Rob Ainscough 00:00:00
Qual é uma verdade difícil de engolir?
Eva Maler 00:00:01
O controle de acesso baseado em intenção não se parece em nada com uma melhoria na autorização. Se você enxerga a identidade como infraestrutura, existe uma espécie de limite que você atinge se a gerenciar como tickets ou apenas como incidentes. Essas abordagens têm um limite de desempenho.
Eva Maler 00:00:16
Então, quando falamos de autenticação única (SSO), se você trabalha com segurança, significa uma forma de implementar uma autenticação mais robusta. Se você trabalha com marketing, vê como uma maneira de permitir que as pessoas acessem os produtos que você quer que elas comprem — hum… melhor e mais rápido. A mesma tecnologia, objetivos comerciais completamente diferentes.
Eva Maler 00:00:33
Proteção, personalização, pagamento e pessoas. Lidar com riscos, com o mercado, com transações e com o fator humano. Geralmente, é a interação com o fator humano que nos pega de surpresa.
Rob Ainscough 00:00:43
Acordado.
Roy Akerman 00:00:43
A identidade não é apenas um problema operacional, é também um problema de segurança, e a maioria das equipes está percebendo isso em tempo real.
Rob Ainscough 00:00:50
Este é o podcast onde fazemos a engenharia reversa do significado de segurança de identidade, compartilhando conversas francas sobre as pessoas que estão construindo, corrigindo e repensando a segurança de identidade por dentro.
Roy Akerman 00:01:00
Meu nome é Roi Ackerman.
Rob Ainscough 00:01:01
E eu sou Rob Ainscough.
Roy Akerman 00:01:02
Vamos mergulhar.
Rob Ainscough 00:01:04
Vamos fazer isso.
Rob Ainscough 00:01:10
Olá a todos. Terceiro dia do Identiverse aqui, e hoje estamos com Eve Maler. Oi, Eve. Tudo bem?
Eva Maler 00:01:16
Estou ótimo, obrigado.
Rob Ainscough 00:01:17
Muito bom. Então, co-inventor do SAML, CTO da ForgeRock e agora fundador da The Ven Factory – sim… criando estratégias de produto irresistíveis em Identidade.
Eva Maler 00:01:28
Sim. Incrível. Adoro essa palavra, irresistível. Quem não gosta? Então
Rob Ainscough 00:01:31
Você, você realmente...
Eva Maler 00:01:32
visto
Rob Ainscough 00:01:32
it
Eva Maler 00:01:32
Todos. Além disso, quem não gosta de um diagrama de Venn?
Rob Ainscough 00:01:33
Eu... nós falamos sobre diagramas de Venn na semana passada... Sim, falamos... quando nos encontramos. Sou muito fã. Muito fã mesmo. Vamos tentar criar um novo hoje. Então, hoje vamos falar sobre um tópico realmente interessante, eu acho, importante e oportuno, certo? Vimos a evolução nos últimos 10, 15 anos da identidade, que passou de ser sobre conformidade, sobre viabilizar os negócios, para ser sobre segurança dos negócios. Sim. E isso impôs novas exigências, eu acho, aos líderes e às pessoas da área de identidade para descobrirem como falar sobre isso. Exatamente. Como falar sobre por que isso importa, por que é importante, como conseguir financiamento... Hum-hum para atingir os objetivos e, finalmente, garantir a segurança.
Eva Maler 00:02:07
Absolutamente.
Rob Ainscough 00:02:08
Hum, esse é o tema do seu novo livro.
Eva Maler 00:02:10
Sim.
Rob Ainscough 00:02:10
Muito emocionante. Temos um exemplar aqui. O Roi tem um exemplar. Ah, vai mostrar? Ele sempre carrega consigo agora. Eu já li. Sempre carrega.
Roy Akerman 00:02:14
Eu li com ele. Eu li a versão para Kindle... mas consegui minha própria cópia autografada.
Rob Ainscough 00:02:18
Sim. Aí está. Aí está. Então, vamos falar sobre alguns dos temas que você aborda no livro, sobre como tratamos a identidade como um produto, como entendemos a importância de conversar com o conselho sobre isso... Sim... e, em última análise, alcançar nossos objetivos.
Roy Akerman 00:02:29
Yep.
Rob Ainscough 00:02:29
Parece bom?
Roy Akerman 00:02:30
Parece incrível.
Rob Ainscough 00:02:31
Muito bom. Roi vai... O
Roy Akerman 00:02:32
A dor de explicar e lidar com a dor,
Rob Ainscough 00:02:34
Certo? Sim. E veja bem, nós vemos isso, eu vejo isso, e tenho certeza que você também vê, Roi, conforme você conversa em lugares como o Identiverse e com profissionais da área, é realmente um assunto em alta no momento. É algo com que muitas empresas e muitos profissionais estão tendo dificuldades em termos de como comunicar isso e explicar... sim, você sabe, o que isso significa e qual é o seu valor.
Eva Maler 00:02:54
Acho que foi algo que descobri conversando com pessoas enquanto pesquisava para o livro: existe uma espécie de limite que se atinge se você enxerga a identidade como infraestrutura, se a gerencia como tickets ou se a gerencia apenas como incidentes, se a sua perspectiva for de segurança. E essas abordagens têm um limite de quão bem você pode se sair, e muitas vezes podemos ver a possibilidade de melhorar a experiência, o que eu... sim... às vezes penso nisso como uma vulnerabilidade de UX, por assim dizer.
Rob Ainscough 00:03:21
Acordado.
Eva Maler 00:03:21
Então, eu gosto da ideia de não fazer concessões. Esse é o meu objetivo. E para chegar a esse ponto, você precisa pensar como um dono do produto.
Roy Akerman 00:03:29
Sim. Estou muito animado com esta discussão. E, com sua permissão, vou oferecer um pouco de estrutura, certo? Sim. Bem, acho que tudo começa com o ponto em que estamos agora. A identidade ainda é um mundo um pouco confuso. Estamos construindo-a... Ah, sim... patch após patch, acompanhando todo o avanço tecnológico. E é interessante entender, como co-inventor do SAML, como chegamos a esse ponto? Acho que existe um desequilíbrio entre a identidade como ferramenta de segurança, ou como um ambiente de testes de segurança, versus a identidade como um facilitador de negócios... Hum... versus a identidade como uma parte muito importante dos negócios.
Eva Maler 00:04:04
Mm-hmm
Roy Akerman 00:04:04
E então podemos falar sobre o futuro e talvez sobre algumas estruturas que nos ajudarão a navegar por essa mudança maluca que a IA está trazendo para o mundo, certo?
Eva Maler 00:04:12
Mudança radical, sem dúvida.
Roy Akerman 00:04:13
Legal. Então, estamos de acordo com o esboço? Vamos lá.
Eva Maler 00:04:16
Vamos lá. Vamos lá. Estamos no
Roy Akerman 00:04:16
quadro. Sim. Faça isso.
Eva Maler 00:04:17
Chegamos lá. Ok. Acho que podemos fazer uma escavação arqueológica, na verdade, para descobrir... como a identidade cresceu gradualmente até se tornar essa coisa confusa que conhecemos hoje.
Roy Akerman 00:04:26
Sim.
Eva Maler 00:04:26
Tipo, o que eu estou pensando é, então, para o livro e com base na minha experiência de vida com identidade... Claro... Comecei a catalogar onde reside a responsabilidade pela identidade na organização. Certo. E o engraçado é que está por toda parte. Tipo, você pensa em CISO. Certo. E esse é um lugar meio natural... Certo... particularmente para a identidade da força de trabalho. Sim. Para a identidade do cliente, é muito mais variável.
