A sociedade e a tecnologia avançam a passos largos. Na mesma velocidade, se faz necessário que organizações invistam em segurança da informação, apostando em profissionais capacitados, ferramentas inovadoras, políticas de segurança adequadas, treinamentos e tudo que torne o ambiente corporativo cada dia mais seguro e insuscetível a falhas. Nesse contexto, a implementação de um SOC (Security Operations Center, um Centro de Operações de Segurança) reúne estratégias importantes que servem de resposta a muitas dessas demandas. Graças ao valor da informação, hoje em dia, cada vez mais empresas investem em seu próprio centro de operações de segurança.
Com um SOC, softwares de coleta e análise de dados permitem monitorar em tempo real a infraestrutura e alertar sobre quaisquer eventos que ameacem o negócio, com monitoração preventiva de ataques, resposta rápida a incidentes, armazenamento de logs e gestão preventiva de fraudes, invasão ou qualquer ocorrência de vazamento de dados, perda de informações ou impacto à continuidade do negócio.
No mercado, diversas ferramentas estão disponíveis para esse fim. Uma das mais utilizadas é o Elasticsearch, um dos mais poderosos instrumentos de indexação e busca de dados. Mas afinal, o que vem a ser isso? O Elasticsearch faz parte do pacote conhecido como ELK Stack, que se trata de uma sigla para três projetos Open Source (Elasticsearch / Logstash / Kibana), adicionados ao projeto X-Pack, e que podem ser resumidos da seguinte forma:
Elasticsearch – É o mecanismo de busca e análise de dados, mas também pode ser utilizado como fonte de dados da aplicação, ou seja, ele provê o armazenamento de dados.
Logstash / Beats – São responsáveis pela ingestão de dados no Elasticsearch. O Filebeat, ou simplesmente Beats, é capaz de monitorar arquivos de Log, os quais são analisados e depois importados para o Elasticsearch. O Logstash é um pipeline de processamento de dados do lado do servidor que absorve dados de uma variedade de fontes, transforma-os e os envia para um local de destino onde serão depositados e analisados.
Kibana – É uma interface WEB a qual permite que os usuários visualizem de forma fácil com diagramas, mapas e gráficos, os dados do Elasticsearch, tudo em tempo real, podendo criar e salvar Dashboards que atendam da melhor forma possível e facilitem a visualização e compreensão pelo analista.
X-Pack – Apesar de ser uma ferramenta paga, possui diversos componentes gratuitos. É capaz, por exemplo, de fazer o monitoramento do cluster, emitir alertas e relatórios e análise de grafos.
Como funciona
No Elastic, todos os documentos são indexados. Isso significa que tudo é registrado e armazenado em um banco de dados. Quando realizamos uma busca, o Elastic efetuará a análise através do índice invertido.
Isso é possível porque os índices invertidos alimentam o mecanismo de busca, armazenando todo o conteúdo, sejam palavras, números, caracteres etc., que podem estar presentes em um determinado número de documentos, encontrando paridade entre o conteúdo armazenado e os mesmos. No índice invertido do Elastic, ele não armazena apenas a ocorrência das palavras, mas, também sua ordem. Sendo assim, quando um novo texto é lido, o Elastic já tem a resposta, obtendo os resultados rapidamente, classificando o Elastic em uma ferramenta de busca eficaz e com resultados praticamente em tempo real.
No Elastic também podemos utilizar a funcionalidade de Filter (Filtros), o qual podemos salvar dados de pesquisa para realizar buscas e consultas repetidas, garantindo uma entrega aprimorada e eficiente.
