Os desafios reais da cibersegurança na era da IA

0:01 VortexCast em São Paulo. Começamos mais uma edição aqui do nosso podcast da Vortex. Meu nome é Victor El'osta, sou o host aqui desse projeto e a gente vai estar falando aqui com o time de feras hoje, abordando um tema extremamente contemporâneo e importante, que é o uso da inteligência artificial como potencializador ou como grande exponencial aí de risco e vulnerabilidade para as instituições. Então, tô com um time aqui bem legal pra gente conversar hoje. Um aqui do meu lado, Lourival. Se apresenta um pouquinho, Lourival. Eu sou Lourival Júnior. Eu estou como especialista em soluções e serviço e segurança. Eu já estou no nessa área, né, há bastante tempo, mais não entendi a risada, Lourival, mas tudo bem, bastante tempo. Essa barba branca aqui que já entrega tudo, mas na parte de segurança, há mais de 10 anos também trabalhando, né? Então vai ser legal bater o papo aí com com os expoentes aí da parte de segurança, né, da informação.

1:03 A voz de locutor marketing da Vortex, estamos perdendo aqui. O próximo apresentador pode ser o Lourival. A gente tá aqui também hoje na mesa compondo esse time aí pra gente estar discutindo ou debatendo, batendo essa, esse bate-papo aqui sobre esse assunto com o Alessandro Nutti [?] e com o Leonardo Menzani [?]. E aí pessoal, queria que vocês se apresentassem também rapidamente aí pra gente começar esse bate-papo. Bom, e já me apresentou. Eu sou Alessandro Nutti [?], eu trabalho numa instituição de ensino, sou CISO [?] do da da empresa, tenho mais de 20 anos de experiência na área de segurança, área ofensiva, na área forense e atualmente ali a gente desenvolve um trabalho de responsabilidade técnica dentro desse papel e também trabalho como perito forense e computacional. Sou Leonardo Mene Silva [?], trabalho no Instituto Federal de São Paulo, uma das maiores autarquias do Brasil agora. Estamos com 57 campus espalhados pelo estado. A frente,

2:02 ambiente pouco complexo, bem tranquilo. A frente da diretoria de TI do Instituto pela Reitoria. Tô no instituto desde 2013. Comecei lá como técnico de TI, fui coordenador de TI em campus, depois diretor de infraestrutura e redes e agora diretor de TI. E aí, apesar da da área de segurança ter essa necessidade de ficar separada, acaba sempre ficando vinculado a nós diretamente. Legal. Legal. Antes da gente começar aqui as perguntas, pessoal, vou fazer aqui um convite, senão meu marketing briga comigo e eu perco essa posição que eu gosto muito de fazer. Então, sigam a gente em todas as redes, no LinkedIn, no YouTube, para não ficar de fora aí de qualquer podcast ou material relevante. A gente sempre tá publicando coisas que são pertinentes ali, relevantes. Para não ficar de fora de nenhum conteúdo desse, por favor, sigam a gente nas redes sociais.

2:50 bom, pessoal, pra gente começar aqui a nossa interação, o nosso bate-papo, eu queria fazer uma pergunta para vocês, na verdade, pra gente trazer aqui para a mesa a experiência aí, né, de anos e anos aqui de de mercado de vocês e perguntar como é que as empresas, como é que as instituições que vocês trabalham hoje tão enxergando cibersegurança, e como vocês estão lidando com esses desafios que são a que é IA, né, no caso do ambiente de vocês. Então, eu brinquei no primeiro podcast que a gente gravou, que a IA, ela foi uma das poucas tecnologias disruptivas, né, uns ciclos que a gente tem, que ele sofreu ali uma jornada um pouco diferente do que é o comum, né? Então você tem, por exemplo, você tem o exemplo da cloud, né, quando veio a veio a cloud, né, aquela movimento louco de todo mundo tem que ir pra cloud, né, e tal, todo mundo migrou, mas você tinha um processo de governança, você tinha uma arquitetura desenhada para isso. Tudo bem, as

