A Inteligência Artificial está em todo o lado. Todas as conferências de segurança, reuniões de administração, apresentações de fornecedores e relatórios do setor parecem dominados por conversas sobre IA. Ouço constantemente dizer que a IA vai revolucionar a forma como nos defendemos, ajudar a transformar as operações de segurança e mudar a forma como as organizações gerem o risco. Ao mesmo tempo, vemos títulos que alertam para atacantes autónomos, campanhas de phishing cada vez mais convincentes e um futuro em que os agentes de ameaça operam à velocidade das máquinas.
Muito disto é, naturalmente, verdade. Os modelos de IA de vanguarda estão a criar novas oportunidades de inovação, a aumentar a produtividade e a ajudar as equipas de defesa a analisar dados a uma escala que anteriormente seria inimaginável. Da mesma forma, os agentes de ameaça estão a tirar partido de muitas destas capacidades para melhorar as atividades de reconhecimento, automatizar tarefas e tornar ainda mais eficazes ataques de engenharia social que já eram bem-sucedidos antes da evolução proporcionada pela IA.
No entanto, no meio de todo este ruído, há uma realidade inalterada. Quando as organizações sofrem incidentes de cibersegurança significativos, a causa principal é muitas vezes familiar. Recentemente, deparei-me com uma organização na Europa que tinha sido alvo de uma violação de segurança e que mantinha todos os seus servidores, incluindo os ativos mais críticos, expostos à Internet com autenticação de fator único e práticas de gestão de palavras-passe extremamente deficientes.
Controlos de identidade frágeis, pouca visibilidade, exposições não geridas, processos de decisão ineficazes e planos de recuperação que nunca foram testados continuam a representar um verdadeiro desafio para muitas organizações em todo o mundo. Os agentes de ameaça são predominantemente oportunistas e, enquanto continuarmos a criar essas oportunidades, com ou sem IA, estaremos em risco.
Apesar de toda a discussão em torno da IA, as organizações que recuperam de forma mais eficaz de incidentes ou eventos de cibersegurança são, geralmente, aquelas que dominam os fundamentos. A era da IA não alterou as bases da ciber-resiliência. Apenas aumentou a velocidade, a escala e as consequências de não as aplicar corretamente.
A ameaça evoluiu, os fundamentos não
Sim, a IA está a mudar a forma como os ciberataques são realizados. Os emails de phishing estão a tornar-se mais convincentes, a engenharia social mais escalável, o desenvolvimento de malware mais acessível e as atividades de reconhecimento podem ser automatizadas e aceleradas. De acordo com o nosso Relatório Anual de Threat Intelligence do último ano, 30% dos ataques de personificação de empresas envolvem deepfakes.
No entanto, os atacantes perseguem os mesmos objetivos de sempre: obter acesso inicial, escalar privilégios, movimentar-se lateralmente, estabelecer persistência e, por fim, alcançar o impacto pretendido.
As ferramentas podem mudar, mas o ciclo de atuação permanece surpreendentemente consistente. Da mesma forma, as medidas de defesa mais eficazes continuam, em grande parte, inalteradas. Controlos de identidade robustos, gestão de acessos privilegiados, monitorização eficaz, segmentação de redes e processos operacionais sólidos constituem a base de uma defesa bem-sucedida.
Existe um perigo evidente de as organizações se deixarem distrair pela promessa das tecnologias emergentes, ignorando as capacidades que mais importam perante um incidente real.
A ciber-resiliência constrói-se através de disciplina e de uma compreensão clara do ambiente da organização e dos respetivos riscos.
A identidade tornou-se o novo perímetro
Durante décadas, as organizações concentraram as suas estratégias de segurança na proteção do perímetro da rede. Firewalls, gateways e segmentação definiram, em grande medida, a arquitetura de segurança. Hoje, a identidade tornou-se o principal foco.
