A entrada da inteligência artificial nas rotinas corporativas está mudando a agenda dos responsáveis por segurança. Enquanto empresas incorporam modelos e aplicações de IA a diferentes áreas, questões como proteção de dados, vulnerabilidades, governança e controle passam a fazer parte das decisões sobre como e onde utilizar a tecnologia. A mudança também altera as atribuições de quem conduz a estratégia de cibersegurança.
O CISO precisa entender o negócio
Para Jonathan Fischbein, Head of CISO Programs Global da Check Point Software, o CISO precisa estar cada vez mais próximo das necessidades e dos riscos do negócio. O executivo fala a partir de uma trajetória de quase 24 anos na Check Point e da experiência como CISO e DPO global da própria companhia. A transformação, segundo Fischbein, pode ser compreendida a partir de movimentos tecnológicos anteriores, como a conexão à internet e a migração para a nuvem.
Agora, a IA coloca as organizações diante de uma nova transição, mas com uma velocidade diferente. “Hoje todos correm para a IA e perguntam depois como fazer isso de forma segura, para que não haja vazamento de dados ou injeção de prompt”, afirma Fischbein. Os riscos deixam de estar concentrados apenas na camada de redes e avançam para aplicações e interações entre diferentes sistemas.
Mais ferramentas não significam necessariamente mais eficiência
A expansão da IA também cria um desafio de gestão. Com uma oferta crescente de plataformas e modelos, organizações podem acabar acumulando ferramentas sem conseguir explorar profundamente nenhuma delas. Fischbein recomenda que as empresas observem primeiro a solidez dos fornecedores escolhidos e evitem a proliferação de ferramentas.
“Quando você tem soluções demais, perde capacidade de aprofundar a análise, definir controles e extrair valor de cada uma delas”, afirma. O problema também chega ao orçamento, onde custos de licenciamento e consumo de tokens podem se acumular rapidamente. Empresas já começam a observar o consumo de tokens e como diferentes usuários e aplicações utilizam esses recursos.
O conselho fala a linguagem de risco e finanças
A nova posição do CISO também exige uma mudança na maneira de apresentar a segurança à alta liderança. Para Fischbein, antes de escolher quais indicadores apresentar, o CISO precisa educar o conselho e compreender a linguagem utilizada por seus integrantes. “O board fala a linguagem de finanças e de risco. O CISO precisa mostrar o que pode acontecer, qual é o impacto para o negócio, se a empresa está preparada, quais são os planos de contingência e se esses planos já foram testados.”
Entre as informações que podem ser levadas ao conselho estão a quantidade de incidentes registrados, o tempo para erradicá-los e as medidas adotadas para reduzir a possibilidade de que eventos semelhantes voltem a acontecer. O benchmarking também pode ajudar a contextualizar a estrutura de segurança dentro da realidade do negócio.
Resiliência e controles para ambientes de IA
A inteligência artificial também amplia a pressão sobre a gestão de vulnerabilidades ao acelerar a identificação e a exploração de falhas. Segundo Fischbein, a velocidade com que vulnerabilidades podem ser encontradas tende a aumentar a distância entre a descoberta e a capacidade das empresas de corrigi-las. A tecnologia também permite que atividades antes restritas a especialistas em código sejam executadas com comandos em linguagem natural.
Nesse cenário, o executivo defende reforçar mecanismos de resiliência e controles de segurança para ambientes de IA, sem abandonar práticas como Zero Trust, Defense in Depth e gestão de riscos. A adoção da IA deve combinar velocidade e cautela, aprendendo com os erros de outras tecnologias para evitar repetir os mesmos problemas.