Дэвид Маталон, генеральный директор и основатель Venn – Интервью

Дэвид Маталон, генеральный директор и основатель Venn, является серийным предпринимателем с обширным опытом создания безопасных корпоративных технологических платформ, ранее возглавляя OS33 – одного из первопроходцев в области безопасных рабочих пространств для финансовых компаний, и External IT, пионера в области хостинга IT-услуг. С Venn он сосредоточен на переопределении безопасности удаленной работы, позволяя организациям采用 модели “принеси свое устройство” (BYOD) без жертвования соблюдением или контролем, используя свой глубокий опыт в облачной инфраструктуре, безопасности конечных точек и регулируемых отраслях для решения растущих проблем, связанных с распределенными рабочими силами.

Venn – это платформа кибербезопасности и удаленной работы, предназначенная для защиты корпоративных данных на личных и неуправляемых устройствах посредством своей проприетарной технологии Blue Border, которая создает безопасную, зашифрованную область на компьютере пользователя, где рабочие приложения и данные изолированы от личной деятельности. В отличие от традиционной инфраструктуры виртуальных рабочих столов, Venn позволяет приложениям работать локально с родной производительностью, обеспечивая при этом строгую защиту данных и соблюдение политики, помогая организациям сократить накладные расходы на IT, быстро подключать удаленных работников и поддерживать конфиденциальность, разделяя корпоративные и личные среды на одном устройстве.

Вы потратили более двух десятилетий на создание технологий для безопасной удаленной работы, от запуска Offyx в ранние дни поставщиков приложений до основания OS33 и теперь Venn. Какие уроки из этих ранних компаний привели вас к созданию Venn, и как эти опыт сформировали идею за Blue Border и ваше видение обеспечения современных сил удаленной работы?

За последние два десятилетия у меня была возможность создавать компании на различных этапах эволюции удаленной работы. В OS33 мы потратили годы на создание безопасных удаленных рабочих сред посредством хостинга инфраструктуры, которая использовала технологию, подобную инфраструктуре виртуальных рабочих столов (VDI). Хотя модель безопасности работала, мы постоянно получали один и тот же отзыв от клиентов: опыт использования удаленно хостинговых приложений часто был медленным, сложным в обслуживании и раздражающим для пользователей.

Этот отзыв стал поворотным моментом. Удаленный хостинг вводил неизбежную задержку и требовал значительной инфраструктуры, создавая операционную сложность для команд IT. Мы начали задавать простой вопрос: что если вы могли бы полностью исключить хостинг из уравнения? Вместо того, чтобы запускать работу где-то еще и передавать ее пользователю, можно ли безопасно запускать работу локально на устройстве пользователя, продолжая защищать корпоративные данные?

Такое мышление в конечном итоге привело к Venn и концепции за Blue Border. Вместо того, чтобы заставлять работу проходить через удаленный хостинг и виртуализацию, мы создали новую модель, которая позволяет корпоративным приложениям работать локально на ноутбуке пользователя, сохраняя при этом компанию данные зашифрованными и защищенными. Даже на личном ноутбуке работа остается изолированной и защищенной от личной деятельности.

Инструменты искусственного интеллекта распространяются по предприятиям быстрее, чем политики могут за ними угнаться. С вашей точки зрения, почему управление не может идти в ногу с внедрением ИИ внутри организаций?

Управление не может идти в ногу с внедрением ИИ, потому что технология стала повседневным инструментом почти за одну ночь. За последние несколько лет, с момента, когда ChatGPT взорвался, сотрудники включили ИИ в свою жизнь и рабочие процессы. Они не ждут формального цикла утверждения IT; они уже используют ИИ для написания быстрее, анализа информации, суммирования встреч или генерации кода за несколько секунд. В большинстве организаций создание политики, юридический обзор, проверка безопасности и развертывание IT происходят на гораздо более медленном временном интервале, чем поведение пользователей. Этот разрыв – это то место, где управление ИИ отстает.

Более глубокая проблема заключается в том, что многие организации пытаются применить вчерашнюю модель контроля к сегодняшней реальности ИИ. Традиционное управление было построено вокруг утверждения или блокирования известного набора приложений, но ИИ теперь встроен в браузеры, платформы SaaS и даже в операционные системы. Управление должно эволюционировать за пределы контроля заранее определенного набора инструментов и сосредоточиться на защите данных, где бы они ни находились, обеспечивая безопасность рабочей среды и определяя условия, при которых конфиденциальная информация может быть использована безопасно.

