David Matalon, CEO en oprichter van Venn – Interviewreeks

David Matalon, CEO en oprichter van Venn, is een serieondernemer met een lange staat van dienst in het opbouwen van beveiligde ondernemingstechnologieplatforms, waarbij hij eerder OS33 leidde, een vroegere leider in beveiligde werkruimten voor financiële bedrijven, en External IT, een pionier in gehoste IT-diensten. Met Venn richt hij zich op het herdefiniëren van de beveiliging van remote work door organisaties in staat te stellen om bring-your-own-device (BYOD)-modellen te adopteren zonder in te boeten aan compliance of controle, waarbij hij zijn diepe ervaring in cloud-infrastructuur, eindpuntbeveiliging en gereguleerde industrieën gebruikt om de groeiende uitdagingen van gedistribueerde werkkrachten aan te pakken.

Venn is een cybersecurity- en remote work-platform dat is ontworpen om bedrijfsgegevens te beveiligen op persoonlijke en onbeheerde apparaten via zijn eigen Blue Border™-technologie, die een beveiligde, versleutelde enclave op een gebruikerscomputer creëert waar werktoepassingen en -gegevens zijn geïsoleerd van persoonlijke activiteit. In tegenstelling tot traditionele virtual desktop-infrastructuur, laat Venn toepassingen lokaal draaien met native prestaties terwijl het strikte gegevensbescherming en -complianceregels afdwingt, waardoor organisaties IT-overhead kunnen verlagen, remote workers snel kunnen inzetten en privacy kunnen behouden door corporate en persoonlijke omgevingen op hetzelfde apparaat te scheiden.

U heeft meer dan twee decennia technologie gebouwd voor beveiligde remote work, van het lanceren van Offyx in de vroege dagen van application service providers tot het oprichten van OS33 en nu Venn. Wat waren de lessen uit die eerdere bedrijven die u ertoe brachten Venn te bouwen, en hoe hebben die ervaringen het idee achter Blue Border™ en uw visie voor het beveiligen van moderne Bring Your Own Device (BYOD)-werkkrachten gevormd?

In de afgelopen twee decennia heb ik de kans gehad om bedrijven te bouwen in verschillende fasen van de evolutie van remote work. Bij OS33 hebben we jarenlang beveiligde remote werkomgevingen geleverd via gehoste infrastructuur die technologie gebruikt die vergelijkbaar is met virtual desktop-infrastructuur (VDI). Hoewel het beveiligingsmodel werkte, kregen we steeds hetzelfde feedback van klanten: de ervaring van het gebruik van op afstand gehoste toepassingen was vaak langzaam, complex om te onderhouden en frustrerend voor gebruikers.

Dat feedback was een keerpunt. Remote hosting introduceerde onvermijdelijke latentie en vereiste significante infrastructuur, waardoor operationele complexiteit voor IT-teams ontstond. We begonnen een eenvoudige vraag te stellen: wat als je hosting uit de vergelijking kon verwijderen? In plaats van werk op afstand te hosten en naar de gebruiker te streamen, kon je werk lokaal op het apparaat van de gebruiker beveiligen terwijl corporate gegevens beschermd bleven?

Die denkwijze leidde uiteindelijk tot Venn en het concept achter Blue Border. In plaats van werk door remote hosting en virtualisatie te dwingen, creëerden we een nieuw model dat corporate toepassingen lokaal op een gebruikerslaptop laat draaien terwijl bedrijfsgegevens versleuteld en beschermd blijven. Zelfs op een persoonlijke laptop blijft werk geïsoleerd en beschermd tegen persoonlijke activiteit.

Kunstmatige intelligentie-tools verspreiden zich sneller over ondernemingen dan beleid kan bijhouden. Vanuit uw perspectief, waarom heeft governance moeite om bij te houden met AI-adoptie binnen organisaties?

Governance heeft moeite om bij te houden met AI-adoptie omdat de technologie bijna overnight een alledaags instrument werd. In de afgelopen jaren sinds ChatGPT explodeerde, hebben werknemers AI in hun leven en workflows geïntegreerd. Ze wachten niet op formele IT-goedkeuringscycli; ze gebruiken AI al om sneller te schrijven, informatie te analyseren, vergaderingen samen te vatten of code in seconden te genereren. In de meeste organisaties gebeuren beleidsvorming, juridische controle, beveiligingsvalidatie en IT-implementatie op een veel langzamere tijdschaal dan gebruikersgedrag. Dat is de kloof waar AI-governance achterblijft.

Het diepere probleem is dat veel organisaties proberen om gisterens controlemodel toe te passen op vandaags AI-reality. Traditionele governance was gebouwd rond het goedkeuren of blokkeren van een bekende set toepassingen, maar AI is nu ingebed in browsers, SaaS-platforms en zelfs in besturingssystemen. Governance moet evolueren naar het beschermen van gegevens waar ze ook verblijven, het beveiligen van de werkomgeving en het definiëren van de voorwaarden waaronder gevoelige informatie veilig kan worden gebruikt.

