Howard Ting, CEO al Opal Security – Seria de interviuri

Howard Ting, CEO al Opal Security, este un expert în securitate cibernetică și tehnologie, care conduce Opal Security din noiembrie 2025. Înainte de a ocupa acest post, a fost Executive în Residence la Greylock, iar înainte de asta, a petrecut peste cinci ani la Cyberhaven, atât ca CEO, cât și ca director în consiliul de administrație, ghidând compania în misiunea de a proteja datele și de a permite inovația securizată. Experiența sa include poziții de conducere în marketing strategic la Redis Labs și Zscaler, precum și roluri de marketing și produs senior la Nutanix, Palo Alto Networks (PANW ), Cisco (prin Securent), Microsoft (MSFT ), RSA Security și experiență timpurie în fuziuni și achiziții la Banc of America Securities. Această combinație de conducere operațională, expertiză în go-to-market și experiență profundă în securitatea cibernetică îl poziționează în mod unic la conducerea unei platforme de securitate în creștere rapidă.

Opal Security este o companie modernă de gestionare a accesului bazată pe identitate, care oferă întreprinderilor o platformă centralizată pentru a guverna și securiza cine are acces la ce, în sistemele cloud, SaaS și interne. Platforma oferă o vizibilitate unificată asupra identității și a căilor de acces, susține fluxurile de lucru de auto-deservire și just-in-time și automatizează revizuirile de acces pentru a impune politici de privilegii minimale la scară, ajutând organizațiile să reducă riscurile și să îmbunătățească conformitatea în medii dinamice care includ utilizatori umani, conturi de servicii și agenți AI.

Ai preluat recent rolul de CEO la Opal Security, după ce ai condus Cyberhaven prin creștere semnificativă și ai ocupat roluri senior la companii precum Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis și Microsoft. Ce te-a atras la Opal în acest moment al carierei tale și cum te influențează experiența anterioară în ceea ce privește accesul, identitatea și securitatea nativă AI?

Managementul accesului devine tot mai greu peste tot. Mai multe identități, mai multe mașini, mai multă automatizare – și accesul semnificativ provine din ce în ce mai mult din fluxurile de lucru ale inginerilor și din sistemele cloud, nu din IT-ul tradițional. Instrumentele standard IAM și IGA nu au fost create pentru asta, iar amenințările bazate pe identitate nu așteaptă ca acestea să se adapteze.

Asta m-a atras la Opal. Scala acestei probleme este masivă, iar Opal este deja aliniat cu direcția în care se îndreaptă piața. Am văzut versiuni ale acestui model înainte. La RSA, Palo Alto Networks și Cyberhaven, am urmărit revoluțiile multifactor, a next-generation firewall și a liniei de date în timp real, iar dinamica de aici este izbitoare similară: o problemă care definește o categorie și care se accelerează mai repede decât majoritatea furnizorilor pot răspunde, cu o fereastră îngustă pentru echipa potrivită să o posedă.

Opal are acea echipă. Fundația de inginerie și produs este puternică, iar portofoliul de clienți, construit prin muncă directă și focalizată, vorbește de la sine. Fiecare conversație cu clienții pe care am avut-o a întărit același semnal: această problemă se accelerează, iar Opal este cel care o rezolvă.

Ce am învățat din construirea și scalarea echipelor în întreprinderi este că executarea devine radical mai simplă atunci când produsul, ingineria și go-to-market împărtășesc același nivel de focalizare pe client. Când toată lumea vede aceeași problemă și aceeași oportunitate, te miști repede fără a pierde precizia. Opal are deja acea fundație. Trebuie doar să o construiesc și să mă asigur că clienții noștri simt forța acestei echipe în spatele lor, pe măsură ce ne extindem.

Având în vedere experiența ta în securitate, identitate și infrastructură cloud, unde crezi că modelele tradiționale de control al accesului se deteriorează pe măsură ce organizațiile adoptă mai profund tehnologia AI?

Răspunsul sincer este că majoritatea modelelor tradiționale de control al accesului au fost create pentru a rezolva autentificarea – și pentru oameni, această problemă este în mare măsură rezolvată. IDP-urile și metodele moderne de autentificare gestionează “cine sunteți?” în mod rezonabil. Pentru identitățile non-umane, cheile API și gestionarea secretelor vă ajută parțial. Dar autorizarea – “ce ar trebui să fie permis să faceți și pentru cât timp?” – rămâne în mare măsură nerezolvată atât pentru oameni, cât și pentru mașini, și acolo trăiește riscul real.

