Shannon McWilliams, Trưởng bộ phận Phân phối Toàn cầu tại Orca Security – Loạt bài phỏng vấn

Shannon McWilliams là Trưởng bộ phận Phân phối Toàn cầu tại Orca Security, nơi công việc của ông bao quát hệ sinh thái đối tác của công ty và các công cụ hỗ trợ hệ sinh thái đó. Từng sáng lập một công ty phát triển phần mềm, ông có kinh nghiệm chuyển đổi nhu cầu kinh doanh thành các ứng dụng. Gần đây hơn, ông đã sử dụng các công cụ phát triển AI để xây dựng phiên bản ban đầu của Partner Success Platform của Orca, phối hợp với nhóm bảo mật để đưa dự án từ nguyên mẫu được tạo trong một cuối tuần tiến tới một hệ thống sẵn sàng đưa vào vận hành.

Orca Security cung cấp nền tảng bảo mật đám mây giúp các tổ chức phát hiện tài sản, xác định và ưu tiên xử lý rủi ro, đồng thời bảo vệ môi trường đám mây. Nền tảng này có các tính năng liên quan đến lỗ hổng, cấu hình sai, danh tính và quyền, dữ liệu nhạy cảm cũng như bảo mật AI. Trong cuộc phỏng vấn này, McWilliams trao đổi về cách AI giúp người dùng doanh nghiệp xây dựng phần mềm, vì sao các ứng dụng đang hoạt động vẫn cần được thẩm định bảo mật độc lập, và cách thức phát hiện liên tục, nguyên tắc đặc quyền tối thiểu cùng sự giám sát của con người có thể giúp doanh nghiệp quản lý mô hình phát triển mới này.

Bạn gia nhập Orca Security với vai trò Trưởng bộ phận Phân phối Toàn cầu và chỉ trong vài tháng đã tự xây dựng một nền tảng đối tác mới bằng AI. Ban đầu, bạn muốn giải quyết vấn đề gì, và khi nào dự án chuyển từ một thử nghiệm thành thứ mà Orca thực sự có thể đưa vào vận hành?

Khi gia nhập Orca, một trong những việc tôi được giao là xem xét trải nghiệm tổng thể của đối tác. Chúng tôi đang sử dụng một nền tảng của bên thứ ba, nhưng tôi nhận thấy có cơ hội tạo ra một giải pháp hiện đại và tinh gọn hơn cho các đối tác. Tôi có một số kinh nghiệm phát triển ứng dụng, nhưng bản thân không phải là nhà phát triển. Đầu mùa hè năm đó, tôi đã làm việc với các ứng dụng dành cho người tiêu dùng trên nền tảng tạo ứng dụng của một nhà cung cấp bên thứ ba, nên quyết định thử nghiệm xem mình có thể tự xây dựng được gì bằng AI.

Trong một cuối tuần, tôi đã tạo được phiên bản cơ bản đầu tiên của thứ sau này trở thành Partner Success Platform, với các tính năng vượt xa những gì tôi thấy ở các cổng đối tác truyền thống, bao gồm các khả năng ứng dụng AI như ghép nối khách hàng lý tưởng và hướng dẫn chốt giao dịch. Chúng tôi bổ sung nhiều ứng dụng khác vào nền tảng, chẳng hạn như theo dõi chứng nhận, câu đố do AI tạo ra và trò chơi hóa toàn bộ quy trình chứng nhận dành cho đối tác, rồi bắt đầu đồng bộ hóa dữ liệu với nền tảng Salesforce của mình. Bước ngoặt đến khi CEO của chúng tôi nhìn thấy phiên bản ban đầu và nhận ra tiềm năng của nó. Đó cũng là lúc chúng tôi chuyển từ thử nghiệm sang xem xét thực tế cần làm gì để một sản phẩm như vậy an toàn và sẵn sàng đưa vào vận hành. Nhóm bảo mật của chúng tôi bắt đầu tham gia, và tôi bắt đầu phối hợp chặt chẽ với Dudi Peretz để bảo mật môi trường trước khi giao việc đó cho một công ty bên ngoài kiểm chứng độc lập.

