เจฟฟ์ มาร์โกลีส์ Chief Product และ Strategy Officer ของ Saviynt – สัมภาษณ์ซีรีส์

เจฟฟ์ มาร์โกลีส์ Chief Product และ Strategy Officer ของ Saviynt เป็นผู้นำด้านการบริหารผลิตภัณฑ์ ยุทธศาสตร์องค์กร หุ้นส่วนเทคโนโลยี และพัฒนาธุรกิจ โดยทำงานร่วมกับลูกค้า หุ้นส่วน และทีมงานทั่วทั้งองค์กรเพื่อสร้างวิสัยทัศน์และแผนการเติบโตในระยะยาวของบริษัท เขามีประสบการณ์มากกว่า 25 ปี ในด้านอัตลักษณ์และความปลอดภัยทางไซเบอร์ โดย曾ดำรงตำแหน่ง Chief Strategy Officer ของ Saviynt และดำรงตำแหน่งผู้นำระดับสูงใน Mandiant Deloitte และ Accenture ใน Mandiant เขาได้กำกับด้านยุทธศาสตร์ หุ้นส่วนเชิงกลยุทธ์ และพัฒนาธุรกิจ ในขณะที่อาชีพแรกของเขาได้ช่วยสร้างและขยายธุรกิจการจัดการอัตลักษณ์และการเข้าถึงของ Accenture ให้กลายเป็นองค์กรระดับโลกที่มีมากกว่า 700 คน มาร์โกลีส์ จบการศึกษาระดับบัณฑิตศึกษาจาก University of Rochester และ University of California, Berkeley

Saviynt เป็นบริษัทด้านความปลอดภัยทางอัตลักษณ์ที่ขับเคลื่อนด้วย AI โดยมุ่งเน้นในการช่วยเหลือองค์กรในการจัดการและรักษาความปลอดภัยการเข้าถึงสำหรับผู้ใช้คน อัตลักษณ์ที่ไม่ใช่มนุษย์ เครื่องจักร แอปพลิเคชัน อินฟราสตรัคเจอร์ และตัวแทน AI แพลตฟอร์ม Saviynt Identity ให้บริการรวมถึงการจัดการอัตลักษณ์ การจัดการการเข้าถึงแบบสิทธิพิเศษ การจัดการการเข้าถึงแอปพลิเคชัน การจัดการอัตลักษณ์ภายนอก การรักษาความปลอดภัยอัตลักษณ์ที่ไม่ใช่มนุษย์ และการจัดการท่าทางความปลอดภัยอัตลักษณ์ ในแพลตฟอร์มคลาวด์ที่ออกแบบสำหรับสภาพแวดล้อมคลาวด์ ออน-пรีเมสิส SaaS IaaS และไฮบริด บริษัทได้กำหนดตำแหน่งของตัวเองให้มากขึ้นโดยรอบความต้องการของยุค AI รวมถึงเครื่องมือสำหรับการรักษาความปลอดภัยตัวแทน AI การจัดการการทำงานของตัวแทน และการเปิดใช้งานการดำเนินการอัตลักษณ์ภาษาธรรมชาติผ่านการเสนอขาย เช่น Saviynt MCP Server ใน AWS Marketplace

ในฐานะ Chief Product และ Strategy Officer คุณมีที่นั่งแถวหน้าในการเปลี่ยนแปลงความต้องการด้านความปลอดภัยทางอัตลักษณ์ขององค์กร คุณคิดว่าการเพิ่มขึ้นของตัวแทน AI ได้เปลี่ยนแปลงวิธีการที่องค์กรต้องคิดเกี่ยวกับอัตลักษณ์ การเข้าถึง และการจัดการอย่างไร และการเปลี่ยนแปลงเหล่านั้นได้影响การพัฒนา Agent Access Gateway และ Intent-Aware Runtime Authorization ของ Saviynt อย่างไร

ตัวแทน AI เปลี่ยนแปลงความปลอดภัยทางอัตลักษณ์เพราะอัตลักษณ์ของมนุษย์และเครื่องจักรทำงานในแบบที่แตกต่างกัน มันไม่ใช่แค่การจัดการคนเข้าสู่ระบบแอปพลิเคชันเท่านั้น องค์กรต้องจัดการซอฟต์แวร์ที่สามารถให้เหตุผล ตัดสินใจ และดำเนินการโดยอิสระข้ามระบบ ฉันคิดว่าตัวแทนเป็นรุ่นต่อไปของแอปพลิเคชัน หลังจากแอปพลิเคชัน mainframe client-server web และ SaaS เรากำลังเข้าสู่ยุคของแอปพลิเคชันตัวแทน

