Tarun Thakur, Co-Founder dan CEO Veza – Seri Wawancara

Tarun Thakur, Co-Founder dan CEO Veza, adalah mantan eksekutif di Data Domain, Veritas, dan IBM, membawa puluhan tahun pengalaman dalam membangun perusahaan infrastruktur enterprise. Ia mendirikan Veza untuk menangani krisis yang semakin meningkat tentang identitas yang tersebar, dengan fokus pada memberikan kejelasan dan kontrol dalam arsitektur hybrid dan cloud-native yang kompleks.

Veza adalah platform keamanan identitas yang dirancang khusus untuk lingkungan multi-cloud modern, memungkinkan organisasi untuk mengelola dan menegakkan hak akses di seluruh aplikasi, platform cloud, dan sistem data dengan visibilitas dan presisi yang tidak tertandingi. Didukung oleh lebih dari $125 juta dalam pendanaan – termasuk $110 juta Seri C yang dipimpin oleh Accel dengan partisipasi dari Sequoia Capital, GV, dan Norwest Venture Partners – Veza melayani perusahaan terkemuka seperti Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ), dan S&P Global untuk mencegah pelanggaran, mengurangi risiko insider, dan memastikan kepatuhan.

Anda telah sukses mendirikan beberapa perusahaan infrastruktur enterprise selama beberapa tahun. Apa yang menginspirasi Anda untuk meluncurkan Veza, dan bagaimana pengalaman Anda di Datos IO, Data Domain, dan IBM Research membentuk visi Anda untuk keamanan identitas?

Setiap perusahaan yang saya bangun telah menangani titik buta dasar dalam infrastruktur enterprise – perlindungan data, ketahanan, skala. Tapi identitas selalu menjadi link yang hilang. Di Datos IO, kami membantu melindungi data kritis di aplikasi cloud-native, tetapi kami terus-menerus menghadapi masalah yang lebih dalam: kami tidak tahu siapa yang memiliki akses ke data apa, atau mengapa. Itu adalah kegagalan sistemik – bukan penyimpanan atau komputasi – tetapi pengelolaan akses.

Saya mendirikan Veza karena saya melihat masa depan di mana identitas akan menjadi permukaan serangan utama. Dan kita hidup di masa depan itu sekarang. Industri telah menghabiskan 20 tahun berpura-pura bahwa IAM adalah masalah checkbox. Itu tidak. Ini adalah pesawat kontrol yang berkelanjutan. Ini adalah tempat di mana keamanan, kepatuhan, dan produktivitas semua bertabrakan. Misi kami adalah membuat akses tidak hanya terlihat, tetapi juga dapat diambil tindakan.

Lihat saja akuisisi Palo Alto atas CyberArk. Ini adalah sinyal terjelas industri bahwa identitas bukanlah fungsi back-office – itu sekarang inti dari strategi keamanan enterprise. Tapi bahkan dengan kesepakatan itu, pasar masih kehilangan apa yang dibutuhkan perusahaan modern paling banyak: visibilitas waktu nyata tentang apa yang dapat dilakukan identitas, di seluruh aplikasi, sistem, dan set data. Itu adalah celah yang diisi Veza.

Kita memasuki era baru di mana agen AI tidak hanya alat tetapi aktor – mengakses sistem, data, dan aplikasi secara otonom. Bagaimana pergeseran ini menantang paradigma tradisional identitas dan pengelolaan akses (IAM)?

IAM dirancang untuk manusia. Agensi AI memecahkan model itu sepenuhnya. Ini adalah entitas otonom yang membuat keputusan, menghasilkan output, menghubungkan alur kerja, memicu akses hilir – pada kecepatan mesin. Namun, sebagian besar alat IAM masih bertanya: “Apa grup identitas ini?” Itu lucu.

Pergeseran paradigma ini adalah: akses tidak lagi diberikan secara manual – itu muncul, dinamis, dan kontekstual. Anda tidak dapat mengelolanya dengan peran statis dan hak akses yang sudah ketinggalan zaman. Anda membutuhkan intelijen akses waktu nyata. Anda membutuhkan sistem yang memahami apa yang dapat dilakukan agen AI di seluruh sistem – bukan hanya apa yang diizinkan dalam teori.

