David Matalon, CEO i założyciel Venn – seria wywiadów

David Matalon, CEO i założyciel Venn, jest przedsiębiorcą z długim stażem w tworzeniu bezpiecznych platform technologicznych dla przedsiębiorstw, wcześniej kierował OS33 – wczesnym liderem w dziedzinie bezpiecznych przestrzeni roboczych dla firm finansowych – oraz External IT, pionierem w dziedzinie usług IT hostingowych. Z Venn koncentruje się na ponownym zdefiniowaniu bezpieczeństwa pracy zdalnej, umożliwiając organizacjom przyjęcie modelu BYOD (przynieś własne urządzenie) bez poświęcania zgodności lub kontroli, wykorzystując swoje głębokie doświadczenie w zakresie infrastruktury chmury, bezpieczeństwa punktów końcowych i branż regulowanych, aby rozwiązać rosnące wyzwania związane z rozproszonymi siłami roboczymi.

Venn to platforma cyberbezpieczeństwa i pracy zdalnej zaprojektowana w celu zabezpieczenia danych firmy na urządzeniach osobistych i niezarządzanych za pomocą własnej technologii Blue Border, która tworzy bezpieczną, szyfrowaną enklawę na komputerze użytkownika, gdzie aplikacje i dane robocze są izolowane od aktywności osobistej. W przeciwieństwie do tradycyjnej infrastruktury pulpitu wirtualnego Venn pozwala na uruchamianie aplikacji lokalnie z natywną wydajnością, jednocześnie egzekwując ścisłe zasady ochrony danych i zgodności, pomagając organizacjom w redukowaniu kosztów IT, szybkiej integracji pracowników zdalnych i utrzymaniu prywatności poprzez oddzielenie środowisk korporacyjnych i osobistych na tym samym urządzeniu.

Przez ponad dwie dekady budowałeś technologie dla bezpiecznej pracy zdalnej, od uruchomienia Offyx w początkach dostawców usług aplikacji po założenie OS33 i teraz Venn. Jakie nauki z tych wcześniejszych firm doprowadziły cię do budowy Venn, i jak te doświadczenia ukształtowały pomysł za Blue Border i twoją wizję zabezpieczenia nowoczesnych sił roboczych BYOD?

Przez ostatnie dwie dekady miałem okazję budować firmy na różnych etapach ewolucji pracy zdalnej. W OS33 spędziliśmy lata dostarczając bezpieczne środowiska pracy zdalnej za pomocą infrastruktury hostingowej, która wykorzystywała technologię podobną do infrastruktury pulpitu wirtualnego (VDI). Chociaż model bezpieczeństwa działał, słyszeliśmy te same opinie od klientów: doświadczenie korzystania z aplikacji hostowanych na odległość było często wolne, skomplikowane w utrzymaniu i frustrujące dla użytkowników.

To opinie były punktem zwrotnym. Hostowanie na odległość wprowadzało nieuniknioną latencję i wymagało znaczącej infrastruktury, tworząc operacyjną złożoność dla zespołów IT. Zaczęliśmy zadawać sobie proste pytanie: co gdyby można było usunąć hostowanie z równania całkowicie? Zamiast uruchamiania pracy gdzie indziej i przesyłania jej do użytkownika, czy można by bezpiecznie uruchamiać pracę lokalnie na urządzeniu użytkownika, chroniąc jednocześnie dane korporacyjne?

To myślenie ostatecznie doprowadziło do Venn i koncepcji za Blue Border. Zamiast wymuszać pracę przez hostowanie na odległość i wirtualizację, stworzyliśmy nowy model, który pozwala na uruchamianie aplikacji korporacyjnych lokalnie na urządzeniu użytkownika, utrzymując dane firmy zaszyfrowane i chronione. Nawet na laptopie osobistym praca pozostaje izolowana i chroniona przed aktywnością osobistą.

Narzędzia sztucznej inteligencji rozprzestrzeniają się w przedsiębiorstwach szybciej, niż polityki mogą za tym nadążyć. Z twojego punktu widzenia, dlaczego zarządzanie nie jest w stanie nadążyć za przyjęciem sztucznej inteligencji wewnątrz organizacji?

Zarządzanie nie jest w stanie nadążyć za przyjęciem sztucznej inteligencji, ponieważ ta technologia stała się codziennym narzędziem niemal z dnia na dzień. W ciągu ostatnich kilku lat, od czasu gdy ChatGPT wybuchł, pracownicy włączyli sztuczną inteligencję w swoje życie i przepływ pracy. Nie czekają na formalne cykle zatwierdzania IT; już teraz używają sztucznej inteligencji, aby pisać szybciej, analizować informacje, podsumowywać spotkania lub generować kod w sekundy. W większości organizacji tworzenie polityk, przegląd prawny, walidacja bezpieczeństwa i wdrożenie IT odbywają się na znacznie wolniejszym harmonogramie niż zachowanie użytkownika. To różnica jest tam, gdzie zarządzanie sztuczną inteligencją spada.