Ce compune această problemă este faptul că echipele de ingineri operează acum prin automatizare, infrastructură ca cod și instrumente asistate de AI care generează noi permisiuni ca parte a dezvoltării zilnice. Accesul nu se schimbă lent prin fluxurile de lucru IT – este creat, modificat și extins programatic, adesea fără ca cineva să verifice ce a fost acordat. Rezultatul este o creștere a conturilor suprapermise și a unor instrumente de privilegii fragmentate, precum și o guvernanță care este scumpă, reactivă și în mare măsură orbă la ceea ce se întâmplă cu adevărat.

Și voi fi direct despre ceva: există o cantitate enormă de “spălare a creierilor” cu AI în această piață în acest moment. Furnizorii se grăbesc să atașeze “AI” la arhitecturi legacy, ceea ce obscurează o realitate critică pentru cumpărători – un cadru de securitate și guvernanță validat pentru agenții AI încă nu există. Hype-ul depășește controalele reale, iar acea lacună este unde se construiește expunerea reală.

Asta face abordarea Opal să fie diferită. În loc să atașeze guvernanța la fluxurile de lucru după fapt, Opal modelează accesul direct din sistemele pe care inginerii le folosesc deja, aplică politici în timp real și oferă echipelor de securitate un mod de a ghida deciziile de autorizare fără a crea fricțiune. Când guvernanța se potrivește natural în fluxul de lucru al inginerilor, încetează să mai fie un blocator și devine infrastructură de încredere.

Opal se concentrează pe gestionarea cui și ce poate accesa sisteme sensibile în medii cloud-native moderne. Care sunt cele mai subestimate probleme de securitate cu care se confruntă companiile care construiesc cu agenți AI și fluxuri de lucru automate?

Problemele cele mai subestimate nu sunt de fapt noi. Sunt cele care s-au acumulat în timp în jurul identităților umane. Igiena de bază a guvernanței, cum ar fi fluxurile de intrare/mutare/părăsire, accesul just-in-time și revizuirile de utilizator, a fost neglijată sau împăturită la majoritatea organizațiilor de mult timp. Obligațiile de conformitate, cum ar fi SOX, nu au dispărut; au devenit doar mai greu de satisfăcut pe măsură ce mediile devin mai complexe. Niciuna dintre acestea nu este glamuroasă, dar este exact fundația care se rupe atunci când se adaugă agenți AI.

Organizațiile integrează AI pentru a simplifica fluxurile de lucru și a elimina sarcinile mundane, dar în felul acesta introduc identități non-umane care multiplică relațiile de acces în moduri pe care instrumentele existente nu au fost niciodată concepute să le gestioneze. Rezultatul este o rețea haotică în care accesul uman era deja slab guvernat și accesul mașinilor este acum extins cu și mai puțină vizibilitate. Deciziile de acces trebuie să fie explicabile, legate de timp, legate de utilizarea reală și monitorizate continuu, dar majoritatea echipelor încă se bazează pe sisteme statice, de tip “unul pentru toți”, care nu pot oferi nimic din toate acestea. Între timp, agenții de codare generează și deployează cod cu permisiuni încorporate, interacționează direct cu infrastructura și operează cu acces care nu este revizuit prin lentila securității tradiționale – o expunere la securitate și conformitate pe care majoritatea organizațiilor nici măcar nu a început să o evalueze.

Ai văzut evoluția securității de-a lungul mai multor generații de infrastructură. Ce se schimbă fundamental atunci când identitățile mașinilor și agenții AI încep să depășească numărul utilizatorilor umani?

Când identitățile mașinilor depășesc numărul utilizatorilor umani, devine din ce în ce mai greu să monitorizați cine are acces la ce. IAM-ul tradițional nu a fost conceput pentru această realitate, iar majoritatea platformelor HR și IAM oferă doar o vizibilitate parțială, în special pe măsură ce supravegherea identității se extinde dincolo de o singură echipă. Pentru a monitoriza cu succes aceste tipuri de identități, avem nevoie să oferim agenților AI o proprietate clară, permisiuni cu scop și auditabilitate completă de la început. Opal Security abordează această problemă prin modelarea oamenilor, serviciilor și agenților în cadrul unui singur cadru, și nu îi tratează ca entități separate.

