David Matalon, CEO và Người sáng lập của Venn – Loạt phỏng vấn

David Matalon, CEO và Người sáng lập của Venn, là một doanh nhân连续 với một hồ sơ dài về việc xây dựng các nền tảng công nghệ doanh nghiệp bảo mật, đã từng lãnh đạo OS33 – một trong những người dẫn đầu đầu tiên trong không gian làm việc bảo mật cho các công ty tài chính – và External IT, một người tiên phong trong dịch vụ CNTT lưu trữ. Với Venn, anh tập trung vào việc tái định nghĩa bảo mật làm việc từ xa bằng cách cho phép các tổ chức áp dụng mô hình mang thiết bị của riêng bạn (BYOD) mà không hy sinh tuân thủ hoặc kiểm soát, tận dụng kinh nghiệm sâu sắc của mình trong cơ sở hạ tầng đám mây, bảo mật điểm cuối và các ngành công nghiệp được quản lý để giải quyết các thách thức ngày càng tăng của lực lượng lao động phân tán.

Venn là một nền tảng bảo mật và làm việc từ xa được thiết kế để bảo mật dữ liệu công ty trên các thiết bị cá nhân và không được quản lý thông qua công nghệ Blue Border độc quyền của nó, tạo ra một khu vực bảo mật, mã hóa trên máy tính của người dùng nơi các ứng dụng và dữ liệu làm việc được phân lập với hoạt động cá nhân. Không giống như cơ sở hạ tầng máy tính ảo truyền thống, Venn cho phép các ứng dụng chạy cục bộ với hiệu suất bản địa trong khi thực thi các chính sách bảo vệ dữ liệu và tuân thủ nghiêm ngặt, giúp các tổ chức giảm chi phí CNTT, tích hợp nhanh chóng người lao động từ xa và duy trì quyền riêng tư bằng cách tách biệt môi trường doanh nghiệp và cá nhân trên cùng một thiết bị.

Bạn đã dành hơn hai thập kỷ xây dựng công nghệ cho làm việc từ xa bảo mật, từ việc ra mắt Offyx vào những ngày đầu của các nhà cung cấp dịch vụ ứng dụng đến việc thành lập OS33 và bây giờ là Venn. Những bài học từ những công ty trước đó đã dẫn bạn đến việc xây dựng Venn, và làm thế nào những kinh nghiệm đó đã định hình ý tưởng đằng sau Blue Border và tầm nhìn của bạn về bảo mật lực lượng lao động BYOD hiện đại?

Trong hơn hai thập kỷ qua, tôi đã có cơ hội xây dựng các công ty tại các giai đoạn khác nhau trong sự tiến hóa của làm việc từ xa. Tại OS33, chúng tôi đã dành nhiều năm cung cấp môi trường làm việc từ xa bảo mật thông qua cơ sở hạ tầng lưu trữ sử dụng công nghệ tương tự như cơ sở hạ tầng máy tính ảo (VDI). Mặc dù mô hình bảo mật đã hoạt động, chúng tôi vẫn tiếp tục nhận được phản hồi từ khách hàng: kinh nghiệm sử dụng các ứng dụng được lưu trữ từ xa thường chậm, phức tạp để duy trì và gây khó chịu cho người dùng.

Đó là một bước ngoặt. Lưu trữ từ xa đã giới thiệu độ trễ không thể tránh khỏi và yêu cầu cơ sở hạ tầng đáng kể, tạo ra sự phức tạp hoạt động cho các đội CNTT. Chúng tôi bắt đầu đặt ra một câu hỏi đơn giản: điều gì sẽ xảy ra nếu bạn có thể loại bỏ lưu trữ khỏi phương trình hoàn toàn? Thay vì chạy công việc ở một nơi khác và truyền nó đến người dùng, bạn có thể chạy công việc một cách bảo mật trên thiết bị của người dùng trong khi vẫn bảo vệ dữ liệu công ty?

Điều đó cuối cùng đã dẫn đến Venn và khái niệm đằng sau Blue Border. Thay vì buộc công việc thông qua lưu trữ từ xa và ảo hóa, chúng tôi đã tạo ra một mô hình mới cho phép các ứng dụng công ty chạy cục bộ trên máy tính xách tay của người dùng trong khi giữ cho dữ liệu công ty được mã hóa và bảo vệ. Ngay cả trên một máy tính xách tay cá nhân, công việc vẫn được phân lập và bảo vệ khỏi hoạt động cá nhân.

