Shannon McWilliams, Orca Security Küresel Dağıtım Başkanı – Röportaj Serisi

Shannon McWilliams, Orca Security’de Küresel Dağıtım Başkanı olarak görev yapıyor; çalışmaları şirketin iş ortağı ekosistemini ve bu ekosistemi destekleyen araçları kapsıyor. Daha önce bir yazılım geliştirme şirketi kurmuş olan McWilliams, iş ihtiyaçlarını uygulamalara dönüştürme konusunda deneyim sahibi. Yakın zamanda ise yapay zekâ destekli geliştirme araçlarını kullanarak Orca’nın İş Ortağı Başarı Platformu’nun ilk sürümünü oluşturdu ve projeyi hafta sonu geliştirilen bir prototipten üretime hazır bir sisteme dönüştürmek için güvenlik ekibiyle birlikte çalıştı.

Orca Security, kuruluşların varlıklarını keşfetmesine, riskleri belirleyip önceliklendirmesine ve bulut ortamlarını korumasına yardımcı olan bir bulut güvenliği platformu sunuyor. Platformun yetenekleri; güvenlik açıkları, yanlış yapılandırmalar, kimlikler ve izinler, hassas veriler ve yapay zekâ güvenliği gibi alanları kapsıyor. McWilliams bu röportajda yapay zekânın iş kullanıcılarının yazılım geliştirmesini nasıl mümkün kıldığını, çalışan uygulamaların neden hâlâ bağımsız güvenlik incelemesinden geçirilmesi gerektiğini ve sürekli keşif, en az ayrıcalık ilkesi ile insan gözetiminin kuruluşların bu yeni geliştirme modelini yönetmesine nasıl yardımcı olabileceğini anlatıyor.

Orca Security’ye Küresel Dağıtım Başkanı olarak katıldınız ve birkaç ay içinde yapay zekâ kullanarak kendi başınıza yeni bir iş ortağı platformu geliştirdiniz. Başlangıçta hangi sorunu çözmeye çalışıyordunuz ve proje, bir deney olmaktan çıkıp Orca’nın gerçekten üretime alabileceği bir şeye ne zaman dönüştü?

Orca’ya katıldığımda, benden incelemem istenen konulardan biri genel iş ortağı deneyimiydi. Üçüncü taraf bir platform kullanıyorduk ama iş ortaklarımız için daha modern ve kullanımı daha kolay bir çözüm geliştirme fırsatı gördüm. Uygulama geliştirme konusunda biraz deneyimim vardı ancak kendim bir geliştirici değildim. O yazın başlarında, üçüncü taraf bir uygulama geliştirme platformu sağlayıcısında tüketici uygulamaları üzerinde çalışmıştım; bu yüzden yapay zekâ kullanarak kendi başıma neler geliştirebileceğimi denemeye karar verdim.

Bir hafta sonunda, daha önce geleneksel iş ortağı portallarında gördüklerimin ötesine geçen işlevlere sahip, sonradan İş Ortağı Başarı Platformu’na dönüşen çözümün temel ilk sürümünü oluşturabildim. Bu işlevler arasında ideal müşterileri eşleştirme ve anlaşma koçluğu gibi yapay zekâ destekli özellikler de vardı. Platforma sertifika takibi ve yapay zekâ tarafından oluşturulan sınavlar gibi daha pek çok uygulama ekledik, iş ortaklarımız için tüm sertifika sürecini oyunlaştırdık ve ardından verileri Salesforce platformumuzla eşitlemeye başladık. Dönüm noktası, CEO’muzun ilk sürümü görüp potansiyelini fark etmesiyle geldi. Bu aynı zamanda deney aşamasından çıkıp böyle bir çözümün güvenli ve üretime hazır hâle gelmesi için gerçekte neler gerektiğini sorgulamaya başladığımız zamandı. Güvenlik ekibimiz sürece dahil oldu ve sonunda bu çalışmanın bağımsız olarak harici bir kuruluş tarafından doğrulanmasını sağlamadan önce, ortamı güvenli hâle getirmek için Dudi Peretz’le yakın çalışmaya başladım.

