Jeff Margolies, Chief Product și Strategy Officer la Saviynt – Seria de interviuri

Jeff Margolies, Chief Product și Strategy Officer la Saviynt, conduce managementul produselor, strategia corporativă, parteneriatele tehnologice și dezvoltarea corporativă, lucrând cu clienți, parteneri și echipe din întreaga organizație pentru a modela viziunea pe termen lung a companiei și planul de creștere. El aduce peste 25 de ani de experiență în identitate și securitate cibernetică, având anterior funcția de Chief Strategy Officer la Saviynt și ocupând poziții de conducere la Mandiant, Deloitte și Accenture. La Mandiant, el a supervizat strategia, parteneriatele strategice și dezvoltarea corporativă, în timp ce cariera sa anterioară a inclus ajutarea la stabilirea și scalarea practicii de gestionare a identității și accesului la Accenture într-o organizație globală de peste 700 de profesioniști. Margolies deține o diplomă de licență în inginerie optică de la Universitatea Rochester și o diplomă de master în inginerie electrică de la Universitatea California, Berkeley.

Saviynt este o companie de securitate a identității bazată pe inteligență artificială, axată pe ajutarea întreprinderilor să guverneze și să securizeze accesul la utilizatori umani, identități neumane, mașini, aplicații, infrastructură și agenți AI. Platforma Saviynt Identity aduce împreună guvernarea identității, gestionarea accesului privilegiat, guvernarea accesului la aplicații, gestionarea identității externe, securitatea identității neumane și gestionarea posturii de securitate a identității într-o platformă cloud unificată, proiectată pentru medii cloud, on-premise, SaaS, IaaS și hibride. Compania și-a poziționat din ce în ce mai mult nevoile din era AI, inclusiv unelte pentru securizarea agenților AI, guvernarea fluxurilor de lucru agențice și permiterea operațiunilor de identitate în limba naturală prin oferte precum Saviynt MCP Server în AWS Marketplace.

În calitate de Chief Product și Strategy Officer, aveți un loc în prim-plan pentru a vedea cum se schimbă cerințele de securitate a identității la nivelul întreprinderilor. Cum a schimbat apariția agenților AI modul în care organizațiile trebuie să gândească despre identitate, acces și guvernare, și cum au influențat aceste schimbări dezvoltarea de către Saviynt a porții de acces a agenților și a autorizării în timp real bazate pe intenție?

Agenții AI schimbă securitatea identității, deoarece identitățile umane și cele neumane funcționează în moduri foarte diferite. Nu se mai pune doar problema gestionării accesului utilizatorilor la aplicații. Organizațiile gestionează software care poate raționa, lua decizii și acționa în mod autonom pe sisteme. Consider agenții ca generația următoare de aplicații. După mainframe, client-server, web și aplicații SaaS, acum intrăm în era aplicațiilor agențice.

Fundamentele rămân aceleași. Organizațiile trebuie să știe cine deține agentul, cine poate să-l utilizeze, ce sisteme poate accesa și cum este guvernată activitatea sa. Identitățile mașinilor schimbă viteza și scala. Un utilizator de business poate crea un agent în câteva minute, ceea ce înseamnă că guvernarea trebuie să se miște la fel de repede. Acesta a fost motivul pentru care am dezvoltat poarta de acces a agenților și autorizarea în timp real bazată pe intenție — pentru a ajuta întreprinderile să adopte agenți cu controlul accesului, responsabilitatea și gardurile de protecție de la început.

Agenții AI trec rapid de la experimentare la medii de producție. Cum schimbă agenții autonomi modelul tradițional de identitate și gestionare a accesului pe care întreprinderile l-au folosit timp de decenii?

Gestionarea tradițională a identității și accesului a fost construită în jurul oamenilor și software-ului previzibil. Un utilizator se autentifica, solicita acces și efectua acțiuni specifice în sisteme definite. Înțelegem clar ciclul de viață al identității umane în acest context, inclusiv modul de a proviziona acces. Agenții AI introduc un ciclu de viață diferit. Ei pot fi creați rapid, pot acționa continuu, se pot adapta pe fluxuri de lucru și pot interacționa cu multiple aplicații, API-uri și surse de date cu multă autonomie.

