Oscar Isaka, Diretor e Advisor do Gartner em Segurança e Gestão de Riscos, abordou as transformações que a cibersegurança enfrenta no contexto empresarial moderno. Segundo Isaka, o cenário atual exige que a segurança não seja tratada apenas como uma questão tecnológica, mas como um problema de negócios. "Saber sobre segurança agora é uma necessidade corporativa", afirmou ele. As empresas precisam integrar a cibersegurança à sua estratégia, especialmente diante da regulação crescente que impõe responsabilidades legais.
Ele concedeu entrevista à imprensa durante a e evento Gartner CIO & IT -Executive Conference 2024, que começou nesta segunda-feira,23, em São Paulo. Ele destacou a pressão regulatória sobre as empresas, principalmente as que têm capital aberto em bolsas de valores internacionais, como dos Estados Unidos. "Estas empresas são obrigadas a seguir normas de notificação de incidentes cibernéticos, o que impõe novas responsabilidades de alta gestão. Isso coloca o CISO (Chief Information Security Officer) sob a supervisão direta do Conselho, com responsabilidades legais", explicou Isaka
Além das questões regulatórias, ele discorreu sobre o aumento da "má informação", termo utilizado para descrever o uso deliberado de informações enganosas para influenciar decisões. "Ataques como phishing e engenharia social são cada vez mais sofisticados, com casos reais envolvendo perdas milionárias". Ele cita o exemplo de um banco asiático que, devido à desinformação, realizou uma transferência de milhões de dólares após uma reunião virtual manipulada com diretores, cujas vozes e imagens foram falsificadas.
A inteligência artificial (IA) tem papel central nesse contexto, podendo tanto facilitar os ataques quanto ajudar na sua prevenção. O desafio é utilizar IA de maneira ética para proteger sistemas e indivíduos. "Profissionais sem IA serão substituídos por aqueles que sabem usar IA", alertou Isaka
Por fim, ele destacou a importância da gestão de identidade nas empresas, mencionando que quase 50% dos incidentes de segurança envolvem algum tipo de comprometimento de identidade. Ele ressalta que os líderes de segurança precisam se concentrar em estratégias proativas e preventivas, garantindo que o gerenciamento de identidades evolua junto com as práticas de resposta a incidentes.
Isaka deixa claro que a cibersegurança deixou de ser apenas uma questão técnica e passou a ser uma prioridade estratégica. "As empresas precisam integrar a segurança digital em todos os níveis de sua operação, desde a governança até a adoção de novas tecnologias. Somente assim, estarão preparados para os desafios e as ameaças crescentes do ambiente digital moderno".
Gartner divulga oito previsões de cibersegurança para 2024 e os próximos anos
O Gartner anunciou anuncia tambem oito das principais previsões de cibersegurança para 2024 e os próximos anos. Entre as principais previsões, a adoção da Inteligência Artificial Generativa (GenAI) irá eliminar a lacuna de habilidades em cibersegurança e reduzirá os incidentes de cibersegurança causados por funcionários. Os analistas do Gartner estimam que dois terços das 100 maiores empresas globais estenderão os seguros disponíveis para diretores para os líderes de cibersegurança devido aos riscos jurídicos pessoais. O Gartner prevê que o combate à desinformação custará às empresas mais de US$ 30 bilhões.
O Gartner recomenda que os líderes de cibersegurança incorporem as seguintes premissas de planejamento em suas estratégias de segurança para os próximos dois anos: até 2028, a adoção da GenAI implodirá a lacuna de habilidades, eliminando a necessidade de educação especializada para 50% das posições de cibersegurança de nível básico; os complementos da GenAI mudarão a forma como as empresas contratam e ensinam os trabalhadores de cibersegurança em busca da aptidão correta e a educação adequada. As plataformas convencionais já oferecem complementos conversacionais, mas irão evoluir.
O Gartner recomenda ainda que as equipes de cibersegurança se concentrem em casos internos de uso que apoiem os usuários enquanto trabalham, coordenando ações com a área de RH e identificando talentos adjacentes para funções de cibersegurança mais críticas.
Até 2026, as empresas que combinarem a GenAI com uma arquitetura baseada em plataformas integradas em programas de comportamento e cultura de segurança (SBCP) experimentarão 40% menos incidentes de cibersegurança causados por funcionários.-
As empresas estão cada vez mais focadas no engajamento personalizado como componente essencial para tornarem eficazes de seus programas de comportamento e cultura de segurança. A GenAI tem o potencial de analisar o comportamento e gerar conteúdo e materiais de treinamento hiperpersonalizados que levam em conta os atributos únicos de cada funcionário. De acordo com o Gartner, isso aumentará a probabilidade de os funcionários adotarem comportamentos mais seguros nos seus trabalhos diários, o que resultará em menos incidentes de cibersegurança.
