O custo real de um ataque industrial

0:01 Fala pessoal, estamos aqui mais uma vez com o nosso VortexCast. Meu nome é Victor El'osta, represento aqui a Vortex como host desse projeto. Tenho aqui comigo algumas pessoas que já já vão se apresentar. E antes da gente começar, como já é de pruing [?] do meu marketing, por favor, sigam a gente no nosso LinkedIn no YouTube também, para não ficar de fora de nenhum episódio do VortexCast. Antes de eu passar aqui a palavra para os nossos convidados e que eles possam para que eles possam se apresentar, hoje o tema é um tema bem interessante. Ele parece, né, é sabor técnico, parece um tema extremamente técnico, mas ele fala efetivamente de sobrevivência de negócio. Então, a gente vai entender um pouquinho hoje de como é que a gente vai enxergar e esse mundo convergente de IT

1:00 e de OT. Então, com a gente aqui hoje, eu tenho o Júlio e Wilson, né, Braskem e Messer, e o Lourival Júnior, que é AM [?] aqui na Vortex. Eu vou pedir para que vocês se apresentem um pouquinho. Bom, primeiro obrigado pelo convite a Vortex. Acho que é um é um prazer tá aqui falando de algo que a gente vive dia a dia, sofre dia a dia, trabalha dia a dia, mas a gente ama esse esse mundo, não reda a pé [?] dele por nada. Meu nome é Júlio Concílio [?], hoje eu sou líder global da de segurança da informação da Braskem. Então, hoje o nosso desafio é aí aumentar a maturidade de uma indústria que a gente sabe que precisa se renovar todo ano em relação à segurança e como a gente traz esse desafio de maturidade entregando resultado pro negócio, mas com segurança. Então, acho que esse é o principal hoje meu meu principal minha principal missão é essa, tá? Tenho 18

1:59 anos na área de segurança da informação. Comecei lá atrás, já passei poucos cabelos brancos, cara, para dizer você passa o segredo pra gente. Deixa, deixa crescer a barba. A barba tá tudo branca, cara. Por favor, aqui no final, pessoal, fiquem até o final. Teremos uma receita, tá? Que o Júlio vai passar pra gente aqui de como é que não ter cabelos bran ou manter primeiro manter os cabelos e depois mantê-los ainda e sem ser brancos. O que eu não tenho de cabelo branco é de peso, mas tudo bem. É o o que o que a gente olha hoje é como a gente trabalha nesse nesse ramo há 18 anos. Já passei por banco, já passei por financeira, já passei por indústria do agronegócio, hospital, serviço. Agora eu tô na indústria petroquímica. Então o assim, eu já comecei a falar de sabores, já experimentei praticamente todos os sabores de de de segurança, mas como aplicar isso em cada visão de negócio é que é o detalhe. Parece que é uma receita de bolo, mas não é. A gente tem que montar de acordo com a necessidade do negócio que a gente trabalha. Exato. E com o apetite que eles têm, né, para gastar com isso. Então

3:02 isso aí. Boa. Fala, Wilson. Conta pra gente quem que é o Wilson Almeida. Bom, primeiro prazer e obrigado pelo convite. É muito legal participar de ainda mais de um assunto tão gostoso de falar, né? Sim, sim. Cibersegurança. Tem um pouco mais de cabelo branco do que ele, menos idade. Muito bem. Eu já trabalho com TI um pouco mais de 20 anos, comecei com 18 anos mesmo. As antigas empresas EDS, trabalhei na IBM, estou na Messer há quase 17 anos. Hoje eu sou responsável de cibersegurança, sou coordenador de TI, mas sou responsável de cibersegurança e infraestrutura. E há mais ou menos um ano ganhei um filho novo que é IA. E aí foi, só que não é só IA com segurança, é IA com produtividade. Por alguns anos eu trabalhei na Messer na área de DevOps, foi bom porque não sei se vocês já ouviram falar, mas existe uma briga muito grande em infraestrutura e aplicação. Aplicação às vezes fala: "Cara, tá acontecendo alguma coisa, é o servidor". Não, não é o servidor, é sua aplicação. E aí esses anos que eu trabalhei como DevOps na Messer me deu um background de

4:02 entender, cara, nem sempre é aplicação. Às vezes é realmente a infraestrutura que tá atrapalhando alguma coisa a aplicação. Mais ou menos aquela briga segurança e infraestrutura aplicar patch, resolver vulnerabilidade, entendeu? Aquela coisa assim. Pois é. E eu tenho as duas, sabe? O meu time de infra e um time de cyber, eles vão assistir isso daqui, eles vão ver. Eu tento unir todo mundo, não existe, até como o recurso, infelizmente, é limitado, a gente coloca todo mundo numa sala de guerra e todo mundo ajuda a resolver. Não existe, o problema é de cyber, o problema de infra. E aí, ah, cara, é o meu novo desafio. Então, assim, primeiro essa parte aí é junto com com a minha CIO, a gente adoção, adoção é um pouco mais simples, né? Porque adoção, hoje em dia, o YouTube ajuda na adoção e a parte mais difícil, a governança. Então é assim, a gente hoje tá nessa nessa pegada aí de como a gente ajuda as pessoas internamente sem que elas vão para fora, entendeu? E e aí, cara, deixa eu gerar o conteúdo aqui que vai te alimentar, né? Não vai lá não vai beber de águas. Isso aí é isso aí. Então deixa eu te mostrar o caminho, porque o caminho lá

5:05 fora é um pouquinho diferente, a gente vai ter problema. Mas é isso aí, basicamente. Legal, Louro, você apresenta aí pra gente. Legal. Bem, eu sou Lourival. Se tu falar que tem 5 anos trabalhando com TI, pelo amor de Deus, não fala isso não. Lourival Júnior, já tô mais de 30 anos trabalhando com TI, tá em torno mais de 10 anos aí em cibersegurança, né? Então tem tem um bom background aí, maior parte deles agora, né, em na área comercial, mas eu estou aqui na na Vortex, né, como especialista em soluções de cibersegurança, né, e mais uma vez agradecer a presença de vocês aqui. Que você contribuir aí com esse esse bate-papo nosso aí. Muito obrigado, contribuir com certeza. O cara, veio da máquina de escrever, É bullying, cara, ao vivo, cara. Brincadeira. É, tá vendo os cortes? É boa, cara. É muito legal que assim, acho que são três visões, três backgrounds bem diferentes. Acho que

6:05 Júlio teve uma uma uma um background ali de banco, de uma série de de de outros segmentos, cara. 17 anos numa empresa. Isso acontece para minha filha, é loucura. Ela não acredita. O estagiário não consegue entender como por que você tá aqui 17 anos. Eu não entendo, de verdade. Eu não consigo falar mais de seis. Eu espero que na Braskem eu fique mais, pelo amor de Deus. que paradigma mesmo paradigma, mas para mim tem essa coisa da da que eu posso agregar e o que isso pode agregar para mim do desafio. Então, às vezes eu acho que o trabalho tá feito, foi até muito desse ponto, mas é bom estar numa indústria que te demanda, cada dia é um dia diferente, então tem, vou fazer 5 anos de Braskem [?], né? Boa. E se contar esse de indústria e de cibersegurança dá mais ou menos uns 45. Mas isso eu só falei 18 anos na área de cyber. Se eu fosse contar toda a minha história em TI começou em 99, já são 27 anos. Então

7:01 assim, é bastante. E cara, é muito legal porque assim, esse background, essa essa experiência, esses essa lente, né, esse prisma que cada um tem aqui diferente que vai dar assim, acho que o tempero que a gente precisa para essa conversa que veio de infraestrutura também, trabalhou, viajou o Brasil inteiro aí, é, com a parte de implantação mesmo e tal, não vem, não viveu só esse lado comercial, né? Então é, é, é, foi umação [?] técnica mesmo, técnica eletrônica. É, eu trabalho há bastante tempo também, pelo menos acho que uns 15, 16 anos, com tecnologia, um pouco mais, talvez. Apesar de ter 40 anos só, mas desde muito novinho já trabalho com isso. Então, trazer essas experiências para cá hoje, acho que vai enriquecer o nosso bate-papo. Como sempre, a gente divide essa conversa aqui em alguns blocos, tá? Para que façam sentido, faça sentido para todo mundo que tá acompanhando a gente em casa e pra gente aqui também ter uma conversa um pouco mais dinâmica. Então, vamos pensar aqui um pouquinho no

7:59 primeiro bloco, que é a gente falar da indústria de fato como um alvo prioritário. A gente vive isso, acompanha isso nos últimos anos. Eu vou ser muito conservador para falar nos últimos 5 anos, mas esse acho que é um movimento que ele antecede esses últimos 5 anos. Mas e a indústria, ela sempre foi vista como um setor mais operacional até do que tecnológico. Até que a gente vê essa virada e ela começa a ser ali alvo crítico dessas ações de de hackers, enfim, de de ataques e de incidentes. Como é que vocês enxergam essa virada dentro das operações de vocês hoje? E aí, Júlio, você que veio de um background de segmentos diferentes, também viveu isso e em segmentos diferentes, por você trabalha em banco, por exemplo, financeiro, que tem um uma baita visibilidade e hoje eu diria que a indústria está tão visível, tão exposta quanto o setor financeiro estava cinco ou sempre foi, né? E na visão de vocês hoje, como é que como é que isso muda? O que que mudou? Como é que você

8:58 entende essa virada de chave? Aí pode começar aqui, como eu te citei, Júlio. Pode começar com você. Que que você acha que hoje que fez? Como é que você enxerga essa virada aí dentro da da operação lá da Eu acho, eu tento traçar muito um ponto porque eu, como eu disse, eu já trabalhei na parte do da indústria do agronegócio, que se você for ver também mexe com maquinário, mexe com planta, mexe com maquinário pesado, mas antes era tudo muito segregado. Aquela aquela estrutura não conversava com o mundo de fora. E hoje a gente tem a necessidade de que essa estrutura converse com o mundo de fora. A gente não quer mais que a pessoa venha dar o suporte para uma máquina vindo de outro país para cá. Eles querem um TeamViewer e acessar a máquina de fora. E isso começa a abrir um pouco o mundo porque a gente tinha algum tipo de ataque ou algum tipo de problema, incidente nessa indústria vindo de dentro mesmo, de casos específicos de dentro. Ataques físicos, né? acessava, precisava acessar a estrutura,

9:54 precisava ter acesso ali a uma índole da pessoa que já tinha acesso naquele naquele ambiente. Hoje não, hoje abre-se isso muito e quando você abre isso, a gente acaba tendo esse tipo de dor de cabeça, vamos falar assim, a gente muda o risco, passa de ser um risco mais material, um risco mais humano para um risco tecnológico. E quando perde-se um pouco daquele daquela noção de que banco tem segurança como primordial, uma indústria não vai ter segurança como primordial. Se eles tiverem que pegar R$ 1 milhão e colocar numa em ferramenta de segurança ou fazer uma manutenção numa caldeira, eles vão fazer a manutenção na caldeira. Então, mexe um pouco com isso. A partir do momento que você abre a porta pro mundo e o pessoal entende que é um mundo que vem muito de legado, de maquinário, de sistemas de 20 anos atrás que são que são, sabe, vulneráveis por natureza, tem-se uma presa mais fácil, entendeu? Aí você

