David Matalon, CEO og grunnlegger av Venn – Intervju-serie

David Matalon, CEO og grunnlegger av Venn, er en serial entrepreneur med lang erfaring i å bygge sikre bedriftsteknologiplattformer, og har tidligere ledet OS33 – en tidlig leder i sikre arbeidsområder for finansielle selskaper – og External IT, en pioner i vertede IT-tjenester. Med Venn fokuserer han på å gjendefinere sikkerheten for fjernarbeid ved å enable organisasjoner til å adoptere bring-your-own-device (BYOD)-modeller uten å ofre kompatibilitet eller kontroll, og utnytter sin dype erfaring i skyinfrastruktur, sikkerhet for endepunkter og regulerte industrier for å møte de voksende utfordringene med distribuerte arbeidsstyrker.

Venn er en sikkerhets- og fjernarbeidsplattform designet for å sikre bedriftsdata på personlige og ustyrede enheter gjennom sin proprietære Blue Border™-teknologi, som skaper en sikker, kryptert enclave på en brukers datamaskin hvor arbeidsapplikasjoner og data er isolert fra personlig aktivitet. I motsetning til tradisjonell virtuell skrivebordsinfrastruktur, tillater Venn at applikasjoner kjører lokalt med naturlig ytelse samtidig som det pålegger strenge datavernpolitikker og retningslinjer for overholdelse, og hjelper organisasjoner med å redusere IT-overskudd, påmelding av fjernarbeidere raskt, og opprettholde personvern ved å skille bedrifts- og personlige miljøer på samme enhet.

Du har brukt mer enn to tiår på å bygge teknologi for sikker fjernarbeid, fra lanseringen av Offyx i de tidlige dagene med applikasjonstjenester til å grunnlegge OS33 og nå Venn. Hva var lærdommene fra de tidligere selskapene som ledet deg til å bygge Venn, og hvordan har disse erfaringene formet ideen bak Blue Border™ og din visjon for å sikre moderne Bring Your Own Device (BYOD)-arbeidsstyrker?

Over de siste to tiårene har jeg hatt muligheten til å bygge selskaper i flere forskjellige faser i utviklingen av fjernarbeid. På OS33 tilbrakte vi årene med å levere sikre fjernarbeidsmiljøer gjennom vertet infrastruktur som brukte teknologi lignende virtuell skrivebordsinfrastruktur (VDI). Mens sikkerhetsmodellen fungerte, fikk vi stadig den samme tilbakemeldingen fra kunder: Erfaringen med å bruke fjernvertede applikasjoner var ofte langsom, kompleks å vedlikeholde og frustrerende for brukerne.

Den tilbakemeldingen var et vendepunkt. Fjernvertning introduserte uunngåelig forsinkelse og krevde betydelig infrastruktur, og skapte operasjonell kompleksitet for IT-teamene. Vi begynte å stille en enkel spørsmål: Hva hvis du kunne fjerne vertning helt fra ligningen? I stedet for å kjøre arbeid et annet sted og strømme det til brukeren, kunne du sikret kjøre arbeid lokalt på brukerens enhet mens du fortsatt beskytter bedriftsdata?

Den tenkningen ledet til slutt til Venn og konseptet bak Blue Border. I stedet for å tvinge arbeid gjennom fjernvertning og virtualisering, skapte vi en ny modell som lar bedriftsapplikasjoner kjøre lokalt på en brukers laptop mens bedriftsdata forblir kryptert og beskyttet. Selv på en personlig laptop forblir arbeid isolert og beskyttet fra personlig aktivitet.

Kunstig intelligens-verktøy sprer seg raskere over bedrifter enn politikken kan holde tritt. Fra din perspektiv, hvorfor har styring slått seg til å holde tritt med AI-tilpasning innen organisasjoner?

Styring har slått seg til å holde tritt med AI-tilpasning fordi teknologien ble en hverdagsverktøy nesten over natten. De siste årene siden ChatGPT eksploderte, har ansatte inkorporert AI i sine liv og arbeidsflyt. De venter ikke på formelle IT-godkjenningscykler; de bruker allerede AI for å skrive raskere, analysere informasjon, sammenfatte møter eller generere kode på sekunder. I de fleste organisasjoner skjer policyoppretting, juridisk gjennomgang, sikkerhetsvalidering og IT-utrulling på en mye langsommere tidslinje enn brukeratferd. Det er gapet hvor AI-styring faller bak.

Det dypere problemet er at mange organisasjoner prøver å bruke gårsdagens kontrollmodell til dagens AI-realtet. Tradisjonell styring var bygget rundt å godkjenne eller blokkere en forhåndsdefinert sett med applikasjoner, men AI er nå innbygget over nettlesere, SaaS-plattformer og selv i operativsystemer. Styring må utvikle seg beyond å kontrollere et forhåndsdefinert verktøysett og fokusere i stedet på å beskytte data uansett hvor det bor, sikre arbeidsmiljøet og definere betingelsene under hvilke sensitive informasjon kan brukes trygt.