Como usar
Através do recebimento dos Logs, podemos, por meio de análise desses dados do Log, praticamente em tempo real, conduzir ações para combater/evitar eventos maliciosos ou suspeitos em determinado ambiente. Abaixo veremos alguns exemplos de casos de uso diários do Elastic, no campo da Segurança da Informação:
Monitoramento de Active Directory (AD)
Criação de Contas Administrativas
Inclusão de Contas em Grupos Administrativos
Reativação de Contas Inativas
Tentativa de Login através de Conta Bloqueada
Tentativa de Bruteforce
Logon fora do horário de trabalho
Monitoramento de Firewall
Conexões VPN/SSL fora do horário de trabalho
Conexões RDP fora do horário de trabalho
Conexões VPN/RDP de fora do país
Tentativa de Conexões VPN/RDP através de conta Bloqueada
Monitoramento de Antivírus
Alertas de Malwares / Ransomwares
Alertas de Atualização de Vacina
Esses são apenas alguns exemplos dentre uma gama enorme do que pode ser feito com essa ferramenta. É valido reforçar que, hoje, o Elastic é uma das ferramentas mais promissoras do mercado profissional e cumpre com excelência o que se propõe como uma solução contra ameaças e vulnerabilidades do cliente.
Kibana: saiba mais sobre seu uso em um Centro de Operações de Segurança
Uma das tarefas principais do Centro de Operações de Segurança é o monitoramento, que inclui toda e qualquer atividade de rede, servidores, bancos de dados, antivírus, enfim, quaisquer procedimentos que possamos identificar algum tipo de vulnerabilidade que possa dar “entrada” para eventos maliciosos. Uma das principais ferramentas para esse monitoramento é o Kibana, uma interface gráfica acessada via navegador WEB para visualização dos dados coletados pelo Elastic.
Com o Kibana podemos, basicamente, obter qualquer tipo de visualização com painéis e gráficos (pizza, barras, mapas, medidores, etc.) criando dashboards personalizados para termos uma visão geral desses dados.
Tipos de Visualizações
Através do menu “Visualize Library”, é possível acessar todos os modelos de visualizações disponíveis no KIbana. Já em “Create Visualization” temos a opção de criar utilizando estes modelos já existentes. Entenda algumas das possibilidades de visualização da ferramenta:
Visualização Métrica – Tudo o que ela faz é exibir um único número (contador) com base na agregação do Elasticsearch.
Barra Vertical – Mostra a quantidade de Logs recebidos em um gráfico de eixo XY, em um determinado intervalo de tempo.
Gráfico de Área – Mostra essencialmente o mesmo que o gráfico de Barras, exceto que a área abaixo da linha é destacada.
Gráfico de Linhas – O gráfico de linhas é muito parecido com os gráficos de barras e de área, sendo sua configuração praticamente a mesma. A sua vantagem é que poder criar várias informações dentro de um único gráfico, economizando tempo e deixando-o mais compacto que os demais.
Gráfico de Pizza ou Torta (Pie) – Este gráfico é totalmente diferente dos demais, pois contém um conjunto de dados específicos e mais adequados para este tipo de gráfico. Ele divide em “fatias” uma contagem total dividida em subcategorias.
Para termos uma ideia pratica de como utilizar esses modelos de visualizações, podemos ter um contador de falha de logons, utilizado a visualização métrica, por exemplo. Ou poderíamos ver em tempo praticamente real uma tendência de recebimento de logs e suas oscilações para cima ou para baixo, utilizando gráfico de Barras ou de Linhas ou, no caso de querermos dois ou mais dados comparativos, como, por exemplo, total de logs de Logons Realizados x Falhas de Logons, usaríamos a visualização de Linhas. E usando o gráfico de Pizza, poderíamos ter uma visualização de um total de Falhas de Logons dividido por Usuário ou por Host, por exemplo. Enfim, temos uma gama enorme de opções para podermos montar cada visualização e inseri-la posteriormente no dashboard.
Os dashboards são conjuntos de visualizações criadas geralmente exibindo dados relacionados e vindos de uma mesma fonte de dados. Com o Kibana, é possível criar versões personalizadas dessas visualizações da dados, que possam ser acessadas mais rapidamente e de maneira constante.
Exemplo de dashboard configurado.
À medida que cresce a importância de garantir uma maior proteção de dados, confiabilidade e conformidade com órgãos reguladores, as empresas aumentam o investimento em segurança da informação e este é somente um exemplo de como isso pode ser feito através do monitoramento de uma central de SOC. Caso haja interesse em conhecer melhor esse serviço e as ferramentas apresentadas aqui, entre em contato com o time de especialistas da Protiviti no site.
