David Matalon, CEO y Fundador de Venn – Serie de Entrevistas

David Matalon, CEO y Fundador de Venn, es un emprendedor serial con una larga trayectoria de construir plataformas de tecnología empresarial seguras, habiendo liderado anteriormente OS33, un líder temprano en espacios de trabajo seguros para firmas financieras, y External IT, un pionero en servicios de IT alojados. Con Venn, se enfoca en redefinir la seguridad del trabajo remoto al permitir que las organizaciones adopten modelos de traer tu propio dispositivo (BYOD) sin sacrificar la conformidad o el control, aprovechando su profunda experiencia en infraestructura en la nube, seguridad de puntos finales y sectores regulados para abordar los desafíos crecientes de las fuerzas laborales distribuidas.

Venn es una plataforma de ciberseguridad y trabajo remoto diseñada para proteger los datos de la empresa en dispositivos personales y no administrados a través de su tecnología Blue Border, que crea un enclave seguro y cifrado en la computadora del usuario donde las aplicaciones y los datos de trabajo están aislados de la actividad personal. A diferencia de la infraestructura de escritorio virtual tradicional, Venn permite que las aplicaciones se ejecuten localmente con rendimiento nativo mientras se aplican estrictas políticas de protección de datos y cumplimiento, lo que ayuda a las organizaciones a reducir la sobrecarga de TI, incorporar rápidamente a los trabajadores remotos y mantener la privacidad al separar los entornos corporativos y personales en el mismo dispositivo.

Ha pasado más de dos décadas construyendo tecnología para el trabajo remoto seguro, desde el lanzamiento de Offyx en los primeros días de los proveedores de servicios de aplicaciones hasta fundar OS33 y ahora Venn. ¿Qué lecciones de esas empresas anteriores lo llevaron a construir Venn, y cómo esas experiencias dieron forma a la idea detrás de Blue Border y su visión para proteger las fuerzas laborales modernas de BYOD?

En las últimas dos décadas, he tenido la oportunidad de construir empresas en varias etapas de la evolución del trabajo remoto. En OS33, pasamos años entregando entornos de trabajo remoto seguros a través de infraestructura alojada que utilizaba tecnología similar a la infraestructura de escritorio virtual (VDI). Aunque el modelo de seguridad funcionaba, siempre escuchábamos la misma retroalimentación de los clientes: la experiencia de usar aplicaciones alojadas de forma remota a menudo era lenta, compleja de mantener y frustrante para los usuarios.

Esa retroalimentación fue un punto de inflexión. La alojamiento remoto introdujo una latencia inevitable y requirió una infraestructura significativa, creando complejidad operativa para los equipos de TI. Empezamos a hacer una pregunta simple: ¿qué pasa si pudieras eliminar la alojamiento de la ecuación por completo? En lugar de ejecutar el trabajo en algún lugar más y transmitirlo al usuario, ¿podrías ejecutar el trabajo de forma segura en el dispositivo del usuario mientras protegías los datos corporativos?

Esa forma de pensar finalmente llevó a Venn y al concepto detrás de Blue Border. En lugar de forzar el trabajo a través de la alojamiento remoto y la virtualización, creamos un nuevo modelo que permite que las aplicaciones corporativas se ejecuten localmente en el dispositivo del usuario mientras mantiene los datos de la empresa cifrados y protegidos. Incluso en una laptop personal, el trabajo permanece aislado y protegido de la actividad personal.

Las herramientas de inteligencia artificial se están extendiendo por las empresas más rápido de lo que las políticas pueden seguir el ritmo. Desde su perspectiva, ¿por qué la gobernanza ha luchado por mantener el ritmo con la adopción de la inteligencia artificial dentro de las organizaciones?

La gobernanza ha luchado por mantener el ritmo con la adopción de la inteligencia artificial porque la tecnología se convirtió en una herramienta cotidiana casi de la noche a la mañana. En los últimos años desde que ChatGPT explotó, los empleados han incorporado la inteligencia artificial en sus vidas y flujos de trabajo. No están esperando a los ciclos de aprobación formal de TI; ya están utilizando la inteligencia artificial para escribir más rápido, analizar información, resumir reuniones o generar código en segundos. En la mayoría de las organizaciones, la creación de políticas, la revisión legal, la validación de seguridad y la implementación de TI ocurren en un cronograma mucho más lento que el comportamiento del usuario. Esa brecha es donde la gobernanza de la inteligencia artificial se está quedando atrás.

El problema más profundo es que muchas organizaciones están tratando de aplicar el modelo de control de ayer a la realidad de la inteligencia artificial de hoy. La gobernanza tradicional se centraba en aprobar o bloquear un conjunto conocido de aplicaciones, pero la inteligencia artificial ahora está incrustada en navegadores, plataformas SaaS y incluso en sistemas operativos. La gobernanza debe evolucionar más allá del control de un conjunto predeterminado de herramientas y centrarse en proteger los datos dondequiera que residan, asegurar el entorno de trabajo y definir las condiciones bajo las cuales la información sensible puede ser utilizada de manera segura.

