เควิน เพจ CISO ที่ ConductorOne – ซีรีส์สัมภาษณ์

เควิน เพจ CISO ที่ ConductorOne เป็นนักบริหารด้านความปลอดภัยไซเบอร์ผู้มีประสบการณ์มากกว่าสามทศวรรษที่ครอบคลุมรัฐบาล เทคโนโลยีระดับองค์กร และสตาร์ทอัพแบบเติบโตอย่างรวดเร็ว โดยมีฐานอยู่ในพื้นที่อ่าวซานฟรานซิสโก เขาเป็นผู้นำด้านกลยุทธ์ความปลอดภัยด้านอัตลักษณ์สำหรับบริษัท ในขณะเดียวกันก็ให้คำปรึกษากับองค์กรต่างๆ เกี่ยวกับความปลอดภัยของแรงงานสมัยใหม่และธรรมาภิบาล เพจ từngดำรงตำแหน่ง CISO ที่ Uptycs, Flexport และ MuleSoft ซึ่งเขาได้ช่วยสร้างและขยายโปรแกรมความปลอดภัยในช่วงการเติบโตอย่างรวดเร็ว ในช่วงแรกของอาชีพการงานของเขา เขา曾ดำรงตำแหน่งผู้นำด้านความปลอดภัยและโครงสร้างพื้นฐานที่ Salesforce (CRM ) และ xMatters และ曾รับใช้ในกองทัพเรือสหรัฐฯ และกองทัพอากาศสหรัฐฯ นอกเหนือจากบทบาทการปฏิบัติงานแล้ว เขายังเป็นผู้ให้คำปรึกษาและนักลงทุนในระบบนิเวศของสตาร์ทอัพด้านความปลอดภัยไซเบอร์

ConductorOne พัฒนาแพลตฟอร์มการกำกับดูแลและจัดการการเข้าถึงอัตลักษณ์ที่ออกแบบมาเพื่อสภาพแวดล้อมคลาวด์และไฮบริดสมัยใหม่ เทคโนโลยีนี้ให้ความมองเห็นที่เป็นเอกภาพในอัตลักษณ์และสิทธิ์การใช้งานทั่วแอปพลิเคชัน อินฟราสตร์กต์ และระบบบนพื้น ทำให้องค์กรสามารถตรวจสอบการเข้าถึงอัตโนมัติ บังคับใช้การเข้าถึงแบบมีสิทธิ์น้อยที่สุด และลดความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับอัตลักษณ์ โดยการรวมการวิเคราะห์อัตลักษณ์กับเวิร์กโฟลว์อัตโนมัติ แพลตฟอร์มนี้ช่วยให้ทีมความปลอดภัยจัดการการเข้าถึงในระดับใหญ่ ในขณะเดียวกันก็ปรับปรุงความสอดคล้องและประสิทธิภาพการปฏิบัติงาน

คุณมีอาชีพที่ยาวนานซึ่งครอบคลุมการดำเนินงานไซเบอร์ของกองทัพอากาศสหรัฐฯ บทบาทความปลอดภัยระดับองค์กรที่บริษัทต่างๆ เช่น MuleSoft, Flexport และ Salesforce และปัจจุบันดำรงตำแหน่ง CISO ที่ ConductorOne มุมมองของคุณเกี่ยวกับความปลอดภัยด้านอัตลักษณ์เปลี่ยนแปลงไปอย่างไรตลอดบทบาทเหล่านี้ และทำไมคุณถึงเชื่อว่าอัตลักษณ์กลายเป็นหนึ่งในสนามรบที่สำคัญที่สุดในด้านความปลอดภัยไซเบอร์สมัยใหม่

ในกองทัพอากาศ อัตลักษณ์เป็นเรื่องง่าย — ระดับการรับรอง ความจำเป็นที่จะรู้ ทุกอย่างอยู่หลังไฟร์วอลล์ เสร็จสิ้น ที่ MuleSoft มันเกี่ยวกับการขยายขนาด — การจัดเตรียมผู้ใช้หลายพันคนข้ามแอปพลิเคชัน SaaS หลายร้อยรายการโดยไม่สร้างช่องว่าง ที่ Flexport เส้นขอบเขตหายไปและอัตลักษณ์เป็นเครื่องมือควบคุมเดียวที่ยังทำงานไม่ว่าใครจะอยู่ที่ไหน

