Entrevistas
David Matalon, CEO y Fundador de Venn – Serie de Entrevistas
David Matalon, CEO y Fundador de Venn, es un emprendedor serial con una larga trayectoria de construcción de plataformas de tecnología empresarial seguras, habiendo liderado anteriormente OS33, un líder temprano en espacios de trabajo seguros para empresas financieras, y External IT, una pionera en servicios de IT alojados. Con Venn, se enfoca en redefinir la seguridad del trabajo remoto al permitir que las organizaciones adopten modelos de traer tu propio dispositivo (BYOD) sin sacrificar la cumplimiento o el control, aprovechando su profunda experiencia en infraestructura en la nube, seguridad de puntos finales y sectores regulados para abordar los crecientes desafíos de las fuerzas laborales distribuidas.
Venn es una plataforma de ciberseguridad y trabajo remoto diseñada para proteger los datos de la empresa en dispositivos personales y no administrados a través de su tecnología Blue Border, que crea un enclave seguro y cifrado en la computadora del usuario donde las aplicaciones y los datos de trabajo están aislados de la actividad personal. A diferencia de la infraestructura de escritorio virtual tradicional, Venn permite que las aplicaciones se ejecuten localmente con un rendimiento nativo mientras se aplican estrictas políticas de protección de datos y cumplimiento, lo que ayuda a las organizaciones a reducir la carga de trabajo de TI, incorporar a los trabajadores remotos rápidamente y mantener la privacidad al separar los entornos corporativos y personales en el mismo dispositivo.
Ha pasado más de dos décadas construyendo tecnología para el trabajo remoto seguro, desde el lanzamiento de Offyx en los primeros días de los proveedores de servicios de aplicaciones hasta la fundación de OS33 y ahora Venn. ¿Qué lecciones de esas empresas anteriores lo llevaron a construir Venn, y cómo esas experiencias dieron forma a la idea detrás de Blue Border y su visión para garantizar la seguridad de las fuerzas laborales BYOD modernas?
Durante las últimas dos décadas, he tenido la oportunidad de construir empresas en varias etapas de la evolución del trabajo remoto. En OS33, pasamos años brindando entornos de trabajo remoto seguros a través de infraestructura alojada que utilizaba tecnología similar a la infraestructura de escritorio virtual (VDI). Aunque el modelo de seguridad funcionaba, siempre escuchábamos la misma retroalimentación de los clientes: la experiencia de usar aplicaciones alojadas remotamente a menudo era lenta, compleja de mantener y frustrante para los usuarios.
Esa retroalimentación fue un punto de inflexión. La alojamiento remoto introdujo una latencia inevitable y requirió una infraestructura significativa, creando una complejidad operativa para los equipos de TI. Empezamos a hacer una pregunta sencilla: ¿qué pasaría si pudieras eliminar la alojamiento por completo? En lugar de ejecutar el trabajo en algún otro lugar y transmitirlo al usuario, ¿podrías ejecutar el trabajo de manera segura en el dispositivo del usuario mientras proteges los datos corporativos?
Esa forma de pensar finalmente llevó a Venn y al concepto detrás de Blue Border. En lugar de forzar el trabajo a través de la alojamiento remota y la virtualización, creamos un nuevo modelo que permite que las aplicaciones corporativas se ejecuten localmente en la computadora del usuario mientras mantienen los datos de la empresa cifrados y protegidos. Incluso en una computadora portátil personal, el trabajo permanece aislado y protegido de la actividad personal.
Las herramientas de inteligencia artificial se están extendiendo por las empresas más rápido de lo que las políticas pueden mantener el ritmo. Desde su perspectiva, ¿por qué la gobernanza ha luchado por mantener el ritmo con la adopción de IA dentro de las organizaciones?
La gobernanza ha luchado por mantener el ritmo con la adopción de IA porque la tecnología se convirtió en una herramienta cotidiana casi de la noche a la mañana. En los últimos años desde que ChatGPT explotó, los empleados han incorporado la IA en sus vidas y flujos de trabajo. No están esperando a los ciclos de aprobación formal de TI; ya están utilizando la IA para escribir más rápido, analizar información, resumir reuniones o generar código en segundos. En la mayoría de las organizaciones, la creación de políticas, la revisión legal, la validación de seguridad y la implementación de TI ocurren en un cronograma mucho más lento que el comportamiento del usuario. Esa brecha es donde la gobernanza de la IA se está quedando atrás.
El problema más profundo es que muchas organizaciones están tratando de aplicar el modelo de control de ayer a la realidad de la IA de hoy. La gobernanza tradicional se centró en aprobar o bloquear un conjunto conocido de aplicaciones, pero la IA ahora está incrustada en navegadores, plataformas de SaaS e incluso en sistemas operativos. La gobernanza debe evolucionar más allá del control de un conjunto predeterminado de herramientas y centrarse en proteger los datos dondequiera que residan, asegurar el entorno de trabajo y definir las condiciones bajo las cuales la información sensible puede usarse de manera segura.
