzia do generowania aplikacji, więc postanowiłem poeksperymentować i sprawdzić, co mogę samodzielnie zbudować przy użyciu AI.

W ciągu jednego weekendu udało mi się stworzyć podstawową, pierwszą wersję tego, co stało się naszą Partner Success Platform. Oferowała funkcje wykraczające poza te dostępne w tradycyjnych portalach partnerskich, w tym oparte na AI rozwiązania, takie jak dopasowywanie idealnych klientów i doradztwo dotyczące transakcji. Dodaliśmy do platformy wiele kolejnych aplikacji, takich jak śledzenie certyfikacji i quizy generowane przez AI, a także wprowadziliśmy elementy grywalizacji do całego procesu certyfikacji dla naszych partnerów. Następnie zaczęliśmy synchronizować dane z naszą platformą Salesforce. Przełom nastąpił, gdy nasz prezes zobaczył wstępną wersję i dostrzegł jej potencjał. Wtedy też przeszliśmy od eksperymentowania do zastanawiania się, co właściwie trzeba zrobić, aby stworzyć coś takiego w bezpiecznej wersji gotowej do wdrożenia produkcyjnego. Do projektu dołączył nasz zespół ds. bezpieczeństwa, a ja zacząłem ściśle współpracować z Dudim Peretzem, aby zabezpieczyć środowisko. Ostatecznie niezależna firma zewnętrzna zweryfikowała wykonaną przez nas pracę.

Wcześniej założył Pan firmę zajmującą się tworzeniem oprogramowania, ma więc Pan doświadczenie z tradycyjnym sposobem budowania aplikacji. Jak tworzenie oprogramowania za pomocą AI i języka naturalnego wypada w porównaniu z zarządzaniem pracą programistów? W jakich obszarach Pańska wiedza branżowa nadal miała największe znaczenie?

Największą różnicą była szybkość. Przy tradycyjnym tworzeniu oprogramowania między pojawieniem się pomysłu, przełożeniem go na wymagania techniczne, zbudowaniem rozwiązania przez programistów i wprowadzeniem kolejnych zmian zazwyczaj trzeba przejść przez wiele etapów. Korzystając z AI, mogłem opisać, czego chcę, od razu zobaczyć, jak nabiera to kształtu, i niemal natychmiast dalej dopracowywać rozwiązanie. Iteracje zajmują minuty zamiast dni spędzonych na spotkaniach z programistami, określaniu pożądanego interfejsu użytkownika i mapowaniu bazy danych potrzebnym do stworzenia funkcjonalności. Przy tworzeniu oprogramowania z pomocą AI wystarczy prompt składający się z 2 zdań, a nie 2 dni spotkań.

Nie oznacza to jednak, że wiedza specjalistyczna przestaje być potrzebna. Zmienia się jedynie to, w czym jest ona istotna. AI może znacznie obniżyć próg techniczny tworzenia aplikacji, ale osoba kierująca tym procesem nadal musi rozumieć, jaki problem próbuje rozwiązać, jak powinno wyglądać użyteczne rozwiązanie i co aplikacja ma ostatecznie osiągnąć z punktu widzenia biznesu. Najbardziej zaskoczyło mnie, jak szybko można przejść od pomysłu do czegoś funkcjonalnego. Zadania takie jak analiza danych, które kiedyś mogły zająć tygodnie, można teraz potencjalnie wykonać w jeden dzień.

Orca opisywała pierwszą działającą wersję platformy partnerskiej jako coś, co zbudował Pan w ciągu jednego weekendu. Co AI potrafiło znacznie przyspieszyć, a które elementy tworzenia aplikacji gotowej do wdrożenia produkcyjnego okazały się trudniejsze, niż początkowo się wydawało?

AI znacznie skróciło drogę od pomysłu do działającej aplikacji. W ciągu weekendu mogłem zbudować funkcje, których stworzenie tradycyjnymi metodami wymagałoby znacznie dłuższego procesu, a nowe funkcje mogłem dodawać i zmieniać niezwykle szybko. Takie tempo jest zarazem niesamowite i trochę przerażające.

