Shannon McWilliams, responsável pela distribuição global na Orca Security – Série de entrevistas

Shannon McWilliams é responsável pela distribuição global na Orca Security, onde seu trabalho abrange o ecossistema de parceiros da empresa e as ferramentas que lhe dão suporte. Tendo fundado anteriormente uma empresa de desenvolvimento de software, ele traz experiência em traduzir necessidades de negócios em aplicativos. Mais recentemente, usou ferramentas de desenvolvimento de IA para criar uma versão inicial da Partner Success Platform da Orca, trabalhando com a equipe de segurança para levar o projeto de um protótipo feito em um fim de semana a um sistema pronto para produção.

A Orca Security oferece uma plataforma de segurança em nuvem que ajuda as organizações a descobrir ativos, identificar e priorizar riscos e proteger ambientes em nuvem. Seus recursos abrangem áreas como vulnerabilidades, configurações incorretas, identidades e permissões, dados confidenciais e segurança de IA. Nesta entrevista, McWilliams discute como a IA está permitindo que usuários de negócios criem software, por que aplicativos funcionais ainda precisam passar por uma análise de segurança independente e como a descoberta contínua, o princípio do menor privilégio e a supervisão humana podem ajudar as empresas a gerenciar esse novo modelo de desenvolvimento.

Você entrou na Orca Security como responsável pela distribuição global e, em questão de meses, acabou criando por conta própria uma nova plataforma para parceiros usando IA. Que problema você estava tentando resolver inicialmente e quando o projeto deixou de ser um experimento e se tornou algo que a Orca poderia efetivamente colocar em produção?

Quando entrei na Orca, uma das coisas que me pediram para analisar foi a experiência geral dos parceiros. Usávamos uma plataforma de terceiros, mas vi uma oportunidade de criar algo mais moderno e simplificado para eles. Eu tinha alguma experiência no desenvolvimento de aplicativos, mas não atuava como desenvolvedor. No início daquele verão, eu havia trabalhado em aplicativos para consumidores usando a plataforma de geração de aplicativos de um fornecedor terceirizado; por isso, decidi experimentar o que conseguiria criar por conta própria com IA.

Ao longo de um fim de semana, consegui criar uma primeira versão básica do que se tornou nossa Partner Success Platform, com recursos que iam além do que eu encontrava nos portais tradicionais para parceiros, incluindo funcionalidades baseadas em IA, como a identificação de clientes ideais e a orientação para fechar negócios. Acrescentamos muitos outros aplicativos à plataforma, como acompanhamento de certificações, questionários gerados por IA e a gamificação de todo o processo de certificação para nossos parceiros; depois, começamos a sincronizar dados com nossa plataforma Salesforce. O ponto de virada veio quando nosso CEO viu a versão inicial e reconheceu seu potencial. Foi também quando deixamos a fase de experimentação e começamos a perguntar o que seria necessário, de fato, para tornar algo assim seguro e pronto para produção. Nossa equipe de segurança se envolveu, e comecei a trabalhar em estreita colaboração com Dudi Peretz para proteger o ambiente, antes de esse trabalho ser verificado de forma independente por uma empresa externa.

Você fundou anteriormente uma empresa de desenvolvimento de software, então tem experiência com a forma tradicional de criar aplicativos. Como foi desenvolver software por meio de linguagem natural com IA, em comparação com gerenciar desenvolvedores, e em que aspectos sua experiência no domínio continuou sendo mais importante?

A maior diferença foi a velocidade. No desenvolvimento tradicional de software, normalmente há várias etapas entre ter uma ideia, traduzi-la em requisitos técnicos, pedir aos desenvolvedores que a implementem e, depois, fazer ajustes com base no resultado. Com a IA, eu podia descrever o que queria, ver a ideia ganhar forma e continuar aprimorando-a quase imediatamente. O processo de iteração leva minutos, em vez de dias de reuniões com desenvolvedores para definir a interface desejada e todo o mapeamento do banco de dados necessário para criar a funcionalidade. Com o desenvolvimento por IA, isso exige uma instrução de 2 frases, não 2 dias de reuniões.

