Говард Тінг, генеральний директор Opal Security – Серія інтерв’ю

Говард Тінг, генеральний директор Opal Security, – досвідчений керівник у сфері кібербезпеки та технологій, який очолює Opal Security з листопада 2025 року. До цього він обіймав посаду виконавчого директора в Greylock, а також понад п’ять років працював у Cyberhaven на посадах генерального директора та члена ради директорів, керуючи компанією у її місії захисту даних та забезпечення безпечної інновації. Його досвід включає керівні посади у сфері маркетингу в Redis Labs та Zscaler, а також старші посади у сфері маркетингу та продукції в Nutanix, Palo Alto Networks (PANW ), Cisco (через Securent), Microsoft (MSFT ), RSA Security, та ранній досвід у сфері злиття та поглинання в Banc of America Securities. Ця суміш оперативного керівництва, досвіду виходу на ринок та глибокого досвіду у сфері кібербезпеки позиціонує його унікально на чолі швидко зростаючої платформи безпеки.

Opal Security – це сучасна компанія, що спеціалізується на керуванні ідентифікацією та доступом, яка надає підприємствам централізовану платформу для керування та захисту доступу до ресурсів у хмарі, SaaS та внутрішніх систем. Платформа забезпечує єдиний погляд на ідентифікацію та шляхи доступу, підтримує самообслуговування та.just-in-time робочі процеси доступу, а також автоматизує перевірки доступу для забезпечення політики мінімальних привілеїв у масштабі, допомагаючи організаціям зменшити ризики та покращити дотримання вимог у динамічних середовищах, які включають людей, сервісні облікові записи та агенти штучного інтелекту.

Ви нещодавно зайняли посаду генерального директора в Opal Security після того, як керували Cyberhaven та обіймали старші посади в компаніях, таких як Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis та Microsoft. Що привабило вас до Opal на цьому етапі вашої кар’єри, і як ваш попередній досвід впливає на ваше бачення доступу, ідентифікації та безпеки штучного інтелекту сьогодні?

Керування доступом стає все складніше всюди. Більше ідентифікаторів, більше машин, більше автоматизації – і значимий доступ все частіше відбувається всередині інженерних та хмарних робочих процесів, а не традиційних ІТ-систем. Стандартні інструменти керування ідентифікацією та доступом (IAM та IGA) не були створені для цього, а загрози, пов’язані з ідентифікацією, не чекають, поки вони наздоженуть.

Саме це привабило мене до Opal. Масштаб цієї проблеми величезний, а Opal вже зараз відповідає тому, куди рухається ринок. Я бачив подібні закономірності раніше. У RSA, Palo Alto Networks та Cyberhaven я спостерігав за революціями багатофакторної аутентифікації, наступного покоління брандмауерів та ліній даних у реальному часі, а динаміка тут вражаюче схожа: категорійно-визначальна проблема, що прискорюється швидше, ніж більшість вендорів можуть реагувати, з вузьким вікном для правильної команди, щоб зайняти цю нішу.

Opal має таку команду. Інженерна та продукційна база сильна, а клієнтська база, створена завдяки прямій та зосередженій роботі, говорить сама за себе. Кожна розмова з клієнтами, яку я провів, підкріплювала той самий сигнал: ця проблема прискорюється, а Opal – це та компанія, яка її вирішує.

Що я навчився, будуючи та розширюючи команди в підприємстврах, полягає в тому, що виконання стає значно простішим, коли продукт, інженерія та виходи на ринок мають однаковий рівень орієнтації на клієнта. Коли всі бачать одну й ту ж проблему та одну й ту ж можливість, ви рухаєтесь швидко, не втрачаючи точності. Opal вже має таку основу. Моя робота полягає в тому, щоб побудувати на ній – і забезпечити, щоб наші клієнти відчували всю силу цієї команди за собою, коли ми розширюємося.

Після років роботи в сфері ідентифікації, хмарної інфраструктури та безпеки підприємств, де, на вашу думку, традиційні моделі контролю доступу руйнуються, коли організації приймають штучний інтелект все глибше?

