David Matalon, CEO e Fundador da Venn – Série de Entrevistas

David Matalon, CEO e Fundador da Venn, é um empreendedor serial com um longo histórico de construção de plataformas de tecnologia empresarial seguras, tendo liderado anteriormente a OS33 – um dos primeiros líderes em ambientes de trabalho seguros para empresas financeiras – e a External IT, uma pioneira em serviços de TI hospedados. Com a Venn, ele está focado em redefinir a segurança do trabalho remoto, permitindo que as organizações adotem modelos de traga-seu-próprio-dispositivo (BYOD) sem sacrificar a conformidade ou o controle, aproveitando sua profunda experiência em infraestrutura de nuvem, segurança de ponto de extremidade e indústrias regulamentadas para abordar os desafios crescentes das forças de trabalho distribuídas.

Venn é uma plataforma de segurança cibernética e trabalho remoto projetada para proteger os dados da empresa em dispositivos pessoais e não gerenciados por meio de sua tecnologia proprietária Blue Border, que cria um enclave seguro e criptografado no computador do usuário onde os aplicativos e dados de trabalho são isolados da atividade pessoal. Ao contrário da infraestrutura de desktop virtual tradicional, a Venn permite que os aplicativos sejam executados localmente com desempenho nativo, enquanto impõe políticas de proteção de dados e conformidade estritas, ajudando as organizações a reduzir a sobrecarga de TI, integrar trabalhadores remotos rapidamente e manter a privacidade, separando os ambientes corporativos e pessoais no mesmo dispositivo.

Você passou mais de duas décadas construindo tecnologia para trabalho remoto seguro, desde o lançamento da Offyx nos primórdios dos provedores de serviços de aplicativos até fundar a OS33 e agora a Venn. Quais lições das empresas anteriores o levaram a construir a Venn, e como essas experiências moldaram a ideia por trás da Blue Border e sua visão para garantir a segurança das forças de trabalho BYOD modernas?

Ao longo das últimas duas décadas, tive a oportunidade de construir empresas em várias etapas da evolução do trabalho remoto. Na OS33, passamos anos fornecendo ambientes de trabalho remoto seguros por meio de infraestrutura hospedada que usava tecnologia semelhante à infraestrutura de desktop virtual (VDI). Embora o modelo de segurança funcionasse, continuávamos a ouvir o mesmo feedback dos clientes: a experiência de usar aplicativos hospedados remotamente era frequentemente lenta, complexa para manter e frustrante para os usuários.

Esse feedback foi um ponto de inflexão. O hospedagem remoto introduziu latência inevitável e exigia infraestrutura significativa, criando complexidade operacional para as equipes de TI. Começamos a fazer uma pergunta simples: e se você pudesse remover o hospedagem da equação inteiramente? Em vez de executar o trabalho em algum outro lugar e transmiti-lo para o usuário, você poderia executar o trabalho localmente no dispositivo do usuário, protegendo ainda os dados corporativos?

Essa forma de pensar acabou levando à Venn e ao conceito por trás da Blue Border. Em vez de forçar o trabalho por meio de hospedagem remota e virtualização, criamos um novo modelo que permite que os aplicativos corporativos sejam executados localmente no laptop do usuário, mantendo os dados da empresa criptografados e protegidos. Mesmo em um laptop pessoal, o trabalho permanece isolado e protegido da atividade pessoal.

Ferramentas de inteligência artificial estão se espalhando por empresas mais rápido do que as políticas podem acompanhar. Na sua perspectiva, por que a governança tem dificuldade em acompanhar a adoção de IA dentro das organizações?

A governança tem dificuldade em acompanhar a adoção de IA porque a tecnologia se tornou uma ferramenta do dia a dia quase da noite para o dia. Nos últimos anos, desde que o ChatGPT explodiu, os funcionários incorporaram a IA em suas vidas e fluxos de trabalho. Eles não estão esperando por ciclos de aprovação formal de TI; já estão usando a IA para escrever mais rápido, analisar informações, resumir reuniões ou gerar código em segundos. Na maioria das organizações, a criação de políticas, revisão jurídica, validação de segurança e implantação de TI ocorrem em um cronograma muito mais lento do que o comportamento do usuário. É nessa lacuna que a governança de IA está ficando para trás.