ที่ ConductorOne อัตลักษณ์กำลังผ่านการเปลี่ยนแปลงที่สำคัญที่สุด มันไม่ใช่แค่เกี่ยวกับคน — มันเกี่ยวกับเครื่องจักร API บัญชีบริการ และตัวแทน AI ที่ทำงานอิสระ เครื่องมือที่องค์กรส่วนใหญ่ใช้นั้นถูกออกแบบมาเพื่อโลกที่ไม่มีอยู่แล้ว

อัตลักษณ์เป็นสนามรบที่สำคัญเพราะมันสัมผัสทุกอย่าง คุณสามารถมีการรักษาความปลอดภัยปลายทางและการแบ่งส่วนเครือข่ายที่ดีที่สุดในโลก — หากบางสิ่งมีการเข้าถึงที่ไม่ถูกต้อง ไม่มีสิ่งใดที่สำคัญ

รายงาน Future of Identity ที่กำลังจะมาถึงของคุณพบว่า 95% ขององค์กรกล่าวว่าตัวแทน AI กำลังทำงานอิสระในการทasks IT หรือด้านความปลอดภัยแล้ว มีงานใดบ้างที่ตัวแทนเหล่านี้กำลังดำเนินการในปัจจุบัน และคุณคาดหวังว่าระดับอิสระของพวกเขาจะเพิ่มขึ้นเร็วแค่ไหน

สิ่งที่ทำให้ฉันประหลาดใจไม่ใช่การนำรับ — แต่เป็นความเร็ว ปีที่แล้ว 96% วางแผนจะใช้ตัวแทน ในปีนี้ 95% แล้วใช้งาน ต้องไม่ใช่การเพิ่มขึ้นอย่างช้าๆ

ตัวแทนกำลังจัดการเวิร์กโฟลว์ของ Helpdesk การแจ้งเตือนการตรวจสอบการเข้าถึง การจัดเตรียม และในบางกรณีการแก้ไขอัตโนมัติ ส่วนที่ผู้คนส่วนใหญ่พลาดคือ 64% ขององค์กรอนุญาตให้ตัวแทนทำงานอิสระด้วยการตรวจสอบหลังการดำเนินการ ตัวแทนจะดำเนินการก่อน และมนุษย์จะตรวจสอบหลัง — หากพวกเขาทำเช่นนั้น

ตัวแทนที่กำลังทำงาน Helpdesk ในปัจจุบันจะทำการตัดสินใจด้านความปลอดภัยภายใน 12 เดือน คำถามไม่ใช่ว่าความเป็นอิสระจะเพิ่มขึ้น — แต่ว่าการกำกับดูแลจะตามทันหรือไม่ ปัจจุบันไม่ได้

รายงานเน้นย้ำถึงการเพิ่มขึ้นของอัตลักษณ์ที่ไม่ใช่มนุษย์ รวมถึง API โบท และตัวแทน AI ทำไมอัตลักษณ์เหล่านี้จึงเติบโตอย่างรวดเร็ว และทำไมองค์กรหลายแห่งยังคงดิ้นรนในการจัดการพวกมันอย่างมีประสิทธิภาพ

มีสามปัจจัยที่สอดคล้องกัน การใช้คลาวด์และ SaaS หมายถึงการรวมที่ต้องการอัตลักษณ์ของตนเอง การพัฒนา DevOps สร้างอัตลักษณ์ของเครื่องจักรในระดับใหญ่ — ทุกพายพ์ ทุกคอนเทนเนอร์ และไมโครเซอร์วิส และตัวแทน AI กำลังเพิ่มอัตลักษณ์ประเภทใหม่ที่ไม่เพียงแต่มีการเข้าถึง แต่ยังใช้มันในการตัดสินใจ