3:46 empresas adotaram a melhor arquitetura? Talvez sim, talvez não. Umas estão sofrendo até hoje porque não fizeram a melhor arquitetura, mas ainda assim você tinha um processo de governança associado. A IA ela veio meio que quebrou esse protocolo, né? A IA veio antes de governança. A IA o uso efetivo da IA, ela veio pelo usuário. Então, né, a tecnologia foi convidada a participar desse processo depois que já tava em prática. Convidada, não, né? É, obrigada. Exato, né? Então, assim, foi por favor participar, né? Então assim, eu queria entender na visão de vocês, na experiência de vocês, como é que tá sendo a a a visão da companhia, né, da instituição que vocês representam, e na experiência de vocês de mercado também, como é que lidar com cibersegurança, lidar com o uso de IA no dia a dia, o quanto isso aumenta o vetor de ataque, quanto isso

4:37 potencializa risco e vulnerabilidade, quanto isso também tá acelerando os negócios. A gente não pode desassociar uma análise da outra. Então queria um pouquinho ouvir um pouquinho vocês aí do nosso lado aqui. A gente vai tentando bater bola e e complementar, enriquecer ainda mais aí os comentários aí. Por favor, fiquem à vontade. Não vou colocar aqui uma ordem assim para quem fala primeiro, não. Podem ficar tranquilo. Tranquilo. Começo. Assim, eu vou trazer uma visão de mercado, não só institucional, tá? Porque querendo ou não, a gente acaba atuando como consultor em outras frentes. É assim. Aí ela trouxe pra gente o que a internet trouxe anos atrás. O diferente que a internet ela foi entrando em fases. A IA, como você bem colocou, veio do usuário para a instituição. Então assim, muitas vezes a dificuldade que a gente tinha de colocar, ó, um computador com internet, um momento na empresa, todos os usuários passaram a ter acesso pelo seu dispositivo móvel. Então assim, a maior

5:31 dificuldade hoje é na conscientização do uso do que é dado da empresa e o que é dado que o usuário pode estar trabalhando em cima. Chama isso de letramento, né, que é você conscientizar, meio que orientar ali o usuário mesmo, o quão isso já era importante antes. A gente é comum a gente falar na nossa área de segurança aqui, no nosso segmento, que ah, o usuário é o elo mais fraco da cadeia. ele continua sendo, né, e no uso de IA talvez isso tenha sido potencializado, porque isso veio através do usuário, isso é exponencialmente utilizado. E aí se você não trabalhar no letramento, na conscientização, algo que a gente faz muito também, que são palestras de conscientização pro uso seguro de inteligência artificial dentro das companhias e das instituições. Você, cara, assim, potencializa risco num nível estratosférico, né? É. Aí um risco para finalizar muito simples.

6:27 Antigamente a gente tratava com DLP, acesso, controle de conteúdo. Hoje o dispositivo dele tá na conta privada dele. Então uma pergunta da a informação foi embora. Então assim, e não passa pela rede da empresa. A empresa não tem qualquer visibilidade daquilo. Então esse é um dos maiores riscos hoje para mim, na minha visão, do uso da inteligência dentro das organizações. Aí o tá no dispositivo, tá na sua reunião. Quantos já entraram em reunião com quatro, cinco agentes de IA para fazer um resumo. Cada um diferente. que no final aquele conteúdo da reunião que às vezes tem n conteúdos que não deveria ser publicado com uma outra ferramenta, mas foi falado na reunião e agora tá na ferramenta, né? Então tem esse problem Ah, mas é só para sumarizar, né? É para construir ata. Mas a informação tá lá, né? Informação tá lá