Rob Ainscough 00:04:48
Certo.
Eva Maler 00:04:49
Bem, mesmo assim, a força de trabalho pode estar subordinada ao CIO em algum lugar, em alguma função de TI de serviços compartilhados. Certo. Mas, tipo, eu já vi, até em um banco, a identidade do cliente ser de responsabilidade do marketing, certo? Por quê? Foi mais ou menos essa a minha impressão. Por quê?
Roy Akerman 00:05:04
Bem, eu entendo. Você precisa de dados... bem... para vender as novas ofertas.
Eva Maler 00:05:07
e outras coisas, né? É o segredinho sujo. É. Então, tipo, quando a gente fala de autenticação única (SSO), sabe, como um usuário de SAML, enfim... eu, sabe, passei muito tempo falando e ensinando as pessoas sobre autenticação única.
Rob Ainscough 00:05:15
Certo.
Eva Maler 00:05:16
Mas aprendi, e levei algum tempo para aprender, que isso significa coisas diferentes para pessoas diferentes.
Rob Ainscough 00:05:20
Certo.
Eva Maler 00:05:21
Portanto, se você trabalha com segurança, isso significa uma maneira de propagar uma autenticação mais robusta para um número maior de seus milhares de aplicativos, talvez internos.
Rob Ainscough 00:05:28
Sim.
Eva Maler 00:05:29
Bem, se você trabalha com marketing ou produto, porque hoje em dia todo mundo tem produtos digitais, toda empresa é uma empresa de tecnologia... Certo... você vê isso como uma forma de permitir que as pessoas acessem o que você quer que elas comprem... Mm... melhor e mais rápido, e uma forma de personalizar a experiência. Certo. Então, o login único usa a mesma tecnologia, mas é usado para fins comerciais completamente diferentes.
Rob Ainscough 00:05:50
E eu acho que existem diferentes perspectivas sobre a experiência do usuário, certo? Sim. Eu, do ponto de vista da força de trabalho, sabe, eu já estive nesse mundo, é muito binário. É tipo: "Você vai fazer isso", certo? Sim. Porque é assim que funciona, e é disso que precisamos.
Eva Maler 00:06:03
Hum-hum. Hum-hum.
Rob Ainscough 00:06:04
No mundo do consumidor, existe muito mais a abordagem do tipo: "Ok, vamos te inserir nessa jornada e, quando chegar a hora, precisamos te ajudar a ir além e entender mais sobre você."
Eva Maler 00:06:14
Você tem, você tem
Rob Ainscough 00:06:14
para
Eva Maler 00:06:14
be
Rob Ainscough 00:06:15
agradável
Eva Maler 00:06:16
para eles, porque - Você tem que ser gentil e
Rob Ainscough 00:06:17
Atencioso, não é? ... você não é o chefe.
Eva Maler 00:06:17
deles. Essa é a verdade. E você pode realmente abusar dos funcionários, e não deveríamos abusar deles. E uma das coisas que me fez pensar em escrever um livro...
Rob Ainscough 00:06:26
Certo
Eva Maler 00:06:26
Anos atrás, descobri que alguns dos líderes de identidade mais experientes... hum... na verdade fazem testes A/B quando estão projetando jornadas de autenticação.
Roy Akerman 00:06:35
Certo,
Eva Maler 00:06:36
Certo… até mesmo para os funcionários. Certo. E eu penso: “Nossa, eu quero trabalhar na sua empresa.” É possível fazer isso, e quando você pensa nos ganhos de produtividade... e quando você pensa nos ganhos de lealdade, sabe, os funcionários também podem sair, eventualmente. Sim. Então, há muitos benefícios que você pode obter, e você começa a ter essa mentalidade de não fazer concessões... Certo… que eu realmente adoro.
Roy Akerman 00:06:57
Então são alguns, vários produtos, ao mesmo tempo, para a mesma entidade que chamamos de identidade. Sim. Certo?
Eva Maler 00:07:03
Sim.
Rob Ainscough 00:07:03
Sim. Quer dizer, eu tinha uma pequena anedota ótima que acho que resume bem onde chegamos, certo? Hum-hum. Eu estava em um jantar, não me lembro se já contei essa história no podcast antes. Espero que não. Gravamos apenas uns 10 episódios. Então, eu estava em um jantar e estávamos falando sobre PAM, e era um jantar do setor financeiro. E um deles disse: "Eu não tenho um cofre". E outro ficou incrédulo: "Como você não tem um cofre? Certo, vocês são de um setor regulamentado. Como não têm?". Hum-hum. Ele respondeu: "Não, não, não. Eu não tenho um cofre. Eu tenho uma complexa rede de soluções alternativas". Sim.
Roy Akerman 00:07:36
Ok.
Rob Ainscough 00:07:37
Certo?
Roy Akerman 00:07:37
Sim.
Rob Ainscough 00:07:37
E acho que isso se aplica à identidade.
Eva Maler 00:07:40
Sim
Rob Ainscough 00:07:40
Gosto da forma como eu vejo as coisas. Existem muitas soluções alternativas e coisas que foram surgindo ao longo dos anos... Sim... que meio que fazem o que precisamos, mas na verdade não fazem, e, sabe, nós temos... Você disse isso?
Eva Maler 00:07:49
Orgulhosamente, ou será que ele estava?
Rob Ainscough 00:07:50
Admitindo algo? Hum, ele tinha bebido uns copos de vinho. Sim. Tenho que dizer que naquele momento... Nossa! Foi assim que aconteceu.
Eva Maler 00:07:53
pode
Rob Ainscough 00:07:54
honestamente
Eva Maler 00:07:54
Venha. Quer dizer, e eu já ouvi histórias semelhantes sobre como, tipo, sabe, no controle de acesso baseado em funções, você tem um monte de soluções improvisadas e, tipo... Sim... a explosão de funções é uma prova de... Sim... como é difícil ter uma visão clara.
Rob Ainscough 00:08:06
Sim.
Eva Maler 00:08:06
Então, soluções alternativas estão por toda parte em termos de... Certo, bem, acontece que essa pessoa precisava de acesso para alguma coisa, e provavelmente era algo temporário... Sim... mas não tratamos como temporário. E
Rob Ainscough 00:08:14
agora
Eva Maler 00:08:15
Está enraizado. E uma vez enraizado, para se livrar disso, você precisa... Uma das coisas que aprendi foi pensar como um gerente de produto, entender a voz do cliente e descobrir onde está o problema. Hum. Porque eles estavam tão apegados a isso, não porque gostassem, mas porque literalmente não sabiam como se livrar disso. E se você puder ser a pessoa que resolve esse problema... Concordo... trabalhando no que parecia ser infraestrutura de identidade antes... você se torna o herói deles. Sim. Concordo. É uma posição muito melhor, muito mais gratificante.
Roy Akerman 00:08:40
Estou começando a entender a confusão, de onde ela vem. Por um lado, você precisa conectar muitas coisas, certo? E você tem o SAML e outras tecnologias que permitem isso, ou protocolos que permitem conectar as coisas. Mas aí surge a demanda, desde a identidade até o serviço... Certo, para tantos propósitos, é como se estivesse distribuindo para tantas áreas que é difícil chegar a um consenso, certo? Sim.
