David Matalon, Vennin CEO ja perustaja – Haastattelusarja

David Matalon, Vennin CEO ja perustaja, on sarjayrittäjä, jolla on pitkä historia turvallisten yritysteknologioiden luomisesta. Hän on aikaisemmin johtanut OS33:aa, joka oli varhainen johtaja turvallisissa työtiloissa rahoituslaitoksille, ja External IT:ä, joka oli edelläkävijä isännöidyissä IT-palveluissa. Vennin kautta hän on keskittynyt etätyön turvallisuuden uudelleenmäärittelyyn mahdollistamalla organisaatioiden omankäden laitteiden (BYOD) mallien käyttöön ottamisen ilman turvallisuuden tai hallinnan uhraamista, hyödyntäen syvää kokemustaan pilvi-infrastruktuurista, päätepisteturvallisuudesta ja säädellyistä aloista käsitelläkseen kasvavia haasteita hajaantuneille työvoimille.

Venn on kyberTurvallisuus- ja etätyöalusta, joka on suunniteltu suojelemaan yrityksen tietoja henkilökohtaisilla ja hallitsemattomilla laitteilla sen omistaman Blue Border -teknologian avulla, joka luo turvallisen, salatun erillisyystilan käyttäjän tietokoneella, jossa työsovellukset ja -tiedot ovat erillisiä henkilökohtaisesta toiminnasta. Toisin kuin perinteinen virtuaalinen työpöytä-infrastruktuuri, Venn sallii sovellusten suorittamisen paikallisesti alkuperäisellä suorituskyvyllä samalla, kun se pakottaa tiukat tietosuojaa ja vaatimustenmukaisuuden käytäntöjä, auttaen organisaatioita vähentämään IT-kustannuksia, nopeuttamaan etätyöntekijöiden perehdyttämistä ja ylläpitämään yksityisyyttä erottamalla yritys- ja henkilökohtaiset ympäristöt samalla laitteella.

Olet viettänyt yli kaksi vuosikymmentä rakentamassa teknologiaa turvalliseen etätyöhön, aloittaen Offyxin sovelluspalveluntarjoajien varhaisista päivistä OS33:n ja nyt Vennin perustamiseen. Mitkä opit aikaisemmista yrityksistä johtivat sinut rakentamaan Venniä, ja miten nämä kokemukset muovasivat Blue Border -konseptin ja visiosi modernin BYOD-työvoiman turvallisuuden suhteen?

Viimeisen kahden vuosikymmenen aikana olenellut mahdollisuuden rakentaa yrityksiä eri vaiheissa etätyön kehityksessä. OS33:ssa vietimme vuosia toimittamalla turvallisia etätyöympäristöjä isännöidyssä infrastruktuurissa, joka käytti teknologiaa, joka muistutti virtuaalista työpöytä-infrastruktuuria (VDI). Vaikka turvallisuusmalli toimi, kuulimme jatkuvasti samaa palautetta asiakkailta: etäisesti isännöityjen sovellusten käyttökokemus oli usein hidasta, monimutkaista ylläpitää ja käyttäjille ärsyttävää.

Tuo palautteen anto oli käännekohta. Etäisesti isännöinti toi mukanaan väistämättömän viiveen ja vaati merkittävää infrastruktuuria, luoden toiminnallista monimutkaisuutta IT-tiimille. Aloitimme kysymyksen: mitä jos voit poistaa isännöinnin kokonaan? Voitko suorittaa työn turvallisesti käyttäjän laitteella ilman että yrityksen tietoja vaarantaa?

Tuo ajattelu johti lopulta Venniin ja Blue Border -konseptiin. Sen sijaan, että pakotat työn etäisesti isännöimään ja virtualisoitumaan, loimme uuden mallin, joka sallii yrityssovellusten suorittamisen paikallisesti käyttäjän kannettavalla tietokoneella, pitäen yrityksen tietoja salattuina ja suojattuina. Jopa henkilökohtaisella kannettavalla tietokoneella työ pysyy erillisenä ja suojattuna henkilökohtaisesta toiminnasta.

Tekoälytyökalut leviävät yhä nopeammin yrityksiin kuin mitä käytäntöjen kehittäminen pystyy seuraamaan. Miksi hallinto on kärsinyt pysymästä tekolysohjelmien käytön tasolla organisaatioiden sisällä?