Trước đây, bạn từng sáng lập một công ty phát triển phần mềm, nên có kinh nghiệm về cách xây dựng ứng dụng theo phương thức truyền thống. Việc xây dựng phần mềm bằng AI thông qua ngôn ngữ tự nhiên khác gì so với quản lý các nhà phát triển, và chuyên môn trong lĩnh vực của bạn vẫn đóng vai trò quan trọng nhất ở khâu nào?

Khác biệt lớn nhất là tốc độ. Với quy trình phát triển phần mềm truyền thống, thường có nhiều bước từ lúc nảy ra ý tưởng, chuyển ý tưởng thành yêu cầu kỹ thuật, giao cho nhà phát triển xây dựng rồi tiếp tục điều chỉnh kết quả. Với AI, tôi có thể mô tả điều mình muốn, thấy sản phẩm dần hình thành rồi gần như ngay lập tức tiếp tục tinh chỉnh. Quá trình lặp lại chỉ mất vài phút, thay vì nhiều ngày họp với nhà phát triển để xác định giao diện người dùng mong muốn và toàn bộ phần ánh xạ cơ sở dữ liệu cần thiết để tạo ra chức năng. Khi phát triển bằng AI, chỉ cần một câu lệnh gồm 2 câu, chứ không phải 2 ngày họp.

Nhưng điều đó không loại bỏ nhu cầu về chuyên môn. Nó chỉ làm thay đổi lĩnh vực mà chuyên môn ấy cần được phát huy. AI có thể hạ thấp đáng kể rào cản kỹ thuật khi xây dựng ứng dụng, nhưng người chỉ đạo vẫn cần hiểu vấn đề mình đang cố giải quyết, trải nghiệm hữu ích trông như thế nào và cuối cùng ứng dụng cần đạt được điều gì cho doanh nghiệp. Điều khiến tôi ngạc nhiên nhất là tốc độ chuyển từ ý tưởng sang một sản phẩm có chức năng. Những việc như phân tích dữ liệu, vốn có thể mất hàng tuần, giờ đây có khả năng hoàn thành chỉ trong một ngày.

Orca từng mô tả phiên bản hoạt động đầu tiên của nền tảng đối tác là sản phẩm bạn xây dựng chỉ trong một cuối tuần. AI có thể đẩy nhanh đáng kể những khâu nào, và phần nào trong quá trình xây dựng một ứng dụng sẵn sàng đưa vào vận hành vẫn khó hơn dự kiến ban đầu?

AI đã rút ngắn đáng kể khoảng cách giữa một ý tưởng và một ứng dụng hoạt động được. Tôi có thể xây dựng trong một cuối tuần những chức năng mà theo cách truyền thống sẽ đòi hỏi một quy trình phát triển dài hơn nhiều, đồng thời tiếp tục bổ sung và thay đổi tính năng rất nhanh. Tốc độ đó vừa đáng kinh ngạc, vừa khiến tôi hơi lo ngại.

AI không loại bỏ được mọi việc cần làm để một ứng dụng an toàn khi đưa vào vận hành. Khi quyết định rằng dự án có thể trở thành sản phẩm thực tế, nhóm bảo mật của chúng tôi cần đánh giá môi trường, xử lý các vấn đề bảo mật và đảm bảo ứng dụng được bảo vệ phù hợp. Cuối cùng, chúng tôi mời một công ty bên ngoài tham gia như một lớp kiểm chứng bổ sung. Vì vậy, AI giúp việc xây dựng nhanh hơn đáng kinh ngạc, nhưng “ứng dụng hoạt động được” và “ứng dụng sẵn sàng vận hành an toàn trong doanh nghiệp” vẫn là hai ngưỡng rất khác nhau.

Công cụ bảo mật của nền tảng phát triển AI cho biết ứng dụng an toàn, nhưng cuộc đánh giá sau đó của Orca đã phát hiện các vấn đề liên quan đến quyền và quyền truy cập dữ liệu. Trải nghiệm đó đã dạy bạn điều gì về mức độ tin tưởng mà người dùng doanh nghiệp nên dành cho những cam kết bảo mật từ các nền tảng phát triển AI?