Daha önce bir yazılım geliştirme şirketi kurduğunuz için uygulamaların geleneksel yöntemlerle nasıl geliştirildiğini biliyorsunuz. Doğal dil kullanan yapay zekâ aracılığıyla yazılım geliştirmek, geliştiricileri yönetmekle karşılaştırıldığında nasıldı ve alan uzmanlığınız en çok hangi noktalarda önemini korudu?

En büyük fark hızdı. Geleneksel yazılım geliştirmede, bir fikrin ortaya çıkması, teknik gereksinimlere dönüştürülmesi, geliştiricilerin yazılımı oluşturması ve sonucun iyileştirilmesi arasında genellikle birden fazla adım bulunur. Yapay zekâyla ne istediğimi açıklayabiliyor, bunun şekillenişini görebiliyor ve neredeyse anında geliştirmeye devam edebiliyordum. İstenen kullanıcı arayüzünü tanımlamak ve işlevselliği oluşturmak için gereken tüm veritabanı eşlemelerini belirlemek üzere geliştiricilerle günlerce toplantı yapmak yerine, yineleme süreci dakikalar alıyor. Yapay zekâ destekli geliştirmede bunun için 2 günlük toplantılar değil, 2 cümlelik bir istem yeterli.

Ancak bu, uzmanlığa duyulan ihtiyacı ortadan kaldırmıyor; uzmanlığın nerede önem taşıdığını değiştiriyor. Yapay zekâ, uygulama geliştirmenin önündeki teknik engeli büyük ölçüde azaltabilir ama süreci yönlendiren kişinin yine de çözmeye çalıştığı sorunu, yararlı bir deneyimin nasıl olması gerektiğini ve uygulamanın işletme için nihayetinde neyi başarması gerektiğini anlaması gerekir. Beni en çok şaşırtan, fikirden işlevsel bir ürüne ne kadar hızlı geçilebildiğiydi. Daha önce haftalar sürebilen veri analizi gibi işler artık potansiyel olarak bir günde tamamlanabiliyor.

Orca, iş ortağı platformunun çalışan ilk sürümünü tek bir hafta sonunda geliştirdiğinizi belirtmişti. Yapay zekâ neleri büyük ölçüde hızlandırabildi, üretime hazır bir uygulama geliştirmenin hangi aşamalarıysa başlangıçta göründüğünden daha zor kaldı?

Yapay zekâ, fikirle çalışan bir uygulama arasındaki mesafeyi büyük ölçüde kısalttı. Geleneksel olarak çok daha uzun bir geliştirme süreci gerektirecek işlevleri bir hafta sonunda oluşturabildim ve özellikleri son derece hızlı bir şekilde eklemeye ve değiştirmeye devam edebildim. Bu hız hem inanılmaz hem de biraz ürkütücü.

Yapay zekânın ortadan kaldırmadığı şey, bir uygulamayı üretimde güvenle kullanıma sunmak için gereken tüm çalışmalardı. Bunun gerçeğe dönüşebilecek bir çözüm olduğuna karar verdiğimizde, güvenlik ekibimizin ortamı değerlendirmesi, güvenlik sorunlarını gidermesi ve uygulamanın uygun şekilde güvenli hâle getirildiğinden emin olması gerekiyordu. Sonunda, ek bir doğrulama katmanı olarak harici bir kuruluşla çalıştık. Dolayısıyla yapay zekâ geliştirme sürecini inanılmaz ölçüde hızlandırdı; ancak “çalışıyor” olmakla “bir kurumsal ortamda güvenle çalışmaya hazır” olmak hâlâ birbirinden çok farklı eşikler.

Yapay zekâ geliştirme platformunun kendi güvenlik araçları uygulamanın güvenli olduğunu gösteriyordu; ancak Orca’nın daha sonra yaptığı incelemede izinler ve verilere erişimle ilgili sorunlar ortaya çıktı. Bu deneyim, iş kullanıcılarının yapay zekâ geliştirme platformlarının sunduğu güvenlik güvencelerine ne ölçüde güvenmesi gerektiği konusunda size ne öğretti?

