David Matalon, Venn’in CEO ve Kurucusu – Röportaj Serisi

David Matalon, Venn’in CEO ve Kurucusu, güvenli entreprise teknoloji platformları oluşturma konusunda uzun bir geçmişe sahip bir seri girişimcidir. Daha önce OS33’ü – finansal şirketler için güvenli çalışma alanlarının erken liderlerinden biri – ve External IT’yi – barındırılan IT hizmetlerinin öncüsü – yönetmiştir. Venn ile birlikte, şirketler bring-your-own-device (BYOD) modellerini benimsemelerine olanak tanıyarak, uyumluluğu veya kontrolü feda etmeden uzak çalışma güvenliğini yeniden tanımlamak için bulut altyapısı, uç nokta güvenliği ve düzenlenmiş endüstrilerdeki derin deneyimini kullanmaktadır.

Venn, kişisel ve yönetilmeyen cihazlardaki şirket verilerini özel Blue Border™ teknolojisi aracılığıyla güvence altına alan bir siber güvenlik ve uzak çalışma platformudur. Bu teknoloji, bir kullanıcının bilgisayarında iş uygulamaları ve verilerinin kişisel aktiviteden izole edildiği güvenli, şifreli bir alan oluşturur. Geleneksel sanal masaüstü altyapısının aksine, Venn, uygulamaların yerel olarak çalışmasına ve aynı zamanda katı veri koruması ve uyumluluk politikaları uygulama olanakı tanır. Bu, organizasyonların IT giderlerini azaltmasına, uzak çalışanları hızlı bir şekilde entegre etmesine ve kişisel ve kurumsal ortamları aynı cihazda ayırarak gizliliği korumasına yardımcı olur.

Üstün bir geçmişe sahip olarak, uzak çalışma için güvenli teknoloji geliştirdiniz, application service provider’ların erken günlerinde Offyx’i başlatarak, OS33’ü kurarak ve şimdi Venn’i inşa ederek. Daha önceki şirketlerden alınan dersler Venn’i inşa etmenize nasıl yol açtı ve bu deneyimler Blue Border™ ve modern Bring Your Own Device (BYOD) işgücünü güvence altına alma vizyonunuzu nasıl şekillendirdi?

Son yirmi yıl içinde, uzak çalışmanın evriminin çeşitli aşamalarında şirketler kurma fırsatım oldu. OS33’de, sanal masaüstü altyapısına benzer teknoloji kullanan barındırılan altyapı aracılığıyla güvenli uzak çalışma ortamları sunarak yıllarca geçirdim. Güvenlik modeli çalışıyordu, ancak müşterilerden aynı geri bildirimi almaya devam ediyorduk: uzaktan barındırılan uygulamaları kullanma deneyimi genellikle yavaş, bakımı karmaşıktı ve kullanıcılar için sinir bozucuydu.

Bu geri bildirim bir dönüm noktası oldu. Uzak barındırma kaçınılmaz bir gecikme getirdi ve önemli altyapı gerektirdi, bu da IT ekipleri için operasyonel karmaşıklık yarattı. Basit bir soru sormaya başladık: Barındırma kavramını tamamen ortadan kaldırsak ne olur? Kullanıcıya akışını sağlamak yerine, çalışmayı kullanıcının cihazında yerel olarak güvenli bir şekilde çalıştırabilir miyiz?

Bu düşünce sonunda Venn ve Blue Border kavramına yol açtı. Uzak barındırma ve sanallaştırmaya dayanmak yerine, şirket uygulamalarının kullanıcının laptop’unda yerel olarak çalışmasına ve şirket verilerinin şifreli ve korunmasına izin veren yeni bir model oluşturduk. Hatta kişisel bir laptop’ta, iş kişisel aktiviteden izole edilmiş ve korunur durumda kalır.

Yapay zeka araçları, politikaların takip edebileceğinden daha hızlı bir şekilde şirketler içinde yayılıyor. Yapay zeka benimsemesinin içinde şirketler içindeki yönetim neden politikalarla aynı hızda ilerleyemiyor?