Hallinto on kärsinyt pysymästä tekolysohjelmien käytön tasolla, koska teknologia on muuttunut jokapäiväiseksi työkaluksi lähes yötä hiljaisesti. Viimeisten vuosien aikana, siitä lähtien, kun ChatGPT räjähti, työntekijät ovat ottaneet tekolyyn mukaan työhönsä ja työnkulkuunsa. He eivät odota virallisia IT-hyväksyntäprosesseja; he käyttävät jo tekolyä nopeamman kirjoittamisen, tietojen analysoinnin, kokousten tiivistämisen tai koodin generoimisen sekunneissa. Useimmissa organisaatioissa käytäntöjen luominen, oikeudellinen tarkastelu, tietoturva ja IT-käyttöönotto tapahtuvat hitaammin kuin käyttäjän käyttäytyminen. Se aukko on siellä, missä tekolyhallinto jää jälkeen.

Syvempi ongelma on, että monet organisaatiot yrittävät soveltaa eilisen valvontamallia nykyiseen tekolytodeksiin. Perinteinen hallinto rakennettiin hyväksymään tai estämään tunnetun sovellusjoukon, mutta tekoly on nyt upotettu selaimiin, SaaS-alustoihin ja jopa käyttöjärjestelmiin. Hallinto on kehittymissä edelleen ohjaamaan tietojen suojelemista siellä, missä ne sijaitsevat, turvallisen työympäristön luomista ja määrittelemistä olosuhteita, joiden puitteissa arkaluontoista tietoa voidaan käyttää turvallisesti.

Monet yritykset yrittävät ratkaista ongelman rajoittamalla tai kieltämällä generatiivisia tekolytyökaluja. Miksi uskot, että tämä lähestymistapa epäonnistuu käytännössä, ja mitä tahattuja turvallisuusriskejä se voi luoda?

Kieltopolitiikat epäonnistuvat, koska ne jättävät huomiotta, miten ihmiset työskentelevät. Työntekijät löytävät tavan käyttää tekolytyökaluja riippumatta virallisesta hyväksynnästä. Tämä luo varjotekolyä, eli valvomattoman käytön, henkilökohtaisten tiliten, kopioi ja liitä -työnkulkujen ja selainpohjaisen vuorovaikutuksen, joka voi tapahtua valvomattomassa ympäristössä. Yritys menettää näkyvyyden, asettaen arkaluontoisen datansa vaaraan.

Monissa tapauksissa rajoittavat käytäntö voivat lisätä riskiä sen sijaan, että ne vähentäisivät sitä. Kun työntekijät eivät voi käyttää näitä työkaluja turvallisesti, he usein löytävät keinoja kiertää rajoituksia. Arkaluontoiset yrityksen tiedot voivat päätyä työkaluihin, joita IT- tai tietoturvatimi eivät valvo tai hallitse. Parempi lähestymistapa on ei pelkästään kieltäminen itsessään, vaan turvallisen käytön mahdollistaminen eristämällä, tietojen hallinnalla ja selkeillä rajoituksilla, jotka sallivat liiketoiminnan edetä ilman, että se altistaa kriittistä tietoa.

Teolykykyjä upotetaan yhä enemmän arkisten sovellusten sisään eikä niitä enää ole erillisiä työkaluja. Miten tämä muutos vaikuttaa siihen, miten tietoturvatimi pitäisi ajatella tietojen altistumisen valvomisesta ja hallinnasta?

Tämä muutos on merkittävä, koska se rikkoo vanhan ajattelumallin “riskialttiasta sovelluksesta versus hyväksytyistä sovelluksesta”. Jos tekoly on upotettu sähköpostiin, CRM:ään, konferenssiin, asiakirjojen muokkaukseen ja hakupalveluihin, tietojen altistuminen ei enää liity siihen, avataanko erillinen tekolytyökalu. Se liittyy siihen, mihin tietoihin on pääsy sovelluksessa, minkälaista kontekstia tekoly näkee, ja tapahtuuko tämä vuorovaikutus turvallisessa työympäristössä.

Tämän seurauksena tietoturvatimi on keskittynyt suojelemaan tietoja sen sijaan, että se keskittyisi kokonaan laitteen lukituksiin. Keskittyminen on oltava työistunnon eristämisessä, kopioimisen ja lataamisen hallinnassa, estämällä tietojen vuotamisen henkilökohtaisen ja liiketoiminnan kontekstien välillä ja varmistamalla, että arkaluontoiset tiedot pysyvät suojatussa ympäristössä.