"Os recursos da GenAI são fundamentais quando se trata de consideração organizacional, à medida que as empresas continuam a entender como integrar a GenAI como parte de seu roadmap de soluções", diz Isaka.
Até 2026, 75% das empresas excluirão sistemas não-gerenciados, sistemas legados e ciberfísicos de suas estratégias de confiança zero – Sob uma estratégia de confiança zero, os usuários finais recebem apenas o acesso necessário para realizar seus trabalhos e são continuamente monitorados com base em ameaças que seguem em constante evolução. Em ambientes de produção ou críticos para os negócios, esses conceitos não se traduzem universalmente para dispositivos não-gerenciados, sistemas legados e ciberfísicos (CPS) projetados para realizarem tarefas específicas em ambientes centrados em segurança e confiabilidade.
Até 2027, dois terços das 100 maiores empresas globais estenderão o seguro de seus diretores para os líderes de cibersegurança devido aos riscos jurídicos pessoais – Novas leis e regulamentações — como as regras de divulgação e relatórios de cibersegurança da Securities and Exchange Commission (SEC) — expõem os líderes de cibersegurança para novas responsabilidades pessoais. O Gartner recomenda que as empresas ampliem os benefícios e os seguros de diretores e executivos para os líderes de cibersegurança, bem como outros seguros e compensações, para mitigar eventuais responsabilidades pessoais, riscos profissionais e despesas jurídicas.
Até 2028, os gastos corporativos com o combate à desinformação ultrapassarão US$ 30 bilhões, canibalizando 50% dos orçamentos de marketing e cibersegurança – A combinação de Inteligência Artificial (IA), analytics, ciência comportamental, mídias sociais,
Internet das Coisas (IoT) e outras tecnologias permite que pessoas mal-intencionadas criem e espalhem em massa desinformação altamente eficazes ou até informações falsas enviadas em massa e de forma personalizada para gerar maior impacto. O Gartner recomenda aos CISOs definir as responsabilidades para conseguirem trabalhar, conceber e executar programas contra desinformação em suas empresas e investir em ferramentas e técnicas que combatam o problema usando engenharia do caos para testar a resiliência corporativa.
Até 2026, 40% dos líderes de gerenciamento de identidade e acesso (IAM) assumirão a responsabilidade primária pela detecção e resposta a violações relacionadas a esse âmbito – Os líderes de gerenciamento de identidade e acesso frequentemente têm dificuldade em articular o valor de segurança e dos negócios para impulsionar investimentos precisos por não estarem envolvidos em discussões sobre alocação de recursos e orçamentos. À medida que a gestão de identidade e acesso continua a crescer em importância, ela envolve maiores responsabilidades, visibilidade e influência de seus líderes e CISO. O Gartner recomenda que os CISOs quebrem os silos tradicionais de TI e de segurança dando aos stakeholders visibilidade sobre o papel que o gerenciamento de identidade e acesso desempenha, alinhando o programa IAM com as iniciativas de segurança.
Até 2027, 70% das empresas combinarão disciplinas de prevenção de perda de dados e gerenciamento de riscos internos com o contexto de gerenciamento de identidade e acesso para identificar comportamentos suspeitos de forma mais eficaz – O aumento do interesse em controles consolidados leva os fornecedores a desenvolverem capacidades que representam uma sobreposição entre controles focados nos comportamentos dos usuários e a prevenção de perda de dados. Isso introduz um conjunto mais abrangente de capacidades para as equipes de segurança criarem uma política única para uso duplo em segurança de dados e mitigação de riscos internos. O Gartner recomenda que as empresas identifiquem o risco de identidade e de dados para usar em conjunto como uma diretriz para a segurança estratégica de dados.
Até 2027, 30% das funções de cibersegurança redesenharão a segurança de aplicativos para serem consumidas diretamente por não-especialistas em cibersegurança e por responsáveis pelos aplicativos – O volume, variedade e contexto de aplicativos que os tecnólogos de negócios e equipes de entrega distribuídas criam pode ampliar os riscos e exposições muito além do que as equipes de segurança de aplicativos podem lidar.
"Para preencher essa lacuna, as funções de cibersegurança devem construir a expertise mínima eficaz nessas equipes, usando uma combinação de tecnologia e de treinamento para gerar o máximo de competência quanto for necessário para tomar decisões sobre riscos cibernéticos de forma autônoma", diz Isaka.