Auditorii așteaptă acum să revizuiască comportamentul uman și agențic alături atunci când analizează revizuirile de acces. Agenții în general moștenesc seturile de permisiuni ale utilizatorilor care îi deployează, dar anumite cazuri de utilizare necesită agenți care se identifică ca conturi de servicii cu seturi de permisiuni personalizate (de obicei, cu permisiuni reduse).

AI-ul este din ce în ce mai mult atât o suprafață de atac, cât și un instrument de apărare. Din perspectiva ta, unde îmbunătățește AI-ul în mod semnificativ rezultatele securității în prezent și unde introduce încă riscuri noi?

AI-ul este un instrument imens de puternic care este baza produsului nostru. Opal Security folosește AI-ul pentru a monitoriza, detecta și preveni accesul neregulat în cadrul organizațiilor. AI-ul schimbă, de asemenea, securitatea identității, deoarece introduce actori care nu doar se autentifică și execută sarcini – ci raționează, se adaptează și acționează autonom. Sistemele de identitate tradiționale au fost create pentru oameni și conturi de servicii statice, unde accesul se schimba lent și intenția era relativ previzibilă.

Dar agenții AI sparg acest model. Riscul este pierderea vizibilității și a responsabilității. Agenții pot apărea și dispărea dinamic, pot combina permisiuni în sisteme și pot acționa în numele utilizatorilor, al altor agenți sau în nume propriu. Niciun resursă securizată nu este “compromis”, dar acțiuni sensibile pot totuși apărea, deoarece totul a fost autorizat în mod tehnic. Aceasta este noua suprafață de atac. Modul de a gestiona această situație este prin intermediul unei platforme unificate și inteligente care înțelege și securizează toate tipurile de entități prin context, comportament și adaptare continuă.

Această vedere unificată formează baza securității – nu poți proteja ceea ce nu poți vedea sau înțelege. La Opal, credem în înțelegerea fiecărei relații. Nu este suficient să știi cine este în sistem. Trebuie să știți cui este conectat ce și de ce.

Cum ar trebui să reconsidere echipele de securitate accesul cu privilegii minimale în practică, nu doar în teorie, pe măsură ce agenții de codare AI și sistemele automate primesc permisiuni mai largi în cadrul organizațiilor?

Accesul modern la identitate trebuie să trateze identitățile umane și mașinale în mod egal, astfel încât companiile să poată avea vizibilitatea, automatizarea și încrederea necesare pentru a se extinde în siguranță în era AI. În practică, acest lucru înseamnă acordarea permisiunilor doar atunci când este necesar și revizuirea și ajustarea continuă a accesului pe măsură ce sarcinile sau rolurile se schimbă. Monitorizarea automată și controalele bazate pe risc devin esențiale, asigurând că instrumentele AI pot opera eficient fără a crea expuneri de securitate inutile.

Este util să se activeze JIT în mod implicit pentru agenți, dar să se facă asta fără fricțiune: aprobarea automată a anumitor resurse atunci când este cazul, sau, dacă utilizatorul operează într-un mediu în care toate datele sunt sensibile, limitarea utilizării la VM-uri sandboxate.

Deși orice restricții noi asupra utilizării agenților ar putea irita utilizatorii finali, încetinindu-i, este important să se întâlnească utilizatorii acolo unde se află. Cu Opal, acest lucru înseamnă că solicitările de acces pot fi depuse și aprobate în Slack, iar strategiile IaaC, inclusiv Terraform, pot fi utilizate pentru a automatiza acordarea, revocarea și accesul cu termen limită.

Pe baza experienței tale în scalarea companiilor de securitate, ce semne îți arată că controalele de acces ale unei organizații nu mai sunt aliniate cu modul în care funcționează afacerea în realitate?

Organizațiile pot observa că controalele de acces nu mai sunt sincronizate atunci când accesul începe să rămână în urmă față de realitate. Acest lucru poate apărea sub forma permisiunilor excesive sau învechite, a blocajelor manuale din sistemele legacy sau a adoptării sistemelor AI fără politici actualizate pentru a urmări identitățile non-umane. Un alt semn revelator este creșterea incidentelor de securitate sau a incidentelor care nu au avut loc, în care conturile suprapermise sau identitățile slab guvernate sunt vinovate.