Muchas empresas intentan resolver el problema restringiendo o prohibiendo las herramientas de inteligencia artificial generativa. ¿Por qué cree que este enfoque falla en la práctica, y qué riesgos de seguridad no deseados puede crear?

Las prohibiciones fallan porque ignoran la realidad de cómo trabajan las personas. Los empleados encontrarán formas de utilizar las herramientas de inteligencia artificial independientemente de la aprobación oficial. Eso crea una inteligencia artificial en la sombra, o el uso no autorizado de herramientas, cuentas personales, flujos de trabajo de copiar y pegar y interacciones basadas en el navegador, que pueden ocurrir fuera de la supervisión aprobada. La empresa entonces pierde visibilidad, poniendo en riesgo sus datos sensibles.

En muchos casos, las políticas restrictivas pueden aumentar el riesgo en lugar de reducirlo. Cuando los empleados no pueden utilizar estas herramientas de manera segura, a menudo encuentran soluciones alternativas. Los datos sensibles de la empresa pueden fluir hacia herramientas que los equipos de TI o seguridad no monitorean ni controlan. El enfoque mejor es no la prohibición por sí misma, sino habilitar el uso seguro a través del aislamiento, los controles de datos y las barreras claras que permiten que el negocio avance sin exponer información crítica.

Las capacidades de inteligencia artificial están cada vez más incrustadas en aplicaciones cotidianas en lugar de existir como herramientas independientes. ¿Cómo cambia esto la forma en que los equipos de seguridad deben pensar sobre la monitorización y el control de la exposición de datos?

Este cambio es significativo porque rompe el antiguo modelo mental de “aplicación de riesgo versus aplicación aprobada”. Si la inteligencia artificial está incrustada en el correo electrónico, CRM, conferencias, edición de documentos y búsqueda, entonces la exposición de datos ya no está vinculada a si un usuario abre una herramienta de inteligencia artificial separada. Está conectada a qué datos están accesibles dentro de la aplicación, qué contexto la inteligencia artificial puede ver y si esa interacción ocurre dentro de un espacio de trabajo seguro.

Como resultado, los equipos de seguridad necesitan centrarse en proteger los datos en lugar de bloqueos de dispositivos completos. El enfoque debe ser en aislar las sesiones de trabajo, controlar la copia y pegado y las descargas cuando corresponda, prevenir fugas entre contextos personales y empresariales y asegurarse de que la información sensible permanezca dentro de un entorno protegido.

La tecnología Blue Border de Venn aísla las aplicaciones de trabajo y los datos localmente en el dispositivo personal del usuario en lugar de confiar en la infraestructura de escritorio virtual tradicional. ¿Cómo cambia fundamentalmente esta arquitectura el modelo de seguridad de punto final para el trabajo remoto?

Blue Border cambia fundamentalmente el modelo de seguridad de punto final al ir más allá de la idea de que la seguridad requiere el control del dispositivo completo o un escritorio virtualizado. La infraestructura de escritorio virtual tradicional (VDI) asegura el trabajo alojándolo de forma remota y transmitiéndolo al usuario. Blue Border asegura el trabajo directamente en el dispositivo personal del usuario al crear un enclave seguro controlado por TI donde las aplicaciones se ejecutan localmente y los datos de la empresa permanecen aislados y protegidos.

El resultado es un modelo de seguridad diferente para el trabajo remoto, donde las empresas pueden aplicar protección alrededor del trabajo en sí sin emitir dispositivos de la empresa o forzar a los usuarios a lidiar con el retraso y la latencia que conlleva alojar un escritorio en la nube.

Desde una perspectiva de arquitectura de seguridad, esto cambia el modelo de controlar el punto final completo o centralizar los protocolos de seguridad, a proteger el espacio de trabajo en sí, donde reside. Blue Border asegura que los datos sensibles nunca dejan el entorno protegido y local, y aplica la política dentro de ese límite. Evita fugas hacia el lado personal del dispositivo. Como resultado, los usuarios pueden disfrutar de un rendimiento de cómputo y aplicaciones nativas, y pueden utilizar un dispositivo personal desde cualquier lugar del mundo, en lugar de un dispositivo de la empresa requerido.

Muchas organizaciones luchan por equilibrar la privacidad de los empleados y la supervisión corporativa cuando los trabajadores utilizan dispositivos personales. ¿Cómo pueden los equipos de seguridad proteger los datos sensibles sin crear la percepción de vigilancia?

La clave es proteger el trabajo, no la actividad personal. Los empleados están comprensiblemente incómodos cuando las medidas de seguridad pueden extenderse a sus archivos personales, mensajes, historial de navegación o aplicaciones personales. En un dispositivo BYOD, la confianza es importante. Si la empresa no puede explicar claramente dónde comienza y termina su visibilidad, los empleados asumirán lo peor.