องค์กรต่างๆ ดิ้นรนเพราะเครื่องมือไม่ได้ถูกสร้างขึ้นสำหรับสิ่งนี้ ระบบ IAM แบบดั้งเดิมสมมติว่ามีผู้ใช้ที่เข้าระบบและออกจากระบบ อัตลักษณ์ที่ไม่ใช่มนุษย์ทำงานอย่างต่อเนื่อง ไม่ตอบสนองต่อ MFA มักจะมีการรับรองประจำที่ และสะสมสิทธิ์เพราะไม่มีใครตรวจสอบการเข้าถึงของพวกมันเหมือนกับการตรวจสอบของมนุษย์

ยังมีปัญหาเรื่องการเป็นเจ้าของ เมื่อนักพัฒนาสร้างบัญชีบริการและย้ายทีม ใครเป็นเจ้าของมัน บ่อยครั้งไม่มีใคร Industry research แสดงให้เห็นว่า 97% ของ NHIs มีสิทธิ์ที่มากเกินไป นั่นไม่ใช่ปัญหาเครื่องมือ — แต่เป็นช่องว่างในการกำกับดูแล

เกือบครึ่งหนึ่งของบริษัทกล่าวว่าอัตลักษณ์ที่ไม่ใช่มนุษย์มากกว่าผู้ใช้มนุษย์ แต่เพียงเศษเสี้ยวขององค์กรมีการมองเห็นเต็มรูปแบบเกี่ยวกับสิ่งที่อัตลักษณ์เหล่านั้นสามารถเข้าถึงได้ มีความเสี่ยงใดที่เกิดขึ้นเมื่อองค์กรสูญเสียการมองเห็นเกี่ยวกับอัตลักษณ์แบบอัตโนมัติเหล่านี้

สามชั้นแรก คือ การเข้าถึงที่ถูกบุกรุก NHIs มักใช้ API คีย์ที่มีอายุการใช้งานยาวหรือโทเค็นแบบคงที่ที่ไม่หมุนเวียน ผู้โจมตีที่มีหนึ่งในนั้นมีการเข้าถึงที่คงอยู่ซึ่งไม่กระตุ้นการเตือนแบบเดียวกับการบุกรุกบัญชีมนุษย์

ชั้นที่สอง คือ การสะสมสิทธิ์ การรวมที่เริ่มต้นด้วยการเข้าถึงแบบอ่านอย่างเงียบๆ ได้รับการเข้าถึงแบบเขียน Nobody ลบสิทธิ์เก่าเพราะไม่มีใครตรวจสอบอัตลักษณ์ของเครื่องจักร

ชั้นที่สาม — และนี่คือสิ่งที่เกิดขึ้นอย่างรวดเร็ว — ตัวแทน AI เพิ่มความเสี่ยงทั้งสองนี้ ตัวแทนบริการที่มีการเข้าถึงฐานข้อมูลแบบอ่านอย่างถูกต้องเป็นสิ่งที่ไม่ดี ตัวแทน AI ที่มีการเข้าถึงแบบเดียวกันซึ่งสามารถทำงานอิสระในการสรุป แบ่งปัน และดำเนินการตามสิ่งที่อ่านได้คือสิ่งที่เลวร้ายกว่ามาก

รายงานของเราพบว่าการมองเห็น NHIs ลดลงจริงๆ — จาก 30% เป็น 22% ในช่วงปีที่แล้ว องค์กรกำลังพบปัญหาเร็วกว่าที่พวกเขาสามารถแก้ไขได้

หลายองค์กรเห็น AI เป็นตัวเร่งความเร็วในการผลิต แต่การวิจัยของคุณชี้ให้เห็นว่ามันสามารถขยายพื้นที่โจมตีได้อย่างเงียบๆ มันจะขยายพื้นที่โจมตีได้อย่างไรเมื่อมีการนำเครื่องมือและตัวแทน AI มาใช้

ความเสี่ยงที่ทันทีที่สุดคือการให้สิทธิ์มากเกินไปโดยไม่ได้ตั้งใจ ทีมงานนำตัวแทน AI มาใช้สำหรับเวิร์กโฟลว์หนึ่ง แต่ให้สิทธิ์เข้าถึงที่กว้างกว่าที่ต้องการเพราะการกำหนดสิทธิ์สำหรับเครื่องจักรนั้นยากกว่าสำหรับมนุษย์ ตัวแทนไม่เพียงแต่เห็น 티켓สนับสนุน — แต่ยังเห็นฐานข้อมูลลูกค้าทั้งหมด