Bu, deneyimden çıkardığım en önemli derslerden biriydi. Platformun kendi güvenlik tarama özellikleri vardı ve geliştirme sırasında bunlar yararlı bir başlangıç noktası sağladı. Ancak güvenlik ekibimizle yürüttüğümüz inceleme süreci, özellikle izinler ve verilere erişim gibi konularda ek bir denetim katmanının değerini gösterdi. Bu deneyim, yerleşik güvenlik araçlarının geliştirme sürecinin önemli bir parçası olduğunu, ancak özel bir güvenlik ekibinin sağlayabileceği daha derin bağlam ve uzmanlıkla birlikte kullanıldığında en iyi sonucu verdiğini pekiştirdi.

Bu özellikle önemli; çünkü artık yapay zekâyla uygulama geliştirebilen kişilerin çoğu güvenlik uzmanı değil. Hangi soruları sormaları gerektiğini, hangi izinlerin gereğinden geniş olduğunu ya da hangi yapılandırmaların verileri açığa çıkarabileceğini bilmiyor olabilirler. Geliştirme platformunun bir uygulamanın güvenli olduğunu söylemesi, sürecin sonu olamaz. Bir uygulama yayımlanmadan veya hassas kurumsal sistemlere bağlanmadan önce, platformun kendi kontrollerini geçip geçmediğinin ötesine bakan kapsamlı bir güvenlik incelemesinden geçirilmesi gerekir.

Güvenlik ekibi güvenlik açıkları tespit ettiğinde, bu bulguları çoğu zaman yapay zekâ geliştirme ortamına aktarabiliyor ve dakikalar içinde düzeltmeler oluşturabiliyordunuz. Yapay zekâ, güvenlik sorunlarının giderilmesini uzun bir geliştirme döngüsünden çıkarıp uygulama geliştirenlerle güvenlik ekipleri arasında sürekli bir diyaloğa dönüştürebilir mi?

Bu, en heyecan verici olasılıklardan biri. Dudi ve güvenlik ekibi sorunları tespit ettiğinde, geri bildirimlerini alıp doğrudan yapay zekâ geliştirme ortamına aktarabiliyor ve düzeltmeleri çok kısa sürede oluşturabiliyordum. Bu da uygulamayı geliştiren kişiyle uygulamanın güvenliğinden sorumlu ekip arasında çok daha hızlı işleyen bir geri bildirim döngüsü kurma olanağı yaratıyor.

Geçmişte yazılımların geliştirilip yayımlanması çok daha uzun zaman alabiliyordu. Artık biri her gün değişiklik yapıp yayımlayabiliyor. Güvenliğin de aynı hızda işlemesi gerekiyor. Fırsat, sürekli güvenlik değerlendirmesini geliştirme sürecinin bir parçası hâline getirmekte yatıyor. Böylece bir sorunu tespit edebilir, geliştirene iletebilir, giderebilir ve uygulamayı çok daha hızlı yeniden değerlendirebilirsiniz.

Ancak sorunları hızla giderebilmek, doğrulama çıtasını düşürebileceğimiz anlamına gelmiyor. Yapay zekâ hızla bir düzeltme oluşturabilir; yine de güvenlik ekiplerinin bu düzeltmenin riski gerçekten giderdiğini ve başka bir riske yol açmadığını doğrulaması gerekir.

Ortaya çıkan Partner Success Platform; yapay zekâ asistanları, satış hattı içgörüleri, kampanya oluşturma ve satış fırsatlarına yönelik koçluk özelliklerini içeriyor. Yapay zekânın hangi işleri doğrudan üstleneceğine, hangi kararlarınsa iş ortağına veya satış temsilcisine bırakılması gerektiğine nasıl karar verdiniz?

Benim için amaç, iş ortaklığı veya satış sürecindeki insan unsurunu ortadan kaldırmak değildi. Amaç, insanların daha hızlı ilerlemesine ve ellerindeki bilgilerden daha iyi yararlanmasına yardımcı olmak için yapay zekâyı kullanmaktı. Satış fırsatlarına yönelik koçluk buna iyi bir örnek: Yapay zekâ, satış hattında bekleyen bir fırsatı ilerletmenin yollarını belirlemeye yardımcı olabilir; ayrıca kullanıcıya ek bağlam veya önerilen bir sonraki adımı sunabilir.

