Descoberta e escopo da vulnerabilidade
A crescente complexidade das infraestruturas de tecnologia e o impacto cada vez maior dos incidentes de segurança estão levando instituições financeiras a rever uma prática aparentemente simples: saber, de fato, quais ativos existem dentro de seus ambientes. Para Jorge Lopes, VP de Vendas da Tanium para a América Latina, antes de avançar sobre automação e inteligência artificial, as empresas precisam voltar ao básico e construir visibilidade contínua sobre sua própria infraestrutura.
Durante entrevista à TI Inside na FEBRABAN TECH, o executivo destacou que conhecer dispositivos, softwares, versões e relacionamentos entre os componentes de uma infraestrutura tornou-se parte fundamental do controle de risco. Na visão apresentada por Lopes, não basta possuir uma fotografia periódica do ambiente. A velocidade das operações e das ameaças exige que essa informação esteja disponível em tempo real.
O que mudou agora
A lógica parte de um princípio simples: é difícil melhorar ou proteger aquilo que a empresa não consegue identificar. Isso inclui saber quantos endpoints existem, quais aplicações estão instaladas, quais versões estão em operação e como esses elementos estão conectados. O problema aparece mesmo em organizações que já realizaram investimentos elevados em ferramentas de segurança.
Segundo Lopes, a ausência de uma visão básica do ambiente pode continuar criando pontos de exposição independentemente da quantidade de soluções implantadas. A mudança também aparece na forma como as organizações precisam responder às exigências regulatórias. De acordo com Lopes, o movimento é de uma fiscalização anteriormente baseada em verificações periódicas para modelos que exigem informações muito mais frequentes sobre a situação real da infraestrutura.
Impacto e alcance
Para mostrar como essa falta de visibilidade aparece na prática, Lopes relembrou uma prova de conceito realizada com um cliente. Durante esse tipo de projeto, uma das primeiras perguntas feitas pela empresa é quantos dispositivos ou endpoints existem no ambiente. A resposta, segundo ele, muitas vezes vem acompanhada de uma margem de erro de aproximadamente 10% a 15%.
Essa diferença não representa apenas um problema de inventário ou custos de software: significa também a existência de equipamentos sobre os quais a organização pode não possuir controle. Em um dos projetos relatados pelo executivo, a tecnologia identificou um servidor que inicialmente nem sequer era reconhecido pelo cliente. A investigação mostrou que o equipamento estava fisicamente em uma sala praticamente abandonada, abaixo de um escritório.
Tratava-se de um servidor utilizado anteriormente em um teste realizado por um fornecedor e que havia permanecido conectado à rede durante meses. O episódio resume o que Lopes chama de retorno ao básico. Antes de buscar camadas mais sofisticadas de proteção, a organização precisa saber o que está conectado à infraestrutura, quais softwares esses equipamentos possuem e quais versões estão sendo executadas.
Repercussão e implicações regulatórias
Ele compara o processo ao período em que auditorias eram realizadas anualmente. Próximo à verificação, as organizações concentravam esforços para corrigir pendências e apresentar um ambiente adequado naquele momento. Depois, a periodicidade diminuiu e passou a exigir acompanhamento mais próximo. Agora, a direção apontada pelo executivo é de controles em tempo real e de uma exigência que deixa de ser apenas informativa para se tornar demonstrativa.
Não basta apresentar um plano de segurança: é necessário demonstrar, por meio de dados, quais vulnerabilidades existem, há quanto tempo estão presentes e se foram efetivamente corrigidas. Na avaliação de Lopes, o Brasil também acompanha esse movimento regulatório, especialmente no setor financeiro. Para as áreas de tecnologia, isso significa deixar para trás uma dinâmica baseada em relatórios anuais, trimestrais ou mesmo diários e ampliar a disponibilidade de informações sobre o ambiente.
Medidas de mitigação recomendadas
A segurança também passou a ganhar peso junto às lideranças de negócio. O motivo, segundo Lopes, é que tecnologia está diretamente ligada à operação das empresas e que um incidente pode produzir efeitos econômicos, operacionais e de imagem. É nesse ambiente que a inteligência artificial adiciona outra camada de complexidade.
Lopes diferencia aplicações mais simples de inteligência artificial de situações em que a tecnologia começa a interferir diretamente em sistemas operacionais. Ferramentas de IA podem ser utilizadas para atividades como produção de apresentações ou apoio a tarefas individuais. Bancos também já utilizam inteligência artificial em centros de atendimento, área em que a tecnologia pode contribuir para produtividade e acesso.
O nível de cuidado, porém, muda quando a IA começa a atuar sobre partes críticas da operação. A abordagem descrita pelo executivo combina visibilidade em tempo real com ações automatizadas e um motor de inteligência artificial governado. A tecnologia pode identificar situações no ambiente, analisar cenários e propor mudanças a serem executadas.
O que os CISOs devem fazer imediatamente
A implantação pode acontecer gradualmente. Uma ação pode ser testada inicialmente sobre um segmento do ambiente antes de avançar para uma implementação mais ampla, permitindo acompanhar os efeitos produzidos. Mesmo com o avanço da automação, Lopes defende a manutenção de uma camada humana nas decisões mais sensíveis.
Em um incidente, por exemplo, a tecnologia pode mapear o ambiente e indicar uma determinada ação, como isolar um segmento, desligar uma aplicação ou executar uma mudança. Entretanto, decisões com impacto significativo sobre sistemas críticos precisam permanecer sujeitas à intervenção de uma pessoa.
O processo também deve manter registro sobre quem executou determinada ação e quais permissões foram utilizadas. Para sistemas menos críticos, o nível de automação pode ser maior. Já nas aplicações com maior importância operacional, a empresa pode estabelecer diferentes níveis de escalonamento antes da execução das ações.
Perguntas frequentes
Qual a margem de erro comum em inventários? Aproximadamente 10% a 15% em organizações sem visibilidade contínua.
É possível automatizar a correção de vulnerabilidades? Sim, mas decisões críticas devem manter supervisão humana.
Como a IA impacta a segurança? Adiciona complexidade e exige governança rigorosa para evitar riscos operacionais.