Rob Ainscough 00:09:00
Sim, e acho que para mim, mais do que qualquer outra disciplina em cibersegurança, e eu obviamente considero isso uma disciplina de segurança, certo? Trata-se de pessoas. Trata-se de pessoas fazendo seus trabalhos. E, e, como você disse, sim, existe muito medo em relação ao acesso e à perda de acesso.
Eva Maler 00:09:13
Sim. Travas deslizantes portáteis
Rob Ainscough 00:09:14
Será que vou conseguir fazer meu trabalho direito? E esse é um equilíbrio muito difícil, né? Sim… entre segurança, usabilidade, UX e produto, certo?
Eva Maler 00:09:22
Na verdade, tenho uma teoria sobre isso. Continue. Então, as pessoas falam sobre privilégio zero como o novo Santo Graal. Certo. Sim. E parece ótimo. E se pensarmos em como tornar isso possível, o maior problema não é exatamente remover o acesso, embora isso seja um grande problema... porque cada aplicativo terá uma semântica diferente. Claro. O maior problema é descobrir como dar acesso às pessoas de forma rápida e eficiente quando elas precisarem. E se resolvermos isso... concordo... como no iPhone 5S... que adicionou o Touch ID, foi muito interessante porque eles tinham uma versão mais suave, mais tolerante a falsos positivos, da verificação de impressões digitais. Sim. Sim. Hum-hum. Mas isso criou uma espécie de mecanismo de segurança coletiva... sim, por assim dizer, porque ficou tão fácil desbloquear o telefone... sim... que agora você poderia estar disposto a bloquear o telefone. Concordo. E passamos de cerca de 50% das pessoas bloqueando seus telefones para, tipo, 99% e alguma coisa. Sim. Portanto, é um ótimo exemplo de como facilitar a adição de acesso torna possível limitá-lo e, de fato, ter algo como o princípio do menor privilégio.
Rob Ainscough 00:10:27
Sim.
Eva Maler 00:10:27
Então, estou esperando o dia em que ficaremos realmente bons em dar às pessoas acesso ao conteúdo no momento e em fazer com que elas aceitem que ele desapareça quando forem embora. Ah. Um
Rob Ainscough 00:10:36
Uma discussão muito interessante que tivemos há algumas semanas no EIC, certo? Tivemos um café da manhã muito bom oferecido pelo Identity Underground. Um grupo ótimo. Sim. Uma discussão muito boa da qual você participou. Ah, foi incrível. Muito bom mesmo. Mas nós... meio que houve uma convergência em torno do conceito de, bem, em vez de gerenciar todo esse acesso, e se ele estivesse disponível apenas quando você precisasse?
Roy Akerman 00:10:56
Mm-hmm
Rob Ainscough 00:10:56
Sim. E tomamos essa decisão naquele momento.
Roy Akerman 00:10:58
Estou sentindo cheiro de agentes por aqui, não é?
Rob Ainscough 00:11:01
Foi uma discussão sobre agência. Ah,
Roy Akerman 00:11:03
sim.
Rob Ainscough 00:11:03
Bem, foi aí que houve uma grande convergência em torno disso, e foi principalmente por causa dessa perspectiva de UX, tratando-a como um produto... e como nos livramos de toda a bagagem que acumulamos ao longo dos anos e partimos para algo novo e diferente. Essa foi uma perspectiva realmente interessante.
Roy Akerman 00:11:17
Então, agora começou a crescer ainda mais rápido, e mesmo assim sentimos que a identidade está em crise, certo? Sim. Há algo aí que ainda não foi resolvido, e... Sim... muitos dos líderes com quem estou conversando nesta conferência dizem que não têm certeza de qual deve ser a nossa identidade para a próxima fase, certo? Sim. Então, talvez por um momento, tipo... Então, temos múltiplas perspectivas de identidade que precisam ser resolvidas em conjunto. Como você descreveria a situação atual na maioria das organizações que você assessora e com as quais conversa?
Eva Maler 00:11:47
Sim. Hum, eu vejo isso como um momento de oportunidade. Sim. Tipo, a gente nem sabe que tipo de inovações vamos ver, porque agora todo mundo pode ser gerente de produto. Mas tem rolado uma discussão nos bastidores aqui na Identiverse entre algumas pessoas, sei lá, sarcásticas... É... hum, falando sobre, tipo, agora todo mundo pode, sabe, criar um aplicativo. Certo. E eu estou lidando com isso agora na minha empresa porque, sabe, eles acham que sabem do que estão falando... É... e estão criando algo que está bem longe do ideal... em termos de todas as habilidades, por assim dizer. Mas eu estou animado com isso porque agora... Gerentes de produto, gerentes de produto de verdade, que precisavam descrever o que queriam para alguém e talvez usar o Figma... Hum. Sim... e façam uma simulação e, sabe, tentem transmitir qual lacuna de mercado eles estão tentando preencher.
Rob Ainscough 00:12:34
Certo.
Eva Maler 00:12:35
E podemos interpretar isso metaforicamente também... Hum... com a minha noção de identidade como um produto, digamos que existe um usuário final para quem precisamos resolver um problema complexo. Isso também representa uma lacuna de mercado. Se você tiver essa mentalidade, é possível fazer coisas incríveis. Compreender isso de verdade e então tentar algo, pelo menos, é começar de um ponto de partida mais sólido do que um mero esboço. Sim. E a pessoa que tem a ideia começa a se deparar com mais problemas...
Rob Ainscough 00:12:59
Certo …
Eva Maler 00:13:00
e as reais compensações que você tem com o design de produto.
Rob Ainscough 00:13:01
Certo.
Eva Maler 00:13:02
Então, acho que é um ótimo momento para vermos muitas soluções inteligentes, tanto na área da criptografia — certo… na área de integração de diferentes partes — uma espécie de orquestração, mas também em relação ao pensamento sobre agentes. A presença humana no processo é definitivamente um desafio de UX. Por exemplo, você pode não ter uma sessão ativa no momento em que precisa ser incluído no processo, e essa inclusão, o que eu considero uma política de "pergunte-me" —
Rob Ainscough 00:13:28
Certo …
Eva Maler 00:13:28
É crucial acertar nesse ponto.
Rob Ainscough 00:13:30
Certo.
Eva Maler 00:13:31
E você realmente precisa ir até o fundo e pensar: por que alguém se importaria?
Rob Ainscough 00:13:34
Milímetros.
Eva Maler 00:13:34
E como eu incorporo isso no dia a dia deles? Certo. Essas são coisas que a identidade inevitavelmente te coloca... Sim... no trabalho de fazer. Eu
Roy Akerman 00:13:41
Concordo. Isso é realmente empolgante. E eu acho que, Rob, como líder em identidade, existem muitas oportunidades. Quero dizer, existem muitas necessidades por aí. Ainda estamos esperando que algumas coisas sejam resolvidas. Como levar essa conversa para o próximo nível? Como comunicar isso aos executivos de alto escalão nas organizações, não apenas para justificar o orçamento, mas para realmente incorporar produtos de identidade em... hum... todo o cenário de negócios? Como comunicar isso? Eles não são especialistas em tecnologia. Eles estão focados em resultados. São gestores de risco, certo? Sim. Como manter... Como construir uma estrutura? Como manter essa discussão em andamento? E sem mencionar os conselhos, que você precisará pressionar.