Yönetim, politikaların takip edebileceğinden daha hızlı bir şekilde şirketler içinde yayılmaya başlayan yapay zeka araçlarıyla aynı hızda ilerleyemiyor. Son birkaç yıldır ChatGPT patladıktan bu yana, çalışanlar iş akışlarına ve günlük yaşamlarına yapay zeka araçlarını entegre etti. Resmi IT onay çevrimlerini beklemiyorlar; already AI’ı daha hızlı yazmak, bilgi analiz etmek, toplantıları özetlemek veya saniyeler içinde kod oluşturmak için kullanıyorlar. Çoğu organizasyonda, politika oluşturma, hukuki inceleme, güvenlik doğrulaması ve IT dağıtımı, kullanıcı davranışı kadar hızlı gerçekleşmez. Bu uçurum, AI yönetiminde geride kalmanın nedenidir.

Daha derin bir problem, birçok organizasyonun dünün kontrol modelini bugünün AI gerçekliğine uygulamaya çalışmasıdır. Geleneksel yönetim, bilinen bir uygulama setini onaylama veya engelleme etrafında inşa edildi, ancak AI artık tarayıcılar, SaaS platformları ve hatta işletim sistemlerinde gömülüdür. Yönetim, önceden belirlenmiş bir araç setini kontrol etmekten ziyade, verilerin nerede olduğu önemli değil, çalışma ortamını güvence altına almak ve duyarlı bilgilerin güvenli bir şekilde kullanılabilmesi için koşulları tanımlamak üzere evrimleşmelidir.

Çok sayıda şirket, bu problemi çözme girişiminde bulunarak, üretken AI araçlarını kısıtlamaya veya yasaklamaya çalışıyor. Bu yaklaşımın neden uygulamada başarısız olduğuna ve hangi istenmeyen güvenlik risklerini yaratabileceğine inanıyoruz?

Yasaklar, insanların nasıl çalıştığına ilişkin gerçekliği görmezden gelir. Çalışanlar, resmi onay almasalar bile AI araçlarını kullanmaya devam edeceklerdir. Bu, şirketin görünürlüğünü kaybetmesine, böylece hassas şirket verilerinin risk altına girmesine neden olur.

Çoğu durumda, kısıtlayıcı politikalar riski azaltmak yerine artırmaktadır. Çalışanlar güvenli bir şekilde bu araçları kullanamadığında, genellikle çözüm yolları bulurlar. Hassas şirket verileri, IT veya güvenlik ekiplerinin izlemeyeceği veya kontrol edemeyeceği araçlara akabilir. Daha iyi bir yaklaşım, yasaklama değil, güvenlik kontrolleri ve açık sınırlar aracılığıyla güvenli kullanımı ermögilmektir; böylece iş ilerlerken kritik bilgileri açığa vurmadan.

AI yetenekleri artık ayrı araçlar olarak var olmak yerine günlük uygulamalara gömülmeye başlıyor. Bu değişim, güvenlik ekiplerinin veri maruziyetini izleme ve kontrol etme şeklini nasıl değiştiriyor?

Bu değişim önemli çünkü eski “riskli uygulama vs. onaylı uygulama” zihinsel modelini kırıyor. AI, e-posta, CRM, konferans, belge düzenleme ve arama gibi uygulamalara gömülü ise, veri maruziyeti artık ayrı bir AI aracını açmakla ilgili değil, erişilebilen verilere, AI’ın görebileceği bağlama ve bu etkileşimin güvenli bir çalışma alanında olup olmadığına bağlıdır.

Sonuç olarak, güvenlik ekipleri, tam cihaz kilidini değil, verilerin korunmasına odaklanmalıdır. Odak, çalışma oturumlarını izole etmeli, gerektiğinde kopyala/yapıştır ve indirmeleri kontrol etmelidir; ayrıca kişisel ve ticari bağlamlar arasında sızıntıyı önlemek ve hassas bilgilerin korunan bir ortam içinde kalmasını sağlamak için çalışmalıdır.