*Renato Mirabili é Consultor de SOC na Protiviti Brasil.
A pandemia, do ponto de vista econômico e político, dividiu a sociedade em lados antagônicos. Há os que defendem como a melhor alternativa o isolamento social ou até mesmo o “lockdown”. E os que entendem que, dada a inevitável existência de mortes, não se pode descuidar da economia e finanças e em última análise do futuro sustentável do mundo. Como isso afeta o novo normal das empresas?
Muito líderes de países europeus, fortemente atingidos pela pandemia, adotaram medidas extremamente restritivas desde o início. Já outros defendiam e tentavam minimizar o potencial risco da pandemia. Eles aventavam que os efeitos econômicos seriam mais devastadores que a pandemia em si. Como se a morte de seres humanos não fosse impactar a produção econômica dos países. Afinal, com empregados doentes ou mortos, as fabricas e serviços obrigatoriamente param ou são afetados parcialmente.
Postura das lideranças mundiais diante da pandemia
Com o aumento das vítimas, velocidade da contaminação e a patente sobrecarga dos sistemas de saúde, muito líderes mundiais mudaram suas posturas. Como exemplo, frisamos o prefeito de Milão, Giuseppe Sala, que declarou estar arrependido de ter apoiado a campanha “Milão não para”. Boris Johnson, primeiro ministro britânico, chegou foi internado na UTI devido ao Covido-19. Isso fez com que ele mudasse a posição de seu governo ante a pandemia. Até mesmo o presidente americano Donald Trump reconheceu que a pandemia é mais grave que o 11 de Setembro e Pearl Harbor.
No Brasil, temos o exemplo de nossa maior liderança nacional atravessando a Praça dos Três Poderes, acompanhado pelo Ministro da Economia e empresários, que representam mais de 40% do PIB e 30 milhões de empregos”. Eles foram em direção ao Supremo Tribunal Federal para uma reunião surpresa com o Presidente do Tribunal, Ministro Dias Toffoli. O Presidente trouxe a questão da necessidade de retomada da Economia. Já o Ministro do Supremo lembrou a necessidade de haver coordenação na saúde. Isso visando o retorno do funcionamento das indústrias e da economia. Usou como exemplo as práticas que os países europeus estão adotando.
A força dos Gadgets no mundo pós-pandemia
Respeitando todos os posicionamentos políticos existentes, temos que lidar com fatos. Sim, há a necessidade eminente de planejarmos um retorno cauteloso e seguro. Sendo assim, como a a tecnologia pode nos ajudar nesse processo de retomada econômica no mundo pós-pandemia?
Múltiplas ideias surgiram nos últimos tempos. E, no mundo dos gadgets, temos soluções simples e eficientes. Como, por exemplo, o Hygienehook ou “gancho higiênico”. Impresso com tecnologia 3D, ele permite a abertura e fechamento de portas sem o contato direto com as superfícies. Temos, também, o bracelete vibratório Immutouch. Ele vibra toda vez que o usuário leva as mãos à boca, olhos ou nariz.
Uma tecnologia adotada em Dubai são os Capacetes Smart. Eles são utilizados pela polícia e possuem uma tela com sensibilidade térmica. Esta permite ao policial identificar pessoas com temperatura corporal acima do normal, que é uma das principais características dos infectados por Covid-19.
A tecnologia térmica presente nesses capacetes podem ser um trunfo na mão das autoridades no cenário de reabertura econômica. As câmeras de sensibilidade térmica, uma vez utilizadas em comércios e em outros ambientes de aglomeração, detectam indivíduos com temperatura corporal acima do normal. Com isso, é possível fazer um controle de acesso seguro a todos.
O City Farmer´s Market na Georgia, EUA adotou esse sistema. Toda vez que um cliente com temperatura acima do normal tenta acessar a loja, ele é orientado a deixá-la. A empresa ainda oferece a esta pessoa um funcionário para fazer as compras em seu lugar.