AI nie wyeliminowało jednak żadnego z działań koniecznych, by aplikacja była bezpieczna w środowisku produkcyjnym. Gdy uznaliśmy, że to rozwiązanie może stać się czymś rzeczywistym, nasz zespół ds. bezpieczeństwa musiał ocenić środowisko, rozwiązać problemy związane z bezpieczeństwem i upewnić się, że aplikacja jest odpowiednio zabezpieczona. Ostatecznie zaangażowaliśmy zewnętrzną firmę, która przeprowadziła dodatkową weryfikację. AI znacznie przyspieszyło więc tworzenie aplikacji, ale „działa” i „jest gotowa do bezpiecznego działania w przedsiębiorstwie” to nadal dwa zupełnie różne poziomy wymagań.

Narzędzia bezpieczeństwa wbudowane w platformę do tworzenia aplikacji z użyciem AI wskazywały, że aplikacja jest bezpieczna, jednak późniejsza kontrola przeprowadzona przez Orca ujawniła problemy związane z uprawnieniami i dostępem do danych. Czego to doświadczenie nauczyło Cię o tym, jak bardzo użytkownicy biznesowi powinni ufać zapewnieniom o bezpieczeństwie składanym przez platformy do tworzenia aplikacji z użyciem AI?

To była prawdopodobnie jedna z najważniejszych lekcji, jakie wyniosłem z tego doświadczenia. Platforma miała własne funkcje skanowania pod kątem bezpieczeństwa, które stanowiły pomocny punkt odniesienia podczas tworzenia aplikacji. Jednak proces przeglądu przeprowadzony przez nasz zespół ds. bezpieczeństwa uświadomił mi, jak ważna jest dodatkowa kontrola, zwłaszcza w takich obszarach jak uprawnienia i dostęp do danych. Utwierdziło mnie to w przekonaniu, że wbudowane narzędzia bezpieczeństwa są ważnym elementem procesu tworzenia, ale najlepiej sprawdzają się w połączeniu z szerszym kontekstem i wiedzą specjalistyczną, jakie może wnieść wyspecjalizowany zespół ds. bezpieczeństwa.

To szczególnie ważne, ponieważ wiele osób, które mogą teraz tworzyć aplikacje z użyciem AI, nie jest ekspertami ds. bezpieczeństwa. Mogą nie wiedzieć, o co pytać, które uprawnienia są zbyt szerokie ani jakie konfiguracje mogą narazić dane na ujawnienie. Informacja platformy programistycznej, że aplikacja jest bezpieczna, nie może oznaczać końca procesu. Zanim aplikacja zostanie opublikowana lub połączona z wrażliwymi systemami przedsiębiorstwa, nadal musi przejść kompleksowy przegląd bezpieczeństwa, który wykracza poza sprawdzenie, czy aplikacja po prostu spełnia własne kryteria platformy.

Kiedy zespół ds. bezpieczeństwa wykrywał podatności, często udawało się przekazać te ustalenia z powrotem do środowiska programistycznego AI i wygenerować poprawki w ciągu kilku minut. Czy AI może zasadniczo zmienić usuwanie zagrożeń z długotrwałego cyklu programistycznego w nieprzerwany dialog między twórcami a zespołami ds. bezpieczeństwa?

To jedna z najbardziej obiecujących możliwości. Kiedy Dudi i zespół ds. bezpieczeństwa wykrywali problemy, mogłem przekazać im te uwagi, wprowadzić je bezpośrednio do środowiska programistycznego AI i bardzo szybko wygenerować poprawki. Stwarza to możliwość znacznie ściślejszej pętli informacji zwrotnej między osobą tworzącą aplikację a zespołem odpowiedzialnym za jej zabezpieczenie.

W przeszłości tworzenie i wydawanie oprogramowania mogło trwać znacznie dłużej. Teraz ktoś może wprowadzać i publikować zmiany codziennie. Bezpieczeństwo musi działać w tym samym tempie. Można włączyć ciągłą ocenę bezpieczeństwa do procesu tworzenia, tak aby szybciej wykrywać problemy, informować o nich twórcę, usuwać je i ponownie oceniać aplikację.

Szybsze usuwanie problemów nie oznacza jednak, że możemy obniżyć standardy weryfikacji. AI może szybko wygenerować poprawkę, ale zespoły ds. bezpieczeństwa nadal muszą mieć możliwość sprawdzenia, czy faktycznie wyeliminowała ona zagrożenie i nie spowodowała kolejnego.

