Jeff Margolies, Saviynt’ın Ürün ve Strateji Başkanı – Röportaj Serisi

Jeff Margolies, Saviynt’ın Ürün ve Strateji Başkanı, ürün yönetimi, kurumsal strateji, teknoloji ortaklıkları ve kurumsal gelişimi yöneterek, müşteriler, ortaklar ve organizasyon genelindeki ekiplerle birlikte şirketin uzun vadeli ürün vizyonunu ve büyüme yol haritasını şekillendirmektedir. 25 yılı aşkın süredir kimlik ve siber güvenlik alanında deneyim sahibi olan Margolies, daha önce Saviynt’ın Strateji Başkanı ve Mandiant, Deloitte ve Accenture’da üst düzey liderlik pozisyonlarında görev yapmıştır. Mandiant’ta strateji, stratejik ortaklıklar ve kurumsal gelişimi denetlemiş, daha önceki kariyeri ise Accenture’ın kimlik ve erişim yönetimi uygulamasını küresel bir organizasyon haline getirmeyi içermiştir. Margolies, Rochester Üniversitesi’nden Optik Mühendisliği alanında lisans derecesi ve California, Berkeley Üniversitesi’nden Elektrik Mühendisliği alanında yüksek lisans derecesi sahiptir.

Saviynt bir AI güçlendirilmiş kimlik güvenliği şirketidir ve insan kullanıcılar, insan olmayan kimliklere, makineler, uygulamalar, altyapı ve AI ajanları arasında erişimi yönetmeye ve güvence altına almaya odaklanmıştır. Saviynt Kimlik Platformu, kimlik yönetimi, ayrıcalıklı erişim yönetimi, uygulama erişim yönetimi, dış kimlik yönetimi, insan olmayan kimlik güvenliği ve kimlik güvenlik duruşu yönetimini birleşik bir bulut platformunda bir araya getirmektedir. Şirket, AI dönemine yönelik ihtiyaçlar etrafında kendisini konumlandırmış ve AI ajanlarını güvence altına almak, ajantik iş akışlarını yönetmek ve doğal dil kimlik operasyonlarını mümkün kılmak için araçlar sunmaktadır.

Ürün ve Strateji Başkanı olarak, girişimlerin kimlik güvenliği gereksinimlerinin nasıl değiştiğine dair ön sıradaki bir koltuğunuz var. AI ajanlarının yükselişi, organizasyonların kimlik, erişim ve yönetim hakkında nasıl düşünmesi gerektiğini değiştirdi ve bu değişiklikler Saviynt’ın Ajan Erişim Geçidi ve Niyet-Aware Çalışma Zamanı Yetkilendirme geliştirmesini nasıl etkiledi?

AI ajanları, kimlik güvenliğini değiştiriyor çünkü insan ve makine kimlikleri çok farklı şekilde çalışıyor. Artık sadece insanların uygulamalara giriş yapması değil, yazılımın da karar verebileceği, hareket edebileceği ve özerk olarak sistemler arasında çalışabileceği bir durum söz konusu.

Temel ilkeler aynı kalıyor. Organizasyonların ajanın sahibini, kimin tarafından kullanılabileceğini, hangi sistemlere erişebileceğini ve faaliyetinin nasıl yönetildiğini bilmesi gerekiyor. Makine kimlikleri, hız ve ölçek konusunda değişiklik getiriyor. Bir iş kullanıcısı artık dakikalar içinde bir ajan oluşturabiliyor, bu nedenle yönetim de aynı hızda hareket etmek zorunda.

AI ajanları, geleneksel olarak insan ve öngörülebilir yazılımlar etrafında inşa edilen kimlik ve erişim yönetimi modelini nasıl değiştiriyor?

Geleneksel kimlik ve erişim yönetimi, insanların ve öngörülebilir yazılımların etrafında inşa edildi. Bir kullanıcı kimlik doğrulaması yaptı, erişim istedi ve belirli eylemler gerçekleştirdi. AI ajanları ise farklı bir yaşam döngüsü getiriyor. Hızlı bir şekilde oluşturulabiliyor, sürekli olarak çalışabiliyor, iş akışları arasında adapte olabiliyor ve çok daha özerk olarak birden fazla uygulama, API ve veri kaynağı ile etkileşime girebiliyor.