O problema mais profundo é que muitas organizações estão tentando aplicar o modelo de controle de ontem à realidade de IA de hoje. A governança tradicional foi construída em torno da aprovação ou bloqueio de um conjunto conhecido de aplicativos, mas a IA agora está incorporada em navegadores, plataformas SaaS e até em sistemas operacionais. A governança deve evoluir para além do controle de um conjunto pré-determinado de ferramentas e se concentrar em proteger os dados onde quer que eles residam, garantir o ambiente de trabalho e definir as condições sob as quais as informações sensíveis podem ser usadas com segurança.

Muitas empresas tentam resolver o problema restringindo ou proibindo ferramentas de IA geradoras. Por que você acredita que essa abordagem falha na prática e quais riscos de segurança não intencionais podem criar?

As proibições falham porque ignoram a realidade de como as pessoas trabalham. Os funcionários encontrarão maneiras de usar as ferramentas de IA, independentemente da aprovação oficial. Isso cria uma IA de sombra, ou uso não autorizado de ferramentas, contas pessoais, fluxos de trabalho de copiar e colar e interações baseadas em navegador, que podem ocorrer fora da supervisão aprovada. A empresa então perde a visibilidade, colocando seus dados sensíveis em risco.

Capacidades de IA estão sendo incorporadas cada vez mais a aplicativos do dia a dia, em vez de existir como ferramentas autônomas. Como essa mudança altera a forma como as equipes de segurança devem pensar sobre o monitoramento e o controle da exposição de dados?

Essa mudança é significativa porque quebra o antigo modelo mental de “aplicativo de risco versus aplicativo aprovado”. Se a IA está incorporada no e-mail, CRM, conferência, edição de documentos e pesquisa, então a exposição de dados não está mais ligada à abertura de uma ferramenta de IA separada. Está ligada a quais dados estão acessíveis dentro do aplicativo, qual contexto a IA pode ver e se essa interação ocorre dentro de um espaço de trabalho seguro.

Como resultado, as equipes de segurança precisam se concentrar em proteger os dados, em vez de fazer lockdowns de dispositivos completos. O foco deve ser em isolar as sessões de trabalho, controlar a cópia/colagem e downloads quando apropriado, prevenir vazamento entre contextos pessoais e empresariais e garantir que as informações sensíveis permaneçam dentro de um ambiente protegido.

A tecnologia Blue Border da Venn isola aplicativos e dados de trabalho localmente no dispositivo pessoal do usuário, em vez de confiar na infraestrutura de desktop virtual tradicional. Como essa arquitetura muda fundamentalmente o modelo de segurança de ponto de extremidade para o trabalho remoto?

A Blue Border muda fundamentalmente o modelo de segurança de ponto de extremidade, movendo-se além da ideia de que a segurança exige controle de dispositivo completo ou uma desktop virtualizada. A VDI tradicional garante a segurança do trabalho, hospedando-o remotamente e transmitindo-o para o usuário. A Blue Border garante a segurança do trabalho diretamente no dispositivo pessoal do usuário, criando um enclave seguro controlado por TI, onde os aplicativos são executados localmente e os dados da empresa permanecem isolados e protegidos.

O resultado é um modelo de segurança diferente para o trabalho remoto, onde as empresas podem impor proteção ao redor do próprio trabalho, sem emitir dispositivos da empresa ou forçar os usuários a lidar com o atraso e a latência que vêm do hospedagem de uma desktop na nuvem.

Do ponto de vista da arquitetura de segurança, isso muda o modelo de controlar o endpoint completo ou centralizar os protocolos de segurança, para proteger o próprio ambiente de trabalho, onde ele reside. A Blue Border garante que os dados sensíveis nunca deixem o ambiente protegido e local e impõe políticas dentro desses limites. Isso impede o vazamento para o lado pessoal do dispositivo. Como resultado, os usuários podem desfrutar de desempenho de computação e aplicativos nativos e podem usar um dispositivo pessoal de qualquer lugar do mundo, em vez de um dispositivo da empresa.

Muitas organizações lutam para equilibrar a privacidade dos funcionários e a supervisão corporativa quando os trabalhadores usam dispositivos pessoais. Como as equipes de segurança podem proteger dados sensíveis sem criar a percepção de vigilância?

A chave é proteger o trabalho, não a atividade pessoal. Os funcionários estão compreensivelmente desconfortáveis quando as medidas de segurança podem se estender a arquivos pessoais, mensagens, histórico de navegação ou aplicativos pessoais. Em um dispositivo BYOD, a confiança importa. Se a empresa não pode explicar claramente onde começa e termina sua visibilidade, os funcionários suporão o pior.