10:57 respondeu uma coisa que era uma segunda pergunta que eu faria dentro dentro dessa primeira pergunta, na verdade como um aprofundamento ali, que é em algum momento, em que momento vocês perceberam que a segurança industrial ela deixou de ser secundária, né? Eu acho que você já respondeu um pouco isso que é a questão da transformação digital, né, que foi a digitaliza, vamos chamar assim, digitalização da linha de produção, né? Então, a necessidade desse acesso externo. Antigamente, qual qual que é a tua segurança e industrial? Ah, e redes segmentadas, né? A minha linha de produção não tem acesso à internet e você achava que tava seguro, né? Embora a gente saiba que na prática não é bem assim. Sim. Isso para você lá foi mais ou menos isso também. Como é que conta pra gente um pouquinho,

11:40 não foi? Foi legal o que o Júlio falou e eu lembro há anos atrás a gente tinha os equipamentos industriais que não tinham nem tela, eles eram 100% ali realmente mecânico, né? Não tinha muita coisa. Hoje em dia, eu lembro da primeira vez que nós tivemos um pedido dentro de TI para liberar uma VLAN, porque um PLC precisava conversar com a internet, porque ele tinha um sensor de calibração que com esse sensor a área ia ter um pouco mais de informação. E hoje em dia se você olha os fabricantes, eles já estão fazendo isso, já estão colocando pra internet. Então assim, essa evolução da indústria tá forçando a a a área de segurança a ir junto, entendeu? Não tem como a gente, como antigamente falar, não, não pode. Você tem que deixar esse equipamento embaixo ali da bancada, ele tem que ser offline. Trabalha dessa forma esse monitor, só que não é mais assim, né? Hoje em dia as áreas precisam ver o que tá acontecendo com todas as máquinas, né? E um outro detalhe, antes todo esse tipo

12:35 de checagem de maquinário, de transbordo, de temperatura, era feito manual. tinha uma pessoa que percorria um um uma rotina de uma rotina de olhar, de fazer toda a volta na indústria para ver aquilo pessoalmente, anotar numa prancheta. Sim. Hoje você automatiza isso. Por quê? Porque você quer ter economia de custo de pessoa, você quer colocar uma máquina, a velocidade, a velocidade do da prodade [?] demanda isso. E aí conforme vai colocando uma máquina nova, é aí que vem o desafio nosso. Eu quero colocar isso e automatizar isso, mas como a gente vai automatizar com segurança? É isso aí. Porque para eles eles querem colocar de qualquer jeito, mas pra gente não. E aí a gente passa pelo chato da história de que a gente não, vocês estão falando não, não é não, não é não, não é bem assim, né? Não é bem assim. A gente quer ajudar você, mas precisa ter segurança embarcada nisso.

13:23 Sim. Na na Messer a gente já tem plantas que operam remotamente há alguns anos. Então assim, não era só a internet, eu não tenho que dar só o SD-WAN, a conexão, cara. Eu tenho que dar toda uma infraestrutura para esse time locais, tem que ter toda uma bagagem meu time operação comunicando com nuvem, recebendo programação de direto, sem sem ter um pen drive lá que é a programação do equipamento e tal. Não, hoje tu uma ideia, eu tenho plantas que são controladas remotamente pela nosso centro de operações em Jundiaí, que o motorista chega com a carreta dele, ele mesmo carrega a planta. Eu não tenho operadores lá, então assim, imagina a infraestrutura para segurar isso daí. E aí, lógico que o time de automação, eles querem sempre colocar os melhores, entendeu? Tudo que for de melhor. E a gente de cibersegurança tem que ir junto com eles falar: "Ó, às vezes pode ser que não vai ser dessa forma, mas não é um não. Vamos achar um meio termo. Vamos achar." E o a gente costuma meu

14:17 líder falava muito isso, falava: "Segurança não combina tanto com facilidade. Você quer fazer apertando um botão, só que com segurança vai ter que apertar o botão e girar uma manivela". tem um trabalho a, tem um processo a mais, mas a gente garante a segurança no final das contas. Eu acho que é muito disso. Você vai entregar aquilo que você quer, mas não exatamente do jeito que você quer. E aí essa conversa que a gente precisa ter muitas vezes que é uma conversa, uma conversa difícil entre a gente fica uma conversa difícil e mais necessária, né? Mas é necessária. Lourival, você que acompanhou os incas, como é que você viu a evolução? a evolução e o aumento aí do do ataque ou da de visibilidade da exposição da indústria, assim, cara, que que eu tô brincando aí do dos incas, mas aumentou muito, né? Não só a gente a gente como

15:07 como fornecedor, né, como revenda, a gente tem acompanhado isso, tem inúmeros projetos no Brasil aí ajudando diversas empresas nesse sentido. Mas como é que você viu esse crescimento? O o que a gente vê aí é que a indústria deixou de ser aquele alvo por acaso, né? Antigamente você tinha muito menos incidência aí de ataques indústria, porque não não era não era tão atrativo. Se você for ver, hoje em dia já só esse ano mais de 50% dos ataques, né, foram direcionados para a indústria, né? Então ela virou assim um alvo, né, um alvo diretivo mesmo que que vem trazendo facilidade, né, porque um uma planta parada, né, uma hora que seja de de uma planta parada vale muito dinheiro, né? Então o imediatismo para que você resolva isso também é muito grande. Então isso facilita muito para quem tá atacando, né? Legal. Que acho que assim,

16:08 finalizando essa finalizando essa primeira pergunta, né? que são setores diferentes, é, né? São visões diferentes, mas que demonstram uma uma pressão crescente, eu acho que muito e pareia, né? Então, assim, e é um problema. Se a gente tem setores e segmentos diferentes, sentindo as mesmas pressões, né, ou sentindo ali as mesmas os mesmos ataques, os mesmos riscos, as mesmas vulnerabilidades, pera, aí temos um problema. Esse problema não é só meu, né? Um problema que tem acontecido de forma geral. Aí fala de planta parada, só complementando, né? Você tem o risco físico, né? Porque dependendo do segmento, igual a gente tá falando aqui da área de gás e e petróleo, né, e química, imagine um problema numa caldeira, né, o que pode causar de risco tanto para quem tá na operação, né, ou para quem tá por perto, né? É, exatamente. Não é um risco mais tecnológico só, né? Pessoal, próxima pergunta aqui. Na

17:05 visão de vocês, sempre visando a experiência de vocês, perspectiva de vocês, não existem verdades absolutas. É que a gente tá falando de opiniões, né? O que que exata, por que que exatamente a indústria ela virou esse alvo tão atraente hoje para esse mercado dos atacantes? Aí que na na opinião de vocês aí eu vou inverter aqui agora, vou começar com isso. Na tua opinião isso que que que que fez aí a indústria ser tão atrativa assim para esse mercado aí de ataques cibernéticos, na tua opinião? Eu acho assim, os fabricantes eles estão acelerando cada vez mais, estão embarcando IA [?], estão colocando tudo que eles puderem colocar dentro da dos equipamentos. Só que as indústrias elas não têm essa velocidade, elas não tem esse esse investimento disponível para sempre deixar atualizado. Então os atacantes eles sempre vão olhar assim, a indústria ela vai ter talvez aquele XP que tá ali rodando com alguma máquina que ela não pode ser atualizada porque ela vai parar alguma outra. A a empresa

18:00 às vezes a a fábrica precisa investir às vezes milhões para trocar um equipamento que, cara, não é o momento. Às vezes não é o momento, não tem como. Então os atacantes eles estão olhando isso. E qual que é o problema maior que eu vejo, tá? as conexões cada vez mais esses equipamentos, mesmo que ele esteja no XP, ele precisa estar conectado em alguma algum lugar da internet para buscar alguma informação, só que ele não tem os patches mais atualizados, então ele deixa a porta aberta pro atacante. Você acha então que o nível de exposição que a indústria teve que assumir, né, por conta dessas conectividades, né, da por conta da conectividade no geral, trouxe a a assim à luz, né, do dos atacantes ali um um ambiente extremamente vulnerável que agora está conectado. Você acha que foi isso um dos motivos pelo qual a indústria se tornou

18:47 um um alvo hoje? Sim. Não, ainda vai um pouco mais além. Porque a gente só não pode, não tem só o, tem o IoT, né? Eu já vi muitos lugares que a gente tem DVRs conectados, ar condicionado conectado e aí às vezes assim você sempre vai deixar atualizado a sua linha de frente ali, a sua fábrica, mas você não vai lembrar ali do ar condicionado que ele tá exposto à internet, porque ninguém sabe nem por que ele tava na internet. Então, vamos dizer assim, por alguns motivos, você colocou a sua câmera para ela tá, porque eu quero ver ela remotamente. Na hora que você colocou ela ali remotamente, ela já ficou disponível pro atacante. Então, nem sempre vai ser o equipamento industrial que vai estar vulnerável, mas eles vão achar uma brecha nesse caminho que vai chegar nos equipamentos. Infelizmente. É isso aí. É, eu tenho eu tenho uma percepção que dependendo do segmento da indústria, acho que o o

19:36 produto final, né, ou o ou a cadeia envolvida nessa indústria também faz com que ela se torne um pouco mais atraente, né? Você pega, por exemplo, o teu caso lá, que são gases, né? você alimenta ali hospitais. Sim, né? Então, às vezes o objetivo não é nem você, né? Você é a cadeia de suprimento na qual você tá inserida, né? Então, e normalmente você tem a indústria, né? As indústrias elas fazem parte de uma cadeia muito maior, né? Então você tem, você falou de agro, por exemplo, né? você tem a parte de energia, você tem a parte de saúde, você tem a parte de não diretamente ligada à saúde, mas por exemplo, você que trabalha com gases, você que é petroquímico também é a mesma coisa. Então assim, é é é atingir a cadeia como um toda, né? Não é só efetivamente a a empresa de vocês, né? E legal legal na na tua visão

20:23 lá, Júlio, o que que você acha que que torna, por exemplo, a indústria hoje mais atrativa? Ah, se eu tivesse que escolher aqui, quem que eu vou atacar hoje, né? tá lá um varejo e uma indústria. Por que que o atacante escolhe hoje a indústria e não olha tanto pro Olha também, mas por que que ele tá escolhendo a indústria hoje? Eu acho que é muito do que foi falado agora, existe a aquela impressão de que é mais fácil invadir uma indústria do que invadir um banco, do que invadir algum lei do menor esforço. Lei do menor esforço e quanto menos e o maior payload, né, você tem. Então, se você investe pouco nesse tipo de ataque, mas tem um ganho bom, isso pro pro hacker já tá ótimo. E o esforço que ele vai ter que colocar para fazer um tipo de invasão em um ambiente que existe não tanto controle quanto é em outras em outros mercados, isso acaba facilitando, né, para ele. É, é, é aquilo que eu falei, é o elefante, né? Tá lá, ele não