Bence ayrımın önem kazandığı nokta, yapay zekânın farklı sistemlerden hızla bilgi çekebilmesi, bu bilgilerin ne kadar ilgili olduğunu analiz edebilmesi ve ardından kullanıcının harekete geçebileceği bir biçimde sunabilmesidir. Platform, iş ortağının veya satış temsilcisinin daha verimli çalışmasını sağlamalı; ticari muhakeme gerektiren kararlardan ise insan sorumlu olmaya devam etmelidir. Amaç, platformla etkileşim sayesinde bir satış fırsatının keşfedilmesinden satışın sonuçlandırılıp kazanılmasına kadar geçen süreyi kısaltmaktır.

Yapay zekâ, satış, pazarlama, finans ve diğer departmanlardaki çalışanların mühendislik ekiplerine başvurmadan kendi uygulamalarını geliştirmesini mümkün kılıyor. Bu uygulamaların müşteri verilerine, iç sistemlere veya bulut altyapısına bağlanmasına izin verilmeden önce hangi asgari güvenlik ve yönetişim denetimleri uygulanmalı?

İlk gereklilik görünürlüktür. Kurum politikaları bu tür keşif ve yenilikleri teşvik etmeli; ancak varlığından haberdar olmadığı bir uygulamanın güvenliğini sağlayamaz. Bu nedenle yeniliği teşvik etmek, çalışanların projelerini gizli tutmak yerine öne çıkarmalarını daha olası kılar. Sonrasında kuruluşların, uygulamanın hangi kimliklere ve izinlere sahip olduğunu, hangi verilere erişebildiğini, hangi üçüncü taraf sistemlerle iletişim kurduğunu ve bu ayrıcalıkların gerçekten gerekli olup olmadığını anlaması gerekir. Yeniliğin filizlenmesine zemin hazırlayın; aynı zamanda yenilikçileri destekleyen ve güvenlik gerekliliklerini karşılayan bir süreç oluşturun.

En az ayrıcalık ilkesi özellikle önem kazanıyor. Karşılaştığımız risklerden biri, uygulamalara gerçekte ihtiyaç duyduklarından daha geniş erişim izinleri verilmesi. Ayrıca güvenlik, kullanıma sunulmadan önce bir kez yapılan bir kontrolden ibaret olamaz. Uygulamalar sürekli değişebiliyorsa kuruluşların da onları sürekli yeniden değerlendirebilmesi gerekir.

Geleneksel yazılım yönetişimi; mühendislik ekipleri, çekme istekleri, sürüm döngüleri ve görece kontrollü dağıtım süreçleri temel alınarak tasarlanmıştı. İş birimi kullanıcıları artık uygulamaları sürekli olarak değiştirip dağıtabiliyorsa, kurumsal yazılım geliştirme yaşam döngüsünün nasıl değişmesi gerekiyor?

Temel zorluk, geliştirme temposunun değişmiş olması. Geleneksel olarak yazılımlar, görece yerleşik süreçlerle zaman içinde geliştirilip yayımlanırdı. Yapay zekâ destekli geliştirme araçları sayesinde bir kişi her gün yeni bir şey yapıp yayımlayabilir. Dönemsel kontrol noktaları etrafında oluşturulmuş güvenlik ve yönetişim süreçleri, böyle bir ortamda yeterli olmayacak.

Bu geliştirme döngüsüne ayak uydurabilen ve sürekli işleyen bir güvenlik yaklaşımına geçmemiz gerekiyor. Bunun için nelerin geliştirildiğini keşfetmek, nasıl yapılandırıldığını ve nelerle bağlantı kurduğunu anlamak, değiştikçe taramak ve geliştiricilere hızla uygulayabilecekleri somut geri bildirimler sunmak gerekiyor. Çözüm, çalışanların bu araçları kullanmasını engellemek olamaz; verimlilik açısından sundukları fırsat çok büyük. Zorluk, bu yeniliklerin güvenli biçimde hayata geçirilmesini sağlayacak koruyucu önlemleri oluşturmaktır.