Đó có lẽ là một trong những bài học lớn nhất tôi rút ra từ trải nghiệm này. Nền tảng có khả năng quét bảo mật riêng, giúp tôi có được một cơ sở tham chiếu hữu ích trong quá trình xây dựng ứng dụng. Tuy nhiên, quy trình đánh giá cùng đội ngũ bảo mật đã cho tôi thấy giá trị của việc tăng cường một lớp rà soát khác, đặc biệt là ở những khía cạnh như quyền và quyền truy cập dữ liệu. Điều đó củng cố nhận thức của tôi rằng công cụ bảo mật tích hợp là một phần quan trọng trong quy trình phát triển, nhưng sẽ phát huy hiệu quả nhất khi được kết hợp với sự am hiểu sâu sắc và chuyên môn mà một đội ngũ bảo mật chuyên trách có thể mang lại.

Điều này đặc biệt quan trọng vì hiện nay nhiều người có thể dùng AI để xây dựng ứng dụng vốn không phải là chuyên gia bảo mật. Họ có thể không biết nên đặt câu hỏi gì, quyền nào quá rộng hoặc cấu hình nào có thể khiến dữ liệu bị lộ. Việc nền tảng phát triển thông báo ứng dụng an toàn không thể là bước cuối cùng của quy trình. Trước khi được phát hành hoặc kết nối với các hệ thống doanh nghiệp nhạy cảm, ứng dụng vẫn cần trải qua một cuộc đánh giá bảo mật toàn diện, không chỉ dừng lại ở việc kiểm tra xem ứng dụng có vượt qua được các bước kiểm tra riêng của nền tảng hay không.

Khi đội ngũ bảo mật phát hiện lỗ hổng, bạn thường có thể đưa những phát hiện đó trở lại môi trường phát triển AI và tạo ra bản sửa lỗi chỉ trong vài phút. Liệu AI có thể thay đổi căn bản việc khắc phục sự cố bảo mật, biến một chu kỳ phát triển kéo dài thành cuộc trao đổi liên tục giữa người xây dựng ứng dụng và các đội ngũ bảo mật không?

Đây là một trong những khả năng thú vị nhất. Khi Dudi và đội ngũ bảo mật phát hiện vấn đề, tôi có thể tiếp nhận phản hồi, đưa thẳng vào môi trường phát triển AI và nhanh chóng tạo ra các bản sửa lỗi. Điều đó mở ra khả năng hình thành một vòng phản hồi chặt chẽ hơn nhiều giữa người xây dựng ứng dụng và đội ngũ chịu trách nhiệm bảo vệ ứng dụng đó.

Trước đây, việc xây dựng và phát hành phần mềm có thể kéo dài hơn rất nhiều. Giờ đây, mọi người có thể thay đổi và phát hành ứng dụng mỗi ngày. Công tác bảo mật phải vận hành với tốc độ tương tự. Cơ hội nằm ở việc đưa hoạt động đánh giá bảo mật liên tục vào quy trình phát triển, để có thể nhanh chóng xác định vấn đề, thông báo cho người xây dựng ứng dụng, khắc phục vấn đề rồi đánh giá lại ứng dụng.

Tuy nhiên, khắc phục nhanh không có nghĩa là chúng ta có thể hạ thấp tiêu chuẩn kiểm chứng. AI có thể nhanh chóng tạo ra bản sửa lỗi, nhưng đội ngũ bảo mật vẫn cần có cách xác minh rằng bản sửa lỗi thực sự xử lý được rủi ro và không gây ra rủi ro khác.

Nền tảng Thành công Đối tác được tạo ra sau đó tích hợp trợ lý AI, thông tin chuyên sâu về quy trình bán hàng, khả năng tạo chiến dịch và hướng dẫn chốt giao dịch. Bạn đã xác định như thế nào những việc AI nên trực tiếp đảm nhiệm và những quyết định nào nên thuộc về đối tác hoặc nhân viên bán hàng?

Với tôi, mục tiêu không phải là loại bỏ con người khỏi quy trình làm việc với đối tác hoặc quy trình bán hàng. Mục tiêu là dùng AI để giúp mọi người làm việc nhanh hơn và khai thác tốt hơn những thông tin họ đã có. Hướng dẫn chốt giao dịch là một ví dụ điển hình: AI có thể giúp xác định cách thúc đẩy một cơ hội đã nằm trong quy trình bán hàng một thời gian, đồng thời cung cấp thêm bối cảnh hoặc đề xuất bước tiếp theo.