21:19 se mexe tão rápido, assim, o esforço é menor para você para você ter algum resultado com isso. Então, acho que vai muito disso, tá? É, é muito nesse contexto, é o Windows XP, a gente passa por isso direto, ambiente legado, né? ambiente legado. E e eu acho também que o que pega em relação é que como a gente falou que não tem a parte de tecnologia, a gente tá falando com um pessoal de chão de fábrica que não tem o conhecimento tecnológico, tá mais suscetível a ataque de de engenharia social, pode ser comprado com mais facilidade porque tem um salário menor em relação a a outras a outras vertentes e acaba passando esse tipo de informação para a frente do que que acontece, de como faz, de como a gente vê e eles têm uma visão privilegiada lá dentro. Então também é um ponto que eu acho que que acaba

22:09 tendo esse tipo de de recorrência. A gente fala muito de ataques, você falou 50% dos ataques são direcionados, mas trazendo para um outro contexto do que o ataque do Pix, aquele que desviou bilhões, começou com comprar uma pessoa por R$ 15.000, você começa a ver o quanto vale a informação que você precisa. Sim. O quanto o usuário expõe toda a cadeia, né? Exatamente. Então, muito nesse contexto, você precisa criar uma cultura também de segurança da informação dentro cultura, né, cara? Dentro desse desse ambiente. E é um ambiente que tá não, pelo amor de Deus, atrasado, entre aspas, nesse contexto de de cultura em relação a outros. Então é, eu acho que é muito nisso também que complementando a resposta que que uma coisa que que eu que eu acho muito assim, você falou um pouco na tua na tua resposta é o atacante ele não olha só de

22:59 novo, né, na minha opinião, né, o atacante ele não olha só vulnerabilidade, ele olha a urgência da operação. Então é, não só a lei do menor esforço, mas é se eu parar aqui, o quão grave é ficar uma hora parado. Porque se eu roubar os dados, sei lá, de uma empresa XPTO e travar a operação dela, mas a operação dela acontece fora ali do escritório, qual que é o impacto disso na prática para eu exigir ali um resgate, para eu exigir alguma coisa? Quando separa uma indústria, 10 minutos, 15 minutos, 1 hora, separa tudo. É simplesmente o core business do negócio. Então, acho que ele explora um pouco essa essa capacidade também para poder escolher os alvos, sabe? Prioritários assim, qual que é o meu maior ganho ou o ganho mais rápido, né? Porque quanto mais tempo ele ficar em status de ataque, né, ele pode ser de alguma forma e surpreendido o pego ele descoberto, né? Então ele quer fazer ali o movimento

23:57 dele rápido, né, e e sair, né, na tua visão, Louro, acho que é isso mesmo. É, é, é bem por aí. Eu até tinha comentado um pouquinho antes sobre isso, né? Porque o cara além da o cara vê a facilidade virou um alvo, mas e às vezes a origem nem tá ali, né, do ataque, mas tudo bem. Isso é uma outra coisa, a gente fala mais para a frente, mas a hora parada, como você falou, de uma linha de produção, né, de um ambiente desse, custa muito, né? Então a urgência para que você coloque isso aí de volta, né, nos eixos é muito grande. O cara conta com isso, né? Exato. Porque se você não adianta você fazer um ataque em quem não tem esse imediatismo para colocar de volta que não custe tanto, né? Então a hora é e é impacto pro mercado, é impacto para você, tudo, pra rede, pra cadeia toda, né? A pessoa vai buscar, o teu cliente vai buscar outro fornecedor porque você não

24:53 tá, a imagem gastarção [?]. Entra, entra vários fatores que que até você se readequar, até você voltar à operação e ganhar confiança de novo, é um processo Sim, bem bem doloroso. Doloroso. É. E ele usa esse mesmo artifício, né, quando você fala o pessoal atacando a varejo, atacando, né, os sites de compras, né, essa falta de essa indisponibilidade, né, o cara tenta comprar uma vez, tenta duas, na terceira ele nunca mais volta pro seu site. Né? E o varejo continua mesma coisa, o do lado tá funcionando, ele vai no lado, né? Exatamente. Tá, mas assim, no dia a dia de vocês hoje, na prática, vocês sentiram isso ou a gente tá falando aqui de notícias de telejornal, né? Não, eu tenho visto esse crescimento porque toda vez que eu abro aqui a minha principal revista

25:49 revista, meu principal canal de notícias aqui, eu tenho visto inúmeros ataques. Ou seja, essa essa percepção de vocês, ela é uma percepção de mercado ou uma percepção prática? Assim, sem citar, não precisa dar exemplos práticos do do do da empresa, mas vocês sentiram isso na prática? Pô, Victor, dois anos atrás eu não tinha tantos problemas desse tipo como eu tenho hoje. Como é que como é que isso para você? Pode pode ir. Isso. Não, começo. Eu acho que a mídia tá ajudando até mostrar da luz onde que muitas vezes a gente, eu tô em fóruns há 20 anos, em fóruns que você fala, cara, ali realmente é o cara que tá programando tal. Só que hoje em dia a mídia tá colocando situações de fábricas no mundo que estão sendo paradas por um ataque, um ataque hacker. Então acaba mostrando ali de que a indústria, de certa forma não tá bem preparada e os

26:42 atacantes estão olhando cada vez mais para isso, entendeu? Então eu eu penso que já era uma situação que acontecia, só que antes ficava muito mais ali para nós que somos da área, que nós ouvimos falar alguma roda de colegas da área que ô, você viu o que aconteceu com a empresa de tal pessoa? Agora não é mais assim. Agora tá afetando. Você pode ver que uma notícia de que uma fábrica em tal lugar foi atacada, a bolsa vai cair a ação dela. Então assim, eu acho que a mídia tá colocando luz em situações que já existia, só não eram muito falado. Você acha que só essa visibilidade foi o suficiente, por exemplo, para pra tua diretoria hoje tá preocupada muito mais do com isso do que de repente só você falando ali numa reunião falando: "Olha, pessoal, temos aqui um problema, né? Hoje não é mais só o Wilson falando, né? Você tem a a o mercado falando, ele vê num num jornal lá uma notícia e fala: "Meu, será que aqui a gente tem esse mesmo problema? Será que a gente tá tão exposto quanto? Você acha que essa visibilidade ajudou, né?

27:39 Não, com certeza. Eu lembro que anos atrás a gente pra cibersegurança a gente tinha que fazer um pouco de terrorismo, falar: "Ó, precisamos fazer esse investimento aqui porque vai acontecer, pode acontecer e um dia aconteceu." Só que agora no no mundo executivo essa informação chega para todo mundo. Então, acaba, digamos assim, um presidente de uma empresa hoje ele já sabe termos técnicos de cibersegurança que ele não sabia há 20 anos atrás porque não se falava tanto. Então assim, eu acho que e essa quantidade de informação tem ajudado a gente até quando a gente vai pedir um investimento, o próprio presidente ou a letramento [?], né? Esse letramento aconteceu meio que de forma natural, né? Automático de certa forma, porque ele precisa também andar junto, porque são termos que o negócio tá falando, é do meio dele, né? Eu acho bacana porque, por exemplo, a gente faz alguns alguns assessments baseados em alguns frameworks de mercado, né? Você pega, por exemplo, o NIST, ele fala muito

28:35 dessa visibilidade do board, né, da diretoria, né? a diretoria precisa ter visibilidade e entendimento dos riscos de segurança do negócio. Era algo que, sei lá, há pouquíssimo tempo atrás não era tão comum, não era nem exigido no framework, né? Então, tanto é que o NIST 2.0 vem com uma vertente de governança que não tinha. Exatamente. É justo sobre isso. Então, assim, não é só mais e ah, é interessante que o meu, minha diretoria saiba ou entenda dos riscos de segurança. Não é só interessante como recomendado como benchmark, né? E não é mais a área de TI falando assim: "Meu, você precisa saber. Você pega um framework, você fala: "Aqui" tá vendo mercado, não sou eu dizendo, né? O framework é importante, mercado saber a notícia é importante, mas eu acho que a gente tem que tomar um certo cuidado porque hoje tudo acaba virando é ataque hacker. Ataque hacker. Ataque hacker.

29:26 Eu passei por um caso e uma das empresas que eu que eu que eu trabalhei que o data center acabava ficando subsolo dessa empresa e teve uma chuva muito forte em outubro e acabou inundando o data center. E aí começou a ter um possível relação com um ataque, entendeu? Hacker. Sim. E aí é e me ligaram da foi um ataque. Falei só se for São Pedro que atacou a gente com chuva, ataque DDoS via chuva, porque assim a gente tem que saber separar e e o ponto que eu falo é que tudo vira um alarmismo muito grande. Aham. Então, acho que essa rede que a gente tem interna de segurança ajuda muito a entender e compreender o que que é um caso real, o que não, o que que a gente pode levar para a frente, o que que a gente não pode levar pra frente. Um

30:18 outro ponto que acho que vocês citou muito bem é a parte do framework, como a gente traz luz aos nossos problemas. Então, se algo aconteceu no vizinho, né, e eu vivi isso muito no ambiente hospitalar, se algo aconteceu no meu vizinho, o que que eu posso fazer para evitar que isso aconteça no meu? Então, passei de um momento que não tinha nenhum tipo de orçamento para um um momento que eu tinha um orçamento quando atacaram atacaram um outro hospital e pô, beleza, vamos fazer algo acontecer para que isso não ocorra pra gente, não esperar acontecer com você, né? E é o que a gente, a gente não gerencia aquilo que a gente não mede, não dá para você fazer isso. Então você tem que trazer à luz isso. Acho que isso norteia. Você pode muito do alarmismo e do terrorismo que você citou de falar: "Olha o que tá acontecendo à nossa volta". Uhum. O que que a gente precisa fazer para que isso não aconteça? A gente vinha numa

31:13 época de segurança que o pessoal falava: "Quando acontecer a gente vai estar preparado". Odeio isso daí. Não quero falar quando acontecer. Eu tô aqui para não deixar acontecer. Cada dia que eu passo, que não tem um ataque, que não tem um problema, é um dia de sucesso pra gente. Tá tudo ótimo. Eu não quer brinco, eu brinco, Júlio, com essa, com essa frase tu. Eu brinco da seguinte maneira, né? O atacante, ele tem todas as chances para marcar um gol. Exato. E você tem que defender todas. Exato. Então ele só precisa acertar uma. Você tem que defender todas. Então assim, é é é esse pensamento. Exato, cara. Esse pensamento que norteia assim, acho que esse senso de urgência, né? E e e eu acho que é é exatamente isso que você acabou de falar. Então assim, a operação ela exige isso, né? A visibilidade exige isso, o controle, o framework exige isso, porque se você segue, é um dia mais que

32:02 você empurra um possível ataque pra frente. E quando você tá fazendo esse controle, empurrando esse ataque pra frente, se Deus quiser, nunca vai acontecer. Então assim, e com muito trabalho, muito esforço, não acontece. Sim. A gente sabe disso, a gente vive o dia a dia. Então eu acho que é muito isso que tem que nortear. é um pouco do que fala do mercado, é um pouco do que fala nas notícias, é um pouco do que você mede dentro da tua empresa. Sei que aí vai te falar: "Pô, tem um patch novo, tem um Você tem que ficar de olho nisso, não?" E eu tenho um exemplo muito bom, porque a por ser uma empresa global, a gente tem muita auditoria. Eu lembro de auditorias há 10 anos atrás que ela não tinha, não seguia framework, ela seguia a melhor prática ali e vai. Cara, hoje em dia o auditor ele sabe o que ele tá falando, ele sabe o que que é NIST, ele sabe o que que é CIS Control, ele ele sabe o que é gestão de vulnerabilidade, ele sabe o que que é ci [?], entendeu? Então esses termos ele acaba assim, ele acaba

32:57 te ajudando até de certa forma, porque esse framework ele vai te ajudar a buscar investimento, porque fala, cara, ele acaba virando, ele acaba virando um mapa de investimento, né? Se você fizer direitinho uma auditoria, uma que é o geralmente o que a gente faz, tá? E a gente fala: "Já, lá vem o auditor de novo, pelo amor de Deus, já vai me entregar". Mas isso é bom e acho que esse é o ponto. A gente não tem que buscar culpado. Eu não quero saber quem deixou a porta aberta. Eu quero saber como a gente faz para fechar. Exato, cara. Isso parece semântica, mas muda completamente, né? Muda. Porque a gente ia muito no passado pelo pelo procurar o causador. Quem que foi que fez isso? Vamos dar um corretivo no cara. Vamos demitir, vamos fazer. Meu, beleza. Alguma decisão no passado foi tomada que para parecia ser correta na época. Era um momento. Esse momento é diferente. Vamos, vamos trabalhar para para fechar essa porta.

