Howard Ting, CEO da Opal Security – Série de Entrevistas

Howard Ting, CEO da Opal Security, é um executivo experiente em segurança cibernética e tecnologia, atualmente liderando a Opal Security desde novembro de 2025. Antes disso, ele atuou como Executivo em Residência na Greylock, passando mais de cinco anos na Cyberhaven como CEO e diretor do conselho, guiando a empresa em sua missão de proteger dados e permitir inovação segura. Seu histórico inclui posições de liderança em marketing estratégico no Redis Labs e Zscaler, bem como papéis de marketing e produto sênior na Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security e experiência inicial em M&A no Banc of America Securities. Essa combinação de liderança operacional, expertise em go-to-market e experiência em segurança cibernética o posiciona de forma única no comando de uma plataforma de segurança em rápida expansão.

Opal Security é uma empresa de gerenciamento de acesso baseado em identidade que fornece às empresas uma plataforma centralizada para governar e proteger quem tem acesso a quê em sistemas em nuvem, SaaS e internos. A plataforma oferece visibilidade unificada sobre identidade e caminhos de acesso, suporta fluxos de trabalho de autoatendimento e acesso just-in-time e automatiza revisões de acesso para aplicar políticas de privilégio mínimo em escala, ajudando as organizações a reduzir riscos e melhorar a conformidade em ambientes dinâmicos que incluem usuários humanos, contas de serviço e agentes de IA.

Você recentemente assumiu o papel de CEO da Opal Security após liderar a Cyberhaven por um período de crescimento significativo e ocupar cargos sênior em empresas como Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis e Microsoft. O que o atraiu para a Opal neste momento de sua carreira, e como sua experiência anterior influencia sua visão sobre acesso, identidade e segurança nativa em IA?

O gerenciamento de acesso está se tornando cada vez mais difícil em todos os lugares. Mais identidades, mais máquinas, mais automação — e o acesso significativo está cada vez mais originando dentro de fluxos de trabalho de engenharia e nuvem, e não mais em TI tradicional. As ferramentas de IAM e IGA padrão não foram projetadas para nada disso, e as ameaças baseadas em identidade não estão esperando por elas para se atualizarem.

Foi isso que me atraiu para a Opal. A escala desse problema é massiva, e a Opal já está alinhada com a direção que o mercado está tomando. Eu vi versões desse padrão antes. Na RSA, Palo Alto Networks e Cyberhaven, eu observei as revoluções de autenticação multifator, firewalls de próxima geração e linhagem de dados se desenrolarem em tempo real, e as dinâmicas aqui são surpreendentemente semelhantes: um problema de definição de categoria que está acelerando mais rápido do que a maioria dos fornecedores pode responder, com uma janela estreita para a equipe certa possuir.

A Opal tem essa equipe. A fundação de engenharia e produto é sólida, e a carteira de clientes, construída por meio de trabalho direto e focado, fala por si mesma. Cada conversa de cliente que eu tive reforçou o mesmo sinal: esse problema está acelerando, e a Opal é a que está resolvendo.

O que eu aprendi com a construção e escalonamento de equipes em empresas é que a execução se torna radicalmente mais simples quando produto, engenharia e go-to-market compartilham o mesmo nível de foco no cliente. Quando todos veem o mesmo problema e a mesma oportunidade, você se move rapidamente sem perder precisão. A Opal já tem essa fundação. Meu trabalho é construir sobre ela — e garantir que nossos clientes sintam a força total dessa equipe atrás deles à medida que escalamos.

Tendo passado anos trabalhando em identidade, infraestrutura em nuvem e segurança empresarial, onde você acha que os modelos tradicionais de controle de acesso estão quebrando à medida que as organizações adotam IA mais profundamente?

A resposta honesta é que a maioria dos modelos tradicionais de controle de acesso foi projetada para resolver a autenticação — e para humanos, esse problema está basicamente resolvido. IDPs e métodos de autenticação modernos lidam com “quem é você?” de forma razoável. Para identidades não humanas, chaves de API e gerenciamento de segredos te levam parte do caminho. Mas a autorização — “o que você deve ser permitido fazer, e por quanto tempo?” — permanece profundamente insolúvel para humanos e máquinas, e é onde o risco real vive.