7:19 lá. Aí e aproveitando que ele falou de uma de um contexto mais institucional, acho que a gente mais geral, acho que a gente faz essa essa jogada. fala um pouquinho mais da instituição, do ponto de vista Uhum. da instituição e você pega mais na sua experiência de segurança. Acho que fica uma dinâmica interessante. O o que a gente fez lá ano passado mesmo, a gente fez uma política de uso de IA para alunos e servidores, né? Para alunos e colaboradores ali, pros professores, os administrativos que a gente fala, o pessoal de apoio e pros estudantes com a ideia justamente de assim não proibir o uso porque isso é quase impossível. É, é tiro no pé. Você vai acabar incentivando justamente que ele faça o uso sem curiosidade você não e sem você ter mecanismo de governança sobre aquilo. Exatamente. Ele vai procurar burlar em educação. Aí desde de UltraSurf ou outros mecanismos lá atrás que o pessoal usava,

8:14 sempre que você tenta restringir o acesso, o que você causa é o furor da galera de procurar alternativas. Então, a gente já tentou tratar por este caminho para fazer uma política de incentivo, né, de permissão de uso, mantendo autonomia do professor sobre o uso acadêmico, se ele quer uma atividade podendo usar IA ou não, mas tentando guiar justamente nesse sentido. Então lá tem vedações sobre o não o tipo de ferramenta, mas o tipo de dado que você pode trafegar ou trabalhar com IA mais orientando a interação do que de fato do que de f e e de fato orientada a ferramenta. Então a gente não veda tipo de ferramenta, a gente, mas veda o tipo da informação que você pode trabalhar com ferramenta de passado. Isso ano passado. Parabéns. E até pegando o gancho, o

9:01 trabalho que a gente faz é na criação dos manuais. Perfeito. A gente não chamou de política, não chama de política, mas o manual, até mesmo porque você não é tangível, que você vai conseguir fazer cunha ainda. Exato. Então é o manual de utilização. Então no manual tem o que você deve ou não deve, que é a política que vocês fizeram. E depois, um ano depois, a gente passou a monitorar, dar uma olhada no se o conteúdo do manual tava adequado com que os usuários acessam. E isso não só para para a instituição, mas para as outras empresas que você acaba trabalhando, é um dos pontos que a gente traz. Então, porque às vezes tá embutido no contrato já uma IA que ele tem como assinatura com grande provedor e às vezes os funcionários usam outros e às vezes isso acaba é um norteador tem uma logada e a galera usando outra. Exatamente. Justamente com medo da

9:53 empresa controlar o que eles fariam a pergunta ou aquela correção de e-mail básica, né, que acaba todo mundo e tem muito de gosto, né? Exato. Se você não se você não disponibiliza corporativamente a IA que o cara tá acostumado a utilizar, que ele já tem memória associada, que ele já tem contexto construído, para ele reconstruir aquilo naquela que você autorizou, que você homologou, o cara não vai fazer, ele prefere. Você cria um trauma, né? Você cria um ponto ali de dificuldade de de de adoção. Aí cada um acostumou a usar por uma diferente. Então, ó, uma galera acostumada, pode falar marca, como é que ficou isso? Pode ficar à vontade. A galera acostumada a ChatGPT. Aí o outro já chat patrocina a gente aí. É, o outro já foi para Gemini e a Google é aqui, tem um Google Campus aqui perto. O outro já começou a usar pelo Gemini.

10:41 Aí começa até a preferência porque tem uma já tem tem uma nuance de configuração de como são as interações por diferentes provedores. Isso é uma vantagem estratégica deles. Seus agentes lá dentro, já tá acostumado você tá indo longe ainda. O cara já tá falando de agente, não é? É. É disso, usuário. Usuário, usuário nada ali. Tá não, você tá pensando tecnicamente. Ele ele criou carinho por aquela aquele tom de conversa. Ele adotou, ele adota, ele adota. Exatamente. Se você fala qualquer coisa, como se você falasse do filho dele. Se você fala, não, a empresa usa tal, mas ela não responde como eu quero exatamente. Aí você fala, aí você olha a gente tecnicamente, né? L você usou. É, não, mas você não vai. Então, aí você fala, ele adota a tecnologia. É isso aí.