หลักการยังคงเหมือนเดิม องค์กรต้องทราบว่าใครเป็นเจ้าของตัวแทน ใครสามารถใช้ตัวแทนได้ ระบบใดที่ตัวแทนสามารถเข้าถึงได้ และการดำเนินการของตัวแทนถูกควบคุมอย่างไร อัตลักษณ์ของเครื่องจักรเปลี่ยนแปลงความเร็วและขนาด ชาวธุรกิจสามารถสร้างตัวแทนได้ภายในไม่กี่นาที ซึ่งหมายความว่าการกำกับดูแลต้องเคลื่อนไหวเร็วเหมือนกัน ซึ่งเป็นสิ่งที่ทำให้เราได้พัฒนา Agent Access Gateway และ Intent-Aware Runtime Authorization เพื่อช่วยให้องค์กรสามารถนำตัวแทนมาใช้พร้อมกับการควบคุมการเข้าถึงที่เหมาะสม ความรับผิดชอบ และการป้องกันจากต้น

ตัวแทน AI กำลังเคลื่อนจากการทดลองไปสู่สภาพแวดล้อมการผลิตอย่างรวดเร็ว ตัวแทนอัตโนมัติเปลี่ยนแปลงแบบจำลองการบริหารอัตลักษณ์และการเข้าถึงแบบดั้งเดิมที่องค์กรพึ่งพามาหลายทศวรรษอย่างไร

การบริหารอัตลักษณ์และการเข้าถึงแบบดั้งเดิมถูกสร้างขึ้นโดยรอบคนและซอฟต์แวร์ที่คาดการณ์ได้ ผู้ใช้เข้าสู่ระบบ ขอการเข้าถึง และดำเนินการเฉพาะในระบบที่กำหนดไว้ เราเข้าใจชีวิตวงจรของอัตลักษณ์ของมนุษย์ได้ชัดเจนในบริบทนี้ รวมถึงวิธีการจัดเตรียมการเข้าถึง ตัวแทน AI นำชีวิตวงจรที่แตกต่างมาให้ พวกมันสามารถถูกสร้างได้อย่างรวดเร็ว ดำเนินการอย่างต่อเนื่อง ปรับเปลี่ยนข้ามกระบวนการทำงาน และโต้ตอบกับแอปพลิเคชัน API และแหล่งข้อมูลหลายแห่งด้วยความเป็นอิสระที่มากกว่ามาก

หลักการอัตลักษณ์หลักยังคงใช้ได้ อัตลักษณ์ทุกชิ้นต้องการการยืนยันตัวตน การอนุญาต การกำกับดูแล และความรับผิดชอบ ความเร็วแตกต่างมาก แทนที่จะมีเพียงแอปพลิเคชันระดับองค์กรที่ถูกสร้างขึ้นโดยทีมกลาง องค์กรอาจมีตัวแทนหลายพันชิ้นที่ถูกสร้างโดยผู้ใช้ทางธุรกิจ ในความเป็นจริง 92% ของ CISO ไม่มีการมองเห็นเต็มที่ในอัตลักษณ์ AI และ 95% ไม่แน่ใจว่าพวกเขาจะสามารถตรวจจับหรือจำกัดการใช้ในทางที่ผิดหากเกิดขึ้น ความปลอดภัยทางอัตลักษณ์ต้องพัฒนาเพื่อให้การเป็นเจ้าของ การควบคุมการเข้าถึง การอนุมัติ และการตรวจสอบถูกกำหนดขึ้นโดยอัตโนมัติเมื่อตัวแทนถูกสร้างขึ้น

หลายองค์กรยังคงใช้การอนุญาตและการควบคุมการเข้าถึงที่ถูกออกแบบมาเพื่อพนักงานและแอปพลิเคชันซอฟต์แวร์แบบดั้งเดิม ทำไมวิธีการเหล่านี้จึงไม่เพียงพอเมื่อจัดการกับตัวแทน AI ที่สามารถให้เหตุผล ปรับเปลี่ยน และดำเนินการโดยอิสระ