Venn’in Blue Border™ teknolojisi, geleneksel sanal masaüstü altyapısına güvenmek yerine, iş uygulamalarını ve verilerini kullanıcının kişisel cihazında yerel olarak izole ediyor. Bu mimari, uzak çalışma için uç nokta güvenlik modelini temel olarak nasıl yeniden şekillendiriyor?

Blue Border, güvenlik gerektirdiği için ya tüm cihaza kontrol ya da sanallaştırılmış bir masaüstü gerektiren fikrini aşarak, uç nokta güvenlik modelini temel olarak değiştiriyor. Geleneksel VDI, çalışmayı uzaktan barındırarak ve kullanıcıya akışını sağlayarak güvence altına alır. Blue Border, şirket uygulamalarının kullanıcının laptop’unda yerel olarak çalışmasına ve şirket verilerinin şifreli ve korunmasına izin veren yeni bir model oluşturur.

Sonuç, şirketlerin korumayı sağlayabilmesi için şirket cihazları vermesi veya kullanıcıların uzaktaki bir masaüstünü kullanmak zorunda kalması gerekmez. Güvenlik mimarisi açısından, bu model, tüm uç noktayı veya merkezi güvenlik protokollerini kontrol etmekten, çalışma alanını kendisi korumaya odaklanmaya geçişi temsil eder. Blue Border, hassas verilerin korunan, yerel ortamdan asla ayrılmadığını garantiler ve bu sınır içinde politika uygular. Kişisel tarafına sızıntıyı önler. Böylece, kullanıcılar yerel hesap ve uygulama performansından yararlanabilir ve dünyanın her yerinden kişisel bir cihaz kullanabilirler.

Çok sayıda organizasyon, çalışanların kişisel cihazlarını kullanırken, çalışanların mahremiyetini korurken kurumsal denetimi nasıl sağlayabilir?

Anahtar, işi korumak, kişisel aktiviteyi değil. Çalışanlar, güvenlik önlemlerinin kişisel dosyalarına, mesajlarına, tarayıcı geçmişine veya kişisel uygulamalarına uzanabileceğinden endişe duyarlar. Bir BYOD cihazında, güven önemli. Şirket, görünürlüğünün nerede başladığını ve bittiğini açıklayamazsa, çalışanlar en kötüsünü varsayar.

Güçlü bir model, iş faaliyeti için ayrı bir çalışma alanı oluşturan ve güvenlik kontrollerini yalnızca bu sınırlar içinde uygulayan bir modeldir. Bu, organizasyona şirket verilerini koruma olanağı tanır ve çalışanlara, kişisel aktiviteleri izlenmediği veya yönetilmediği konusunda güvence verir. Mahremiyet ve güvenlik, mimari temiz bir şekilde ayrıldığında, birbirleriyle rekabet etmek zorunda değildir.

Uzak çalışma ve sözleşmeli ekiplere dayalı takımlar, BYOD ortamlarını neredeyse kaçınılmaz hale getirdi. Bugün yönetilmeyen cihazlarla ilişkili en büyük güvenlik riskleri nelerdir?

En büyük risk, yönetilmeyen cihazların kişisel ve ticari faaliyetler arasındaki sınırı silmesidir. Aynı makinede, bir kullanıcı iş uygulamalarını, kişisel e-posta, tüketici AI araçları, mesajlaşma uygulamaları, dosya paylaşım hizmetleri ve güvensiz tarayıcı uzantıları ile birlikte açabilir. Güvenli bir ayırma katmanı olmadan, hassas verilerin kopyalanması, önbelleğe alınması, indirilmesi, ekran görüntüsünün alınması veya şirketin denetimi veya kontrolü dışında kanallar aracılığıyla açığa çıkması çok kolaydır. Düzenleyici veri güvenliği düzenlemelerine tabi olan organizasyonlar için bu, büyük bir risktir.

