Sundari Parekh: O profissional de segurança chave entende o que é crítico em sua organização e então trabalha para protegê-lo, não importa qual seja a tecnologia emergente para apoiar isso. Então, você sabe, eu volto a dizer que temos que ser facilitadores de negócios como profissionais de segurança e nos afastar do método do martelo e nos transformar mais no método de habilitação. [ Música ]
Dustin Childs: Bem-vindo ao AI Security Brief, onde estamos desvendando ameaças de IA, pesquisa de vulnerabilidades e as decisões estratégicas que os líderes de segurança estão tomando agora. Eu sou Dustin Childs.
Johnny Hand: E eu sou Johnny Hand. Hoje, conversamos com Sundari Parekh, VP de Consultoria de Segurança de IA na Trend AI. E neste episódio, exploramos como a identidade não humana e a era agente estão desmantelando as suposições sobre as quais o acesso privilegiado e a gestão de identidade foram construídos.
Dustin Childs: Sim, Sundari é um ótimo recurso. Ela lidera a estratégia de segurança empresarial e frameworks arquitetônicos para a Trend AI. Mas ela também trabalhou anteriormente na CDW, onde ajudou a modernizar seus processos de resposta a incidentes, e foi VP de gestão de riscos na Activision, onde ajudou a amadurecer sua postura de segurança em unidades de negócios globais.
Johnny Hand: Exatamente, Dustin. E essa discussão está se tornando cada vez mais importante à medida que a adoção de IA agente aumenta nas organizações. Então vamos mergulhar. As equipes de segurança, como você sabe, passaram anos desenvolvendo seus modelos de maturidade para contabilizar o acesso privilegiado centrado no humano, como a gestão de acesso privilegiado. Então, agora que a adoção de IA está aqui, e as empresas estão começando a construir agentes com acesso aumentado, a prática de PAM ou PIM acabou, e fizemos todo esse trabalho nos últimos 10 anos para nada?
Sundari Parekh: Não, eu acho que é apenas o começo. Eu acho que vamos -- quero dizer, honestamente, não acho que muitas das empresas por aí tenham acertado a solução PAM como ela é. Você sabe, não vemos muita adoção ampla de PAM nas organizações simplesmente porque é difícil, certo? As pessoas querem -- os desenvolvedores querem obter seu acesso, seu acesso privilegiado, rapidamente. Temos um problema em entender quem tem acesso a quê. Temos um problema em entender que tipo de privilégios eles têm. Temos um problema de acesso just-in-time, você sabe, realmente emitindo-o. Há muitas plataformas por aí que gerenciam isso. Elas também são muito caras, como sabemos, como praticantes de segurança. E então, você sabe, não acho que tenhamos conseguido lidar com a prática de PAM, que agora vai apenas se multiplicar porque, se você pensar em agentes, você sabe, o modelo tradicional vincula seu acesso privilegiado a você como humano, mas agora seus agentes vão se multiplicar, bem como ter diferentes níveis de acesso. Então você tem que pensar sobre isso de uma maneira diferente hoje do que antes da IA agente entrar em jogo.
Johnny Hand: Então vamos voltar antes da IA agente realmente entrar em jogo e nos levar através do que foi necessário para uma organização madura realmente fazer o PAM funcionar corretamente. Quero dizer, temos cofres de credenciais, acesso just-in-time, gravação de sessão, fluxos de trabalho de aprovação. Parece que você disse que era complicado, mas o que realmente foi necessário para uma empresa madura implementar o PAM com sucesso?
