IA está transformando a segurança nas empresas, diz especialista que atuou no FBI e na CIA

Jessica Hetrick é uma das principais especialistas em cibersegurança nos Estados Unidos. Com passagens pelos setores público e privado, atuou em investigações cibernéticas criminais e de segurança nacional no FBI e apoiou operações de inovação digital na CIA, acumulando ainda experiência de liderança em grandes empresas, como a Cisco e a Optiv.

Na era da inteligência artificial (IA), Jessica vê a segurança cibernética passando por uma transformação não só tecnológica, mas também de mentalidade nas lideranças. Para ela, já é comum que a área de segurança tenha um lugar na mesa das decisões e que o tema não seja limitado a times de tecnologia, mas a todas as equipes. Segundo Jessica, as empresas que cuidam da cibersegurança estão cuidando da confiança com os seus clientes e fornecedores.

Notícias relacionadas

Mega-Sena pode pagar R$ 100 milhões neste domingo; saiba como jogar

EUA tornam permanente para 50 países exigência de caução de até US$ 20 mil para emissão de vistos; veja lista

Mega-Sena não tem vencedores e prêmio acumula em R$ 135 milhões; veja dezenas

"A IA permite que os defensores operem com mais rapidez e em maior escala, ou simplesmente com mais eficiência, e tomem decisões diferentes. Não acredito que a IA irá substituir as pessoas. Ela vai capacitar as pessoas a realizarem melhor o seu trabalho. Por isso, é fundamental saber aproveitar a IA da maneira correta e entender que ela envolve aprendizado. Ela tem a oportunidade de crescer e evoluir à medida que é alimentada com mais dados", diz Jessica.

A especialista será uma das principais palestrantes internacionais do Rio Innovation Week, conferência de empreendedorismo, inovação e cultura que ocorre desta terça-feira, 4, até sexta-feira, 7, no Pier Mauá.

Confira os principais trechos da entrevista a seguir.

Depois de atuar no FBI, na CIA e no setor privado, o que mais mudou na sua visão sobre cibersegurança?

A maior mudança que presenciei é que a cibersegurança não é apenas uma questão de equipes de tecnologia. Não é apenas um problema tecnológico. Não se resume a fazer parte de uma estrutura de custos. Não me leve a mal: haverá custos associados a ela, mas a cibersegurança é uma questão de negócios. É uma questão de segurança nacional e, considerando que a superfície de ataque cresceu exponencialmente com a maior interconexão das redes, a adoção da computação em nuvem, a IA, a cadeia de suprimentos e a infraestrutura crítica.

Hoje, o sucesso em cibersegurança não é medido apenas pelo tempo de atividade (uptime) ou por aspectos menores. Ele é medido pela resiliência e pela continuidade dos negócios, e não apenas por medidas preventivas. Isso ainda faz parte da métrica, mas o escopo agora é mais amplo. Além disso, a cibersegurança não representa apenas um risco para o negócio, ela também deve trazer benefícios à empresa.

Nos dias de hoje, a cibersegurança trata de proteger a confiança, que é o ativo mais valioso de qualquer organização. Portanto, a cibersegurança se tornou uma parceira de negócios. Considero essa uma mudança fundamental observada na última década em relação ao debate sobre o tema, comparando o início da minha carreira com o momento atual.

O que a população não entende sobre segurança nacional que seria importante que todos soubessem?

Acredito que o público vê o conceito de segurança nacional de forma muito simplista, atribuindo a responsabilidade ao governo. Mas não é assim, ela é uma responsabilidade de todos, inclusive das empresas privadas. As parcerias público-privadas e as parcerias entre governos são hoje mais cruciais do que nunca. Não se trata apenas de senhas melhores nem de atualizações de software.

Dada a grande dependência que o público tem da tecnologia atualmente, qualquer decisão tecnológica traz implicações para a segurança nacional. A cibersegurança é, agora, uma responsabilidade compartilhada porque não cabe apenas ao governo. É muito importante reconhecer isso. Essa realidade não se limita aos EUA, ela é global e diz respeito a todos, em todos os países. Trata-se de uma questão de segurança nacional.

A IA tornou os ataques mais sofisticados ou fortaleceu mais as defesas?

Ambas as coisas são verdadeiras. É importante que todos entendam a IA, assim como aconteceu com todas as tecnologias do passado. Há um lado bom e, ao virar a moeda, há um lado ruim. Para cada benefício, existe um risco. O que as organizações precisam entender é que, embora a IA reduza as barreiras para os atacantes (o lado negativo) — permitindo que ajam rapidamente, tenham mais recursos, operem em larga escala e personalizem ações de formas diferentes —, os defensores também se beneficiam disso. Eles podem automatizar defesas, agir com rapidez na resposta a incidentes e também operar em larga escala. Sendo assim, as organizações precisam ser capazes de se adaptar e aprender nesta nova era. A IA continuará evoluindo dentro das organizações e, mais uma vez, com o lado bom vem o lado ruim. Todos precisamos estar muito atentos a isso.

Com a IA, o mundo está entrando em uma nova corrida armamentista no ciberespaço?

