Como já detalhado neste espaço, em julho, um agente movido por modelos de IA da OpenAI (criadora do ChatGPT) invadiu a Hugging Face. O que se fala pouco é que outra inteligência artificial, da vítima, analisou mais de 17.600 eventos do ataque em horas, em uma investigação que normalmente levaria dias. Trata-se de um ponto de inflexão na cibersegurança, pois a defesa conseguiu acompanhar a mesma velocidade de máquina que favorece os invasores. Mas isso não quer dizer que possamos entregar a segurança à IA e torcer para que ela saiba o que fazer.
Para aproveitar essa vantagem, o CISO, executivo responsável pela estratégia e pela gestão de cibersegurança, terá de abrir mão da concentração de controle, uma tradição da área. Quanto mais a IA se espalha pela empresa, menos viável será uma equipe decidir o que pode ou não ser feito. Dessa forma, o papel passa de controlar tudo para orquestrar quem controla o quê.
Esse foi um dos temas centrais da Conferência de Segurança e Gestão de Risco do Gartner, realizada nos dias 4 e 5 de agosto, em São Paulo. "Com a automação, o business case muda a nosso favor", afirma Oscar Isaka, diretor analista sênior da consultoria. Segundo ele, se os criminosos já usavam a automação para escalar ataques, os defensores podem fazer o mesmo e transformar uma desvantagem histórica em uma oportunidade.
Ela não se resume a detectar melhor as invasões, mas a mudar a própria economia da defesa. "Você não pode combater a velocidade das máquinas com a velocidade humana", explica Paul Furtado, vice-presidente analista do Gartner. Para ele, "você perderá todas as vezes". A tecnologia deve automatizar tarefas e decisões em escala, liberando os profissionais para o que exige julgamento, estratégia e supervisão.
- Assine gratuitamente minha newsletter sobre IA, experiência do cliente, mídia e transformação digital
- Inscreva-se no meu podcast (escolha a plataforma): Spotify, Deezer, Apple Podcasts ou Soundcloud
A automação deixou de ser uma escolha para a cibersegurança. Mas isso não implica substituir profissionais, e sim dar a eles capacidade de analisar mais dados, testar mais cenários e responder mais rapidamente, para ampliar sua capacidade de decidir onde a máquina termina e o julgamento humano começa. Por isso, com a IA ampliando a quantidade de aplicações, o Gartner projeta que as organizações mais avançadas em IA paradoxalmente poderão precisar de 25% mais profissionais de cibersegurança até 2030.
Além disso, a engenharia de software assistida por IA abre outra frente, menos óbvia, porém talvez mais poderosa. Reconstruir sistemas legados deixou de exigir muito tempo e dinheiro, reduzindo vulnerabilidades acumuladas. Mais que reagir melhor a um ataque, a IA pode eliminar as condições que o tornam possível. A melhor defesa contra a próxima vulnerabilidade pode ser, afinal, não ter mais o sistema que a abriga.
Assim, o CISO do futuro não será o dono de toda a segurança. Terá de distribuir responsabilidades e influenciar outras áreas. Para Richard Addiscott, vice-presidente analista do Gartner, "o CISO orquestrador 'deixa rolar'". O executivo que tentar controlar tudo pode virar o maior gargalo da segurança.
O caminho é centralizar princípios e objetivos, mas distribuir sua execução. A IA exige melhores líderes. O CISO deixa de ser o policial da organização e passa a ser o arquiteto das condições para que ela experimente a IA sem perder o controle sobre seus riscos.
Com tudo isso, a inteligência artificial pode, sim, melhorar muito a cibersegurança. Mas isso dependerá menos de quanto controle as empresas conseguirem concentrar e mais de saber o que controlar, quem deve fazê-lo e onde é seguro deixar a máquina decidir. O CISO do futuro não será aquele que segura todas as rédeas, mas quem souber exatamente quais delas jamais podem ser soltas.
Vídeo relacionado:
