Howard Ting, VD för Opal Security – Intervjuerien

Howard Ting, VD för Opal Security är en erfaren cyber säkerhets- och teknikchef som för närvarande leder Opal Security sedan november 2025. Innan detta uppdrag tjänstgjorde han som Executive in Residence på Greylock medan han tillbringade över fem år på Cyberhaven som både VD och styrelseledamot, och ledde företaget genom dess uppdrag att skydda data och möjliggöra säker innovation. Hans bakgrund omfattar strategisk marknadsledning på Redis Labs och Zscaler, samt seniora marknads- och produktroller på Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security och tidig erfarenhet inom M&A på Banc of America Securities. Denna kombination av operativ ledning, marknadsstrategi och djup cyber säkerhetskompetens gör honom unik på ledningen för en snabbt växande säkerhetsplattform.

Opal Security är ett modernt företag som specialiserar sig på identitetsbaserad åtkomsthantering och som tillhandahåller företag med en central plattform för att styra och skydda vem som har åtkomst till vad över moln, SaaS och interna system. Plattformen erbjuder en enhetlig vy över identitet och åtkomstvägar, stöder självbetjäning och just-in-time-åtkomstflöden och automatiserar åtkomstgranskningar för att verkställa principer för minsta behörighet i stor skala, vilket hjälper organisationer att minska risker och förbättra regelefterlevnad i dynamiska miljöer som omfattar mänskliga användare, tjänstekonton och AI-agenter.

Du har nyligen tillträtt som VD för Opal Security efter att ha lett Cyberhaven genom betydande tillväxt och haft seniora roller på företag som Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis och Microsoft. Vad var det som drog dig till Opal vid detta tillfälle i din karriär, och hur påverkar din tidigare erfarenhet hur du tänker kring åtkomst, identitet och AI-nativ säkerhet idag?

Att hantera åtkomst blir allt svårare överallt. Fler identiteter, fler maskiner, mer automation – och den meningsfulla åtkomsten kommer alltmer från insidan av teknik- och molnflöden, inte traditionell IT. Standardverktyg för IAM och IGA var inte byggda för något av detta, och identitetsbaserade hot väntar inte på att de ska hinna ikapp.

Det var det som drog mig till Opal. Omfattningen av detta problem är massiv, och Opal är redan i linje med var marknaden är på väg. Jag har sett versioner av detta mönster tidigare. På RSA, Palo Alto Networks och Cyberhaven såg jag multi-faktor-, nästa generations-brandvägg- och data-ägar-revolutionerna utvecklas i realtid, och dynamiken här är slående likartad: en kategoribestämmande problem som accelererar snabbare än de flesta leverantörer kan svara på, med ett smalt fönster för rätt team att äga det.

Opal har det teamet. Den tekniska och produktmässiga grunden är stark, och kundregistret, byggt genom direkt och fokuserad arbete, talar för sig själv. Varje kundkonversation jag hade bekräftade samma signal: detta problem accelererar, och Opal är den som löser det.

Vad jag har lärt mig av att bygga och skala team över företag är att genomförandet blir radikalt enklare när produkt, teknik och marknadsstrategi delar samma kundfokus. När alla ser samma problem och samma möjlighet, rör du dig snabbt utan att förlora precision. Opal har redan den grunden. Min uppgift är att bygga vidare på den – och se till att våra kunder känner hela kraften av det här teamet bakom dem när vi växer.

Med tanke på att du har arbetat med identitet, molninfrastruktur och företagssäkerhet under många år, var tror du att traditionella åtkomstkontrollmodeller bryter samman när organisationer antar AI på ett djupare sätt?

Det ärliga svaret är att de flesta traditionella åtkomstkontrollmodeller byggdes för att lösa autentisering – och för människor är det problemet i stort sett löst. IDP och moderna autentiseringsmetoder hanterar “vem är du?” ganska bra. För icke-mänskliga identiteter hanterar API-nycklar och hemlighetsförvaltning en del av vägen. Men auktorisering – “vad borde du få göra, och i hur lång tid?” – förblir djupt olöst för både människor och maskiner, och det är där den verkliga risken bor.