O que está agravando isso é que as equipes de engenharia agora operam por meio de automação, infraestrutura como código e ferramentas de IA que geram novas permissões como parte do desenvolvimento diário. O acesso não muda lentamente por meio de fluxos de trabalho de TI — é criado, modificado e expandido programaticamente, muitas vezes sem que ninguém revise o que foi concedido recentemente. O resultado é uma crescente dispersão de contas superprivilegiadas, ferramentas de privilégio fragmentadas e governança que é cara, reativa e basicamente cega para o que está realmente acontecendo.

E serei direto sobre algo mais: há uma enorme quantidade de “lavagem de IA” nesse mercado agora. Fornecedores estão se apressando em anexar “IA” a arquiteturas legadas, o que está obscurecendo uma realidade crítica para os compradores — um quadro de segurança e governança validado para agentes de IA ainda não existe. O hype está superando os controles reais, e essa lacuna é onde a exposição real se constrói.

É isso que torna a abordagem da Opal diferente. Em vez de acoplar governança em fluxos de trabalho após o fato, a Opal modela o acesso diretamente a partir dos sistemas que os engenheiros já usam, aplica política em tempo real e fornece às equipes de segurança uma maneira de orientar decisões de autorização sem criar fricção. Quando a governança se encaixa naturalmente no modo como a engenharia realmente funciona, ela deixa de ser um bloqueador e se torna infraestrutura confiável.

A Opal se concentra em gerenciar quem e o que pode acessar sistemas sensíveis em ambientes modernos e nativos em nuvem. Quais problemas de segurança são mais subestimados pelas empresas que constroem com agentes de IA e fluxos de trabalho automatizados?

Os problemas mais subestimados não são realmente novos. São os que vêm se acumulando silenciosamente por anos em torno de identidades humanas. Higiene básica de governança, como fluxos de trabalho de entrada/saída de funcionários, acesso just-in-time e revisões de acesso de usuário, foi negligenciada ou colada com fita adesiva em muitas organizações por um longo tempo. Obrigações de conformidade, como SOX, não desapareceram; apenas se tornaram mais difíceis de atender à medida que os ambientes crescem em complexidade. Nada disso é glamoroso, mas é exatamente a base que quebra quando você camada agentes de IA em cima.

Organizações estão integrando IA para otimizar fluxos de trabalho e eliminar tarefas mundanas, mas ao fazer isso, elas estão introduzindo identidades não humanas que multiplicam as relações de acesso de maneiras que as ferramentas existentes nunca foram projetadas para lidar. O resultado é uma teia confusa onde o acesso humano já era mal governado e o acesso de máquina agora está se expandindo com ainda menos visibilidade. Decisões de acesso precisam ser explicáveis, limitadas no tempo, vinculadas a uso real e monitoradas continuamente, mas a maioria das equipes ainda confia em sistemas estáticos, de um tamanho único, que não podem entregar nada disso. Enquanto isso, agentes de codificação estão gerando e implantando código com permissões incorporadas, interagindo com infraestrutura diretamente e operando com acesso que ninguém está revisando por meio de uma lente de segurança tradicional — uma exposição de segurança e conformidade que a maioria das organizações ainda não começou a dimensionar.

Empresas que constroem com agentes de IA tendem a se concentrar na novidade da tecnologia enquanto subestimam como rapidamente a dispersão de acesso e permissões invisíveis se tornam uma responsabilidade séria — especialmente quando a base de identidade humana subjacente já era frágil.

Você viu a segurança evoluir por várias gerações de infraestrutura. O que muda fundamentalmente quando identidades de máquina e agentes de IA começam a superar os usuários humanos?