Um modelo mais forte é aquele que cria um ambiente de trabalho distinto para a atividade empresarial e aplica controles de segurança apenas dentro daquele limite. Isso dá à organização a capacidade de proteger os dados corporativos, enquanto dá aos funcionários a confiança de que sua atividade pessoal não está sendo monitorada ou gerenciada. A privacidade e a segurança não precisam competir se a arquitetura for projetada para separá-las limpa e claramente.

O trabalho remoto e as equipes baseadas em contratados fizeram com que os ambientes BYOD se tornassem quase inevitáveis. Quais são os maiores riscos de segurança associados a dispositivos não gerenciados hoje?

O maior risco é que os dispositivos não gerenciados apagam a fronteira entre as atividades pessoais e empresariais. No mesmo dispositivo, um usuário pode ter aplicativos de trabalho abertos ao lado de e-mail pessoal, ferramentas de IA de consumo, aplicativos de mensagens, serviços de compartilhamento de arquivos e extensões de navegador não confiáveis. Sem uma camada de separação segura, é muito fácil para os dados sensíveis serem copiados, armazenados em cache, baixados, capturados de tela ou expostos por meio de canais que a empresa não controla. Para as organizações sujeitas a regulamentações sobre segurança de dados, isso é um risco enorme.

Agentes de inteligência artificial e fluxos de trabalho automatizados estão começando a interagir com aplicativos e dados empresariais. Quais novos desafios de segurança esses sistemas autônomos introduzem?

Os sistemas autônomos introduzem uma classe diferente de risco porque não apenas geram conteúdo, mas também podem agir. Os agentes de IA conectados a sistemas empresariais podem recuperar ou mover dados, atualizar registros, acionar fluxos de trabalho ou se comunicar externamente. Isso expande o raio de ação de um erro, configuração incorreta ou identidade comprometida significativamente além do que vemos com assistentes de IA passivos.

Isso também cria novas questões sobre acesso, confiança e responsabilidade. Quais dados o agente é autorizado a acessar? Em quais condições ele pode agir? Como essa atividade é registrada, restringida e revisada? As equipes de TI e segurança precisarão tratar os agentes de IA menos como recursos de software e mais como atores digitais privilegiados. Isso significa aplicar princípios como privilégio mínimo, segmentação, isolamento de sessão e auditoria forte desde o início.

À medida que as organizações integram a inteligência artificial geradora em ferramentas de produtividade, sistemas de suporte ao cliente e fluxos de trabalho internos, quais exposições de dados sensíveis o preocupam mais?

O uso de IA geradora no local de trabalho borrou a linha entre os dados pessoais e da empresa. Os funcionários frequentemente acessam ferramentas externas enquanto trabalham com informações da empresa, o que facilita a exposição de dados sensíveis, como registros de clientes, documentos internos, código-fonte ou informações financeiras, para ambientes externos. Quando os dados corporativos fluem por meio de contextos pessoais ou dispositivos não gerenciados, as empresas perdem visibilidade e controle sobre para onde essas informações vão, como elas são armazenadas e quem pode acessá-las eventualmente. À medida que a IA se torna incorporada a fluxos de trabalho do dia a dia, as organizações precisam abordar essa fronteira borrada, garantindo que os dados da empresa permaneçam protegidos, mesmo quando o trabalho é feito em dispositivos pessoais.

Olhando para o futuro, como você vê a segurança de ponto de extremidade evoluindo à medida que os fluxos de trabalho impulsionados por IA se tornam mais comuns em forças de trabalho remotas e distribuídas?

A segurança de ponto de extremidade precisará se tornar muito mais adaptável, consciente do contexto e centrada no ambiente de trabalho. No passado, o design de segurança de ponto de extremidade supunha um dispositivo gerenciado, um perímetro de escritório definido e um conjunto relativamente estável de aplicativos empresariais. O futuro é distribuído, impulsionado por IA e cada vez mais autônomo. A segurança precisa seguir o próprio trabalho, independentemente de onde ele ocorra, sem supor o controle total do dispositivo ou bloquear a produtividade.

O modelo vencedor será aquele que combina separação forte entre o dispositivo e os dados sensíveis, controles de acesso conscientes do contexto e uma arquitetura que preserve uma fronteira clara entre o trabalho e a atividade pessoal. As organizações precisam de ambientes onde os funcionários, contratados e fluxos de trabalho habilitados por IA possam operar produtivamente, mas dentro de controles que protejam os dados por design. As empresas que terão sucesso não serão aquelas que tentam desacelerar a adoção de IA; serão aquelas que tornam a adoção segura possível em larga escala.

Obrigado pela grande entrevista, leitores que desejam saber mais devem visitar Venn.