David Matalon, CEO e Fundador da Venn – Série de Entrevistas

David Matalon, CEO e Fundador da Venn, é um empreendedor serial com um longo histórico de construir plataformas de tecnologia empresarial seguras, tendo liderado anteriormente a OS33 – um dos primeiros líderes em espaços de trabalho seguros para firmas financeiras – e a External IT, uma pioneira em serviços de TI hospedados. Com a Venn, ele está focado em redefinir a segurança do trabalho remoto, permitindo que as organizações adotem modelos de “traga seu próprio dispositivo” (BYOD) sem sacrificar a conformidade ou o controle, aproveitando sua profunda experiência em infraestrutura de nuvem, segurança de endpoint e indústrias regulamentadas para abordar os desafios crescentes das forças de trabalho distribuídas.

Venn é uma plataforma de segurança cibernética e trabalho remoto projetada para proteger os dados da empresa em dispositivos pessoais e não gerenciados por meio de sua tecnologia proprietária Blue Border, que cria um enclave seguro e criptografado no computador do usuário, onde as aplicações e dados de trabalho são isolados da atividade pessoal. Ao contrário da infraestrutura de desktop virtual tradicional, a Venn permite que as aplicações sejam executadas localmente com desempenho nativo, enquanto impõe políticas de proteção de dados e conformidade estritas, ajudando as organizações a reduzir a sobrecarga de TI, integrar trabalhadores remotos rapidamente e manter a privacidade, separando os ambientes corporativos e pessoais no mesmo dispositivo.

Você passou mais de duas décadas construindo tecnologia para trabalho remoto seguro, desde o lançamento da Offyx nos primeiros dias dos provedores de serviços de aplicativos até fundar a OS33 e agora a Venn. Quais lições das empresas anteriores o levaram a construir a Venn, e como essas experiências moldaram a ideia por trás da Blue Border e sua visão para proteger as forças de trabalho modernas de BYOD?

Nas últimas duas décadas, tive a oportunidade de construir empresas em várias etapas da evolução do trabalho remoto. Na OS33, passamos anos entregando ambientes de trabalho remoto seguros por meio de infraestrutura hospedada que usava tecnologia semelhante à infraestrutura de desktop virtual (VDI). Embora o modelo de segurança funcionasse, continuávamos a receber o mesmo feedback dos clientes: a experiência de usar aplicações hospedadas remotamente era frequentemente lenta, complexa de manter e frustrante para os usuários.

Esse feedback foi um ponto de inflexão. O hospedagem remoto introduziu latência inevitável e exigia infraestrutura significativa, criando complexidade operacional para as equipes de TI. Começamos a fazer uma pergunta simples: e se você pudesse remover o hospedagem da equação inteiramente? Em vez de executar o trabalho em outro lugar e transmiti-lo para o usuário, você poderia executar o trabalho localmente no dispositivo do usuário, protegendo ainda os dados corporativos?

Esse pensamento levou eventualmente à Venn e ao conceito por trás da Blue Border. Em vez de forçar o trabalho por meio de hospedagem remota e virtualização, criamos um novo modelo que permite que as aplicações corporativas sejam executadas localmente no laptop do usuário, mantendo os dados da empresa criptografados e protegidos. Mesmo em um laptop pessoal, o trabalho permanece isolado e protegido da atividade pessoal.

Ferramentas de inteligência artificial estão se espalhando por empresas mais rápido do que as políticas podem acompanhar. Por que, na sua opinião, a governança tem dificuldade em acompanhar a adoção de IA dentro das organizações?

A governança tem dificuldade em acompanhar a adoção de IA porque a tecnologia se tornou uma ferramenta do dia a dia quase da noite para o dia. Nos últimos anos, desde que o ChatGPT explodiu, os funcionários incorporaram a IA em suas vidas e fluxos de trabalho. Eles não estão esperando por ciclos de aprovação formal de TI; eles já estão usando a IA para escrever mais rápido, analisar informações, resumir reuniões ou gerar código em segundos. Na maioria das organizações, a criação de políticas, revisão jurídica, validação de segurança e implantação de TI ocorrem em um cronograma muito mais lento do que o comportamento do usuário. É aí que a governança de IA está ficando para trás.

O problema mais profundo é que muitas organizações estão tentando aplicar o modelo de controle de ontem à realidade de IA de hoje. A governança tradicional foi construída em torno de aprovar ou bloquear um conjunto conhecido de aplicações, mas a IA agora está incorporada em navegadores, plataformas SaaS e até em sistemas operacionais. A governança deve evoluir para além do controle de um conjunto predeterminado de ferramentas e se concentrar em proteger os dados onde quer que eles residam, segurança do ambiente de trabalho e definir as condições sob as quais informações sensíveis podem ser usadas com segurança.