Vou colocar isso de outra forma, pois acho importante entender que se trata de uma nova fronteira. É uma nova era na tecnologia. O cenário está evoluindo. A maneira como o mundo encara a tecnologia e a segurança vai mudar. Tudo vai girar em torno de quem consegue se adaptar, inovar e tomar decisões com eficiência, utilizando o máximo de informações possível. Por isso, eu definiria isso como uma evolução no cenário tecnológico.

É uma nova era de inteligência. A IA é uma nova era para tudo: desde a descoberta de novas possibilidades até a execução de ações voltadas a objetivos e a viabilização dos negócios. É fundamental que as organizações foquem na inovação e na modernização para essa nova fase, pois isso realmente ajudará qualquer empresa a acompanhar a evolução dos tempos. Eu não focaria apenas nos aspectos negativos. Acredito que a questão central é a adaptação e a inovação tecnológica. As empresas precisam encarar isso como uma nova era — e é, de fato, uma nova era.

Gosto muito do termo 'fronteira', pois ele realmente encapsula essa trajetória. Historicamente, toda fronteira (tecnológica) trouxe evoluções fascinantes. Hoje, a tecnologia — e a IA em particular — nos ajudará a promover mudanças significativas tanto na área tecnológica quanto na de segurança.

Qual ataque recente você acredita que trouxe as maiores lições para o mercado?

Depende de em quais lições você quer focar, pois houve eventos de grande impacto para cada tipo de lição que se analisa. Por exemplo, se falarmos sobre a maior lição de cibersegurança no mercado relacionada à liderança empresarial, podemos citar o ataque à Change Healthcare em 2024 — envolvendo a United Healthcare —, que demonstrou como um único evento pode desestabilizar todo um setor. Esse caso mostrou a necessidade de liderar com foco na resiliência e como a liderança empresarial deve priorizar a continuidade dos negócios.

Não se trata apenas de prevenir ataques. A mentalidade de que a questão não é 'se' vai acontecer, mas 'quando', é fundamental. O foco não é impedir tudo, mas sim ser resiliente, mantendo a continuidade das operações, o que é crucial para a liderança empresarial. Por outro lado, poderíamos abordar a lição mais valiosa na área de cadeia de suprimentos ou infraestrutura crítica. É importante definir qual é a lição principal ou o aprendizado-chave antes de discutir ataques específicos, pois haverá incidentes em todas as áreas.

Veremos a IA continuar evoluindo e a computação quântica surgir com força total, mudando novamente nossa perspectiva sobre a tecnologia como um todo. E isso já não é mais ficção científica. Os avanços tecnológicos continuarão transformando todo o cenário, tanto em termos de ameaças quanto de oportunidades. Há muitas lições disponíveis: podemos voltar ao incidente da Colonial Pipeline em 2021, ao falar de infraestrutura crítica, ou aos eventos envolvendo a SolarWinds, no contexto da cadeia de suprimentos. Enfim, existem inúmeros exemplos, mas as melhores lições são aquelas baseadas nos resultados e desfechos dos eventos.

Muitas empresas ainda tratam a segurança como um custo. O que faz uma empresa realmente mudar essa mentalidade?

Muitas empresas mudam sua mentalidade quando algo acontece com elas ou com um par muito próximo. Converso com pequenas e grandes empresas, e aquelas que agem mais rápido são as que pensam que a segurança é algo pessoal para elas. Então, elas promovem grandes mudanças. Também vemos muitas mudanças ocorrendo quando a segurança deixa de ser vista apenas como um custo, seja porque a liderança executiva passa a defender novas ideias ou porque surgem novas regulamentações. No fim das contas, a cibersegurança precisa fazer parte das discussões sobre riscos do negócio, e não apenas das discussões sobre riscos tecnológicos.

As organizações mais maduras com as quais tive a oportunidade de trabalhar ou conversar veem a cibersegurança como um fator que impulsiona o restante do negócio. Elas dão à área de segurança um lugar à mesa de decisões. Elas focam em questões de confiança e inovação, e a equipe de cibersegurança está sempre ao lado delas. É aí que vejo as empresas mais impactantes, valiosas e verdadeiramente inovadoras. São aquelas que estabelecem uma parceria com a cibersegurança desde o início e garantem que a discussão seja holística, levando todos esses aspectos em consideração.

Tratar a segurança como um custo é coisa de dez anos atrás ou mais. Quando comecei minha carreira, a visão era essa. Agora isso não é mais possível. A segurança precisa ser um fator que viabiliza o negócio e também um motor de impulsionamento. Afinal, a cibersegurança trata de proteger a confiança, e essa confiança deve ser o ativo mais importante da organização.

O avanço da computação quântica causa preocupação no curto prazo?

Em vez de preocupação, diria que a melhor palavra é 'preparação'. A computação quântica, em sua essência, desafiará os fundamentos sobre os quais construímos toda a nossa tecnologia, especialmente no que diz respeito à confiança. Não haverá um 'Dia Quântico' específico; não será um evento único e repentino que quebrará a criptografia da noite para o dia. A computação quântica chegará de forma gradual, porém inevitável, transformando a maneira como fazemos negócios — assim como vimos acontecer com a IA.