11:35 Porque como tem interação, tem esse aspecto humano. Ah, é, tem esse aspecto humano. E aí agora, se a gente for pensar por agente, o que tem de risco associado que você pode pegar um serviço de IA qualquer preparado para extrair informação de alguém? Uhum. A gente deu uma credibilidade para IA gigantesca. Todo o serviço de IA passou a colocar. É uma inteligência artificial, pode cometer erros. Todo mundo já ouviu falar sobre alucinação. Isso. E mesmo assim o que a gente ainda vê de, mas o GPT falou tal coisa e às vezes o cara debatendo tecnicamente com você em cima do que o GPT falou, passou para ele. Pode até a informação técnica tá correta, mas tá faltando uma janela de contexto gigantesco sobre a instituição ou sobre o meio. Uhum. que a pessoa não tem a menor condição de saber que tinha que considerar aquilo. É, eu te dei

12:25 parabéns, Léo, falando de política, né? E aí Alessandro também de questão da do manual, né? Tem uma uma prática, né, Louro? A gente tem feito alguns trabalhos com algumas diversas instituições e empresas, que é um assessment que a gente faz para maturidade de IA a gente avalia isso normalmente em três dimensões, né, que é política, governança e o enforcement, né, que é auditoria. E é muito comum, cara, a gente se deparar, né, Louro até comentar também com a falta completa de política. Então assim, a muito da a gente enxerga, eu enxergo dois momentos distintos, né? Eu enxergo empresas que estão preocupadas em adotar ferramentas e processos e contratar terceiros, né, parceiros, para garantir o uso seguro de inteligência artificial na sua, no seu ecossistema, mas não se preparou, com o passo

13:18 anterior para política e governança. Então assim, você pode contratar a ferramenta que você quiser e a gente tem algumas que a gente oferece na nessa na oferta de IA, mas se você não tiver clareza daquilo que você pode, daquilo que você não pode, daquilo que é sensível, daquilo que não é sensível e criar essa metodologia, cara, não adianta, né? E aí, né, Louro? É, é, é uma é uma realidade que a gente tem visto, é o o que a gente vê muito é as corporações, normalmente ela tem aquela, aquela aquela IA já contratada, né, dentro do seu pacote lá de serviços, né, e ela tenta direcionar para que os o os seus colaboradores utilizem aquela aquela ferramenta, né? Mas é que ele falou, não, eles já estão usando outras e tem esse problema da pessoa não querer fazer essa essa migração por já estar

14:08 acostumada, né, com aquele com aquela outra ferramenta, aquele outro viés e e que como a gente viu em na maioria, todos eles, né, a gente tá tentando filtrar, tentando controlar, mas é trocar o período [?] do carro com ele andando, né? Então eu tenho um desafio muito grande em cima disso por falta de você ter podido planejar isso antes, né? Eu vou até entrar num contraste um você tá indo para para nós enquanto governo, você tá indo bem longe já, que é ah, o privado consegue contratar relativamente fácil. Sim. Bota um cartão corporativo na assinatura do LLM ali e faz alguma coisa. Agora para governo contratar uma ferramenta de IA não aí não, assim nós estamos, não é que é impossível, mas dentro dos normativos de contratação de TI que nós temos hoje e tudo mais sobre previsibilidade de consumo, se a gente começar a entrar em

15:04 consumo por API de token, já não tem, se você não tiver guardrail, governança, política é algo que é impossível. Não, mas mas é é o mensurável já é porque assim, o que que é um token? Não é uma pergunta consome isso, uma um fixo. Você pode ter tokenização de por dois algoritmos diferentes, de formas diferentes, apesar do custo ser por token. Ou você pode ter, dependendo da configuração do mesmo modelo, tokenização diferente pro mesmo uso. Para você conseguir quantificar isso, para você fazer um planejamento de uso de uma API, por exemplo, você tá enrolado. Então, a instituição tem dificuldade de conseguir prover IA [?] da instituição para poder fazer um enforcement, né, para tentar obrigar alguma coisa nesse sentido. Uhum. Uhum. E aí você vai controlar como o que o cara tá colocando, porque assim, não dá para imaginar mais certos fluxos de trabalhos sem o apoio.

