A aceleração dos incidentes baseados em exploração de vulnerabilidades pelos novos modelos de IA deixou de ser um conceito para o futuro, mas é um risco já presente nas infraestruturas digitais das empresas, e enfrentar esse desafio demanda acelerar a capacidade de priorização e correção de brechas de forma precisa. Essa é a visão desenvolvida pelo CEO e Presidente da Qualys, Sumedh Thakar.
O executivo esteve em São Paulo para acompanhar a segunda edição do Risk Operations Conference (ROCon) LATAM, e foi entrevistado pela Security Report sobre o atual cenário de riscos cibernéticos, com a IA aumentando a velocidade dos ciberataques vetorizados pelas brechas exploradas, e quais estratégias os CISOs devem abordar para angariar apoio do board no enfrentamento desses riscos e, de fato, priorizar a mitigação deles.
Nesse sentido, Thakar defende que a Segurança deve ir além do “estado de inércia” que se encontrava em relação à gestão de vulnerabilidades. “Devemos aplicar as tecnologias de IA da mesma forma que o cibercrime as utiliza para defender de forma adequada. Esse contexto tem muito potencial para nos ajudar a atingir um novo padrão na indústria de Cibersegurança e o lado da defesa será ainda mais incentivado a seguir no caminho da aceleração”
Riscos da IA no presente
Security Report: Em seu keynote de abertura, o senhor reforçou bastante os riscos que experiências recentes com o Claude Mythos poderiam gerar às empresas. Como a Qualys vê a chegada desses novos modelos de IA capazes de acelerar a detecção e exploração dessas vulnerabilidades?
Sumedh Tahkar: Eu penso que a Cibersegurança sempre foi um jogo de gato e rato. Por conta disso, os atacantes buscam usar cada uma das novas tecnologias que estiverem disponíveis no mercado. O Myhtos é apenas um dos casos de uso com a IA de fronteira que alcançou o mercado, e que abrirá as portas para outros usos, como ataques mais velozes, uma gama maior de problemas detectados, entre outros.
Porém, eu também acredito que a SI tem sido um setor cuja carência maior está em talentos treinados o bastante para suportar esses avanços. Isso nos obriga a sempre estar um passo atrás dos agentes de ameaça. Nesse sentido, o uso da IA em Cibersegurança realmente pode nos ajudar a reequilibrar o jogo com os cibercriminosos, já que, agora, o setor pode aplicar a tecnologia de diversas formas diferentes.
SR: O senhor acredita que essas ferramentas inovadoras também terão uso no contexto da Cibersegurança?
ST: Sem dúvida, e justamente por isso, na condição de defensores, é preciso deixar esse espaço de inércia sobre nossa velocidade de remediação de riscos para trás, e aplicar as tecnologias de IA da mesma forma que o cibercrime as utiliza com vistas a defender de forma adequada. Esse contexto tem muito potencial para nos ajudar a atingir um novo padrão na indústria de Cibersegurança e o lado da defesa será ainda mais incentivado a seguir no caminho da aceleração.
SR: Nesse caso, podemos pensar que os times de SI carecem de mais preparação para enfrentar esses desafios?
ST: Essa questão é interessante porque, se pararmos para pensar, o uso de modelos de fronteira não adicionou necessariamente uma nova tecnologia nas suas estruturas. Portanto, mesmo agora, a defesa em profundidade nunca foi tão importante, porque ainda vamos precisar dos nossos EDRs, Firewalls, planos de remediação, patching, entre outras medidas.
Então, onde está o diferencial neste momento? Está na velocidade que corrigimos as vulnerabilidades e na quantidade de camadas defensivas que somos capazes de pôr de pé para preservarmos resposta e resiliência adequadas. A questão é que mesmo hoje estamos com um gap importante na correção dessas brechas, então temos um grande espaço para preencher se quisermos reduzir esses riscos.
SR: Para essa mudança ocorrer, como o discurso dos Líderes deve se transformar, especialmente considerando a conscientização do board a respeito?