Sundari Parekh: Sim, eu acho que são algumas coisas, certo? É o -- é o -- é a peça política que você precisa exigir, você precisa entender o que precisa, você sabe, acesso privilegiado e como você vai, você sabe, enquadrar isso. Você precisa que o fluxo de trabalho real funcione, e então você precisa da adoção de tudo isso. Então, você sabe, todos esses três em conjunto realmente se unem. Agora, há ferramentas como você mencionou e disponíveis, você sabe, soluções que as empresas estavam implementando, e essas também vêm com um custo. E então tem que haver orçamento e implementação. E como indicamos anteriormente, você sabe, muitas empresas implementaram muitas coisas relacionadas à segurança, mas não as implementaram totalmente. Então você tem uma proliferação de ferramentas que não está totalmente implementada, e então, você sabe, situações em que você está lançando mais ferramentas, mais identidades que precisam ser emitidas. Você sabe, olhamos para coisas como single sign-on e governança de identidade para meio que ajudar a vincular tudo isso. Mas, você sabe, é -- é enorme. O método antigo de seu gerente aprovar seu acesso meio que se foi com o vento. Quero dizer, todos sabemos, certo? Nossos gerentes sabem o que temos acesso? Nós apenas vamos e conseguimos porque é a coisa que precisamos fazer. E então, você sabe, quando você lida com rotatividade, é incumbente de um processo manual. E então, se você não tem a ferramenta original em vigor para governança de identidade e então PAM para apoiar isso, está apenas se tornando um grande problema. É um grande problema e então apenas amplificado com os conceitos agentes que estão surgindo.
Johnny Hand: Sim, eu sempre costumava dizer que o insider mais perigoso era alguém que tinha um trabalho e um prazo e não tinha acesso suficiente para concluí-lo. Então isso é, sim, exatamente o que você está falando.
Sundari Parekh: Sim, é seu teste de penetração interno no seu melhor, certo, Dustin?
Dustin Childs: Sim, absolutamente. Vamos tirar um minuto para falar sobre identidade não humana e NHI, e o que isso realmente cobre? Porque, francamente, é meio que um conceito novo para mim. A maioria das pessoas pensa em contas de serviço, e é aí que eu começo, mas é maior do que isso, não é?
Sundari Parekh: Essa é uma ótima pergunta, Dustin. Eu acho que a grande coisa que pensamos não são apenas contas de serviço. É, você sabe, contas interativas, então as pessoas usaram suas próprias identidades em vez de usar uma identidade não humana. Então, você sabe, há um -- você sabe, o conceito de conta privilegiada é usurpado, e isso é definitivamente algo que pode ser tomado por atores mal-intencionados. Você também tem, você sabe, esses grandes ecossistemas que têm aplicativos conectados a eles. E vimos alguns desses ecossistemas serem violados através dos aplicativos porque a camada de API não foi gerenciada corretamente, e você não tinha a gestão de identidade adequada através disso. E agora estamos trazendo IA para ter, você sabe, contas persistentes. E então, você sabe, enquanto antes era um ponto no tempo, agora são essas contas efêmeras que existem além do que estamos gerenciando, e então elas estão operando em velocidades que não somos capazes de gerenciar. Enquanto quando tínhamos a identidade não humana e o, você sabe, acesso privilegiado, eram as contas e velocidades que éramos capazes de lidar de alguma forma.
Dustin Childs: Sim, e agora estamos olhando para a IA agente. Estamos agora olhando para algo muito diferente em comparação com a pegada de apenas alguns anos atrás, certo? Quero dizer, à medida que começamos a colocar esse NHI em todos esses agentes, isso é como um problema onde dobra o tamanho, ou é como 200 vezes o tamanho, ou --
Sundari Parekh: Eu nem acho que seja 10x ou, você sabe, 100x, porque você vai ter que pensar sobre os agentes tendo acesso que poderia persistir além do que o acesso do indivíduo era. Você pode pensar sobre isso que eles estão operando 24 por 7, enquanto, você sabe, um acesso humano faz pausas, e onde podemos dizer, você sabe, o horário de trabalho de Johnny é das oito às cinco, e agora seu -- você sabe, ele está acessando o ambiente às duas da manhã, o que não é normal. Então todos os comportamentos humanos que colocamos em prática de uma perspectiva de SOC agora não importam mais, já que, você sabe, estamos operando o tempo todo ao redor do relógio. Então eu acho, você sabe, estamos lidando com algo que realmente precisa ser pensado de uma maneira diferente. Eu não acho que podemos pensar nisso como pensamos sobre identidade em nosso sentido tradicional. Eu acho que temos que pensar sobre identidade agente de uma maneira completamente separada, e temos que gerenciar e colocar limites para que seja de uma forma que possamos entender o que os agentes estão fazendo. E os agentes não, você sabe, crescem sua identidade e habilidades através de seu próprio aprendizado, porque esse é o outro problema que temos que enfrentar também.
