Tarun Thakur, medgrunnlegger og CEO av Veza – Intervju-serie

Tarun Thakur, medgrunnlegger og CEO av Veza, er en tidligere eksekutiv i Data Domain, Veritas og IBM, med årtiers erfaring i å bygge bedriftsinfrastruktur-selskaper. Han grunnla Veza for å løse den økende krisen med identitetsspredning, med fokus på å gi klarhet og kontroll i komplekse hybrid- og cloud-native-arkitekturer.

Veza er en identitetssikkerhetsplattform som er spesialbygd for moderne, multi-cloud-miljøer, og som gjør det mulig for organisasjoner å håndtere og påtvinge tilgangsrettigheter på tvers av applikasjoner, cloud-plattformer og datasystemer med ubestridt synlighet og presisjon. Med over 125 millioner dollar i finansiering, inkludert en 110 millioner dollar Series C-ledelse av Accel med deltakelse fra Sequoia Capital, GV og Norwest Venture Partners, betjener Veza ledende bedrifter som Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ) og S&P Global for å forebygge brudd, minimere insider-risiko og sikre overholdelse.

Du har suksessfullt grunnlagt flere bedriftsinfrastruktur-selskaper gjennom årene. Hva inspirerte deg til å lansere Veza, og hvordan har dine tidligere erfaringer i Datos IO, Data Domain og IBM Research formet din visjon for identitet-først-sikkerhet?

Hvert selskap jeg har bygget har tatt for seg en grunnleggende blind flekk i bedriftsinfrastruktur – dataproteksjon, motstandskraft, skala. Men identitet var alltid den manglende lenken. Hos Datos IO hjalp vi til å beskytte kritisk data på tvers av cloud-native-applikasjoner, men vi sto konstant overfor et dypere problem: vi visste ikke hvem som hadde tilgang til hva data, eller hvorfor. Dette er et systemisk svik – ikke av lagring eller beregning – men av tilgangsstyring.

Jeg grunnla Veza fordi jeg så en fremtid hvor identitet ville være det primære angrepsflaten. Og vi lever i denne fremtiden nå. Bransjen har brukt 20 år på å late som om IAM var et avkryssingsproblem. Det er det ikke. Det er en kontinuerlig kontrollplane. Det er der sikkerhet, overholdelse og produktivitet alle kolliderer. Vår misjon er å gjøre tilgang ikke bare synlig, men også håndterbar.

Bare se på Palo Altos oppkjøp av CyberArk. Det er bransjens klareste signal hittil om at identitet ikke er en bakkontor-funksjon – det er nå kjerne til bedriftssikkerhetsstrategi. Men selv med denne avtalen, mangler markedet fortsatt hva moderne bedrifter trenger mest: sanntids-synlighet på hva identiteter kan gjøre, på tvers av hver applikasjon, system og datasamling. Det er gapet Veza fyller.

Vi går inn i en ny æra hvor AI-agenter ikke bare er verktøy, men også aktører – som tilgang til systemer, data og applikasjoner på eget initiativ. Hvordan utforderer denne endringen de tradisjonelle paradigmer for identitet og tilgangsstyring (IAM)?

IAM var designet for mennesker. Agentiske AI-bryter denne modellen fullstendig. Disse er autonome enheter som tar beslutninger, genererer utdata, kjeder arbeidsflyter, utløser nedstrøms-tilgang – på maskin-hastighet. Likevel spør de fleste IAM-verktøy fortsatt: “Hvilken gruppe er denne identiteten i?” Det er latterlig.

Paradigmeskiftet er dette: tilgang er ikke lenger manuelt tilgjengelig – det er fremkommet, dynamisk og kontekstuell. Du kan ikke håndtere det med statiske roller og stale fullmakter. Du trenger sanntids-tilgangsintelligens. Du trenger systemer som forstår hva en AI-aktør kan gjøre på tvers av hver system – ikke bare hva den er “tillatt” å gjøre i teorien.