Muitas empresas tentam resolver o problema restringindo ou proibindo ferramentas de IA gerativas. Por que você acredita que essa abordagem falha na prática e quais riscos de segurança não intencionais pode criar?

As proibições falham porque ignoram a realidade de como as pessoas trabalham. Os funcionários encontrarão maneiras de usar ferramentas de IA, independentemente da aprovação oficial. Isso cria uma “IA na sombra”, ou uso não autorizado de ferramentas, contas pessoais, fluxos de trabalho de copiar e colar e interações baseadas em navegador, que podem ocorrer fora da supervisão aprovada. A empresa então perde a visibilidade, colocando seus dados sensíveis em risco.

Em muitos casos, políticas restritivas podem aumentar o risco em vez de reduzi-lo. Quando os funcionários não podem usar essas ferramentas de forma segura, eles frequentemente encontram soluções alternativas. Dados sensíveis da empresa podem acabar fluindo para ferramentas que as equipes de TI ou segurança não monitoram ou controlam. A abordagem melhor não é a proibição por si só, mas habilitar o uso seguro por meio de isolamento, controles de dados e guardrails claros que permitam que o negócio avance sem expor informações críticas.

Capacidades de IA estão cada vez mais incorporadas a aplicações do dia a dia, em vez de existir como ferramentas autônomas. Como essa mudança altera a forma como as equipes de segurança devem pensar sobre monitorar e controlar a exposição de dados?

Essa mudança é significativa porque quebra o antigo modelo mental de “aplicativo de risco versus aplicativo aprovado”. Se a IA está incorporada em e-mail, CRM, conferência, edição de documentos e pesquisa, então a exposição de dados não está mais ligada à abertura de uma ferramenta de IA separada. Está conectada ao que os dados estão acessíveis dentro da aplicação, qual é o contexto que a IA pode ver e se essa interação ocorre dentro de um espaço de trabalho seguro.

Como resultado, as equipes de segurança precisam se concentrar em proteger os dados, em vez de travar dispositivos inteiros. O foco deve ser em isolar sessões de trabalho, controlar copiar/colar e downloads quando apropriado, prevenir vazamento entre contextos pessoais e de negócios e garantir que informações sensíveis permaneçam dentro de um ambiente protegido.

A tecnologia Blue Border da Venn isola aplicativos e dados de trabalho localmente no dispositivo pessoal do usuário, em vez de confiar na infraestrutura de desktop virtual tradicional. Como essa arquitetura muda fundamentalmente o modelo de segurança de endpoint para o trabalho remoto?

A Blue Border muda fundamentalmente o modelo de segurança de endpoint, movendo-se além da ideia de que a segurança exige controle de dispositivo completo ou um desktop virtualizado. A VDI tradicional garante a segurança ao hospedar o trabalho remotamente e transmiti-lo para o usuário. A Blue Border garante a segurança ao criar um enclave seguro controlado por TI no dispositivo pessoal do usuário, onde as aplicações são executadas localmente e os dados da empresa permanecem isolados e protegidos.

O resultado é um modelo de segurança diferente para o trabalho remoto, onde as empresas podem impor proteção em torno do próprio trabalho, sem precisar emitir dispositivos da empresa ou forçar os usuários a lidar com a latência e atrasos que vêm com a hospedagem de um desktop na nuvem.

Do ponto de vista da arquitetura de segurança, isso muda o modelo de controlar o endpoint inteiro ou centralizar protocolos de segurança, para proteger o próprio espaço de trabalho, onde ele reside. A Blue Border garante que dados sensíveis nunca deixem o ambiente protegido e local, e impõe política dentro dessa fronteira. Isso impede o vazamento para o lado pessoal do dispositivo. Como resultado, os usuários podem desfrutar de desempenho de computação e aplicativos nativos, e podem usar um dispositivo pessoal de qualquer lugar do mundo, em vez de um dispositivo da empresa.

Muitas organizações lutam para equilibrar a privacidade dos funcionários e a supervisão corporativa quando os trabalhadores usam dispositivos pessoais. Como as equipes de segurança podem proteger dados sensíveis sem criar a percepção de vigilância?

A chave é proteger o trabalho, não a atividade pessoal. Os funcionários estão compreensivelmente desconfortáveis quando as medidas de segurança podem se estender a arquivos pessoais, mensagens, histórico de navegação ou aplicações pessoais. Em um dispositivo BYOD, a confiança importa. Se a empresa não pode explicar claramente onde começa e termina sua visibilidade, os funcionários suporão o pior.