Công cụ trí tuệ nhân tạo đang lan rộng khắp các doanh nghiệp nhanh hơn so với các chính sách có thể theo kịp. Từ quan điểm của bạn, tại sao quản trị đã khó theo kịp việc áp dụng AI trong các tổ chức?

Quản trị đã khó theo kịp việc áp dụng AI vì công nghệ đã trở thành một công cụ hàng ngày gần như qua đêm. Trong những năm gần đây kể từ khi ChatGPT bùng nổ, nhân viên đã tích hợp AI vào cuộc sống và quy trình làm việc của họ. Họ không chờ đợi các chu kỳ phê duyệt chính thức của bộ phận CNTT; họ đã sử dụng AI để viết nhanh hơn, phân tích thông tin, tóm tắt các cuộc họp hoặc tạo mã trong vài giây. Trong hầu hết các tổ chức, việc tạo chính sách, xem xét pháp lý, xác thực bảo mật và triển khai CNTT xảy ra trên một dòng thời gian chậm hơn nhiều so với hành vi của người dùng. Đó là khoảng trống mà quản trị AI đang tụt lại phía sau.

Vấn đề sâu sắc hơn là nhiều tổ chức đang cố gắng áp dụng mô hình kiểm soát của ngày hôm qua vào hiện thực AI của ngày hôm nay. Quản trị truyền thống được xây dựng xung quanh việc phê duyệt hoặc chặn một tập hợp ứng dụng đã biết, nhưng AI hiện đã được nhúng vào các trình duyệt, nền tảng SaaS và thậm chí cả hệ điều hành. Quản trị phải phát triển vượt ra ngoài việc kiểm soát một tập hợp công cụ đã xác định và tập trung vào việc bảo vệ dữ liệu ở bất kỳ nơi nào nó cư trú, bảo mật môi trường làm việc và xác định các điều kiện mà thông tin nhạy cảm có thể được sử dụng một cách an toàn.

Nhiều công ty cố gắng giải quyết vấn đề bằng cách hạn chế hoặc cấm các công cụ AI tạo ra. Tại sao bạn tin rằng cách tiếp cận này không thành công trong thực tế và những rủi ro bảo mật không mong muốn nào nó có thể tạo ra?

Các lệnh cấm không thành công vì chúng bỏ qua thực tế về cách mọi người làm việc. Nhân viên sẽ tìm cách sử dụng các công cụ AI bất kể phê duyệt chính thức. Điều đó tạo ra bóng tối AI, hoặc sử dụng các công cụ không được phê duyệt, tài khoản cá nhân, quy trình làm việc sao chép và tương tác dựa trên trình duyệt, có thể xảy ra bên ngoài sự giám sát được phê duyệt. Công ty sau đó mất khả năng hiển thị, đặt dữ liệu nhạy cảm của mình vào rủi ro.

Trong nhiều trường hợp, các chính sách hạn chế có thể tăng rủi ro hơn là giảm rủi ro. Khi nhân viên không thể sử dụng các công cụ này một cách an toàn, họ thường tìm cách tránh. Dữ liệu công ty nhạy cảm có thể kết thúc việc chảy vào các công cụ mà các đội CNTT hoặc bảo mật không theo dõi hoặc kiểm soát. Cách tiếp cận tốt hơn là không phải cấm đoán vì lợi ích của chính nó, mà cho phép sử dụng an toàn thông qua phân lập, kiểm soát dữ liệu và các rào cản rõ ràng cho phép kinh doanh tiến hành mà không暴露 thông tin quan trọng.

Các khả năng AI đang ngày càng được tích hợp vào các ứng dụng hàng ngày thay vì tồn tại như các công cụ độc lập. Làm thế nào sự thay đổi này thay đổi cách các đội bảo mật nên suy nghĩ về việc giám sát và kiểm soát việc暴露 dữ liệu?

Sự thay đổi này rất quan trọng vì nó phá vỡ mô hình tinh thần cũ về “ứng dụng rủi ro so với ứng dụng được phê duyệt”. Nếu AI được tích hợp vào email, CRM, hội nghị, chỉnh sửa tài liệu và tìm kiếm, thì việc暴露 dữ liệu không còn gắn liền với việc người dùng mở một công cụ AI riêng biệt. Nó được kết nối với dữ liệu nào có thể truy cập được trong ứng dụng, ngữ cảnh mà AI có thể nhìn thấy và liệu tương tác đó xảy ra trong một không gian làm việc bảo mật.