Powstała w ten sposób Partner Success Platform wykorzystuje asystentów AI, analizę lejka sprzedażowego, generowanie kampanii oraz doradztwo w zakresie transakcji. Jak ustaliliście, którymi zadaniami AI powinna zajmować się bezpośrednio, a które decyzje powinny pozostać w gestii partnera lub sprzedawcy?

Nie chodziło mi o wyeliminowanie udziału człowieka z procesu obsługi partnerów ani sprzedaży. Chodziło o wykorzystanie AI, by pomagać ludziom działać szybciej i lepiej korzystać z dostępnych już informacji. Dobrym przykładem jest doradztwo w zakresie transakcji: AI może pomóc znaleźć sposoby na rozwinięcie szansy sprzedażowej, która od pewnego czasu tkwi w lejku, oraz dostarczyć dodatkowego kontekstu lub zasugerować kolejny krok.

Moim zdaniem kluczowe rozróżnienie dotyczy tego, czy AI potrafi szybko pobierać informacje z różnych systemów, analizować ich przydatność, a następnie przedstawiać je w formie, która pozwala użytkownikowi podjąć działanie. Platforma powinna zwiększać skuteczność partnera lub sprzedawcy, a człowiek powinien nadal odpowiadać za decyzje wymagające oceny biznesowej. Celem jest skrócenie czasu od odkrycia szansy sprzedażowej do zamknięcia transakcji jako wygranej dzięki korzystaniu z platformy.

AI umożliwia pracownikom działów sprzedaży, marketingu, finansów i innych obszarów tworzenie własnych aplikacji bez angażowania zespołów inżynieryjnych. Jakie minimalne zabezpieczenia i mechanizmy nadzoru powinny obowiązywać, zanim takie aplikacje uzyskają dostęp do danych klientów, systemów wewnętrznych lub infrastruktury chmurowej?

Pierwszym wymogiem jest widoczność. Polityka organizacji powinna sprzyjać takim eksperymentom i innowacjom, ale nie da się zabezpieczyć aplikacji, o której istnieniu się nie wie. Dlatego wspieranie innowacyjności zwiększa szansę, że pracownicy ujawnią swoje projekty, zamiast działać w ukryciu. Następnie organizacje muszą ustalić, z jakich tożsamości i uprawnień korzysta aplikacja, do jakich danych ma dostęp, z jakimi systemami zewnętrznymi się komunikuje oraz czy te uprawnienia są rzeczywiście niezbędne. Warto stworzyć warunki sprzyjające rozwojowi innowacji, a jednocześnie wdrożyć proces wspierający innowatorów i spełniający wymogi bezpieczeństwa.

Szczególne znaczenie ma zasada minimalnych uprawnień. Jednym z dostrzeganych przez nas zagrożeń jest przyznawanie aplikacjom szerszego dostępu, niż faktycznie potrzebują. Kontrola bezpieczeństwa nie może też odbywać się tylko raz, przed uruchomieniem aplikacji. Jeśli aplikacje mogą być stale modyfikowane, organizacje muszą mieć również możliwość ich ciągłej ponownej oceny.

Tradycyjne zasady zarządzania oprogramowaniem opracowano z myślą o zespołach inżynierskich, żądaniach scalenia, cyklach wydań i stosunkowo ściśle kontrolowanych potokach wdrożeniowych. Jeśli użytkownicy biznesowi mogą teraz na bieżąco modyfikować i wdrażać aplikacje, jak musi się zmienić cykl życia oprogramowania w przedsiębiorstwie?

Podstawowym wyzwaniem jest zmiana tempa. Tradycyjnie oprogramowanie tworzono i udostępniano w czasie, w ramach stosunkowo ugruntowanych procesów. Dzięki narzędziom do tworzenia oprogramowania opartym na AI ktoś może potencjalnie każdego dnia stworzyć i opublikować coś nowego. Procesy bezpieczeństwa i zarządzania oparte na okresowych kontrolach nie wystarczą w takich warunkach.

Musimy przejść na model bezpieczeństwa działający nieustannie i nadążający za cyklem tworzenia oprogramowania. Oznacza to wykrywanie tego, co powstaje, zrozumienie, jak jest skonfigurowane i z czym połączone, skanowanie zmian oraz przekazywanie twórcom konkretnych wskazówek, które mogą szybko uwzględnić. Rozwiązaniem nie może być powstrzymywanie pracowników przed korzystaniem z tych narzędzi — szansa na wzrost produktywności jest zbyt duża. Wyzwaniem jest stworzenie zabezpieczeń, które pozwolą bezpiecznie rozwijać innowacje.