Os incidentes de cibersegurança mais impactantes envolvem quase sempre o abuso ou a manipulação de identidades. Credenciais roubadas, roubo de tokens, contorno da autenticação multifator (MFA), sequestro de sessões e abuso de contas privilegiadas são componentes centrais dos ataques modernos. As discussões na comunidade de cibersegurança reforçam cada vez mais a importância da identidade enquanto fator determinante na preparação e resposta a incidentes.
Para mim, isto levanta uma questão importante: será que as organizações sabem realmente quais são as identidades mais importantes?
Muitas conseguem identificar os seus sistemas críticos, mas têm dificuldade em identificar as suas identidades críticas. Que contas poderiam desativar capacidades de segurança? Que identidades podem fazer-se passar por utilizadores, modificar infraestruturas ou interromper operações? Que identidades de terceiros representam um risco significativo para o negócio?
Compreender a exposição associada às identidades tornou-se um requisito fundamental de resiliência. Não basta saber quais são os ativos críticos. Para um atacante, comprometer a identidade certa é muitas vezes bastante mais valioso do que comprometer o dispositivo certo.
Deixe de perseguir vulnerabilidades e comece a compreender a exposição
Um erro comum nos programas de cibersegurança consiste em tratar todas as vulnerabilidades como se tivessem a mesma importância. As equipas de segurança estão sobrecarregadas com vulnerabilidades, sobretudo tendo em conta o aumento exponencial esperado com a utilização de ferramentas de IA. Dezenas de milhares de ocorrências, inúmeros alertas e um fluxo interminável de CVE (Common Vulnerabilities and Exposures) críticas podem criar uma ilusão de conhecimento, ao mesmo tempo que ocultam os riscos verdadeiramente relevantes.
Vejo regularmente clientes que dispõem de ferramentas de gestão de vulnerabilidades e, ainda assim, acumulam milhares de vulnerabilidades por gerir. A realidade é que nem todas as vulnerabilidades classificadas como críticas são efetivamente críticas para a sua organização. O que importa é o risco e compreender de que forma essas vulnerabilidades a afetam concretamente.
A classificação de gravidade de uma vulnerabilidade não se traduz automaticamente em risco para o negócio. As discussões no setor têm evidenciado o desafio enfrentado pelas organizações que convivem constantemente com vulnerabilidades críticas, tornando difícil estabelecer prioridades apenas com base na gravidade técnica.
É essencial que as organizações se concentrem em questões como:
- O ativo é crítico para o negócio?
- Está exposto à Internet?
- Existem evidências de exploração ativa?
- O que aconteceria se fosse comprometido?
- Com que rapidez conseguiríamos recuperar?
A ciber-resiliência exige que as organizações evoluam da simples gestão de vulnerabilidades para uma verdadeira gestão da exposição. Frameworks como o Continuous Threat Exposure Management (CTEM – Gestão Contínua da Exposição a Ameaças) podem ajudar a priorizar os esforços de remediação, concentrando-se na exposição e no impacto para o negócio, em vez de considerar apenas a gravidade técnica.
O objetivo não é corrigir tudo primeiro. É compreender o que realmente importa e reduzir o risco onde essa intervenção fará maior diferença.
A tecnologia não responde a incidentes. As pessoas respondem.
Mesmo os controlos técnicos mais sofisticados acabarão por enfrentar um cenário que não foram concebidos para prevenir. Quando isso acontece, as pessoas tornam-se o elemento mais importante da resiliência.
Durante um incidente de cibersegurança, as organizações enfrentam decisões que a tecnologia não consegue tomar:
- Devemos colocar os sistemas offline?
- As operações devem continuar?
- Quando devemos notificar os reguladores?
- O que devemos comunicar aos clientes?
- Que nível de risco é aceitável?
Estas decisões têm frequentemente de ser tomadas sob pressão, com informação incompleta e perante consequências significativas para o negócio. Ainda assim, muitas organizações testam a tecnologia com maior frequência do que testam os seus processos de decisão.
Uma verdadeira capacidade de resiliência exige confiança a todos os níveis da organização: equipas técnicas de resposta, gestores de incidentes, equipas de gestão de crise, equipas de comunicação e jurídico, gestão de topo e Conselhos de Administração.