Rob Ainscough 00:14:19
Isso. Quer dizer, talvez possamos abordar a questão do conselho... Sim... como o próximo passo. Sim. Mas, sabe, como você disse, está longe de estar definido onde reside a identidade... Sim, na organização.
Eva Maler 00:14:30
Yep.
Rob Ainscough 00:14:30
Certo? Mas, se você está subordinado ao CISO, pode ter certeza de que o CIO está no pé dele(a) falando sobre UX, certo? Pode ter certeza de que isso está acontecendo.
Roy Akerman 00:14:39
Quero dizer-
Rob Ainscough 00:14:39
Essa foi certamente a minha experiência. Não.
Roy Akerman 00:14:41
Ok... um envolvimento ativo, mas sim. Quer dizer, está dentro dos seus padrões de responsabilidade, certo?
Rob Ainscough 00:14:46
Exatamente. Então, acho que para mim foi realmente uma questão de descobrir o que cada um deles valoriza, como medir isso, certo? E como medir a experiência do usuário em termos de login único, acesso e inicialização, certo? Como verificar o clima e o sentimento na organização para poder descrever a experiência de uma forma que faça sentido para eles? E para mim, o foco principal era a eficiência operacional, certo? Quanto tempo leva desde o momento em que alguém entra no sistema de RH até que essa pessoa esteja com acesso suficiente para realizar seu trabalho? Sim.
Roy Akerman 00:15:18
Hum-hum. Ou seja, quanto tempo eles ficam sem trabalhar e depois esperando.
Rob Ainscough 00:15:22
Certo. Exatamente. Então, quanto isso vai custar para a empresa, certo? Sim. Sim. E quanto isso pode me custar? Aí vocês podem ter uma conversa sensata sobre reduzir o tempo de processamento de 48 para 24 horas, certo? Porque isso traz benefícios para a empresa.
Roy Akerman 00:15:34
Certo, então isso é redução de custos, certo? Em termos de negócios, tipo... Sim. Exatamente... isso é redução de custos, certo?
Rob Ainscough 00:15:38
Exatamente. Certo. Mas sim, focando no aspecto de custo e no aspecto de eficiência — no que, digamos, o CIO considera importante. No lado da segurança, estamos muito longe de ter um conjunto padrão de métricas para descrever o que significa sucesso em identidade. Com certeza. Hum, eu acho... Sim... para mim, meu único conselho para quem faz isso é: não foque em métricas de processo. Sim. Quantas coisas você revisou, aprovou ou fez não importa.
Eva Maler 00:16:02
A métrica de segurança. Não vai ser interessante... Como é logicamente... especialmente à medida que se sobe na hierarquia. Tipo, você precisa de métricas operacionais para saber como, sabe, se você está implementando um programa... Sim... como algo está indo. Mas, tipo, a razão para o programa, o porquê do programa, precisa ser muito mais evocativo do que isso. Certo. E eu meio que quero estourar um pouco a sua bolha, porque, sabe, eu estava encontrando... exemplos de CISOs que se reportavam a CTOs.
Rob Ainscough 00:16:23
Certo.
Eva Maler 00:16:23
Então, e, tipo, muito mais alinhado com a função do produto. Certo. Então, dependendo do que a empresa faz, existem fatores históricos, fatores culturais e há quanto tempo ela existe – certo? – e fatores de fusões e aquisições e todo tipo de coisa assim. Mas, às vezes, a identidade nem é realmente de responsabilidade do CISO, e às vezes, quando é, ele sofre pressões diferentes – certo? – das pressões do CIO. Mas, particularmente quando se trata do CIO, você está mencionando o que eu chamo de quinto P oculto na minha estrutura dos quatro Ps, que é produtividade. Então, tipo, no fim das contas, tudo tem que ser eficiente – certo? – e produtivo, e eles se importam, e da perspectiva da sua força de trabalho, você só quer que eles façam as coisas mais rápido.
Rob Ainscough 00:17:04
Certo.
Eva Maler 00:17:04
E isso é bem diferente, em essência, de garantir que a tarefa não seja feita mais rapidamente porque você queria desprovisioná-los imediatamente.
Rob Ainscough 00:17:13
Sim.
Eva Maler 00:17:13
Esse é um exemplo que usei quando estávamos juntos no domingo, neste evento, falando sobre provisionamento e desprovisionamento. Sim. E normalmente, o mesmo software faz as duas coisas. Correto. Mas a pessoa que mais se importa com a eficiência, rapidez e precisão do processo é diferente, certo? Sim. Certo. Sim. Por exemplo, um CISO se preocupa muito com a rapidez do desprovisionamento. E a rapidez do provisionamento é... bem, é uma mistura. Alguns usuários finais do sistema se importam com isso. Concordo. Concordo plenamente. Sabe, um aprovador... sim... se importa muito. Algum gerente se importa.
Rob Ainscough 00:17:49
Sim.
Eva Maler 00:17:49
A pessoa que quer começar a trabalhar, supondo que seja um bom funcionário... e queira começar no primeiro dia, ou assim que mudar de função, vai querer começar logo, certo? Porque é frustrante.
Rob Ainscough 00:17:57
Sim …
Eva Maler 00:17:57
Caso contrário. Hum, mas aí você olha para coisas como, certo, todo o tempo administrativo que você gasta com isso... Sim, tipo o IGA. Sim. E agora você tem outros, eu nem gosto de usar a palavra partes interessadas, mas, sabe, outros clientes para essa solução de identidade... Certo... que você está implementando e que têm outras necessidades.
Rob Ainscough 00:18:14
Certo.
Eva Maler 00:18:15
Então, sabe, a pessoa responsável pela GRC terá uma perspectiva diferente. Correto. Eles simplesmente... bem, é o que está em jogo para eles, então
Roy Akerman 00:18:22
Concordo. Como se cria um alinhamento? Quer dizer, no seu livro você fala sobre isso, começa com um alerta para os CEOs. CEOs tipo, "Escutem". Sim. Estou tentando. E não é só o custo da quebra de contrato, é mais do que isso. É como a oportunidade perdida para o negócio. São muitas coisas. Sim. Sim. Então, começando do zero, alguém te liga e diz: "Eve, estou perdido. Me ajude a construir, sabe, um processo, uma estrutura, métricas... Sim... de baixo para cima ou de cima para baixo". Como isso começa? Sim. Se você puder nos dar um exemplo de qualquer... Sim... setor diferente, seria ótimo.
Eva Maler 00:18:47
Então, eu realizo algo que chamo de workshop de alinhamento de liderança, e começa com um mapeamento, tipo, quais foram os fatores históricos e culturais que levaram à identidade, seja vivendo em um lugar talvez inesperado ou possivelmente em um nível de maturidade muito baixo, sem nenhuma função. Hum. Tipo, às vezes você tem...
Roy Akerman 00:19:05
Concordar …
Eva Maler 00:19:06
Bem, eu estava conversando com alguém de um grande banco internacional, e quando essa pessoa entrou em cena, havia alguém com o título de, sabe, estrategista de identidade, mas era um colaborador individual sem autoridade nem orçamento, e simplesmente uma pessoa itinerante. E na realidade, a autenticação ficava aqui e o gerenciamento de acesso ali. Certo. E as funções não eram compatíveis.
Rob Ainscough 00:19:30
Certo.
Eva Maler 00:19:30
Então você precisa saber qual é a sua posição atual. Sim. E eu não defendo que você mude para um lugar específico. Certo. É uma tarefa inútil fazer isso. Sim. Mas você pode começar a entender quais KPIs foram usados até agora para avaliar o sucesso.
