David Matalon, CEO og grundlægger af Venn – Intervju-serie

David Matalon, CEO og grundlægger af Venn, er en seriøs iværksætter med en lang track record for opbygning af sikre enterprise-teknologiplatforme, efter at have tidligere ledet OS33 – en tidlig leder i sikre arbejdsområder for finansinstitutter – og External IT, en pioner inden for hosted IT-tjenester. Med Venn fokuserer han på at gendefinere sikkerheden for fjernarbejde ved at enable organisationer til at adoptere bring-your-own-device (BYOD)-modeller uden at ofre compliance eller kontrol, ved at udnytte sin dybe erfaring inden for cloud-infrastruktur, endpoint-sikkerhed og regulerede brancher til at adresse de voksende udfordringer for distribuerede arbejdsstyrker.

Venn er en cybersecurity- og fjernarbejdsplatform designet til at sikre virksomhedsdata på personlige og unmanagede enheder gennem sin proprietære Blue Border™-teknologi, som opretter en sikker, krypteret enclave på en brugers computer, hvor arbejdsapplikationer og data er isoleret fra personlige aktiviteter. I modsætning til traditionel virtual desktop-infrastruktur tillader Venn, at applikationer køres lokalt med naturlig ydeevne, samtidig med at der opretholdes strenge dataprotektions- og compliance-politikker, hvilket hjælper organisationer med at reducere IT-omkostninger, påbegynde fjernarbejdere hurtigt og opretholde privatlivets fred ved at adskille virksomheds- og personlige miljøer på samme enhed.

Du har brugt mere end to årtier på at bygge teknologi til sikker fjernarbejde, fra lanceringen af Offyx i de tidlige dage af application service providers til grundlæggelsen af OS33 og nu Venn. Hvad lærte du af de tidligere selskaber, der førte til, at du byggede Venn, og hvordan formede disse erfaringer idéen bag Blue Border og din vision for at sikre moderne Bring Your Own Device (BYOD)-arbejdsstyrker?

Over de sidste to årtier har jeg haft mulighed for at bygge selskaber i flere forskellige faser i udviklingen af fjernarbejde. Hos OS33 tilbragte vi år på at levere sikre fjernarbejds-miljøer gennem hosted-infrastruktur, der anvendte teknologi lignende virtual desktop-infrastruktur (VDI). Selv om sikkerhedsmodellen fungerede, fik vi konstant den samme feedback fra kunder: oplevelsen af at bruge fjernhostede applikationer var ofte langsom, kompleks at vedligeholde og frustrerende for brugerne.

Den feedback var et vendepunkt. Fjernhosting introducerede uundgåelige forsinkelser og krævede betydelig infrastruktur, hvilket skabte operativ kompleksitet for IT-hold. Vi begyndte at stille et simpelt spørgsmål: hvad nu, hvis man kunne fjerne hosting fra ligningen helt? I stedet for at køre arbejde et andet sted og streame det til brugeren, kunne man sikre, at arbejde køres lokalt på brugerens enhed, samtidig med at man beskytter virksomhedsdata?

Den tanke førte til Venn og konceptet bag Blue Border. I stedet for at tvinge arbejde gennem fjernhosting og virtualisering oprettede vi en ny model, der tillader, at virksomhedsapplikationer køres lokalt på en brugers laptop, samtidig med at virksomhedsdata forbliver isoleret og beskyttet.

Kunstig intelligens-værktøjer spreder sig over virksomheder hurtigere, end politikker kan følge med. Fra din synsvinkel, hvorfor har styring haft svært ved at følge med AI-adopteringshastigheden inde i organisationer?

Styring har haft svært ved at følge med AI-adopteringshastigheden, fordi teknologien blev en hverdagsværktøj næsten over nat. I de sidste få år, siden ChatGPT eksploderede, har medarbejdere inkorporeret AI i deres liv og arbejdsprocesser. De venter ikke på formelle IT-godkendelsesprocesser; de bruger allerede AI til at skrive hurtigere, analysere information, sammenfatte møder eller generere kode på få sekunder. I de fleste organisationer sker politikoprettelse, juridisk gennemgang, sikkerhedsvalidering og IT-udrulning på en langsommere tidsplan end brugeradfærd. Det er her, AI-styring falder bagud.

Det dybere problem er, at mange organisationer forsøger at anvende i går’s kontrolmodel til dagens AI-reality. Traditionel styring var bygget op omkring at godkende eller blokere for en kendt sæt af applikationer, men AI er nu indbygget i browsere, SaaS-platforme og selv i operativsystemer. Styring må udvikle sig beyond at kontrollere et forudbestemt værktøjssæt og fokusere i stedet på at beskytte data, uanset hvor det befinder sig, sikre arbejdsmiljøet og definere betingelserne for, hvornår følsom information kan bruges sikkert.