Principiile de identitate de bază rămân valabile: fiecare identitate are nevoie de autentificare, autorizare, guvernare și responsabilitate. Viteza este foarte diferită. În loc de câteva aplicații enterprise construite de echipe centralizate, organizațiile pot avea mii de agenți creați de utilizatori de business. De fapt, 92% din CISO nu au o vizibilitate completă asupra identităților AI, și 95% se îndoiesc că ar putea detecta sau conține abuzul dacă s-ar întâmpla. Securitatea identității trebuie să evolueze astfel încât proprietatea, controlul accesului, aprobările și monitorizarea să fie stabilite automat atunci când agenții sunt creați.

Multe organizații încă folosesc permisiuni și controale de acces care au fost proiectate pentru angajații umani și aplicațiile software convenționale. De ce sunt aceste abordări insuficiente atunci când se confruntă cu agenți AI care pot raționa, adapta și executa acțiuni independent?

Autorizarea tradițională întreabă de obicei: „Este această identitate autorizată să efectueze această acțiune?” Acest lucru nu este suficient pentru agenții AI, deoarece un agent poate avea permisiunea tehnică de a face ceva, dar totuși poate acționa în afara intenției utilizatorului.

De exemplu, dacă un utilizator solicită unui agent să „curățe” o bază de date, agentul ar putea interpreta acest lucru ca ștergerea înregistrărilor. Este posibil să aibă permisiunea de a șterge acele înregistrări, dar acest lucru nu este neapărat ceea ce a intenționat utilizatorul. Cu agenții, organizațiile trebuie să evalueze nu numai dacă o acțiune este permisă, ci și dacă se aliniază cu planul și intenția originală din spatele sarcinii.

Saviynt a introdus recent Autorizarea în timp real bazată pe intenție. Ce înseamnă exact „autorizarea bazată pe intenție” și cum se diferențiază de modelele tradiționale de autentificare și autorizare?

Autorizarea bazată pe intenție înseamnă evaluarea dacă acțiunile unui agent se aliniază cu ceea ce a intenționat utilizatorul uman să facă. Fiecare agent este creat sau trimis pentru a îndeplini o sarcină, iar acea sarcină creează contextul pentru ceea ce agentul ar trebui și nu ar trebui să facă.

Autorizarea tradițională ia o decizie binară: este permis sau nu? Autorizarea bazată pe intenție adaugă un alt strat, întrebând dacă acțiunea are sens în contextul sarcinii originale. Dacă un agent a fost solicitat să arhiveze date vechi, dar începe să șteargă înregistrări active, acest lucru poate fi permis tehnic, dar nu se aliniază cu intenția utilizatorului. Scopul autorizării în timp real bazate pe intenție este de a guverna acțiunile agenților în timp real, pe baza contextului sarcinii, politicii și rezultatelor intenționate.

Cum pot determina întreprinderile dacă un agent AI ar trebui să fie autorizat să efectueze o anumită acțiune, chiar dacă are permisiunea tehnică de a accesa sistemul de bază?

Acest lucru începe cu planificarea. Înainte ca un agent să ia o acțiune, organizațiile trebuie să definească ce urmează să realizeze, ce sisteme ar trebui să acceseze, ce garduri de protecție se aplică și ce politici trebuie să urmeze. Acest plan devine baza pentru evaluarea comportamentului agentului.

Întrebarea cheie nu este doar dacă agentul are acces, ci dacă acțiunea sa este consecventă cu sarcina pentru care a fost creat. Multe aplicații și API-uri existente nu au fost proiectate pentru a impune acest nivel de context, ceea ce face ca modelul de poartă să fie important. Poarta de acces a agenților oferă un strat suplimentar de control pentru a evalua planurile versus acțiunile și pentru a ajuta la gestionarea suprapunerilor sau lacunelor în sistemele legacy.

Una dintre cele mai mari preocupări legate de agenții AI este că pot acționa peste multiple aplicații și surse de date în secunde. Ce noi riscuri creează acest lucru pentru echipele de securitate și care riscuri sunt în prezent subestimate?

Agenții AI nu creează întotdeauna riscuri complet noi. În multe cazuri, ele sporesc probabilitatea ca riscurile existente să fie exploatate. Dacă o organizație are deja conturi suprapermisionate, controale slabe sau sisteme care se bazează pe obscuritate, agenții pot găsi și acționa asupra acestor slăbiciuni mult mai repede decât oamenii, scalând riscul.

Uneori compar acest lucru cu lăsarea unei uși din spate descuiate. Vulnerabilitatea există deja, dar probabilitatea ca cineva să o găsească poate fi scăzută. Imaginați-vă acum un agent care verifică fiecare ușă din spate pe mii de medii în secunde. Acesta este motivul pentru care organizațiile trebuie să aibă bazele corecte: să știe ce agenți există, să înțeleagă ce pot accesa, să limiteze permisiunile inutile și să guverneze activitatea lor în mod continuu.