Многие компании пытаются решить эту проблему, ограничивая или запрещая инструменты генеративного ИИ. Почему вы считаете, что этот подход не работает на практике, и какие непредвиденные риски для безопасности он может создать?

Запреты не работают, потому что они игнорируют реальность того, как люди работают. Сотрудники найдут способы использовать инструменты ИИ, независимо от официального утверждения. Это создает тень ИИ, или несанкционированное использование инструментов, личных учетных записей, рабочих процессов копирования и вставки, и взаимодействий на основе браузера, которые могут происходить вне утвержденного надзора. Компания затем теряет видимость, подвергая свою конфиденциальную информацию риску.

Во многих случаях ограничительные политики могут увеличить риск, а не уменьшить его. Когда сотрудники не могут использовать эти инструменты безопасно, они часто находят обходные пути. Конфиденциальная информация компании может оказаться в инструментах, которые команды IT или безопасности не контролируют. Лучший подход – не запрет ради самого запрета, а обеспечение безопасного использования посредством изоляции, контроля данных и четких ограничений, которые позволяют бизнесу двигаться вперед без подвержения критической информации риску.

Возможности ИИ все чаще встраиваются непосредственно в повседневные приложения, а не существуют как отдельные инструменты. Как этот сдвиг меняет то, как команды безопасности должны думать о мониторинге и контроле экспозиции данных?

Этот сдвиг значим, потому что он ломает старую ментальную модель “рискованного приложения versus утвержденного приложения”. Если ИИ встроен в электронную почту, CRM, конференции, редактирование документов и поиск, то экспозиция данных больше не связана с тем, открывает ли пользователь отдельный инструмент ИИ. Это связано с тем, какие данные доступны внутри приложения, какой контекст ИИ может видеть, и происходит ли это взаимодействие внутри безопасной рабочей среды.

В результате команды безопасности должны сосредоточиться на защите данных, а не на полном блокировании устройства. Сосредоточение должно быть на изоляции рабочих сессий, контроле копирования и вставки, предотвращении утечки через личные и деловые контексты, и обеспечении того, чтобы конфиденциальная информация оставалась в защищенной среде.

Технология Blue Border от Venn изолирует рабочие приложения и данные локально на личном устройстве пользователя, вместо того, чтобы полагаться на традиционную инфраструктуру виртуальных рабочих столов. Как эта архитектура фундаментально меняет модель безопасности конечных точек для удаленной работы?

Blue Border фундаментально меняет модель безопасности конечных точек, выходя за рамки идеи о том, что безопасность требует либо полного контроля над устройством, либо виртуализированного рабочего стола. Традиционная VDI обеспечивает безопасность работы, хостинг ее удаленно и передавая ее пользователю. Blue Border обеспечивает безопасность работы непосредственно на личном устройстве пользователя, создавая защищенную область, контролируемую IT, где приложения работают локально, а корпоративные данные остаются изолированными и защищенными.

Результатом является другая модель безопасности для удаленной работы, где компании могут обеспечить защиту вокруг самой работы, не выдавая корпоративные устройства или заставляя пользователей иметь дело с задержкой и задержкой, которые возникают при хостинге рабочего стола в облаке.

С точки зрения архитектуры безопасности, это смещает модель от контроля всей конечной точки или централизации протоколов безопасности к защите самой рабочей среды, где она находится. Blue Border обеспечивает, что конфиденциальные данные никогда не покидают защищенную, локальную среду и обеспечивает соблюдение политики внутри этого предела. Это предотвращает утечку на личную сторону устройства. Таким образом, пользователи могут наслаждаться родной производительностью и приложениями, и они могут использовать личное устройство из любой точки мира, а не корпоративное устройство.

Многие организации борются с балансом между конфиденциальностью сотрудников и корпоративным надзором, когда работники используют личные устройства. Как команды безопасности могут защитить конфиденциальные данные, не создавая впечатления слежки?

Ключом является защита работы, а не личной деятельности. Сотрудники вполне обоснованно чувствуют себя некомфортно, когда меры безопасности могут распространиться на их личные файлы, сообщения, историю браузера или личные приложения. На устройстве BYOD доверие имеет значение. Если компания не может четко объяснить, где начинается и заканчивается ее видимость, сотрудники будут предполагать худшее.