ST: Nesse caso, devemos considerar que os CISOs, agora, tem os CEOs realmente preocupados com quais impactos que uma ação do Mythos pode gerar para a estrutura corporativa. Entretanto, é preciso reforçar que o interesse dos executivos não é conhecer fatores técnicos desses incidentes, mas sim ter uma única resposta: existe algum risco adicional de comprometimento nessa nova realidade? A resposta pode ser sim, não ou talvez, mas alguma resposta deve existir, e que inclua como esse eventual risco será endereçado.
Eles apenas desejam a confirmação do CISO de que as metodologias, as ferramentas já disponíveis são suficientes para nos proteger de um ataque na velocidade que modelos como o Mythos são capazes de ter, e o Líder de SI precisa estar pronto para explicar ao board cenários em que se está 80% protegido, mas com a aceleração vinda da IA, é preciso tornar a remediação ainda mais veloz para preencher os 20% de carência nesse espaço. Se ele tiver condições de trazer esse diálogo, estaremos certamente em um lugar bem melhor.
Era da Remediação Autônoma
SR: O senhor tem dedicado muitas discussões para disseminar a ideia de “remediação autônoma”. Poderia dar mais detalhes sobre esse conceito e como ele pode atuar na gestão de risco dos CISOs?
ST: Acho importante começar pensando nessa questão: qual a forma mais simples de se proteger da IA de fronteira capaz de encontrar vulnerabilidades tão rápido? A resposta mais simples seria “corrigir tudo”, mas evidentemente essa não é uma opção viável para nenhum time de Cyber no mundo, seja pela falta de mão de obra, pela velocidade que o negócio se movimenta ou mesmo pela preocupação de se causar uma interrupção em larga escala nos sistemas, como já ocorreu antes.
Nesse caso, é necessário saber também o quê precisamos corrigir e o tamanho da urgência que temos para fazê-lo. É nessa jornada que entra a “remediação autônoma”, pois é esse sentido estratégico que nos permite avaliar o que é preciso remediar primeiro. Em uma realidade como essa, quanto melhor for a nossa visão sobre a superfície de risco, melhor será a nossa priorização, e menos vulnerabilidades precisarão ser corrigidas com urgência.
SR: E qual a estratégia da Qualys para apoiar os CISOs nesse movimento?
ST: Foi com essa perspectiva em mente que a Qualys concebeu a ideia do Risk Operations Center, visando aplicar uma série de agentes de Inteligência Artificial para que atuem em harmonia com o plano de negócios e possam focar em detecção precisa, hiper-priorização sobre o que precisa ser corrigido mais urgentemente e patching rápido. Por meio dessa jornada, é possível aplicar, de fato, a remediação autônoma.
Absolutamente, porque sempre se trata do negócio. O objetivo da Cyber aqui é mitigar o risco de negócio. Nesse sentido, o ROC pode ajudar criando um resultado que não está ligado a dados técnicos, mais sim o quanto do risco foi abatido durante esse processo. O negócio entende que um ciberataque pode gerar uma perda significativa de recursos e reputação, mas se podemos oferecer a indicação de que o risco está amortizado, isso satisfaz a gestão.
SR: Essa jornada estratégica pode ajudar os líderes também na gestão de eventuais riscos futuros, pensando inclusive nas expectativas para a disseminação da Computação Quântica?
ST: De fato, vemos um futuro bastante interessante e preocupante no futuro, especialmente com novas tecnologias do universo quântico batendo à porta. No entanto, a grande inovação dessa estratégia da Qualys envolve manter um framework de gestão de riscos que se mantenha contínuo independentemente da nova disrupção digital que surgir. Portanto, em vez de perseguirmos cada inovação, que surge a cada poucos anos ou meses, já sabemos qual o caminho a se seguir.
A questão de “quanto risco essa tecnologia pode gerar?” sempre vai ser o foco das organizações. Por isso, nosso objetivo é continuar oferecendo a resposta a essa pergunta mesmo nos cenários mais adversos. Isso é o que nos anima tanto nas capacidades estratégicas do ROC, pois a partir dele, podemos discutir todo tipo de novo risco que o mercado detectar nos próximos anos.
