Shannon McWilliams, directorul distribuției globale la Orca Security – serie de interviuri

Shannon McWilliams este directorul distribuției globale la Orca Security, unde activitatea sa acoperă ecosistemul de parteneri al companiei și instrumentele care îl susțin. A fondat anterior o companie de dezvoltare software, iar această experiență îl ajută să transforme nevoile de business în aplicații. Mai recent, a folosit instrumente de dezvoltare bazate pe IA pentru a construi o versiune inițială a platformei Orca pentru succesul partenerilor, colaborând cu echipa de securitate pentru a duce proiectul de la prototipul realizat într-un weekend către un sistem gata de producție.

Orca Security oferă o platformă de securitate în cloud care ajută organizațiile să descopere active, să identifice și să prioritizeze riscurile și să protejeze mediile cloud. Capabilitățile sale acoperă domenii precum vulnerabilitățile, configurările greșite, identitățile și permisiunile, datele sensibile și securitatea IA. În acest interviu, McWilliams discută despre modul în care IA le permite utilizatorilor din mediul de business să creeze software, despre motivul pentru care aplicațiile funcționale au în continuare nevoie de o evaluare independentă a securității și despre felul în care descoperirea continuă, principiul privilegiului minim și supravegherea umană pot ajuta companiile să gestioneze acest nou model de dezvoltare.

V-ați alăturat Orca Security în calitate de director al distribuției globale și, în doar câteva luni, ați ajuns să construiți singur o nouă platformă pentru parteneri, folosind IA. Ce problemă încercați inițial să rezolvați și când a evoluat proiectul de la un experiment la ceva ce Orca putea efectiv să pună în producție?

Când m-am alăturat Orca, unul dintre lucrurile pe care mi s-a cerut să le analizez a fost experiența generală a partenerilor. Foloseam o platformă terță, dar am văzut oportunitatea de a crea ceva mai modern și mai eficient pentru partenerii noștri. Aveam ceva experiență în dezvoltarea de aplicații, dar nu eram dezvoltator. Mai devreme în vara respectivă lucrasem la aplicații pentru consumatori, folosind platforma unui furnizor terț de generare a aplicațiilor, așa că am decis să experimentez și să văd ce puteam construi singur cu ajutorul IA.

Într-un singur weekend, am reușit să creez o primă versiune simplă a ceea ce a devenit platforma noastră pentru succesul partenerilor, cu funcționalități care depășeau ceea ce vedeam în portalurile tradiționale pentru parteneri, inclusiv capabilități bazate pe IA, precum identificarea clienților ideali și îndrumarea în încheierea tranzacțiilor. Am adăugat multe alte aplicații în platformă, precum urmărirea certificărilor și teste generate de IA, și am transformat întregul proces de certificare într-o experiență ludică pentru partenerii noștri. Apoi, am început să sincronizăm datele cu platforma noastră Salesforce. Momentul de cotitură a venit când CEO-ul nostru a văzut versiunea inițială și i-a recunoscut potențialul. Atunci am trecut de la experimentare la întrebarea ce ar fi necesar, de fapt, pentru ca un astfel de produs să fie sigur și gata de producție. Echipa noastră de securitate s-a implicat, iar eu am început să lucrez îndeaproape cu Dudi Peretz pentru a securiza mediul, înainte ca activitatea să fie verificată, în cele din urmă, în mod independent de o firmă externă.

Ați fondat anterior o companie de dezvoltare software, așa că știți cum erau construite în mod tradițional aplicațiile. Cum se compară dezvoltarea de software prin intermediul IA, folosind limbajul natural, cu coordonarea dezvoltatorilor și în ce privințe a rămas cea mai importantă expertiza dumneavoastră în domeniu?

Cea mai mare diferență a fost viteza. În dezvoltarea tradițională de software există, de regulă, mai mulți pași între apariția unei idei, transformarea ei în cerințe tehnice, construirea produsului de către dezvoltatori și apoi îmbunătățirea rezultatului. Cu IA, puteam să descriu ce îmi doream, să văd cum prinde contur și să continui să rafinez rezultatul aproape imediat. Procesul de iterare durează câteva minute, nu zile întregi de întâlniri cu dezvoltatorii pentru a defini interfața dorită și toate mapările bazei de date necesare pentru a crea funcționalitatea. Cu dezvoltarea asistată de IA, acest lucru necesită o solicitare de 2 propoziții, nu 2 zile de întâlniri.