Rob Ainscough 00:19:46
Certo.
Eva Maler 00:19:46
E então você pode começar a perguntar: "Bem, qual foi o nível de sucesso? Vocês tiveram programas paralisados?" Certo. "Vocês tiveram, sabe, programas que duraram três anos e depois fracassaram e foram por água abaixo?" E, sabe, acontece. Sim. E às vezes você tem algumas histórias de sucesso sobre unificação, talvez após uma fusão ou aquisição, ou talvez haja algum tipo de grande mudança, sabe, algo mais voltado para infraestrutura... Claro, mas a intenção era reunir tudo. E então você descobre a história. Agora você pode começar a entender, bem, quem ficou desapontado? E...
Rob Ainscough 00:20:17
A quem decepcionamos?
Eva Maler 00:20:19
Sim. E essa é uma questão de adequação ao mercado para mim.
Rob Ainscough 00:20:21
Sim. Concordo. Hum-hum.
Eva Maler 00:20:22
Uau. Então, se você começar a perguntar, ok, bem, se você agora entende que você... você não pode controlar todos que você quer que usem suas coisas. Tipo, se você está recorrendo a, digamos, 1,000 aplicativos diferentes... Certo... que você quer usar o login único para as coisas mais básicas.
Rob Ainscough 00:20:38
Certo.
Eva Maler 00:20:38
E talvez 30% deles tenham chegado lá, mesmo que de forma imperfeita, e você esteja... Hum... realmente buscando mais, ou você está implementando um programa de senhas... Hum... e você realmente quer ver altas porcentagens de sucesso porque... Certo, resistência a phishing é incrível.
Rob Ainscough 00:20:50
Yep.
Eva Maler 00:20:50
Bem, você precisa se perguntar: quais são as barreiras para o sucesso? Porque essas pessoas... Sim... as pessoas cujo comportamento você quer mudar não lhe devem nada.
Rob Ainscough 00:20:57
Sim …
Eva Maler 00:20:58
tipicamente.
Rob Ainscough 00:20:58
Acordado. Sim.
Eva Maler 00:20:59
Eles realmente... E então, sabe, atrair esse mercado pode envolver coisas como gestão de produto e marketing propriamente dito, mesmo que seja voltado inteiramente para o público interno. Sim. Então, para começar essa conversa, é preciso descobrir, vamos pegar um exemplo de algo que talvez tenha falhado ou talvez tenha tido sucesso, mas que deixou alguém insatisfeito, e começar por aí. Sim, sim, sim.
Roy Akerman 00:21:17
E-
Eva Maler 00:21:17
Tem... Sim...
Roy Akerman 00:21:18
Existe algum padrão repetitivo em relação a áreas de escassez de recursos, sabe, áreas nas organizações que geralmente são as, as, as suspeitas de sempre por não serem abordadas?
Rob Ainscough 00:21:27
Quem, quem estamos culpando?
Roy Akerman 00:21:29
De quem é a culpa? É. Não, não, não. Ah, essa é uma ótima maneira de começar. O contrário, o contrário. Pessoas que... De quem é a culpa? Que nem sabem, que nem se dão conta de que podem... uh, obter muito valor disso, ou que estão perdendo muito... É... tipo, negócios por causa disso.
Eva Maler 00:21:38
É isso que você quer criar, e uma das coisas que eu adoro fazer é dizer: "Bem, como podemos criar FOMO (medo de ficar de fora) em torno disso?"
Roy Akerman 00:21:44
Sim. Direita.
Eva Maler 00:21:44
Certo? E é por isso que falo sobre estratégia de identidade irresistível. Então, sabe, para alguém que talvez seja um fornecedor com uma solução específica, é claro que eles querem que sua estratégia de entrada no mercado tenha essa qualidade, mas você precisa ter o mesmo raciocínio em relação aos seus programas de identidade. E então, tipo, como você pode fazer com que alguém diga: "Nossa, eu quero isso"? E eu já vi isso funcionar na prática. Tipo, uma das pessoas que entrevistei para o livro... eu gostaria de poder citar marcas. São... marcas que todo mundo conhece. Hum, mas...
Rob Ainscough 00:22:11
Com o que rima?
Eva Maler 00:22:13
Eu já vi esse truque. Não vou cair nessa. Mas foi realmente fascinante que vocês pudessem ter uma campanha de marketing inteira voltada para os funcionários sobre esse novo programa que estamos implementando, porque vamos fortalecer tudo, mas sem prejudicar a experiência de vocês. Aliás, tem sido uma experiência meio ruim. É. Vocês tiveram que usar logins diferentes para todos esses sistemas.
Rob Ainscough 00:22:33
Yep.
Eva Maler 00:22:34
E nós vamos fazer funcionar, vamos garantir que seja seguro e não vai lhe custar nenhum tempo ou esforço mental.
Rob Ainscough 00:22:40
Yep.
Eva Maler 00:22:40
E se for isso mesmo, é uma promessa que você agora precisa cumprir.
Rob Ainscough 00:22:44
Yep.
Eva Maler 00:22:44
E neste caso, eles escolheram um cliente-farol, que eu diria que é como se cada um tivesse fases — quais aplicativos você integra primeiro. Claro. Quais comunidades você aborda primeiro e depois decide que vai transformá-las em um grande sucesso.
Roy Akerman 00:22:55
Yep.
Eva Maler 00:22:55
E você lhes dá o tratamento mais delicado. Hum. E foi isso que eles fizeram.
Roy Akerman 00:22:58
Milímetros.
Eva Maler 00:22:59
E isso com, tipo, um produto de marca. Uau. E... Sim, é.
Roy Akerman 00:23:02
Tipo o MVP. É. Então você tem… Eu, eu re- você realmente levou isso até o fim, até o fim, né? É. Isso, isso, todo esse escopo. Eu gosto
Eva Maler 00:23:08
Eu levo essa metáfora o mais longe que posso. Isso, isso, isso é legal. Porque é muito produtivo. Posso só...
Roy Akerman 00:23:11
Traga isso... Sim... para
Rob Ainscough 00:23:11
A vida um pouco da minha perspectiva? Porque eu acho que, embora você tenha diferentes clientes finais, certo? Sim. Sejam os próprios funcionários... Sim... autenticação, por exemplo. Sim. Ou obter acesso e começar a usar, ou conformidade, segurança ou o que for. Você também tem esse cliente técnico, certo? Onde, hum, para mim, certo, tínhamos esse mandato: todos os aplicativos com SSO e todos os aplicativos sob o controle do IGA. E teriam provisionamento automatizado, tudo isso. Sim, sim. Então, estávamos implementando isso e, agora entendo, tivemos bastante sucesso, certo? Sim. Estamos falando de milhares de aplicativos... Sim... sabe, dos mais modernos aos mais antigos. Nos saímos muito bem. Mas quando um novo aplicativo chegava, era muito, muito mais fácil para nós convencê-los a usar o Single Sign-On.
Eva Maler 00:23:57
Sim
Rob Ainscough 00:23:57
Porque eles sabiam que seus usuários agradeceriam por isso. Sim. Eles não precisavam gerenciar as contas. Sim.
Roy Akerman 00:24:01
Faz sentido.
Rob Ainscough 00:24:02
E obrigada, foi baseado em padrões.
