David Matalon, CEO og grundlægger af Venn – Interviewserie

David Matalon, CEO og grundlægger af Venn, er en serial iværksætter med en lang historie af opbygning af sikre enterprise-teknologiplatforme, efter at have tidligere ledet OS33 – en tidlig leder indenfor sikre arbejdsområder for finansielle virksomheder – og External IT, en pioner indenfor hosted IT-tjenester. Med Venn er han fokuseret på at gendefinere sikkerheden for fjernarbejde ved at enable organisationer til at adoptere bring-your-own-device (BYOD)-modeller uden at ofre compliance eller kontrol, og udnytte sin dybe erfaring indenfor cloud-infrastruktur, endpoint-sikkerhed og regulerede industrier til at tackle de voksende udfordringer for distribuerede arbejdsstyrker.

Venn er en cybersecurity- og fjernarbejdsplatform designet til at sikre virksomhedsdata på personlige og unmanagede enheder gennem dens proprietære Blue Border-teknologi, som skaber en sikker, krypteret enclave på en brugers computer, hvor arbejdsapplikationer og data er isolerede fra personlig aktivitet. I modsætning til traditionel virtual desktop-infrastruktur tillader Venn, at applikationer kan køre lokalt med nativ ydeevne, samtidig med at der pålægges strenge data-beskyttelses- og compliance-politikker, hvilket hjælper organisationer med at reducere IT-omkostninger, påbegynde fjernarbejdere hurtigt og opretholde privatlivets fred ved at adskille virksomheds- og personlige miljøer på samme enhed.

De har brugt mere end to årtier på at bygge teknologi til sikker fjernarbejde, fra lanceringen af Offyx i de tidlige dage af application service-providers til grundlæggelsen af OS33 og nu Venn. Hvad lærte de af disse tidligere virksomheder, og hvordan formede disse erfaringer idéen bag Blue Border og deres vision for at sikre moderne Bring Your Own Device (BYOD)-arbejdsstyrker?

Over de sidste to årtier har jeg haft mulighed for at bygge virksomheder i flere forskellige faser af fjernarbejdets udvikling. Ved OS33 tilbragte vi år på at levere sikre fjernarbejds-miljøer gennem hosted-infrastruktur, der brugte teknologi lignende virtual desktop-infrastruktur (VDI). Selvom sikkerhedsmodellen fungerede, fik vi konstant den samme feedback fra kunder: Erfaringen med at bruge fjernhostede applikationer var ofte langsom, kompleks at vedligeholde og frustrerende for brugerne.

Den feedback var et vendepunkt. Fjernhosting introducerede uundgåelige forsinkelser og krævede betydelig infrastruktur, hvilket skabte operativ kompleksitet for IT-holdene. Vi begyndte at stille et simpelt spørgsmål: Hvad hvis man kunne fjerne hosting fra ligningen helt? I stedet for at køre arbejde et andet sted og streame det til brugeren, kunne man sikre, at arbejde køres lokalt på brugerens enhed, samtidig med at man beskytter virksomhedsdata?

Den tanke førte til Venn og konceptet bag Blue Border. I stedet for at tvinge arbejde gennem fjernhosting og virtualisering skabte vi en ny model, der tillader, at virksomhedsapplikationer kan køre lokalt på en brugers laptop, samtidig med at virksomhedsdata forbliver krypteret og beskyttet. Selv på en personlig laptop forbliver arbejde isoleret og beskyttet fra personlig aktivitet.

Kunstig intelligens-værktøjer spreder sig over virksomheder hurtigere, end politikker kan følge med. Fra din synsvinkel, hvorfor har styring haft svært ved at følge med kunstig intelligens-adoption indenfor organisationer?

Styring har haft svært ved at følge med kunstig intelligens-adoption, fordi teknologien blev en hverdagsværktøj næsten over nat. I de sidste få år, siden ChatGPT eksploderede, har medarbejdere inkorporeret kunstig intelligens i deres liv og arbejdsprocesser. De venter ikke på formelle IT-godkendelsesprocesser; de bruger allerede kunstig intelligens til at skrive hurtigere, analysere information, sammenfatte møder eller generere kode i sekunder. I de fleste organisationer sker politikoprettelse, juridisk gennemgang, sikkerhedsvalidering og IT-udrulning på en meget langsommere tidsplan end brugeradfærd. Det er her, hvor kunstig intelligens-styring falder bagud.

Det dybere problem er, at mange organisationer forsøger at anvende i gårs kontrolmodel til i dagens kunstig intelligens-reality. Traditionel styring var bygget op omkring at godkende eller blokere en kendt sæt af applikationer, men kunstig intelligens er nu indbygget i browsere, SaaS-platforme og selv i operativsystemer. Styring må udvikle sig ud over kontrol af et forudbestemt værktøjsæt og fokusere i stedet på at beskytte data, uanset hvor det befinder sig, sikre arbejdsmiljøet og definere betingelserne for, hvornår følsomme oplysninger kan bruges sikkert.