Dustin Childs: Eu ia dizer, agora digo que a maior ameaça interna é um agente de IA agente que não tem as credenciais que eles precisam para sair e fazer o que foram instruídos a fazer.
Sundari Parekh: Correto. E então eles estão apenas encontrando a capacidade de fazê-lo. E o exemplo tradicional é sempre -- você sabe, eu não tenho acesso aos dados internos de funcionários. Eu não deveria. Não é meu papel. Mas posso construir um agente que então vai colher os dados disponíveis, e agora de repente eu tenho dados internos de funcionários, e estou me perguntando por que meus colegas estão sendo pagos, você sabe, o que quer que seja em comparação comigo. Então se torna, você sabe, ameaça interna. Se torna a capacidade de vazamentos de dados ocorrerem. Você sabe, isso é um trabalho interno. Podemos ter, você sabe, modelagem de ameaças, e há, você sabe, você está muito ciente de que isso acaba sendo externo, você sabe, violações de informações que estão saindo de nossa organização.
Johnny Hand: Então estou curioso, quando você pensa sobre o que vem a seguir, como passamos de apenas focar na gestão de acesso privilegiado ou gestão de identidade para garantir o cenário de IA agente? Quais são algumas das grandes coisas que devemos estar abordando?
Sundari Parekh: Sim, realmente precisamos pensar sobre, você sabe, agentes e sub-agentes e como eles se relacionam com o acesso e limites. Precisamos entender qual é a intenção do agente para determinar como o modelo de acesso se parece, em vez de olhar para o que o acesso precisa ser. Então eu acho que quase, como você sabe, indicamos anteriormente, virar isso de cabeça para baixo, e ter uma abordagem não tradicional de pensar sobre identidade. Agentes funcionam continuamente. Isso é um grande problema, então vamos ter que pensar sobre como garantir isso. E então, de alguma forma, vamos ter que também pensar sobre como ter continuamente uma solução com humano no loop onde estamos verificando os limites do agente de IA para que ele não exceda o que esperamos, e que o agente não esteja, você sabe, fazendo coisas além dos limites do que o criamos para. E então eu acho que há um problema geral de governança, certo? Esse agente ainda precisa existir amanhã, ou resolvemos o que ele está fazendo para que ele não precise existir mais? Porque, como sabemos, você sabe, demissões são um grande problema no que diz respeito a identidades humanas, e agora, estamos trazendo uma proliferação de identidades que não estão vinculadas a um humano. Então como você limita isso e governa quando eles não estão vinculados a nada que seja gerenciável?
Johnny Hand: Uma das coisas que vejo de uma perspectiva de CISO não é necessariamente jogar cautela ao vento, mas uma empolgação para realmente entrar na era agente. Mas eu não sei se estamos tendo essas conversas sobre como garantir que protegemos o agente. Então quais são as conversas que você está tendo com seus colegas e no seu nível de liderança?
Sundari Parekh: Então essa é uma pergunta tão interessante porque eu acho que temos um edito de gestão para ir nativo de IA, e que estamos atrás da bola oito sobre como gerenciar e governar isso. Então eu não acho -- eu acho que há um, você sabe, sprint muito rápido para se alinhar mais com ser nativo de IA, com usá-lo em nossas, você sabe, nossas empresas para habilitar negócios. E é ótimo, certo? Todos nós usamos isso no nosso dia a dia. Mas agora não estamos -- nós como profissionais de segurança estamos meio que atrás da bola oito em pensar sobre como gerenciar e proteger e governar esses agentes porque as pessoas estão -- você sabe, não tocamos na IA sombra, certo, onde eles estão construindo agentes em, você sabe, fábricas de IA que não existem dentro da infraestrutura. Então esse é um problema que vamos meio que deixar de lado. Mas mesmo nas fábricas de IA aprovadas que existem, você sabe, os agentes que eles estão criando e o gerenciamento deles não estão sendo gerenciados. E eu acho que teremos o mesmo problema que temos com governança de identidade em que, você sabe, todos pensamos que é muito mais fácil começar a governança de identidade no início de uma empresa, mas a maioria das empresas não começa tão cedo, e então você está sempre, você sabe, atrás da bola oito para alcançar. E é aí que vamos estar com agentes de IA e o componente agente de gestão de identidade e governança, porque as pessoas estão criando seus agentes, estão criando suas soluções, e agora não estão apoiando, você sabe, a governança em torno disso.