Eva Maler 00:24:04
Uh-huh
Rob Ainscough 00:24:05
Certo? Então foi super fácil, né? De nada. E nós tínhamos uma estrada asfaltada para eles... É... isso foi muito simples.
Eva Maler 00:24:10
Sim.
Rob Ainscough 00:24:10
A governança de acesso é um pouco mais complexa, certo? Talvez pudéssemos fazer um descarregamento do Active Directory para um grupo, e isso era fácil, mas em muitos casos tínhamos que fazer integrações diretas. Era meio difícil. Ah, sim. Sim. Nós demos a eles caminhos pavimentados, mas na verdade, eles não viram tanto o valor disso. Sim. E isso representou um desafio técnico muito maior para nós.
Eva Maler 00:24:28
Sim
Rob Ainscough 00:24:28
Para convencer aquelas pessoas de que ainda era algo importante, a resposta era sempre a mesma: "Ah, vamos implementar o login único. Fazemos isso depois." Hum-hum. "Vamos cuidar da governança depois."
Eva Maler 00:24:36
Mm-hmm
Rob Ainscough 00:24:37
E você tem esse tipo de mercado de duas faces, onde você precisa decidir como adotar e incorporar novos serviços aos serviços que já oferece.
Eva Maler 00:24:44
Sim
Rob Ainscough 00:24:45
Para satisfazer meus clientes do outro lado. Sim.
Eva Maler 00:24:47
Sim. Sim.
Rob Ainscough 00:24:48
E descobri que se trata de um mercado de identidade de dupla face muito interessante.
Eva Maler 00:24:51
Sim. E parabéns por ter feito isso com tanta perfeição, e deve ter sido uma sensação muito boa ter conseguido. Ele está quase terminando, quantos anos?
Rob Ainscough 00:24:59
Quer dizer, acho que provavelmente estávamos integrando novos aplicativos tão rapidamente quanto desativando os existentes.
Eva Maler 00:25:05
Oh...
Rob Ainscough 00:25:06
no final. Então houve uma grande transformação. Quer dizer,
Eva Maler 00:25:08
Essa é uma métrica operacional interessante, né? É, o que é possível... é que você esteja acompanhando o ritmo. Os encanadores têm uma métrica, na verdade. Eu tinha um ralo entupido, um ralo meio lento. Certo. E ele me explicou, não me lembro o nome, mas se você abrir a torneira no máximo e a água estiver escoando na mesma velocidade em que você abre a torneira, então esse é o indicador de sucesso.
Roy Akerman 00:25:27
Boa.
Eva Maler 00:25:27
Fiquei muito feliz que ele tenha conseguido isso para mim, para a minha pia. E é isso que você quer ver em aplicativos. Certo? E poder descartar aplicativos com tranquilidade e saber que você está acompanhando o ritmo porque...
Rob Ainscough 00:25:37
Sim …
Eva Maler 00:25:38
Haverá muito mais, haverá um volume maior de aplicativos criados no futuro. Certo. E muitos mais deles serão internos.
Rob Ainscough 00:25:44
Exatamente.
Eva Maler 00:25:44
Então, com proprietários que são bastante diversos agora – sim, em comparação com o que acontecia antes: “Ah, não queremos fazer coisas personalizadas.” Sim. “Estamos tentando fazer tudo como SaaS. É controlável.” Hum, e agora há uma explosão de pessoas que estão criando seus próprios aplicativos. Sim. Sim. E você quer que a coisa certa a fazer seja a coisa mais fácil de fazer.
Rob Ainscough 00:25:59
É isso aí. É isso aí. Você tem que... como identidade, acho que você tem que sair do caminho o máximo possível... Sim... enquanto entrega esses resultados.
Roy Akerman 00:26:05
Sim. Então, voltando àquela sala de reuniões, tipo a sua reunião consultiva ou... hum... você estava lá sentado. Então, paramos no MVP, certo? Você encontra a vitória inicial. Agora todo mundo está animado. Há um FOMO (medo de ficar de fora) no ar. Você prova o valor de... hum... de sermos muito organizados e estruturados quando se trata de identidade. E depois? Quero dizer, havia executivos impacientes sentados lá... sim... lá no fundo da sala. Tipo, como fazemos para progredir e manter isso como um produto nas organizações? Existe... existem estruturas ou algo que você descobriu que seja muito fácil de implementar nas organizações para que elas continuem operando dessa maneira? Depois do momento "eureka", depois da epifania...
Eva Maler 00:26:38
Sim, então... o design de métricas é muito difícil, mas acho que é fundamental. Sim. E você quer conectá-lo diretamente à narrativa que todos sabem agora, que você precisa contar para pessoas que não estão envolvidas nas escolhas tecnológicas... Certo, e que não estão dispostas a se empolgar da mesma forma que nós provavelmente estamos. Certo. Então, criar métricas que sejam, de alguma forma, um produto cruzado de coisas que normalmente estão em tensão, é algo que se sabe ser bom para criar métricas ou resultados-chave. Objetivos comuns... Sim. Então, o exemplo que eu estava usando, com o qual tenho brincado nos últimos dias, é o seguinte: você tem a empresa querendo avançar rapidamente porque o domínio do mercado é tudo quando se trata de agentes. Mas, ao mesmo tempo, isso é assustador para aqueles de nós que sabemos o quão rápido a superfície de ataque está crescendo.
Roy Akerman 00:27:30
Yep.
Eva Maler 00:27:31
Bem, então você precisa de uma métrica que seja o produto cruzado de duas coisas que sejam mensuráveis, definíveis, que possam ser instrumentadas para que você possa monitorá-las, mas que também impulsionem o negócio.
Roy Akerman 00:27:44
Milímetros.
Eva Maler 00:27:45
Então, eu estava propondo algo como um tempo médio de contenção quando ocorre uma falha - sim, no mundo dos agentes.
Roy Akerman 00:27:52
Mm-hmm
Eva Maler 00:27:52
E já estão surgindo alguns bons recursos que podem te ajudar... Ah, legal... defina isso para você mesmo. Tempos, hum, o que eu chamo de resultados de ação mensuráveis. Então, os agentes realizam ações. É isso que os diferencia dos chatbots, certo? Certo. Hum, como eu penso, é como a união da economia de APIs com a imitação humana.
Roy Akerman 00:28:13
Tão verdade.
Eva Maler 00:28:13
É assustador, mas... É verdade. Sim... mas empolgante. E fazer com que qualquer ação produza um resultado, tipo... Sim... eventualmente você conseguirá ter cálculos de ROI realmente bons, e estamos chegando a esse ponto, e algumas pessoas estão decepcionadas com o que estão descobrindo. Esse é um assunto completamente diferente. É outra coisa. Mas é importante saber que, se você vai medir o risco, precisa saber como medir o valor e responder ao fato de que a empresa está obtendo valor, porque esse é um argumento muito mais poderoso para o conselho... Sim... que, afinal, está decidindo se vai manter o CEO por mais uma semana ou não. Sim. Hum, e então você tem a combinação dessas duas coisas. Agora você pode dizer se está em uma situação em que a pia está esvaziando tão rápido quanto você está enchendo.
Rob Ainscough 00:28:54
Certo. Certo. Havia um conceito interessante que eu sempre gostei. Um dos analistas da Gartner mencionou os acordos de nível de proteção.
Eva Maler 00:29:03
Hum. Tipo SLAs?
Rob Ainscough 00:29:04
Assim, por questões de segurança.