Theo tôi, điểm khác biệt quan trọng nằm ở khả năng AI nhanh chóng lấy thông tin từ nhiều hệ thống khác nhau, phân tích mức độ liên quan rồi trình bày thông tin theo cách để người dùng có thể hành động. Nền tảng nên giúp đối tác hoặc nhân viên bán hàng làm việc hiệu quả hơn, trong khi con người vẫn chịu trách nhiệm về những quyết định đòi hỏi sự đánh giá dựa trên hiểu biết kinh doanh. Mục tiêu là rút ngắn thời gian từ lúc phát hiện cơ hội đến khi chốt thành công thông qua việc tương tác với nền tảng.

AI đang giúp nhân viên bán hàng, tiếp thị, tài chính và các bộ phận khác tự xây dựng ứng dụng mà không cần thông qua bộ phận kỹ thuật. Cần có những biện pháp kiểm soát tối thiểu nào về bảo mật và quản trị trước khi cho phép các ứng dụng đó kết nối với dữ liệu khách hàng, hệ thống nội bộ hoặc hạ tầng đám mây?

Yêu cầu đầu tiên là khả năng quan sát. Chính sách của tổ chức nên khuyến khích tinh thần tìm tòi và đổi mới, nhưng không thể bảo mật một ứng dụng mà tổ chức không biết là tồn tại. Vì vậy, khuyến khích đổi mới sẽ giúp nhân viên chủ động trình bày các dự án của mình thay vì âm thầm thực hiện. Tiếp theo, tổ chức cần hiểu ứng dụng sử dụng những danh tính và quyền nào, có thể truy cập dữ liệu gì, đang giao tiếp với những hệ thống bên thứ ba nào và liệu các quyền đó có thực sự cần thiết hay không. Hãy tạo điều kiện để đổi mới nảy nở, đồng thời thiết lập một quy trình hỗ trợ những người đổi mới và đáp ứng các yêu cầu bảo mật.

Nguyên tắc đặc quyền tối thiểu đặc biệt quan trọng. Một trong những rủi ro chúng tôi nhận thấy là ứng dụng được cấp quyền truy cập rộng hơn mức thực sự cần thiết. Hơn nữa, bảo mật không thể chỉ được kiểm tra một lần trước khi ra mắt. Khi ứng dụng có thể liên tục thay đổi, tổ chức cũng cần có khả năng đánh giá lại chúng một cách liên tục.

Quản trị phần mềm truyền thống được thiết kế xoay quanh các nhóm kỹ thuật, yêu cầu gộp mã, chu kỳ phát hành và quy trình triển khai tương đối được kiểm soát. Nếu giờ đây người dùng nghiệp vụ có thể liên tục chỉnh sửa và triển khai ứng dụng, thì vòng đời phát triển phần mềm trong doanh nghiệp cần thay đổi như thế nào?

Thách thức căn bản là nhịp độ đã thay đổi. Trước đây, phần mềm được xây dựng và phát hành theo thời gian thông qua các quy trình tương đối ổn định. Với các công cụ phát triển AI, một người có thể tạo ra và phát hành sản phẩm mới mỗi ngày. Trong môi trường đó, các quy trình bảo mật và quản trị dựa trên những đợt kiểm tra định kỳ sẽ không còn đủ hiệu quả.

Chúng ta cần hướng tới mô hình bảo mật vận hành liên tục và theo kịp chu kỳ phát triển đó. Điều này có nghĩa là phải phát hiện những gì đang được xây dựng, hiểu cách chúng được cấu hình và kết nối, quét chúng khi có thay đổi, đồng thời cung cấp cho người xây dựng phản hồi thiết thực để họ nhanh chóng áp dụng. Giải pháp không thể là ngăn nhân viên sử dụng những công cụ này; cơ hội nâng cao năng suất quá lớn. Thách thức là tạo ra các rào chắn để đổi mới có thể diễn ra an toàn.

Bạn từng ví sự trỗi dậy của các ứng dụng được xây dựng bằng AI như một phiên bản còn khó kiểm soát hơn của “CNTT ngầm”. Điều gì khiến thế hệ phần mềm ngầm này có thể gây ra nhiều thách thức hơn, và các tổ chức có thể phát hiện những ứng dụng mà đội ngũ bảo mật hoặc CNTT thậm chí không biết là đang tồn tại bằng cách nào?