Johnny Hand: Você sabe, uma coisa para mim que como praticante de segurança, eu sempre olhei para o, você sabe, o conceito de, você sabe, menor privilégio, você sabe, qual é a menor quantidade de privilégio que um usuário precisa para fazer seu trabalho. Mas avançando para IA agente agora, isso ainda se aplica? Porque as tarefas do agente poderiam mudar a cada vez em tempo de execução, existe tal conceito de menor privilégio quando se trata desses agentes?
Sundari Parekh: Eu não acho. Eu acho que vamos ter que pensar sobre isso de uma maneira diferente porque, você sabe, certamente esse é o modelo tradicional de gestão de identidade, é menor privilégio. Mas agora esses agentes, você sabe, podem eles -- podem eles se tornar autoconscientes e fazer seu próprio, você sabe, acesso privilegiado e conceder a si mesmos mais acesso que precisam? Quero dizer, poderia ser se -- os limites não estão em vigor da maneira que é gerenciada. Então como você -- como você monitora continuamente e olha para isso? Eu acho que essa vai ser a próxima inovação que precisa surgir para garantir que os agentes sejam gerenciados de uma maneira que eles não estejam, você sabe, descontroladamente fora de controle.
Johnny Hand: Existem frameworks ou padrões que estão acertando isso hoje, ou pelo menos indo na direção certa?
Sundari Parekh: Você sabe, eu acho que o NIST tem uma compreensão bastante sólida em seu framework de IA. Eu acho que a ISO ainda é um pouco de alto nível. Então eu acho, você sabe, depende da organização e dar uma boa olhada no que eles querem fazer e como querem alcançá-lo. Quero dizer, o passo um é obviamente uso aceitável de IA e parte do trabalho de política, e então, você sabe, dar um passo real para trás e dizer, "Como e o que estamos fazendo, e como gerenciamos isso de acordo?"
Johnny Hand: Há muita discussão em torno de controles de acesso conscientes de IA ou motores de política que entendem qual agente, qual tarefa, quais dados, qual janela de tempo. Quão madura é esse pensamento hoje, e como seria se fosse implementado com sucesso?
Sundari Parekh: Você sabe, eu acho que essa é a abordagem que precisamos. Eu acho que o modelo tradicional de confiança zero de, tipo, você sabe, garantir que tudo precisa ser confiável desde o início e que todos têm as credenciais desde o início. Eu acho que a evolução de nós chegarmos lá como uma organização de segurança. Você sabe, ao mesmo tempo, é a mesma equipe que está lutando contra todas as ameaças que estão entrando, e você está muito ciente disso. E é a mesma mão que está dizendo, você sabe, a segurança não está sendo um facilitador, e eles estão bloqueando-nos de usar essas soluções de IA, você sabe, SaaS. E então, você sabe, essas equipes de segurança estão sendo esticadas de ponta a ponta para tentar apoiar, você sabe, esse conceito nativo de IA. E então como você constrói essa infraestrutura e governança com sucesso em cima do fato de que você tem todas essas outras prioridades concorrentes? É a mesma coisa que lutamos em nossas carreiras inteiras como profissionais de segurança. Então eu acho -- eu acho que a governança vai ser chave. Eu acho que construir esse modelo, mas dar um passo para trás e apenas meio que virar isso de cabeça para baixo para que você esteja abordando identidade -- identidade agente da maneira certa.