Implementările complexe Sailpoint, bazate pe o echipă de consultanți, precum și urmărirea accesului în foi de calcul nu au fost eficiente în era de dinainte de agenți, iar abordarea legacy va colapsa pur și simplu sub viteza și complexitatea agenților. Opal oferă o platformă unică care deservește securitatea, deblochează IT-ul și oferă auditorilor ceea ce au nevoie. Găsim că RBAC este fragil și rareori este o stare durabilă, așa că echipele de succes încep cu JIT și apoi progresează către accesul bazat pe persoană (cu flexibilitate și urmărire în timp), astfel încât configurațiile Terraform pot fi versionate, deployate sau anulate dacă este necesar.

Dintr-o perspectivă de conducere, cum echilibrezi viteza de inovare cu disciplina necesară pentru a construi încredere în produsele de securitate?

Am învățat că companiile excelente rămân disciplinate în ceea ce privește fundamentele chiar și atunci când cresc rapid. Aceste fundamente includ priorități clare, comunicare transparentă și disponibilitatea de a face compromisuri dificile. Inovația încă contează, dar trebuie să fie întemeiată pe rigurozitate: setări puternice, modelare de amenințări atente și responsabilitate pentru rezultate. Luarea acestor decizii în mod deliberat vă permite să vă deplasați rapid fără a compromite încrederea, iar în timp, acea disciplină devine un avantaj competitiv.

Ce crezi că liderii de securitate înțeleg cel mai puțin despre pregătirea pentru un viitor dominat de sisteme autonome, în loc de acces uman condus?

Ce liderii de securitate subestimează cel mai mult este complexitatea gestionării diferitelor tipuri de identități. Companiile sunt atât de entuziasmate să devanseze și să țină pasul cu cele mai recente tehnologii, încât măsurile de securitate pot adesea cădea pe planul al doilea. Fluxurile de lucru conduse de AI sunt adesea introduse fără proprietate clară, lăsând organizațiile cu puncte oarbe în care identitățile non-umane se acumulează în mod tacit, operează în afara controalelor tradiționale și creează noi oportunități pentru erori costisitoare sau amenințări. Pregătirea pentru acest viitor necesită tratarea identității ca o strat dinamic și guvernat în mod continuu.

Pe măsură ce afacerile cresc, echipele de securitate ar trebui să dețină politici de utilizare a agenților și să determine cum, dacă și unde accesul agenților este redus de la cel uman care cheamă agentul. Orice procese care au fost anterior strălucite asupra echipelor umane vor pur și simplu colapsa sub scară și natura efemeră a agenților: automatizarea este singurul mod de a gestiona volumul de solicitări.

Privind înainte, ce înseamnă “igienă de securitate bună” într-un mediu în care sistemele AI creează, modifică și solicită acces în mod constant pe cont propriu?

Igiena de securitate bună înseamnă a folosi AI-ul pentru a scala securitatea, menținând în același timp suficientă monitorizare și disciplină pentru a se asigura că nimic nu scapă prin crăpături. AI-ul nu va dispărea, așa că, indiferent dacă o companie utilizează un furnizor precum Opal sau gestionează intern, companiile trebuie să accepte că accesul nu mai este static. Când sistemele AI creează, modifică și solicită acces în mod constant, securitatea trebuie să treacă de la aprobări unice la supraveghere continuă. Acest lucru înseamnă a trata accesul ca pe un ciclu de viață continuu, și nu ca pe o casetă de bifat o singură dată.

Companiile vor trebui, de asemenea, să folosească în mod activ AI-ul ca parte a apărării lor. Automatizarea poate ajuta echipele să țină pasul cu volumul și viteza schimbărilor de acces, dar trebuie să fie asociată cu garduri clare, vizibilitate în lanțurile de delegare și responsabilitate umană atunci când apare ceva greșit. Este important să se afișeze semnale explicabile: valori Shapley și coeficienți de caracteristici pentru modelele ML tradiționale, și context suplimentar sau justificări detaliate de la LLM-uri. Fără aceste nuanțe, este o luptă dificilă pentru a menține orice lanț de încredere pentru acces la resurse de afaceri sensibile.

Mulțumim pentru acest interviu minunat. Citiitorii care doresc să afle mai multe despre Opal Security ar trebui să viziteze Opal Security.