Bardziej głębny problem polega na tym, że wiele organizacji próbuje zastosować wczorajszy model kontroli do dzisiejszej rzeczywistości sztucznej inteligencji. Tradycyjne zarządzanie zostało zbudowane wokół zatwierdzania lub blokowania znanego zestawu aplikacji, ale sztuczna inteligencja jest teraz wbudowana w przeglądarki, platformy SaaS i nawet w systemy operacyjne. Zarządzanie musi ewoluować poza kontrolą predysponowanego zestawu narzędzi i skupić się na ochronie danych, gdziekolwiek się znajdują, zabezpieczając środowisko pracy i definiując warunki, na jakich wrażliwe informacje mogą być używane bezpiecznie.

Wiele firm próbuje rozwiązać ten problem, ograniczając lub zakazując narzędzi generatywnych sztucznej inteligencji. Dlaczego uważasz, że ten podejście nie powodzi się w praktyce, i jakie niezamierzone ryzyka bezpieczeństwa może to stworzyć?

Zakazy nie powodują się, ponieważ ignorują rzeczywistość, w jaki sposób ludzie pracują. Pracownicy znajdą sposoby, aby używać narzędzi sztucznej inteligencji, niezależnie od oficjalnej akceptacji. To tworzy sztuczną inteligencję, lub niezatwierdzone użycie narzędzi, kont osobistych, przepływów pracy kopiuj-wklej, interakcji opartych na przeglądarce, które mogą wystąpić poza zatwierdzoną kontrolą. Firma traci wtedy widoczność, narażając swoje wrażliwe dane na ryzyko.

Możliwości sztucznej inteligencji są coraz częściej wbudowywane w codzienne aplikacje, a nie istnieją jako samodzielne narzędzia. Jak ta zmiana zmienia sposób, w jaki zespoły bezpieczeństwa powinny myśleć o monitorowaniu i kontrolowaniu narażenia danych?

<p-Ta zmiana jest znacząca, ponieważ łamie stary model myślowy „ryzykowna aplikacja versus zatwierdzona aplikacja”. Jeśli sztuczna inteligencja jest wbudowana w pocztę elektroniczną, CRM, konferencje, edycję dokumentów i wyszukiwanie, to narażenie danych nie jest już związane z tym, czy użytkownik otwiera oddzielne narzędzie sztucznej inteligencji. Jest to związane z tym, jakie dane są dostępne wewnątrz aplikacji, jaki kontekst sztuczna inteligencja może zobaczyć, i czy ta interakcja występuje wewnątrz bezpiecznego środowiska pracy.

W związku z tym zespoły bezpieczeństwa muszą skupić się na ochronie danych, a nie na pełnej kontroli urządzenia. Fokus powinien być na izolowaniu sesji roboczych, kontrolowaniu kopiowania i pobierania tam, gdzie jest to odpowiednie, zapobieganiu wyciekowi danych pomiędzy kontekstami osobistymi i biznesowymi oraz zapewnieniu, że wrażliwe informacje pozostają w chronionym środowisku.

Technologia Blue Border Venn izoluje aplikacje i dane robocze lokalnie na urządzeniu użytkownika, zamiast polegać na tradycyjnej infrastrukturze pulpitu wirtualnego. Jak ta architektura zmienia fundamentalnie model bezpieczeństwa punktu końcowego dla pracy zdalnej?

Blue Border zmienia fundamentalnie model bezpieczeństwa punktu końcowego, przechodząc poza ideę, że bezpieczeństwo wymaga albo pełnej kontroli urządzenia, albo wirtualizowanego pulpitu. Tradycyjna infrastruktura pulpitu wirtualnego zabezpiecza pracę, hostując ją na odległość i przesyłając do użytkownika. Blue Border zabezpiecza pracę bezpośrednio na urządzeniu użytkownika, tworząc enklawę bezpieczną, kontrolowaną przez IT, gdzie aplikacje są uruchamiane lokalnie, a dane firmy pozostają izolowane i chronione.

Wynikiem jest inny model bezpieczeństwa dla pracy zdalnej, w którym firmy mogą egzekwować ochronę wokół samej pracy, bez konieczności wydawania urządzeń firmowych lub zmuszania użytkowników do radzenia sobie z opóźnieniami i latencją, które pochodzą z hostowania pulpitu w chmurze.

Wiele organizacji boryka się z równowagą pomiędzy prywatnością pracowników a nadzorem korporacyjnym, gdy pracownicy używają urządzeń osobistych. Jak zespoły bezpieczeństwa mogą chronić wrażliwe dane, nie tworząc percepcji inwigilacji?

Kluczem jest ochrona pracy, a nie aktywności osobistej. Pracownicy są słusznie niezadowoleni, gdy środki bezpieczeństwa mogą sięgać poza ich prywatne pliki, wiadomości, historię przeglądania lub aplikacje osobiste. Na urządzeniu BYOD zaufanie ma znaczenie. Jeśli firma nie może wyjaśnić, gdzie zaczyna się i kończy jej widoczność, pracownicy założą najgorsze.