Veel bedrijven proberen het probleem op te lossen door generatieve AI-tools te beperken of te verbieden. Waarom denkt u dat deze aanpak in de praktijk faalt, en welke onbedoelde beveiligingsrisico’s kan het creëren?

Verboden werken niet omdat ze de realiteit van hoe mensen werken negeren. Werknemers zullen altijd een manier vinden om AI-tools te gebruiken, ongeacht officiële goedkeuring. Dat creëert schaduw-AI, of ongeautoriseerd gebruik van tools, persoonlijke accounts, copy-paste-workflows en browser-gebaseerde interacties, die buiten toezicht van de onderneming kunnen plaatsvinden. Het bedrijf verliest dan zicht op gevoelige gegevens, waardoor deze risico lopen.

In veel gevallen kunnen beperkende beleidsregels het risico zelfs verhogen in plaats van verlagen. Wanneer werknemers deze tools niet veilig kunnen gebruiken, zoeken ze vaak naar werk-arounds. Gevoelige bedrijfsgegevens kunnen dan in tools terechtkomen die IT- of beveiligingsteams niet controleren of bewaken. Een betere aanpak is niet verbod, maar het mogelijk maken van veilig gebruik via isolatie, gegevenscontrole en duidelijke richtlijnen die het bedrijf in staat stellen om vooruit te gaan zonder kritieke informatie bloot te stellen.

AI-mogelijkheden zijn steeds meer ingebed in alledaagse toepassingen in plaats van als zelfstandige tools te bestaan. Hoe verandert deze verschuiving de manier waarop beveiligingsteams moeten denken over het monitoren en controleren van gegevensblootstelling?

Deze verschuiving is significant omdat het de oude mentale modus van “risicovolle app versus goedgekeurde app” doorbreekt. Als AI is ingebed in e-mail, CRM, conferencing, documentbewerking en zoekfuncties, dan is gegevensblootstelling niet langer verbonden met het openen van een apart AI-tool. Het is verbonden met welke gegevens toegankelijk zijn binnen de toepassing, welke context de AI kan zien en of die interactie plaatsvindt binnen een beveiligde werkruimte.

Als gevolg daarvan moeten beveiligingsteams zich richten op het beschermen van de gegevens in plaats van volledige apparaatblokkades. De focus moet liggen op het isoleren van werk sessies, het controleren van copy/paste en downloads waar nodig, het voorkomen van lekken over persoonlijke en zakelijke contexten en het waarborgen dat gevoelige informatie binnen een beveiligde omgeving blijft.

Venn’s Blue Border™-technologie isoleert werktoepassingen en -gegevens lokaal op een gebruikerspersoonlijk apparaat in plaats van te vertrouwen op traditionele virtual desktop-infrastructuur. Hoe verandert deze architectuur fundamenteel het eindpuntbeveiligingsmodel voor remote work?

Blue Border verandert fundamenteel het eindpuntbeveiligingsmodel door verder te gaan dan het idee dat beveiliging volledige apparaatcontrole of virtualisatie vereist. Traditionele VDI beveiligt werk door het op afstand te hosten en naar de gebruiker te streamen. Blue Border beveiligt werk lokaal op het apparaat van de gebruiker door een beveiligde enclave te creëren waar toepassingen lokaal draaien en bedrijfsgegevens beschermd blijven.

Het resultaat is een ander beveiligingsmodel voor remote work, waar bedrijven werk kunnen beveiligen zonder bedrijfsapparaten uit te geven of gebruikers te dwingen om met vertraging en latentie om te gaan die voortkomen uit het hosten van een desktop in de cloud.

Vanuit een beveiligingsarchitectuurperspectief verplaatst dit model zich van het controleren van het hele eindpunt of het centraliseren van beveiligingsprotocollen naar het beschermen van de werkruimte zelf, waar het verblijft. Blue Border waarborgt dat gevoelige gegevens nooit de beveiligde, lokale omgeving verlaten en voorkomt lekken naar de persoonlijke kant van het apparaat. Als gevolg daarvan kunnen gebruikers genieten van native compute- en toepassingsprestaties en kunnen ze een persoonlijk apparaat van overal ter wereld gebruiken, in plaats van een vereist bedrijfsapparaat.

Veel organisaties worstelen met het vinden van een balans tussen de privacy van werknemers en corporate toezicht wanneer werknemers persoonlijke apparaten gebruiken. Hoe kunnen beveiligingsteams gevoelige gegevens beschermen zonder de perceptie van surveillance te creëren?

De sleutel is om het werk te beschermen, niet de persoonlijke activiteit. Werknemers zijn terecht ongemakkelijk wanneer beveiligingsmaatregelen hun privébestanden, -berichten, -browsergeschiedenis of -persoonlijke toepassingen kunnen omvatten. Op een BYOD-apparaat is vertrouwen essentieel. Als het bedrijf niet duidelijk kan uitleggen waar zijn zichtbaarheid begint en eindigt, zullen werknemers het ergste vermoeden.