Veza har vært åpen om den økende risikoen for ikke-menneskelige identiteter – AI-agenter, tjenekontoer, roboter. Hvordan skiller du mellom legitim automatisering og risikofylt over-tilgang i dynamiske miljøer som DevOps eller finans?

Det er den 10 milliarder-dollar-spørsmålet. De fleste organisasjoner kan ikke engang inventarisere sine ikke-menneskelige identiteter, la alene styre dem. Veza snur modellen: vi begynner ikke med identiteten – vi begynner med handlingen. Hvem eller hva kan lese denne S3-bucketen? Hvem kan slette rader i denne produksjonsdatabasen?

I DevOps eller finans er automatisering essensiell. Men så er også begrensning. Du trenger fin-grå synlighet på hva disse identitetene kan gjøre nå, ikke hva noen IAM-billett sa for seks måneder siden. Og du må kunne stoppe det umiddelbart når tilgangen blir giftig. Det er Veza-superkraften.

Ettersom bedrifter integrerer AI i kritiske arbeidsflyter, blir sanntids-gjennomføring av minst-privilegie-tilgang essensiell. Kan du gå gjennom hvordan Veza muliggjør denne nivået av granularitet på tvers av hybrid- og multi-cloud-infrastrukturer?

Granularitet uten automatisering er nytteløs. Veza kobler direkte til kontrollplanet – enten det er AWS, Salesforce (CRM ), Snowflake eller SAP – og bygger en graf av hver fullmakt, hver rolle, hver handling tilgjengelig for en identitet. Menneskelig eller maskin. On-prem eller cloud. Det er ett forent tilgangs-vev.

Deretter legger vi til en forretningskontekst – hvem eier appen, når ble den sist brukt, er den en del av en kritisk prosess. Det lar deg opprette politikker som: “Ingen GenAI-aktør kan få tilgang til PII med mindre det er eksplisitt godkjent og logget.” Og hvis noe bryter denne regelen, kan Veza varsle, tilbakekalle eller rette opp i sanntid. Det er hvordan du gjennomfører minst-privilegie på skala.

Du har beskrevet Veza som å gi “tilgangsintelligens”. Hva betyr det i praktisk forstand, og hvordan er det forskjellig fra tradisjonelle tilgangskontroll-løsninger eller identitet-styringsplattformer?

Tilgangsintelligens betyr å vite, på ethvert tidspunkt, hva hver identitet – menneskelig eller ikke-menneskelig – kan gjøre, hvor og hvorfor. Tradisjonelle verktøy forteller deg hva en bruker har blitt gitt. Vi forteller deg hva de faktisk kan gjøre nå, og om det er trygt.

IGA-verktøy gjør styring på kvartalsbasis. Veza gjør styring kontinuerlig. PAM-verktøy fokuserer på en liten undergruppe av privilegerte kontoer. Vi dekker hver identitet, hver applikasjon, hver fullmakt. Og vi gjør det med konteksten til å ta smarte beslutninger – ikke bare logg-støy.

Seende på fremtiden for agentisk AI, hvordan bør sikkerhetsarkitekturer utvikle seg for å holde tritt? Hva kapasiteter må organisasjoner begynne å investere i i dag for å unngå overholdelsesfeil eller interne brudd i morgen?

Sikkerhetsteam må slutte å tenke i termer av brukere og begynne å tenke i termer av handlinger. AI-agenter klokker ikke inn og ut. De fyller ikke ut tilgangsforespørsler. De spinner opp, handler og forsvinner.

Du trenger arkitekturer som er tilgangsbevisste, sanntids- og kontrollplane-tilstøtende. Det betyr:

• Kontinuerlig fullmakts-overvåking
• AI-atferd-baselinje
• Autonom fullmakts-tilbakekalling
• Tamper-bevis auditabilitet på tvers av alle AI-interaksjoner

Dette er ikke valgfritt. Hver AI-aktør er en potensiell insider-trussel – og overholdelsesrammeverkene er på vei til å fange opp. Hvis du ikke kan forklare hvem som gjorde hva og hvorfor, vil du feile auditor, tape tillit eller verre.