Silniejszy model jest taki, który tworzy wyraźne środowisko pracy dla aktywności biznesowej i stosuje kontrolę bezpieczeństwa tylko wewnątrz tej granicy. To daje organizacji możliwość ochrony danych korporacyjnych, jednocześnie dając pracownikom pewność, że ich aktywność osobista nie jest obserwowana ani zarządzana. Prywatność i bezpieczeństwo nie muszą konkurować, jeśli architektura jest zaprojektowana tak, aby je oddzielić czysto.

Praca zdalna i zespoły oparte na kontraktach sprawiły, że środowiska BYOD są prawie nieuniknione. Jakie są największe ryzyka bezpieczeństwa związane z niezarządzanymi urządzeniami dzisiaj?

Największe ryzyko polega na tym, że niezarządzane urządzenia zacierają granicę pomiędzy aktywnością osobistą i biznesową. Na tym samym urządzeniu użytkownik może mieć otwarte aplikacje robocze obok poczty elektronicznej osobistej, narzędzi AI konsumenckich, aplikacji do udostępniania plików, niezaufanych rozszerzeń przeglądarki i innych. Bez bezpiecznej warstwy separacji bardzo łatwo jest, aby wrażliwe dane zostały skopiowane, zbuforowane, pobrane, przechwycone z ekranu lub ujawnione przez kanały, którymi firma nie kontroluje. Dla organizacji, które podlegają regulacjom dotyczącym bezpieczeństwa danych, jest to ogromne ryzyko.

Agenci sztucznej inteligencji i automatyczne przepływy pracy zaczynają oddziaływać bezpośrednio z aplikacjami przedsiębiorstw i danymi. Jakie nowe wyzwania bezpieczeństwa wprowadzają te autonomiczne systemy?

Autonomiczne systemy wprowadzają inny rodzaj ryzyka, ponieważ nie tylko generują treści, ale także mogą działać. Agenci sztucznej inteligencji połączeni z systemami przedsiębiorstw mogą pobierać lub przenosić dane, aktualizować rekordy, uruchamiać przepływy pracy lub komunikować się na zewnątrz. To znacznie rozszerza promień działania błędu, nieprawidłowej konfiguracji lub skompromitowanej tożsamości znacznie poza to, co widzimy w przypadku biernych asystentów sztucznej inteligencji.

Jak organizacje integrują sztuczną inteligencję generatywną w narzędzia produktywności, systemy obsługi klienta i wewnętrzne przepływy pracy, jakie rodzaje wrażliwych narażonych danych najbardziej cię niepokoją?

Użycie sztucznej inteligencji generatywnej w miejscu pracy rozmyło granicę pomiędzy danymi osobistymi i firmowymi. Pracownicy często dostęp do zewnętrznych narzędzi podczas pracy z informacjami firmowymi, co sprawia, że łatwo jest, aby wrażliwe dane, takie jak rekordy klientów, dokumenty wewnętrzne, kod źródłowy lub informacje finansowe, przeciekły do środowisk zewnętrznych. Gdy dane korporacyjne przepływają przez konteksty osobiste lub niezarządzane urządzenia, firmy tracą widoczność i kontrolę nad tym, gdzie te informacje trafiają, jak są przechowywane i kto może je ostatecznie uzyskać. W miarę jak sztuczna inteligencja staje się wbudowana w codzienne przepływy pracy, organizacje muszą rozwiązać tę rozmytą granicę, zapewniając, że dane firmowe pozostają chronione, nawet gdy praca odbywa się na urządzeniach osobistych.

Spójrzając w przyszłość, jak widzisz ewolucję bezpieczeństwa punktu końcowego, gdy przepływy pracy napędzane sztuczną inteligencją stają się bardziej powszechne w rozproszonych i zdalnych siłach roboczych?

Bezpieczeństwo punktu końcowego musi stać się znacznie bardziej adaptacyjne, świadome kontekstu i ukierunkowane na środowisko pracy. W przeszłości projektowanie bezpieczeństwa punktu końcowego zakładało zarządzane urządzenie, wyznaczoną granicę biura i stosunkowo stabilny zestaw aplikacji biznesowych. Przyszłość jest rozproszona, napędzana sztuczną inteligencją i coraz bardziej autonomiczna. Bezpieczeństwo musi podążać za samą pracą, niezależnie od miejsca, w którym się odbywa, bez założenia pełnej kontroli nad urządzeniem lub blokowania produktywności.

Wygrany model będzie tym, który łączy silną separację pomiędzy urządzeniem a wrażliwymi danymi, kontrolami dostępu świadomymi kontekstu i architekturą, która zachowuje wyraźną granicę pomiędzy pracą i aktywnością osobistą. Organizacje potrzebują środowisk, w których pracownicy, kontrahenci i przepływy pracy napędzane sztuczną inteligencją mogą działać produktywnie, ale w ramach kontroli, które chronią dane przez projekt. Firmy, które odniosą sukces, nie będą tymi, które będą próbowały spowolnić przyjęcie sztucznej inteligencji; będą tymi, które umożliwią bezpieczne przyjęcie na dużą skalę.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Venn.