Em um cenário digital cada vez mais complexo, a segurança da informação deixou de ser apenas uma questão técnica para se tornar uma prioridade estratégica. Embora investimentos em tecnologia sejam essenciais, eles não são suficientes para mitigar os riscos associados ao fator humano. Estudos indicam que 95% das violações de dados ocorre devido a erros humanos, como o clique em links maliciosos.
Segurança da informação: além da tecnologia, uma questão de cultura
Tradicionalmente, a segurança da informação era tratada como uma responsabilidade exclusiva da área de TI. No entanto, a realidade atual exige uma abordagem mais abrangente, onde todos os colaboradores compreendam seu papel na proteção dos dados corporativos.
A cultura organizacional desempenha um papel crucial nesse contexto. Quando a segurança da informação é incorporada aos valores e práticas diárias da empresa, os colaboradores tornam-se aliados na identificação e prevenção de ameaças.
Educação contínua: a chave para fortalecer a defesa humana
Implementar programas de treinamento e conscientização é essencial para desenvolver uma cultura de segurança eficaz. Plataformas como a KnowBe4 têm demonstrado resultados significativos nesse aspecto.
Um estudo da KnowBe4 abrangendo mais de 55.000 organizações revelou que, após 90 dias de treinamento e testes simulados de phishing, a suscetibilidade dos colaboradores a ataques caiu de 37,9% para 14,1%. Após um ano, esse índice reduziu-se ainda mais, atingindo apenas 4,7% .
Esses números destacam a eficácia de programas contínuos de conscientização na mitigação de riscos associados ao comportamento humano.
Uma abordagem diferenciada na construção da cultura de segurança
Diferentemente de plataformas tradicionais de treinamento, que muitas vezes oferecem conteúdos genéricos e esporádicos, a KnowBe4 adota uma abordagem integrada e contínua. Além de fornecer treinamentos personalizados e atualizados, a plataforma realiza simulações de ataques de phishing, permitindo que os colaboradores pratiquem a identificação de ameaças em um ambiente controlado.
Um dos diferenciais da KnowBe4 é o Risk Score, uma métrica que avalia a propensão de cada colaborador a cair em ataques de phishing. Esse indicador é calculado com base em diversos fatores, como resultados de testes simulados e interações com e-mails suspeitos, permitindo que as organizações identifiquem áreas de risco e direcionem treinamentos específicos .
Construindo uma cultura de segurança sólida
A segurança da informação vai além da implementação de ferramentas tecnológicas; ela requer o engajamento de toda a organização na adoção de práticas seguras. Investir em educação e conscientização é fundamental para transformar os colaboradores em uma linha de defesa eficaz contra ameaças cibernéticas.
Ao fomentar uma cultura de segurança, as empresas não apenas protegem seus ativos, mas também fortalecem a confiança de clientes e parceiros.
A próxima violação de dados pode começar com um clique, mas com uma cultura organizacional sólida, esse clique pode ser o início de uma resposta proativa e eficaz.
Em Jurassic Park, o Dr. Ian Malcolm, interpretado por Jeff Goldblum, solta uma das frases mais icônicas do cinema: “life finds a way”, “a vida encontra um meio”, em Português. A fala surge após a descoberta de que os dinossauros – programados para serem estéreis – estavam, de alguma forma, se reproduzindo. Ou seja: mesmo com todas as precauções, a vida deu um jeito.
Nas organizações, o mesmo acontece. Por mais que a TI estabeleça controles, políticas e padrões, os usuários sempre encontram um jeito de fazer o que precisam. Especialmente quando o objetivo é claro: entregar resultado. E quando as ferramentas oficiais não acompanham o ritmo, surgem os famosos “atalhos”: planilhas, scripts soltos, bases paralelas e acessos não controlados.
O desafio: controle sem sufocar a agilidade
A área de TI vive o dilema entre manter a governança e dar suporte às demandas crescentes das áreas de negócio. E quando tudo depende da TI – desde consultas simples até automações completas – o resultado costuma ser um só: fila de tickets, gargalo, retrabalho e frustração dos dois lados.
É nesse cenário que o Alteryx oferece uma alternativa poderosa e equilibrada.
Alteryx: descentralização com controle
O Alteryx entrega exatamente o que a empresa precisa: autonomia para o usuário final, com uma plataforma amigável, visual e acessível – sem abrir mão da governança exigida pela TI.
Como o Alteryx resolve esse impasse:
Delegação com segurança: usuários criam e executam seus próprios fluxos de dados, análises e automações sem depender da TI para cada tarefa.
Interface intuitiva: nada de código. O Alteryx usa uma abordagem visual que democratiza o acesso à análise de dados. Mas se for preciso, é possível utilizar códigos na solução
Menos tickets para a TI: ao empoderar o usuário, a TI reduz significativamente a demanda por tarefas operacionais e libera tempo para projetos mais estratégicos.
Alteryx Server como pilar de governança:
Centraliza e versiona todos os workflows;
Permite agendamentos automáticos com logs completos;
Controla permissões por usuário ou grupo;
Garante rastreabilidade e conformidade com políticas corporativas.