Já estamos observando práticas como a estratégia de 'coletar agora para descriptografar depois' (*harvest now, decrypt later*). A era da criptografia pós-quântica representa um esforço de modernização dos negócios. Por isso, acredito que as empresas que se preparam hoje estarão na vanguarda desse processo.

Não é algo que deva gerar pânico ou desespero, trata-se de uma nova era. Um dia, a criptografia pós-quântica será chamada simplesmente de 'criptografia', porque essa será a nova norma de proteger as informações. Assim, as companhias precisam estar preparadas para adotar a criptografia pós-quântica. Elas precisam mapear onde seus algoritmos estão atualmente, manter um inventário atualizado, priorizar diferentes elementos do negócio, construir resiliência e estabelecer uma estratégia de confiança digital que integre IA e criptografia pós-quântica.

Esse esforço de modernização levará tempo, porque estamos falando de uma escala sem precedentes para a maioria das empresas. Afinal, a computação quântica impactará praticamente tudo. Por isso, não vejo essa tecnologia tanto como uma preocupação, mas sim como uma oportunidade de agir agora. Existem medidas práticas que podemos adotar imediatamente.

Como você enxerga a evolução dos agentes de IA autônomos tanto para atacantes quanto para defensores?

Os agentes de IA estão transformando a cibersegurança. A IA está transformando tudo na tecnologia e também em todos os aspectos das nossas vidas. Eu mesma recorro ao ChatGPT para fazer perguntas básicas ou pedir ajuda para encontrar a melhor TV para uma sala, ou saber o que fazer quando minha filha não está se sentindo bem. A IA está se tornando uma facilitadora no dia a dia. O mesmo acontece na cibersegurança. Ela está transformando tudo nessa área. A IA permite que os defensores operem com mais rapidez e em maior escala, ou simplesmente com mais eficiência, e tomem decisões diferentes.

Não acredito que a IA irá substituir as pessoas. Ela vai capacitar as pessoas a realizarem melhor o seu trabalho. Por isso, é fundamental saber aproveitar a IA da maneira correta e entender que ela envolve aprendizado. Ela tem a oportunidade de crescer e evoluir à medida que é alimentada com mais dados. Assim, é importante compreender os parâmetros do que está sendo inserido nela. Claro que existe a necessidade de governança, mas, na cibersegurança, a IA tornará as operações exponencialmente mais rápidas e deixará os tomadores de decisão mais eficientes e seguros quanto às suas escolhas. Ela ajudará a traçar caminhos e estratégias, mas, no fim das contas, tudo dependerá sempre da engenhosidade e da inovação humanas para impulsionar e utilizar a IA da forma correta.

Além da IA e da computação quântica, qual tecnologia emergente tem potencial para transformar a cibersegurança?

Eu não diria que será um único produto. Não vejo a IA e a computação quântica como produtos isolados. Na verdade, eu as consideraria mais como serviços de utilidade pública. Pense na eletricidade, por exemplo. Você aciona o interruptor e a energia funciona. Você não precisa saber exatamente como ela funciona, apenas que ela está lá e funciona. Assim, acredito que tanto a IA quanto a computação quântica são recursos essenciais que se integrarão à nossa rotina. Elas estarão intrinsecamente ligadas à forma como agimos como indivíduos, organizações e governos. Elas simplesmente se tornarão o novo padrão.

É como a ideia de que a criptografia pós-quântica, que, um dia, será chamada apenas de criptografia. Ela continuará sendo pós-quântica, mas será simplesmente criptografia. Será o novo padrão. Como se preparar para isso? Acredito que as empresas precisam avaliar seu inventário atual. Elas precisam saber quais algoritmos criptográficos estão presentes em seus ambientes e manter um registro deles. Esses algoritmos estarão em servidores, redes, aplicações, dispositivos de tecnologia operacional e dispositivos móveis. Eles estão em toda parte. É preciso começar por esse inventário para, então, elaborar uma estratégia baseada nas prioridades do negócio.

Qual é a sua expectativa para o Rio Innovation Week e como vê o Brasil quando o assunto é segurança digital?

Nunca estive no Brasil, então estou muito empolgada. Não pretendo me passar por especialista no mercado brasileiro, mas estou ansiosa para compartilhar minha perspectiva sobre como a IA e a computação quântica redefinirão o conceito de confiança. Parte da minha apresentação abordará tanto os benefícios para os negócios quanto o papel da criptografia em nossos ambientes e o possível impacto da computação quântica sobre ela.

Além disso, discutirei como será essa nova face da confiança. Terei a oportunidade de apresentar sugestões práticas aos executivos e ao público em geral. No fim das contas, espero que as pessoas levem consigo algo valioso que realmente possa ajudá-las. Afinal, essa nova era está chegando. Não é algo para daqui a 20 anos, mas também não é algo para amanhã. Já não é ficção científica, vai acontecer mesmo, e a questão é apenas quando e como impactará as organizações. O meu objetivo é esclarecer esses pontos no evento.