Mange selskaper prøver å løse problemet ved å begrense eller forby generative AI-verktøy. Hvorfor tror du denne tilnærmingen feiler i praksis, og hva uventede sikkerhetsrisiko kan den skape?

Forbud feiler fordi de ignorerer virkeligheten av hvordan folk arbeider. Ansatte vil finne måter å bruke AI-verktøy uansett offisiell godkjenning. Dette skaper skygge-AI, eller ugodkjent bruk av verktøy, personlige kontoer, kopier-og-lim-inn-arbeidsflyt og nettleserbasert interaksjon, som kan skje utenfor godkjent tilsyn. Selskapet mister da oversikt, og setter sine sensitive data på risiko.

I mange tilfeller kan restriktive politikker øke risikoen i stedet for å senke den. Når ansatte ikke kan bruke disse verktøyene trygt, finner de ofte omveier. Sensitive selskapsdata kan da flyte inn i verktøy som IT- eller sikkerhetsteamene ikke overvåker eller kontrollerer. En bedre tilnærming er ikke forbud for sin egen skyld, men å enable trygg bruk gjennom isolering, datakontroll og tydelige retningslinjer som lar bedriften gå fremover uten å eksponere kritisk informasjon.

AI-kapasiteter er stadig mer innbygget i hverdagsapplikasjoner i stedet for å eksistere som separate verktøy. Hvordan endrer denne skiftet måten sikkerhetsteamene burde tenke om overvåking og kontroll av dataeksponering?

Denne skiftet er betydelig fordi den bryter den gamle mentalmodellen om “risikabelt app versus godkjent app”. Hvis AI er innbygget i e-post, CRM, konferansesystemer, dokumentredigering og søk, da er dataeksponering ikke lenger knyttet til om en bruker åpner et separat AI-verktøy. Det er knyttet til hva data som er tilgjengelig innen applikasjonen, hva konteksten AI kan se, og om den interaksjonen skjer innen en sikker arbeidsplass.

Som følge må sikkerhetsteamene fokusere på å beskytte dataene i stedet for å låse hele enheten. Fokuset bør være på å isolere arbeidssesjoner, kontrollere kopier-og-lim-inn og nedlastinger der det er aktuelt, forhindre lekkasje over personlige og forretningskontekster, og sikre at sensitive informasjon forblir innen en beskyttet miljø.

Venns Blue Border™-teknologi isolerer arbeidsapplikasjoner og data lokalt på en brukers personlige enhet i stedet for å stole på tradisjonell virtuell skrivebordsinfrastruktur. Hvordan endrer denne arkitekturen grundig endpoint-sikkerhetsmodellen for fjernarbeid?

Blue Border endrer grundig endpoint-sikkerhetsmodellen ved å gå beyond ideen om at sikkerhet krever enten full enhetkontroll eller en virtualisert skrivebord. Tradisjonell VDI sikrer arbeid ved å vertet det fjernt og strømme det til brukeren. Blue Border sikrer arbeid lokalt på brukerens personlige enhet ved å skape en IT-kontrollert sikker enclave hvor applikasjoner kjører lokalt, og bedriftsdata forblir kryptert og beskyttet.

Resultatet er en annen sikkerhetsmodell for fjernarbeid, hvor selskaper kan pålegge beskyttelse rundt arbeidet selv uten å måtte utstyre enheter eller tvinge brukerne til å håndtere forsinkelsen og forsinkelsen som følger med å vertet et skrivebord i skyen.

Fra et sikkerhetsarkitekturperspektiv skifter modellen fra å kontrollere hele endpointen eller sentralisere sikkerhetsprotokoller, til å beskytte arbeidsplassen selv, hvor den bor. Blue Border sikrer at sensitive data aldri forlater den beskyttede, lokale miljøet og pålegger policy innenfor den grensen. Det forhindrer lekkasje til den personlige siden av enheten. Som følge kan brukerne nyte naturlig beregnings- og applikasjonsytelse, og de kan bruke en personlig enhet fra hvor som helst i verden, i stedet for en påkrevd selskapssenhet.

Mange organisasjoner sliter med å balansere ansattes personvern og selskapets tilsyn når arbeidere bruker personlige enheter. Hvordan kan sikkerhetsteamene beskytte sensitive data uten å skape en oppfatning av overvåking?

Nøkkelen er å beskytte arbeidet, ikke den personlige aktiviteten. Ansatte er forståelige urolige når sikkerhetsmessige tiltak kan utvides til deres private filer, meldinger, nettleserhistorikk eller personlige applikasjoner. På en BYOD-enhet betyr tillit mye. Hvis selskapet ikke kan forklare hvor deres oversikt begynner og slutter, vil ansatte anta det verste.