Questões suscitadas pelo uso dos apps
No novo normal, os aplicativos podem ser uma grande ajuda para uma retomada econômica segura. Principalmente se associados a esforços e políticas públicas unificadas. No entanto, ao envolver questões sobre coleta, retenção e uso de dados pessoais, tem suscitado diversas controvérsias. Em especial quando envolvem mecanismos de inteligência artificial e reconhecimento facial. Dentre os principais questionamentos, elencamos:
Localização exata ou coleta agregada de dados de localização?
Rastreamento de contato com sistemas centralizados ou descentralizados?
Uso compulsório ou voluntário dos aplicativos?
Localização exata ou coleta agregada de dados de localização?
O primeiro ponto, a coleta de dados de localização agregada é um processo semelhante ao adotado pelo Governo do Estado de São Paulo. Ele identifica aglomerações e potenciais descumprimentos do isolamento social sem identificação dos indivíduos por meio de sinais de celulares.
Na outra mão temos a coleta agregada de dados de localização, realizada por meio de aplicativos de rastreamento que utilizam dados de GPS. Ele possibilita o acompanhamento ou a reprodução dos caminhos realizados e locais visitados pelos usuários. Esse app foi desenvolvido pela Coreia do Sul e se alimenta desse tipo de informação, bastante intrusiva. Isso por que individualiza o usuário e permite sua identificação, além cruzar dados de localização com dados como compras pelo cartão de crédito.
Movimento semelhante se vê no novo normal da China, onde dados de GPS e de aplicativos de pagamento somam-se QR codes instalados em edifícios. Quando as pessoas chegam a esse local, elas devem apontar sua chegada com os smartphones. Esses mecanismos são combinados com a tecnologia de reconhecimento facial.
Rastreamento de contato com sistemas centralizados ou descentralizados?
Diversos países estão desenvolvendo aplicativos que buscam rastrear o contato entre pessoas. Esses sistemas utilizam uma ideia desenvolvida em 2010, na Universidade de Cambridge pelos pesquisadores Professor Jon Crowcroft e Doutora Eiko Yoneki. Ela foi chamada Fluphone ou “Telefone da Gripe” e que agora vem sendo aprimorado para um mundo pós-pandemia de Covid-19.
O sistema baseia-se no registro na troca de chaves anonimizadas. Essas chaves identificam o usuário e são trocadas via Bluetooth. Dessa forma, quando pessoas interagem com outras, os aparelhos trocam as chaves entre si, registrando o encontro.
Esse sistema pode ser executado de duas formas: Centralizado ou Descentralizado. No centralizado, as autoridades concentram os dados de registros dessas chaves em servidores remotos e realizam a consolidação das interações. Quando um usuário registra estar infectado pelo Cocid-19 no aplicativo, eles são identificados pelas autoridades. Estas identificam quem interagiu com aquela pessoa. Imediatamente, as notifica para que procurem uma unidade de saúde para testes ou entrem em isolamento.
Nos sistemas descentralizados, os dados são registrados no próprio celular, quando uma pessoa se identifica no aplicativo como infectado. Apenas a sua chave anonimizada vai para um servidor centralizado e não a lista de todas as interações. Periodicamente, os aplicativos fazem o download das chaves de infectados. Assim, a verificação das pessoas que estiveram em contato com alguém infectado é feita no próprio celular. E as notificações são enviadas apenas para elas, preservando as informações pessoais e a privacidade.
Países como China, Singapura, Coreia do Sul, Noruega, Austrália, Reino Unido e França tem investido em sistemas centralizados. Já países como Alemanha, Estônia, Suíça e Áustria trabalham em um modelo descentralizado em conjunto com a Apple e Google.
Uso compulsório ou voluntário dos aplicativos?
Uma última questão é em relação à obrigatoriedade do uso dos aplicativos. É ponto pacificado entre os países em geral, que o uso desses aplicativos deve ser voluntário. Mas existem casos isolados, como em Israel. Lá o Premier Benjamin Netanyahu sugere que infectados sejam obrigatoriamente monitorados via telefones celulares. Já na Rússia, o app tornou-se mandatório para Moscou e adjacências. Esse controle deve envolver, inclusive, o empréstimo de celulares pelo Estado para quem não possuir um dispositivo. Já a Coreia do Sul definiu o uso de uma pulseira obrigatória para monitorar a temperatura de todos os cidadãos.