Vennin Blue Border -teknologia eristää työsovellukset ja -tiedot paikallisesti käyttäjän henkilökohtaisella laitteella sen sijaan, että se riippuisi perinteisestä virtuaalisesta työpöytä-infrastruktuurista. Miten tämä arkkitehtuuri muuttaa perustavanlaatuisesti etätyön päätepisteturvallisuusmallia?

Blue Border muuttaa perustavanlaatuisesti etätyön päätepisteturvallisuusmallia siirtymällä ajatukselta, jonka mukaan turvallisuus edellyttää joko koko laitteen hallintaa tai virtualisoidun työpöydän. Perinteinen VDI turvaa työn isännöimällä sen etäisesti ja lähettämällä sen käyttäjälle. Blue Border turvaa työn suorittamalla sen paikallisesti käyttäjän kannettavalla tietokoneella, pitäen yrityksen tietoja salattuina ja suojattuina.

Tuloksena on erilainen turvallisuusmalli etätyölle, jossa yritykset voivat pakottaa suojaa työn itsensä ympärillä ilman, että niiden on annettava yrityslaitteita tai pakotettava käyttäjiä kärsimään viiveestä ja viiveestä, jotka johtuvat työpöydän isännöimisestä pilvessä.

Turvallisuusarkkitehtuurin kannalta tämä siirtää mallia koko päätepisteen hallinnasta työympäristön suojaamiseen, missä se sijaitsee. Blue Border varmistaa, että arkaluontoiset tiedot eivät poistu suojatusta, paikallisesta ympäristöstä, ja se pakottaa käytäntöjä kyseisen rajan sisällä. Se estää tietojen vuotamisen henkilökohtaiselle puolelle laitetta. Käyttäjät voivat nauttia alkuperäisestä laskentakapasiteetista ja sovelluksista, ja he voivat käyttää henkilökohtaista laitetta mistä tahansa maailmasta, sen sijaan, että heidän on käytettävä vaadittua yrityslaitetta.

Monet organisaatiot kamppailevat työntekijöiden yksityisyyden ja yrityksen valvonnan välisen tasapainon kanssa, kun työntekijät käyttävät henkilökohtaisia laitteita. Miten tietoturvatimi voi suojella arkaluontoisia tietoja luomatta vaikutelmaa valvontasta?

Avain on suojella työtä, ei henkilökohtaista toimintaa. Työntekijät ovat ymmärrettävästi epämukavia, kun tietoturva-toimenpiteet voivat ulottua heidän yksityisiin tiedostoihinsa, viesteihinsä, selainhistoriaansa tai henkilökohtaisiin sovelluksiinsa. Henkilökohtaisella laitteella luottamus on tärkeää. Jos yritys ei voi selkeästi selittää, missä sen näkyvyys alkaa ja loppuu, työntekijät olettavat pahinta.

Vahvempi malli on sellainen, joka luo erillisen työympäristön liiketoiminnalle ja soveltaa tietoturvaohjausjärjestelmiä ainoastaan kyseisessä rajassa. Tämä antaa organisaatiolle mahdollisuuden suojella yrityksen tietoja samalla, kun se antaa työntekijöille luottamuksen, että heidän henkilökohtainen toimintansa ei ole valvottua tai hallittua. Yksityisyys ja turvallisuus eivät tarvitse kilpailla, jos arkkitehtuuri on suunniteltu erottamaan ne puhtaasti.

Etätyö ja urakkatyövoimat ovat tehneet BYOD-ympäristöistä melkein välttämättömiä. Mitkä ovat suurimmat turvallisuusriskit, jotka liittyvät hallitsemattomiin laitteisiin tänään?

Suurin riski on, että hallitsemattomat laitteet poistavat rajan henkilökohtaisen ja liiketoiminnan välillä. Samalla koneella käyttäjä voi olla avannut työsovelluksia yhdessä henkilökohtaisen sähköpostin, kuluttajatekolytyökalujen, viestisovellusten, tiedostojen jakamispalvelujen ja epäluotettavien selainlaajennusten kanssa. Ilman turvallista erottelukerrosta on helppo, että arkaluontoiset tiedot voidaan kopioida, välimuistittaa, ladata, ottaa ruudunkaappauksia tai altistaa kanavien kautta, joita yritys ei valvo.