Mas isso não elimina a necessidade de experiência. Muda onde essa experiência é importante. A IA pode reduzir drasticamente a barreira técnica para criar um aplicativo, mas a pessoa que a orienta ainda precisa entender o problema que está tentando resolver, como seria uma experiência útil e o que o aplicativo precisa, em última análise, realizar para a empresa. O que mais me surpreendeu foi a rapidez com que se pode passar de uma ideia a algo funcional. Tarefas como analisar dados, que antes poderiam levar semanas, agora podem, potencialmente, ser concluídas em um dia.

A Orca descreveu a primeira versão funcional da plataforma para parceiros como algo que você criou em um único fim de semana. O que a IA conseguiu acelerar drasticamente e quais aspectos da criação de um aplicativo pronto para produção continuaram sendo mais difíceis do que pareciam a princípio?

A IA reduziu drasticamente o intervalo entre uma ideia e um aplicativo funcional. Consegui criar em um fim de semana funcionalidades que, tradicionalmente, exigiriam um processo de desenvolvimento muito mais longo, e pude continuar acrescentando e alterando recursos com extrema rapidez. Essa velocidade é ao mesmo tempo incrível e um pouco assustadora.

O que a IA não eliminou foi tudo o que é necessário para tornar um aplicativo seguro para uso em produção. Quando decidimos que isso poderia se tornar algo concreto, nossa equipe de segurança precisou avaliar o ambiente, resolver problemas de segurança e garantir que o aplicativo estivesse protegido adequadamente. Por fim, contratamos uma empresa externa para acrescentar outra camada de validação. Portanto, a IA tornou o desenvolvimento extremamente rápido, mas “funciona” e “está pronto para operar com segurança em uma empresa” ainda são dois patamares muito diferentes.

As ferramentas de segurança da própria plataforma de desenvolvimento de IA indicaram que o aplicativo era seguro, mas a análise posterior da Orca revelou problemas relacionados a permissões e acesso a dados. O que essa experiência ensinou a você sobre o grau de confiança que os usuários corporativos devem depositar nas garantias de segurança oferecidas pelas plataformas de desenvolvimento de IA?

Essa provavelmente foi uma das maiores lições que tirei dessa experiência. A plataforma tinha recursos próprios de verificação de segurança, que me ofereceram uma base útil durante o desenvolvimento. Mas passar pelo processo de análise com nossa equipe de segurança me mostrou o valor de acrescentar outra camada de escrutínio, especialmente em áreas como permissões e acesso a dados. Isso reforçou que as ferramentas de segurança integradas são uma parte importante do processo de desenvolvimento, mas funcionam melhor quando complementadas pelo contexto mais amplo e pela experiência que uma equipe de segurança dedicada pode oferecer.

Isso é especialmente importante porque muitas das pessoas que agora podem criar aplicativos com IA não são especialistas em segurança. Talvez não saibam que perguntas fazer, quais permissões são amplas demais ou quais configurações podem expor dados. O fato de a plataforma de desenvolvimento informar que um aplicativo é seguro não pode ser o fim do processo. Antes de ser publicado ou conectado a sistemas empresariais sensíveis, o aplicativo ainda precisa passar por uma análise de segurança abrangente, que vá além de verificar se ele simplesmente passa pelas próprias verificações da plataforma.

Quando a equipe de segurança identificava vulnerabilidades, muitas vezes você conseguia inserir essas descobertas no ambiente de desenvolvimento de IA e gerar correções em poucos minutos. A IA pode transformar fundamentalmente a correção de problemas de segurança, substituindo um longo ciclo de desenvolvimento por uma conversa contínua entre quem cria os aplicativos e as equipes de segurança?