การอนุญาตแบบดั้งเดิมมักจะถามว่า “อัตลักษณ์นี้ได้รับอนุญาตให้ดำเนินการนี้หรือไม่” ซึ่งไม่เพียงพอสำหรับตัวแทน AI เพราะตัวแทนอาจมีการอนุญาตที่จะทำบางสิ่ง แต่ยังคงดำเนินการนอกเหนือจากความตั้งใจของผู้ใช้

ตัวอย่างเช่น หากผู้ใช้ขอให้ตัวแทน “ทำความสะอาด” ฐานข้อมูล ตัวแทนอาจตีความว่าการลบข้อมูลบันทึก มันอาจได้รับอนุญาตในการลบข้อมูลบันทึกเหล่านั้น แต่นั่นอาจไม่ใช่สิ่งที่ผู้ใช้ตั้งใจ ด้วยตัวแทน องค์กรต้องประเมินไม่เพียงแต่ว่าการดำเนินการนั้นได้รับอนุญาตหรือไม่ แต่ยังว่ามันสอดคล้องกับแผนและความตั้งใจเดิมเบื้องหลังงานหรือไม่

Saviynt ได้แนะนำ Intent-Aware Runtime Authorization ™ เมื่อเร็วๆ นี้ สิ่งที่ “ตระหนักถึงความตั้งใจ” ในการอนุญาตหมายถึงอะไร และแตกต่างจากแบบจำลองการยืนยันตัวตนและการอนุญาตแบบดั้งเดิมอย่างไร

การอนุญาตที่ตระหนักถึงความตั้งใจหมายถึงการประเมินว่าการดำเนินการของตัวแทน是否สอดคล้องกับสิ่งที่มนุษย์ตั้งใจให้ทำ ทุกตัวแทนถูกสร้างหรือส่งออกเพื่อทำงาน และงานนั้นสร้างบริบทสำหรับสิ่งที่ตัวแทนควรและไม่ควรทำ

การอนุญาตแบบดั้งเดิมตัดสินใจแบบทวินาม ว่าการดำเนินการนั้นได้รับอนุญาตหรือไม่ การอนุญาตที่ตระหนักถึงความตั้งใจเพิ่มชั้นการประเมินอีกชั้นโดยถามว่าการดำเนินการนั้นมีเหตุผลในบริบทของงานเดิมหรือไม่ หากตัวแทนถูกขอให้เก็บข้อมูลเก่า แต่เริ่มลบข้อมูลที่ใช้งานอยู่ มันอาจได้รับอนุญาต แต่ไม่สอดคล้องกับความตั้งใจของผู้ใช้ เป้าหมายของการอนุญาตที่ตระหนักถึงความตั้งใจในขณะทำงานคือการควบคุมการดำเนินการของตัวแทนในเวลาจริงตามบริบทของงาน นโยบาย และผลลัพธ์ที่ตั้งใจ

องค์กรสามารถกำหนดได้อย่างไรว่าตัวแทน AI ควรได้รับอนุญาตให้ดำเนินการเฉพาะเจาะจงแม้ว่าจะมีการอนุญาตเข้าถึงระบบพื้นฐาน

เริ่มต้นด้วยการวางแผน ก่อนที่ตัวแทนจะดำเนินการ องค์กรต้องกำหนดว่าตัวแทนควรบรรลุผลลัพธ์ใด ระบบใดที่ตัวแทนควรเข้าถึง ระบบป้องกันใดที่ใช้ และนโยบายใดที่ตัวแทนจะต้องปฏิบัติตาม แผนนั้นกลายเป็นมาตรฐานในการประเมินพฤติกรรมของตัวแทน

คำถามหลักไม่ใช่แค่ว่าตัวแทนได้รับอนุญาตหรือไม่ แต่ว่าการดำเนินการของตัวแทนสอดคล้องกับงานที่ตัวแทนถูกสร้างขึ้นหรือไม่ แอปพลิเคชันและ API หลายตัวไม่ได้ถูกสร้างขึ้นเพื่อบังคับใช้ระดับนั้นของบริบท ซึ่งเป็นสิ่งที่ทำให้แบบจำลองเกตเวย์มีความสำคัญ Agent Access Gateway ให้ชั้นการควบคุมเพิ่มเติมในการประเมินแผนเทียบกับการดำเนินการ และช่วยจัดการการให้สิทธิ์มากเกินไปหรือช่องว่างในระบบที่มีอยู่