Um modelo moderno de colaboração
A TI não perde o controle — ganha parceiros. Com o Alteryx, as áreas de negócio deixam de improvisar e passam a usar uma plataforma suportada, auditável e escalável, sob a supervisão da área técnica. O resultado é um ambiente de dados mais saudável, seguro e produtivo.
Se em Jurassic Park “a vida encontrou um jeito”, no mundo corporativo os usuários também encontram. A diferença é que agora, com o Alteryx, a TI pode mostrar o caminho certo – e garantir que todos cheguem lá com segurança.
O Alteryx tem se consolidado como uma das principais plataformas de automação analítica do mercado, viabilizando desde análises simples até arquiteturas analíticas complexas e integradas. No entanto, o impacto da solução está diretamente relacionado à forma como ela é adotada e escalada dentro das organizações.
Mais do que uma questão técnica, trata-se de uma decisão estratégica: empresas que conseguem amadurecer o uso do Alteryx colhem ganhos relevantes em produtividade, confiabilidade dos dados e escalabilidade da inteligência analítica.
A seguir, vamos explorar os três principais grupos de uso do Alteryx dentro das empresas — da automação pontual à automação corporativa — e os desafios e oportunidades associados a cada estágio.
1. Automação ad hoc: produtividade pontual, riscos estruturais
Neste primeiro grupo, o uso do Alteryx está concentrado em indivíduos ou pequenos times, que utilizam o Alteryx Designer para resolver problemas específicos de análise de dados, normalmente com foco em agilidade individual e ganho de produtividade em tarefas operacionais.
Características:
Uso localizado e isolado por profissionais analíticos
Tipicamente entre 1 a 5 licenças de Alteryx Designer
Sem uso do Alteryx Server
Foco em resolução rápida de demandas pontuais e criação de relatórios básicos
Riscos:
A empresa não captura os ganhos em escala que a plataforma pode oferecer
Dependência excessiva de especialistas: turnover pode significar a perda total do processo
Falta de governança e visibilidade do uso, o que pode caracterizar shadow IT
Processos não documentados nem orquestrados, gerando risco de ruptura operacional
Oportunidade:
Mesmo com essas limitações, é um ponto de partida importante. Quando há resultados positivos, é o momento ideal para sensibilizar a liderança sobre o potencial de escalar o uso com segurança e estratégia.
2. Automação end to end: o ponto de virada
Neste segundo estágio, o Alteryx já está presente em times com maturidade analítica, que utilizam a plataforma para criar pipelines de dados mais robustos, relatórios complexos e automações que impactam processos críticos do negócio.
Características:
Entre 6 a 10 licenças de Alteryx Designer
Uso do Alteryx Server para orquestração e agendamento
A solução passa a ser reconhecida como estratégica por algumas áreas
Equipes começam a padronizar práticas, compartilhar workflows e reduzir retrabalho
Riscos:
Pode haver limitação por uso departamental: a solução evolui, mas ainda está isolada
Sem envolvimento da TI, a governança e escalabilidade podem se tornar um entrave
Falta de estratégia de expansão pode fazer a empresa estagnar ou até regredir
Oportunidade:
Esse estágio representa um turning point: ou a organização estrutura a expansão da plataforma, ou corre o risco de não capturar todo o seu potencial. Com o apoio da TI e a criação de modelos de governança, é possível dar o próximo passo com segurança.
3. Enterprise automation: inteligência analítica em escala
O estágio mais avançado é o da automação empresarial. Aqui, o Alteryx é parte central da estratégia de dados da empresa, sendo utilizado de forma transversal por diferentes departamentos, com apoio direto da TI e governança estabelecida.
Características:
Mais de 11 Alteryx Designers, uso do Alteryx Server, Intelligence Suite e ambientes sandbox
Implementação de Centros de Excelência Analítica ou Operacional (CoE)
TI atua como parceira estratégica, oferecendo governança e infraestrutura
Workflows integrados a sistemas corporativos, ERPs, CRMs e data lakes
Uso de modelos preditivos e automação inteligente em escala
Benefícios:
A empresa atinge um novo patamar de eficiência e confiabilidade analítica
Redução significativa de custos com retrabalho, erros e silos de dados
Agilidade na tomada de decisão baseada em dados confiáveis e atualizados
Governança e segurança integradas, com visibilidade total da operação
Oportunidade:
Organizações nesse estágio se posicionam como data-driven de verdade. O Alteryx deixa de ser uma ferramenta e se torna um habilitador estratégico da transformação digital, com impacto direto em resultados de negócio.
Onde sua organização está — e onde pode ela pode chegar?
Identificar o estágio atual de uso do Alteryx é o primeiro passo para definir um plano de evolução. Independentemente do ponto de partida, o importante é entender que o valor da plataforma cresce à medida que ela é estruturada e integrada à estratégia da organização.
Investir em expansão com governança, engajamento da TI e visão de longo prazo é o que separa o uso pontual da automação analítica como vantagem competitiva real.
Se a sua empresa está pronta para dar esse salto, o caminho começa com uma conversa estruturada — e com a TI como protagonista dessa evolução.
Por Marcelo Oliveira dos Santos, consultor de cibersegurança na Protiviti Brasil.