Eva Maler 00:29:05
Yeah, yeah,
Rob Ainscough 00:29:06
Sim. E esse foi um modelo consultivo muito bom. Sim… um modelo interessante, e é algo que eles vêm desenvolvendo nos últimos anos. Eu gosto disso. Mas foi uma maneira muito clara e objetiva de descrever essas coisas que as pessoas consideram importantes, de uma forma que diz: “Ei, se você quiser reduzir o tempo médio de cinco minutos para dois minutos, sim, ou de dois minutos para um minuto, sim. Agora você sabe como é essa melhoria… isso vai te custar 10 milhões de dólares.”
Eva Maler 00:29:25
Exatamente.
Rob Ainscough 00:29:26
Isso vale a pena?
Eva Maler 00:29:27
E, eis a ironia, sabe, existem alguns líderes de fraude que detêm identidades ou pelo menos controle de autenticação. Hum-hum. É cada vez mais comum.
Rob Ainscough 00:29:35
Sim.
Eva Maler 00:29:35
Bem, então, sabe, em serviços financeiros... Certo, você verá isso, não é? E se você trabalha com mitigação de fraudes, pode medir com bastante precisão quanto isso custa.
Rob Ainscough 00:29:46
Certo …
Eva Maler 00:29:47
para reduzir a fraude.
Rob Ainscough 00:29:48
Sim
Eva Maler 00:29:49
E, hum, eu conto essa história bastante. É que, certa vez, eu trabalhava no PayPal, no grupo de gerenciamento de riscos de informação, subordinado ao CISO, e a autenticação não era de nossa responsabilidade. Era do... Uau... do grupo de risco de fraude.
Rob Ainscough 00:30:03
Uau.
Eva Maler 00:30:03
Agora, acho que isso mudou. Ficou mais unificado e tudo mais. Mas eles podiam definir com precisão exatamente o valor da fraude que estavam dispostos a pagar.
Rob Ainscough 00:30:12
Sim.
Eva Maler 00:30:12
Não temos esse problema com segurança ou violações de identidade justamente porque os dados de identidade que vazam, os dados pessoais que vazam, sabe, não atribuímos um valor a eles.
Rob Ainscough 00:30:25
Acordado.
Eva Maler 00:30:25
Então, no livro, exploro a noção de um balanço de dados de identidade. Isso facilitaria muito as coisas se tivéssemos isso. Sim. Porque agora você sabe quem são todos os clientes associados a esses dados.
Rob Ainscough 00:30:36
Sim.
Eva Maler 00:30:37
E quem é o responsável por protegê-lo? Eles podem apresentar todos os argumentos do mundo, mas os clientes dizem: "Eu preciso disso."
Rob Ainscough 00:30:42
Sim. Sim.
Eva Maler 00:30:43
Isso permite que você faça algo com isso.
Roy Akerman 00:30:45
Bem, vamos insistir nisso, ok? Hum-hum. Acho que, no fim das contas, se você puder prometer que existe... Não prometer, mas, tipo, articular um mundo melhor, sabe, um mundo em que saberemos quando estivermos começando a vencer... mas nesse sentido. Tipo, eu gosto muito da metáfora de um balanço patrimonial. Hum-hum. Como as coisas deveriam ser, como um navegador, pelo menos uma bússola que deveríamos usar? Tipo, como seria esse balanço patrimonial?
Eva Maler 00:31:08
Então, isso é algo que pode ser explorado quando você tiver aquele mapa que mencionei, uma espécie de mapa de alinhamento de liderança, porque você pode pegar um dado que estará presente em todos os perfis de uma determinada população.
Roy Akerman 00:31:21
Mm-hmm
Eva Maler 00:31:22
Bem, e temos sorte, sabe, no caso de IDPs (Identificadores de Dados) inteligentes, teremos cerca de 20 atributos. Se estivermos falando de perfis de MarTech... É... são uns 20,000, então... É... melhor nem começar por aí. Mas você encontra um dado e descobre: quais sistemas ele afeta? Quem se importa? Por que se importam? Qual o interesse deles em se importar? É porque gostariam que não o coletássemos? Ou o responsável pela privacidade pode não querer... Hum... coletá-lo. Ou será que o RH é a única fonte de informação confiável?
Rob Ainscough 00:31:56
Sim.
Eva Maler 00:31:56
Bem, provavelmente para os funcionários. E quem mais está usando isso em aplicativos? Muitas vezes não temos muita clareza sobre o fluxo de dados. Sim, para onde os dados vão. Mas agora você sabe quem são os clientes reais para esse conjunto de dados.
Rob Ainscough 00:32:10
Certo.
Eva Maler 00:32:10
É bastante revelador, porque eles obtêm valor com isso.
Rob Ainscough 00:32:12
Sim.
Eva Maler 00:32:13
Concordo... e se você encontrar poucos clientes para isso, provavelmente encontrou algo de que pode se livrar e economizar muito dinheiro e risco.
Rob Ainscough 00:32:21
Além disso, o que estamos discutindo em sua essência é um nível de compreensão e especificidade — sim, sobre como seu serviço está sendo usado.
Eva Maler 00:32:33
Sim.
Rob Ainscough 00:32:34
E, bem, acho que onde eu estava, sabe, em termos de explicar isso para o conselho, sabe, tem a questão da narrativa, que é realmente importante, mas o ponto crucial é que, se você está medindo seu programa de identidade pelas coisas que você está fazendo...
Eva Maler 00:32:49
Hum-hum…
Rob Ainscough 00:32:49
e você não tem métricas para você-
Eva Maler 00:32:51
Hum-hum, isso
Rob Ainscough 00:32:52
Dizer que você está se saindo bem não te dá a menor chance de contar essa história para seus superiores. É.
Eva Maler 00:32:57
Exatamente. Vai continuar sendo uma região atrasada, com foco em infraestrutura ou segurança.
Rob Ainscough 00:33:00
Sim.
Eva Maler 00:33:01
E isso seria triste. Sim. Quer dizer, na verdade, eu quero acelerar os programas de identidade das pessoas e quero acelerar o impacto deles, e... eu
Rob Ainscough 00:33:07
concordar
Eva Maler 00:33:08
A parte humana da equação é, na verdade, a parte mais importante. E eu, sabe, nos meus quatro Ps, que acho que ainda não nomeei, mas são: proteção, personalização, pagamento e pessoas. Enfrentamento de riscos, enfrentamento de mercado, enfrentamento de transações e enfrentamento humano.
Rob Ainscough 00:33:22
Certo.
Eva Maler 00:33:22
Geralmente, é a parte que envolve o lado humano que nos pega de surpresa todas as vezes.
Rob Ainscough 00:33:25
Aceita.
Eva Maler 00:33:26
Concordo. Há pouco investimento nessa área, e ela vai desbloquear muitas coisas boas.
Rob Ainscough 00:33:29
Sim, com certeza. Com certeza. Eu estava tendo uma conversa na semana passada, na verdade, uma conversa muito interessante sobre alguém que estava tentando convencer o CISO de que, sabe, um sistema sem senha, com suporte de certificados e chaves e tudo mais, era o caminho certo, e estava muito frustrado porque o CISO dizia: "Não, eu preciso de um cofre". E eu perguntei a ele: "Bem, do ponto de vista do CISO, o cofre é eficiente? Ele atende às necessidades deles?". Sim. Ele respondeu: "Bem, sim".
Eva Maler 00:34:00
Bem, isso é...
