Kevin Paige, CISO da ConductorOne – Série de Entrevistas

Kevin Paige, CISO da ConductorOne, é um executivo de segurança cibernética veterano com mais de três décadas de experiência em governo, tecnologia de empresa e startups de alto crescimento. Com sede na Área da Baía de São Francisco, ele lidera a estratégia de segurança de identidade da empresa, enquanto aconselha organizações sobre segurança de força de trabalho moderna e governança. Paige anteriormente atuou como CISO da Uptycs, Flexport e MuleSoft, onde ajudou a construir e dimensionar programas de segurança durante períodos de crescimento rápido. No início de sua carreira, ele ocupou funções de liderança e infraestrutura de segurança na Salesforce (CRM ) e xMatters, e serviu tanto no Exército quanto na Força Aérea dos EUA. Além de suas funções operacionais, ele é ativo no ecossistema de startups de segurança cibernética como consultor e investidor.

ConductorOne desenvolve uma plataforma de governança de identidade e gerenciamento de acesso projetada para ambientes de nuvem e híbridos modernos. Sua tecnologia fornece visibilidade unificada sobre identidades e permissões em aplicativos, infraestrutura e sistemas locais, permitindo que as organizações automatizem revisões de acesso, imponham acesso de privilégio mínimo e reduzam riscos de segurança baseados em identidade. Ao combinar análise de identidade com fluxos de trabalho automatizados, a plataforma ajuda as equipes de segurança a gerenciar o acesso em escala, melhorando a conformidade e a eficiência operacional.

Você teve uma longa carreira que abrange operações de cibersegurança na Força Aérea dos EUA, funções de liderança de segurança de empresa em empresas como MuleSoft, Flexport e Salesforce, e agora atua como CISO da ConductorOne. Como sua perspectiva sobre segurança de identidade evoluiu ao longo desses papéis, e por que você acredita que a identidade se tornou um dos principais campos de batalha na segurança cibernética moderna?

Na Força Aérea, a identidade era muito mais simples — nível de clearance, necessidade de saber, tudo atrás de firewalls, pronto. Na MuleSoft, tornou-se uma questão de escala — provisionar milhares de usuários em centenas de aplicativos SaaS sem criar lacunas. Na Flexport, o perímetro desapareceu completamente e a identidade foi o único controle que ainda funcionou, independentemente de onde alguém estivesse.

Agora, na ConductorOne, a identidade está passando por sua transformação mais fundamental. Não é mais apenas sobre pessoas — é sobre máquinas, APIs, contas de serviço e agentes de AI que atuam de forma autônoma. As ferramentas que a maioria das organizações usa foram projetadas para um mundo que não existe mais.

A identidade é o campo de batalha crítico porque toca tudo. Você pode ter a melhor segurança de endpoint e segmentação de rede do mundo — se algo tiver acesso incorreto, nada disso importa.

Sua próxima Relatório do Futuro da Identidade descobriu que 95% das empresas dizem que agentes de AI estão realizando tarefas de TI ou segurança autônomas. Quais são os tipos de tarefas que esses agentes estão realizando atualmente, e como rápido você espera que seu nível de autonomia aumente?

O que me surpreendeu não foi a adoção — é a velocidade. No ano passado, 96% planejavam implantar agentes. Este ano, 95% já os implantaram. Isso não é uma curva gradual. É uma cruzando de um limiar.

Os agentes estão lidando com fluxos de trabalho de helpdesk, triagem de alertas, revisões de acesso, provisionamento e, em alguns casos, remediação automatizada. A parte que a maioria das pessoas perde: 64% das organizações já permitem que os agentes atuem de forma autônoma com apenas revisão pós-ação. O agente age primeiro, um humano verifica depois — se verificar.

Os agentes que realizam tarefas de helpdesk hoje estarão tomando decisões de segurança dentro de 12 meses. A pergunta não é se a autonomia aumenta — é se a governança acompanha. Atualmente, não está.

O relatório destaca o aumento de identidades não humanas — incluindo interfaces de programação de aplicativos (APIs), bots e agentes de AI. Por que essas identidades de máquina estão crescendo tão rapidamente, e por que muitas organizações ainda estão lutando para gerenciá-las de forma eficaz?

Três forças convergentes. A adoção de nuvem e SaaS significa que cada integração precisa de sua própria identidade. O DevOps gera identidades de máquina em escala — cada pipeline, contêiner e microserviço. E os agentes de AI estão adicionando uma categoria inteiramente nova que não apenas detém acesso, mas o usa para tomar decisões.

As organizações lutam porque as ferramentas não foram projetadas para isso. A gestão de identidade tradicional assume um usuário que faz login e faz logout. As identidades não humanas operam continuamente, não respondem à autenticação multifator, frequentemente têm credenciais persistentes e acumulam privilégios porque ninguém revisa seu acesso como revisa o de um humano.

Existe também um problema de propriedade. Quando um desenvolvedor cria uma conta de serviço e muda de equipe, quem é o dono? Muitas vezes, ninguém. Pesquisas da indústria mostram que 97% das identidades não humanas têm privilégios excessivos. Isso não é um problema de ferramentas — é uma lacuna de governança.