Um modelo mais forte é aquele que cria um espaço de trabalho distinto para a atividade de negócios e aplica controles de segurança apenas dentro dessa fronteira. Isso dá à organização a capacidade de proteger os dados corporativos, enquanto dá aos funcionários a confiança de que sua atividade pessoal não está sendo monitorada ou gerenciada. A privacidade e a segurança não precisam competir se a arquitetura for projetada para separá-las claramente.

O trabalho remoto e as equipes baseadas em contratados tornaram os ambientes BYOD quase inevitáveis. Quais são os principais riscos de segurança associados a dispositivos não gerenciados hoje?

O maior risco é que os dispositivos não gerenciados apagam a fronteira entre atividades pessoais e de negócios. No mesmo computador, um usuário pode ter aplicações de trabalho abertas ao lado de e-mail pessoal, ferramentas de IA de consumo, aplicativos de mensagens, serviços de compartilhamento de arquivos e extensões de navegador não confiáveis. Sem uma camada de separação segura, é muito fácil para dados sensíveis serem copiados, armazenados em cache, baixados, capturados de tela ou expostos por meio de canais que a empresa não controla. Para organizações sujeitas a regulamentações de segurança de dados, isso é um risco enorme.

Agentes de inteligência artificial e fluxos de trabalho automatizados estão começando a interagir com aplicações e dados empresariais. Quais novos desafios de segurança esses sistemas autônomos introduzem?

Os sistemas autônomos introduzem uma classe diferente de risco, pois não apenas geram conteúdo, mas também podem agir. Agentes de IA conectados a sistemas empresariais podem recuperar ou mover dados, atualizar registros, acionar fluxos de trabalho ou se comunicar externamente. Isso expande significativamente o raio de ação de um erro, configuração incorreta ou identidade comprometida, muito além do que vemos com assistentes de IA passivos.

Isso também cria novas questões sobre acesso, confiança e responsabilidade. Quais dados o agente está autorizado a acessar? Em quais condições pode agir? Como essa atividade é registrada, restringida e revisada? As equipes de TI e segurança precisarão tratar os agentes de IA menos como recursos de software e mais como atores digitais privilegiados. Isso significa aplicar princípios como privilégio mínimo, segmentação, isolamento de sessão e auditoria forte desde o início.

À medida que as organizações integram inteligência artificial gerativa em ferramentas de produtividade, sistemas de suporte ao cliente e fluxos de trabalho internos, quais exposições de dados sensíveis o preocupam mais?

O uso de IA gerativa no local de trabalho borrou a linha entre dados pessoais e da empresa. Os funcionários frequentemente acessam ferramentas externas enquanto trabalham com informações da empresa, o que facilita a exposição de dados sensíveis, como registros de clientes, documentos internos, código-fonte ou informações financeiras, para ambientes externos. Quando os dados da empresa fluem por contextos pessoais ou dispositivos não gerenciados, as empresas perdem visibilidade e controle sobre onde essas informações vão, como são armazenadas e quem pode acessá-las eventualmente. À medida que a IA se torna incorporada em fluxos de trabalho do dia a dia, as organizações precisam abordar essa fronteira borrada, garantindo que os dados da empresa permaneçam protegidos, mesmo quando o trabalho é feito em dispositivos pessoais.

Olhando para o futuro, como você vê a segurança de endpoint evoluindo à medida que os fluxos de trabalho impulsionados por IA se tornam mais comuns em forças de trabalho remotas e distribuídas?

A segurança de endpoint precisará se tornar muito mais adaptável, consciente do contexto e centrada no espaço de trabalho. No passado, o design de segurança de endpoint supunha um dispositivo gerenciado, um perímetro de escritório definido e um conjunto relativamente estável de aplicações de negócios. O futuro é distribuído, impulsionado por IA e cada vez mais autônomo. A segurança precisa seguir o trabalho em si, onde quer que aconteça, sem supor o controle total do dispositivo ou bloquear a produtividade.

O modelo vencedor será aquele que combina separação forte entre o dispositivo e os dados sensíveis, controles de acesso conscientes do contexto e uma arquitetura que preserve uma fronteira clara entre o trabalho e a atividade pessoal. As organizações precisam de ambientes onde os funcionários, contratados e fluxos de trabalho habilitados por IA possam operar produtivamente, mas dentro de controles que protejam os dados por design. As empresas que terão sucesso não serão as que tentam retardar a adoção de IA; serão as que tornam a adoção segura possível em escala.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Venn.