A rápida evolução da Inteligência Artificial de fronteira está mudando a dinâmica da Cibersegurança. A transição de ambientes automatizados para modelos mais autônomos amplia a pressão sobre os CISOs, que precisam adaptar processos e controles em um cenário de mudanças constantes. Este tema esteve no centro do painel “Riscos da Frontier AI sob a Perspectiva do CISO”, realizado durante o Risk Operations Conference (ROCon) LATAM, promovido pela Qualys em parceria com o Security Leaders.
Para Igor Esposito, CISO da Zurich Seguros, a velocidade da transformação tecnológica exige que o CISO deixe de atuar apenas como controlador e passe a exercer um papel mais próximo da estratégia. “A Segurança vai sempre acompanhar a inovação, no sentido de estabelecer os guard-rails dentro do apetite a risco da companhia, para que a gente consiga acelerar a jornada”, afirmou.
O executivo resumiu o ritmo dessa transformação em uma frase: “Hoje é o dia mais lento das nossas vidas”. Diante de novas IAs surgindo continuamente, ele defende que o principal diferencial da liderança passa a ser o discernimento: “Dar um pouco mais de contexto e ter um pouco mais de discernimento, inclusive para que o executivo e o board saibam falar não, talvez seja a melhor decisão que a gente tem que tomar.”
Shadow AI rompe gestão linear
A velocidade da IA também coloca em xeque modelos tradicionais de gestão de riscos. Segundo Wellington Capitani, CISO da Zamp, a Segurança estava acostumada a seguir um fluxo relativamente previsível de identificação de processos e sistemas até a priorização e correção de vulnerabilidades.
“A IA é dinâmica, toda hora muda tudo. Enquanto a gente pensar em um processo de gestão de risco de forma linear, tentando encontrar um fluxo perfeito, a gente vai falhar como Segurança da Informação. Esse cenário aparece também na expansão do Shadow AI e do Shadow Development, com funcionários e áreas de negócio criando suas próprias aplicações e agentes”, afirmou.
Para Capitani, o caminho não é simplesmente bloquear essas iniciativas, mas entender as necessidades que estão por trás delas: “A gente vai viver as eras dos shadows o resto das nossas vidas. A gente precisa aprender a administrar esses shadows.” Na avaliação do executivo, essa aproximação pode fazer da segurança um habilitador efetivo do negócio.
Outro ponto central é a governança dos dados. Antes de avançar em integrações e automações, Capitani defende que as organizações precisam conhecer e estruturar seus próprios dados. “IA sem dado não é nada”, resumiu.
Para Espósito, a experimentação também precisa encontrar espaço dentro da governança. Uma alternativa é separar ambientes destinados a testes daqueles que sustentam as operações críticas: “Onde eu vou apenas pivotar, experimentar, fazer MVPs, eu tenho que ter um ambiente separado que não tem o mesmo nível de intensidade de proteção.”
O debate trouxe uma mudança de perspectiva sobre a responsabilidade pelo risco. O executivo da Zurich afirma que a decisão de adotar uma estratégia AI First também representa uma escolha sobre o nível de risco que a companhia está disposta a assumir: “O negócio é imperativo. Você não vai travar o go-to-market de um produto porque ele está vulnerável, isso é uma decisão do negócio. O nosso papel é dar luz ao tema e clareza do risco.”