Un modelo más fuerte es aquel que crea un espacio de trabajo distintivo para la actividad empresarial y aplica controles de seguridad solo dentro de ese límite. Esto da a la organización la capacidad de proteger los datos corporativos mientras da a los empleados la confianza de que su actividad personal no está siendo vigilada ni gestionada. La privacidad y la seguridad no necesitan competir si la arquitectura está diseñada para separarlas limpiamente.

El trabajo remoto y los equipos basados en contratistas han hecho que los entornos BYOD sean casi inevitables. ¿Cuáles son los mayores riesgos de seguridad asociados con los dispositivos no administrados hoy en día?

El mayor riesgo es que los dispositivos no administrados borran la frontera entre las actividades personales y empresariales. En la misma máquina, un usuario puede tener aplicaciones de trabajo abiertas junto con correo electrónico personal, herramientas de inteligencia artificial de consumo, aplicaciones de mensajería, servicios de intercambio de archivos y extensiones de navegador no confiables. Sin una capa de separación segura, es muy fácil que los datos sensibles se copien, se almacenen en caché, se descarguen, se capturen en pantalla o se expongan a través de canales que la empresa no controla. Para las organizaciones sujetas a regulaciones sobre seguridad de datos, esto es un riesgo enorme.

Los agentes de inteligencia artificial y los flujos de trabajo automatizados están comenzando a interactuar directamente con aplicaciones y datos empresariales. ¿Qué nuevos desafíos de seguridad introducen estos sistemas autónomos?

Los sistemas autónomos introducen una clase diferente de riesgo porque no solo generan contenido, sino que también pueden actuar. Los agentes de inteligencia artificial conectados a sistemas empresariales pueden recuperar o mover datos, actualizar registros, activar flujos de trabajo o comunicarse externamente. Eso amplía significativamente el radio de acción de un error, una mala configuración o una identidad comprometida más allá de lo que vemos con asistentes de inteligencia artificial pasivos.

También plantea nuevas preguntas sobre acceso, confianza y responsabilidad. ¿Qué datos está permitido que el agente acceda? Bajo qué condiciones puede actuar? ¿Cómo se registra, limita y revisa esa actividad? Los equipos de TI y seguridad necesitarán tratar a los agentes de inteligencia artificial menos como características de software y más como actores digitales privilegiados. Eso significa aplicar principios como el privilegio mínimo, la segmentación, el aislamiento de sesión y la auditoría sólida desde el principio.

A medida que las organizaciones integran la inteligencia artificial generativa en herramientas de productividad, sistemas de soporte al cliente y flujos de trabajo internos, ¿qué tipo de exposiciones de datos sensibles lo preocupan más?

El uso de la inteligencia artificial generativa en el lugar de trabajo ha difuminado la línea entre los datos personales y los de la empresa. Los empleados a menudo acceden a herramientas externas mientras trabajan con información de la empresa, lo que hace que sea muy fácil que los datos sensibles como registros de clientes, documentos internos, código fuente o información financiera se filtren hacia entornos externos. Cuando los datos corporativos fluyen a través de contextos personales o dispositivos no administrados, las empresas pierden visibilidad y control sobre adónde va esa información, cómo se almacena y quién podría acceder a ella eventualmente. A medida que la inteligencia artificial se integra en los flujos de trabajo cotidianos, las organizaciones necesitan abordar esta frontera difusa directamente, asegurando que los datos de la empresa permanezcan protegidos incluso cuando el trabajo se realiza en dispositivos personales.

Mirando hacia adelante, ¿cómo ve evolucionar la seguridad de punto final a medida que los flujos de trabajo impulsados por la inteligencia artificial se vuelven más comunes en las fuerzas laborales remotas y distribuidas?

La seguridad de punto final necesitará volverse mucho más adaptativa, consciente del contexto y centrada en el espacio de trabajo. En el pasado, el diseño de la seguridad de punto final asumía un dispositivo administrado, un perímetro de oficina definido y un conjunto relativamente estable de aplicaciones empresariales. El futuro es distribuido, impulsado por la inteligencia artificial y cada vez más autónomo. La seguridad necesita seguir el trabajo en sí, dondequiera que ocurra, sin asumir el control total del dispositivo o bloquear la productividad.

El modelo ganador será aquel que combine una separación sólida entre el dispositivo y los datos sensibles, controles de acceso conscientes del contexto y una arquitectura que preserve una frontera clara entre el trabajo y la actividad personal. Las organizaciones necesitan entornos donde los empleados, los contratistas y los flujos de trabajo habilitados por la inteligencia artificial puedan operar de manera productiva, pero dentro de controles que protejan los datos por diseño. Las empresas que tengan éxito no serán aquellas que intenten frenar la adopción de la inteligencia artificial; serán aquellas que hagan posible la adopción segura a gran escala.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Venn.