Quase metade das empresas diz que identidades não humanas agora superam os usuários humanos, mas apenas uma pequena porcentagem de empresas tem visibilidade completa sobre o que essas identidades podem acessar. Quais riscos surgem quando as organizações perdem visibilidade sobre essas identidades automatizadas?

Três camadas. Primeiro, credenciais comprometidas. As identidades não humanas frequentemente usam chaves de API de longa duração ou tokens estáticos que não rotacionam. Um atacante com um desses tem acesso persistente que não dispara os mesmos alarmes que uma conta humana comprometida.

Segundo, acumulação de privilégios. Integrações que começaram com acesso de leitura silenciosamente ganham acesso de gravação. Ninguém remove permissões antigas porque ninguém está revisando as identidades de máquina.

Terceiro — e isso está surgindo rapidamente — os agentes de AI ampliam ambos os riscos. Uma conta de serviço comprometida com acesso de leitura ao banco de dados é ruim. Um agente de AI com o mesmo acesso que pode resumir, compartilhar e agir sobre o que lê de forma autônoma é exponencialmente pior.

Nossa pesquisa encontrou que a visibilidade de identidades não humanas está na verdade diminuindo — de 30% para 22% ano a ano. As organizações estão descobrindo o problema mais rápido do que podem resolvê-lo.

Muitas empresas veem a IA como um acelerador de produtividade, mas sua pesquisa sugere que também pode expandir silenciosamente a superfície de ataque. Como a adoção de ferramentas e agentes de IA cria novos riscos de segurança relacionados à identidade?

O risco mais imediato é a permissão excessiva acidental. Equipes implantam um agente de IA para um fluxo de trabalho, mas lhe dão acesso mais amplo do que o necessário porque é mais difícil definir permissões para máquinas do que para pessoas. O agente não vê apenas os tickets de suporte — vê todo o banco de dados de clientes.

Em seguida, há a injeção de prompt. Agentes que processam entradas externas podem ser manipulados para realizar ações não intencionais. Se o agente tiver acesso amplo, um prompt criado pode transformar uma ferramenta de ajuda útil em uma ferramenta de exfiltração de dados.

Terceiro é a IA sombra. A Gartner relata que mais de 50% do uso de IA nas empresas é não sancionado. Cada conexão não autorizada cria novas identidades e superfícies de ataque que a equipe de segurança não pode ver.

Eu vi isso pessoalmente — alguém deu a um agente acesso a sistemas internos, e dentro de dias, alguém o manipulou para revelar o salário e o cronograma de férias do CEO. O agente funcionou como projetado. A falha foi o modelo de acesso.

A gestão de identidade e acesso tradicionalmente se concentrou em funcionários que fazem login em sistemas. Como as organizações devem pensar sobre a governança, aprovações e supervisão quando os agentes de IA são capazes de tomar ações operacionais?

Pense delegação, não automação. Quando você delega a uma pessoa, define o escopo, mantém essa pessoa responsável e revisa seu trabalho. Mesmo quadro se aplica a agentes.

Isso significa autonomia em camadas. Tarefas de baixo risco, repetitivas — redefinição de senha, roteamento de ticket — são executadas de forma autônoma com registro. Ações de risco médio — alterações de configuração de segurança, acesso elevado — exigem aprovação humana ou notificação em tempo real. Ações de alto risco — dados sensíveis, acesso privilegiado, alterações irreversíveis — exigem autorização explícita antes que o agente atue.

Cada agente também precisa de um proprietário humano responsável pelo que ele faz. Sem essa cadeia, os agentes operam em um vácuo de governança onde ninguém responde pelas consequências.

Nossa pesquisa encontrou que apenas 19% têm aplicação contínua baseada em política para agentes. Isso significa que 81% estão confiando em permissões estáticas e esperança. Isso não é governança.

Olhando para o futuro, quais são os passos mais importantes que os líderes de segurança devem dar nos próximos 12-24 meses para preparar seus quadros de identidade e acesso para um mundo onde os agentes de IA funcionam como identidades digitais completas dentro da empresa?

Cinco prioridades.

Primeiro, obtenha visibilidade. A maioria das organizações não sabe quantas identidades não humanas tem. Você não pode governar o que não pode ver.

Segundo, trate cada agente de IA como um usuário. Identidade dedicada, permissões limitadas, rotação de credenciais, revisões de acesso. Se você não daria a um humano acesso de administração permanente a tudo, não dê a um agente.

Terceiro, mude de governança periódica para contínua. Revisões trimestrais não podem acompanhar agentes que mudam de comportamento em segundos.

Quarto, construa seu quadro de política agora — antes de ter centenas de agentes. Defina limites de autonomia, requisitos de aprovação e propriedade enquanto ainda é gerenciável.

Quinto, unifique a governança em identidades humanas e não humanas. Sistemas separados criam lacunas.

Os vencedores não serão as organizações que implantaram a maioria da IA. Serão aqueles que construíram a governança de identidade capaz de operar à velocidade da máquina.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar ConductorOne.