Чесна відповідь полягає в тому, що більшість традиційних моделей контролю доступу були створені для вирішення проблеми аутентифікації – і для людей ця проблема в основному вирішена. Провайдери ідентифікації (IDP) та сучасні методи аутентифікації досить добре справляються з питанням “хто ви?” Але авторизація – “що вам дозволено робити, і на який час?” – залишається глибоко невирішеною як для людей, так і для машин, і саме там живе справжній ризик.

Що ще ускладнює цю ситуацію, полягає в тому, що інженерні команди тепер працюють через автоматизацію, інфраструктуру як код та інструменти штучного інтелекту, які генерують нові дозволи як частина щоденної розробки. Доступ не змінюється повільно через ІТ-робочі процеси – він створюється, змінюється та розширюється програмно, часто без того, щоб хтось переглядав, що було刚 надано. Результатом є зростаюча розсіянність надмірно привілейованих облікових записів, фрагментованих інструментів привілеїв та керування, яке є дорогим, реактивним та в основному сліпим до того, що насправді відбувається.

І я буду прямим щодо ще одного питання: зараз у цьому ринку відбувається велика кількість “штучного інтелекту”, коли вендори поспішають прикріпити “штучний інтелект” до застарілих архітектур, що закриває критичну реальність для покупців – дієвий, перевірений框ramework безпеки та керування для агентів штучного інтелекту все ще не існує. Гіп навколо штучного інтелекту випереджає фактичні засоби контролю, а ця прогалина – це місце, де будується справжня вразливість.

Саме це робить підхід Opal іншим. Натомість того, щоб прикріплювати керування до робочих процесів після факту, Opal моделює доступ безпосередньо з систем, які вже використовують інженери, застосовує політику в реальному часі та надає командам безпеки можливість керувати рішеннями щодо авторизації без створення тертя. Коли керування природно вписується в те, як інженери насправді працюють, воно перестає бути перешкодою та стає інфраструктурою, якій можна довіряти.

Opal зосереджується на керуванні тим, хто та що може отримати доступ до чутливих систем у сучасних, хмарних середовищах. Які проблеми безпеки найменше оцінюються компаніями, які будують з використанням агентів штучного інтелекту та автоматизованих робочих процесів?

Найменше оцінені проблеми насправді не нові. Це ті проблеми, які тихо накопичувалися протягом років навколо людських ідентифікаторів. Базова гігієна керування, така як робочі процеси joiner/mover/leaver, just-in-time доступ та перевірки доступу користувачів, була проігнорована або зібрана з допомогою скотча в більшості організацій протягом довгого часу. Обов’язки щодо дотримання вимог, таких як SOX, не зникли; вони просто стали складнішими для виконання, оскільки середовища стають все більш складними. Все це не гламурно, але саме це основа, яка ламається, коли ви накладаєте агентів штучного інтелекту зверху.

Організації інтегрують штучний інтелект, щоб оптимізувати робочі процеси та ліквідувати монотонні завдання, але тим самим вони вводять нелюдські ідентифікатори, які множать відносини доступу способами, яких не могли передбачити існуючі інструменти. Результатом є заплутана мережа, де людський доступ уже був погано керований, а машинний доступ тепер розширюється з ще меншою видимістю. Рішення щодо доступу повинні бути пояснюваними, прив’язаними до часу, зв’язаними з реальним використанням та безперервно моніторитися, але більшість команд все ще покладаються на статичні, одноразові системи, які не можуть забезпечити жодного з цього. Тоді як кодуючі агенти генерують та розгортають код з вбудованими дозволами, взаємодіють з інфраструктурою безпосередньо та діють з доступом, який ніхто не переглядає через традиційний безпековий погляд – це компрометування та безпекова вразливість, з якою більшість організацій ще не почали справлятися.

Компанії, які будують з використанням агентів штучного інтелекту, схильні зосереджуватися на новизні технології, недооцінюючи, як швидко розсіянність доступу та невидимі дозволи стають серйозною відповідальністю – особливо коли людська ідентифікаційна основа піднизу була вже хрупкою.

Ви бачили розвиток безпеки через кілька поколінь інфраструктури. Що фундаментально змінюється, коли машинні ідентифікатори та агенти штучного інтелекту починають перевищувати кількість людських користувачів?