Segundo um estudo do Departamento de Medicina da Universidade de Oxford, para deter a pandemia, os apps precisariam ser utilizados por, pelo menos, 56% da população. Em termos da população do Reino Unido, cerca 80% dos proprietários de smartphones. Esses apps podem atuar na diminuição da propagação da doença.
Monitoramento versus direitos fundamentais e democracia
Todas as questões acima são suscitadas devido ao momento em que vivemos, um mundo pós-pandemia. São soluções voltadas a vigilância exacerbada ou não. Tudo depende do ponto de vista de um momento extremo em que lidamos com o total desconhecido. Questões como a diminuição da privacidade e monitoramento de indivíduos adotadas hoje, pelo Estado, devido à crise de saúde podem ser aprovadas. E podem se perpetuar após a crise de saúde.
Assim sendo, a combinação de coleta massiva de dados pessoais, de localização, financeiros e de reconhecimento facial, pode ser lesivo à democracia e à direitos fundamentais. Principalmente se forem usados futuramente com outros fins, que não sejam apenas os relacionados ao período da pandemia.
A tecnologia pode ajudar e muito nessa pandemia. A ideia de utilização de dados em massa em prol do bem-estar coletivo é bastante condizente com o momento. Assim como, as necessidades individuais de privacidade também precisam ser respeitadas. Para que este equilíbrio possa existir, aplicativos precisam ser desenhados para coletar o mínimo de informações necessárias, garantir anonimato nas análises e principalmente, terem tempo limitado de vigência com destruição dos dados após seu uso.
Estamos vivendo momentos extraordinários, que exigem táticas de guerra. E a guerra, como bem disse o ex-Ministro da Saúde, Luiz Henrique Mandetta, é contra o coronavírus. Afinal, trata-se de uma ameaça invisível que pode colapsar a saúde mundial e tem causado grandes estragos também na economia. Por estarmos em uma situação de guerra, as prioridades devem mudar. Por isso, devem ser consideradas medidas incomuns e estabelecidos novos limites temporários a este período.
Prezando pelo bem comum e saúde da sociedade como um todo, medidas como essa são válidas por um período. A saúde deve estar acima da proteção pessoal e privacidade. Mas é um consenso de extrema exceção, que não deve virar regra em um segundo momento. Uma vez que terminar o estado de calamidade, tudo deve voltar ao normal – ao indivíduo e ao governo.
No Brasil, um uso de dados de geolocalização considerado por especialistas ainda menos invasivo já tem provocado polêmica. É a análise de informações de geolocalização agregadas e anônimas de diversos cidadãos para monitorar qual o percentual de pessoas em determinada região está seguindo a orientação de isolamento social.
O governo de São Paulo e a prefeitura do Rio de Janeiro, por exemplo, firmaram parcerias com empresas de telefonia. A maioria, no entanto, tem usando os dados da In Loco, companhia brasileira de segurança digital que está presente em cerca de 60 milhões de celulares por meio de aplicativos que usam sua tecnologia.
É o caso dos governos de Alagoas, Amapá, Amazonas, Ceará, Maranhão, Goiás, Mato Grosso do Sul, Mato Grosso, Minas Gerais, Pará, Paraíba, Piauí, Santa Catarina e Rio Grande do Sul, além das prefeituras do Recife, de Teresina e de Aracaju.
Existem riscos na ‘normalização’ de novas estruturas de vigilância. Portanto, é importante estar atento às novas formas de controle que vão surgir nesse momento de enfrentamento da pandemia. A estrutura de vigilância, depois de montada, é muito difícil de ser revertida no novo normal.
Por mais que seja justificada a necessidade de se instalar agora, diante de uma crise de saúde pública, é muito tentador para governos encontrarem outras formas de usar aquela mesma infraestrutura de vigilância. Há o risco de que ela seja normalizada e torne-se permanente no novo normal.