Johnny Hand: Sim. Eu ia tocar em algo que você mencionou porque ouvi essa conversa muito. Eu adoraria obter sua opinião. Há frequentemente essa conversa em torno de à medida que avançamos para IA. A segurança para IA é diferente de, digamos, cibersegurança, e eu frequentemente -- é quase falado como se fossem duas equipes diferentes. Você acabou de mencionar o fato de que são as mesmas equipes. O que você está vendo, e como você -- como você nos vê preencher essa lacuna como profissionais de cibersegurança?
Sundari Parekh: Sim, eu acho que é a mesma equipe. Eu acho que se você criar uma equipe de IA que é gestão, vai ter as mesmas funções principais de uma equipe de segurança, certo? Eles vão precisar de governança. Eles vão precisar de operações. Eles vão precisar, você sabe, de engenharia. Então por que você criaria uma equipe separada para apoiar, você sabe, semelhante ao que fazemos como profissionais de segurança? E eu acho, novamente, é a mesma lacuna de habilidades que enfrentamos quando introduzimos a nuvem no ambiente, certo? Tivemos um monte de pessoas que eram profissionais on-prem que pensavam sobre segurança como se relacionava a firewalls. Se mantivermos todos fora, então estamos seguros. E agora tivemos que mudar. E agora a mudança é -- e é muito comum falar sobre identidade como o perímetro. Então eu acho que é a mesma mudança. Nós apenas temos que capacitar nossos indivíduos, você sabe. Temos que garantir que nossos profissionais entendam como esses riscos se parecem e como pensar sobre isso, e então eles vão seguir em frente e pensar sobre o -- o engenheiro de segurança é treinado para pensar sobre esses riscos e vetores de ameaça, você sabe, os bons, certo? E então não importa qual seja a tecnologia emergente que apoia isso. Eles serão capazes de pivotar e ser capazes de pensar sobre isso. Eu acho que temos que armá-los com algumas informações adicionais para dizer, "Ei, você sabe, essas são as coisas que você tem que pensar agora, você sabe, e ter essas conversas saudáveis," você sabe, através da indústria, através de grupos de pares, através de liderança de pensamento, e dessa forma, as pessoas ficam mais informadas e podem pensar sobre a aplicabilidade em seus próprios ambientes. E eu acho que esse é o futuro -- a próxima tecnologia emergente está, você sabe, meses, anos de distância, certo? Então vamos ter que pivotar e continuar a pensar sobre como vamos proteger as organizações. E para seu ponto, Johnny, o profissional de segurança chave entende o que é crítico em sua organização, e então eles vão trabalhar para protegê-lo, não importa qual seja a tecnologia emergente para apoiar isso. Então, você sabe, eu volto a dizer que temos que ser facilitadores de negócios como profissionais de segurança e nos afastar do método do martelo e nos transformar mais no método de habilitação.
Johnny Hand: Então, Sundari, se você está procurando proteger sua IA dentro de sua organização de segurança e vai se associar a um fornecedor, o que os líderes de segurança devem procurar nesses fornecedores para encontrar a parceria certa?
Sundari Parekh: Ótima pergunta, Johnny. Eu acho que a pergunta chave que você precisa ter respondida é, "Esse fornecedor entende meu ecossistema e minha infraestrutura? Você sabe, você tem um ambiente híbrido? Você tem múltiplas fusões e aquisições? Como sua identidade funciona? Quais são os casos de uso para sua IA agente em seu ecossistema?" Eu acho que a segunda coisa é, "Em qual vertical você opera?" Você sabe, algumas necessidades de conformidade são mais pesadas do que outras, e haverá mais requisitos emergentes que surgirão de uma perspectiva de IA que serão aplicados, especialmente em alguns dos verticais de conformidade mais pesados que temos e apoiamos. E eu acho que a terceira coisa é apenas uma abertura para ter um diálogo de mão dupla, certo? Essa relação de confiança e parceria onde eles estão realmente aconselhando você da melhor maneira possível porque esse fornecedor vai ser chave para você ser capaz de implementar, você sabe, governança de IA agente e governança de identidade de uma maneira que seja significativa para sua organização. Então, no final, se você acertar essas três áreas, você pode ter essa, você sabe, relação com o fornecedor que realmente apoia o que você está procurando alcançar. E eu acho que isso não é necessariamente específico para IA. Eu acho que esse é o caso na maioria do trabalho de segurança que eu fiz é essa parceria de confiança.