Quando as identidades de máquina superam os usuários humanos, torna-se cada vez mais difícil monitorar quem tem acesso a quê. O IAM tradicional não foi projetado para essa realidade, e a maioria das plataformas de RH e IAM fornece apenas visibilidade parcial, especialmente à medida que a supervisão de identidade se expande além de uma única equipe. Para monitorar com sucesso esses tipos de identidades, precisamos dar aos agentes de IA propriedade clara, permissões com escopo e auditoria completa desde o início. A Opal Security aborda isso modelando humanos, serviços e agentes dentro de um único quadro, em vez de tratá-los como entidades separadas.

Auditores agora esperam revisar o comportamento humano e agente lado a lado ao analisar revisões de acesso. Agentes normalmente herdam os conjuntos de permissões dos usuários que os implantam, mas certos casos de uso exigem agentes que se identifiquem como contas de serviço com conjuntos de permissões personalizados (normalmente reduzidos).

A IA está se tornando cada vez mais uma superfície de ataque e uma ferramenta defensiva. Na sua perspectiva, onde a IA melhora significativamente os resultados de segurança hoje, e onde ela ainda introduz novos riscos?

A IA é uma ferramenta imensamente poderosa que é a base de nosso produto. A Opal Security usa IA para monitorar, detectar e prevenir acesso irregular em organizações. A IA também muda a segurança de identidade porque introduz atores que não apenas autenticam e executam tarefas — eles raciocinam, adaptam e agem de forma autônoma. Os sistemas de identidade tradicionais foram projetados para pessoas e contas de serviço estáticas, onde o acesso mudava lentamente e a intenção era relativamente previsível.

Mas os agentes de IA quebram esse modelo. O risco é a perda de visibilidade e responsabilidade. Os agentes podem surgir e desaparecer dinamicamente, encadear permissões em sistemas, e agir em nome de usuários, outros agentes ou eles mesmos. Nenhum recurso seguro pode ser “violado”, mas ações sensíveis ainda podem ocorrer porque tudo foi tecnicamente autorizado. Essa é a nova superfície de ataque. A maneira de gerenciar isso é por meio de uma plataforma unificada e inteligente que entende e protege todos os tipos de entidades por meio de contexto, comportamento e adaptação contínua.

Essa visão unificada forma a base para a segurança — você não pode proteger o que não pode ver ou entender. Na Opal, acreditamos em entender todas as relações. Não basta saber quem está no sistema. Você precisa saber quem está conectado ao quê e por quê.

À medida que os agentes de codificação de IA e os sistemas automatizados ganham permissões mais amplas dentro das organizações, como as equipes de segurança devem repensar o acesso de privilégio mínimo na prática, e não apenas na teoria?

O acesso de identidade moderno precisa tratar identidades humanas e de máquina igualmente, para que as empresas possam ter a visibilidade, automação e confiança necessárias para escalar com segurança na era da IA. Na prática, isso significa conceder permissões apenas quando necessário e revisar e ajustar continuamente o acesso à medida que as tarefas ou papéis mudam. O monitoramento automatizado e os controles baseados em risco se tornam essenciais, garantindo que as ferramentas de IA possam operar com eficiência sem criar exposição de segurança desnecessária.

É útil habilitar o JIT por padrão para os agentes, mas torná-lo sem fricção: aprovar automaticamente recursos específicos quando apropriado, ou se o usuário opera em um ambiente onde todos os dados são sensíveis, restringir o uso a VMs sandboxed.

Embora quaisquer novas restrições no uso de agentes possam ter o potencial de irritar os usuários finais, retardando-os, é importante atender aos usuários onde eles estão. Com a Opal, isso significa que os pedidos de acesso podem ser enviados e aprovados no Slack, e as estratégias de IaaC, incluindo o Terraform, podem ser usadas para automatizar a concessão, revogação e acesso limitado no tempo.

Com base em sua experiência em escalonar empresas de segurança, quais sinais indicam que os controles de acesso de uma organização não estão mais alinhados com a forma como o negócio realmente opera?

As organizações podem dizer que seus controles de acesso estão desalinhados quando o acesso começa a ficar atrás da realidade. Isso pode se manifestar como permissões excessivas ou desatualizadas, gargalos manuais de sistemas legados ou a adoção de sistemas de IA sem políticas atualizadas para rastrear identidades não humanas. Outro sinal revelador é o aumento de incidentes de segurança ou quase incidentes, onde contas superprivilegiadas ou identidades mal governadas são os culpados.