33:48 Exato. Então, tira uma caixas caças bruxas numa pessoa do CPF da pessoa, quem é ocupado, né? Quem é culpado pra gente trazer à luz o que que precisa ser feito para para você mitigar esse risco, mitigar essa essa vulnerabilidade. Louro, como é que você vê essa esse crescimento aí de tudo que a gente tá falando? Que faz sentido isso que eles estão falando? Eles estão falando que Não, não, cara. É, é bem por aí mesmo, né? É. E existem números por trás dessa pressão que vocês sentem, né, que vocês estão vendo. Então ela é real. O Júlio não está inventando isso aqui para pedir aumento. De jeito maneiro. O Wilson não está aumentando aqui para quando voltar de férias pedir 35% de e e vamos dizer tem um número até interessante que o Wilson até falou do âmbito global, né? Mas os ataques direcionados aqui para a América Latina ele eles têm crescido bastante, né?

34:37 Então os ataques semanais, a gente fala do dia a dia, né? Então você passa um dia, você tem você tem um problema, pô, já ganhei, né? Não apareceu nada de diferente, mas os ataques semanais, né, para as organizações aqui da América Latina subiram mais de 30% nesse ano também. Então falando em números, né, essa pressão que vocês sentem realmente tá ancorada, não tá ancorada em número é real. Real e e trazendo até o paralelo que que foi trazido do gol, né? O atacante tem que fazer gol. Sim, sim. muda um pouco a a noção. Eu lembro até hoje que um board me perguntou quantos ataques a gente sofre por dia. Milhares. Como assim milhares? Eu falei: "Então você perguntou quantos ataques a gente so quantos viram incidentes? Nenhum. Quantas quantas bolas chutaram o nosso gol?" 200. Quantas entrou no nosso gol? Nenhuma. Então tá bom. É parar o ônibus na frente do gol e não deixar ninguém ninguém fazer. É, na na prática é o seguinte, né?

35:30 O desafio tá aí. É, não importa o tamanho da operação, o reloginho tá correndo mais rápido para todo mundo. Sim. E com IA piorou. Exato. É só acelerou o negócio ainda mais, né? Acelerou. Acelerou e diminuiu o tempo de resposta. Tudo você tem que tá preparado para para conseguir, né, responder quanto antes, né? Tem tem um dado bem interessante. Isso. Você que tá com a com a parte de IA lá, né? Eu respondo por IA na Vortex aqui também. E tem um dado que é bem interessante, que é o seguinte, foi feito um estudo, né? Utilizando uma uma inteligência artificial, modelo para atacar, você demora demorou em média no teste lá 7 minutos para poder concluir o ataque, concluir o ataque, né? Achar uma vulnerabilidade que pudesse ser explorada, né? Se eu usar a mesma o mesmo modelo, a mesma IA para defesa, eu demoro 11 minutos. Então, falei, se você usar a mesma ferramenta do cara, você já tá saindo atrás por alguns minutos. Então assim, é é um negócio que que vai mudar o jogo, já tá mudando o jogo

36:25 para todo mundo em termos de de ataque, de defesa, de maturidade de empresa. E isso conecta com o próximo bloco e a gente fala um pouquinho da do desafio da construção de maturidade dentro das companhias, né? Falando de cibersegurança. Acho que se acho que foi o Júlio que falou de cultura. Cara, é uma palavra que eu amo quando a gente fala de segurança, que é falar de cultura, né? Parece que segurança se resume a comprar a ferramenta. Ah, meu, quanto você precisa aqui de verba de orçamento para comprar a ferramenta? Porque a gente tá seguro, cara. E de novo, né? Não adianta você investir milhões, ób é necessário, né? A ferramenta é importante. E aí você ter um usuário, cara, não seguindo uma boa prática ou você não ter uma política estabelecida, você não ter governança estabelecida, né? O quanto isso torna sensível ali ou, né? os investimentos que você tem feito, né?

37:16 Então, acho que as próximas perguntas vêm no sentido da gente entender aqui na experiência de vocês o que que é mais difícil, né? Por exemplo, falando de indústria, você pegar ali um ambiente totalmente do zero e ser o responsável pela construção disso, que é quase impossível indústria, né? você pegar um ambiente legado e e enxergar esse ambiente legado e ter que lidar com isso no dia a dia de vocês. Na experiência de vocês, assim, qual desses caminhos costuma trazer mais desafios e e por quê na opinião de vocês? Bom, posso começar? Novo sempre é bom, né? Infelizmente não é isso. Lógico que toda vez que nasce uma planta nossa, nova, a gente já pensa: "Esse é o framework de cibersegurança que a gente gostaria de ter. já vamos investir dessa forma, então já vamos ter o máximo de segurança do começo ao fim. E aí, só que assim, não é investimento de fábrica

38:07 nova, não é rápido, né? Então os legados continuam por anos. Assim, eu já vi situações de que um equipamento ele tem mais de 40 anos. Fala, cara, eu lembro a pessoas que já estão há quase 50 anos na empresa fala: "Cara, eu lembro quando eu coloquei esse equipamento aqui". Caramba, sério? E você precisa proteger ele? Então assim, seria ótimo. Tudo novo, tudo atualizado, tudo já de certa forma, só que por outro lado, tudo que é novo também já vai tá com IA embarcado. Então, o novo perigo já vai tá chegando, né? Ele já nasce, já nasce desse jeito, né? Já nasce com risco, entendeu? Já nasce, já nasce com perigoso embutido. Isso aí. Vou complementar a pergunta, Júlio, para deixar um pouquinho mais difícil para você, que a pergunta tava muito top. Você falar assim: "Ah, o novo é o que é o que eu prefiro também", né? Tá muito fácil para você essa pergunta aí.

38:52 A reboque disso, novo ambiente legado. O que que o que que você tem feito para a liderança acreditar, para a tua liderança acreditar que ela precisa investir em segurança? Ou seja, qual é o que que você tem feito para transformar esse risco em, por exemplo, uma linguagem de negócio para tua liderança entender que o novo é impossível, né? O construir do zero e tem um custo operacional muito alto, né, de você parar a produção, construir, né, inviável, nem impossível de acontecer. E a reboque disso: "Como é que você, meu, se não dá para ser do zero, eu preciso lidar com o que existe aqui. Como é que você faz para ela acreditar que ela precisa investir nisso?" Aí agora anotem aí, pessoal, a receita que ele vai que tem funcionado. Não tem receita. Eu acho que tudo é um processo, é uma jornada que eu falo, a gente começa do zero, sendo novo, sendo com algo

39:48 que já existe, a gente tem que começar de um ponto. E o primeiro ponto é como você traduzir isso, esses riscos. Primeiro trazer esses riscos à tona e depois como você traduzir esse risco para a linguagem de negócio. Porque num ponto você tem que trazer o board pro teu lado, você tem que trazer a diretoria pro seu lado. E como você traz com a linguagem que ele entende como isso pode afetar a estrutura da empresa, tanto no que é de entrega, né, quanto que é de operação e quanto é financeiro e quanto é de margem. Então a gente faz essa conta nossa de que a não atualizar um patch de segurança faz com que um ataque fique mais fácil. Alguém possa tomar tua máquina, tira o ERP do ar, você não fatura mais. Você tua empresa, tua, você continua produzindo, mas você não pode vender. Então isso traz um dano de imagem pra

40:40 empresa e um dano financeiro, porque se eu não consigo faturar, eu não tenho dinheiro e minha operação tá lá estocando, né, o material, matéria-prima. Isso aí no final das contas, no meu no meu galpão. E eu como eu vou dar vazão nisso? Então, o que a gente fala de cadeia de suprimentos é um dos maiores riscos que a gente tem, é justamente isso, como a gente embarca esse tipo de traduz pro para a linguagem de negócio. Então, não tem uma receita de bolo. Acho que a primeira coisa é você entender o negócio que você tá inserido, quais são as joias da coroa desse negócio e como você faz para proteger o que que dá suporte pra joia da coroa dele em relação sistêmico, indústria. E como você protege isso? E aí você vai criando as camadas de segurança dentro. Não vai ter bala de

41:27 prata. É você falando assim, Júlio, não é fácil não. Parece muito óbvio, tá? Você tá fazendo um negócio assim pro pessoal que tá assistindo, nossa, eu sou um imbecil, cara. Como é que eu nunca pensei nisso antes? Mas assim, e eu concordo plenamente com o que você falou, cara. Acho que Mas, mas o óbvio também é difícil às vezes é difícil, ainda mais quando você tá inserido na operação no dia a dia, cara, apagando incêndio, fazendo um monte de coisa. Acho que esses óbvios, né, o contém ovo na caixa de ovo, né, ele precisa ser dito, né? E cara, que bom que você tá tá fazendo isso. Uma coisa que eu acho assim, parece que a gente combinou essa resposta de verdade, que eu falo muito, cara, nas palestras que eu dou, nas interações que eu tenho com os clientes, é algo que a Vortex faz muito bem hoje, que a gente falar de continuidade de negócio, né, de PCN, por exemplo. E é, não é tão comum, embora

42:13 para mim seja algo extremamente óbvio, você pegar uma empresa de segurança e essa empresa de segurança discutir com o cliente o PCN. Meu, o cara tá tá preocupado em em maioria das vezes. E qual que foi o escopo que você contratou aqui? MDR, SIEM [?], OT? Toma aqui que você contratou, tá entregue. Mas cara, como é que eu consigo proteger de forma efetiva ou como é que eu consigo ajudar as empresas a se protegerem de forma efetiva? Se eu não entendo com aí usando as tuas palavras, né? Quais são as joias da coroa? Quais são os ativos ali que estão inseridos em processos críticos e de continuidade de negócio. Sabe como é que operando, por exemplo, a exposição de risco e vulnerabilidade de vocês, como é que eu posso dar o mesmo score de risco para um ativo que é num ambiente de desenvolvimento, para um ambiente que é de produção? Ah, sabe como é que eu posso dar a mesma nota de score de risco

43:07 e vulnerabilidade para dois dois ativos que estão no ambiente de produção, mas um ligado totalmente a um a um produto, né, um processo de negócio e outro não. Sabe entender isso, ter essa visão disso muda completamente muda completamente. Por isso que eu acho que a gente bate perna, como diz meu meu a gente pisa no barro, a gente tem que ir até onde onde estão esses pontos principais e a gente entender com eles qual que é a joia da coroa para que a gente possa proteger da melhor maneira e capacitar a empresa a continuar entregando valor, só que com segurança. Você fala de plano de continuidade de negócio, é muito importante isso, mas o que eu acho que a gente tem que dividir é que plano de continuidade de negócio é negócio, não é TI, não é segurança. Eu tenho, e eu tenho um exemplo muito bom disso na Messer, sabe? Porque assim, é é muito disso.