Dar asta nu elimină nevoia de expertiză. Schimbă locul în care contează expertiza. IA poate reduce semnificativ barierele tehnice în calea dezvoltării unei aplicații, dar persoana care o coordonează trebuie să înțeleagă în continuare problema pe care încearcă să o rezolve, cum arată o experiență utilă și ce trebuie să realizeze, în ultimă instanță, aplicația pentru companie. Cel mai mult m-a surprins cât de repede se poate trece de la o idee la ceva funcțional. Sarcini precum analiza datelor, care înainte puteau dura săptămâni, pot fi realizate acum, uneori, într-o singură zi.

Orca a descris prima versiune funcțională a platformei pentru parteneri drept un produs pe care l-ați construit într-un singur weekend. Ce a putut accelera IA în mod semnificativ și ce aspecte ale construirii unei aplicații gata de producție s-au dovedit mai dificile decât păreau inițial?

IA a redus considerabil distanța dintre o idee și o aplicație funcțională. Am putut construi într-un weekend funcționalități care, în mod tradițional, ar fi necesitat un proces de dezvoltare mult mai îndelungat, iar apoi am putut continua să adaug și să modific funcționalități într-un ritm extrem de rapid. Viteza este și uimitoare, și puțin înfricoșătoare.

IA nu a eliminat însă nimic din ceea ce este necesar pentru ca o aplicație să poată fi utilizată în siguranță în producție. După ce am decis că proiectul ar putea deveni ceva concret, echipa noastră de securitate a trebuit să evalueze mediul, să remedieze problemele de securitate și să se asigure că aplicația era securizată în mod corespunzător. În cele din urmă, am apelat la o firmă externă pentru un nivel suplimentar de validare. Așadar, IA a făcut ca dezvoltarea să fie incredibil de rapidă, dar „funcționează” și „este pregătită să opereze în siguranță într-o companie” rămân două standarde foarte diferite.

Instrumentele de securitate ale platformei de dezvoltare cu IA indicau că aplicația era sigură, însă evaluarea ulterioară a Orca a scos la iveală probleme legate de permisiuni și accesul la date. Ce v-a învățat această experiență despre câtă încredere ar trebui să aibă utilizatorii din mediul de afaceri în garanțiile de securitate oferite de platformele de dezvoltare cu IA?

Probabil că aceasta a fost una dintre cele mai importante lecții pe care le-am desprins din experiență. Platforma avea propriile funcționalități de scanare a securității, care mi-au oferit un punct de plecare util în timp ce construiam aplicația. Însă procesul de evaluare împreună cu echipa noastră de securitate mi-a arătat cât de valoros este să existe un nivel suplimentar de verificare, mai ales în privința unor aspecte precum permisiunile și accesul la date. Experiența mi-a confirmat că instrumentele de securitate integrate reprezintă o parte importantă a procesului de dezvoltare, dar funcționează cel mai bine când sunt completate de contextul mai amplu și de expertiza pe care le poate oferi o echipă dedicată securității.

Acest lucru este cu atât mai important cu cât mulți dintre cei care pot crea acum aplicații cu ajutorul IA nu sunt experți în securitate. Este posibil să nu știe ce întrebări să pună, ce permisiuni sunt prea extinse sau ce configurări ar putea expune datele. Faptul că platforma de dezvoltare vă spune că o aplicație este sigură nu poate însemna sfârșitul procesului. Înainte ca aplicația să fie publicată sau conectată la sisteme enterprise sensibile, aceasta are în continuare nevoie de o evaluare completă a securității, care să analizeze mai mult decât simpla trecere a verificărilor proprii ale platformei.

Când echipa de securitate a identificat vulnerabilități, de multe ori ați putut introduce constatările respective în mediul de dezvoltare cu IA și genera remedieri în câteva minute. Ar putea IA să transforme fundamental remedierea problemelor de securitate, trecând de la un ciclu lung de dezvoltare la un dialog continuu între cei care construiesc aplicațiile și echipele de securitate?

Aceasta este una dintre cele mai interesante posibilități. Când Dudi și echipa de securitate au identificat probleme, am putut prelua observațiile lor, le-am putut introduce direct în mediul de dezvoltare cu IA și am putut genera remedieri foarte rapid. Astfel, se deschide posibilitatea unui circuit de feedback mult mai strâns între persoana care construiește o aplicație și echipa responsabilă de securizarea acesteia.

