Tarun Thakur, Współzałożyciel i CEO Veza – Wywiad

Tarun Thakur, Współzałożyciel i CEO Veza, jest byłym dyrektorem w Data Domain, Veritas i IBM, przywożącym dziesiątki lat doświadczenia w budowaniu firm infrastruktury przedsiębiorstw. Współzałożył Veza, aby rozwiązać rosnący kryzys rozproszenia tożsamości, z naciskiem na zapewnienie klarowności i kontroli w złożonych hybrydowych i chmurowych architekturach.

Veza to platforma bezpieczeństwa tożsamości zaprojektowana specjalnie dla nowoczesnych, wielochmurowych środowisk, umożliwiająca organizacjom zarządzanie i egzekwowanie praw dostępu do aplikacji, platform chmurowych i systemów danych z niezrównaną widocznością i precyzją. Wspierana przez ponad 125 milionów dolarów finansowania – w tym 110 milionów dolarów serii C, której przewodniczy Accel z udziałem Sequoia Capital, GV i Norwest Venture Partners – Veza obsługuje wiodące przedsiębiorstwa, takie jak Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ) i S&P Global, w celu zapobiegania naruszeniom, ograniczania ryzyka wewnętrznego i zapewnienia zgodności.

Udało Ci się współzałożyć wiele firm infrastruktury przedsiębiorstw na przestrzeni lat. Co skłoniło Cię do założenia Veza, a jak Twoje doświadczenia w Datos IO, Data Domain i IBM Research ukształtowały Twoją wizję bezpieczeństwa opartego na tożsamości?

Każda firma, którą zbudowałem, rozwiązywała podstawową lukę w infrastrukturze przedsiębiorstw – ochronę danych, odporność, skalowalność. Ale tożsamość była zawsze brakującym ogniwem. W Datos IO pomogliśmy chronić krytyczne dane w aplikacjach natywnych dla chmury, ale stale napotykaliśmy na głębszy problem: nie wiedzieliśmy, kto miał dostęp do jakich danych i dlaczego. To systemowa awaria – nie magazynu czy obliczeń, ale zarządzania dostępem.

Założyłem Veza, ponieważ widzę przyszłość, w której tożsamość będzie główną powierzchnią ataku. I żyjemy w tej przyszłości teraz. Branża przez 20 lat udawała, że IAM jest problemem do odhaczenia. Nie jest. To ciągły płaszczyzn kontroli. To miejsce, w którym bezpieczeństwo, zgodność i produktywność wszystkie zderzają się. Nasza misja polega na tym, aby uczynić dostęp nie tylko widocznym, ale także działającym.

Spójrz tylko na przejęcie CyberArk przez Palo Alto. To najwyraźniejszy sygnał branży, że tożsamość nie jest funkcją biurową – jest teraz podstawą strategii bezpieczeństwa przedsiębiorstwa. Ale nawet z tym deal, rynek nadal brakuje tego, czego potrzebują nowoczesne przedsiębiorstwa: rzeczywistej widoczności tego, co mogą zrobić tożsamości, we wszystkich aplikacjach, systemach i zestawach danych. To lukę wypełnia Veza.

Wkraczamy w nową erę, w której agenci AI nie są już tylko narzędziami, ale aktorami – samodzielnie dostępem do systemów, danych i aplikacji. Jak ta zmiana wyzwala tradycyjne paradygmaty zarządzania tożsamością i dostępem (IAM)?

IAM został zaprojektowany dla ludzi. Agenci AI całkowicie łamią ten model. Są to autonomiczne jednostki podejmujące decyzje, generujące dane wyjściowe, łączące przepływy pracy, wyzwalające dostęp w dół – z prędkością maszyn. A większość narzędzi IAM wciąż pyta: “Jaka jest grupa tej tożsamości?” To śmieszne.

Zmiana paradygmatu polega na tym, że dostęp nie jest już przydzielany ręcznie – jest on wyłaniający się, dynamiczny i kontekstowy. Nie możesz go zarządzać statycznymi rolami i starymi uprawnieniami. Potrzebujesz inteligencji dostępu w czasie rzeczywistym. Potrzebujesz systemów, które rozumieją, co może zrobić agent AI we wszystkich systemach – a nie tylko to, co jest “dozwolone” w teorii.