Saviynt kısa süre önce Intent-Aware Runtime Authorization™ çözümünü tanıttı. “Niyet farkındalıklı” yetkilendirme tam olarak ne anlama geliyor ve geleneksel kimlik doğrulama ile yetkilendirme modellerinden nasıl ayrılıyor?

Niyet-Aware Yetkilendirme, bir ajanın eylemlerinin, insan tarafından niyet edilen ile aynı doğrultuda olup olmadığını değerlendirir. Her ajan, bir görevi gerçekleştirmek amacıyla oluşturulur veya görevlendirilir ve bu görev, ajanın ne yapması gerektiği konusunda bir bağlam oluşturur.

Geleneksel yetkilendirme, bir ikili karar verir: bu eylem izinli mi yoksa değil mi? Niyet-Aware Yetkilendirme, bu karara ek olarak, eylemin orijinal görev bağlamında anlam ifade edip etmediğini sorar. Bir ajan, eski verileri arşivlemek için görevlendirilmiş ancak aktif kayıtları silmeye başlamışsa, bu teknik olarak izinli olabilir ancak insan tarafından niyet edilen ile aynı doğrultuda değildir.

AI ajanlarının, teknik olarak altta yatan sisteme erişim izni olmasına rağmen, belirli bir eylemi gerçekleştirmesine izin verilip verilmeyeceğini belirlemek için organizasyonlar neler yapabilir?

Bu, planlama ile başlar. Bir ajan eyleme geçmeden önce, organizasyonlar ajanın neyi başarması gerektiğini, hangi sistemlere erişebileceğini, hangi guardrail’lerin uygulanacağını ve hangi politikaları izleyeceğini tanımlamalıdır. Bu plan, ajanın davranışını değerlendirmek için bir temel oluşturur.

Ana soru, ajanın erişim izni olup olmadığı değil, eyleminin görevi ile tutarlı olup olmadığıdır. Mevcut birçok uygulama ve API, bu düzeyde bağlamı zorlamak için inşa edilmemiştir, bu nedenle bir geçit modeli önemlidir. Ajan Erişim Geçidi, planları eylemlerle karşılaştırmak ve miras sistemlerdeki fazla yetkilendirme veya boşlukları yönetmek için ek bir kontrol katmanı sağlar.

AI ajanlarının, saniyeler içinde birden fazla uygulamaya ve veri kaynağına erişebilmesi, güvenlik ekipleri için yeni riskler yaratır. Bu, hangi riskleri yaratır ve hangileri şu anda küçümseniyor?

AI ajanları, tamamen yeni riskler yaratmaz. Çoğu durumda, mevcut risklerin sömürülme olasılığını artırır. Bir organizasyon zaten fazla yetkilendirilmiş hesaplar, zayıf kontroller veya karanlık sistemlere sahipse, ajanlar bu zayıflıkları insanlardan daha hızlı bulabilir ve ölçeklenebilir risk yaratır.

Bunu, açık bir arka kapı bırakmakla karşılaştırabiliriz. Zaten bir zayıflık vardır, ancak birinin bunu bulma olasılığı düşük olabilir. Şimdi, bir ajanın binlerce ortamda saniyeler içinde her arka kapıyı kontrol ettiğini hayal edin. Bu nedenle, organizasyonların temelleri doğru yapması gerekir: hangi ajanların var olduğunu bilsinler, neye erişebileceğini anlasınlar, gereksiz izinleri sınırlasınlar ve faaliyetlerini sürekli olarak yönetsinler.

Şirketler, birden fazla AI ajanını çeşitli bölümler arasında dağıttıkça, organizasyonlar bu ajanlarla kimin etkileşime girebileceğini ve bu ajanların hangi bilgilere veya sistemlere erişebileceğini nasıl yönetmelidir?

Bir AI ajanını, bir uygulama olarak düşünmek yardımcı olabilir. Şirketler zaten uygulamaları nasıl yöneteceğini bilir: kimin sahip olduğunu, kimin kullanabileceğini, hangi sistemlere bağlandığını, hangi verilere erişebileceğini ve bu erişimin nasıl gözden geçirileceğini. Aynı sorular ajanlar için de geçerlidir.