Rob Ainscough 00:34:01
Eu pensei: "Bem..." Sim. Você tem outro cofre... você nunca entraria na reunião e obteria outro resultado que não fosse... Isso é...
Eva Maler 00:34:05
certo …
Rob Ainscough 00:34:05
Estou satisfeito com o que tenho. Porque você não priorizou... E meu conselho para essa pessoa foi: "Priorize algo que seja importante para ela." É mesmo? Como posso obter um nível de proteção tão bom ou melhor... Hum... as coisas que você considera importantes para o seu negócio... Sim... e talvez a um custo menor?
Roy Akerman 00:34:19
Sim. Resultado do produto.
Rob Ainscough 00:34:21
Exatamente.
Roy Akerman 00:34:22
Quer dizer, esse é o ponto. Sim. E sabe, quando, como fizemos em outro episódio, falamos sobre identidade como plano de controle, que é o novo assunto do momento. Sempre foi, mas como você constrói certos aplicativos em cima disso, atribuindo valor a diferentes partes interessadas?
Eva Maler 00:34:34
Sim.
Roy Akerman 00:34:34
Quer dizer, ninguém além da sua equipe se importa com a sua eficiência no que diz respeito ao "como" das coisas, mas, novamente, o importante é o "porquê" e como podemos melhorar esse "porquê".
Eva Maler 00:34:43
O porquê. Exatamente, o porquê.
Roy Akerman 00:34:44
Isso é ótimo. E eu sinto que essa foi a decodificação natural perfeita, tipo a decodificação do que discutimos, e deixamos nossa audiência com um sistema de métricas que eles podem usar, ou pelo menos uma estrutura... Hum-hum... para voltar ao trabalho na segunda-feira e começar a trabalhar melhor com seus parceiros de negócios ou líderes. Concordo. E, talvez, se você concordar comigo, esse será o momento perfeito para...
Rob Ainscough 00:35:06
Nossa sequência rápida de perguntas.
Roy Akerman 00:35:07
Sim. Ok.
Rob Ainscough 00:35:09
Aqui está. Então, vamos começar com um mito. Qual é um mito sobre identidade ou segurança, Eva?
Eva Maler 00:35:18
Suponho que essa identidade seja a caixa de login.
Rob Ainscough 00:35:24
Verdade, verdade. Sim. Essa é boa. Essa é nova. Essa é boa. Não.
Roy Akerman 00:35:26
o perímetro,
Rob Ainscough 00:35:26
Não a caixa. Vamos começar um ranking... Ok... desses, tipo um ranking estilo Top Gear, com o que mais vemos. Ah, bem, eu... Ainda não tivemos um desses...
Eva Maler 00:35:32
Quero ser diferente... Certo... alguém que ninguém mais tenha pensado em fazer.
Rob Ainscough 00:35:35
Ainda não, ainda não, ainda não. Sim,
Roy Akerman 00:35:36
Adivinha, adivinha qual está bem perto de você, tipo a caixa de login. A identidade é…
Eva Maler 00:35:41
O novo perímetro. Para
Roy Akerman 00:35:42
certo.
Rob Ainscough 00:35:42
Eu falo sobre isso no livro, sim. Bingo! Temos um vencedor. Sim. Hum, então, o segundo é uma prática inadequada. Qual é um erro comum que os líderes cometem?
Eva Maler 00:35:49
Que eles precisam ir até as partes interessadas e informá-las. Hum, essa é a perspectiva errada.
Roy Akerman 00:35:56
Informar sobre o quê? Sobre o quão arduamente eles estão trabalhando para...
Eva Maler 00:35:59
Fazer essas coisas acontecerem? Bem, você sabe, você precisa simplesmente contar para todo mundo. Quer dizer, sim, deixando as matrizes RACI de lado, eu já começo a pegar no sono só de falar em matrizes RACI. Matrizes RACI, é. Desculpe, mas converter o pensamento das partes interessadas em pensamento do cliente.
Rob Ainscough 00:36:10
Acordado.
Eva Maler 00:36:10
E aí, então, você se torna um líder servidor, na verdade... Sim... e você começa a adotar essa mentalidade de produto. E você...
Rob Ainscough 00:36:15
gerar pull.
Eva Maler 00:36:16
Yep.
Rob Ainscough 00:36:17
Sim, com certeza. Então, minha favorita, pessoalmente, é uma verdade difícil. Qual é uma verdade difícil?
Eva Maler 00:36:22
Muito bem, esta é uma questão um tanto complexa, mas, hum, esse controle de acesso baseado em intenção não se parece em nada com uma melhoria na autorização.
Roy Akerman 00:36:33
Concordo plenamente. Arrepios. Mas, quer dizer, eu acho que, sabe, se você olhar para as barracas aqui, as pessoas ainda estão vivendo suas vidas...
Eva Maler 00:36:43
Eles estão definindo a intenção de forma mais restritiva, e a intenção é um problema relativamente novo... Certo... para segurança. Parece muito mais com o mundo da privacidade. Eu comparo isso às restrições de propósito de uso que não são bem definidas no mundo da privacidade. Sim. Mas podemos fazer melhor agora que sabemos que é um problema. Ah.
Rob Ainscough 00:36:56
Muito bom. Então, para finalizar, uma tendência superestimada. Qual tendência é uma que está superestimada?
Eva Maler 00:37:01
Ah, vou levar uma bronca por essa. Uau. Mas eu estou percebendo que existe uma espécie de ciclo de hype natural em torno das coisas.
Rob Ainscough 00:37:05
Certo.
Eva Maler 00:37:06
E eu acho que a NHI, identidade não humana, por si só, sem adicionar agentes à equação, mesmo que sejam diferentes em essência... Hum-hum, está começando a ser questionável, e eu participei da cúpula da NHI aqui, e notei que magicamente ela se transformou na cúpula da NHAI.
Roy Akerman 00:37:25
Sim.
Eva Maler 00:37:25
Então houve uma espécie de expansão de escopo. Uma reformulação da marca. E eu acho que, sabe, isso é justo. Sim. Sim. Acho ótimo.
Rob Ainscough 00:37:31
Concordo plenamente. Certamente estamos vendo muita movimentação nessa categoria, não é? Sim. Então, acho que muita evolução está acontecendo.
Roy Akerman 00:37:34
Ali. Tivemos um jantar inteiro sobre isso, não é? Sim, tivemos. Ontem à noite. Certo. Que as pessoas ainda vão defender que você precisa resolver isso de uma maneira diferente, mas, sabe, eu concordo totalmente com isso. E com isso, muito obrigado. Esperamos que vocês aproveitem os próximos dois dias que temos aqui.
Eva Maler 00:37:47
Sim.
Rob Ainscough 00:37:48
Absolutamente.
Roy Akerman 00:37:48
Sim. Obrigado. Foi um
Eva Maler 00:37:49
Uma honra... Obrigado... por conversar com vocês dois.
Roy Akerman 00:37:50
Durante horas, quatro horas. E
Eva Maler 00:37:51
prazer.
Rob Ainscough 00:37:52
Muito Obrigado.
Roy Akerman 00:37:53
Obrigado.
Rob Ainscough 00:37:54
Por hoje é só, no episódio de Identidade Decodificada.
Roy Akerman 00:37:56
Se esta conversa mudou algo na sua forma de pensar sobre segurança de identidade, compartilhe com alguém que esteja enfrentando os mesmos desafios.
Rob Ainscough 00:38:03
E não se esqueça de acompanhar o programa para não perder os próximos episódios.