Implantações complexas do Sailpoint, dependendo de uma equipe de consultores, bem como o rastreamento de acesso em planilhas, não era eficiente na era anterior aos agentes, e, além disso, essa abordagem legada simplesmente colapsará sob a velocidade e complexidade dos agentes. A Opal entrega uma plataforma única que serve à segurança, desbloqueia a TI e fornece aos auditores o que eles precisam. Descobrimos que o RBAC é frágil e raramente um estado duradouro, então as equipes bem-sucedidas começam com o JIT e, em seguida, avançam para o acesso baseado em persona (com flexibilidade e rastreamento ao longo do tempo) para que os configs do Terraform possam ser versionados, implantados ou revertidos se necessário.

Do ponto de vista de liderança, como você equilibra a velocidade de inovação com a disciplina necessária para construir confiança em produtos de segurança?

Aprendi que as grandes empresas permanecem disciplinadas sobre os fundamentos, mesmo quando estão crescendo rapidamente. Esses fundamentos incluem prioridades claras, comunicação transparente e disposição para tomar decisões difíceis. A inovação ainda importa, mas ela precisa ser fundamentada em rigor: padrões fortes, modelagem de ameaças cuidadosa e responsabilidade por resultados. Tomar essas decisões deliberadamente é o que permite mover-se rapidamente sem comprometer a confiança, e, com o tempo, essa disciplina se torna uma vantagem competitiva.

O que você acha que os líderes de segurança mais subestimam ao se preparar para um futuro dominado por sistemas autônomos em vez de acesso impulsionado por humanos?

O que os líderes de segurança mais frequentemente subestimam é a complexidade de gerenciar diferentes tipos de identidades. As empresas estão tão ansiosas para se manter à frente e atualizadas com as últimas tecnologias que as medidas de segurança podem frequentemente ser deixadas de lado. Os fluxos de trabalho impulsionados por IA são frequentemente introduzidos sem propriedade clara, deixando as organizações com pontos cegos onde identidades não humanas se acumulam silenciosamente, operam fora de controles tradicionais e criam novas oportunidades para erros caros ou ameaças. Preparar-se para esse futuro requer tratar a identidade como uma camada dinâmica e continuamente governada.

À medida que os negócios crescem, as equipes de segurança devem possuir políticas de uso de agentes e determinar como, se e onde o acesso de agentes é reduzido do humano que chama o agente. Quaisquer processos que anteriormente camadas de toil sobre as equipes humanas simplesmente ruirão sob a escala e a natureza efêmera dos agentes: a automação é a única maneira de gerenciar o volume de solicitações.

Olhando para o futuro, como a “boa higiene de segurança” parece em um ambiente onde os sistemas de IA estão constantemente criando, modificando e solicitando acesso por conta própria?

A boa higiene de segurança é sobre usar a IA para escalar a segurança enquanto mantém monitoramento e disciplina suficientes para garantir que nada escape. A IA não está indo a lugar algum, então, seja uma empresa que use um provedor como a Opal ou gerencie internamente, as empresas devem aceitar que o acesso não é mais estático. Quando os sistemas de IA estão constantemente criando, modificando e solicitando acesso, a segurança precisa mudar de aprovações de uma única vez para supervisão contínua. Isso significa tratar o acesso como um ciclo de vida contínuo versus uma caixa de seleção de uma única vez.

As empresas também precisarão usar ativamente a IA como parte de sua defesa. A automação pode ajudar as equipes a acompanhar o volume e a velocidade das mudanças de acesso, mas ela precisa ser combinada com guardrails claros, visibilidade em cadeias de delegação e responsabilidade humana quando algo dá errado. É importante fornecer sinais de explicabilidade: valores de Shapley e coeficientes de recurso para modelos de ML tradicionais, e contexto adicional ou justificativas detalhadas de LLMs. Sem essas nuances, é uma batalha difícil manter qualquer cadeia de confiança para o acesso a recursos de negócios sensíveis.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Opal Security.