จากนั้นยังมีการฉีดข้อมูลเข้าไปในตัวแทน ตัวแทนสามารถถูกบงการให้ดำเนินการไม่คาดคิดได้ หากตัวแทนมีการเข้าถึงที่กว้าง การกระตุ้นที่สร้างขึ้นจะเปลี่ยนเครื่องมือช่วยเหลือให้เป็นเครื่องมือในการส่งออกข้อมูล

สุดท้ายคือ AI ที่ซ่อนอยู่ Gartner รายงานว่าการใช้ AI ขององค์กรมีมากกว่า 50% เป็นการใช้ที่ไม่ได้รับอนุญาต แต่ละการเชื่อมต่อที่ไม่ได้รับอนุญาตจะสร้างอัตลักษณ์และพื้นที่โจมตีใหม่ๆ ที่ทีมความปลอดภัยไม่สามารถเห็นได้

ฉันเห็นมันเอง — บางคนให้ตัวแทนเข้าถึงระบบภายใน และภายในไม่กี่วัน บางคนกระตุ้นตัวแทนให้เผยแพร่ค่าตอบแทนและตารางวันหยุดของ CEO ตัวแทนทำงานตามที่ออกแบบไว้ ความล้มเหลวคือแบบจำลองการเข้าถึง

การกำกับดูแลและจัดการอัตลักษณ์แบบดั้งเดิมมุ่งเน้นไปที่พนักงานที่เข้าระบบ ควรพัฒนาการกำกับดูแลอัตลักษณ์อย่างไรเมื่อตัวแทนซอฟต์แวร์ทำงานอิสระและโต้ตอบกับโครงสร้างพื้นฐานและตัดสินใจ

การเปลี่ยนแปลงพื้นฐานคือจากแบบช่วงเวลาเป็นแบบต่อเนื่อง การกำกับดูแลแบบดั้งเดิมดำเนินการตามการตรวจสอบรายไตรมาสและรับรองประจำปี ตัวแทน AI ทำงาน 24/7 ตัดสินใจหลายพันครั้งระหว่างรอบการตรวจสอบ และสามารถเปลี่ยนพฤติกรรมตามการอัปเดตแบบจำลอง โดยเวลาที่การตรวจสอบรายไตรมาสพบตัวแทนซึ่งมีสิทธิ์มากเกินไป อันตรายก็เกิดขึ้นแล้ว

สามสิ่งที่ต้องเปลี่ยนแปลง การกำกับดูแลต้องเป็นแบบต่อเนื่อง — การประเมินการเข้าถึงในเวลาจริง ไม่ใช่ตามกำหนดเวลา มันจะต้องเป็นนโยบายที่ขับเคลื่อน ไม่ใช่การกำหนดบทบาท — นโยบายแบบไดนามิกที่มีกรอบงานเฉพาะ ไม่ใช่การกำหนดบทบาทแบบคงที่ และจะต้องเป็นแบบบันทึกที่สมบูรณ์ — การดำเนินการของตัวแทนแต่ละครั้งจะถูกบันทึกและสามารถสืบย้อนกลับไปถึงผู้ที่อนุญาตได้

การกำกับดูแลอัตลักษณ์ต้องทำงานที่ความเร็วของเครื่องจักรเพื่อกำกับดูแลตัวแทนเครื่องจักรที่ทำงานด้วยความเร็วของเครื่องจักร ช่องว่างนั้นคือที่ที่ความเสี่ยงอาศัยอยู่

จากมุมมองทางเทคนิค อะไรคือการเปลี่ยนแปลงที่จำเป็นในโครงสร้างพื้นฐานอัตลักษณ์เพื่อรักษาตัวแทน AI ที่ทำงานภายในสภาพแวดล้อมองค์กร