Kết quả là các đội bảo mật cần tập trung vào việc bảo vệ dữ liệu thay vì khóa toàn bộ thiết bị. Sự tập trung nên được đặt vào việc phân lập các phiên làm việc, kiểm soát sao chép và tải xuống khi thích hợp, ngăn chặn rò rỉ qua các ngữ cảnh cá nhân và kinh doanh và đảm bảo thông tin nhạy cảm vẫn nằm trong một môi trường được bảo vệ.

Công nghệ Blue Border của Venn phân lập các ứng dụng và dữ liệu làm việc cục bộ trên thiết bị cá nhân của người dùng thay vì dựa vào cơ sở hạ tầng máy tính ảo truyền thống. Làm thế nào kiến trúc này thay đổi cơ bản mô hình bảo mật điểm cuối cho làm việc từ xa?

Blue Border thay đổi cơ bản mô hình bảo mật điểm cuối bằng cách chuyển ra ngoài ý tưởng rằng bảo mật yêu cầu kiểm soát thiết bị đầy đủ hoặc máy tính ảo. VDI truyền thống bảo mật công việc bằng cách lưu trữ từ xa và truyền nó đến người dùng. Blue Border bảo mật công việc một cách an toàn trên thiết bị cá nhân của người dùng bằng cách tạo ra một khu vực bảo mật được kiểm soát bởi CNTT, nơi các ứng dụng chạy cục bộ và dữ liệu công ty vẫn được phân lập và bảo vệ.

Kết quả là một mô hình bảo mật khác cho làm việc từ xa, nơi các công ty có thể thực thi bảo vệ xung quanh công việc本身 mà không cần phát hành thiết bị công ty hoặc buộc người dùng phải đối mặt với độ trễ và độ trễ mà việc lưu trữ máy tính để bàn trong đám mây mang lại.

Nhiều tổ chức gặp khó khăn trong việc cân bằng quyền riêng tư của nhân viên và giám sát của công ty khi người lao động sử dụng thiết bị cá nhân. Làm thế nào các đội bảo mật có thể bảo vệ dữ liệu nhạy cảm mà không tạo ra nhận thức về việc giám sát?

Chìa khóa là bảo vệ công việc, không phải hoạt động cá nhân. Nhân viên hiểu rõ khi các biện pháp bảo mật có thể mở rộng vào các tệp cá nhân, tin nhắn, lịch sử trình duyệt hoặc ứng dụng cá nhân của họ. Trên một thiết bị BYOD, sự tin tưởng rất quan trọng. Nếu công ty không thể giải thích rõ ràng nơi khả năng hiển thị của họ bắt đầu và kết thúc, nhân viên sẽ giả định điều tồi tệ.

Một mô hình mạnh mẽ hơn là một mô hình tạo ra một không gian làm việc riêng biệt cho hoạt động kinh doanh và áp dụng các biện pháp bảo mật chỉ trong ranh giới đó. Điều này mang lại cho tổ chức khả năng bảo vệ dữ liệu công ty trong khi mang lại cho nhân viên sự tự tin rằng hoạt động cá nhân của họ không bị theo dõi hoặc quản lý. Quyền riêng tư và bảo mật không cần phải cạnh tranh nếu kiến trúc được thiết kế để tách chúng một cách sạch sẽ.

Làm việc từ xa và các đội dựa trên nhà thầu đã khiến môi trường BYOD gần như không thể tránh khỏi. Những rủi ro bảo mật lớn nhất liên quan đến thiết bị không được quản lý ngày nay là gì?

Rủi ro lớn nhất là thiết bị không được quản lý xóa bỏ ranh giới giữa hoạt động kinh doanh và cá nhân. Trên cùng một máy, người dùng có thể có các ứng dụng làm việc mở cùng với email cá nhân, công cụ AI của người tiêu dùng, ứng dụng nhắn tin, dịch vụ chia sẻ tệp và tiện ích mở rộng trình duyệt không đáng tin cậy. Không có lớp phân tách bảo mật, rất dễ dàng để dữ liệu nhạy cảm bị sao chép, lưu vào bộ đệm, tải xuống, chụp màn hình hoặc暴露 qua các kênh mà công ty không kiểm soát. Đối với các tổ chức phải tuân thủ các quy định về bảo mật dữ liệu, đây là một rủi ro rất lớn.

Các tác nhân AI và các quy trình làm việc tự động đang bắt đầu tương tác với các ứng dụng và dữ liệu doanh nghiệp. Những thách thức bảo mật mới nào mà các hệ thống tự động này giới thiệu?