Mange virksomheder forsøger at løse problemet ved at begrænse eller forbyde generative kunstig intelligens-værktøjer. Hvorfor tror du, denne tilgang fejler i praksis, og hvilke uventede sikkerhedsrisici kan den skabe?

Forbud fejler, fordi de ignorerer virkeligheden af, hvordan mennesker arbejder. Medarbejdere vil finde måder at bruge kunstig intelligens-værktøjer på, uanset officiel godkendelse. Dette skaber skygge-kunstig intelligens, eller ikke-godkendt brug af værktøjer, personlige konti, copy-paste-arbejdsprocesser og browserbaserede interaktioner, der kan ske udenfor godkendt overvågning. Virksomheden mister herefter indsigt og sætter følsomme data på spil.

I mange tilfælde kan restriktive politikker øge risikoen i stedet for at reducere den. Når medarbejdere ikke kan bruge disse værktøjer sikkert, finder de ofte omveje. Følsomme virksomhedsdata kan ende med at flyde ind i værktøjer, som IT- eller sikkerhedsholdene ikke overvåger eller kontrollerer. Den bedre tilgang er ikke forbud for sig selv, men enablement af sikkert brug gennem isolation, datakontrol og tydelige retningslinjer, der tillader virksomheden at fortsætte uden at udsætte kritisk information.

Kunstig intelligens-kapaciteter er mere og mere indbygget i hverdagsapplikationer i stedet for at eksistere som selvstændige værktøjer. Hvordan ændrer denne skift sikkerhedsholdenes måde at tænke om overvågning og kontrol af data-eksponering på?

Dette skift er betydeligt, fordi det bryder den gamle mental model af “risikabelt app versus godkendt app”. Hvis kunstig intelligens er indbygget i e-mail, CRM, konferencer, dokumentredigering og søgning, er data-eksponering ikke længere knyttet til, om en bruger åbner et separat kunstig intelligens-værktøj. Det er knyttet til, hvilke data der er tilgængelige inden for applikationen, hvilken kontekst kunstig intelligens kan se, og om den interaktion sker inden for en sikker arbejdsplads.

Sikkerhedsholdene skal fokusere på at beskytte data i stedet for at låse hele enheden. Fokus skal være på at isolere arbejdssessioner, kontrollere copy/paste og downloads, hvor det er relevant, forhindre lækkage mellem personlige og forretningskontekster og sikre, at følsomme oplysninger forbliver inden for en beskyttet miljø.

Venns Blue Border-teknologi isolerer arbejdsapplikationer og data lokalt på en brugers personlige enhed i stedet for at afhænge af traditionel virtual desktop-infrastruktur. Hvordan ændrer denne arkitektur grundlæggende endpoint-sikkerhedsmodellen for fjernarbejde?

Blue Border ændrer grundlæggende endpoint-sikkerhedsmodellen ved at gå ud over idéen om, at sikkerhed kræver enten fuld enheds kontrol eller en virtualiseret skrivebord. Traditionel VDI sikrer arbejde ved at hoste det fjernt og streame det til brugeren. Blue Border sikrer arbejde lokalt på brugerens personlige enhed ved at skabe en IT-kontrolleret sikker enclave, hvor applikationer kan køre lokalt, og virksomhedsdata forbliver krypteret og beskyttet.

Resultatet er en anden sikkerhedsmodel for fjernarbejde, hvor virksomheder kan pålægge beskyttelse omkring arbejdet selv uden at udstyre virksomhedsenheder eller tvinge brugere til at håndtere forsinkelser og latency, der kommer fra at hoste et skrivebord i skyen.

Mange organisationer kæmper med at balancere medarbejdernes privatliv og virksomhedens overvågning, når medarbejdere bruger personlige enheder. Hvordan kan sikkerhedshold sikre følsomme data uden at skabe en følelse af overvågning?

Nøglen er at beskytte arbejdet, ikke den personlige aktivitet. Medarbejdere er forståeligt utilpasse, når sikkerhedsforanstaltninger kan udstrække sig til deres private filer, beskeder, browserhistorik eller personlige applikationer. På en BYOD-enhed betyder tillid noget. Hvis virksomheden ikke kan tydeligt forklare, hvor dens indsigt begynder og slutter, vil medarbejdere antage det værste.

En stærkere model er en, der skaber en tydelig arbejdsplads for forretningsaktivitet og pålægger sikkerheds kontroller kun inden for den grænse. Dette giver organisationen mulighed for at beskytte virksomhedsdata, samtidig med at medarbejdere får tillid til, at deres personlige aktivitet ikke overvåges eller styres. Privatliv og sikkerhed behøver ikke at konkurrere, hvis arkitekturen er designet til at adskille dem renligt.