Mange virksomheder forsøger at løse problemet ved at begrænse eller forbyde generative AI-værktøjer. Hvorfor tror du, denne tilgang fejler i praksis, og hvilke uventede sikkerhedsrisici kan den skabe?

Forbud fejler, fordi de ignorerer virkeligheden af, hvordan mennesker arbejder. Medarbejdere vil finde måder at bruge AI-værktøjer på, uanset officiel godkendelse. Det skaber skygge-AI, eller unsanktioneret brug af værktøjer, personlige konti, copy-paste-arbejdsprocesser og browserbaserede interaktioner, der kan ske uden for godkendt oversigt. Virksomheden mister herefter overblikket og sætter sin følsomme data i fare.

I mange tilfælde kan restriktive politikker øge risikoen i stedet for at reducere den. Når medarbejdere ikke kan bruge disse værktøjer sikkert, finder de ofte løsninger. Følsom virksomhedsdata kan ende med at flyde ind i værktøjer, som IT- eller sikkerhedshold ikke overvåger eller kontrollerer. Den bedre tilgang er ikke forbud for sig selv, men at enable sikker brug gennem isolation, datakontrol og tydelige retningslinjer, der lader forretningsvirksomheden fortsætte uden at udsætte kritisk information.

AI-kapaciteter er mere og mere indbygget i hverdagsapplikationer snarere end at eksistere som selvstændige værktøjer. Hvordan ændrer denne skift sikkerhedsholdenes måde at tænke om overvågning og kontrol af dataeksponering?

Denne skift er betydelig, fordi den bryder den gamle mental model af “risky app versus godkendt app”. Hvis AI er indbygget i email, CRM, konferencer, dokumentredigering og søgning, er dataeksponering ikke længere knyttet til, om en bruger åbner et separat AI-værktøj. Det er knyttet til, hvilken data der er tilgængelig inde i applikationen, hvilken kontekst AI kan se, og om den interaktion sker inde i et sikret arbejdsmiljø.

Derfor skal sikkerhedshold fokusere på at beskytte data i stedet for fuld enheds-låsning. Fokus skal være på at isolere arbejdssessioner, kontrollere copy/paste og downloads, hvor det er relevant, forhindre lækkage over personlige og forretningskontekster og sikre, at følsom information forbliver inden for et beskyttet miljø.

Venn’s Blue Border-teknologi isolerer arbejdsapplikationer og data lokalt på en brugers personlige enhed i stedet for at anvende traditionel virtual desktop-infrastruktur. Hvordan ændrer denne arkitektur grundlæggende endpoint-sikkerhedsmodellen for fjernarbejde?

Blue Border ændrer grundlæggende endpoint-sikkerhedsmodellen ved at gå beyond idéen om, at sikkerhed kræver enten fuld enheds-kontrol eller en virtualiseret skrivebord. Traditionel VDI sikrer arbejde ved at hoste det fjernt og streame det til brugeren. Blue Border sikrer arbejde lokalt på brugerens personlige enhed ved at oprette en IT-kontrolleret sikker enclave, hvor applikationer køres lokalt, og virksomhedsdata forbliver isoleret og beskyttet.

Resultatet er en anden sikkerhedsmodel for fjernarbejde, hvor virksomheder kan gennemtvinge beskyttelse omkring arbejdet selv uden at udstyre medarbejdere med virksomhedsenheder eller tvinge brugere til at håndtere forsinkelsen og forsinkelsen, der kommer fra at hoste et skrivebord i skyen.

Fra et sikkerhedsarkitektur-perspektiv skifter modellen fra at kontrollere hele endpoint eller centralisere sikkerhedsprotokoller til at beskytte arbejdsmiljøet selv, hvor det befinder sig. Blue Border sikrer, at følsom data aldrig forlader det beskyttede, lokale miljø og gennemtvinger politik inden for den grænse. Det forhindrer lækkage til den personlige side af enheden. Derfor kan brugere nyde naturlig beregnings- og applikationsydeevne og kan bruge en personlig enhed fra hvor som helst i verden, i stedet for en påkrævet virksomhedsenhed.

Mange organisationer kæmper med at balancere medarbejder-privatliv og virksomheds-overvågning, når arbejdere bruger personlige enheder. Hvordan kan sikkerhedshold beskytte følsom data uden at skabe en opfattelse af overvågning?

Nøglen er at beskytte arbejdet, ikke den personlige aktivitet. Medarbejdere er forståeligt utilpasse, når sikkerhedsforanstaltninger kunne udstrække sig til deres private filer, beskeder, browserhistorik eller personlige applikationer. På en BYOD-enhed betyder tillid noget. Hvis virksomheden ikke kan tydeligt forklare, hvor dens synlighed begynder og slutter, vil medarbejdere antage det værste.