Vad som förvärrar detta är att teknikteam nu opererar genom automation, infrastruktur som kod och AI-assisterade verktyg som genererar nya behörigheter som en del av den dagliga utvecklingen. Åtkomst förändras inte långsamt genom IT-flöden längre – den skapas, modifieras och utvidgas programmatiskt, ofta utan att någon granskar vad som just har beviljats. Resultatet är en växande spridning av överbehörigade konton, fragmenterade behörighetsverktyg och styrning som är dyr, reaktiv och i stort sett blind för vad som faktiskt händer.

Och jag ska vara tydlig med en annan sak: det finns en enorm mängd AI-vaskning på den här marknaden just nu. Leverantörer rusar för att fästa “AI” på äldre arkitekturer, vilket döljer en kritisk verklighet för köpare – en fungerande, validerad säkerhets- och styrningsram för AI-agenter finns fortfarande inte. Hype överträffar de faktiska kontrollerna, och det gapet är där den verkliga exponeringen byggs.

Det är vad som gör Opals tillvägagångssätt annorlunda. Istället för att montera styrning på arbetsflöden efteråt, modellerar Opal åtkomst direkt från de system som teknikerna redan använder, tillämpar policy i realtid och ger säkerhetsteam en möjlighet att vägleda auktoriseringsbeslut utan att skapa friktion. När styrning passar naturligt in i hur teknik faktiskt fungerar, slutar den vara en blockerare och blir istället en infrastruktur som man kan lita på.

Opal fokuserar på att hantera vem och vad som kan komma åt känsliga system i moderna, molnbaserade miljöer. Vilka säkerhetsproblem är mest underskattade av företag som bygger med AI-agenter och automatiserade arbetsflöden?

De mest underskattade problemen är inte egentligen nya. De är de som har varit tysta under många år kring mänskliga identiteter. Grundläggande styrningshygien som joiner/mover/leaver-arbetsflöden, just-in-time-åtkomst och användaråtkomstgranskningar har försummats eller hoprullats vid de flesta organisationer under en lång tid. Regelefterlevnadsåtaganden som SOX har inte försvunnit heller; de har bara blivit svårare att uppfylla när miljöer växer mer komplexa. Inget av detta är glamoröst, men det är exakt den grund som bryter när du lägger till AI-agenter ovanpå.

Organisationer integrerar AI för att strömlinjeforma arbetsflöden och eliminera tråkiga uppgifter, men genom att göra det introducerar de icke-mänskliga identiteter som multiplicerar åtkomstrelationer på sätt som existerande verktyg aldrig var designade för att hantera. Resultatet är en rörig webb där mänsklig åtkomst redan var under-styrd och maskinåtkomst nu expanderar med ännu mindre synlighet. Åtkomstbeslut måste vara förklarliga, tidsbundna, knutna till verkligt användande och kontinuerligt övervakade, men de flesta team förlitar sig fortfarande på statiska, en-storlek-passar-alla-system som inte kan leverera något av detta. Samtidigt genererar kodningsagenter och distribuerar kod med inbäddade behörigheter, interagerar med infrastruktur direkt och opererar med åtkomst som ingen granskar genom en traditionell säkerhetslins – en regelefterlevnads- och säkerhetsexponering som de flesta organisationer inte ens har börjat att omfatta.

Företag som bygger med AI-agenter tenderar att fokusera på nyheten i tekniken medan de underskattar hur snabbt åtkomstspridning och osynliga behörigheter blir en allvarlig skuld – särskilt när den mänskliga identitetsgrunden under var redan skör.

Du har sett säkerhet utvecklas över flera generationer av infrastruktur. Vad förändras fundamentalt när maskinidentiteter och AI-agenter börjar överstiga antalet mänskliga användare?