Na Europa, exceções à privacidade de dados são previstas. “Em princípio, geolocalização só pode ser usada pelo operador de forma anônima ou com o consentimento individual”, informou o Conselho Europeu de Proteção de Dados.
O órgão da União Europeia afirma que os estados membros podem introduzir medidas legislativas para salvaguarda e segurança pública. No novo normal, tais leis excepcionais só são possíveis se forem medidas necessárias e proporcionais numa sociedade democrática. Esse monitoramento e feito de forma global por ONGs e por uma entidade supranacional chamada Assembleia de Privacidade Global, com sede no Reino Unido. Os princípios universais da proteção de dados definidos permitem o uso deste monitoramento no interesse público e ainda provem a cobertura esperada.
Em contrapartida, países ditatoriais ou com forte tendência ditatorial, estão usando e abusando de tecnologias para montar o maior banco de dados pessoais do mundo. Eles visam aumentar o controle sobre seus cidadãos utilizando a desculpa da pandemia, com o objetivo de uso futuro com fins maléficos.
A LGDP permite até mesmo o uso de dados pessoais individualizados, como a Coreia do Sul está fazendo, em situações excepcionais como “proteção à vida”, “execução de políticas públicas previstas em lei” e “para tutela de saúde”, o que incluiria, na sua avaliação, a situação atual de pandemia. Não significa total “carta branca” para uso desses dados no novo normal.
Mesmo nos casos das exceções, a lei é muito clara em dizer que a finalidade de uso tem que ser totalmente estrita para o combate à emergência. Mais do que isso, (o dado) não pode ser vendido, nem cedido a terceiros. O uso deve respeitar o princípio da proporcionalidade e necessidade. Ou seja, não se deve coletar mais dados do que necessário. E, passada a emergência, os dados têm que ser completamente deletados.
Os princípios da privacidade, ética, temporariedade e transparência são de extrema importância na utilização destas tecnologias. Prezando pelo bem comum e saúde da sociedade como um todo, medidas como essa são válidas por um período. A saúde deve estar acima da proteção pessoal e privacidade no novo normal. Mas é um consenso de extrema exceção, que não pode virar regra em um segundo momento. Uma vez que, terminar o estado de calamidade, tudo tem de voltar ao normal – aos indivíduos e aos governos.
Estamos diante de um caso único na história, mesmo a gripe espanhola não se compara com os estragos que a atual pandemia pode trazer para todo o mundo. Mas mesmo na batalha sem precedentes a ameaça pública mundial, todos os países tem que respeitar as leis, a ética e os direitos fundamentais dos seres humanos.
Gostou do conteúdo sobre o novo normal? Assine a newsletter e receba mais textos como esse em seu e-mail.
* Rodrigo Kramper é líder da prática de Advanced Data & Analytics Solutions daProtiviti
O movimento #BlackLivesMatter trouxe mais uma vez à superfície a questão do racismo institucional, que é a prática do racismo pelas instituições públicas ou privadas que de forma indireta promovem a exclusão ou o preconceito. E, infelizmente, isso pode estar sendo reforçado pelo machine learning.
Não devemos confundir racismo com preconceito, já que o racismo é uma das muitas faces do preconceito. Assim, é importante lembrarmos que o preconceito abarca uma miríade de discriminações que vão além da raça e envolvem gênero, local de origem, orientação sexual, classe social etc.
Discriminação institucional e machine learning
Poderíamos pensar em uma discriminação institucional? Aquela que faz com que em nossas empresas, segundo dados do IBGE, mulheres recebam cerca de 20% menos que os homens em condições similares ou aceitemos ou não clientes por critérios de região ou profissão?
Hoje, uma das áreas mais populares da Inteligência Artificial no mercado, é o machine learning ou aprendizado de máquina. Ela e se caracteriza por um programa de computador que aprende com a experiência, assimilando padrões entre dados.
Como surge discriminação algorítmica via Machine Learning?