43:58 Disaster recovery. Putz, tem uma parte que tá com a gente, a execução ali, a execução de você voltar, operacionaliza isso, isso para você voltar o mais rápido possível, saber o que precisa voltar antes, o que que precisa voltar depois, de acordo com o dia que tiver o ataque. Putz, nesse dia tem pagamento de funcionário, você vai deixar o pessoal sem receber. Primeira coisa que você tem que voltar é o sistema de RH, por exemplo. Tudo, tudo bem que tá tudo na nuvem hoje, não tem problema. Mas assim, é uma maneira de dizer o que que a gente precisa voltar primeiro? A gente tá com estoque cheio no galpão e precisa dar vazão isso e voltar o faturamento ou a gente tá parado minguando essa parte? Tem que voltar à produção para depois a gente começar a vender? Se não entende do negócio, a gente não vai saber proteger. Sim. A gente não, a gente vai tá dando tiro pro lado errado. A gente vai tá mirando na pessoa errada e no na causa raiz

44:46 errada. Então a gente precisa como indústria, cyber de indústria, sendo IT, sendo trabalhar junto para entender quais são essas joias da coroa, o que que a gente precisa proteger dentro do nosso, vamos lá, aquele cercado que a gente tem do castelo. Gosto muito de fazer isso. O muro do castelo protege a parte mais importante, né? Até porque se tiver um cerco, se tiver alguma coisa, você tem comida lá dentro, você tem como alimentar o pessoal por um tempo. Então como é que a gente protege aquilo que tá lá dentro? Acho que esse é o antes de antes de passar para tu para dar exemplo, acho que é o que traduz muito isso, é o seguinte, né? Não importa se você tá começando ou se você já tem uma maturidade muito grande. Sim. A primeira pergunta, os primeiros passos são sempre os mesmos. Visibilidade. O que eu tenho e o que eu preciso proteger

45:35 primeiro? O que que é crítico. Exatamente. O que que é crítico, o que que não é crítico para a minha operação, né? Acho que esse esse é o é a grande sacada assim que que a gente pode tirar dessa dessa pergunta. Mas aí, você lembrou de um exemplo aí, né? Você riu deve ter sido um exemplo bom, né? Você não te afetou em nada, né? Tá muito tempo na mesma empresa. Então a gente, eu peguei de tudo, eu peguei da época que a gente de certa forma ainda não tinha investimento específico para cibersegurança. Cibersegurança era dentro de infraestrutura, era TI, né? E cibersegurança era o que a gente pagava. Não era nem endpoint, era o antivírus, né? A gente pagava o antivírus que tava em cada máquina, em cada servidor e bastava. Hoje em dia EDR, XDR, tudo mudou. E na Messer é legal porque essa maturidade,

46:17 todas as áreas tiveram que ter essa maturidade para a cibersegurança. Cyber TI, cibersegurança da empresa inteira. Então em algum momento ali foi criado um PTI comitê [?], que é o a nossa CIO, o nosso presidente, o CFO e o CTO. Então esse PTI comitê [?] já começa a discutir sobre cibersegurança e fizemos um comitê um pouco maior, que aí sim já são mais os diretores de outras operações, gerentes, coordenadores e às vezes até líderes de operação que ele sabe qual que é a dor dele. Então quando a gente trouxe essas pessoas pra mesa para conversar, para explicar primeiro o que que a gente precisava que eles colocassem no BIA, cara, o BIA é deles de certa forma. Outra outra outra outra coisa muito importante, né, cara? Sim, porque ele tá dando valor pra operação dele. Então, quando eu fui pro

47:01 time de faturamento, cara, e se e se ficarmos sem fazer faturamento, quanto que é o custo da empresa parada? Cara, esse valor foi ele que deu, não foi TI. Então, quando a gente busca investimento, ele sabe o custo dessa empresa parada. Cada área dessa dentro desse comitê sabe o tempo da da sua área parada. Então isso ajuda, ajuda muito a gente no investimento e ajuda no na maturidade da empresa, né? Porque quando a gente até fala assim, a gente se reúne a cada seis meses esse comitê maior, mas a gente tá sempre ali mandando coisas para todo mundo para de certa forma tá preparado pro pior, porque a gente tem que tá preparado pro pior. Não tem como você falar: "Ah, e se acontecer?" Cara, pode acontecer. Então, já tem que estar preparado. Isso, isso tem que ser feito. A gente revisa o BIA de tempos em tempos. Então, quando a gente

47:44 começa a conversar, a pessoa já entende a urgência disso e o significado disso, o impacto também. Isso muda o jogo, né, cara? Porque quando você traz a assim a alta direção board para discussão, né, seja numa na confecção, na construção de um de um comitê como esse, por exemplo, que é o que tá tem sido feito muito, por exemplo, para a IA, né? E eu tenho ouvido, eu falo muito isso, né, que IA não é um problema de TI, né? E é um problema de negócio. Humum. Né? E segurança também não é um problema de TI. é um problema de negócio. Então, acho que a maturidade das companhias, ela e aí maturidade de investimento, de tudo isso, ela acompanha muito o entendimento das empresas dessa dessa semântica, né? Se ela entende que segurança ela é tão importante pro negócio quanto qualquer outra coisa, cara, a segurança passa, deixa de ser um centro de custo para ser

48:34 algo capacitador de negócio, entendeu? E que que vai impedir de repente uma perda, né? que ser tão importante quanto você investir numa linha de produção, em maquinário novo e nesse tipo de coisa, né? Não. E e só em lindo que você tá falando, eu lembro de épocas que nós mandávamos mandávamos e-mail pra empresa inteira falando: "Vou parar tal planta porque eu preciso atualizar um equipamento." Cara, eu era de cima para baixo. Hoje em dia, para eu fazer uma atualização de SD-WAN, eu tenho que envolver todas as áreas, porque eu vou impactar o cliente. Então assim, TI já não é mais aquele de cima para baixo, ah, eu tenho que fazer, cara. A gente tem que estar junto com o negócio, entender a dor do negócio, entender o que o cliente precisa e aí entra o que você falou, cara. Não, a gente acaba não sendo mais só o centro de custo ali, né? Só o que gasta o

49:17 dinheiro da empresa, né? Aham. A gente é estratégico no final do dia e acho que até para outras empresas que prestam serviços pra gente. A gente não monta um baseline, não monta um guardrail daquilo que a gente espera de possíveis fornecedores. Isso capacita. E você poder sentar com fornecedores, fal, mas por que que você tá pedindo isso? assim, tô pedindo isso e o que eu tô te pedindo de melhoria no teu processo vai te capacitar para atender outras empresas. Exato. Então, quando eles começam a entender isso, de novo, é cultura. É cultura. Quando você chega numa empresa nova para montar uma área de segurança e informação, você não tá lá só para montar uma área de de segurança, você tá para capacitar, aumentar a maturidade da empresa. E por mais que seja difícil a pessoa entender o por que eu tô ali

50:01 falando do negócio ou falando com o negócio para por causa de uma solução X ou uma solução Y, eles têm que entender que aquilo faz parte do processo, né? E a gente tá lá justamente para capacitar, ajudar, aumentar a maturidade e fazer com que a empresa não sofra nenhum revés no futuro por causa disso, porque no final das contas é na nossa porta que vão bater. É aquela máxima, né? Você não consegue proteger o que você não conhece. Exatamente. Então a gente fala muito de de ter visibilidade, conhecimento, então para para você conseguir proteger, você tem que conhecer o negócio, tem que conhecer tudo, né? Aí sim você entra naquela parte que a gente já falou que é primeiro você conhece tudo para saber o que que você tem que proteger primeiro, porque sempre tem uma uma sequência. É isso que é muito legal. Eu tenho um exemplo quando eu levei a primeira visão

50:52 de risco de cyber em uma das empresas que eu que eu trabalhei, pô, foi aquela gráfico teia de aranha, tava tudo para dentro, tava tudo com maturidade baixa. E eu tava lá o quê? seis meses, nem isso. E aí eu ouço o board, pô, te contratei aqui, que que você tá fazendo aqui que tá desse jeito? Aí você vira pra pessoa e fala assim: "Alguém já te apresentou alguma vez um já tá assim há tanto tempo você só não sabia, né, de risco. A gente pela primeira vez trazendo à luz os riscos que a gente tem. Agora o que que a gente precisa fazer?" Foi a segunda pergunta que a pessoa fez. O que que a gente precisa fazer? Agora eu vou te mostrar. precisa fazer isso, isso, isso e aí entra naquele contexto como, como dividir, como segregar a rede, como você faz um projeto de segregação de rede, por exemplo, por mais que doa, você precisa saber como é que você, você precisa saber, então você tem que trazer a dor.

51:45 Um projeto que a gente teve de segmentação de rede, eu só consegui justificar o alto custo de uma segmentação de rede para depois que eu fiz um pentest e eu não dei parâmetro pra pessoa fazer pentest. Falei: "Vê até onde você chega". Aí de repente me liga a pessoa, vocês têm sistema SCADA aí? Tem. Cheguei, cheguei no industrial. Então, então assim, quando a gente levou esse tipo de informação pro board, foi aí que eles começaram a ver que, pô, tá bom, precisa segregar. Então, antes a gente descobrir, é o muita máxima que eu falo muito, antes a gente descobrir, então a pessoa reclama, pô, Júlio, você tá mexendo nisso para quê? Antes eu descobrir do que um hacker descobrir. É isso aí. Exato. Então eu tô trazendo, mas não vou expor ninguém de novo. Estamos buscando a solução do problema. Não tô buscando culpado. Mesma coisa. Você foi dev por

52:37 muito tempo. Você sabe que falar com programador, você tá falando do filho do cara. Aí quando você passa num processo de miste [?] esteira de desenvolvimento e mostra que o filho dele tá todo cheio de de problema, não. Meu meu código é perfeito. Não, que aliás é outra briga, né, cara? Desenvolvimento. Meu Deus do céu, cara. Você falar de DevSecOps, o cara não entende, fala assim, tá dificultando a minha vida deve ser piorando porque tá nascendo novos desenvolvedores que nunca foram pra faculdade. Exato. E aí, e hoje você fala com desenvolvi um sistema. Beleza, como você a me ajudou. Você sabe que é uma procedure, você sabe que é uma call, você sabe que é uma função, você sabe que é uma query, não sei nada disso. Então você não é programador, desculpa. Não, não é. E eu vejo o pessoal criando.