În trecut, crearea și lansarea unui software se puteau desfășura pe o perioadă mult mai lungă. Acum, cineva poate face și publica modificări în fiecare zi. Securitatea trebuie să funcționeze în același ritm. Oportunitatea constă în integrarea evaluării continue a securității în procesul de dezvoltare, astfel încât să puteți identifica o problemă, să o comunicați persoanei care construiește aplicația, să o remediați și să reevaluați aplicația mult mai rapid.

Totuși, remedierea rapidă nu înseamnă că putem reduce nivelul de exigență al validării. IA poate genera rapid o remediere, însă echipele de securitate au în continuare nevoie de o modalitate prin care să verifice dacă aceasta a eliminat cu adevărat riscul și nu a introdus unul nou.

Platforma Partner Success rezultată include asistenți IA, informații despre pipeline, generarea de campanii și îndrumare pentru încheierea tranzacțiilor. Cum ați stabilit ce activități ar trebui să gestioneze direct IA și ce decizii ar trebui să rămână în responsabilitatea partenerului sau a agentului de vânzări?

Pentru mine, scopul nu era să elimin intervenția umană din procesul de lucru cu partenerii sau din cel de vânzare. Voiam să folosesc IA pentru a-i ajuta pe oameni să lucreze mai rapid și să valorifice mai bine informațiile pe care le aveau deja la dispoziție. Îndrumarea pentru încheierea tranzacțiilor este un bun exemplu: IA poate ajuta la identificarea unor modalități de a avansa o oportunitate care stagnează în pipeline și îi poate oferi cuiva mai mult context sau o recomandare privind următorul pas.

Cred că distincția importantă ține de capacitatea IA de a extrage rapid informații din sisteme diferite, de a le analiza relevanța și apoi de a le prezenta într-o formă care îi permite utilizatorului să acționeze. Platforma ar trebui să sporească eficiența partenerului sau a agentului de vânzări, în timp ce omul rămâne responsabil pentru deciziile care necesită judecată în afaceri. Scopul este ca, prin interacțiunea cu platforma, să se scurteze intervalul dintre descoperirea unei oportunități și închiderea cu succes a tranzacției.

IA le permite angajaților din vânzări, marketing, finanțe și alte departamente să-și creeze propriile aplicații fără să apeleze la echipele de inginerie. Ce măsuri minime de securitate și guvernanță ar trebui să existe înainte ca aceste aplicații să poată fi conectate la datele clienților, la sistemele interne sau la infrastructura cloud?

Prima cerință este vizibilitatea. Politicile organizației ar trebui să încurajeze acest tip de explorare și inovare, însă nu poți securiza o aplicație despre a cărei existență nu știi; prin urmare, încurajarea inovării îi va determina mai degrabă pe angajați să-și prezinte proiectele decât să le țină ascunse. Apoi, organizațiile trebuie să înțeleagă ce identități și permisiuni are aplicația, la ce date poate accesa, cu ce sisteme terțe comunică și dacă privilegiile respective sunt într-adevăr necesare. Creați condițiile pentru ca inovarea să înflorească, dar instituiți un proces care să-i sprijine pe inovatori și să îndeplinească cerințele de securitate.

Principiul privilegiului minim devine deosebit de important. Unul dintre riscurile pe care le observăm este ca aplicațiile să primească acces mai larg decât au nevoie. În plus, securitatea nu poate fi verificată o singură dată, înainte de lansare. Când aplicațiile se pot modifica în permanență, organizațiile trebuie să le poată reevalua la fel de continuu.

Guvernanța software-ului tradițional a fost concepută pentru echipe de inginerie, cereri de integrare a modificărilor, cicluri de lansare și fluxuri de implementare relativ bine controlate. Dacă utilizatorii din departamentele de business pot acum să modifice și să implementeze aplicații în mod continuu, cum trebuie să se schimbe ciclul de viață al dezvoltării software în întreprindere?

Provocarea fundamentală este că ritmul s-a schimbat. În mod tradițional, software-ul era dezvoltat și lansat în timp, prin procese relativ bine stabilite. Cu instrumentele de dezvoltare bazate pe IA, cineva poate crea și publica ceva nou în fiecare zi. În acest context, procesele de securitate și guvernanță construite în jurul unor verificări periodice nu vor fi suficiente.

