Emprestar uma senha para ajudar um colega ou enviar um documento a uma ferramenta de IA pode parecer uma forma simples de agilizar o trabalho. Porém, sem orientação e controle, essas decisões podem expor informações e criar riscos que a empresa nem sempre consegue enxergar.
Em entrevista ao Tech Insights, do Coletivo Tech, Roberto Toscani, diretor de Segurança da Informação (CISO) da Tripla, conversou com o apresentador Vitor Cavalcanti sobre a relação entre cibersegurança, governança de IA e resiliência digital.
Para o executivo, a adoção acelerada da inteligência artificial precisa vir acompanhada de uma análise dos processos, da arquitetura de TI e dos cuidados com as informações. A conversa também abordou a preparação das equipes, os testes de recuperação e os riscos que chegam à operação pela cadeia de fornecedores.
A seguir, reunimos os principais pontos apresentados por Toscani na entrevista, em perguntas e respostas.
Assista à entrevista completa: Roberto Toscani no Tech Insights.
Leia também:
Cibersegurança: por que integração e contexto importam mais que quantidade ?
Perguntas frequentes sobre governança de IA e resiliência digital
Por que o letramento digital é importante para a segurança das empresas?
Roberto Toscani: Eu levaria essa discussão para o aculturamento. Muita gente não cresceu nesse ambiente digital e está aprendendo a lidar com ele. O celular, a mobilidade, tudo isso é espetacular. Mas existe um cuidado que precisa acompanhar essa facilidade.
E isso se reflete nas empresas. A pessoa empresta a senha ou o crachá na boa intenção de ajudar um colega. Ela quer resolver uma situação, mas acaba criando um risco. Falta trazer esse entendimento para o dia a dia, para que as pessoas percebam as consequências dessas atitudes.
Antes de colocar um agente de IA em operação, por onde a empresa deve começar?
Roberto Toscani: Pela arquitetura. O que eu vejo é muita velocidade e pouca análise de como aquilo está sendo construído.
Não adianta dizer “meu produto agora tem IA”. Como ele foi desenhado? Quais dados estão sendo utilizados? Qual é a qualidade dessas informações? Como fica a privacidade?
Você precisa olhar para isso antes de colocar o agente para funcionar. Precisa definir os guardrails, os níveis de proteção, o que ele pode acessar e com quem pode interagir. Se essa arquitetura não for bem-feita, o agente vai ser um reflexo do improviso.
Bloquear o ChatGPT ou usar uma conta corporativa já é fazer governança de IA?
Roberto Toscani: Não. Governança não é bloquear o ChatGPT ou liberar o uso só pela conta corporativa. É olhar do início ao fim: que informação está entrando, como a arquitetura foi desenhada, como isso está documentado e o que um agente pode conversar com outro.
Tem empresa que libera uma quantidade enorme de tokens para a equipe sem que as pessoas saibam como aplicar aquilo de forma estruturada. Mas qual problema elas precisam resolver? Sabem o que podem compartilhar? Receberam orientação?
Muitas vezes, a IA está potencializando uma fraqueza de governança e de processos que a empresa já tinha.
Ter backup significa estar preparado para recuperar a operação?
Roberto Toscani: A pergunta é: você já testou esse backup? Sabe quanto tempo vai levar para recuperar o ambiente?
Backup é um conceito que existe há décadas, e as empresas ainda pecam nesse básico. Tem empresa com plano de continuidade na gaveta, que nunca foi testado, não é revisado e não dá uma visão do tempo de resposta.
Você precisa saber como vai recuperar a operação, o que precisa voltar primeiro e quem vai fazer isso. Não dá para deixar essas respostas para a hora do incidente.
Por que a gestão de terceiros, o TPRM, é importante para a resiliência digital?
Roberto Toscani: Eu vejo a cadeia de parceiros sofrendo muito com a falta de TPRM, que é a gestão de riscos de terceiros.
Pensa em um fornecedor que tem acesso a várias empresas. Para o atacante, pode ser mais interessante comprometer esse fornecedor do que tentar entrar em cada cliente separadamente.
E esse parceiro também tem um terceiro. A cadeia não termina na empresa que você contratou.
Quando você terceiriza um serviço, passa a depender também de como aquele parceiro cuida da segurança. Por isso, precisamos olhar para os acessos, avaliar os fornecedores e entender essas dependências.
Como a Tripla trabalha a governança de IA com as empresas?
Roberto Toscani: Não existe uma bala de prata. São várias ações que precisam acontecer juntas.
Na Tripla, temos uma linha de consultoria em governança algorítmica em que desenhamos esse caminho com a empresa. Olhamos para o mapeamento dos processos, o controle de versões, onde as informações ficam armazenadas e o que pode ou não ser feito.
Isso vale também para quem está criando aplicações em plataformas. Como a empresa vai tratar os dados internos? Quais cuidados precisa ter para não deixar uma base exposta?
E tem o trabalho com as pessoas. Não adianta criar a regra técnica se o colaborador não entende por que ela existe. Ele pode tentar contornar aquilo para conseguir trabalhar. O aculturamento precisa fazer parte desse processo.