Teolyagentit ja automaattiset työnkulut ovat alkaneet vuorovaikuttaa suoraan yrityssovellusten ja -tietojen kanssa. Mitä uusia turvallisuushaasteita nämä autonomiset järjestelmät tuovat mukanaan?

Autonomiset järjestelmät tuovat uuden riskiluokan, koska ne eivät ainoastaan luo sisältöä, vaan ne voivat myös toimia. Tekolyagentit, jotka on kytketty yritysjärjestelmiin, voivat noutaa tai siirtää tietoja, päivittää tietueita, laukaista työnkulkuja tai viestiä ulospäin. Tämä laajentaa virheen, määräyksen tai tunnistetun identiteetin vaikutusalueen merkittävästi siitä, mitä näemme passiivisilla tekolyavusteisilla apuvälineillä.

Se myös luo uusia kysymyksiä pääsystä, luottamuksesta ja tilastoista. Mihin tietoihin agentti on sallittu pääsemään? Miten se toimii? Miten tämä toiminta kirjataan, rajoitetaan ja tarkastellaan? IT- ja tietoturvatimi on käsiteltävä tekolyagenteja vähemmän ohjelmistotoiminaisuuksina ja enemmän etuoikeutettuina digitaalisina toimijoina. Se tarkoittaa, että sovelletaan periaatteita, kuten vähimmäistoimivaltaa, segmentointia, istunnon eristystä ja vahvaa tilastointia alusta alkaen.

Kun organisaatiot integroivat generatiivisen tekolyän tuottavuustyökaluihin, asiakastukipalveluihin ja sisäisiin työnkulkuihin, mitkä arkaluontoiset tietojen altistumiset huolestuttaa sinua eniten?

Tekolyän käyttäminen työpaikalla on sekoittanut rajan henkilökohtaisen ja yrityksen tietojen välillä. Työntekijät usein käyttävät ulkopuolisia työkaluja työskennellessään yrityksen tietojen kanssa, mikä tekee helpoksi arkaluontoisten tietojen, kuten asiakastietojen, sisäisten asiakirjojen, lähdekoodin tai taloustietojen, päätyä ulkoisiin ympäristöihin. Kun yrityksen tiedot virtaavat henkilökohtaisiin konteksteihin tai hallitsemattomiin laitteisiin, yritykset menettävät näkyvyyden ja hallinnan siitä, minne tämä tieto menee, miten sitä säilytetään ja kuka lopulta pääsee siihen käsiksi. Kun tekoly muuttuu arkisen työnkulun osaksi, organisaatioiden on ratkaisu keinoja suojella yrityksen tietoja, kun työ tapahtuu henkilökohtaisilla laitteilla.

Miten näet päätepisteturvallisuuden kehittyvän, kun tekolyohjatut työnkulut tulevat yleisemmiksi hajaantuneissa ja etätyövoimissa?

Päätepisteturvallisuuden on oltava paljon sopeutuvampi, kontekstiaavain ja työympäristökeskeisempi. Menneisyydessä päätepisteturvallisuuden suunnittelu oletti hallitun laitteen, määritellyn toimiston reunan ja suhteellisen vakaan joukon liiketoimintasovelluksia. Tulevaisuus on hajaantunut, tekolyvoimainen ja yhä enemmän autonominen. Turvallisuuden on seurattava itse työtä, missä tahansa se tapahtuu, ilman oletusta koko laitteen hallinnasta tai tuottavuuden estämistä.

Voittava malli on sellainen, joka yhdistää vahvan erottelun laitteen ja arkaluontoisten tietojen välillä, kontekstiaavaimen pääsyoikeuksien hallinnan ja arkkitehtuurin, joka säilyttää selkeän rajan työn ja henkilökohtaisen toiminnan välillä. Organisaatioiden on oltava ympäristössä, jossa työntekijät, urakoitsijat ja tekolyvoimat voivat toimia tuottavasti, mutta niin, että tietojen suojaus on suunniteltu turvalliseksi alusta alkaen. Onnistuneet yritykset eivät ole niitä, jotka yrittävät hidastaa tekolysohjelmien omaksumista; ne ovat niitä, jotka tekevät turvallisen omaksumisen mahdolliseksi laajassa mittakaavassa.

Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää, kannattaa vierailla Venn:ssa.