När maskinidentiteter överstiger antalet mänskliga användare blir det allt svårare att övervaka vem som har åtkomst till vad. Traditionell IAM var inte designad för denna verklighet, och de flesta HR- och IAM-plattformar erbjuder endast partiell synlighet, särskilt när identitetsövervakning expanderar bortom en enda grupp. För att lyckas med att övervaka dessa typer av identiteter behöver vi ge AI-agenter tydligt ägande, omfattande behörigheter och fullständig granskning från början. Opal Security hanterar detta genom att modellera människor, tjänster och agenter inom en enda ram, snarare än att behandla dem som separata entiteter.

Revisorer förväntar sig nu att granska mänskligt och agentbeteende sida vid sida när de analyserar åtkomstgranskningar. Agenter ärver vanligtvis behörighetsuppsättningarna för de användare som distribuerar dem, men vissa användningsfall kräver agenter som identifierar sig som tjänstekonton med anpassade (vanligtvis nedskalade) behörighetsuppsättningar.

AI är alltmer både en angreppsyta och ett försvarverktyg. Från din synvinkel, var förbättrar AI säkerhetsresultaten idag, och var introducerar den fortfarande nya risker?

AI är ett oerhört kraftfullt verktyg som är grunden för vår produkt. Opal Security använder AI för att övervaka, upptäcka och förhindra ovanliga åtkomst över organisationer. AI förändrar också identitetssäkerhet eftersom den introducerar aktörer som inte bara autentiserar och kör uppgifter – de resonrar, anpassar sig och agerar autonomt. Traditionella identitetssystem byggdes för människor och statiska tjänstekonton, där åtkomst förändrades långsamt och avsikt var relativt förutsägbar.

Men AI-agenter bryter den modellen. Risken är förlust av synlighet och ansvar. Agenter kan starta och stoppa dynamiskt, kedja behörigheter över system och agera på uppdrag av användare, andra agenter eller sig själva. Inga säkra resurser kan “kränkas”, men känsliga åtgärder kan fortfarande inträffa eftersom allt var tekniskt auktoriserat. Det är den nya hotytan. Sättet att hantera detta är genom en enhetlig, intelligent plattform som förstår och säkrar alla entitetstyper genom kontext, beteende och kontinuerlig anpassning.

Denna enhetliga vy utgör grunden för säkerhet – du kan inte skydda det du inte kan se eller förstå. På Opal tror vi på att förstå varje relation. Det räcker inte att veta vem som är i systemet. Du måste veta vem som är ansluten till vad, och varför.

När AI-kodningsagenter och automatiserade system får bredare behörigheter inom organisationer, hur bör säkerhetsteam ompröva principen om minsta behörighet i praktiken, inte bara i teorin?

Modern identitetsåtkomst måste behandla mänskliga och maskinidentiteter lika, så att företag kan ha den synlighet, automation och tillit som behövs för att växa säkert i AI-eran. I praktiken innebär detta att bevilja behörigheter endast när det behövs, och kontinuerligt granska och justera åtkomst när uppgifter eller roller förändras. Automatiserad övervakning och riskbaserade kontroller blir avgörande för att säkerställa att AI-verktyg kan fungera effektivt utan att skapa onödig säkerhetsexponering.

Det är hjälpsamt att aktivera JIT som standard för agenter, men göra det friktionsfritt: automatiskt godkänna specifika resurser där det är lämpligt, eller om användaren opererar i en miljö där all data är känslig, begränsa användningen till sandlådade virtuella maskiner.

Även om eventuella nya begränsningar för agenter kan irritera slutanvändare genom att sakta ner dem, är det viktigt att möta användarna där de är. Med Opal innebär det att åtkomstbegäranden kan skickas in och godkännas i Slack, och IaaC-strategier, inklusive Terraform, kan användas för att automatisera åtkomstbeviljanden, återkallanden och tidsbunden åtkomst.

Baseras på din erfarenhet av att skala säkerhetsföretag, vilka signaler visar att en organisations åtkomstkontroller inte längre är i linje med hur affären faktiskt fungerar?

Organisationer kan se att deras åtkomstkontroller är ur synk när åtkomst börjar ligga efter verkligheten. Det kan visa sig som överdriven eller föråldrad behörighet, manuella flaskhalsar från äldre system eller införandet av AI-system utan uppdaterade policys för att spåra icke-mänskliga identiteter. Ett annat tydligt tecken är ökade säkerhetsincidenter eller nära missar, där överbehörigade konton eller dåligt styrda identiteter är boven.