Veza był głośny o rosnącym ryzyku nie-ludzkich tożsamości – agentów AI, kont usług, botów. Jak różnicujesz między uzasadnioną automatyzacją a ryzykownym nadmiernym upoważnieniem w dynamicznych środowiskach, takich jak DevOps lub finanse?

To jest pytanie za 10 miliardów dolarów. Większość organizacji nawet nie może inwentaryzować swoich nie-ludzkich tożsamości, nie mówiąc już o ich zarządzaniu. Veza odwraca model: nie zaczynamy od tożsamości – zaczynamy od działania. Kto lub co może odczytać ten bucket S3? Kto może usunąć wiersze w tej produkcyjnej bazie danych?

W DevOps lub finansach automatyzacja jest niezbędna. Ale tak samo jest ograniczenie. Potrzebujesz szczegółowej widoczności tego, co te tożsamości mogą zrobić teraz, a nie tego, co powiedziała jakaś prośba o dostęp sześć miesięcy temu. I musisz być w stanie to natychmiast wyłączyć, gdy dostęp staje się toksyczny. To jest supermoce Veza.

Jak Veza umożliwia ten poziom szczegółowości w hybrydowych i wielochmurowych infrastrukturach?

Szczegółowość bez automatyzacji jest bezużyteczna. Veza łączy się bezpośrednio z płaszczyzną kontroli – niezależnie od tego, czy jest to AWS, Salesforce (CRM ), Snowflake, czy SAP – i tworzy graf każdego uprawnienia, każdej roli, każdego działania dostępnego dla tożsamości. Ludzkiej lub maszynowej. Na miejscu lub w chmurze. To jeden zjednoczony materiał dostępu.

Następnie nakładamy kontekst biznesowy – kto jest właścicielem aplikacji, kiedy została ona ostatnio użyta, czy jest częścią krytycznego procesu. To pozwala na tworzenie zasad, takich jak: “Żaden agent GenAI nie może uzyskać dostępu do PII, chyba że jest on wyraźnie zatwierdzony i zalogowany.” I jeśli coś złamie tę zasadę, Veza może ostrzec, cofnąć lub naprawić w czasie rzeczywistym. To jest sposób, w jaki egzekwuje się najmniejsze uprawnienia w skali.

Opisujesz Veza jako dostarczyciela “inteligencji dostępu”. Co to oznacza w praktyce, i jak różni się to od tradycyjnych rozwiązań kontroli dostępu lub platform zarządzania tożsamością?

Inteligencja dostępu oznacza wiedzę, w każdej chwili, co każda tożsamość – ludzka lub nie-ludzka – może zrobić, gdzie i dlaczego. Tradycyjne narzędzia mówią Ci, co użytkownik został przydzielony. My mówimy, co mogą one zrobić teraz, i czy jest to bezpieczne.

Narzędzia IGA robią zarządzanie co kwartał. Veza robi zarządzanie ciągłe. Narzędzia PAM koncentrują się na małym podzbiorze kont uprzywilejowanych. My pokrywamy każdą tożsamość, każdą aplikację, każde uprawnienie. I robimy to z kontekstem, aby podejmować mądre decyzje – a nie tylko szum logowania.

Patrząc na przyszłość Agentic AI, jak powinny ewoluować architektury bezpieczeństwa, aby nadążyć?

Zespoły bezpieczeństwa muszą przestać myśleć w kategoriach użytkowników i zacząć myśleć w kategoriach działań. Agenci AI nie zegnają się i nie wypełniają formularzy dostępu. Uruchamiają się, działają i znikają.

Potrzebujesz architektur, które są świadome dostępu, w czasie rzeczywistym i sąsiednich do płaszczyzny kontroli. To oznacza:

• Ciągłe monitorowanie uprawnień
• Ustalanie zachowania AI
• Autonomiczne cofnięcie dostępu
• Niezłomna audytowalność we wszystkich interakcjach AI

To nie jest opcjonalne. Każdy agent AI jest potencjalnym wewnętrznym zagrożeniem – a ramy compliance są szybko doganiające. Jeśli nie możesz wyjaśnić, kto zrobił co i dlaczego, będziesz zawodził audyty, tracił zaufanie lub co gorsza.