Fjernarbejde og kontraktbaserede hold har gjort BYOD-miljøer næsten uundgåelige. Hvad er de største sikkerhedsrisici forbundet med unmanagede enheder i dag?

Det største risiko er, at unmanagede enheder sletter grænsen mellem personlige og forretningsaktiviteter. På samme maskine kan en bruger have åbne arbejdsapplikationer sammen med personlige e-mails, forbruger-kunstig intelligens-værktøjer, meddelelsestjenester, fildele-tjenester og upålidelige browser-udvidelser. Uden en sikker adskillelseslag kan det blive meget let for følsomme data at blive kopieret, cachelagret, downloadet, skærmbilledt eller eksponeret gennem kanaler, som virksomheden ikke kontrollerer. For organisationer, der er underlagt regler om data-sikkerhed, er dette en enorm risiko.

Kunstig intelligens-agenter og automatiserede arbejdsprocesser begynder at interagere direkte med virksomhedsapplikationer og data. Hvad nye sikkerhedsudfordringer introducerer disse autonome systemer?

Autonome systemer introducerer en anden klasse af risiko, fordi de ikke kun genererer indhold, men også kan handle. Kunstig intelligens-agenter forbundet med virksomhedssystemer kan hente eller flytte data, opdatere poster, udløse arbejdsprocesser eller kommunikere eksternt. Dette udvider fejl-, mis-konfigurations- eller kompromitteret identitets-risikoområdet betydeligt ud over, hvad vi ser med passive kunstig intelligens-hjælpere.

Det skaber også nye spørgsmål om adgang, tillid og ansvarlighed. Hvad data er agenten tilladt at få adgang til? Under hvilke betingelser kan den handle? Hvordan logger og begrænser man denne aktivitet, og hvordan gennemgås den? IT- og sikkerhedshold skal behandle kunstig intelligens-agenter mere som privilegerede digitale aktører end som softwarefunktioner. Det betyder, at man skal anvende principper som mindst privilegie, segmentering, sessions-isolation og stærk gennemgang fra starten.

Da organisationer integrerer generativ kunstig intelligens i produktivitetsværktøjer, kundesupportsystemer og interne arbejdsprocesser, hvilke slags følsomme data-eksponeringer bekymrer dig mest?

Brugen af generativ kunstig intelligens på arbejdspladsen har udvisket grænsen mellem personlige og virksomhedsdata. Medarbejdere har ofte adgang til eksterne værktøjer, mens de arbejder med virksomhedsinformation, hvilket gør det meget let for følsomme data som kundeoptegnelser, interne dokumenter, kildekode eller finansielle oplysninger at glide ind i eksterne miljøer. Når virksomhedsdata flyder gennem personlige kontekster eller unmanagede enheder, mister virksomheder indsigt og kontrol over, hvor den information går, hvordan den lagres og hvem der måske til sidst får adgang til den. Da kunstig intelligens bliver indbygget i hverdagsarbejdsprocesser, skal organisationer tackle denne udviskede grænse direkte ved at sikre, at virksomhedsdata forbliver beskyttet, selv når arbejde sker på personlige enheder.

Settende fremad, hvordan ser du endpoint-sikkerheden udvikle sig, da kunstig intelligens-drevne arbejdsprocesser bliver mere almindelige over distribuerede og fjernarbejdsstyrker?

Endpoint-sikkerheden skal blive langt mere adaptiv, kontekst-bevidst og arbejdsplads-centreret. I fortiden antog endpoint-sikkerhedsdesign en managed enhed, en defineret kontor-perimeter og et relativt stabilt sæt af forretningsapplikationer. Fremtiden er distribueret, kunstig intelligens-dreven og stadig mere autonom. Sikkerhed skal følge arbejdet selv, uanset hvor det sker, uden at antage fuld kontrol over enheden eller blokere produktivitet.

Den vindende model vil være en, der kombinerer stærk adskillelse mellem enheden og følsomme data, kontekst-bevidste adgangskontroller og en arkitektur, der bevarede en tydelig grænse mellem arbejde og personlig aktivitet. Organisationer har brug for miljøer, hvor medarbejdere, kontraktorer og kunstig intelligens-drevne arbejdsprocesser kan fungere produktivt, men inden for kontroller, der beskytter data ved design. De virksomheder, der lykkes, vil ikke være dem, der forsøger at bremse kunstig intelligens-adoption, men dem, der gør det muligt at adoptere sikkert i stor skala.

Tak for det gode interview. Læsere, der ønsker at lære mere, skal besøge Venn.