Các hệ thống tự động giới thiệu một loại rủi ro khác vì chúng không chỉ tạo ra nội dung mà còn có thể hành động. Các tác nhân AI kết nối với hệ thống doanh nghiệp có thể truy xuất hoặc di chuyển dữ liệu, cập nhật hồ sơ, kích hoạt quy trình làm việc hoặc giao tiếp bên ngoài. Điều đó mở rộng đáng kể phạm vi ảnh hưởng của một sai lầm, cấu hình sai hoặc danh tính bị xâm phạm so với những gì chúng ta thấy với các trợ lý AI thụ động.

Nó cũng tạo ra các câu hỏi mới về quyền truy cập, tin cậy và trách nhiệm. Dữ liệu nào mà tác nhân được phép truy cập? Trong những điều kiện nào nó có thể hành động? Làm thế nào hoạt động đó được ghi nhật ký, hạn chế và xem xét? Các đội CNTT và bảo mật sẽ cần phải đối xử với các tác nhân AI ít hơn như các tính năng phần mềm và nhiều hơn như các diễn viên số đặc quyền. Điều đó có nghĩa là áp dụng các nguyên tắc như đặc quyền tối thiểu, phân đoạn, cách ly phiên và khả năng kiểm toán mạnh mẽ từ đầu.

Khi các tổ chức tích hợp trí tuệ nhân tạo tạo ra vào các công cụ năng suất, hệ thống hỗ trợ khách hàng và quy trình làm việc nội bộ, những loại暴露 dữ liệu nhạy cảm nào khiến bạn lo lắng nhất?

Sử dụng AI tạo ra trong nơi làm việc đã làm mờ ranh giới giữa dữ liệu cá nhân và công ty. Nhân viên thường truy cập các công cụ bên ngoài trong khi làm việc với thông tin công ty, điều này làm cho dữ liệu nhạy cảm như hồ sơ khách hàng, tài liệu nội bộ, mã nguồn hoặc thông tin tài chính rất dễ dàng bị rò rỉ vào các môi trường bên ngoài. Khi dữ liệu công ty chảy qua các ngữ cảnh cá nhân hoặc thiết bị không được quản lý, các công ty mất khả năng hiển thị và kiểm soát nơi thông tin đó đi, cách nó được lưu trữ và ai có thể truy cập nó. Khi AI trở nên nhúng vào các quy trình làm việc hàng ngày, các tổ chức cần giải quyết ranh giới mờ này một cách rõ ràng bằng cách đảm bảo rằng dữ liệu công ty được bảo vệ ngay cả khi công việc xảy ra trên thiết bị cá nhân.

Nhìn về tương lai, bạn thấy bảo mật điểm cuối sẽ phát triển như thế nào khi các quy trình làm việc được thúc đẩy bởi AI trở nên phổ biến hơn trên các lực lượng lao động từ xa và phân tán?

Bảo mật điểm cuối sẽ cần phải trở nên thích ứng, nhận thức được ngữ cảnh và tập trung vào không gian làm việc nhiều hơn. Trong quá khứ, thiết kế bảo mật điểm cuối giả định một thiết bị được quản lý, một ranh giới văn phòng được xác định và một tập hợp ứng dụng kinh doanh tương đối ổn định. Tương lai là phân tán, được thúc đẩy bởi AI và ngày càng tự động. Bảo mật cần phải theo công việc bản thân, bất kể nơi nào nó xảy ra, mà không giả định kiểm soát đầy đủ thiết bị hoặc chặn năng suất.

Mô hình chiến thắng sẽ là một mô hình kết hợp sự tách biệt mạnh mẽ giữa thiết bị và dữ liệu nhạy cảm, kiểm soát truy cập nhận thức được ngữ cảnh và một kiến trúc bảo tồn một ranh giới rõ ràng giữa công việc và hoạt động cá nhân. Các tổ chức cần có môi trường mà nhân viên, nhà thầu và các quy trình làm việc được AI kích hoạt có thể hoạt động một cách năng suất, nhưng trong các kiểm soát bảo vệ dữ liệu theo thiết kế. Các công ty thành công sẽ không phải là những công ty cố gắng làm chậm việc áp dụng AI; họ sẽ là những công ty làm cho việc áp dụng an toàn có thể xảy ra trên quy mô lớn.

Cảm ơn cuộc phỏng vấn tuyệt vời, độc giả muốn tìm hiểu thêm có thể truy cập Venn.