Quando ocorre um incidente, cada pessoa precisa de compreender o seu papel, as suas responsabilidades e o seu nível de autoridade. As pessoas têm de saber o que podem e não podem fazer em determinados cenários. Pergunte a si próprio se as suas equipas se sentem capacitadas para tomar decisões difíceis e se têm o apoio da gestão para fazer aquilo que consideram ser o mais adequado numa situação de elevada pressão.
Talvez seja um cliché, mas a tecnologia fornece informação e são as pessoas que determinam os resultados.
A recuperação é a verdadeira medida da resiliência
O setor da cibersegurança dedica uma enorme tempo à discussão sobre deteção e resposta, mas presta bastante menos atenção à recuperação.
Contudo, segundo a minha experiência a ajudar clientes a recuperar de incidentes, é a recuperação que, em última análise, mais importa do ponto de vista do negócio. A maioria dos Conselhos de Administração está familiarizada com métricas como o Mean Time to Detect (MTTD), ou tempo médio de deteção, e o Mean Time to Respond (MTTR), ou tempo médio de resposta.
Menos organizações conseguem responder com confiança a uma questão muito mais importante: qual é o verdadeiro tempo médio de recuperação? Não os números definidos para tranquilizar a gestão de topo ou o Conselho de Administração, mas o tempo efetivamente necessário para restabelecer as operações críticas do negócio após um incidente de cibersegurança significativo.
- É possível reconstruir os sistemas críticos?
- Podemos confiar nas identidades?
- É possível restaurar os backups?
- As dependências de terceiros conseguem suportar o processo de recuperação?
- Os processos de recuperação já foram testados em condições realistas?
Muitas organizações nunca validaram estes pressupostos até serem obrigadas a fazê-lo durante uma crise. E a dura realidade é que os tempos efetivos de recuperação têm muito pouco a ver com aquilo que está definido nos planos de recuperação.
A resiliência não se mede pela ocorrência ou não de um incidente numa organização. Mede-se pela rapidez e eficácia com que esta consegue recuperar.
As perguntas que realmente importam
À medida que as organizações investem em capacidades de IA e exploram as oportunidades que esta apresenta, é importante não perder de vista os fundamentos.
Todos os Conselhos de Administração e equipas de gestão de topo deveriam ser capazes de responder às seguintes questões:
- Quais são os nossos serviços de negócio mais críticos?
- Que identidades representam o maior risco?
- Que vulnerabilidades são realmente importantes para a nossa organização?
- Com que rapidez conseguimos detetar um comprometimento?
- Até que ponto conseguimos tomar decisões eficazes durante uma crise?
- Que nível de confiança temos nas nossas capacidades de recuperação?
- Já validámos estes pressupostos através de testes?
- Qual é o nosso produto/serviço mínimo viável?
Se a resposta a alguma destas perguntas for “não sabemos”, é pouco provável que a IA seja o desafio mais urgente da organização.
A IA está, indiscutivelmente, a transformar tanto o ataque como a defesa no domínio da cibersegurança. Já introduziu, e continuará a introduzir, novas oportunidades, a criar novos riscos e a alterar a forma como as organizações operam. Mas não deve desviar a nossa atenção das lições que os incidentes reais continuam a ensinar-nos.
As organizações que sairão mais fortes não serão necessariamente as que dispõem das capacidades de IA mais avançadas. Serão as que compreendem os seus ativos críticos, protegem as suas identidades, gerem eficazmente a exposição, preparam as suas pessoas e comprovam a sua capacidade de recuperação.
Num setor cada vez mais dominado por títulos sobre IA, a resiliência continua a ser a principal vantagem competitiva e os fundamentos nunca foram tão importantes. Se a IA desaparecesse amanhã, deixaria subitamente de conseguir identificar os seus ativos críticos, corrigir sistemas vulneráveis, aplicar o princípio do menor privilégio ou monitorizar o seu ambiente?
Se não, então a sua maior oportunidade em matéria de segurança não está na IA. Está na disciplina operacional.