A inteligência artificial (IA) tem desempenhado um papel cada vez mais relevante em diversas áreas, incluindo a cibersegurança. Ferramentas baseadas em IA já são essenciais para detectar e responder a ameaças digitais com mais agilidade e precisão. No entanto, a mesma tecnologia também tem sido explorada por agentes mal-intencionados para potencializar ataques cibernéticos.
A seguir, abordamos os impactos da IA na cibersegurança, destacando tanto os benefícios quanto os riscos associados ao seu uso.
A revolução da IA na cibersegurança
Com a quantidade crescente de dados que trafegam pela internet, os métodos tradicionais de cibersegurança se tornaram insuficientes para detectar ameaças complexas. A IA, com suas capacidades de aprendizado de máquina (machine learning) e aprendizado profundo (deep learning), é capaz de processar grandes volumes de dados em tempo real, identificando padrões suspeitos e possíveis ameaças.
Um exemplo comum é o uso de IA em sistemas de detecção de intrusão (IDS). Esses sistemas monitoram o tráfego de rede e usam algoritmos de aprendizado para identificar comportamentos anômalos. Um caso real de sucesso foi o da empresa Darktrace, que usou IA para detectar uma série de atividades incomuns na rede de um cliente, ajudando a mitigar um ataque antes que causasse danos.
Além disso, a IA tem sido usada para fortalecer a autenticação biométrica, por exemplo, sistemas de reconhecimento facial baseados em IA conseguem verificar a identidade dos usuários de forma precisa, aumentando a segurança em aplicativos bancários e plataformas de e-commerce. No entanto, enquanto esses avanços trazem segurança, também apresentam desafios, como veremos adiante.
O uso malicioso da IA em ataques cibernéticos
Embora a IA traga benefícios significativos, ela também abre novas oportunidades para os cibercriminosos. Tecnologias como algoritmos de deepfake, por exemplo, permitem a criação de conteúdos falsos que parecem reais, tornando possível manipular vídeos e áudios de figuras públicas ou executivos de empresas.
Em 2019, um CEO de uma empresa britânica foi enganado por uma voz gerada por IA que imitava o sotaque alemão de seu supervisor. A vítima foi convencida a transferir 243 mil dólares para uma conta de um suposto parceiro comercial, o incidente é um exemplo claro de como a IA pode ser usada de forma maliciosa.
Outro exemplo é o uso da IA para potencializar ataques de phishing, uma das ameaças mais comuns e devastadoras. Através de técnicas de processamento de linguagem natural (NLP), a IA consegue gerar e-mails personalizados que simulam a linguagem e o tom de pessoas conhecidas da vítima, tornando o golpe mais convincente. Essa capacidade de adaptação e personalização eleva o nível de sofisticação dos ataques, dificultando a identificação de fraudes.
A IA também tem sido empregada em ataques de força bruta, onde sistemas tentam adivinhar senhas tentando combinações, algoritmos de IA conseguem testar milhares de combinações em segundos, tornando esse método mais eficiente e perigoso, especialmente em sistemas que ainda utilizam senhas fracas.
Caminhos para mitigar os riscos
Com o aumento das ameaças potencializadas pela IA a cibersegurança deve se adaptar, profissionais da área estão desenvolvendo defesas baseadas em IA, como firewalls de nova geração que utilizam aprendizado de máquina para identificar bloquear automaticamente atividades suspeitas, porém, uma das grandes questões é a falta regulamentações e políticas de ética para uso da IA em segurança digital, o que deixa muitas organizações vulneráveis.
Uma abordagem recomendada é o uso de IA explicável (Explainable AI), que permite sistemas de segurança forneçam justificativas detalhadas para cada decisão tomada, isso facilita a identificação de possíveis erros nos algoritmos e ajuda as equipes de segurança a entenderem melhor as decisões do sistema, outra pratica muito eficaz é a atualização continua dos sistemas de segurança com novos dados e ameaças, garantindo que a IA não fique defasada e vulnerável.
Conclusões
A inteligência artificial transformou a cibersegurança, possibilitando avanços no combate a ameaças digitais e tornando o monitoramento mais preciso. No entanto, a mesma tecnologia tem sido explorada por cibercriminosos para realizar ataques mais sofisticados e difíceis de detectar.
Assim, para que os benefícios da IA superem seus riscos, é fundamental que empresas e profissionais se adaptem constantemente às novas ameaças e invistam em tecnologias que protejam os dados e privacidade dos usuários. A IA continuará a ser uma espada de dois gumes no campo da cibersegurança, servindo tanto quanto uma defesa quanto como uma arma poderosa nas mãos daqueles que a controlam. Cabe aos profissionais da área (e à sociedade como um todo) trabalhar para equilibrar essa balança.
Referências
Cimpanu, Catalin. “AI vs AI: How the cybersecurity industry and cybercriminals use machine learning.” ZDNet, 2021.
“How Google protects you with machine learning.” Google Safety Center, 2023.
As senhas tradicionais estão cada vez mais vulneráveis a ataques cibernéticos, como phishing e vazamento de dados, enquanto a complexidade exigida muitas vezes resulta em combinações fracas ou reutilizadas. Esses problemas geram a necessidade urgente de métodos de autenticação mais seguros e práticos. Nesse cenário, as passkeys se destacam como uma solução promissora para a segurança digital, conforme apresentado pela Microsoft em maio de 2024.