Komplexa Sailpoint-distributioner, som förlitar sig på en grupp konsulter, och spårar åtkomst i kalkylblad var inte effektivt i eran före agenter, och dessutom kommer denna äldre strategi att kollapsa under agenthastighet och komplexitet. Opal levererar en enda plattform som tjänar säkerhet, avblockerar IT och ger revisorer vad de behöver. Vi har funnit att RBAC är skört och sällan en varaktig tillstånd, så framgångsrika team börjar med JIT och går sedan vidare till persona-baserad åtkomst (med flexibilitet och spårning över tid) så att Terraform-konfigurationer kan versioneras, distribueras eller återställas om nödvändigt.

Från ett ledningsperspektiv, hur balanserar du innovationshastighet med den disciplin som krävs för att bygga tillit till säkerhetsprodukter?

Jag har lärt mig att stora företag förblir disciplinerade om grunderna även när de växer snabbt. Dessa grunder inkluderar tydliga prioriteringar, transparent kommunikation och en vilja att göra svåra avvägningar. Innovation är fortfarande viktigt, men det måste vara grundat i rigor: starka standarder, genomtänkt hotmodellering och ansvar för resultat. Att fatta dessa beslut medvetet är vad som tillåter er att flytta snabbt utan att kompromissa med tillit, och över tid blir den disciplinen faktiskt en konkurrensfördel.

Vad tror du att säkerhetsledare missförstår mest om att förbereda sig för en framtid som domineras av autonoma system snarare än mänskligt driven åtkomst?

Det som säkerhetsledare oftast underskattar är komplexiteten i att hantera olika typer av identiteter. Företag är så ivriga att komma före och hålla sig uppdaterade med den senaste tekniken att säkerhetsåtgärder kan ofta hamna i skymundan. AI-drivna arbetsflöden introduceras ofta utan tydligt ägande, vilket lämnar organisationer med blindfläckar där icke-mänskliga identiteter tyst ackumulerar åtkomst, opererar utanför traditionella kontroller och skapar nya möjligheter för dyra fel eller hot. Att förbereda sig för denna framtid kräver att man behandlar identitet som en dynamisk, kontinuerligt styrande lager.

Som företag växer bör säkerhetsteam äga agenter och bestämma hur, om och var agenter ska begränsas från den mänskliga aktören som kallar agenten. Alla processer som tidigare lade till onödig belastning på mänskliga team kommer att kollapsa under omfattningen och det efemära naturen hos agenter: automation är det enda sättet att hantera begärandevolymen.

Att blicka framåt, vad ser “god säkerhets hygien” ut som i en miljö där AI-system kontinuerligt skapar, modifierar och begär åtkomst på egen hand?

God säkerhets hygien handlar om att utnyttja AI för att skala säkerhet samtidigt som man upprätthåller tillräcklig övervakning och disciplin för att säkerställa att ingenting glider igenom springorna. AI är inte på väg att försvinna, så oavsett om ett företag använder en leverantör som Opal eller hanterar internt, måste företag acceptera att åtkomst inte längre är statisk. När AI-system kontinuerligt skapar, modifierar och begär åtkomst måste säkerheten flytta från en gång till kontinuerlig övervakning. Det innebär att behandla åtkomst som en kontinuerlig livscykel snarare än en en-gångs-åtgärd.

Företag kommer också att behöva använda AI som en del av sitt försvar. Automation kan hjälpa team att hålla jämna steg med volymen och hastigheten på åtkomstförändringar, men det måste kombineras med tydliga riktlinjer, synlighet i delegeringskedjor och mänskligt ansvar när något går fel. Det är viktigt att presentera förklarliga signaler: Shapley-värden och funktionella koefficienter för traditionella ML-modeller, och ytterligare kontext eller detaljerade motiveringar från LLM. Utan dessa nyanser är det en uppförsbacke att upprätthålla någon form av tillitskedja för åtkomst till känsliga affärsresurser. Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka Opal Security.