การเปลี่ยนแปลงที่ใหญ่ที่สุดคือการรวมทุกอย่าง องค์กรส่วนใหญ่จัดการอัตลักษณ์ของมนุษย์ผ่าน IDP และจัดการอัตลักษณ์ของเครื่องจักรผ่านผู้จัดการความลับและกระบวนการด้วยมือ ตัวแทน AI ตกอยู่ในช่องว่างระหว่างทั้งสองโลก

สามสิ่งที่ต้องเกิดขึ้น ตัวแทน AI แต่ละตัวต้องมีอัตลักษณ์ระดับชั้นนำ — ไม่ใช่บัญชีบริการที่ใช้ร่วมกัน ไม่ใช่ข้อมูลประจำตัวของนักพัฒนา แต่เป็นอัตลักษณ์ที่มีชีวิตประจำวันและบันทึกการตรวจสอบของตนเอง อัตลักษณ์เหล่านั้นต้องมีการเข้าถึงแบบ Just-In-Time และ Just-Enough — สิทธิ์ขั้นต่ำสำหรับงานเฉพาะ ถูกยกเลิกเมื่องานเสร็จสิ้น องค์กรต้องมีการตรวจสอบอย่างต่อเนื่องว่าตัวแทนใช้การเข้าถึงของตนอย่างไร — ไม่ใช่แค่สิ่งที่พวกเขาได้รับอนุญาต

ที่ ConductorOne เรากำกับดูแลอัตลักษณ์ของมนุษย์และไม่ใช่มนุษย์ผ่านแพลตฟอร์มควบคุมเดียว นั่นคือทิศทางที่อุตสาหกรรมกำลังจะไป — 45% แล้วใช้เครื่องมือ IAM สำหรับการกำกับดูแล NHI อีก 45% วางแผนจะใช้ภายใน 12 เดือน การกำกับดูแลอัตลักษณ์แบบมนุษย์เท่านั้นกำลังจะสิ้นสุดลง

บางองค์กรพยายามจัดการความเสี่ยง AI โดยการจำกัดหรือห้ามเครื่องมือ AI ทั้งหมด มีความเป็นจริงหรือไม่ที่จะหยุดใช้ AI หรือจะทำให้การใช้ AI ลดลงและไม่มีการดูแล

มันจะผลักดันให้ไปอยู่ใต้ดิน ทุกครั้ง ฉันเห็นเรื่องนี้กับทุกคลื่นเทคโนโลยี — BYOD คลาวด์ SaaS เมื่อความปลอดภัยบอกว่าไม่ ผู้คนไม่หยุด พวกเขาแค่หยุดบอกความปลอดภัย

รายงานของ Gartner ระบุว่าการใช้ AI ที่ซ่อนอยู่คิดเป็นมากกว่า 50% ของการใช้ AI ขององค์กร การห้าม AI ไม่กำจัดความเสี่ยง — แต่กำจัดความมองเห็น และคุณไม่สามารถรักษาความปลอดภัยสิ่งที่คุณไม่สามารถมองเห็นได้

แนวทางที่ดีกว่า — ทำให้เส้นทางที่ปลอดภัยเป็นเส้นทางที่ง่าย ทีมงานจะใช้ AI ที่มีการกำกับดูแลหากเป็นเรื่องง่ายและรวดเร็ว หากต้องใช้เวลาหกสัปดาห์เพื่อให้ได้รับการอนุมัติ พวกเขาจะตั้งค่าบัญชีส่วนตัวในช่วงพักกลางวัน

การห้าม AI ในปี 2026 เหมือนกับการห้ามคลาวด์ในปี 2016 คุณไม่ได้ป้องกันความเสี่ยง — คุณรับประกันว่าคุณจะไม่เห็นมันมา

เมื่อระบบ AI เริ่มทำงานอิสระมากขึ้น เส้นแบ่งระหว่างการทำงานอัตโนมัติและอำนาจกลายเป็นเรื่องที่ไม่ชัดเจน องค์กรควรคิดเกี่ยวกับการกำกับดูแล การอนุมัติ และการดูแลอย่างไรเมื่อตัวแทน AI สามารถดำเนินการเชิงปฏิบัติ