Trước đây, CNTT ngầm thường là việc nhân viên sử dụng một ứng dụng SaaS chưa được bộ phận CNTT phê duyệt. Điểm khác biệt hiện nay là nhân viên có thể tự tạo ứng dụng, và làm việc đó với tốc độ đáng kinh ngạc. Một người có thể xây dựng ứng dụng bằng tài khoản cá nhân, tích hợp ứng dụng với các hệ thống của bên thứ ba và thậm chí kết nối ứng dụng với dữ liệu doanh nghiệp trước khi bộ phận bảo mật biết nó tồn tại.

Đó là điều khiến vấn đề này đặc biệt khó khăn: việc xây dựng ứng dụng đã trở nên dễ dàng đến mức số lượng ứng dụng và tốc độ thay đổi của chúng có thể nhanh chóng vượt quá khả năng quản trị truyền thống. Các CISO đang đối mặt với cùng một câu hỏi căn bản: làm sao bảo mật được một thứ mà có thể bạn thậm chí không biết đã được xây dựng hay cấu hình như thế nào?

Vì vậy, phát hiện ứng dụng phải trở thành một phần cốt lõi trong chiến lược bảo mật. Một cách hiệu quả để làm điều đó là hỗ trợ những người đổi mới, khuyến khích họ thử nghiệm nhưng yêu cầu họ đăng ký các dự án của mình. Các tổ chức cần có khả năng quan sát không chỉ mã nguồn mà còn cả những ứng dụng đang chạy trong môi trường của họ, các danh tính và quyền hạn liên quan, dữ liệu mà những ứng dụng này truy cập, cũng như các hệ thống bên ngoài mà chúng liên lạc.

Nếu nhìn xa vài năm tới, bạn có cho rằng phần lớn lao động tri thức sẽ trở thành một dạng người xây dựng phần mềm nhờ AI không? Nếu đúng vậy, điều đó sẽ làm thay đổi vai trò của các nhà phát triển chuyên nghiệp, đội ngũ bảo mật và lãnh đạo doanh nghiệp trong nội bộ doanh nghiệp như thế nào?

Chúng ta đang tiến tới một thế giới mà định nghĩa về “người xây dựng phần mềm” trở nên rộng hơn nhiều. AI giúp những người hiểu rõ vấn đề kinh doanh nhưng không phải là nhà phát triển theo cách truyền thống biến ý tưởng thành ứng dụng hoạt động được với tốc độ đáng kinh ngạc. Bản thân tôi đã trực tiếp trải nghiệm điều đó.

Tôi không nghĩ điều đó làm giảm tầm quan trọng của các nhà phát triển chuyên nghiệp hay đội ngũ bảo mật. Thay vào đó, nó làm thay đổi lĩnh vực cần đến chuyên môn của họ. Người dùng nghiệp vụ ngày càng có thể tự xây dựng giải pháp, trong khi các nhà phát triển có thể tập trung vào những vấn đề kỹ thuật phức tạp hơn, còn đội ngũ bảo mật phải tạo ra khả năng quan sát và các rào chắn để thế hệ người xây dựng mới này có thể đổi mới an toàn. Việc hỗ trợ và bảo trì ứng dụng cũng được nhìn nhận theo một góc độ mới. “Người xây dựng” không phải lúc nào cũng là “người bảo trì” phù hợp nhất. Họ mang đến tầm nhìn và đáp ứng nhu cầu kinh doanh, nhưng hỗ trợ ứng dụng trong dài hạn vẫn là nhiệm vụ phù hợp nhất với bộ phận CNTT và các đơn vị phụ trách ứng dụng. Đối với lãnh đạo doanh nghiệp, điều này mở ra cơ hội to lớn, nhưng cũng kéo theo trách nhiệm mới. Nếu các nhóm của bạn có thể tạo ra phần mềm, bạn cần xem xét rủi ro phần mềm như một phần của hoạt động kinh doanh — chứ không chỉ là vấn đề thuộc về bộ phận kỹ thuật.

Cảm ơn bạn về cuộc phỏng vấn tuyệt vời này. Độc giả muốn tìm hiểu thêm về bảo mật đám mây, các ứng dụng được xây dựng bằng AI và cách bảo vệ môi trường doanh nghiệp nên truy cập Orca Security.