Políticas De Segurança

À medida que nos aproximamos do final de 2025, dois fatos sobre a inteligência artificial (IA) são cruciais para os diretores de segurança da informação (CISOs). Primeiro, a maioria dos funcionários já utiliza ferramentas de IA generativa em suas atividades, mesmo que a empresa não forneça acesso ou proíba seu uso. Segundo, muitos desses funcionários já compartilharam informações internas e confidenciais com essas ferramentas. Um estudo da Microsoft revela que 75% dos trabalhadores do conhecimento estavam usando IA generativa em 2024, e 78% deles utilizavam ferramentas pessoais. Isso gera um aumento no ‘Access-Trust Gap’, que é a diferença entre aplicativos de negócios confiáveis e aqueles não gerenciados que acessam dados corporativos. Para mitigar riscos, as empresas precisam desenvolver um plano de habilitação de IA que inclua governança e controle de acesso. O artigo propõe seis perguntas essenciais para guiar essa elaboração, como quais casos de uso de IA são prioritários e quais ferramentas devem ser adotadas. A falta de governança pode resultar em violações de políticas e consequências legais. Portanto, é fundamental que as empresas adotem uma abordagem proativa e contínua para a governança da IA, garantindo que os funcionários utilizem aplicativos confiáveis e monitorados.

O uso de inteligência artificial generativa (GenAI) em navegadores se tornou comum nas empresas, permitindo que funcionários redijam e-mails, analisem dados e desenvolvam códigos. No entanto, essa prática levanta preocupações de segurança, pois muitos usuários inserem informações sensíveis em prompts ou fazem upload de arquivos sem considerar os riscos. Os controles de segurança tradicionais não foram projetados para lidar com esse novo padrão de interação, criando uma lacuna crítica. Para mitigar esses riscos, é essencial que as organizações implementem políticas claras sobre o uso seguro de GenAI, categorizando ferramentas e definindo quais tipos de dados são permitidos. Além disso, a criação de perfis de navegador dedicados e controles por site pode ajudar a isolar o uso de GenAI de aplicativos internos sensíveis. O monitoramento contínuo e a educação dos usuários são fundamentais para garantir que as diretrizes sejam seguidas, preservando a produtividade sem comprometer a segurança. A implementação de controles de dados precisos e a gestão de extensões de navegador também são essenciais para evitar a exfiltração de informações confidenciais.

Um novo relatório revela que 77% dos funcionários compartilham informações confidenciais da empresa em plataformas de inteligência artificial generativa, como o ChatGPT, resultando em violações de políticas de segurança. O estudo mostra que quase metade dos colaboradores interage regularmente com essas ferramentas, e 40% dos arquivos enviados contêm dados regulados, como informações pessoais identificáveis (PII) e dados de cartões de pagamento (PCI). Apesar das políticas de segurança que enfatizam o controle de arquivos, muitos funcionários estão copiando e colando informações sensíveis diretamente em campos de entrada de IA, o que dificulta a detecção por sistemas de auditoria de segurança. Além disso, 87% das atividades de chat observadas ocorrem em contas não gerenciadas, aumentando o risco de vazamentos de dados. O relatório sugere que as empresas precisam repensar suas estratégias de segurança, mudando o foco de controles tradicionais de prevenção de perda de dados (DLP) para monitoramento dinâmico de fluxos de dados baseados em navegador e atividades em sessões de SaaS não gerenciadas. Medidas como políticas de acesso adaptativas e análise comportamental em tempo real são essenciais para mitigar esses riscos emergentes.

O caso da KNP Logistics Group, que operou por 158 anos, ilustra a fragilidade da segurança cibernética em empresas, mesmo as mais estabelecidas. Em junho de 2025, a empresa foi alvo do grupo de ransomware Akira, que acessou seus sistemas ao adivinhar uma senha fraca de um funcionário. A falta de autenticação multifatorial (MFA) permitiu que os hackers se infiltrassem facilmente, criptografando dados críticos e destruindo backups, resultando em uma demanda de resgate de £5 milhões. Apesar de ter seguro contra ataques cibernéticos e conformidade com normas de TI, a KNP não conseguiu se recuperar e acabou entrando em administração, resultando na demissão de 700 funcionários. O incidente destaca a importância de políticas de senhas robustas e da implementação de MFA, além de um plano de recuperação de desastres eficaz. Com 19.000 empresas no Reino Unido atacadas por ransomware no último ano, a situação é alarmante e exige atenção urgente das organizações para evitar consequências devastadoras.

O uso de Inteligência Artificial (IA) nas empresas está crescendo rapidamente, com colaboradores utilizando-a para redigir e-mails, analisar dados e transformar o ambiente de trabalho. No entanto, a adoção acelerada da IA traz desafios significativos em termos de segurança, especialmente pela falta de controle e salvaguardas adequadas. Para os Chief Information Security Officers (CISOs), a prioridade é garantir que a inovação não comprometa a segurança. O artigo apresenta cinco regras essenciais para uma adoção segura da IA: 1) Visibilidade e descoberta da IA, que exige monitoramento contínuo do uso de ferramentas de IA; 2) Avaliação de risco contextual, que considera o nível de risco associado a diferentes aplicações de IA; 3) Proteção de dados, estabelecendo limites sobre quais informações podem ser compartilhadas com ferramentas de IA; 4) Controles de acesso e diretrizes, que garantem que o uso da IA esteja dentro de políticas de segurança definidas; e 5) Supervisão contínua, para adaptar as medidas de segurança conforme as aplicações evoluem. A adoção segura da IA não deve ser vista como uma barreira, mas como uma oportunidade de inovar de forma responsável, garantindo a proteção dos dados e a conformidade com regulamentações como a LGPD.

Após duas décadas de desenvolvimento de arquiteturas de segurança, as organizações enfrentam um desafio crucial: ferramentas e tecnologias sozinhas não são suficientes para mitigar riscos cibernéticos. Com o aumento da sofisticação das tecnologias, os atacantes passaram a explorar mais as vulnerabilidades humanas. Dados do relatório da Verizon indicam que, em 2024, quase 60% das violações de dados envolveram um elemento humano. A cultura de segurança, definida como as percepções e atitudes compartilhadas sobre cibersegurança, é fundamental para a mitigação de riscos. Para que os colaboradores se comportem de maneira segura, é necessário que a segurança esteja integrada ao ambiente de trabalho, e não apenas como uma camada adicional. Quatro fatores principais influenciam essa cultura: sinais da liderança, engajamento da equipe de segurança, design de políticas e treinamento em segurança. A falta de alinhamento entre esses fatores pode levar à erosão da confiança e ao aumento do risco. Portanto, é essencial que as organizações priorizem o desenvolvimento de uma cultura de segurança forte, que simplifique e apoie comportamentos seguros entre os colaboradores.