E, de onde vem essa experiência que o machine learning vivencia? Na maioria das vezes dos dados históricos de nossas organizações. E se nossos dados forem racistas, misóginos ou discriminatórios em relação à renda ou residência? Bom, nesse momento entramos na seara dos algoritmos com viés, ou seja, que possuem uma distorção sistemática.
Nesse momento você pode se perguntar o porquê de seus dados poderem ser racistas, misógino ou discriminatórios e aqui temos alguns exemplos para ilustrar:
O Compas foi um software amplamente utilizado em tribunais americanos para aplicação de sentenças. Um estudo independente realizado pela ONG Propublica revelou que negros tinham o dobro de chances de serem classificados como possíveis reincidentes de crimes violentos que os brancos.
Da mesma forma, em 2014 a Amazon utilizou um algoritmo de seleção de currículos que priorizava candidatos do sexo masculino em detrimento do feminino ou ainda birôs de crédito que tem utilizado dados de CEP ou profissão como fonte de dados para concessão de crédito.
Normalmente, esses problemas decorrem da construção de modelos sem conhecimento e sem a correção de vieses ocultos, o que pode levar a resultados distorcidos, tendenciosos ou mesmo errados. Eles acabam por reforçar estigmas sociais, econômicos e raciais e institucionalizando-os com o requinte de parecerem resultados científicos, já que são baseados em modelos matemáticos.
Cabe ressaltar que o viés em machine learning não advém apenas de dados históricosdiscriminatórios e vamos falar sobre os mais comuns.
Viés de amostragem
Ocorre quando a amostra analisada pelo algoritmo é incompleta ou não representa o ambiente no qual ele será executado. Por exemplo, um artigo do MIT demonstrou falhas em mecanismos de reconhecimento facial, onde a proporção entre imagens de homens chega a ser 75% e de brancos, 80%, implicando diversos erros para o reconhecimento de mulheres e outras etnias.
Viés de preconceito
Ocorre quando modelos são treinados por dados influenciados por estereótipos ou fatores culturais. Por exemplo, modelos de reconhecimento de imagem treinados com homens em escritórios e mulheres cozinhando, modelos de concessão de crédito que penalizam profissões mais operacionais ou periferias.
Nas periferias há uma concentração de negros, tecnologias que restrinjam a comercialização ou extensão de serviços baseados em CEP podem perpetuar a exclusão social dessas pessoas.
Outro exemplo são as ferramentas de seleção de currículos treinadas com maior proporção de homens que de mulheres, levando o algoritmo a reforçar a priorização de características masculinas.
Viés do observador
Ocorre devido à tendência do Profissional de Dados observar o que ele espera encontrar. Ele traz para a análise de dados eventuais preconceitos que carrega consigo.
Por exemplo, um Profissional de Dados enviesado, pode não ver problemas que os dados que ele está analisando sempre associem homens com escritórios e mulheres com cozinhas, já que ele compartilha dessa visão de mundo e sociedade. Logo esse é o resultado que ele espera encontrar nos dados.
Detectar e corrigir vieses nos dados não é fácil, embora seja crítico. Não há uma bala de prata para todos os casos. Porém, um começo promissor reside em conhecer os dados, a sua qualidade e proporcionalidade amostral, pensamento crítico sobre fatores históricos e sociais que podem influenciar os dados. O uso de diversidade nos times de desenvolvimento traz visões e experiências diferentes aos projetos, e são um bom começo para o bom uso dos algoritmos de machine learning.
Gostou do conteúdo sobre machine learning e algorítimo discriminatório? Você tem mais alguma informação para compartilhar conosco e enriquecer a discussão? Então comente o post.
*Marcelo Costa é Analista de Dados na Protiviti, empresa especializada em soluções para gestão de riscos, compliance, auditoria interna, investigação, proteção e privacidade de dados.
*Rodrigo Kramper é Líder da prática de Advanced Data and Analytics Solutions na Protiviti, empresa especializada em soluções para gestão de riscos, compliance, auditoria interna, investigação, proteção e privacidade de dados.