En sterkere modell er en som skaper en distinkt arbeidsplass for bedriftsaktivitet og pålegger sikkerhetskontroller bare innenfor den grensen. Dette gir organisasjonen muligheten til å beskytte bedriftsdata samtidig som ansatte får tillit til at deres personlige aktivitet ikke overvåkes eller kontrolleres. Personvern og sikkerhet trenger ikke å konkurrere hvis arkitekturen er designet for å skille dem rennende.

Fjernarbeid og kontraktbaserte team har gjort BYOD-miljøer nesten uunngåelige. Hva er de største sikkerhetsrisikoene forbundet med ustyrte enheter i dag?

Det største risikoen er at ustyrte enheter utvisker grensen mellom personlige og bedriftsaktiviteter. På samme maskin kan en bruker ha åpne arbeidsapplikasjoner sammen med personlig e-post, forbruker-AI-verktøy, meldingsapper, fil-delingservice og upålitelige nettleserutvidelser. Uten en sikker separasjonslag kan det bli veldig enkelt for sensitive data å bli kopiert, cachet, lastet ned, skjermet eller eksponert gjennom kanaler som selskapet ikke kontrollerer. For organisasjoner som er underlagt reguleringer rundt datasikkerhet, er dette en stor risiko.

Kunstig intelligens-agenter og automatiserte arbeidsflyt er i ferd med å samhandle direkte med bedriftsapplikasjoner og data. Hva nye sikkerhetsutfordringer introduserer disse autonome systemene?

Autonome systemer introduserer en annen klasse av risiko fordi de ikke bare genererer innhold, men også kan handle. AI-agenter koblet til bedriftssystemer kan hente eller flytte data, oppdatere poster, utløse arbeidsflyt eller kommunisere eksternt. Dette utvider sprengområdet for en feil, miskonfigurasjon eller kompromittert identitet betydelig beyond hva vi ser med passive AI-assistenter.

Det skaper også nye spørsmål om tilgang, tillit og ansvar. Hva data er agenten tillatt å aksessere? Under hva betingelser kan den handle? Hvordan blir den aktiviteten logget, begrenset og gjennomgått? IT- og sikkerhetsteamene må behandle AI-agenter mindre som programfunksjoner og mer som privilegerte digitale aktører. Det betyr å anvende prinsipper som minst privilegie, segmentering, sesjonisolering og sterk auditabilitet fra starten.

Ettersom organisasjoner integrerer generativ kunstig intelligens i produktivitetsverktøy, kundesupportsystemer og interne arbeidsflyt, hva slags sensitive dataeksponeringer bekymrer deg mest?

Bruken av generativ AI på arbeidsplassen har utvisket grensen mellom personlige og bedriftsdata. Ansatte aksesserer ofte eksterne verktøy mens de arbeider med bedriftsinformasjon, noe som gjør det veldig enkelt for sensitive data som kunderekorder, interne dokumenter, kildekode eller finansiell informasjon å slippe inn i eksterne miljøer. Når bedriftsdata flyter gjennom personlige kontekster eller ustyrte enheter, mister selskapene oversikt og kontroll over hvor den informasjonen går, hvordan den lagres og hvem som til slutt kan aksessere den. Ettersom AI blir innbygget i hverdagsarbeidsflyt, må organisasjoner håndtere denne utviskede grensen direkte ved å sikre at bedriftsdata forblir beskyttet selv når arbeid skjer på personlige enheter.

Ser fremover, hvordan ser du på endpoint-sikkerhetens utvikling når AI-drevne arbeidsflyt blir mer vanlige over distribuerte og fjernarbeidsstyrker?

Endpoint-sikkerheten må bli mye mer adaptiv, kontekst-bevisst og arbeidsplass-sentrert. I fortiden antok endpoint-sikkerhetsdesign en styrt enhet, en definert kontorperimeter og en relativt stabil sett med bedriftsapplikasjoner. Fremtiden er distribuert, AI-drevet og stadig mer autonom. Sikkerheten må følge arbeidet selv, uansett hvor det skjer, uten å anta full kontroll over enheten eller blokkere produktivitet.

Den vinnende modellen vil være en som kombinerer sterk separasjon mellom enheten og sensitive data, kontekst-bevisste tilgangskontroller og en arkitektur som bevare en tydelig grense mellom arbeid og personlig aktivitet. Organisasjoner trenger miljøer hvor ansatte, kontraktorer og AI-aktiverede arbeidsflyt kan operere produktivt, men innenfor kontroller som beskytter data ved design. Selskapene som lykkes, vil ikke være de som prøver å bremse AI-tilpasning, men de som gjør trygg tilpasning mulig i stor skala.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, bør besøke Venn.