O que são passkeys?
As passkeys são um método avançado de autenticação baseado em criptografia de chave pública. Elas utilizam fatores biométricos, como impressões digitais ou reconhecimento facial, ou um PIN específico do dispositivo. Ao contrário das senhas convencionais, as passkeys são geradas automaticamente e vinculadas exclusivamente a um usuário e dispositivo, tornando-se impossíveis de serem reutilizadas ou roubadas.
Essa tecnologia elimina a necessidade de lembrar combinações complexas ou correr o risco de vazamentos em ataques de força bruta. Sua estrutura única combina segurança robusta com uma experiência de uso simplificada.
Como funcionam as passkeys?
Quando um usuário acessa um serviço que suporta passkeys, o dispositivo cria um par de chaves criptográficas:
Chave pública: enviada para o servidor e usada para identificar o usuário.
Chave privada: armazenada localmente no dispositivo e protegida por biometria ou PIN.
No momento da autenticação, o servidor emite uma solicitação que só pode ser respondida pela chave privada. Esse processo garante a identidade do usuário sem compartilhar informações sensíveis.
Por serem vinculadas ao dispositivo, as passkeys atuam como uma solução multifatorial, aumentando a proteção contra ataques e adaptando-se ao ambiente do usuário.
Vantagens
As passkeys oferecem diversos benefícios que superam as limitações das senhas tradicionais:
Resistência a ataques: Sem senhas para serem digitadas ou adivinhadas, as passkeys são imunes a ataques de força bruta e phishing.
Praticidade: Com apenas um toque ou reconhecimento facial, a autenticação é realizada de forma rápida e intuitiva.
Eliminação de memorização: Não há necessidade de lembrar combinações complicadas ou redefinir senhas frequentemente.
Segurança avançada: A autenticação por chave pública evita o compartilhamento de informações sensíveis, reduzindo o risco de vazamentos.
Além disso, essa tecnologia facilita a detecção de fraudes, pois é capaz de identificar acessos não autorizados com mais eficácia.
Desafios na adoção
Embora promissoras, as passkeys enfrentam obstáculos significativos:
Compatibilidade: A implementação da tecnologia em diferentes serviços e dispositivos ainda é limitada.
Segurança do dispositivo: A proteção da chave privada depende diretamente da segurança física e digital do aparelho usado.
Educação do usuário: Muitos usuários ainda desconhecem essa solução, exigindo esforços para conscientização e treinamento.
Com o tempo, espera-se que esses desafios sejam superados à medida que mais empresas e desenvolvedores adotem padrões universais para passkeys.
O futuro da autenticação com passkeys
A expectativa é que, em breve, as passkeys substituam as senhas em larga escala, revolucionando o conceito de segurança digital. Combinadas a outras inovações, como inteligência artificial, elas têm o potencial de criar sistemas de autenticação ainda mais robustos.
A integração com serviços de pagamento, redes sociais e plataformas corporativas promete reduzir drasticamente problemas relacionados a roubos de credenciais. Essa tecnologia não apenas aumenta a proteção, mas também proporciona uma experiência de uso muito mais fluida.
As passkeys estão moldando o futuro da autenticação digital, oferecendo uma solução que combina segurança avançada e praticidade. Ao eliminar a dependência de senhas vulneráveis, elas prometem uma internet mais segura para todos os usuários.
A Microsoft e outras gigantes da tecnologia já estão liderando o caminho para essa transformação, que poderá marcar o fim das senhas tradicionais como as conhecemos.
Por Humberto Gonçalves de Oliveira, consultor de cibersegurança na Protiviti Brasil.
Descubra como as normas ISO estão moldando a governança, segurança e ética no uso da Inteligência Artificial.
A Inteligência Artificial (IA) é um campo em constante evolução, que ganhou protagonismo nas discussões ao longo dos últimos anos, mas que tem raízes profundas na história. Desde a Antiguidade, a ideia de máquinas que realizam tarefas humanas intriga a humanidade. Na Grécia Antiga, por exemplo, filósofos como Aristóteles e Platão já discutiam conceitualmente criaturas artificiais capazes de desempenhar funções humanas. Na década de 1940, Warren McCulloch e Walter Pitts propuseram modelos de redes neurais baseados no funcionamento de neurônios, criando as bases para circuitos inteligentes. Em 1950, Alan Turing introduziu o “Teste de Turing” para avaliar a inteligência das máquinas. Já em 1956, John McCarthy cunhou o termo “inteligência artificial”, inaugurando oficialmente o campo.
Avanços Recentes e Impactos Práticos da IA
Nos últimos anos, a IA avançou de forma exponencial, permitindo inovações como reconhecimento facial, processamento de linguagem natural e ferramentas como ChatGPT e Google Gemini. Essas tecnologias estão transformando áreas como automação, produtividade e análise de dados.
No entanto, o uso crescente da IA também revela desafios significativos, incluindo riscos relacionados à privacidade de dados, decisões opacas e possíveis falhas de segurança. Esses desafios aumentam a necessidade de regulamentações claras.