Johnny Hand: Então, Sundari, enquanto encerramos e no interesse do tempo, eu queria perguntar a você, quais são duas ou três coisas que nosso público pode pensar ao ouvir essa conversa? Quais são os principais pontos para nossos líderes de segurança?
Sundari Parekh: Essa é uma ótima pergunta. Obrigado, Johnny. Eu acho que há definitivamente uma oportunidade para garantir que você saiba que seu trabalho de PAM não foi um trabalho descartável. É chave. É crítico. Eu voltaria e revisitaria o que vocês implementaram de uma perspectiva de PAM, garantindo que suas contas de serviço não tenham logon interativo, garantindo que você tenha, você sabe, limites rotacionais para seu NHI, garantindo que você entenda o que tem NHI e o que não tem. Eu acho que a segunda coisa é garantir que você tenha uma espécie de identidade agente, entendendo o que seus agentes têm acesso em termos de tarefa, dados e duração. Eu acho que essas são as três principais coisas. Como eu disse, a gestão está forçando um tipo de mandato nativo de IA, e então entender o que esses agentes têm acesso, e então construir um modelo de governança para ajudar a apoiá-lo para que você entenda quem está construindo o quê e como esse humano no loop precisa se parecer para apoiar o trabalho agente. Eu acho que é a próxima geração e evolução de onde precisamos estar.
Johnny Hand: Bem, Sundari, obrigado por ter uma conversa conosco hoje. Nós realmente apreciamos você compartilhar seus insights e experiência sobre NHI e como a IA agente está remodelando o acesso privilegiado. Mal podemos esperar para você se juntar a nós novamente no futuro no programa, e esperamos que tenhamos algumas atualizações sobre como o NHI melhorou.
Sundari Parekh: Isso é ótimo. Obrigado por me deixar participar, pessoal. [ Música ]
Dustin Childs: Uau. Que ótima conversa. Você sabe, Johnny, nós frequentemente gravamos esses encerramentos alguns dias depois de realmente gravarmos a entrevista inicial. Estamos tão empolgados após essa conversa que queríamos apenas entrar com nossos pensamentos e reações ao que Sundari disse.
Johnny Hand: Sim, houve tantos pontos práticos de Sundari, e eu realmente amo o fato de que ela destacou que nosso investimento em PAM não foi realmente um desperdício. Ele é construído para humanos, e a identidade não humana já é a maioria com IA agente, mas temos que focar nos fundamentos do que estamos fazendo. Então o caminho a seguir é estender nossa gestão de acesso privilegiado e nossos princípios de gestão de identidade, não substituí-los. Então credenciais efêmeras de menor privilégio ainda se aplicam. A gestão do ciclo de vida do NHI em escala é importante. E os controles de acesso conscientes de agentes são como realmente impulsionamos a inovação aqui com IA agente. E eu amo que ela tornou isso simples e muito digerível para nós, líderes de segurança.
Dustin Childs: Sim, eu não poderia concordar mais. Confira nossas notas do programa para se conectar com Sundari e para recursos adicionais relacionados a este episódio.
Johnny Hand: E isso encerra mais um episódio do AI Security Brief. Queremos agradecer por se juntar a nós. Nosso objetivo é hospedar conversas que façam você pensar de maneira diferente sobre segurança. E se isso acontecer, por favor, considere se inscrever para não perder o que vem a seguir.
Dustin Childs: AI Security Brief é mixado e produzido por Elliott Peltzman, com música original de Amneajynx. Nossa produtora executiva é Jennifer Eiben, com estratégia de conteúdo por Ma'ayan Plaut e Melanie Gallant. Ajuda adicional de produção por Liz Stokes. Edição de vídeo por Sarelle Joppy e Brigitte Criqui-Wild.
Johnny Hand: Muito obrigado por ouvir, e nos vemos na próxima vez no AI Security Brief. [ Música ]