Pe măsură ce întreprinderile deployează mai mulți agenți AI în departamente, cum ar trebui organizațiile să guverneze cine poate interacționa cu acești agenți și ce informații sau sisteme acești agenți pot accesa?

Un mod util de a gândi despre un agent AI este ca o aplicație. Întreprinderile știu deja cum să guverneze aplicațiile: cine le deține, cine le poate utiliza, ce sisteme se conectează la ele, ce date pot accesa și cum se revizuiește accesul. Aceleași întrebări se aplică și agenților.

Diferența constă în faptul că agenții pot fi creați în minute de către utilizatori de business, nu pe parcursul a luni de către echipe de dezvoltare mari și doar 5% din CISO se simt încrezători că ar putea conține un agent AI compromis. Guvernarea trebuie să fie integrată în procesul de creare, astfel încât proprietatea, accesul, aprobările, împuternicirile și reviziile periodice să fie stabilite de la început, în loc de a fi adăugate după ce agentul este deja operațional.

AI-ul din umbră a devenit o preocupare tot mai mare, pe măsură ce angajații adoptă unelte AI în afara supravegherii oficiale a IT. Cum amplifică agenții AI această provocare și ce pași practice pot lua organizațiile pentru a-și recâștiga vizibilitatea și controlul?

Agenții AI amplifică AI-ul din umbră, deoarece sunt ușor de creat și pot acționa peste sisteme. Acest lucru nu înseamnă că organizațiile ar trebui să încerce să oprească oamenii să le utilizeze. Beneficiile de productivitate sunt reale, iar afacerile le vor urmări.

Răspunsul practic este vizibilitatea și gardurile de protecție. Organizațiile trebuie să știe ce agenți există, cine îi deține, ce sunt destinați să facă și ce sisteme sau date pot accesa. Fiecare agent ar trebui să aibă o identitate, permisiuni definite și monitorizare continuă. Multe întreprinderi sunt încă în stadii relativ timpurii de experimentare, astfel încât există încă timp pentru a construi guvernarea înainte ca adoptarea agenților să ajungă la o scară mult mai mare. Dar acel timp se epuizează rapid.

Privind spre viitor, credeți că fiecare agent AI va necesita în cele din urmă propria identitate digitală, cadru de guvernare și urmă de audit similar cu cea a angajaților umani? Ce arată ca acest model viitor?

Fiecare agent AI ar trebui să aibă fără echivoc propria identitate, astfel încât organizațiile să știe ce este, cine îl deține, ce poate accesa și ce face. Identitățile umane și cele neumane, inclusiv agenții AI, trebuie guvernate printr-un model de securitate a identității unificat.

Conceptele sunt familiare: autentificare, autorizare, proprietate, împuterniciri, urmărirea activității și guvernare. Ceea ce se schimbă este scala. Întreprinderile pot crea sute de agenți pe săptămână, ceea ce va duce în cele din urmă la zeci de mii sau chiar milioane de aplicații agențice. Viitorul constă în aplicarea fundamentelor securității identității la fiecare tip de identitate, la o scară și viteză mult mai mare. Acum este momentul să înceapă implementarea.

Pe măsură ce întreprinderile se grăbesc să deployeze AI-ul agențic, care sunt cele mai comune greșeli pe care le vedeți organizațiile să le facă în prezent și ce ar trebui să prioritizeze liderii de securitate și tehnologie în următorii 12-24 de luni, pentru a asigura că agenții AI rămân atât productivi, cât și de încredere?

Ar fi o mare greșeală să lăsăm securitatea în această eră la voia întâmplării. Beneficiile de productivitate legate de AI-ul agențic sunt reale, iar organizațiile trebuie să le capteze. Cel mai mare risc este că securitatea și guvernarea nu țin pasul.

În următorii 12-24 de luni, liderii ar trebui să se concentreze pe fundamentalele vizibilității și guvernării: să mențină un inventar de agenți, să atribuie proprietate, să dea fiecărui agent o identitate, să înțeleagă ce poate accesa și să facă parte din procesul de creare. Acesta este un moment de a integra securitatea într-o schimbare majoră de platformă de la început, în loc de a încerca să o refacă mai târziu.

Mulțumim pentru acest interviu minunat. Citiitorii care doresc să afle mai multe despre Saviynt pot vizita Saviynt.