Muchas empresas intentan resolver el problema restringiendo o prohibiendo las herramientas de IA generativa. ¿Por qué cree que este enfoque falla en la práctica, y qué riesgos de seguridad no deseados puede crear?
Las prohibiciones fallan porque ignoran la realidad de cómo la gente trabaja. Los empleados encontrarán formas de usar las herramientas de IA independientemente de la aprobación oficial. Eso crea una IA de sombra, o un uso no sancionado de herramientas, cuentas personales, flujos de trabajo de copia y pegado y interacciones basadas en el navegador, que pueden ocurrir fuera de la supervisión aprobada. La empresa entonces pierde visibilidad, poniendo en riesgo sus datos sensibles.
En muchos casos, las políticas restrictivas pueden aumentar el riesgo en lugar de reducirlo. Cuando los empleados no pueden usar estas herramientas de manera segura, a menudo encuentran soluciones alternativas. Los datos sensibles de la empresa pueden terminar fluyendo hacia herramientas que los equipos de TI o seguridad no monitorean o controlan. El enfoque mejor es no la prohibición por sí misma, sino permitir un uso seguro a través del aislamiento, los controles de datos y las barreras claras que permiten que el negocio avance sin exponer información crítica.
Las capacidades de IA están cada vez más incrustadas en aplicaciones empresariales y datos en lugar de existir como herramientas independientes. ¿Cómo cambia este cambio la forma en que los equipos de seguridad deben pensar sobre el monitoreo y el control de la exposición de datos?
Este cambio es significativo porque rompe el antiguo modelo mental de “aplicación de riesgo versus aplicación aprobada”. Si la IA está incrustada en el correo electrónico, CRM, conferencias, edición de documentos y búsqueda, entonces la exposición de datos ya no está vinculada a si un usuario abre una herramienta de IA separada. Está conectada a qué datos están accesibles dentro de la aplicación, qué contexto puede ver la IA y si esa interacción ocurre dentro de un espacio de trabajo seguro.
Como resultado, los equipos de seguridad necesitan centrarse en proteger los datos en lugar de bloquear completamente el dispositivo. El enfoque debe ser en aislar las sesiones de trabajo, controlar la copia y pegado y las descargas donde corresponda, prevenir fugas entre contextos personales y empresariales, y asegurarse de que la información sensible permanezca dentro de un entorno protegido.
La tecnología Blue Border de Venn aísla las aplicaciones y los datos de trabajo localmente en el dispositivo personal del usuario en lugar de confiar en la infraestructura de escritorio virtual tradicional. ¿Cómo cambia fundamentalmente esta arquitectura el modelo de seguridad de punto final para el trabajo remoto?
Blue Border cambia fundamentalmente el modelo de seguridad de punto final al ir más allá de la idea de que la seguridad requiere el control completo del dispositivo o un escritorio virtualizado. La infraestructura de escritorio virtual tradicional (VDI) asegura el trabajo alojándolo remotamente y transmitiéndolo al usuario. Blue Border asegura el trabajo directamente en el dispositivo personal del usuario al crear un enclave seguro controlado por TI donde las aplicaciones se ejecutan localmente y los datos de la empresa permanecen aislados y protegidos.
El resultado es un modelo de seguridad diferente para el trabajo remoto, donde las empresas pueden aplicar protección alrededor del trabajo en sí sin emitir dispositivos de la empresa o forzar a los usuarios a lidiar con el retraso y la latencia que conlleva alojar un escritorio en la nube.
Desde una perspectiva de arquitectura de seguridad, este cambio pasa del modelo de controlar todo el punto final o centralizar los protocolos de seguridad, a proteger el espacio de trabajo en sí, donde reside. Blue Border asegura que los datos sensibles nunca abandonen el entorno protegido y local, y aplica la política dentro de ese límite. Evita fugas hacia el lado personal del dispositivo. Como resultado, los usuarios pueden disfrutar de un rendimiento de cómputo y aplicación nativo, y pueden usar un dispositivo personal desde cualquier lugar del mundo, en lugar de un dispositivo de la empresa requerido.
Muchas organizaciones luchan por equilibrar la privacidad de los empleados y la supervisión corporativa cuando los trabajadores usan dispositivos personales. ¿Cómo pueden los equipos de seguridad proteger los datos sensibles sin crear la percepción de vigilancia?
La clave es proteger el trabajo, no la actividad personal. Los empleados están comprensiblemente incómodos cuando las medidas de seguridad pueden extenderse a sus archivos personales, mensajes, historial de navegación o aplicaciones personales. En un dispositivo BYOD, la confianza es importante. Si la empresa no puede explicar claramente dónde comienza y termina su visibilidad, los empleados asumirán lo peor.