Trebuie să trecem la o abordare a securității care funcționează în mod continuu și ține pasul cu ciclul de dezvoltare. Asta înseamnă să descoperim ce se construiește, să înțelegem cum este configurat și conectat, să îl scanăm pe măsură ce se schimbă și să le oferim celor care îl dezvoltă feedback concret, pe care să îl poată integra rapid. Soluția nu poate fi să-i împiedicăm pe angajați să folosească aceste instrumente; oportunitatea de a spori productivitatea este prea importantă. Provocarea constă în crearea unor mecanisme de protecție care să permită inovarea în siguranță.

Ați comparat ascensiunea aplicațiilor construite cu ajutorul IA cu o versiune și mai dificilă a „IT-ului din umbră”. Ce face ca această nouă generație de software din umbră să fie potențial mai problematică și cum pot organizațiile să descopere aplicații despre care echipele de securitate sau IT s-ar putea să nu știe?

În mod tradițional, IT-ul din umbră presupunea adesea ca angajații să adopte o aplicație SaaS pe care departamentul IT nu o aprobase. Noutatea este că acum angajații pot crea ei înșiși aplicația și o pot face extrem de repede. Cineva poate construi o aplicație folosind un cont personal, o poate integra cu sisteme terțe și o poate conecta, eventual, la datele companiei înainte ca echipa de securitate să afle măcar de existența ei.

Tocmai asta face situația deosebit de dificilă: construirea aplicațiilor a devenit atât de ușoară, încât numărul lor și viteza cu care se modifică pot depăși rapid capacitatea guvernanței tradiționale. Directorii responsabili de securitatea informațiilor se confruntă cu aceeași întrebare fundamentală: cum poți securiza ceva când s-ar putea să nu știi nici măcar ce s-a construit sau cum este configurat?

Prin urmare, descoperirea trebuie să devină o componentă esențială a strategiei de securitate. O modalitate eficientă de a realiza acest lucru este să-i sprijinim pe inovatori, să-i încurajăm să exploreze, dar să le cerem să-și înregistreze proiectele. Organizațiile trebuie să aibă vizibilitate nu doar asupra codului, ci și asupra aplicațiilor care rulează în mediul lor, a identităților și permisiunilor asociate acestora, a datelor pe care le accesează și a sistemelor externe cu care comunică.

Privind cu câțiva ani înainte, vă așteptați ca majoritatea lucrătorilor din domeniul cunoașterii să devină un anumit tip de creatori de software cu ajutorul IA? Dacă da, cum se schimbă rolurile dezvoltatorilor profesioniști, ale echipelor de securitate și ale liderilor din departamentele de business ale companiilor?

Ne îndreptăm spre o lume în care definiția unui „creator de software” devine mult mai cuprinzătoare. IA le permite oamenilor care înțeleg o problemă de business, dar nu sunt dezvoltatori în sensul tradițional, să transforme extrem de repede o idee într-o aplicație funcțională. Am trăit asta pe propria piele.

Nu cred că asta îi face pe dezvoltatorii profesioniști sau pe cei din echipele de securitate mai puțin importanți. Se schimbă domeniile în care este nevoie de expertiza lor. Utilizatorii din departamentele de business pot crea tot mai des propriile soluții, în timp ce dezvoltatorii se pot concentra asupra problemelor tehnice mai complexe, iar echipele de securitate trebuie să asigure vizibilitatea și mecanismele de protecție care le permit noilor creatori să inoveze în siguranță. Suportul și întreținerea aplicațiilor capătă, de asemenea, o nouă perspectivă. „Creatorii” nu sunt întotdeauna și cei mai potriviți „responsabili de întreținere”. Ei aduc viziunea și înțelegerea nevoilor de business, însă suportul pe termen lung pentru o aplicație rămâne o sarcină mai potrivită pentru departamentele IT și de aplicații. Pentru liderii din departamentele de business, acest lucru creează oportunități extraordinare, dar și responsabilități noi. Dacă echipele dumneavoastră pot crea software, trebuie să luați în considerare riscurile asociate acestuia ca parte a activității companiei, nu doar ca pe o problemă care ține de departamentul de inginerie.

Vă mulțumim pentru acest interviu minunat. Cititorii care doresc să afle mai multe despre securitatea cloudului, aplicațiile construite cu ajutorul IA și securizarea mediilor de întreprindere pot vizita Orca Security.