Een sterkere modus is een die een duidelijke werkruimte voor bedrijfsactiviteit creëert en beveiligingscontroles alleen binnen die grens toepast. Dit geeft de onderneming de mogelijkheid om bedrijfsgegevens te beschermen terwijl werknemers vertrouwen hebben dat hun persoonlijke activiteit niet wordt gevolgd of beheerd. Privacy en beveiliging hoeven niet te concurreren als de architectuur is ontworpen om ze schoon te scheiden.

Remote work en contractor-gebaseerde teams hebben BYOD-omgevingen bijna onvermijdelijk gemaakt. Wat zijn de grootste beveiligingsrisico’s die verbonden zijn aan onbeheerde apparaten vandaag?

Het grootste risico is dat onbeheerde apparaten de grens tussen persoonlijke en bedrijfsactiviteiten uitwissen. Op hetzelfde apparaat kan een gebruiker werktoepassingen open hebben naast persoonlijke e-mail, consumenten-AI-tools, messaging-apps, bestandsdelingsservices en onbetrouwbare browserextensies. Zonder een beveiligde scheidingslaag kan het heel gemakkelijk zijn voor gevoelige gegevens om te worden gekopieerd, in cache opgeslagen, gedownload, vastgelegd of via onbeheerde kanalen blootgesteld te worden. Voor organisaties die onderworpen zijn aan regelgeving rond gegevensbeveiliging, is dit een enorm risico.

Kunstmatige intelligentie-agenten en geautomatiseerde workflows beginnen nu interactief te communiceren met ondernemingsapplicaties en -gegevens. Wat zijn de nieuwe beveiligingsuitdagingen die deze autonome systemen introduceren?

Autonome systemen introduceren een andere klasse van risico’s omdat ze niet alleen inhoud genereren, maar ook kunnen handelen. AI-agenten die zijn verbonden met ondernemingssystemen, kunnen gegevens ophalen of verplaatsen, records bijwerken, workflows activeren of extern communiceren. Dat vergroot het risico van een fout, misconfiguratie of gecompromitteerde identiteit aanzienlijk buiten wat we zien bij passieve AI-assistenten.

Het creëert ook nieuwe vragen over toegang, vertrouwen en verantwoordelijkheid. Welke gegevens mag de agent toegang hebben? Onder welke voorwaarden kan het handelen? Hoe wordt die activiteit gelogd, beperkt en beoordeeld? IT- en beveiligingsteams zullen AI-agenten moeten behandelen als bevoorrechte digitale actoren. Dat betekent dat ze principes zoals minste privilege, segmentatie, sessie-isolatie en sterke auditability vanaf het begin moeten toepassen.

Terwijl organisaties generatieve kunstmatige intelligentie integreren in productiviteitstools, klantondersteuningssystemen en interne workflows, welke soorten gevoelige gegevensblootstellingen maken u het meest bezorgd?

Het gebruik van generatieve AI op de werkplek heeft de grens tussen persoonlijke en bedrijfsgegevens vervaagd. Werknemers hebben vaak toegang tot externe tools terwijl ze werken met bedrijfsinformatie, waardoor het heel gemakkelijk is voor gevoelige gegevens zoals klantrecords, interne documenten, broncode of financiële informatie om in externe omgevingen terecht te komen. Wanneer bedrijfsgegevens door persoonlijke contexten of onbeheerde apparaten stromen, verliezen bedrijven zicht en controle over waar die informatie naartoe gaat, hoe het wordt opgeslagen en wie het uiteindelijk kan benaderen. Naarmate AI meer wordt geïntegreerd in alledaagse workflows, moeten organisaties deze vervaagde grens aanpakken door ervoor te zorgen dat bedrijfsgegevens beschermd blijven, zelfs wanneer werk wordt gedaan op persoonlijke apparaten.

Kijkend naar de toekomst, hoe ziet u de evolutie van eindpuntbeveiliging als AI-gedreven workflows meer gemeengoed worden over gedistribueerde en remote werkkrachten?

Eindpuntbeveiliging zal veel adaptiever, contextueel bewust en werkruimte-georiënteerd moeten worden. In het verleden ging eindpuntbeveiligingsontwerp uit van een beheerd apparaat, een gedefinieerde kantoorperimeter en een relatief stabiele set bedrijfsapplicaties. De toekomst is gedistribueerd, AI-gepowered en steeds meer autonoom. Beveiliging moet het werk zelf volgen, waar het ook gebeurt, zonder te veronderstellen dat het volledige controle over het apparaat heeft of productiviteit blokkeert.

Het winnende model zal een zijn dat sterke scheiding tussen het apparaat en gevoelige gegevens combineert, contextueel bewuste toegangscontrole en een architectuur die een duidelijke grens tussen werk en persoonlijke activiteit behoudt. Organisaties hebben omgevingen nodig waarin werknemers, contractors en AI-geactiveerde workflows productief kunnen werken, maar binnen controles die gegevens beschermen door ontwerp. De bedrijven die slagen, zullen niet die zijn die proberen AI-adoptie te vertragen; ze zullen die zijn die veilige adoptie mogelijk maken op grote schaal.

Bedankt voor het geweldige interview, lezers die meer willen leren, kunnen bezoeken Venn.