Essa é uma das possibilidades mais empolgantes. Quando Dudi e a equipe de segurança identificavam problemas, eu podia aproveitar esse feedback, inseri-lo diretamente no ambiente de desenvolvimento de IA e gerar correções muito rapidamente. Isso abre a possibilidade de um ciclo de feedback muito mais ágil entre a pessoa que cria um aplicativo e a equipe responsável por protegê-lo.

Historicamente, o desenvolvimento e o lançamento de um software podiam levar muito mais tempo. Agora, alguém pode fazer e publicar alterações todos os dias. A segurança precisa atuar nesse mesmo ritmo. A oportunidade está em incorporar avaliações contínuas de segurança ao processo de desenvolvimento, para que seja possível identificar um problema, comunicá-lo a quem está desenvolvendo o aplicativo, corrigi-lo e reavaliar o aplicativo muito mais rapidamente.

Mas corrigir problemas rapidamente não significa que podemos reduzir o rigor da validação. A IA pode gerar uma correção depressa; ainda assim, as equipes de segurança precisam ter como verificar se ela realmente resolveu o risco e não introduziu outro.

A Plataforma de Sucesso de Parceiros resultante incorpora assistentes de IA, inteligência de pipeline, geração de campanhas e orientação sobre negócios. Como vocês determinaram quais atividades a IA deveria executar diretamente e quais decisões deveriam continuar a cargo do parceiro ou vendedor?

Para mim, o objetivo não era tirar as pessoas do processo de vendas ou de relacionamento com parceiros. Era usar a IA para ajudar as pessoas a avançar mais rapidamente e aproveitar melhor as informações que já têm à disposição. A orientação sobre negócios é um bom exemplo: a IA pode ajudar a identificar maneiras de fazer avançar uma oportunidade que está parada no pipeline e oferecer mais contexto ou recomendar uma próxima etapa.

A distinção importante, a meu ver, está na capacidade da IA de buscar rapidamente informações em sistemas distintos, analisar sua relevância e apresentá-las de uma forma que permita ao usuário agir. A plataforma deve tornar o parceiro ou vendedor mais eficaz, enquanto a pessoa continua responsável pelas decisões que exigem discernimento comercial. O objetivo é reduzir o tempo entre a identificação de uma oportunidade e seu fechamento como ganha, por meio do uso da plataforma.

A IA está permitindo que funcionários das áreas de vendas, marketing, finanças e outros departamentos criem seus próprios aplicativos sem recorrer à engenharia. Quais controles mínimos de segurança e governança devem estar em vigor antes de permitir que esses aplicativos se conectem a dados de clientes, sistemas internos ou infraestrutura de nuvem?

O primeiro requisito é ter visibilidade. Embora as políticas da organização devam incentivar esse tipo de exploração e inovação, não é possível proteger um aplicativo cuja existência se desconhece. Por isso, incentivar a inovação torna mais provável que os funcionários apresentem seus projetos, em vez de mantê-los escondidos. A partir daí, as organizações precisam entender quais identidades e permissões o aplicativo tem, a quais dados pode acessar, com quais sistemas de terceiros se comunica e se esses privilégios são realmente necessários. É preciso abrir caminho para que a inovação floresça, mas também ter um processo que apoie quem inova e atenda aos requisitos de segurança.

O princípio do menor privilégio se torna especialmente importante. Um dos riscos que observamos é que os aplicativos recebam mais acesso do que realmente precisam. Além disso, a segurança não pode se resumir a uma verificação única antes do lançamento. Quando os aplicativos podem mudar continuamente, as organizações também precisam ter a capacidade de reavaliá-los de forma contínua.

A governança tradicional de software foi concebida em torno de equipes de engenharia, solicitações de incorporação de código, ciclos de lançamento e pipelines de implantação relativamente controlados. Se agora os usuários de negócios podem modificar e implantar aplicações continuamente, como o ciclo de vida do desenvolvimento de software empresarial precisa mudar?

O desafio fundamental é que o ritmo mudou. Tradicionalmente, o software era desenvolvido e lançado ao longo do tempo, por meio de processos relativamente consolidados. Com as ferramentas de desenvolvimento de IA, alguém pode criar e publicar algo novo potencialmente todos os dias. Nesse cenário, os processos de segurança e governança baseados em verificações periódicas não serão suficientes.