Veza teller store merkevarer som Autodesk, Blackstone og S&P Global blant sine kunder. Hva er vanlige mønster eller feil du ser selv de mest modne organisasjonene gjøre når det gjelder identitet-styring?

Den vanligste feilen? Anta at noen andre eier det. IAM er ofte forældreløs mellom sikkerhet, IT, overholdelse og ingeniørarbeid. Den fragmenteringen dreper ansvar.

En annen problemstilling er rollespredning – spesielt i modne organisasjoner. Over tid fjerner ingen tilgang fordi det er risikabelt. Så i stedet for minst-privilegie, får du maksimal eksponering.

Og til slutt, tror de fleste organisasjoner at tilgangs-gjennomgang er en kontroll. De er det ikke. De er en plaster. Den virkelige kontrollen er å forhindre giftig tilgang fra først av. Veza hjelper team til å gå fra detektive til forebyggende.

Selskapet har samlet inn over 125 millioner dollar med støtte fra Accel, Sequoia og GV. Hva sier det nivået av investor-støtte om nødvendigheten av å løse identitet i AI-æraen – og hvordan planlegger du å bruke denne momentum til å skalle Veza-impakten?

Det sier at vi løser et generasjon-problem – og vi gjør det på eksakt riktig tid. Identitet er nå frontdøren, brannmuren og den svakeste lenken alle på en gang. Og AI har nettopp sparket den døren åpen.

Våre investorer forstår at Veza ikke bare er et annet IAM-verktøy. Vi bygger kontrollplanet for tilgang i AI-alderen. Vi bruker denne momentum til å akselerere plattform-utvidelse, dykke dyptere i økosystem-integrasjoner og skalle globalt – spesielt i regulerte sektorer som finansielle tjenester, helse og regjering.

Du har 18 patenter i datasikkerhet, lagring og styring. Er det noen områder for innovasjon innen Veza som du tror vil sette nye standarder for hvordan bransjen nærmer seg tilgangsstyring over de neste ti årene?

Ja – to i særlig.

Først, vår Tilgangs-Graf: det er en universell modell som kartlegger identiteter til fullmakter til handlinger på tvers av hver system, i sanntid. Det er grunnleggende for minst-privilegie, AI-styring og insider-trussel-avdekning.

Andre, autonom remediering. Vi investerer tungt i selv-helende tilgangsmiljøer – hvor overtredelser blir oppdaget, kontekstualisert og korrigert uten menneskelig inngripen. Det er hvordan du styrer AI med AI.

Over de neste ti årene, vil tilgangsstyring skifte fra reaktiv til autonom. Veza vil være motoren som driver denne skiftningen.

Til slutt, du har sagt “talent har ingen grenser”. Hva råd ville du gi til tekniske grunnleggere eller ingeniører som bygger neste-generasjons sikkerhets- eller AI-infrastruktur-selskaper i dag?

Bygg for kant-tilfellene, ikke den lykkelige vei. Fremtiden er rotete – multi-cloud, multi-aktør, multi-polar. Din arkitektur må anta kaos.

For det andre, vær ikke redd for å utfordre hellige kuer. Sikkerhetsbransjen er full av arvingsantagelser – “når som helst-tilgang er nok”, “mennesker er problemet”, “audit betyr Excel”. Bryt disse modellene.

Til slutt, hyr mennesker som er besatt av førstegrad-prinsipper. Verktøy endrer seg. Paradigmer skifter. Men klarhet av tanke og misjon vinner hver gang.

Og ja – talent har ingen grenser. Bygg globalt, bygg mangfoldig, og bygg for impakt.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, bør besøke Veza.