Fark, ajanların iş kullanıcıları tarafından dakikalar içinde oluşturulabilmesidir, büyük geliştirme ekipleri tarafından aylarca değil. Ve sadece 5% CISO, bir tehlikeye maruz kalmış AI ajanını içeride tutabileceğinden emin olduğunu hissetmektedir. Yönetim, ajanın oluşturulma sürecine entegre edilmelidir, böylece sahip, erişim, onaylar, yetkilendirmeler ve periyodik incelemeler baştan itibaren kurulur.

Gölge AI, resmi BT denetimi dışında AI araçlarını benimseyen çalışanlar nedeniyle artan bir endişe kaynağı haline geldi. AI ajanları bu zorluğu nasıl artırır ve organizasyonlar nasıl görüş ve kontrolü geri kazanabilir?

AI ajanları, Gölge AI’ı artırır çünkü kolayca oluşturulabilir ve sistemler arasında çalışabilir. Bu, organizasyonların insanların bunları kullanmasını engellemeye çalışması anlamına gelmez. Verimlilik kazanımları gerçek ve şirketler bunları takip edecektir.

Pratik cevap, görüş ve guardrail’dir. Organizasyonlar, hangi ajanların var olduğunu, kimin sahip olduğunu, neyi başarmaya çalıştıklarını ve hangi sistemlere veya verilere erişebileceğini bilmelidir. Her ajanın bir kimliği, tanımlı izinleri ve sürekli izleme olmalıdır. Çok fazla şirket, hala deneysel aşamaların başlangıcındadır, bu nedenle büyük ölçekli ajan benimsenmeden önce yönetim oluşturmak için hala zaman vardır, ancak bu zaman hızla tükenmektedir.

İleride, her AI ajanının, insan çalışanlar gibi, kendi dijital kimliğine, yönetim çerçevesine ve denetim izine ihtiyacı olacak mı? Bu gelecek modeli nasıl görünüyor?

Her AI ajanının, organizasyonların ne olduğunu, kimin sahip olduğunu, neye erişebileceğini ve ne yaptığını bilmesi için kesinlikle kendi kimliğine ihtiyacı vardır. İnsan kimlikleri ve insan olmayan kimlikler, AI ajanları dahil, birleşik bir kimlik güvenliği modeli ile yönetilmelidir.

Kavramlar tanıdıktır: kimlik doğrulama, yetkilendirme, sahip, yetkilendirmeler, faaliyet izleme ve yönetim. Değişen, ölçek. Şirketler, kısa süre içinde yüzlerce ajan oluşturabilir, sonunda on binlerce veya milyonlarca ajantik uygulamaya yol açabilir. Gelecek, her tür kimlik için kimlik güvenliği temelini çok daha büyük bir hız ve ölçekte uygulamaktır. Şimdi, uygulamaya başlamanın zamanı.

Şirketler, ajantik AI’ı dağıtmaya çalışırken, bugün en yaygın hataları görüyorsunuz ve güvenlik ve teknoloji liderlerinin, AI ajanlarının hem üretken hem de güvenilir kalmasını sağlamak için önümüzdeki 12 ila 24 ay içinde önceliklendirmesi gerekenler nelerdir?

Bu çağda güvenliği şansa bırakmak büyük bir ihmal olur. Ajantik AI ile ilgili verimlilik kazanımları gerçek ve şirketlerin bunları elde etmesi gerekiyor. En büyük risk, güvenlik ve yönetimin bu tempoya ayak uyduramamasıdır.

Önümüzdeki 12 ila 24 ay içinde, liderlerin görüş ve yönetim temelini odaklamaları gerekiyor: ajanların envanterini tutmak, sahipliğini atamak, her ajana bir kimlik vermek, neye erişebileceğini anlamak ve yönetimi oluşturma sürecine dahil etmek. Bu, büyük bir platform değişimine güvenlik inşa etmenin bir fırsatı.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Saviynt‘i ziyaret edebilir.