Коли машинні ідентифікатори перевищують кількість людських користувачів, стає все складніше моніторити, хто має доступ до чого. Традиційна система керування ідентифікацією не була створена для цієї реальності, а більшість платформ HR та керування ідентифікацією забезпечують лише часткову видимість, особливо коли нагляд за ідентифікацією розширюється за межі однієї команди. Щоб успішно моніторити ці типи ідентифікаторів, нам потрібно надати агентам штучного інтелекту чітке володіння, обмежені дозволи та повну аудитованість з самого початку. Opal Security вирішує цю проблему, моделюючи людей, сервіси та агентів у рамках однієї структури, на відміну від того, щоб розглядати їх як окремі сутності.

Аудитори тепер очікують перегляду людської та агентської поведінки поряд при аналізі перевірок доступу. Агенти зазвичай успадковують набори дозволів користувачів, які їх розгортають, але певні випадки використання вимагають агентів, які ідентифікуються як сервісні облікові записи з налаштованими (зазвичай обмеженими) наборами дозволів.

Штучний інтелект усе частіше стає і поверхнею атаки, і оборонним засобом. З вашої точки зору, де штучний інтелект значимо покращує результати безпеки сьогодні, а де він все ще вводить нові ризики?

Штучний інтелект – це величезно потужний інструмент, який є основою нашого продукту. Opal Security використовує штучний інтелект для моніторингу, виявлення та запобігання незвичайному доступу в організаціях. Штучний інтелект також змінює безпеку ідентифікації, оскільки вводить акторів, які не тільки аутентифікуються та виконують завдання – вони розуміють, адаптуються та діють автономно. Традиційні системи ідентифікації були створені для людей та статичних сервісних облікових записів, де доступ змінювався повільно та намір був відносно передбачуваним.

Але агенти штучного інтелекту руйнують цю модель. Ризик полягає у втраті видимості та відповідальності. Агенти можуть запускатися та зупинятися динамічно, ланцюжкові дозволи між системами, діяти від імені користувачів, інших агентів або себе. Жодних захищених ресурсів не може бути “порушено”, але чутливі дії все одно можуть відбуватися, оскільки все було технічно авторизовано. Це нова поверхня атаки. Шлях до керування цим полягає у єдиній, інтелектуальній платформі, яка розуміє та захищає всі типи сутностей через контекст, поведінку та безперервну адаптацію.

Ця єдина перспектива формує основу для безпеки – ви не можете захистити те, чого не бачите чи не розумієте. У Opal ми віримо у розуміння кожної відносини. Не достатньо знати, хто знаходиться в системі. Ви повинні знати, хто пов’язаний з чим, і чому.

Як команди безпеки повинні перепоглядати доступ з мінімальними привілеями в практиці, а не тільки в теорії, коли агенти штучного інтелекту та автоматизовані системи набувають ширших дозволів всередині організацій?

Сучасний доступ до ідентифікації повинен ставити людські та машинні ідентифікатори на одному рівні, щоб компанії могли мати видимість, автоматизацію та довіру, необхідні для безпечного масштабування в епоху штучного інтелекту. На практиці це означає надання дозволів лише коли це необхідно та безперервну перевірку та корекцію доступу під час зміни завдань чи ролей. Автоматичний моніторинг та ризик-залежні засоби контролю стають життєво необхідними, забезпечуючи, щоб інструменти штучного інтелекту могли працювати ефективно без створення зайвої безпекової вразливості.

Корисно забезпечити just-in-time доступ за замовчуванням для агентів, але зробити його безтертяним: автоматично схвалити конкретні ресурси, де це доречно, або якщо користувач працює в середовищі, де всі дані чутливі, обмежити використання до ізольованих віртуальних машин.

Хоча будь-які нові обмеження на використання агентів можуть потенційно розлютити кінцевих користувачів, сповільнюючи їх, важливо зустріти користувачів там, де вони знаходяться. З Opal це означає, що запити на доступ можуть бути подані та схвалені в Slack, а стратегії інфраструктури як коду, включаючи Terraform, можуть бути використані для автоматизації надання, скасування та тимчасового доступу.

На основі вашого досвіду розширення компаній безпеки, які сигнали свідчать про те, що засоби контролю доступу організації вже не відповідають тому, як насправді працює бізнес?