Veza liczy wśród swoich klientów takie marki, jak Autodesk, Blackstone i S&P Global. Jakie wspólne wzorce lub błędy widzisz nawet w najbardziej dojrzałych organizacjach, gdy chodzi o zarządzanie tożsamością?

Najczęstszy błąd? Zakładanie, że ktoś inny jest odpowiedzialny. IAM jest często sierotą między bezpieczeństwem, IT, zgodnością i inżynierią. Ta fragmentacja zabija odpowiedzialność.

Innym problemem jest rozprzestrzenianie się ról – szczególnie w dojrzałych organizacjach. Z biegiem czasu nikt nie usuwa dostępu, bo jest to ryzykowne. Zamiast najmniejszych uprawnień, otrzymujesz maksymalne narażenie.

I wreszcie, większość organizacji myśli, że przeglądy dostępu są kontrolą. Nie są. Są plasterkiem. Prawdziwa kontrola polega na zapobieganiu toksycznemu dostępowi od samego początku. Veza pomaga zespołom przechodzić od detekcji do prewencji.

Firma zebrała ponad 125 milionów dolarów, z udziałem Accel, Sequoia i GV. Co takie wsparcie inwestycyjne mówi o pilności rozwiązania problemu tożsamości w erze AI – i jak planujesz wykorzystać ten impet, aby zwiększyć wpływ Veza?

Mówi to, że rozwiązujemy problem pokoleniowy – i robimy to w idealnym momencie. Tożsamość jest teraz przednim drzwiami, firewallem i naj słabszym ogniwem wszystko naraz. A AI właśnie otworzył tę bramę.

Nasi inwestorzy rozumieją, że Veza nie jest po prostu kolejnym narzędziem IAM. Budujemy płaszczyznę kontroli dla dostępu w erze AI. Wykorzystujemy ten impet, aby przyspieszyć rozwój platformy, pogłębić integracje z ekosystemem i skalować globalnie – szczególnie w regulowanych sektorach, takich jak usługi finansowe, opieka zdrowotna i rząd.

Posiadasz 18 patentów w dziedzinie bezpieczeństwa danych, przechowywania i zarządzania. Czy są jakieś obszary innowacji w Veza, które Twoim zdaniem ustanowią nowe standardy dla branży w zakresie zarządzania dostępem w ciągu najbliższych dziesięciu lat?

Tak – dwa w szczególności.

Po pierwsze, nasz Graf Dostępu: to uniwersalny model, który mapuje tożsamości na uprawnienia do działań we wszystkich systemach w czasie rzeczywistym. To jest podstawowe dla najmniejszych uprawnień, zarządzania AI i wykrywania zagrożeń wewnętrznych.

Po drugie, autonomiczna naprawa. Inwestujemy dużo w samo naprawiające się środowiska dostępu – gdzie naruszenia są wykrywane, kontekstualizowane i poprawiane bez interwencji człowieka. To jest sposób, w jaki zarządzasz AI za pomocą AI.

W ciągu najbliższych dziesięciu lat zarządzanie dostępem przejdzie od reaktywnego do autonomicznego. Veza będzie silnikiem napędzającym tę zmianę.

Na koniec, powiedziałeś “talent nie ma granic”. Jakie rady dałbyś technicznym założycielom lub inżynierom budującym firmy infrastruktury bezpieczeństwa lub AI dzisiaj?

Buduj dla przypadków krańcowych, a nie dla szczęśliwej ścieżki. Przyszłość jest niechlujna – wielochmurowa, wieloagentowa, wielopolarowa. Twoja architektura musi założyć chaos.

Po drugie, nie bój się wyzwania świętych krów. Branża bezpieczeństwa jest pełna założeń dziedzictwa – “dostęp just-in-time jest wystarczający”, “ludzie są problemem”, “audyt oznacza Excel”. Złam te modele.

I wreszcie, zatrudniaj ludzi, którzy są obsesjonowani pierwszymi zasadami. Narzędzia się zmieniają. Paradygmaty się zmieniają. Ale klarowność myśli i misji wygrywa zawsze.

I tak – talent nie ma granic. Buduj globalnie, buduj różnorodnie i buduj z wpływem.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Veza.