Un modelo más fuerte es aquel que crea un espacio de trabajo distinto para la actividad empresarial y aplica controles de seguridad solo dentro de ese límite. Esto da a la organización la capacidad de proteger los datos corporativos mientras da a los empleados la confianza de que su actividad personal no está siendo vigilada o gestionada. La privacidad y la seguridad no necesitan competir si la arquitectura está diseñada para separarlas limpiamente.
El trabajo remoto y los equipos basados en contratistas han hecho que los entornos BYOD sean casi inevitables. ¿Cuáles son los mayores riesgos de seguridad asociados con los dispositivos no administrados hoy en día?
El mayor riesgo es que los dispositivos no administrados borran la frontera entre las actividades personales y empresariales. En la misma máquina, un usuario puede tener aplicaciones de trabajo abiertas junto con correo electrónico personal, herramientas de IA de consumo, aplicaciones de mensajería, servicios de intercambio de archivos y extensiones de navegador no confiables. Sin una capa de separación segura, es muy fácil que los datos sensibles se copien, se almacenen en caché, se descarguen, se capturen en pantalla o se expongan a través de canales que la empresa no controla. Para las organizaciones sujetas a regulaciones sobre seguridad de datos, este es un riesgo enorme.
Los agentes de inteligencia artificial y los flujos de trabajo automatizados están comenzando a interactuar directamente con aplicaciones y datos empresariales. ¿Qué nuevos desafíos de seguridad introducen estos sistemas autónomos?
Los sistemas autónomos introducen una clase diferente de riesgo porque no solo generan contenido, sino que también pueden actuar. Los agentes de IA conectados a sistemas empresariales pueden recuperar o mover datos, actualizar registros, activar flujos de trabajo o comunicarse externamente. Eso amplía el radio de acción de un error, una mala configuración o una identidad comprometida significativamente más allá de lo que vemos con asistentes de IA pasivos.
También plantea nuevas preguntas sobre acceso, confianza y responsabilidad. ¿Qué datos está permitido que el agente acceda? Bajo qué condiciones puede actuar? ¿Cómo se registra, limita y revisa esa actividad? Los equipos de TI y seguridad deben tratar a los agentes de IA como actores digitales privilegiados en lugar de características de software. Eso significa aplicar principios como el privilegio mínimo, la segmentación, el aislamiento de sesión y la auditoría sólida desde el principio.
A medida que las organizaciones integran la inteligencia artificial generativa en herramientas de productividad, sistemas de soporte al cliente y flujos de trabajo internos, ¿qué tipo de exposiciones de datos sensibles lo preocupa más?
El uso de la IA generativa en el lugar de trabajo ha borrado la línea entre los datos personales y de la empresa. Los empleados a menudo acceden a herramientas externas mientras trabajan con información de la empresa, lo que hace que sea muy fácil que los datos sensibles como registros de clientes, documentos internos, código fuente o información financiera se filtren hacia entornos externos. Cuando los datos corporativos fluyen a través de contextos personales o dispositivos no administrados, las empresas pierden visibilidad y control sobre dónde va esa información, cómo se almacena y quién podría acceder a ella eventualmente. A medida que la IA se incrusta en los flujos de trabajo cotidianos, las organizaciones necesitan abordar esta frontera borrosa directamente asegurando que los datos de la empresa permanezcan protegidos incluso cuando el trabajo se realiza en dispositivos personales.
Mirando hacia adelante, ¿cómo ve la evolución de la seguridad de punto final a medida que los flujos de trabajo impulsados por IA se vuelven más comunes en fuerzas laborales remotas y distribuidas?
La seguridad de punto final necesitará volverse mucho más adaptativa, consciente del contexto y centrada en el espacio de trabajo. En el pasado, el diseño de la seguridad de punto final asumía un dispositivo administrado, un perímetro de oficina definido y un conjunto relativamente estable de aplicaciones empresariales. El futuro es distribuido, impulsado por IA y cada vez más autónomo. La seguridad necesita seguir al trabajo en sí, dondequiera que ocurra, sin asumir el control completo del dispositivo o bloquear la productividad.
El modelo ganador será aquel que combine una separación sólida entre el dispositivo y los datos sensibles, controles de acceso conscientes del contexto y una arquitectura que preserve una frontera clara entre el trabajo y la actividad personal. Las organizaciones necesitan entornos donde los empleados, los contratistas y los flujos de trabajo habilitados por IA puedan operar de manera productiva, pero dentro de controles que protejan los datos por diseño. Las empresas que tengan éxito no serán aquellas que intenten frenar la adopción de IA; serán aquellas que hagan posible la adopción segura a gran escala.
Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Venn.
