Tarun Thakur, Co-Fondatore e Amministratore Delegato di Veza – Serie di Interviste

Tarun Thakur, Co-Fondatore e Amministratore Delegato di Veza, è un ex dirigente di Data Domain, Veritas e IBM, con decenni di esperienza nella costruzione di aziende di infrastrutture aziendali. Ha co-fondato Veza per affrontare la crescente crisi della dispersione delle identità, con l’obiettivo di fornire chiarezza e controllo in architetture ibride e cloud-native complesse.

Veza è una piattaforma di sicurezza delle identità progettata per ambienti multi-cloud moderni, che consente alle organizzazioni di gestire e applicare i diritti di accesso alle applicazioni, alle piattaforme cloud e ai sistemi di dati con visibilità e precisione senza precedenti. Supportata da oltre 125 milioni di dollari di finanziamenti, tra cui 110 milioni di dollari di finanziamento di serie C guidato da Accel con la partecipazione di Sequoia Capital, GV e Norwest Venture Partners, Veza serve grandi aziende come Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ) e S&P Global per prevenire violazioni, mitigare i rischi interni e garantire la conformità.

Ha co-fondato con successo diverse aziende di infrastrutture aziendali nel corso degli anni. Cosa l’ha ispirato a lanciare Veza e come le sue esperienze passate in Datos IO, Data Domain e IBM Research hanno plasmato la sua visione per la sicurezza delle identità?

Ogni azienda che ho co-fondato ha affrontato un punto cieco fondamentale nelle infrastrutture aziendali: la protezione dei dati, la resilienza, la scalabilità. Ma l’identità era sempre il collegamento mancante. In Datos IO, abbiamo aiutato a proteggere i dati critici attraverso le applicazioni cloud-native, ma ci siamo sempre imbattuti in un problema più profondo: non sapevamo chi avesse accesso a quali dati, o perché. Questo è un fallimento sistemico, non di archiviazione o calcolo, ma di governance degli accessi.

Ho fondato Veza perché ho visto un futuro in cui l’identità sarebbe stata la principale superficie di attacco. E stiamo vivendo in quel futuro ora. L’industria ha trascorso 20 anni a fingere che l’IAM fosse un problema di casella di controllo. Non lo è. È un piano di controllo continuo. È dove la sicurezza, la conformità e la produttività collidono tutte. La nostra missione è rendere l’accesso non solo visibile, ma azionabile.

Basta guardare l’acquisizione di CyberArk da parte di Palo Alto. È il segnale più chiaro dell’industria che l’identità non è una funzione di back-office, ma è ora fondamentale per la strategia di sicurezza aziendale. Ma anche con questo accordo, il mercato manca ancora di ciò che le aziende moderne hanno bisogno più di tutto: visibilità in tempo reale su ciò che le identità possono fare, su ogni applicazione, sistema e set di dati. Questo è il divario che Veza colma.

Stiamo entrando in una nuova era in cui gli agenti AI non sono solo strumenti, ma attori che accedono autonomamente ai sistemi, ai dati e alle applicazioni. Come questo cambiamento sta sfidando i paradigmi tradizionali di gestione delle identità e degli accessi (IAM)?

L’IAM è stato progettato per gli esseri umani. Gli agenti AI autonomi rompono completamente questo modello. Queste sono entità autonome che prendono decisioni, generano output, concatenano flussi di lavoro, attivano l’accesso downstream a velocità di macchina. Eppure, la maggior parte degli strumenti IAM chiede ancora: “A quale gruppo appartiene questa identità?” Questo è ridicolo.

Il cambiamento di paradigma è questo: l’accesso non è più concesso manualmente, ma è emergente, dinamico e contestuale. Non puoi gestirlo con ruoli statici e autorizzazioni obsolete. Hai bisogno di intelligenza di accesso in tempo reale. Hai bisogno di sistemi che capiscano cosa può fare un agente AI su ogni sistema, non solo cosa gli è “consentito” fare in teoria.

Veza ha parlato apertamente del crescente rischio delle identità non umane, come gli agenti AI, i conti di servizio e i bot. Come si differenzia tra l’automazione legittima e il sovra-conferimento di autorizzazioni in ambienti dinamici come DevOps o finanza?

Questa è la domanda da 10 miliardi di dollari. La maggior parte delle organizzazioni non può nemmeno inventariare le identità non umane, per non parlare di governarle. Veza capovolge il modello: non inizia con l’identità, ma con l’azione. Chi o cosa può leggere questo bucket S3? Chi può eliminare righe nel database di produzione?

In DevOps o finanza, l’automazione è essenziale. Ma lo è anche la limitazione. Hai bisogno di visibilità fine-grana su cosa possono fare quelle identità proprio adesso, non su cosa diceva un biglietto IAM sei mesi fa. E devi essere in grado di interrompere l’accesso istantaneamente quando diventa tossico. Questo è il superpotere di Veza.

Man mano che le aziende integrano l’AI nei flussi di lavoro critici, l’applicazione in tempo reale dell’accesso con il minimo privilegio diventa essenziale. Può spiegarci come Veza consente questo livello di granularità attraverso infrastrutture ibride e multi-cloud?

La granularità senza automazione è inutile. Veza si collega direttamente al piano di controllo, che sia AWS, Salesforce (CRM ), Snowflake o SAP, e costruisce un grafico di ogni autorizzazione, ogni ruolo, ogni azione disponibile per un’identità. Umana o macchina. On-prem o cloud. È un unico tessuto di accesso.

Quindi aggiungiamo un contesto aziendale: chi possiede l’app, quando è stata utilizzata l’ultima volta, fa parte di un processo critico. Ciò consente di creare politiche come: “Nessun agente GenAI può accedere a informazioni personali a meno che non sia esplicitamente approvato e registrato.” E se qualcosa viola quella regola, Veza può allertare, revocare o rimediare in tempo reale. È così che si applica il minimo privilegio su larga scala.