Em 2019, uma pesquisa Gartner apontou que menos de 40% dos executivos utilizam informações de RH para tomadas de decisão – a chamada People Analytics. Esse resultado, embora alarmante, não é totalmente desconhecido de líderes de Recursos Humanos. Apesar de boa parte das empresas concordarem que pessoas são seu principal ativo, poucas possuem efetivamente números relevantes e confiáveis.
Todo RH possui métricas, que periodicamente são computadas e apresentadas aos executivos. Considerando que há métricas geradas pelo RH, por que esses resultados não são ou pouco são utilizados para a tomada de decisões?
Basicamente porque não são métricas estratégicas. Historicamente, os próprios executivos da organização cobram métricas de Recursos Humanos, que pouco versam sobre a estratégia da empresa e falam muito mais de aspectos operacionais e de compliance: tempo médio de contratação, custo de contratações, comparativos de custos atuais e com períodos anteriores etc, são métricas que departamentos de RH geram e são avaliados por essas mesmas métricas. Ou seja, há um grande foco na administração de programas (contratação, compensação e benefícios) e menos na produção de soluções estratégicas.
O RH Estratégico
O RH Estratégio é um conceito que passa pelo maior alinhamento das políticas e práticas de RH com os objetivos estratégicos da companhia, considerando resultados operacionais, financeiros, partes interessadas e colaboradores, sem descuidar do lado humano e de representação dos colaboradores.
Soluções data-driven que promovam tomadas de decisão precisas, justas, éticas e em conformidade com a lei, tem muito a contribuir com o RH ansioso por alinhar seus resultados com os objetivos organizacionais e tornar mais mensurável sua contribuição no atingimento destes.
People Analytics
Nesse sentido, o People Analytics é uma ferramenta poderosa para trazer a estratégia organizacional à vida, ao oferecer uma abordagem rigorosa para atrair, motivar e reter profissionais talentosos que são cruciais para atingir objetivos estratégicos através de decisões orientadas por dados e baseadas em evidências.
Os modelos descritivos, preventivos e até mesmo prescritivos não são um fim em si mesmos, mas suportam diversas temáticas dentro da jornada de Recursos Humanos com agente ativo na estratégia da organização.
Indo além da criação de indicadores para engajamento e retenção da força de trabalho, a função de analytics com a ajuda da inteligência artificial podem ajudar a gerar valiosos insights e aumentar a eficiência de tarefas do RH, por exemplo:
Planejamento da força de trabalho;
Análise do pool de talentos;
Seleção de CVs;
Enquadramento salarial;
Previsão de performance;
Previsão de turnover;
Redução de absenteísmo;
Análise de sentimentos entre outros.
Mudança Cultural
O fato é que adoção de novas tecnologias e métodos para people analytics como inteligência artificial exigem mudança cultural (data-driven) e um nível de instrução em analytics mais elevado dos times de RH.
Conclusão: o futuro do People Analytics
A implantação de um RH mais alinhado a estratégia da organização, por meio de Analytics só ocorrerá, quando o RH construir pontes com outros departamentos, discutir a estratégia com Executivos, avaliar onde focar seus esforços e então engajar todos no projeto, decidir com quais parceiros trabalhará e o objetivo final desse esforço.
Acesso às máquinas e equipamentos, não constituem uma vantagem competitiva em si, mas a habilidade para usá-los sim, por isso empresas que gerenciam adequadamente sua força de trabalho e seu know-how obtém uma vantagem competitiva genuína por uso do people anlytics.
Por fim, entendemos que apesar de muito poderoso, ferramentas de people analytics devem ser pensadas e desenvolvidas para resolver problemas de negócio relevantes. Funções de RH devem avaliar quais problemas demandam uma ação imediata, sempre em alinhamento com a estratégia da organização e direcionar os esforços (tempo e orçamento) para ações que tragam retorno estratégico e agreguem valor. Pequenos projetos de análise que levam a resultados positivos aumentarão os investimentos futuros e a credibilidade da função de RH, possibilitando assim mais sucesso.
Rodrigo Kramper, Head de Advanced Data & Analytics Solutions na Protiviti.