En stærkere model er en, der opretter en tydelig arbejdsplads for forretningsaktivitet og anvender sikkerheds-kontroller kun inden for den grænse. Dette giver virksomheden mulighed for at beskytte virksomhedsdata, samtidig med at medarbejderne får tillid til, at deres personlige aktivitet ikke overvåges eller kontrolleres. Privatliv og sikkerhed behøver ikke at konkurrere, hvis arkitekturen er designet til at adskille dem renligt.

Fjernarbejde og kontraktbaserede hold har gjort BYOD-miljøer næsten uundgåelige. Hvad er de største sikkerhedsrisici forbundet med unmanagede enheder i dag?

Det største risiko er, at unmanagede enheder sletter grænsen mellem personlige og forretningsaktiviteter. På samme maskine kan en bruger have åbne arbejdsapplikationer sammen med personlige email, forbruger-AI-værktøjer, meddelelsesapps, fil-delings-tjenester og upålidelige browser-udvidelser. Uden en sikker adskillelse kan det være meget let for følsom data at blive kopieret, cachelagret, downloadet, skærmbagt eller eksponeret gennem kanaler, som virksomheden ikke kontrollerer. For organisationer, der er underlagt regler om datasikkerhed, er dette en enorm risiko.

Kunstig intelligens-agenter og automatiserede arbejdsprocesser begynder at interagere direkte med virksomhedsapplikationer og data. Hvad nye sikkerhedsudfordringer introducerer disse autonome systemer?

Autonome systemer introducerer en anden klasse af risiko, fordi de ikke kun genererer indhold, men også kan handle. AI-agenter forbundet til virksomhedssystemer kan hente eller flytte data, opdatere poster, udløse arbejdsprocesser eller kommunikere eksternt. Det udvider risikoområdet for en fejl, mis-konfiguration eller kompromitteret identitet betydeligt beyond, hvad vi ser med passive AI-assistenter.

Det skaber også nye spørgsmål om adgang, tillid og ansvarlighed. Hvad data er agenten tilladt at få adgang til? Under hvilke betingelser kan det handle? Hvordan logger og begrænser man denne aktivitet, og hvordan sikrer man, at følsom information forbliver inden for en beskyttet omgang? IT- og sikkerhedshold må behandle AI-agenter mere som privilegerede digitale aktører end som softwarefunktioner. Det betyder, at man må anvende principper som mindst privilegie, segmentering, sessions-isolation og stærk revision fra starten.

Da organisationer integrerer generativ kunstig intelligens i produktivitetsværktøjer, kundesupportsystemer og interne arbejdsprocesser, hvilke typer følsomme data-eksponeringer bekymrer dig mest?

Brugen af generativ AI på arbejdspladsen har udvisket grænsen mellem personlige og virksomhedsdata. Medarbejdere åbner ofte eksterne værktøjer, mens de arbejder med virksomhedsinformation, hvilket gør det meget let for følsomme data som kundeoptegnelser, interne dokumenter, kildekode eller finansielle oplysninger at glide ind i eksterne miljøer. Når virksomhedsdata flyder gennem personlige kontekster eller unmanagede enheder, mister virksomhederne overblik og kontrol over, hvor den information går, hvordan den lagres og hvem der måske til sidst får adgang til den. Da AI bliver indbygget i hverdags-arbejdsprocesser, må organisationer håndtere denne udviskede grænse direkte ved at sikre, at virksomhedsdata forbliver beskyttet, selv når arbejde sker på personlige enheder.

Omkring fremtiden, hvordan ser du endpoint-sikkerheden udvikle sig, da AI-drevne arbejdsprocesser bliver mere almindelige over distribuerede og fjernarbejdsstyrker?

Endpoint-sikkerheden må blive langt mere adaptiv, kontekst-bevidst og arbejdsplads-centreret. I fortiden antog endpoint-sikkerhedsdesign en managed enhed, en defineret kontor-perimeter og et relativt stabilt sæt af forretningsapplikationer. Fremtiden er distribueret, AI-dreven og stadig mere autonom. Sikkerheden må følge arbejdet selv, uanset hvor det sker, uden at antage fuld kontrol over enheden eller blokere produktivitet.

Den vindende model vil være en, der kombinerer stærk adskillelse mellem enheden og følsomme data, kontekst-bevidste adgangskontroller og en arkitektur, der bevarer en tydelig grænse mellem arbejde og personlig aktivitet. Organisationer behøver miljøer, hvor medarbejdere, kontrahenter og AI-aktiverede arbejdsprocesser kan fungere produktivt, men inden for kontroller, der beskytter data ved design. De virksomheder, der lykkes, vil ikke være dem, der forsøger at slowe AI-adopteringshastigheden; de vil være dem, der gør sikker adoption mulig i stor skala.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Venn.