Veza telah vokal tentang risiko yang meningkat dari identitas non-manusia – agen AI, akun layanan, bot. Bagaimana Anda membedakan antara otomatisasi yang sah dan pemberian akses yang berlebihan di lingkungan dinamis seperti DevOps atau keuangan?

Itu adalah pertanyaan senilai $10 miliar. Sebagian besar organisasi bahkan tidak dapat menginventarisasi identitas non-manusia mereka, apalagi mengelolanya. Veza membalik model: kami tidak memulai dengan identitas – kami memulai dengan tindakan. Siapa atau apa yang dapat membaca bucket S3 ini? Siapa yang dapat menghapus baris di database produksi ini?

Dalam DevOps atau keuangan, otomatisasi sangat penting. Tapi begitu juga kendali. Anda membutuhkan visibilitas yang sangat rinci tentang apa yang dapat dilakukan identitas tersebut sekarang, bukan apa yang dikatakan tiket IAM enam bulan yang lalu. Dan Anda membutuhkan kemampuan untuk menutupnya secara instan ketika akses tersebut menjadi beracun. Itu adalah kekuatan super Veza.

Bagaimana Veza memungkinkan tingkat granularitas ini di seluruh infrastruktur hybrid dan multi-cloud?

Granularitas tanpa otomatisasi tidak berguna. Veza terhubung langsung ke pesawat kontrol – apakah itu AWS, Salesforce (CRM ), Snowflake, atau SAP – dan membangun grafik dari setiap izin, setiap peran, setiap tindakan yang tersedia untuk identitas. Manusia atau mesin. On-prem atau cloud. Ini adalah satu kain akses yang terpadu.

Kemudian kami melapisinya dengan konteks bisnis – siapa yang memiliki aplikasi, kapan aplikasi itu terakhir digunakan, apakah itu bagian dari proses kritis. Itu memungkinkan Anda untuk membuat kebijakan seperti: “Tidak ada agen AI yang dapat mengakses PII kecuali jika itu secara eksplisit disetujui dan dicatat.” Dan jika sesuatu melanggar aturan itu, Veza dapat mengirimkan peringatan, mencabut, atau memperbaiki secara waktu nyata. Itu adalah bagaimana Anda menegakkan hak akses yang minimal pada skala.

Apa yang dimaksud dengan “intelijen akses” dalam Veza, dan bagaimana itu berbeda dari solusi kontrol akses tradisional atau platform pengelolaan identitas?

Intelijen akses berarti mengetahui, pada setiap saat, apa yang dapat dilakukan setiap identitas – manusia atau non-manusia – di mana, dan mengapa. Alat tradisional memberitahu Anda apa yang telah diberikan kepada pengguna. Kami memberitahu Anda apa yang dapat mereka lakukan sekarang, dan apakah itu aman.

Alat IGA melakukan pengelolaan pada basis kuartalan. Veza melakukan pengelolaan secara terus-menerus. Alat PAM fokus pada subset kecil akun yang memiliki hak akses istimewa. Kami mencakup setiap identitas, setiap aplikasi, setiap hak akses. Dan kami melakukannya dengan konteks untuk membuat keputusan yang cerdas – bukan hanya log noise.

Bagaimana arsitektur keamanan harus berkembang untuk mengikuti pergeseran ini?

Tim keamanan harus berhenti berpikir dalam hal pengguna dan mulai berpikir dalam hal tindakan. Agen AI tidak masuk dan keluar. Mereka tidak mengisi formulir permintaan akses. Mereka memulai, bertindak, dan menghilang.

Anda membutuhkan arsitektur yang sadar akses, waktu nyata, dan berdekatan dengan pesawat kontrol. Itu berarti:

• Pemantauan izin yang berkelanjutan
• Pembuatan baseline perilaku AI
• Pencabutan akses otonom
• Auditabilitas tahan manipulasi di seluruh interaksi AI

Ini bukanlah pilihan. Setiap agen AI adalah ancaman insider potensial – dan kerangka kerja kepatuhan sedang mengejar dengan cepat. Jika Anda tidak dapat menjelaskan siapa yang melakukan apa dan mengapa, Anda akan gagal audit, kehilangan kepercayaan, atau lebih buruk.

