متخصص امنیتی که تو محصول هم خوبه چه شکلیه
هوش مصنوعیخلاصهٔ کاملتر
نویسنده، Frank Wang، که قبلاً دربارهٔ رابطهٔ بین آدمهای امنیت و مهندسها زیاد نوشته، این بار از یه زاویهٔ بدبینانهتر به ماجرا نگاه میکنه. حرف اصلیش اینه که با شتاب هوش مصنوعی، دیگه بحث فقط سر «کنار اومدن» با توسعهدهندهها نیست؛ کل معماری سازمان امنیت داره دو نیم میشه و خیلی از جاهای امن و راحت رو لو میده.
به گفتهٔ اون، نقشهٔ سنتی امنیت سازمانی دور سیلوهای کارکردی چیده شده: AppSec، امنیت کلاد، SOC، GRC و مدیریت هویت و دسترسی. این مدل برای دنیایی ساخته شده بود که آدمها روزشون رو صرف کارهای دستی و تکراری میکردن. اون به یه پست از Rinki Sethi اشاره میکنه که مدل آینده رو ترسیم کرده؛ مدلی که بهجای سیلو، حول نتایج کسبوکار مثل استراتژی و ریسک، مهندسی هوش مصنوعی و خودکارسازی، و توانمندسازی مهندسی چیده شده.
نویسنده صریح میگه بخش بزرگی از کار امنیت سنتی در عمل «تولید حرفهای مسئله» بوده: یه اسکنر خودکار راه میندازن، یه گزارش ۴۰۰ صفحهای آسیبپذیری بیرون میدن، میندازنش تو دامن تیم مهندسی و اسمشو میذارن «مدیریت ریسک». به نظر اون تیمهای GRC و انطباق هم بیشتر با کاغذبازی دستی و بازبینیهای تیکیزدنی کار میکنن که فقط اصطکاک عملیاتی میسازه.
حرف مهمش اینه که تو یه سازمان AI-محور، پولدادن به یه ارتش تحلیلگر برای این کاغذبازی هیچ منطقی نداره؛ این کارها راحت خودکار میشن. اون میگه تیمهای امنیتی مدرن jobهای خودکار Claude رو فصلی اجرا میکنن که ممیزی دسترسی کاربرها و پایش وابستگیها رو انجام میده، کاری که قبلاً هفتهها هماهنگی میخواست حالا تقریباً بدون دخالت انسان و با هزینهٔ ناچیز انجام میشه. نتیجه اینکه بودجهٔ GRC تیکیزدنی داره برای همیشه آب میره.
در مقابل، به گفتهٔ نویسنده مهندسی امنیت واقعی داره شدیدتر میشه. مدل «حسابرس دستبهعصا» مرده و با ابزارهایی مثل Claude Code، انتظار جدید اینه که متخصص امنیت مستقیم بره تو مخزن کد، خود وصله رو بنویسه، مجموعه تست رو اجرا کنه و PR کامل رو خودش بفرسته. چالش فرهنگی هم همینجاست: بیشتر آدمهای امنیت سنتی عادت ندارن مثل یه مهندس نرمافزار کار کنن و کد قابلعرضه بنویسن.
اون یه لایهٔ دیگه هم اضافه میکنه: چون AI نوشتن کد رو بیارزش کرده، نقش خود توسعهدهنده هم داره بالاتر میره سمت طراحی سیستم و ساختن تجربهٔ کاربری روون. برای همین میگه اگه کنترل امنیتی تو تجربهٔ کاربر اصطکاک بسازه، سازندهها با کمک AI یه راه دور میسازن و کلاً تیم امنیت رو بایپس میکنن. پس رهبرهای امنیت باید مثل مدیر محصول فکر کنن.
نویسنده اینو یه فرصت بازار هم میبینه: یه دستهٔ نرمافزار جدید به اسم «ابزار توسعهٔ امنیت» که پیچیدگی کدبیس رو برای متخصص امنیت پنهون کنه و کمکش کنه فایلهای زمینه، مجموعه تستهای تزریق پرامپت و حلقههای ترمیم خودکار بسازه. اون آخر سر پنج اصل عملی میده: کاربر رو مستقیم دنبال و سایه کن، پایههای تمیز و ماژولار بساز، معیارهای موفقیت رو با معیارهای مهندسی و سرعت کسبوکار بازتعریف کن، مرتب بازخورد بگیر و سادگی رو در اولویت بذار، و بهجای دادن یه چکلیست شل، یه مسیر طلایی و راحت بساز و یه تجربهٔ عالی بفروش.
نکات کلیدی:
- با هوش مصنوعی، ساختار تیمهای امنیتی داره از سیلوهای کارکردی به مدل نتیجهمحور تغییر میکنه
- کارهای اداری مثل ممیزی دسترسی و پایش وابستگی حالا با jobهای خودکار انجام میشن و بودجهٔ GRC آب میره
- انتظار از متخصص امنیت رفته بالا: باید کد وصله رو بنویسه و خودش PR بده، نه فقط تیکت بسازه
- کنترل امنیتی که تجربهٔ کاربر رو خراب کنه، با AI دور زده میشه
- رهبرهای امنیت باید مثل مدیر محصول فکر کنن و یه تجربهٔ خوب بفروشن
- یه بازار جدید برای «ابزار توسعهٔ امنیت» داره باز میشه