Ha descritto Veza come fornitrice di “intelligenza di accesso”. Cosa significa questo in termini pratici e come si differenzia dalle soluzioni di controllo di accesso tradizionali o dalle piattaforme di governance delle identità?

L’intelligenza di accesso significa sapere, in ogni momento, cosa ogni identità, umana o non umana, può fare, dove e perché. Gli strumenti tradizionali ti dicono cosa è stato concesso a un utente. Noi ti diciamo cosa possono fare effettivamente in questo momento e se è sicuro.

Gli strumenti IGA eseguono la governance su base trimestrale. Veza esegue la governance in modo continuo. Gli strumenti PAM si concentrano su un piccolo subset di account privilegiati. Noi copriamo ogni identità, ogni applicazione, ogni autorizzazione. E lo facciamo con il contesto per prendere decisioni intelligenti, non solo rumore di log.

Guardando al futuro dell’AI agente, come dovrebbero evolversi le architetture di sicurezza per stare al passo? Quali capacità le organizzazioni dovrebbero iniziare a investire oggi per evitare violazioni della conformità o violazioni interne domani?

I team di sicurezza devono smettere di pensare in termini di utenti e iniziare a pensare in termini di azioni. Gli agenti AI non si presentano e non compilano moduli di richiesta di accesso. Si attivano, agiscono e scompaiono.

Hai bisogno di architetture che siano consapevoli dell’accesso, in tempo reale e adiacenti al piano di controllo. Ciò significa:

• Monitoraggio continuo delle autorizzazioni
• Baseline del comportamento AI
• Revoca dell’accesso autonomo
• Tracciabilità anti-manomissione in tutte le interazioni AI

Non è opzionale. Ogni agente AI è una potenziale minaccia interna e i framework di conformità stanno facendo progressi rapidi. Se non puoi spiegare chi ha fatto cosa e perché, fallirai gli audit, perderai la fiducia o peggio.

Veza conta grandi marchi come Autodesk, Blackstone e S&P Global tra i suoi clienti. Quali modelli comuni o errori vede anche nelle organizzazioni più mature quando si tratta di governance delle identità?

L’errore più comune? Supporre che qualcun altro se ne occupi. L’IAM è spesso orfano tra sicurezza, IT, conformità e ingegneria. Quella frammentazione uccide la responsabilità.

Un altro problema è la dispersione dei ruoli, soprattutto nelle organizzazioni mature. Nel tempo, nessuno rimuove l’accesso perché è rischioso. Quindi, invece del minimo privilegio, ottieni l’esposizione massima.

E infine, la maggior parte delle organizzazioni pensa che le verifiche di accesso siano un controllo. Non lo sono. Sono un cerotto. Il vero controllo è prevenire l’accesso tossico fin dall’inizio. Veza aiuta i team a passare da detective a preventivo.

L’azienda ha raccolto oltre 125 milioni di dollari con il sostegno di Accel, Sequoia e GV. Cosa dice questo livello di sostegno degli investitori sull’urgenza di risolvere l’identità nell’era dell’AI e come intende utilizzare questo slancio per ampliare l’impatto di Veza?

Dice che stiamo risolvendo un problema generazionale e lo stiamo facendo nel momento giusto. L’identità è ora la porta d’ingresso, il firewall e il punto debole più grande tutte insieme. E l’AI ha appena spalancato quella porta.

I nostri investitori capiscono che Veza non è solo un altro strumento IAM. Stiamo costruendo il piano di controllo per l’accesso nell’era dell’AI. Stiamo utilizzando questo slancio per accelerare l’espansione della piattaforma, approfondire le integrazioni dell’ecosistema e ampliare a livello globale, soprattutto in settori regolamentati come servizi finanziari, sanità e governo.

Detiene 18 brevetti in sicurezza dei dati, archiviazione e gestione. Ci sono aree di innovazione all’interno di Veza che ritiene stabiliranno nuovi standard per come l’industria si approccia alla governance degli accessi nel prossimo decennio?

Sì, due in particolare.

Innanzitutto, il nostro Access Graph: è un modello universale che mappa le identità alle autorizzazioni alle azioni attraverso ogni sistema, in tempo reale. Questo è fondamentale per il minimo privilegio, la governance dell’AI e la rilevazione delle minacce interne.

In secondo luogo, la rimozione autonoma. Stiamo investendo molto in ambienti di accesso auto-risananti, dove le violazioni vengono rilevate, contestualizzate e corrette senza intervento umano. È così che si governa l’AI con l’AI.

Nel prossimo decennio, la governance degli accessi passerà da reattiva ad autonoma. Veza sarà il motore che guiderà questo cambiamento.

Infine, ha detto “il talento non ha confini”. Qual consiglio darebbe ai fondatori tecnici o agli ingegneri che stanno costruendo aziende di sicurezza o infrastrutture AI di prossima generazione oggi?

Costruite per i casi limite, non per il percorso felice. Il futuro è caotico: multi-cloud, multi-agente, multi-polare. La vostra architettura deve presupporre il caos.

In secondo luogo, non avere paura di sfidare le vacche sacre. L’industria della sicurezza è piena di assunzioni legacy: “l’accesso just-in-time è sufficiente”, “gli esseri umani sono il problema”, “l’audit significa Excel”. Rompete questi modelli.

Infine, assumete persone ossessionate dai principi fondamentali. Gli strumenti cambiano. I paradigmi si spostano. Ma la chiarezza del pensiero e della missione vince ogni volta.

E sì, il talento non ha confini. Costruite a livello globale, costruite in modo diversificato e costruite per l’impatto.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Veza.