Yapay zeka ajanları ve otomatik iş akışları, şirket uygulamaları ve verilerine etkileşimli bir şekilde etkileşime girmeye başlıyor. Bu özerk sistemler, hangi yeni güvenlik zorluklarını ortaya çıkarıyor?

Otomatik sistemler, farklı bir risk sınıfı ortaya koyar çünkü yalnızca içerik oluşturmazlar, aynı zamanda eylemde bulunabilirler. Şirket sistemlerine bağlı AI ajanları, veri alabilir, kayıtları güncelleyebilir, iş akışlarını tetikleyebilir veya dışarıya iletişim kurabilir. Bu, bir hatanın, yanlış yapılandırmanın veya tehlikeye atılan kimliğin ötesinde, pasif AI asistanlarıyla gördüğümüzün çok ötesinde bir risk alanını genişletir.

Ayrıca erişim, güven ve hesap verebilirlik konusunda yeni sorular ortaya koyar. AI aracının hangi verilere erişmesine izin verilir? Hangi koşullarda eylem gerçekleştirebilir? Bu faaliyet nasıl kaydedilir, kısıtlanır ve incelenir? IT ve güvenlik ekipleri, AI ajanlarını, yazılım özelliklerinden ziyade ayrıcalıklı dijital aktörler olarak ele almalıdır. Bu, en baştan itibaren en az ayrıcalık, segmentasyon, oturum izolasyonu ve güçlü denetlenebilirlik ilkelerini uygulamak anlamına gelir.

Organizasyonlar, üretkenlik araçlarına, müşteri destek sistemlerine ve iç iş akışlarına yapay zeka entegre ettikçe, hangi tür hassas veri açığa çıkarmalarından en çok endişe duyuyorsunuz?

İşyerinde yapay zeka kullanımı, kişisel ve şirket verileri arasındaki sınırı bulanıklaştırdı. Çalışanlar, şirket bilgileriyle çalışırken thường dış araçlara erişirler, bu da müşteri kayıtları, iç belgeler, kaynak kodu veya finansal bilgiler gibi hassas verilerin dış ortamlara kolayca geçebileceği anlamına gelir. Şirket verisi, kişisel bağlamlar veya yönetilmeyen cihazlar aracılığıyla akarsa, şirketler görünürlüğü ve kontrolü kaybeder; nereye gideceğini, nasıl depolanacağını ve kimin sonunda erişebileceğini bilmezler. AI, günlük iş akışlarına gömüldükçe, organizasyonlar bu bulanık sınırı doğrudan ele alarak, şirket verilerinin kişisel cihazlarda çalışırken korunmasını sağlamalıdır.

İleriye bakıldığında, AI sürümlü iş akışlarının daha yaygın hale geldiği dağıtılmış ve uzak çalışma güçlerinde uç nokta güvenliğinin nasıl evrileceğini görüyorsunuz?

Uç nokta güvenliği, çok daha esnek, bağlam bilinci ve çalışma alanı odaklı hale gelmelidir. Geçmişte, uç nokta güvenlik tasarımı, yönetilen bir cihaza, tanımlanmış bir ofis sınırlarına ve nispeten稳 bir iş uygulamaları setine dayanıyordu. Gelecek, dağıtılmış, AI destekli ve giderek daha özerktir. Güvenlik, nerede olursa olsun, çalışmayı kendisi izlemelidir; cihazın tam kontrolünü veya üretkenliği engellemeyi varsaymaz.

Kazanacak model, cihaz ve hassas verilerin güçlü bir ayrımını, bağlam bilinci erişim kontrollerini ve iş ve kişisel aktivite arasında net bir sınırı koruyan bir mimariyi birleştirecek olanıdır. Organizasyonlar, çalışanların, sözleşmeli personelin ve AI destekli iş akışlarının verimli bir şekilde çalışabileceği, ancak veri korumasını sağlayan kontroller içinde çalışabileceği ortamlara ihtiyaç duyar. Başarılı olacak şirketler, AI benimsemesini yavaşlatmaya çalışanlar değil, güvenli benimsemeyi mümkün kılanlar olacaktır.