Veza memiliki merek-merek besar seperti Autodesk, Blackstone, dan S&P Global di antara pelanggannya. Apa pola umum atau kesalahan yang Anda lihat bahkan organisasi yang paling matang membuat ketika datang ke pengelolaan identitas?

Kesalahan paling umum? Menganggap seseorang lain memiliki tanggung jawab itu. IAM sering menjadi yatim piatu antara keamanan, IT, kepatuhan, dan teknik. Fragmentasi itu membunuh akuntabilitas.

Masalah lainnya adalah peran yang tersebar – terutama di organisasi yang matang. Selama waktu, tidak ada yang menghapus akses karena itu berisiko. Jadi, alih-alih hak akses yang minimal, Anda mendapatkan eksposur maksimal.

Dan akhirnya, sebagian besar organisasi berpikir bahwa tinjauan akses adalah kontrol. Mereka tidak. Mereka adalah perban. Kontrol yang sebenarnya adalah mencegah akses beracun dari awal. Veza membantu tim beralih dari detektif ke pencegahan.

Perusahaan ini telah mengumpulkan lebih dari $125 juta dengan dukungan dari Accel, Sequoia, dan GV. Apa yang dikatakan dukungan investor ini tentang urgensi memecahkan identitas di era AI – dan bagaimana Anda berencana untuk menggunakan momentum ini untuk meningkatkan dampak Veza?

Itu mengatakan bahwa kita memecahkan masalah generasi – dan kita melakukannya pada waktu yang tepat. Identitas sekarang adalah pintu depan, tembok api, dan titik lemah semua sekaligus. Dan AI baru saja membuka pintu itu lebar-lebar.

Investor kami memahami bahwa Veza bukan hanya alat IAM lain. Kami membangun pesawat kontrol untuk akses di era AI. Kami menggunakan momentum ini untuk mempercepat ekspansi platform, memperdalam integrasi ekosistem, dan meningkatkan skala global – terutama di sektor yang diatur seperti layanan keuangan, perawatan kesehatan, dan pemerintahan.

Anda memegang 18 paten dalam keamanan data, penyimpanan, dan manajemen. Apakah ada area inovasi dalam Veza yang Anda percaya akan menetapkan standar baru untuk bagaimana industri mendekati pengelolaan akses selama dekade mendatang?

Ya – dua hal khusus.

Pertama, Grafik Akses kami: itu adalah model universal yang memetakan identitas ke izin ke tindakan di seluruh sistem, secara waktu nyata. Itu adalah fondasi untuk hak akses yang minimal, pengelolaan AI, dan deteksi ancaman insider.

Kedua, perbaikan otonom. Kami berinvestasi besar dalam lingkungan akses yang dapat memperbaiki diri sendiri – di mana pelanggaran dideteksi, dikontekstualisasi, dan diperbaiki tanpa intervensi manusia. Itu adalah bagaimana Anda mengelola AI dengan AI.

Selama dekade mendatang, pengelolaan akses akan bergeser dari reaktif ke otonom. Veza akan menjadi mesin yang menggerakkan pergeseran itu.

Terakhir, Anda telah mengatakan “bakat tidak memiliki batas.” Apa saran yang Anda berikan kepada pendiri teknis atau insinyur yang membangun perusahaan infrastruktur keamanan atau AI generasi berikutnya hari ini?

Bangun untuk kasus tepi, bukan jalur bahagia. Masa depan adalah berantakan – multi-cloud, multi-agen, multi-polar. Arsitektur Anda harus mengasumsikan kekacauan.

Kedua, jangan takut untuk menantang sapi suci. Industri keamanan penuh dengan asumsi warisan – “akses waktu nyata sudah cukup,” “manusia adalah masalah,” “audit berarti Excel.” Hancurkan model-model itu.

Terakhir, cari orang-orang yang obsesif dengan prinsip-prinsip pertama. Alat-alat berubah. Paradigma bergeser. Tapi kejelasan pemikiran dan misi selalu menang. Dan ya – bakat tidak memiliki batas. Bangun global, bangun beragam, dan bangun untuk dampak.

Dan ya – bakat tidak memiliki batas. Bangun global, bangun beragam, dan bangun untuk dampak.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Veza.