53:22 Aí você fala: "Legal, você criou e quando você precisar editar, ah, vou jogar lá no código", ele faz: "Cara, você tem certeza disso? Você guardou variáveis e aí quebra tudo?" Tem um post que eu fiz no no meu LinkedIn que é muito legal, que é uma foto com uma frase seguinte, ó: "Eh, utilizar utilizar IA não faz de você especialista em IA, né? Então assim, criar coisas a partir de codificação ali de vibe code não faz de você desenvolvedor. Essa é essa é a grande a grande sacada. Seus, eu faço as perguntas para eles lá, eles me respondem. Você já fez um teste? Pergunta para me faz um código para você buscar informação num banco de dados em linguagem Python. Ele faz, vai fazer. Trouxe. Aí eu perguntei para ela, esse código é seguro? Impede SQL Injection? Não, você não me pediu isso. Pois é. E

54:12 ela sempre vai agradar quem tá pedindo. Você tem que saber pedir. Você tem que saber o que pedir. Tem um conceito para que eu uso muito que é o é o SISO [?], que é o shit in, shit out. Você você não pediu direito, cara, vai vir coisa errada. Assim, ela não vai te fazer perguntas que exijam e que que restrinjam a entrega com qualidade, né? Ela vai interagir, treina ela para isso. Não adianta. Eu brinco o seguinte, né? Eu adoro cozinhar, né? Um dos hobbies que eu tenho. Então, se a gente for fazer um churrasco, por exemplo, é. Mentira, nunca pagou um churrasco. Não, paga. Não faço, pô. Mas assim, por exemplo, se se o Lourival que tá me prometendo há um ano um churrasco lá na na área gourmet dele. Regina, essa foi para você. Porque eu sei que ele não deixa por causa da Regina. É brincadeira. Mas por exemplo, se ele me chamar para fazer um churrasco lá na casa dele, ele me

54:57 servir uma picanha ruim, pô, eu sei fazer uma picanha, eu sei o ponto da picanha, eu consigo criticar e julgar aquilo. Tá acontecendo com a IA hoje, isso é exatamente isso. Eu não tenho capacidade daquilo que eu estou pedindo para fazer. Como é que eu posso fazer a curadoria de algo de algo que eu não sei como faz? E hoje a gente tem muito caso disso, muito, muito, muito. E uma coisa, só para finalizar assim o que o que o Júlio tava falando aqui de de risco, tal, de visibilidade, uma coisa que a gente faz muito e funcionou, tem funcionado bastante com a com com os nossos clientes é o seguinte, risk assessment, cara. Sim, para para ambientes industria de indústria, né? Já de OT, a gente tem um um cara que fora de curva, fora da curva. Toda vez que eu falo dele, eu assim, enche de elogios, que é o Brzida [?],

55:46 que ele cuida da nossa célula hoje de de OT, que ele consegue fazer um risk assessment, onde ele consegue traduzir risco em valores. Em valor, cara, isso muda o jogo e absurdamente quando você fala de visibilidade pro board. Parece besteira, não é? né? A gente tá falando de visibilidade aqui. Talvez quem tá em casa tá pensando muito assim, ah, inventário, gestão de ativos, que aliás é um desafio já pro ambiente de começa aí, né? É, quando eu vou falar com cliente, né? A gente vai falar com cliente, que que você tem que eu tenho que fazer um orçamento. Você faz que que você, quantos ativos você tem? Putz, cara, boa pergunta. Vamos fazer um assess, não sei. Você consegue me ajudar num assessment? Tipo, eu descobri o que eu tenho. Sim. Que loucura isso, né? pensar no no que no no óbvio não tá sendo entregue, né? No corporativo, isso daí é o básico, né?

56:34 Perfeito. Qualquer ferramenta já entrega no corporativo. No corporativo você coloca um SOC, você coloca tudo que você, cara, pensar que você acabou de falar de que a identificação começa e o fim disso deveria ser um SOC. Muito longe. É muito longe a maturidade. A realidade é, infelizmente é o contrário disso. a gente, como eu falei, né, a gente no início aqui na conversa que a gente tava tendo aqui fora das câmeras, né, a Vortex [?] seja uma das poucas empresas no Brasil capaz de operar essa essa convergência, ou seja, dentro do mesmo serviço a gente olhar os dois mundos, né? Sim. E e cara, a parte da dificuldade que a gente tem de fazer isso hoje é a divisibilidade [?] do ambiente de OT. Ou seja, eu já construí ao longo dos 10 anos que a empresa tem, eu já construí a inteligência e a capacidade de enxergar e de atuar numa forma convergente, olhando para contexto. Isso eu já faço,

57:25 mas eu faço daquilo que eu recebo log, né? daquilo que eu tenho visibilidade, daquilo que eu tenho, que eu enxergo no ambiente. Então, hoje a gente tem diversos parceiros que a gente consegue ter essa visibilidade, interagir para trazer isso para dentro de um contexto onde, cara, inúmeros, cara, a gente tem inúmeros exemplos de ataques que começaram lá num phishing, por exemplo, no ambiente de IT, no usuário, mas que o objetivo era, pô, você tem SCADA na tua operação, né, cara? Então, assim, o objetivo era chegar na tua operação, né? E começou no teu ambiente de IT, né? E e e a gente consegue enxergar, né, e esse movimento tendo uma visão de contexto dos dois lados, né, porque senão eventos isolados por si só, exato. Eles não querem dizer absolutamente nada quando você os observa separadamente, né? Quando você joga isso para uma visão de contexto, né? Quando você joga isso

58:13 para uma visão convergente, é que, opa, comecei aqui a ter uma visibilidade de que isso pode ser ou não um problema. Lógico que são ambientes muito distintos e respostas muitos muito distintas, né? Você, por exemplo, a gente trabalha com um nível assim muito alto de automação para resposta e é assim no menor tempo possível. Cara, para um ambiente de IT isso é muito fácil de construir, né? Fácil, né? E a gente já tem inúmeros casos de uso de detecção, playbooks, para poder rodar isso de forma automatizada no ambiente de

58:44 de crítico, né, né, de de ambiente industrial, cara, você você identifica, mas você não consegue desligar uma operação, você nem pode automatizar um negócio. A resposta a incidente é diferente, as ações são diferentes. Aqui você recebe um, IT, você recebe um uma chamada, isola a máquina, bloqueia e aí tá tudo certo. você já pode automatizar isso aí, já te facilita e você responde muito mais rápido na indústria nem pensar. E esse é um desafio e é tão importante que, por exemplo, a gente tem planta na Europa hoje, né? Tem na Alemanha e a Alemanha criou NIS [?]. Então é o quê? É um é o mínimo que eles colocam de baseline de segurança baseado em ISO 27001. Uhum. Para a indústria essencial. Então eles classificam a indústria entre muito essencial a criticidade dessa indústria e a partir dessa criticidade ele fala quais são os níveis de controle que você precisa ter e comprovar que tem

59:41 para continuar funcionando. Então se é uma indústria igual a a do seu caso, gás, prover material para hospital, pode ser colocado como muito crítica. Eles colocam todos os controles do Não é considerado infraestrutura crítica. Infraestrutura crítica. Braskem como petroquímica, ela tá uma baixo, né? Não é a totalmente crítica, mas tá tá lá. Não é uma Petrobras [?], não é uma parte mexe com petroquímica, mas não é de combustível, né? Não é ela não gera ali o o combustível no final, o plástico no final do dia que vai agregar pro microfone, pro teu celular e tudo mais. Então, o impacto não é direto, né? Por isso que ela não é considerada. Então, ela é considerada um nível abaixo, ela é considerada alta. Então a gente tem que tem tem um trabalho, um projeto tem feito. Você falou uma coisa, Jim [?], eu ia passar pra próxima pergunta, mas você deu um gancho que eu acho que é interessante a gente falar com a com a nossa audiência

1:00:31 aqui, com o nosso público. Você acha que de alguma forma a pressão regulatória, falando de Brasil, né, você opera, acho que as duas empresas têm operação global, né? Sim. É. E lá fora, você acha que antecede um pouco aqui o movimento que o Brasil tem feito, mas você acha que a pressão regulatória no Brasil também foi catalisador para essa aceleração aí de maturidade, de tudo isso? A gente no final das contas assim, se não tiver ninguém me cobrando alguma coisa, não tá ali uma multa prevista para mim e ninguém se mexe. Você acha que na prática é isso? Eu acho que assim, quanto tempo a gente falava de privacidade de dados antes de virar LGPD? Quando a gente fala, pessoal, te provocam nisso aí. Há quanto tempo a gente fala de LGPD e quantas estão totalmente aderentes? É, e outra, né? Não vi até agora nenhuma. Quanto a gente fala isped [?]? 5 anos. Vai, seis anos. Seis anos é anos. Não vi nenhuma multa ainda. Se não, cara. Hoje em dia a gente ainda

1:01:22 fala muito de filtro, de pô, filtra, é, coloca rótulo em tudo que você puder e nada sai nada sai sem rótulo, entendeu? Mas o mercado brasileiro ainda não é assim. E eu não acredito que ainda estão olhando isso, tá? Aí se a gente for entrar nessa seara, eu ainda acho que LGPD só serviu aqui. Ah, só para acelerar aquele, porque lá quando fizeram a GDPR colocaram que a países sobre a GDPR só poderiam negociar com empresas de países que tivessem uma lei equivalente, similar. Similar. Aí, opa, temos LGPD, temos um problema, vamos sair a LGPD. Então, minha visão é muito, muito disso, mas não vamos trazer esse boi na na sala. Mas a assim, puxando o gancho do que você falou, nós como fazemos oxigênio medicinal, nós estamos a Anvisa tá sempre dentro da Messer, fazendo auditorias. Então isso acaba forçando, de certa forma, a gente sempre tem que ter o máximo. A régua é muito alta, cara. A

1:02:17 pandemia para nós foi uma situação atípica. Todo mundo trabalhou três vezes mais. o nosso time de operação, cara, a gente chama eles de guerreiros, porque realmente o cara ele tinha que às vezes ir para casa, tomar um banho e voltar para continuar trabalhando, porque tinha que entregar. E aí de certa forma, cara, a Anvisa, ela é muito criteriosa nisso e aí ajuda a subir a régua da da da empresa, entendeu? A indústria tá sempre lá em cima. O regulatório ajuda na parte de cyber. Sim. E é doido isso, a gente pensar que às vezes a gente precisa de um de um fator externo que não seja nosso, não seja do mercado, mas que seja regulatório do governo, regulatório por lei, que que você aí sim ou faz ou faz, não? E deixa aquela história assim: "Ah, eu vou fazer porque só só quando tiver alguém olhando, sabe? Cara, não acaba virando commodity para nós. Isso daí não é virou a régua sobe para E é bom porque

1:03:10 o cliente sente isso. Cara, é isso que eu ia falar porque na prática isso sobe o nível de qualidade do teu produto, do teu serviço, da tua entrega. E quem se beneficia disso no final das contas é o teu cliente final. Sim, né? Eu brinco que, por exemplo, pra gente lá a Vortex tem a a 27001 e a 27701, né? E obviamente que tirar uma uma ISO, né, certificar nunca é uma tarefa fácil. Não vou aqui minimizar os esforços para isso, mas pra gente foi muito natural porque na sua concepção a empresa já nasce segurança com com essa visão, né? O Wagner lá atrás, o Max lá atrás quando fundaram a empresa, né? Eles já fundaram com essa visão de certificação. Então, exatamente o que você falou, cara, você é tão auditado, você é tão preocupado com esse nível de excelência, quando vem uma fiscalização, quando vem uma auditoria, você tá ali, cara, no teu, sabe, 12 por 8 ali, você tá na tua pressão normal, né? Óbvio, pô, trabalhar com auditor no teu, no teu pescoço ali é