Precisamos avançar para uma segurança que funcione continuamente e acompanhe o ritmo desse ciclo de desenvolvimento. Isso significa descobrir o que está sendo criado, entender como está configurado e conectado, analisá-lo à medida que muda e fornecer aos desenvolvedores orientações práticas que possam aplicar rapidamente. A solução não pode ser impedir que os funcionários usem essas ferramentas; a oportunidade de aumentar a produtividade é significativa demais. O desafio é criar proteções que permitam que essa inovação aconteça com segurança.

Você comparou o crescimento das aplicações criadas com IA a uma versão ainda mais difícil da “TI paralela”. O que torna essa nova geração de software paralelo potencialmente mais desafiadora e como as organizações podem descobrir aplicações cuja existência talvez seja desconhecida até mesmo pelas equipes de segurança ou de TI?

Tradicionalmente, a TI paralela envolvia, muitas vezes, funcionários que adotavam uma aplicação SaaS não aprovada pela equipe de TI. A diferença agora é que os próprios funcionários podem criar a aplicação, e conseguem fazer isso com enorme rapidez. Alguém pode criar uma aplicação usando uma conta pessoal, integrá-la a sistemas de terceiros e, potencialmente, conectá-la a dados corporativos antes mesmo que a equipe de segurança saiba que ela existe.

É isso que torna a situação particularmente desafiadora: criar aplicações ficou tão fácil que a quantidade delas e a velocidade com que mudam podem rapidamente superar a capacidade da governança tradicional. Os CISOs enfrentam a mesma questão fundamental: como proteger algo quando talvez nem se saiba o que foi criado ou como está configurado?

Por isso, a descoberta precisa se tornar uma parte central da estratégia de segurança. Apoiar os inovadores, incentivá-los a explorar, mas exigir que registrem seus projetos, é uma ótima maneira de promover essa descoberta. As organizações precisam ter visibilidade não só do código, mas também das aplicações em execução em todo o seu ambiente, das identidades e permissões associadas a elas, dos dados que acessam e dos sistemas externos com os quais se comunicam.

Olhando para os próximos anos, você espera que a maioria dos profissionais do conhecimento se torne algum tipo de criador de software com a ajuda da IA? Em caso afirmativo, como isso muda os papéis dos desenvolvedores profissionais, das equipes de segurança e dos líderes empresariais dentro das organizações?

Estamos caminhando para um mundo em que a definição de “criador de software” se torna muito mais ampla. A IA permite que pessoas que entendem um problema de negócios, mas não são desenvolvedores tradicionais, transformem uma ideia em uma aplicação funcional com enorme rapidez. Passei por isso pessoalmente.

Não acho que isso torne os desenvolvedores profissionais ou as equipes de segurança menos importantes. Muda a área em que seus conhecimentos são necessários. Cada vez mais, os usuários de negócios podem criar soluções por conta própria, enquanto os desenvolvedores podem se concentrar em problemas técnicos mais complexos e as equipes de segurança precisam criar a visibilidade e as proteções que permitam que essa nova geração de criadores inove com segurança. O suporte e a manutenção de aplicações também passam a ser vistos sob uma nova perspectiva. Os “criadores” nem sempre são os mais indicados para a “manutenção”. Eles trazem a visão e atendem à necessidade de negócios, mas o suporte a longo prazo de uma aplicação continua sendo uma tarefa mais adequada às equipes de TI e de aplicações. Para os líderes empresariais, isso cria enormes oportunidades, mas também novas responsabilidades. Se suas equipes podem criar software, é preciso considerar os riscos relacionados a ele como parte dos negócios — e não simplesmente como algo que cabe à engenharia.

Obrigado pela ótima entrevista. Os leitores que quiserem saber mais sobre segurança na nuvem, aplicações criadas com IA e proteção de ambientes empresariais devem visitar Orca Security.