Более сильная модель – это та, которая создает отдельную рабочую среду для деловой деятельности и применяет меры безопасности только внутри этого предела. Это дает организации возможность защитить корпоративные данные, обеспечивая при этом сотрудникам уверенность в том, что их личная деятельность не отслеживается или контролируется. Конфиденциальность и безопасность не должны конкурировать, если архитектура спроектирована так, чтобы четко разделять их.

Удаленная работа и команды на основе подрядчиков сделали среды BYOD почти неизбежными. Каковы самые большие риски безопасности, связанные с неуправляемыми устройствами сегодня?

Самый большой риск заключается в том, что неуправляемые устройства стирают границу между личной и деловой деятельностью. На одном и том же компьютере пользователь может иметь открытые рабочие приложения наряду с личной электронной почтой, инструментами ИИ для потребителей, приложениями для обмена сообщениями, сервисами обмена файлами и непроверенными расширениями браузера. Без слоя изоляции конфиденциальные данные легко могут быть скопированы, закэшированы, скачаны, захвачены экрана или раскрыты через каналы, которые компания не контролирует. Для организаций, подверженных регулированию в области безопасности данных, это огромный риск.

Агенты искусственного интеллекта и автоматизированные рабочие процессы начинают взаимодействовать непосредственно с корпоративными приложениями и данными. Какие новые проблемы безопасности эти автономные системы вводят?

Автономные системы вводят другой класс риска, потому что они не только генерируют контент, но и могут действовать. Агенты ИИ, подключенные к корпоративным системам, могут извлекать или перемещать данные, обновлять записи, запускать рабочие процессы или общаться внешне. Это расширяет зону поражения ошибки, неправильной конфигурации или скомпрометированной идентификации значительно за пределы того, что мы видим с пассивными помощниками ИИ.

Это также создает новые вопросы об доступе, доверии и подотчетности. Какие данные агент может получить доступ? При каких условиях он может действовать? Как эта деятельность регистрируется, ограничивается и проверяется? Команды IT и безопасности будут должны относиться к агентам ИИ не как к функциям программного обеспечения, а как к привилегированным цифровым акторам. Это означает применение принципов, таких как минимальные привилегии, сегментация, изоляция сессий и сильная аудитория, с самого начала.

Когда организации интегрируют генеративный искусственный интеллект в инструменты производительности, системы поддержки клиентов и внутренние рабочие процессы, какие виды экспозиции конфиденциальных данных вас больше всего беспокоят?

Использование генеративного ИИ на рабочем месте стерло границу между личными и корпоративными данными. Сотрудники часто получают доступ к внешним инструментам, работая с корпоративной информацией, что делает очень легко для конфиденциальных данных, таких как записи клиентов, внутренние документы, исходный код или финансовая информация, попасть в внешние среды. Когда корпоративные данные проходят через личные контексты или неуправляемые устройства, компании теряют видимость и контроль над тем, куда эта информация идет, как она хранится и кто в конечном итоге может получить к ней доступ. Когда ИИ становится встроенным в повседневные рабочие процессы, организации должны решить эту размытую границу, обеспечивая, что корпоративные данные остаются защищенными, даже когда работа происходит на личных устройствах.

Взглянув вперед, как вы видите эволюцию безопасности конечных точек, когда рабочие процессы, управляемые ИИ, становятся более распространенными в распределенных и удаленных рабочих силах?

Безопасность конечных точек должна стать намного более адаптивной, контекстно-зависимой и ориентированной на рабочую среду. В прошлом дизайн безопасности конечных точек предполагал управляемое устройство, определенный офисный периметр и относительно стабильный набор деловых приложений. Будущее распределено, управляемо ИИ и все более автономно. Безопасность должна следовать за самой работой, где бы она ни происходила, не предполагая полного контроля над устройством или блокирования производительности.

Победившая модель будет той, которая сочетает сильную разделение между устройством и конфиденциальными данными, контекстно-зависимые контроли доступа и архитектуру, которая сохраняет четкую границу между работой и личной деятельностью. Организациям нужны среды, где сотрудники, подрядчики и рабочие процессы, управляемые ИИ, могут работать продуктивно, но в рамках контроля, которые защищают данные по设计у. Компании, которые преуспеют, не будут теми, кто пытается замедлить внедрение ИИ; они будут теми, кто делает безопасное внедрение возможным в масштабе.

Спасибо за отличное интервью, читатели, которые хотят узнать больше, должны посетить Venn.