คิดถึงการ تفويض ไม่ใช่การทำงานอัตโนมัติ เมื่อคุณมอบหมายงานให้กับคน คุณกำหนดขอบเขต รับผิดชอบ และตรวจสอบงานเดียวกัน โครงสร้างเดียวกันนี้ใช้กับตัวแทน

หมายถึงการมอบอำนาจแบบ分层 การดำเนินการความเสี่ยงต่ำซ้ำๆ — การรีเซ็ตรหัสผ่าน การกำหนดทิศทางตั๋ว — สามารถทำงานอิสระด้วยการบันทึก การดำเนินการความเสี่ยงปานกลาง — การเปลี่ยนแปลงการกำหนดค่าความปลอดภัย การเข้าถึงระดับสูง — ต้องการการอนุมัติจากมนุษย์หรือการแจ้งเตือนแบบเรียลไทม์ การดำเนินการความเสี่ยงสูง — ข้อมูลที่ละเอียดอ่อน การเข้าถึงแบบมีสิทธิ์ และการเปลี่ยนแปลงที่ไม่สามารถย้อนกลับ — ต้องการการอนุมัติอย่างชัดเจนก่อนที่ตัวแทนจะดำเนินการ

ทุกตัวแทนยังต้องมีเจ้าของที่รับผิดชอบต่อการดำเนินการของมัน หากไม่มีห่วงโซ่นี้ ตัวแทนจะดำเนินการในพื้นที่ที่ไม่มีการกำกับดูแลที่ไม่มีใครรับผิดชอบต่อผลที่ตามมา

รายงานของเราพบว่าเพียง 19% มีการบังคับใช้นโยบายแบบต่อเนื่องสำหรับตัวแทน ซึ่งหมายความว่า 81% พึ่งพาสิทธิ์แบบคงที่และหวังว่ามันจะสำเร็จ นั่นไม่ใช่การกำกับดูแล

เมื่อมองไปข้างหน้า มีอะไรที่ผู้นำด้านความปลอดภัยควรทำใน 12-24 เดือนข้างหน้าเพื่อเตรียมโครงสร้างอัตลักษณ์และการเข้าถึงสำหรับโลกที่ตัวแทน AI ทำงานเป็นอัตลักษณ์ดิจิทัลที่สมบูรณ์ภายในองค์กร

มีห้าลำดับความสำคัญ

ประการแรก คือ การมองเห็น องค์กรส่วนใหญ่ไม่ทราบว่าตัวเองมีอัตลักษณ์ที่ไม่ใช่มนุษย์จำนวนเท่าใด คุณไม่สามารถกำกับดูแลสิ่งที่คุณไม่สามารถมองเห็นได้

ประการที่สอง คือ การปฏิบัติต่อตัวแทน AI เหมือนกับคน อัตลักษณ์ที่มีระดับชั้นนำ สิทธิ์ที่กำหนดขอบเขต การหมุนรหัสผ่าน และการตรวจสอบการเข้าถึง หากคุณไม่ให้คนเข้าถึงแบบ admin อย่างถาวร อย่าให้ตัวแทนเช่นกัน

ประการที่สาม คือ การย้ายจากการกำกับดูแลแบบช่วงเวลาเป็นแบบต่อเนื่อง การตรวจสอบรายไตรมาสไม่สามารถตามทันการเปลี่ยนแปลงของตัวแทนได้

ประการที่สี่ คือ การสร้างโครงสร้างนโยบายของคุณตอนนี้ — ก่อนที่คุณจะมีตัวแทนหลายร้อยตัว กำหนดขอบเขตอัตโนมัติ ข้อกำหนดการอนุมัติ และการเป็นเจ้าของ ในขณะที่ยังสามารถจัดการได้

ประการที่ห้า คือ การรวมการกำกับดูแลทั่วทั้งอัตลักษณ์ของมนุษย์และไม่ใช่มนุษย์ ระบบที่แยกจากกันสร้างช่องว่าง

ผู้ชนะจะไม่ใช่องค์กรที่ใช้ AI มากที่สุด พวกเขาจะเป็นองค์กรที่สร้างการกำกับดูแลอัตลักษณ์ที่สามารถทำงานที่ความเร็วของเครื่องจักรได้

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ ConductorOne