1:04:05 muito muito ruim, né? Mas assim, cara, você não tá inventando a roda, sabe? você tá ali trabalhando, fazendo teu trabalho dentro dos processos que você já construiu, seguindo parâmetros que você já entendeu que desde o início faziam sentido, né? E aí por isso essa auditoria, essa pressão toda, ela ela é ela é interessante, né? E e nós temos o fator alemão, porque nós somos uma empresa alemã, então o alemão ele já tem um costume que primeiro ele vai escrever para depois ele executar. Não é o padrão americano que primeiro eu executo, lá na frente a gente ver como que vai ser, entendeu? Então de certa forma tá batendo na tua porta também. É isso aí. A gente tem que, infelizmente, não vou falar infelizmente, mas assim, a política para nós é dia a dia, sabe? É cultura. Tudo tem que ter embasamento, tem que tá escrito certinho tudo que pode, que não pode, de certa forma, né? É. E isso acaba, foi o que você falou, né? São coisas que são catalisadores que

1:04:52 nos forçam a ter um nível de entrega, um nível de excelência muito maior do que a gente teria se não fossem esses fatores, né? Por isso que eu, você comentou de de de regulação, né? Eu falei: "Cara, meu, preciso trazer isso para a conversa porque acho que faz sentido isso, né? Essa reflexão sobre essa pressão que a gente recebe aqui, tem muita coisa para sair ainda. Falando em IA, por exemplo, indústria 5.0, tem muita coisa sendo discutida, projeto de lei, uma série de coisas, mas a regulação às vezes joga um pouco contra. Eu vou falar muito advogado do diabo. Vamos sa eu vou eu vou te dar um exemplo. A gente tem algumas discussões às vezes por conta da necessidade de colocar o ambiente de OT [?] pra internet e aí a gente fala, pega um link, coloca para lá e aí a gente vai, não pela regulação, a gente tem que passar por uma outra rede para chegar na internet, não pode ser direto. E aí acaba sendo tudo, acaba sendo um ambiente de TI.

1:05:42 Então, mas você acha que nesse caso não é a a gente ainda no Brasil muito preocupado em criar regulação, mas não revisitar essas regulações? Às vezes não é nem tão técnico, né? Quem tá regulando isso, tá regulando não sabe o que que isso interfere. E a gente até falou: "Tá bom, vamos colocar, vamos colocar dois firewalls [?] aqui, dois firewalls [?] aqui e você vai passar por uma rede DMZ, a gente põe aqui um, sabe, um untrustzinho aqui com a tua internet, você passa por ele e vai embora." Mas é uma estrutura tua. Sim. Então assim, às vezes a gente acaba tendo a regulação até tipo jogando um pouco contra pra gente poder entregar o melhor e e aí acaba tendo que colocar em risco a rede de TI pra gente poder salvaguardar a rede de OT. Por quê? Porque meu vai passar pela rede de IT uma hora e isso vai eu exponho minha rede é o escudo. É isso aí. pra rede de pelo é uma reclamação, mas não é uma

1:06:39 tanto uma reclamação, mas uma percepção interessante, percepção de que o que acontece é para não expor uma um uma rede que é importante, a gente coloca outra sob risco um pouco maior do que ele já está. E aí a gente tem que ter em IT, na minha visão, uma uma organização, uma maturidade maior em cyber do que para para conseguir suportar isso. E isso também é um outro aspecto que pra gente usa de de investimento em cyber, sabe? A gente tá protegendo dois lados com uma única rede, então como é que a gente pode, cara? Incrível, incrível. A tua percepção é bem é bem interessante, cara. assim, acho que é, não, eu só ia complementar uma coisa que ele falou que é bem legal, porque realmente essa situação de que você precisa colocar um equipamento de OT dentro da rede de IT, às vezes eu eu penso que a

1:07:30 preocupação não é nem os nossos equipamentos corporativos, porque ele tá recebendo autorização, ele tem o melhor EDR, XDR, tem SOC e tal, e o que entra para dentro na rede, esse cara ali, ele não vai estar com os melhores patches, ele não vai ter um SIEM [?], entendeu? Então imagino que assim, cara, eu tô te barrando, não é porque eu não quero, é porque eu imagino que se alguma coisa aqui no meu corporativo, não vou ter problema, mas se entrar para dentro eu vou parar a fábrica. Então, às vezes tem que mostrar pra pessoa isso, entendeu? de que de certa forma a gente precisa, eu não teria problema na minha rede, mas você a gente vai ter esse problema na rede e vai afetar são baselines diferentes, falo, cara, são bichos diferentes no final do dia, são coisas completamente do que se conversar. Perfeito. E e a tua explicação vem vem a reboque da a gente

1:08:17 tá caminhando aqui pro final, pros últimos blocos, pra gente não estourar aqui o nosso tempo também, mas tem muito a ver com com a próxima pergunta que eu vou fazer é o seguinte: quando vocês precisam hoje explicar o custo de um ataque, a gente já comentou algumas coisas aqui, já pincelou sobre esse assunto, mas quando vocês tem que comentar sobre esse custo de um ataque para a diretoria de vocês hoje, o que que normalmente pesa mais? o custo direto, a parada é operacional, reputação, o impacto na cadeia de suprimentos do teu cliente final. Normalmente, qual o argumento ali que pra diretoria funciona melhor? Comensurar isso, né? É, é o o já entendi assim, já entendi que eu tenho que falar dessa forma aqui para se eu não falar assim, eles não não entendem. A gente já falou aqui de visibilidade, de notícia, de uma série de coisas, mas no final das contas é

1:09:05 meu, ó, o custo de parada é esse, o custo financeiro é esse, o cara mensurar custo reputacional, né, mas o o impacto de reputação é, né, o que a gente falou até que, ah, seu serviço parou de funcionar, eu troco, vou pro lado, vou pro lado e vou, né? Como é que vocês usam isso hoje? O, eu acredito que é uma jornada, tá? a gente já não pode chegar com os dois pés no peito e falar: "Ó, esse é o custo de tá parada a operação." A jornada começa ali, eu vou dar um exemplo. Nós temos treinamentos hoje que é especializado para pro time de OT. Pô, eles são eles são técnicos do time de OT, só que muitos treinamentos que o time de IT [?] a gente joga também pro presidente. Então o presidente ele vai ter um treinamento mensal ali de que ele vai ver como que uma situação de uma de um ataque físico numa planta. Então a gente pega um exemplo de que aconteceu. Então assim, facilita muito porque a empresa inteira,

1:09:57 desde o presidente até o estagiário, mês a mês ali a gente vai colocando eles nessa jornada, eles vão entendendo os riscos que tá acontecendo no mundo. A gente não pega ali, ah, pô, é uma foto de três anos atrás, não, cara, o que tá acontecendo no momento vai ser o que a gente vai colocar no treinamento. Então isso acaba facilitando de quando a gente senta na mesa você começa, mas você começa com o teu discurso falando de segurança ou você começa o teu discurso falando de continuidade de negócio, por exemplo? Cara, a gente acaba falando, conta pra gente, você tá falando muito, eu tô querendo saber o que que funciona. A gente acaba falando de tudo, porque no fim pro pro presidente o que importa é o cliente. Então assim, vamos dizer assim, de certa forma, a gente vai falar do phishing, vai falar do smishing, vai falar de mil coisa, mas no final falar e se tudo isso acontecer, automaticamente a gente

1:10:38 vai ter que parar de entregar o nosso produto pro cliente. No fim de tudo, quem vai ser vai ser afetado vai ser o cliente. Aí acaba ajudando isso. Cliente é o cliente. A gente tá falando de vidas, não entregando oxigênio. pode levar a morte de pessoas dentro de um ambiente hospitalar, perde a credibilidade nossa e e aí eles vão buscar o oxigênio com outra pessoa. Então assim, tem tem esse viés que eu acho que eu acho que é importante, mas eu acho que uma coisa, um exercício que eu acho que é bom fazer, às vezes, eu já passei por isso, é é fazer seguro cyber. É, cara, é uma coisa também que não era muito comum antigamente. Hoje em dia, só que hoje é inviável por tem ataque que vira um custo caro dependendo do do que você precisa de retorno, despesa, né? E quando a gente fez isso, por exemplo, exatamente, quando a gente fez isso, por exemplo, no hospital, a gente

1:11:27 conseguiu fazer por dois anos. No terceiro ano não valia mais a pena. Por quê? Porque o que ele retornava pra gente era equivalente a 3, 4 dias do faturamento do hospital. E você sabe que para você retornar um ataque cyber, a média é 7, 8 dias, 10 dias, dependendo do nível do ataque para você voltar a operação. Um exemplo do Fleury. Fleury demorou um tempinho para foi rápido ao retorno, mas todos os ambientes internos dele para se recompor demorou mais tempo. Demorou. Então assim, muito disso vale a pena. Nenhum seguro de cyber às vezes cobre três dias e e essa parte do do que a empresa vale diariamente tá muito dentro da cabeça do board, tá muito dentro da cabeça do CEO, do do CFO. E aí a gente quando coloca e eles fazem a matemática básica, a conta do pão. Uma empresa demora de 7 a 10 dias para se

1:12:20 recuperar de um ataque. Uhum. Quanto isso custa para você? Ele já vai ter na na hora a visão de custo dele. Tá bom. E quanto você quer investir nisso? Eu quero investir um décimo disso no ano pra gente poder proteger essa camada, proteger esse fora que os seguros exigem um nível de maturidade também absurdo, né? Muito absurdo. Bom que mede bom que mede o seu momento. Ele fala: "Cara, real, mas é muito é muito regrado." Eles viram para você e fal assim: carro na rua, é coberto, ele pega chuva, ele não pega, você tem SOC, você tem EDR, você tem XDR. pode fazer nada até vir uma equipe forense deles, analisar tudo, ó, vou pagar resgate, não, você não vai pagar resgate. Você pagar, tá tá no seu é tá no seu risco, senão a gente não vai cobrir. Então tem, tem um, tem umas coisas meio, às vezes pagar o resgate é

1:13:06 mais barato do que a franquia, ainda a gente tem muito custo de parada e restart de uma planta, né? Então isso acaba também levando em conta porque muitas vezes, pô, a gente tem plantas no Brasil inteiro, então eu não tenho pessoal lá disponível para toda a situação. Então isso acaba levando em conta também na hora da gente falar de investimento, entendeu? É, pra gente finalizar aqui o último bloco, vou fazer uma pergunta bem tranquila, futurologia, que é a a nossa especialidade. Quando a gente olha pros, a gente já falou também aqui algumas coisas, mas quando a gente olha pros próximos anos, assim, na opinião de vocês, qual que deve ser assim o maior desafio quando a gente fala de cibersegurança industrial? Victor, o principal desafio é a incerteza jurídica de regulações, de