Організації можуть побачити, що їхні засоби контролю доступу не синхронізовані, коли доступ починає відставати від реальності. Це може проявлятися у вигляді надмірних або застарілих дозволів, ручних瓶очок від застарілих систем або прийняття систем штучного інтелекту без оновлених політик для відстеження нелюдських ідентифікаторів. Іншим сигналом є збільшення кількості інцидентів безпеки або майже інцидентів, де надмірно привілейовані облікові записи або погано керовані ідентифікатори є винуватцями.

Складні розгортання Sailpoint, спираючись на команду консультантів, а також відстеження доступу в таблицях не були ефективними у епоху до агентів, а це застаріле підхід просто зруйнується під швидкістю та складністю агентів. Opal надає єдину платформу, яка служить безпеки, розблокує ІТ та надає аудиторам те, що їм потрібно. Ми виявили, що RBAC (керування доступом на основі ролей) є крихким та рідко тривалим станом справ, тому успішні команди починають з just-in-time, а потім переходять до доступу на основі персони (з гнучкістю та відстеженням у часі), щоб конфігурації Terraform могли бути версіоновані, розгорнуті або повернуті, якщо це необхідно.

З точки зору керівництва, як ви балансуете швидкість інновацій з дисципліною, необхідною для будівництва довіри до продуктів безпеки?

Я навчився, що великі компанії залишаються дисциплінованими щодо основних принципів, навіть коли вони ростуть швидко. Ці основи включають чіткі пріоритети, прозору комунікацію та готовність робити важкі компроміси. Інновації все ще мають значення, але вони повинні бути засновані на суворості: сильні значення за замовчуванням, вдумливий моделювання загроз та відповідальність за результати. Делібератне прийняття цих рішень дозволяє вам рухатися швидко без компрометації довіри, а з часом ця дисципліна насправді стає конкурентною перевагою.

Що, на вашу думку, лідери безпеки найчастіше недооцінюють щодо підготовки до майбутнього, яке буде домінувати автономні системи, а не людський доступ?

Що лідери безпеки найчастіше недооцінюють, полягає в складності керування різними типами ідентифікаторів. Компанії так поспішають бути вперед та залишатися в курсі останніх технологій, що заходи безпеки часто залишаються позаду. Робочі процеси штучного інтелекту вводяться без чіткого володіння, залишаючи організації з сліпими місцями, де нелюдські ідентифікатори тихо накопичують доступ, діють поза традиційними засобами контролю та створюють нові можливості для дорогої помилки чи загрози. Підготовка до цього майбутнього вимагає лікування ідентифікації як динамічного, безперервно керованого шару.

Як організації ростуть, команди безпеки повинні володіти політиками використання агентів та визначати, як, чи та де доступ агентів обмежується від людського виклику. Будь-які процеси, які раніше накладали тягар на людські команди, просто зруйнуються під масштабом та епізодичністю агентів: автоматизація – це єдиний спосіб керування об’ємом запитів.

Оглядаючи вперед, що таке “добра безпекова гігієна” в середовищі, де системи штучного інтелекту безперервно створюють, змінюють та запитують доступ самостійно?

Добра безпекова гігієна полягає в тому, щоб використовувати штучний інтелект для масштабування безпеки, зберігаючи при цьому достатній моніторинг та дисципліну, щоб нічого не пропустити. Штучний інтелект не зникне, тому чи компанія використовує постачальника, такого як Opal, чи керує внутрішньо, компанії повинні прийняти, що доступ вже не є статичним. Коли системи штучного інтелекту безперервно створюють, змінюють та запитують доступ, безпека повинна перейти від одноразових схвалень до безперервного нагляду. Це означає лікування доступу як безперервного життєвого циклу, а не одноразової перевірки.

Компанії також повинні активно використовувати штучний інтелект як частину своєї оборони. Автоматизація може допомогти командам слідкувати за об’ємом та швидкістю змін доступу, але це повинно бути поєднано з чіткими обмеженнями, видимістю у делегуванні та людською відповідальністю, коли щось пішло не так. Важливо забезпечити пояснювані сигнали: значення Шеплі та коефіцієнти особливостей для традиційних моделей машинного навчання, а також додатковий контекст або детальні виправдання від моделей великого мови. Без цих нюансів це боротьба за підтримання ланцюга довіри для доступу до чутливих бізнес-ресурсів.

Дякуємо за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Opal Security.