Yapay zekâyla geliştirilen uygulamaların yükselişini, “gölge BT”nin daha da zorlu bir biçimiyle karşılaştırdınız. Bu yeni nesil gölge yazılımı potansiyel olarak daha zorlu kılan nedir ve kuruluşlar, güvenlik ya da BT ekiplerinin varlığından haberdar bile olmayabileceği uygulamaları nasıl keşfedebilir?

Geleneksel gölge BT, çoğu zaman çalışanların BT’nin onaylamadığı bir SaaS uygulamasını kullanmaya başlaması anlamına geliyordu. Şimdiyse çalışanlar uygulamayı kendileri oluşturabiliyor ve bunu son derece hızlı yapabiliyor. Birisi kişisel hesabı üzerinden bir uygulama geliştirebilir, üçüncü taraf sistemlerle entegre edebilir ve güvenlik ekipleri uygulamanın varlığından haberdar bile olmadan kurumsal verilere bağlayabilir.

Bu durumu özellikle zorlu kılan da bu: uygulama geliştirmek o kadar kolaylaştı ki uygulamaların sayısı ve değişim hızı, geleneksel yönetişim süreçlerini kısa sürede geride bırakabiliyor. CISO’lar aynı temel soruyla karşı karşıya: Ne geliştirildiğini veya nasıl yapılandırıldığını bile bilmiyor olabileceğiniz bir şeyi nasıl güvence altına alabilirsiniz?

Bu nedenle keşif, güvenlik stratejisinin temel bir parçası hâline gelmeli. Yenilikçileri desteklemek, keşfetmeye teşvik etmek ve projelerini kayda almalarını sağlamak, keşif sürecini yürütmenin etkili bir yoludur. Kuruluşların yalnızca kodu değil, ortamlarında çalışan uygulamaları, bu uygulamalarla ilişkili kimlikleri ve izinleri, eriştikleri verileri ve iletişim kurdukları harici sistemleri de görebilmesi gerekir.

Birkaç yıl sonrasına baktığınızda, bilgi çalışanlarının çoğunun yapay zekâ aracılığıyla bir tür yazılım geliştiricisine dönüşmesini bekliyor musunuz? Öyleyse bu durum, kurumsal ortamlardaki profesyonel geliştiricilerin, güvenlik ekiplerinin ve iş liderlerinin rollerini nasıl değiştirir?

“Yazılım geliştiricisi” tanımının çok daha genişlediği bir dünyaya doğru ilerliyoruz. Yapay zekâ, bir iş sorununu anlayan ancak geleneksel anlamda yazılımcı olmayan kişilerin fikirlerini son derece hızlı bir şekilde çalışan uygulamalara dönüştürmesini mümkün kılıyor. Bunu bizzat deneyimledim.

Bunun profesyonel geliştiricileri veya güvenlik ekiplerini daha az önemli kıldığını düşünmüyorum. Değişen, uzmanlıklarına nerede ihtiyaç duyulduğu. İş birimi kullanıcıları giderek daha fazla kendi çözümlerini geliştirebilirken geliştiriciler daha karmaşık teknik sorunlara odaklanabilir. Güvenlik ekiplerinin ise bu yeni nesil geliştiricilerin güvenle yenilik yapmasını sağlayacak görünürlüğü ve koruyucu önlemleri oluşturması gerekir. Uygulama desteği ve bakımı da artık farklı bir bakış açısı kazanıyor. “Geliştiriciler” her zaman en iyi “bakım sorumluları” olmayabilir. Vizyonu ve iş ihtiyacını ortaya koyarlar; ancak bir uygulamanın uzun vadeli desteğini sağlamak hâlâ BT ve uygulama ekiplerinin en uygun olduğu bir iştir. İş liderleri için bu, büyük fırsatların yanı sıra yeni sorumluluklar da doğurur. Ekipleriniz yazılım geliştirebiliyorsa, yazılım riskini yalnızca mühendislik ekiplerinin sorumluluğu olarak görmek yerine işin bir parçası olarak ele almanız gerekir.

Harika röportaj için teşekkürler. Bulut güvenliği, yapay zekâyla geliştirilen uygulamalar ve kurumsal ortamların güvenliğini sağlama hakkında daha fazla bilgi edinmek isteyen okurlar Orca Security sitesini ziyaret edebilir.