หนึ่งในความกังวลที่ยิ่งใหญ่ที่สุดเกี่ยวกับตัวแทน AI คือความสามารถในการดำเนินการข้ามแอปพลิเคชันและแหล่งข้อมูลหลายแห่งในเวลาเพียงไม่กี่วินาที ความเสี่ยงใหม่ใดที่สร้างขึ้นสำหรับทีมความปลอดภัย และความเสี่ยงใดที่ถูกมองข้ามในปัจจุบัน

ตัวแทน AI ไม่ได้สร้างความเสี่ยงใหม่เสมอไป ในหลายกรณี พวกมันเพิ่มความน่าจะเป็นที่ความเสี่ยงที่มีอยู่จะถูกใช้ประโยชน์ หากองค์กรมีบัญชีที่มีสิทธิ์มากเกินไป การควบคุมที่อ่อนแอ หรือระบบที่พึ่งพาการปกปิด ตัวแทนสามารถค้นหาและดำเนินการตามจุดอ่อนเหล่านั้นได้เร็วกว่ามนุษย์ ทำให้ความเสี่ยงเพิ่มขึ้น

ฉันเคยเปรียบเทียบมันกับการทิ้งประตูหลังที่ไม่ได้ล็อก จุดอ่อนด้านความปลอดภัยนั้นยังคงอยู่ แต่ความน่าจะเป็นที่จะพบมันอาจต่ำมาก แต่ลองนึกภาพตัวแทนตรวจสอบประตูหลังทุกประตูในหลายพันสภาพแวดล้อมในเวลาไม่กี่วินาที นั่นคือเหตุผลที่องค์กรต้องทำให้พื้นฐานถูกต้อง รู้ว่าตัวแทนเหล่านั้นเป็นตัวอะไร รู้ว่าตัวแทนสามารถเข้าถึงอะไรได้ และจำกัดสิทธิ์ที่ไม่จำเป็น และควบคุมการดำเนินการของตัวแทนอย่างต่อเนื่อง

เมื่อองค์กรใช้ตัวแทน AI หลายตัวข้ามภาคส่วน องค์กรควรจัดการใครที่สามารถโต้ตอบกับตัวแทนเหล่านั้นและข้อมูลหรือระบบใดที่ตัวแทนเหล่านั้นสามารถเข้าถึงได้อย่างไร

วิธีที่เป็นประโยชน์ในการคิดเกี่ยวกับตัวแทน AI คือการคิดว่ามันเป็นแอปพลิเคชัน องค์กรรู้แล้วว่าจะจัดการแอปพลิเคชันได้อย่างไร คือ ใครเป็นเจ้าของ ใครสามารถใช้ได้ ระบบใดที่เชื่อมต่อ ข้อมูลใดที่สามารถเข้าถึงได้ และการเข้าถึงนั้นถูกตรวจสอบอย่างไร คำถามเดียวกันใช้กับตัวแทน

สิ่งที่แตกต่างคือตัวแทนสามารถถูกสร้างขึ้นในไม่กี่นาทีโดยผู้ใช้ทางธุรกิจ ไม่ใช่ในหลายเดือนโดยทีมพัฒนาขนาดใหญ่ และเพียง 5% ของ CISO รู้สึกมั่นใจว่าพวกเขาสามารถจำกัดตัวแทน AI ที่ถูกบุกรุกได้ การกำกับดูแลต้องถูกสร้างเข้าไปในกระบวนการสร้างตัวแทนเพื่อให้การเป็นเจ้าของ การเข้าถึง การอนุมัติ สิทธิ์ และการตรวจสอบเป็นระยะถูกกำหนดขึ้นตั้งแต่ต้น แทนที่จะถูกเพิ่มหลังจาตัวแทนเริ่มทำงานแล้ว

Shadow AI ได้กลายเป็นความกังวลที่เพิ่มขึ้นเมื่อพนักงานนำเครื่องมือ AI มาใช้นอกการดูแลอย่างเป็นทางการของทีม IT ตัวแทน AI เพิ่มความท้าทายนี้อย่างไร และองค์กรสามารถดำเนินการเชิงปฏิบัติใดเพื่อเพิ่มความมองเห็นและควบคุม

ตัวแทน AI เพิ่มความท้าทายของ Shadow AI เนื่องจากตัวแทนสามารถสร้างและดำเนินการข้ามระบบได้ แต่นั่นไม่ได้หมายความว่าองค์กรควรพยายามหยุดคนจากการใช้พวกมัน ผลผลิตที่ได้รับเป็นจริง และธุรกิจจะตามไป