Porównywała Pani wzrost liczby aplikacji tworzonych za pomocą AI do jeszcze trudniejszej postaci „cieniowego IT”. Co sprawia, że ta nowa generacja nieautoryzowanego oprogramowania może stanowić większe wyzwanie, i jak organizacje mogą wykrywać aplikacje, o których istnieniu zespoły ds. bezpieczeństwa lub IT mogą nawet nie wiedzieć?

Tradycyjne cieniowe IT często polegało na tym, że pracownicy zaczynali korzystać z aplikacji SaaS, której dział IT nie zatwierdził. Nowością jest to, że pracownicy mogą teraz sami tworzyć aplikacje, i to niezwykle szybko. Ktoś może zbudować aplikację, korzystając z konta osobistego, zintegrować ją z systemami zewnętrznymi, a nawet połączyć z danymi przedsiębiorstwa, zanim dział bezpieczeństwa w ogóle dowie się o jej istnieniu.

To właśnie sprawia, że sytuacja jest szczególnie trudna: tworzenie aplikacji stało się tak łatwe, że ich liczba i tempo zmian mogą szybko wyprzedzić tradycyjne mechanizmy zarządzania. Dyrektorzy ds. bezpieczeństwa informacji (CISO) mierzą się z tym samym podstawowym pytaniem: jak zabezpieczyć coś, skoro można nawet nie wiedzieć, co zostało zbudowane ani jak jest skonfigurowane?

Wykrywanie musi zatem stać się podstawowym elementem strategii bezpieczeństwa. Dobrym sposobem na to jest wspieranie innowatorów, zachęcanie ich do eksperymentowania, a zarazem wymaganie rejestrowania projektów. Organizacje muszą mieć wgląd nie tylko w kod, lecz także w aplikacje działające w ich środowisku, powiązane z nimi tożsamości i uprawnienia, dane, do których uzyskują dostęp, oraz systemy zewnętrzne, z którymi się komunikują.

Patrząc kilka lat w przyszłość, czy uważa Pani, że większość pracowników umysłowych stanie się dzięki AI w jakiejś mierze twórcami oprogramowania? Jeśli tak, jak wpłynie to na role zawodowych programistów, zespołów ds. bezpieczeństwa i liderów biznesowych w przedsiębiorstwie?

Zmierzamy ku światu, w którym pojęcie „twórcy oprogramowania” będzie znacznie szersze. AI umożliwia osobom, które rozumieją problemy biznesowe, ale nie są tradycyjnie rozumianymi programistami, niezwykle szybkie przekształcanie pomysłów w działające aplikacje. Mam w tym zakresie osobiste doświadczenie.

Nie sądzę, by przez to zawodowi programiści lub zespoły ds. bezpieczeństwa stali się mniej ważni. Zmieni się natomiast to, gdzie ich wiedza będzie potrzebna. Użytkownicy biznesowi będą coraz częściej samodzielnie tworzyć rozwiązania, programiści będą mogli skupić się na bardziej złożonych problemach technicznych, a zespoły ds. bezpieczeństwa będą musiały zapewnić widoczność i zabezpieczenia, które pozwolą nowemu pokoleniu twórców bezpiecznie rozwijać innowacje. Inaczej trzeba też spojrzeć na wsparcie i utrzymanie aplikacji. „Twórcy” nie zawsze są najlepszymi „opiekunami”. Wnoszą wizję i rozumieją potrzeby biznesowe, ale długoterminowe wsparcie aplikacji najlepiej powierzyć działom IT i zespołom odpowiedzialnym za aplikacje. Dla liderów biznesowych oznacza to ogromne możliwości, ale również nowe obowiązki. Jeśli zespoły mogą tworzyć oprogramowanie, trzeba uwzględnić związane z nim ryzyko w działalności firmy — nie traktować go wyłącznie jako kwestii należącej do działu inżynieryjnego.

Dziękuję za interesującą rozmowę. Czytelnicy, którzy chcą dowiedzieć się więcej o bezpieczeństwie chmury, aplikacjach tworzonych za pomocą AI i zabezpieczaniu środowisk przedsiębiorstw, powinni odwiedzić Orca Security.