Normas ISO: um marco na governança de IA
Para mitigar os riscos e promover o uso ético da IA, a ISO (International Organization for Standardization) introduziu duas normas cruciais em 2023:
ISO 23894 – Gestão de Riscos de IA: Uma extensão da ISO 31000, com foco em riscos específicos da Inteligência Artificial.
ISO 42001 – Sistema de Gestão de IA: Um modelo abrangente de governança com possibilidade de certificação.
ISO 23894 – Gestão de Riscos de IA
A ISO 23894 adapta os princípios de gestão de risco da ISO 31000 às particularidades da IA. Entre os riscos mais comuns tratados pela norma estão:
Complexidade dos sistemas: Supervisão e controle de sistemas altamente complexos.
Explicabilidade: Necessidade de decisões transparentes e justificáveis.
Automação: Desafios no gerenciamento de sistemas autônomos.
Dados e aprendizado de máquina: Dependência de grandes volumes de dados e impacto de sua qualidade no desempenho.
Hardware e ciclo de vida: Problemas técnicos e atualizações que afetam a operação.
Essa norma é essencial para organizações que desenvolvem, implantam ou utilizam IA, ajudando a identificar e mitigar riscos eficazmente.
ISO 42001 – Sistema de Gestão de IA
A ISO 42001 estabelece um modelo de melhoria contínua baseado no ciclo PDCA (Plan-Do-Check-Act), oferecendo diretrizes para implementar e manter sistemas de IA seguros e éticos. Entre seus principais benefícios estão:
Governança padronizada: Garantia de práticas consistentes e alinhadas globalmente.
Transparência e ética: Promoção de confiança e responsabilidade no uso da IA.
Certificação: Demonstração do compromisso da organização com segurança e conformidade.
Esse framework é especialmente valioso para organizações que buscam se posicionar como líderes no uso responsável da tecnologia.
Conclusão
A Inteligência Artificial é uma tecnologia transformadora, mas seu impacto requer responsabilidade e regulamentação. Normas como a ISO 23894 e a ISO 42001 são ferramentas essenciais para orientar empresas em direção a um futuro ético, seguro e inovador. Ao adotar essas diretrizes, as organizações estão melhor equipadas para explorar o potencial da IA enquanto minimizam riscos e promovem a confiança pública.
Por Armando Ribeiro, Consultor de Cibersegurança na Protiviti Brasil | [email protected]
Para abordar as tendências atuais em cibersegurança, é essencial compreender o panorama dinâmico e em constante evolução das ameaças cibernéticas. Nesse artigo, conheça as tendências mais recentes identificadas por pesquisas especializadas, destacando os desafios emergentes e as estratégias inovadoras adotadas para proteger sistemas e dados contra ameaças cada vez mais sofisticadas.
Cibersegurança: panorama atual
A cibersegurança tornou-se uma prioridade crucial para organizações de todos os setores, devido ao aumento significativo de incidentes cibernéticos e à crescente sofisticação dos ataques. Conforme indicado pela IBM Security, o custo médio global de uma violação de dados em 2023 foi de aproximadamente 4,24 milhões de dólares, demonstrando o impacto financeiro substancial que esses eventos podem ter.
Evolução das ameaças cibernéticas
As ameaças cibernéticas estão se tornando mais diversificadas e complexas, adaptando-se rapidamente às novas tecnologias e vulnerabilidades emergentes. Um estudo da McAfee observa um aumento alarmante no número de ransomwares direcionados a grandes corporações e infraestruturas críticas, refletindo uma tendência preocupante de ataques direcionados e sofisticados. Além disso, ataques de phishing continuam sendo uma ameaça significativa, com hackers aproveitando técnicas avançadas de engenharia social para enganar usuários e obter acesso não autorizado a sistemas corporativos.
Desafios emergentes em cibersegurança
Com o advento da Internet das Coisas (IoT) e a proliferação de dispositivos conectados, surgem novos desafios em termos de segurança cibernética. Dispositivos IoT frequentemente carecem de padrões de segurança robustos, tornando-se alvos fáceis para invasores que buscam explorar vulnerabilidades e comprometer redes corporativas. De acordo com o relatório da Trend Micro, ataques a dispositivos IoT aumentaram em 300% nos últimos dois anos, sublinhando a necessidade urgente de estratégias de segurança adaptativas.
Tendências Emergentes em Cibersegurança
A utilização de inteligência artificial (IA) e machine learning (ML) está se tornando fundamental na detecção proativa de ameaças cibernéticas. Soluções baseadas em IA podem analisar grandes volumes de dados em tempo real, identificando padrões anômalos e comportamentos suspeitos que podem indicar potenciais ataques. De acordo com a Gartner, até 75% das organizações utilizarão ferramentas de detecção de ameaças baseadas em IA até 2024.
A arquitetura de Zero Trust está ganhando popularidade como uma abordagem de segurança que desafia o modelo tradicional de perímetro de rede. Em vez de confiar automaticamente em usuários e dispositivos dentro da rede corporativa, o Zero Trust requer verificações contínuas de identidade e autorização para acessar recursos, independentemente da localização do usuário. Segundo o Forrester Research, a implementação de Zero Trust pode reduzir em até 30% o impacto de violações de dados.