16:01 E aí o cara contrata do bolso e até trazer um e não precisa ir longe, eu faço isso. Trazendo um ponto simples, não é só o governo não. Muitas empresas privadas sem dificuldade, porque as tecnologias nascem todos os dias, nascem novas tecnologias, mas não no formato corporativo, é no formato individual. Então, por exemplo, o CEO vai ter que comprar com cartão de crédito dele, mas aí ele compartilha o usuário dele, não é pra empresa. E aí você, como é que você coloca sua próprio modelo de negócio? A isso numa política. como é que você força seu usuário a utilizar com com marcando ali se você trabalha já para ele força vai ele utilizar o usuário dele. Então assim, o próprio modelo de negócio ele foi feito individual, por isso que eu falo que alguns provedores trazem ali em contrato que você até consegue direcionar numa política manual. Foi o que que a gente tomou de cautela, porque teoricamente a

16:56 gente viu grande parte hoje continua do mesmo formato, cartão de crédito, conta individual e meio individual. E o a dinâmica de mercado tá muito complexa. Então, por exemplo, pegando o caso recente, eu vi ontem a Anthropic anunciando a alteração do modelo de de cobrança deles, que vai passar a ser por crédito em vez de ser por token como era. Continua a tokenização por API, beleza? Mas aquela assinatura sua que você tem do serviço do Claude agora passa a ser uma assinatura que te concede o equivalente em crédito e você consome crédito. Créditos para consumir, exatamente, dentro do uso dos modelos e etc. E o mercado tá caminhando para isso, modelo só que o tempo de o tempo de adaptação para essa alteração que a Anthropic colocou, posso ter visto tarde demais já. Isso pode estar sendo anunciado há algum tempo. Uhum. Mas começa agora em julho, cara. Desculpa, começa agora 15 de junho.

17:47 É, mais conhecido como semana que vem. É, então assim, eles anunciaram no começo de junho para a partir do meio do intervalo do mês você na prática, né, cara? Você tem diversas coisas envolvidas aí. Primeiro que assim, tudo bem que você continua pagando o mesmo tanto e tal, mas mudou a dinâmica. Ah, mudou a dinâmica de toc [?] de cobrança. Perfeito, mudou. Mas o quão o algoritmo ali já tava preparado, por exemplo, para te dar respostas erradas ou ou parciais para que você continue consumindo? Não, não, mas não precisa nem longe, tá? o quanto que ele já tá tão ambientado no seu contexto que você não consegue mais sair porque você tem toda uma memória construída de projeto, de trabalho, de associação e e coloca aquilo. E aí veja, ah, é um risco financeiro, é um risco de segurança financeiro que você tem associado a isso, porque a hora que você assinar aquilo e você construir tudo isso lá, você sai como depois? É.

18:40 E aí a gente começa a voltar numa discussão muito parecida com a história do lock-in de de de nuvem. todo mundo, ah, não pode ter lock-in, não sei o quê e tal. Aí agora vai vou começar a ir pro mesmo caminho de IA quando é que você começa a ficar preso dentro da ferramenta de IA porque você já construiu tudo [?], né? É, eu brinco que assim, tem a IA, embora esteja no hype já há bastante tempo, assim, eu digo que o uso amplamente não tem um ano e pouco, anos. Uhum. né, que tá mais difundido, assim, vamos chamar, você tem uma uma cultura ali pelo próprio usuário mais forte, né? Eu brinco que para muitas companhias IA era super importante e agora ela é super cara a ponto de você reavaliar e falar o seguinte: "Não é tão importante assim". Então, essas questões de política, de modelo de negócio, isso é muito importante, né? Necessário até pro uso e aí seguro. Aí dentro de tudo isso, a gente amarra

19:37 no começo de volta e com o teu usuário vai usar. Exato. Teu usuário já tá lá conectado. E aí eu vou pegar um gancho da da tua fala pra próxima pergunta, que é o seguinte: o quão complexo é e aí de novo aqui o objetivo é pegar a experiência de vocês, lidar ou gerir um ambiente, um ecossistema, que é o que vocês têm hoje, onde o usuário pode usar quase que 100% o seu dispositivo pessoal. Então ele vai estar com o notebook dele, ele vai estar com o telefone dele e assim num ambiente corporativo 100% privado ali, vamos chamar assim, no ambiente corporativo mesmo, isso é mais controlado, né? máximo que você vai ter ali é o teu o teu funcionário usando o telefone dele pessoal na tua rede Wi-Fi que você segmentou lá para uma uma rede qualquer. Mas dentro da da realidade de vocês hoje, isso é 100% prático. Então o cara