คำตอบเชิงปฏิบัติคือการมองเห็นและระบบป้องกัน องค์กรต้องทราบว่าตัวแทนเหล่านั้นเป็นตัวอะไร ใครเป็นเจ้าของตัวแทน ตัวแทนถูกตั้งใจให้ทำอะไร และระบบหรือข้อมูลใดที่ตัวแทนสามารถเข้าถึงได้ แต่ละตัวแทนควรจะมีอัตลักษณ์ สิทธิ์ที่กำหนดไว้ และการตรวจสอบอย่างต่อเนื่อง องค์กรหลายแห่งยังคงอยู่ในขั้นตอนการลองใช้งาน ดังนั้นยังมีเวลาที่จะสร้างการกำกับดูแลก่อนที่การนำตัวแทนมาใช้จะขยายขนาดมากขึ้น แต่เวลานั้นกำลังจะหมดไปอย่างรวดเร็ว

เมื่อมองไปข้างหน้า คุณเชื่อหรือไม่ว่าตัวแทน AI ทุกตัวในที่สุดจะต้องมีอัตลักษณ์ดิจิทัล แฟร์มเวิร์กการกำกับดูแล และการตรวจสอบเช่นเดียวกับพนักงานคน คืออะไรที่ดูเหมือนแบบจำลองในอนาคต

ตัวแทน AI ทุกตัวควรจะมีอัตลักษณ์โดยไม่มีข้อสงสัย เพื่อให้องค์กรทราบว่าตัวแทนเป็นตัวอะไร ใครเป็นเจ้าของ มีสิทธิ์เข้าถึงอะไร และทำอะไร อัตลักษณ์ของมนุษย์และอัตลักษณ์ที่ไม่ใช่มนุษย์ รวมถึงตัวแทน AI ต้องถูกควบคุมผ่านแบบจำลองความปลอดภัยทางอัตลักษณ์ที่รวมกัน

แนวคิดเหล่านี้คุ้นเคย เช่น การยืนยันตัวตน การอนุญาต การเป็นเจ้าของ สิทธิ์ การติดตามกิจกรรม และการกำกับดูแล สิ่งที่เปลี่ยนแปลงคือขนาด องค์กรอาจสร้างตัวแทนหลายร้อยตัวต่อสัปดาห์ ซึ่งนำไปสู่การสร้างตัวแทนหลายพันตัวหรืออาจถึงล้านตัวในอนาคต อนาคตคือการนำหลักการความปลอดภัยทางอัตลักษณ์มาใช้กับทุกประเภทของอัตลักษณ์โดยเร็วและใหญ่ขึ้น ตอนนี้เป็นเวลาที่จะเริ่มดำเนินการ

เมื่อองค์กรแข่งขันกันเพื่อนำตัวแทน AI มาใช้ สิ่งที่ผิดพลาดที่พบบ่อยที่สุดคืออะไรที่คุณเห็นองค์กรทำในปัจจุบัน และอะไรที่ผู้นำด้านความปลอดภัยและเทคโนโลยีควรให้ความสำคัญในอีก 12 ถึง 24 เดือนข้างหน้าเพื่อให้ตัวแทน AI ยังคงให้ผลผลิตและเชื่อถือได้

จะเป็นความผิดพลาดครั้งใหญ่ถ้าปล่อยให้ความปลอดภัยในยุคนี้เป็นโอกาส การเพิ่มผลผลิตที่เกี่ยวข้องกับตัวแทน AI นั้นเป็นจริง และองค์กรต้องจับผลประโยชน์เหล่านั้น ความเสี่ยงที่ยิ่งใหญ่ที่สุดคือความปลอดภัยและการกำกับดูแลไม่ตามทัน

ในอีก 12 ถึง 24 เดือนข้างหน้า ผู้นำควรให้ความสำคัญกับการมองเห็นและหลักการกำกับดูแลพื้นฐาน คือ การรักษาInventory ของตัวแทน การกำหนดเจ้าของตัวแทน ให้ตัวแทนแต่ละตัวมีอัตลักษณ์ เข้าใจว่าตัวแทนสามารถเข้าถึงอะไรได้ และทำให้การกำกับดูแลเป็นส่วนหนึ่งของกระบวนการสร้างตัวแทน นี่เป็นโอกาสในการสร้างความปลอดภัยเข้าไปในกระบวนการเปลี่ยนแปลงแพลตฟอร์มหลักตั้งแต่ต้น แทนที่จะพยายามเพิ่มความปลอดภัยในภายหลัง

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ Saviynt