Com a adoção crescente de serviços em nuvem, a segurança na nuvem tornou-se uma prioridade crítica. Soluções de segurança em nuvem oferecem proteção avançada contra ameaças cibernéticas, garantindo a integridade e a confidencialidade dos dados armazenados e processados na nuvem. De acordo com a Microsoft, investimentos em segurança em nuvem estão aumentando exponencialmente, com empresas priorizando soluções que ofereçam visibilidade e controle abrangentes sobre suas cargas de trabalho na nuvem.
Estratégias de resposta e mitigação
Diante dessas tendências e desafios em cibersegurança, as organizações estão adotando abordagens multifacetadas para proteger seus ativos digitais e mitigar o impacto de possíveis violações. Isso inclui a implementação de políticas rigorosas de segurança da informação, a realização regular de testes de penetração e vulnerabilidade, e a formação contínua dos colaboradores em práticas seguras de navegação e uso de tecnologia.
Exemplo de implementação prática
Um exemplo de implementação prática pode ser observado em uma empresa de tecnologia líder que adotou uma abordagem de segurança em camadas para proteger sua infraestrutura crítica. A empresa utilizou ferramentas avançadas de detecção de ameaças baseadas em IA para monitorar continuamente o tráfego de rede e identificar atividades suspeitas. Além disso, implementou políticas de Zero Trust para restringir o acesso a dados sensíveis apenas a usuários autorizados, independentemente de sua localização física. Essas medidas ajudaram a empresa a mitigar riscos significativos e manter a integridade de seus sistemas em face de ameaças crescentes.
Conclusão
Em suma, as tendências em cibersegurança estão evoluindo rapidamente à medida que novas tecnologias emergem e as ameaças cibernéticas se tornam mais sofisticadas. Adotar abordagens inovadoras, como inteligência artificial, arquitetura de Zero Trust e segurança em nuvem, tornou-se imperativo para proteger organizações contra violações de dados e interrupções de operações. Ao implementar estratégias eficazes de cibersegurança e manter-se atualizado com as últimas pesquisas e práticas recomendadas, as organizações podem mitigar riscos, garantir a conformidade regulatória e fortalecer sua postura de segurança digital.
Por Matheus Jacyntho, Diretor de Cibersegurança e Resiliência na Protiviti Brasil, e Cíntia Soares, Market Sector Leader l Senior Manager – Business Performance & Transformation.
Na era digital, a segurança da informação se tornou uma preocupação primordial para indivíduos e organizações. Duas técnicas cruciais nessa área são a esteganografia e a criptografia.
Embora ambas sejam usadas para proteger informações, elas operam de maneiras distintas e têm diferentes aplicações.
Neste artigo, confira o que são esteganografia e criptografia, suas diferenças e como podem ser utilizadas tanto para o bem quanto para o mal.
Esteganografia
A esteganografia é a prática de esconder a existência de uma mensagem, ao contrário da criptografia, que transforma o conteúdo de uma mensagem para torná-la ilegível para pessoas não autorizadas, a esteganografia esconde a própria presença da mensagem, envolve a ocultação de informações dentro de outros dados aparentemente inofensivos, como imagens, áudio ou vídeo.
A principal diferença em relação à criptografia é que a esteganografia não altera a estrutura dos dados ocultos, mas sim esconde a existência da informação.
Exemplos de Esteganografia
Uma imagem digital pode conter uma mensagem secreta codificada nos bits de informação menos significativos de seus pixels, sem causar mudanças perceptíveis na imagem tornando a mensagem invisível a olho nu, mas recuperável através de técnicas específicas.
Uma empresa pode ocultar uma mensagem confidencial dentro de uma imagem digital usando a técnica de esteganografia de LSB (Least Significant Bit), a imagem pode ser compartilhada publicamente sem levantar suspeitas, mas aqueles que conhecem a técnica e a chave correta podem extrair a mensagem escondida.
Criptografia
A criptografia, por outro lado foca na proteção do conteúdo da mensagem tornando-a ilegível (texto claro) em um formato ilegível, (texto cifrado) usando algoritmos matemáticos, isso garante que apenas indivíduos autorizados possam decifrar e acessar os dados, e que pessoas que não possuam a chave de decriptação correta possam decifrar e acessar os dados.
Existem dois tipos principais de criptografia: simétrica e assimétrica.
Na criptografia simétrica, a mesma chave é usada para criptografar e descriptografar a mensagem.
Na criptografia assimétrica, são utilizadas duas chaves: uma pública, para criptografar a mensagem, e uma privada, para descriptá-la.
Exemplos de Criptografia:
O uso do protocolo HTTPS na web, que criptografa dados transmitidos entre o navegador e o servidor para garantir privacidade e segurança.
Em uma comunicação por e-mail, um usuário pode usar a criptografia PGP (Pretty Good Privacy) para cifrar a mensagem. Apenas o destinatário com a chave privada correta poderá decifrar e ler o conteúdo da mensagem.
Diferenças entre Esteganografia e Criptografia
A principal diferença entre esteganografia e criptografia é o objetivo e a metodologia de cada técnica, e no propósito e método de proteção da informação.
A criptografia foca na transformação dos dados para torná-los ilegíveis sem a chave correta, protegendo o conteúdo da interceptação e leitura não autorizada, já a esteganografia foca na ocultação dos dados, de modo que um observador desatento nem sequer perceba que existe uma mensagem oculta, ambas podem ser complementares, por exemplo, uma mensagem criptografada pode ser escondida usando esteganografia para adicionar uma camada extra de segurança.