1:13:55 coisas que estão sendo discutidas e ou não é é o mercado, é IA. Na visão de vocês, o que que representa esse maior risco? Não, e o pior é que assim, a gente tá ainda resolvendo o problema da indústria 4.0, já estão colocando IA no negócio a 5.0. Então assim, a gente olha futurologia falando, a gente sempre vê e é acho que da área é pior cenário, né? A gente sempre como cyber vê o pior cenário, mas como embarcar IA agora? Como fazer? A gente fala uma coisa de IA que eu acho, a gente fala tanto de IA como inovação, mas a gente já tem isso muito embarcado em tecnologias de segurança. Muito tempo. EDR. Exatamente. EDR trabalha muito. XDR trabalha muito com Mach Fos [?] de nova geração já vi embarcado com IA. Muito tempo. Só que é uma coisa muito louca porque a

1:14:44 gente olha o contexto, pô, isso daí tem IA embarcado, legal, vai me ajudar a identificar e tratar incidente mais rápido. Mas quando vem o carinha lá da do negócio, falou: "Quero colocar IA", a gente se arrepia todo, né? Então assim, é muito do faço o que eu faço, falo, mas não faço o que eu faço. E a gente tem que tirar um pouco disso também. Eu acho que a gente tem que primeiro ponto é é um pouco essa desmistificar essa parte de IA como algo ruim. A gente tem que falar que a gente vai ser vencido se a gente falar que vai tomar conta. É, na verdade é o custo operacional de não aderir, né? Custo de oportunidade na real assim que o concorrente tá fazendo isso aí, potencializando o resultado, né? sendo mais eficiente e você não vai fazer porque você não tem maturidade de segurança para adotar a ferramenta. Eu brinco que nas palestras que eu dou, né, nas

1:15:31 capacitações que eu que eu que eu faço a gente eu brinco o seguinte, né? A IA talvez seja a única tecnologia que ela foi adotada primeiro primeiro pelo usuário e depois pela empresa, né? E aí ela trouxe os seus desafios a a reboque desse comportamento. Eu me tranquilizo um pouco para ambiente industrial porque essa verdade ela não vai se reproduzir no ambiente industrial. Eu acho que a IA ela chega no ambiente industrial com o objetivo pela qual ela deveria ser adotada, que é o aumento de produtividade, aumento de eficiência, controles automatizados, mas adotado pela empresa. Sim. Sabe, você não vai ter um operador de uma máquina XPTO ligando no Gemini perguntando, cara, não é isso? Como EDR, como um XDR, ele vai trazer conhecimento daquilo que tá acontecendo e pegar qualquer qualquer desvio e trazer para você. Acho é muito disso, é

1:16:19 abraçar e a é a gente olhar e h com contra e se a gente não for contra, pessoal do board vai olhar o que que a gente precisa fazer para ter mais segurança. E e acho que esse esse é o papo que a gente precisa ter. Não, eu acho que é bem isso. Tudo que você falou, cara, é TI não ser um blocker, sabe? Se a gente for um blocker, eles vão achar alguém que não vai ser, vão ir pra frente, às vezes sem a gente e vão colocar do mesmo jeito. Com certeza sem vocês. É isso aí. Com certeza. Eu eu vejo muita usuário sendo usuário, pô. Eu vejo muito exemplo de situações, cara. Eu vi um vídeo de que tem uma planta em tal lugar que eles estão fazendo gerenciamento com óculos de realidade virtual. Ah, quero colocar gem [?]. E, pô, muitas vezes você vai falar, cara, não, não dá, não sei o quê, pô. Mas não dá mais para você ser assim.

1:17:04 Você tem que achar, fala, cara, vamos junto, vamos traz traz a empresa, vamos falar junto, coloca cyber no começo do processo, porque é melhor do que trazer na última na reta final, quando o projeto já tá pago, já tá. É isso aí. Já paguei esse negócio, eu quero que você implemente. Mas se a gente tiver jornada, decidir o caminho. É, e e é um dos pontos da maturidade da jornada. Uma das coisas que a gente criou e deu muito certo na Braskem foi justamente o baseline de segurança e o checklist de segurança para novas soluções e para novos fornecedores. Por quê? Não sou eu que tenho que avaliar a minha parte, mas traz pra mesa e me fala o que que acontece. me fala o que que tem, o que que precisa ter dentro da tua empresa, o que você tem hoje e como a gente pode capacitar você para não só atender a Braskem, mas atender a empresa, outras empresas também. Então a gente olha no conceito

1:17:53 de cyber, claro, alinhado à indústria, a gente não tá querendo controle de banco, não é esse o intuito, mas a gente quer o mínimo de segurança, porque cadeia de suprimento, tudo tá na SaaS, eu tô transferindo toda a responsabilidade de um sistema de ambiente, de infra, de tudo e segurança também para um terceiro. O RH hoje só usa SaaS, sabe? E não só meu, né? Acho que todas as empresas não tem mais sistema interno. É, já foi até a época do SaaS, né? já foi até exatamente. Então assim, a gente olha esse contexto justamente para quê? Para ter essa resiliência, para ter essa maturidade e para que a gente possa estar desde nessa jornada, desde o começo da implementação de algo até o final, mas falar assim: "Pô, legal, no final das contas a gente colocou isso com na prática, eu acho assim, né, cada vez mais a gente tende, né, a ter a os

1:18:45 ambientes de IT, de OT ainda mais convergentes. Uhum. Acho que isso é uma coisa que não não muda, não volta a ser como era antes. Aquelas operações em silos totalmente segregadas, né? Acho que não tem mais. Acho que a gente ainda vive um pouco das infraestruturas ou das equipes operacionais ainda estarem segregadas, mas eu acho que falando de futurologia aqui, de tendência, é algo que eu vejo que o mercado vai trabalhar num futuro próximo, que é essa convergência, inclusive física de pessoas, né? você não ter mais duas SIs [?], né, uma para IT, uma para OT, mas convergir isso, ah, com capacidades distintas, né, assim, acho que acho que o principal erro que eu vi muitas empresas cometerem no início era chegar em OT com uma linguagem de de IT e achar que os baselines de IT teriam que ser aplicados aqui, porque esses são os baselines que eu conheço. Na prática era isso, né? Era

1:19:43 algo muito novo para pros dois lados, né? E o que a gente vê hoje, na verdade, é essa. A a equipe de IT aqui da do do ambiente crítico de OT, cada vez mais especializada no queitan [?] da sua operação, precisando entender os riscos e vulnerabilidades de negócio que a IT hoje muito bem e essa conversa acontecendo cada vez mais e de forma natural. Então, acho que como tendência de de futuro é isso que vai acontecer cada vez mais quando você joga nessa conversa, nessa convergência mais um temperinho que é a IA. Uhum. Ela para mim ela ela só assim, ela expõe algo que gera muito latente em ambas, né? Mas e tem uma coisa que eu tenho falado muito e aí Júlio, você falou muito de de de baseline. O Wilson também falou, cara, é governança, sim, cara, política. Se você estabelece isso,

1:20:36 ah, Victor, mas eu não sei o que fazer, não sei como seguir, cara. Constrói o básico, o básico bem feito funciona. Evolui a partir do básico. Eu acho que se eu fosse falar de futuro também, eu acho que as empresas precisam cada vez mais olhar para esse tipo de conversa, sabe? Começar de alguma coisa, você não tem que colocar falar de governança, falar de política, trazer negócio para conversa, ter um entendimento de continuidade, dar visibilidade a todos os envolvidos nesse sentido. Cara, o cara da planta, ele precisa ter visibilidade do negócio. Sei, ele sabe, senão ele fica, você falou, né? Eu tenho plantas no Brasil inteiro. Aí o cara tá olhando pro quadradinho dele ali, cara. Ele não sabe que aquilo ali faz parte de uma cadeia muito maior, né? Você acha que olhando para futuro, a gente falou

1:21:18 aqui algumas coisas que fazem sentido, se enxerga algo muito diferente disso? Não, não. Acho que o maior desafio mesmo, acho que segue não vai ser nem um um desafio tecnológico, né? É você conseguir realmente manter essa visibilidade, né, desses ambientes que que eles acabam se convergindo e com uma complexidade sempre muito maior, né? Então, aumenta muito a complexidade, mas você não pode perder essa visibilidade, né? Então, volta lá no início, né? Você não protege o que você não vê, né? Então, você não pode perder essa visibilidade. Então, desafio tá aí, manter a visibilidade num ambiente cada vez mais complexo. Queria finalizar aqui a nossa conversa, agradecer demais, que acho que assim,

1:22:00 pô, um monte de pergunta que a gente tinha que fazer que não fez, fizemos outras que não estavam combinadas, rapidinha, né? É muito rápido, cara. E eu gosto quando é assim, porque de novo o assunto é bom, a gente vive isso no nosso dia a dia, então pra gente é muito fácil estar falando aqui. Muito bom. É, o próximo VortexCast, Marketing, é na praia bebendo na água de coco. Acho que essa conversa dessa, a gente vai fazer uma reprise disso. Tá bom. É mais coisa para falar. É a gente 3 horas de po [?] 5.0 monte de pergunta para ser feita, né? É, ficou, tem aqui um bloco inteiro que eu não fiz de pergunta, mas cara, obrigado de novo pelo pela presença de vocês, por estar colaborando com a gente. A gente espera sempre tá gerando um conteúdo aqui interessante para quem tá em casa assistindo, ser um conteúdo que você coloca lá no trânsito indo pro teu carro. a gente geralmente publica ali no

1:22:45 YouTube, publica e no Spotify também, então você facilmente coloca ali para ficar ouvindo e cara vai ouvindo essa troca aqui. Obrigado por compartilhar com a gente tanta bagagem, tanta história de vocês. Eu assim, para mim aqui é cara incrível. sempre saio um pouco melhor de cada interação que eu tenho aqui na na nos episódios, conhecendo um pouco mais, cara, vivendo. A gente tem, acho que talvez uma uma particularidade muito interessante que é atender, por exemplo, o Brasil inteiro segmentos distintos. a gente já interage muito, já vive muitas coisas diferentes, mas talvez não com o nível de profundidade que a gente consegue ter aqui no bate-papo com vocês de uma hora, uma hora e pouquinho, onde a gente vê na prática assim, cara de dores que vocês sentem, saber as dificuldades, a visão de quem tá de fato no no front

1:23:34 ali enfrentando os desafios. Então, de novo, muito obrigado por se disponibilizarem, atenderem o nosso pedido, o nosso convite. Prazer, muito obrigado. Que a gente possa aqui fazer muito mais vezes aí pro futuro. Tem a Iara [?]. Mais para frente você vai chamar a gente para falar de IA com tudo isso junto. É isso aí. Eu vou falar assim, é na mais na praia, né? Vamos falar assim, lembra aquela conversa que a gente teve tava ruim, né? Ficou pior, né? Ficou, ficou mais difícil. Mas é isso, pessoal que tá em casa, muito obrigado por ficarem com a gente até aqui mais uma vez. Batendo esse papo, segue a gente no LinkedIn, segue a gente no YouTube para não ficar de fora de nenhum episódio e até o próximo. Tchau, tchau. Valeu. Tchau. Ja.