Uso benéfico e malicioso das técnicas
Tanto a esteganografia quanto a criptografia têm aplicações benéficas e maliciosas. No lado positivo, elas são essenciais para proteger a privacidade e a integridade dos dados.
Governos e empresas utilizam essas técnicas para proteger informações sensíveis contraespionagem e ciberataques. No entanto, essas mesmas técnicas podem ser usadas por criminosos para ocultar comunicações ilegais e dados roubados.
A esteganografia pode ser empregada para esconder malwares em arquivos aparentemente inofensivos, ocultando códigos maliciosos dentro de arquivos legítimos, como imagens ou documentos.
Isso pode permitir que o malware passe despercebido pelos sistemas de segurança e seja executado nos dispositivos sem serem percebidos.
Os principais objetivos da criptografia são confidencialidade, disponibilizando informações somente para usuários autorizados, a integridade, que garante que as informações não tenham sido manipuladas, e autenticação, que confirma a autenticidade das informações ou a identidade de um usuário, e o Não repúdio que impede que um usuário negue compromissos ou ações anteriores, destacando que a criptografia pode proteger as comunicações de organizações terroristas.
Conclusão
Concluímos que a esteganografia e a criptografia são técnicas poderosas na segurança da informação, elas servem a propósitos diferentes e podem ser usadas em conjunto para aumentar a segurança dos dados proporcionando uma camada adicional de proteção, cada uma com seus métodos e finalidades específicas.
Compreender suas diferenças e aplicações é crucial para utilizar essas técnicas de forma eficaz e ética, apesar do potencial para uso malicioso, com o avanço das tecnologias e das ameaças digitais, a combinação dessas técnicas continua a ser uma parte vital da estratégia de segurança de dados em ambientes digitais, quando empregadas corretamente ambas contribuem significativamente para a proteção da privacidade e segurança no mundo digital.
Referências
Esteganografia – Definição e Explicação: kaspersky/resource-center/definitions/what-is-steganography
O que é criptografia: aws.amazon.com/pt/what-is/cryptography/
Por Marcelo Santos, Consultor de Segurança da Informação da Protiviti Brasil | [email protected]
De assistentes digitais pessoais a veículos autônomos, a Inteligência Artificial (IA) está revolucionando a forma como interagimos com a tecnologia e uns com os outros. Nesse cenário, o Microsoft Copilot e o ChatGPT da Open AI estão na vanguarda, aproveitando tecnologias transformadoras como Generative Pretrained Transformers (GPT) e Large Language Models (LLM). Essas ferramentas avançadas aproveitam o processamento de linguagem natural para entender e gerar respostas semelhantes às humanas a partir de grandes quantidades de dados, executando uma ampla gama de tarefas, como análise de sentimentos, resposta a perguntas, resumo e geração de imagens e textos. À medida que continuamos a explorar as fronteiras na inovação da IA, as tendências sugerem um futuro cada vez mais guiado por essas plataformas poderosas que não apenas aprimoram nossas habilidades, mas também moldam um futuro em que a influência da IA irá permear todos os aspectos de nossas vidas.
IA e LLMs oferecem benefícios importante para empresas que desejam aproveitar o poder da linguagem natural para seus negócios. Essas ferramentas podem ajudar as empresas a aperfeiçoarem seu atendimento ao cliente, aumentar a produtividade, otimizar processos, gerar insights e agregar valor aos negócios. No entanto, IA e LLMs também representam desafios significativos para empresas que desejam usá-los de forma eficaz e responsável.
Isso porque elas exigem muitos dados, poder de computação e experiência para treinar, implantar e manter. Tanto a IA quanto os LLMs também levantam questões sobre questões éticas, legais e sociais, como privacidade de dados, segurança, preconceito, justiça, responsabilidade e transparência. É importante observar que os LLMs não são necessariamente treinados para precisão: em vez disso, eles são treinados para fornecer a próxima melhor resposta de conversação a uma consulta. A quantidade de dados que precisam ser gerenciados e governados está crescendo exponencialmente e, com o início da IA generativa, a geração de novos dados não estruturados está impactando significativamente a como os dados são registrados, descobertos, protegidos, monitorados, auditados e principalmente terem sua veracidade confirmada.
Governança e gestão dos ativos de IA
O Microsoft Purview é o conjunto de soluções de segurança de dados da Microsoft que fornece um único local para descobrir, proteger e gerenciar dados em todo o ambiente corporativo para privacidade de dados, conformidade regulatória e segurança cibernética. Esta ferramenta permite que os usuários descubram, protejam e monitorem prompts e respostas, usando dados de IA generativa em ferramentas internas e externas.
Essas soluções são essenciais para que a IA opere de maneira gerenciada e controlada, mas também são relevantes para as empresas que estão adotando rapidamente a tecnologia sem os devidos controles de uso, compartilhamento e exportação de dados. A Microsoft anunciou recentemente o Microsoft AI Hub, que aproveita os recursos do MS Purview para identificar, proteger e gerenciar o uso de IA de uma organização em um único dashboard de indicadores.
Entre os principais recursos do MS Purview AI Hub estão a capacidade de inventariar atividades de IA generativa, incluindo o uso de dados confidenciais em uma ampla variedade de aplicativos e sites. A ferramenta permite proteger as interações do Copilot impedindo o acesso não autorizado confidencial de dados confidenciais e, mais especificamente, o Hub de IA do MS Purview pode monitorar, alertar ou até mesmo impedir que os usuários enviem informações confidenciais para sites de IA generativa. Além disso, ele também permite detectar e mitigar riscos de negócios e violações regulatórias enquanto o uso do AI Hub generativo no Purview, que permite a análise de riscos e impacto do uso de algoritmos de IA, ajuda os usuários a superarem esses desafios de e maximizar os benefícios de sua utilização nas empresas.
O Hub de IA do Microsoft Purview e as políticas que ele monitora estejam vinculadas ao DLP, exigindo que os dispositivos sejam integrados a esta plataforma. O AI Hub disponibiliza políticas integradas que podem ser ativadas e personalizadas para definir o escopo para usuários/grupos específicos e adaptá-las aos requisitos organizacionais. As políticas internas incluem:
Descoberta de prompts confidenciais em assistentes de IA;
Detectação quando os usuários acessam o navegador da Web para utilizar outros assistentes de IA;
Habilitação da proteção em assistentes de IA por meio da integração com o Gerenciamento de Riscos Internos do Microsoft Purview.
Os administradores e as equipes de proteção de dados também podem usar o Gerenciador de Atividades do Microsoft Purview para monitorar as interações de IA dos usuários e ser alertados quando uma regra DLP corresponder à interação de um usuário com um site de IA generativa. As principais preocupações dos líderes de segurança incluem riscos éticos, legais e regulatórios da utilização da IA.
À medida que as organizações aumentam a adoção de recursos de IA, regulamentações adicionais serão promulgadas para apoiar a utilização responsável e, ao mesmo tempo, proteger dados pessoais confidenciais. Embora o AI Act Europeu, juntamente com as estruturas com o NIST AI e a ISO 42.001, forneçam orientação para adoção, identificação e mitigação de riscos, é fundamental desenvolver uma estrutura de governança para IA que considere as implicações em seu modelo de negócios e do funcionamento de segmento de atuação.
Microsoft Purview: suporte à AI
Para assegurar a integração entre o monitoramento proativo e a necessidade de governança de IA, os novos modelos de IA Premium do Microsoft Purview Compliance Manager oferecem uma solução estratégica para gerenciar e relatar o risco de conformidade de IA, garantindo que utilização ética e legal da IA esteja alinhada com os padrões organizacionais e os regulamentos futuros. O Gerenciador de Conformidade do Microsoft Purview dá suporte à conformidade de IA por meio de quatro novos modelos de IA Premium para ajudar a avaliar, gerenciar e relatar os riscos de conformidade de IA. Esses modelos identificam as melhores práticas, monitoram as interações de IA, evitam o compartilhamento inadequado de dados confidenciais em aplicativos de IA e gerenciam políticas de retenção e exclusão para interações de IA. O Gerenciador de Conformidade inclui monitoramento em tempo real em aplicativos Multicloud e Software as a Service (SaaS), podendo ser revisado como parte de um programa completo de governança de IA.
O Copilot para Microsoft 365 permite otimizar o acesso a dados não estruturados em toda a organização, visto que a implantação e a utilização exigem acesso a dados atuais e relevantes. No entanto, a maioria das organizações têm dificuldades em evitar a proliferação, o gerenciamento e a proteção de dados. À medida que as organizações avançam para adotar a IA, o foco crítico deve ser aplicado para garantir um forte gerenciamento de dados em toda a empresa. Isso inclui a remoção de dados obsoletos e desatualizados, a proteção de dados críticos e confidenciais e a identificação proativa do uso inadequado.
Os recursos de Gerenciamento de Registros e Ciclo de Vida de Dados do Microsoft Purview permitem que as organizações descartem de forma defensável os dados que não são mais necessários. Ao aproveitar políticas e rótulos nessas ferramentas, as organizações podem permanecer em conformidade com os regulamentos de retenção de dados, reduzir sua superfície de ataque descartando dados que não são mais necessários e permitir que o Copilot para Microsoft 365 acesse as informações mais relevantes e atualizadas para fornecer as respostas mais relevantes e úteis.
O Microsoft Purview eDiscovery Premium permite que as equipes jurídicas e de descoberta eletrônica descubram quais tipos de informações os usuários estão inserindo nos prompts do Copilot para Microsoft 365 e quais tipos de respostas estão recebendo. Esse é um recurso essencial ao investigar o possível uso mal-intencionado de IA em organizações ou realizar avaliações de conformidade sobre como as informações estão sendo compartilhadas por meio da IA generativa.
O AI Hub no Purview, juntamente com os recursos de proteção de dados do Purview, fornece uma nova maneira de gerenciar ativos de IA com responsabilidade, com foco na segurança e na conformidade.
–
Baseado no artigo original escrito por: Patrick Anderson, MD Protiviti; Patrick Anderson, MD Security & Privacy; Antonio Maio, MD Microsoft.