20:29 vai estar ali com seu notebook, vai estar ali com com seu telefone, o quão desafiador isso é e pra gestão de segurança. Olha, sem briga para falar, hein? Vamos embora. Não, pro nosso caso, é uma coisa muito particular por conta de estudante. Então, até como a gente tava focando antes, né, existe uma lei hoje, por exemplo, para proibir uso de dispositivo eletrônico pro por aluno do ensino médio com restrições sobre a aplicação da lei. Então, já começa ali a ter um problema, né? Ou seja, ah, então tem que segurar o dispositivo do estudante quando ele entra na escola. Não, mas um professor tem direito pela lei de poder incorporar o uso do dispositivo no seu no seu processo de ensino, aprendizagem. Ou você pode ter situações de comunicação, ECA Digital, garantia de comunicação da da criança com a família, tem uma série de outros desafios associados.

21:24 Ou seja, ele vai ter acesso a algum tipo de dispositivo dele, mas no caso do instituto, a gente não é exclusivo do ensino médio. A gente tem ensino médio, tem o técnico integrado, mas tem as graduações e pós-graduações também. Sim. E esse cara pode levar o dispositivo dele e ele leva. Mesmo que o uso é igual o Thanos, né? Ele é inevitável. Então assim, tudo bem, ele pode estar no laboratório, às vezes tem aluno que puxa um o notebook dele junto com o computador que ele tá usando no laboratório por n razões ali. É menos uso meu Mac, pô. Não quero usar o não. O nosso público não é tanto do Mac, mas é uma questão de tem coisas que ele não pode fazer no notebook, no no no computador do laboratório que ele pode fazer o dele e aí se ele tem, enfim, por que não? Uhum. Então é é natural isso falando de notebook, né? falando de laptop, passou

22:15 para celular, acabou. Hoje é muito raro no estado de São Paulo alguém que não tem um dispositivo smartphone, pelo menos. E aí esse cara conecta na sua rede, porque nem sempre no caso do nosso público, que é mais os institutos foram criados para atender o pessoal com maior vulnerabilidade social, esse cara tem o o às vezes o acesso dele é pelo campus. Hum. É o único acesso até. É, então até uma é uma forma de inclusão que acaba sendo provida pelos institutos. E quem paga o MDM? O meu amigo faz pergunta difícil, né? Ô amigo, e aí eu a gente até brincou assim, se se a gente for tentar pegar por esse lado no eu di é é variável demais para que você consiga processar racionalmente tudo. Então melhor você volta aos

23:06 básicos, segmenta a rede, então a rede do a rede do estudante não conversa com a rede administrativa, você vai tentando pegar naquilo que você consegue. Quase que segregações físicas para garantir o negócio. segregação física de de de de você ter switch diferente. É, ela vai para uma segregação física. Não tem como você falar em não falar em VLAN pelo menos, sabe? Que é uma coisa mais e aí pelo firewall para você pelo menos acompanhar o monitoramento, né? Acompanhar essa troca de tráfego entre as VLANs para conseguir filtrar alguma coisa. Mas não se você tentar calcular todas as variáveis, todos os riscos, todos o caminho que eu vejo assim, pelo menos que a gente procura praticar é a segmentação lógica e segmentação física. Na segmentação

23:55 lógica, você tem uma rede específica para pro aluno, pro funcionário. Por que pro aluno e pro funcionário? independente de uma instituição de ensino, uma uma com um ambiente corporativo, ele tá num ambiente seguro, porque se não for no seu Wi-Fi, ele vai estar no do vizinho, ele vai estar no do amigo ou ele vai estar no 5G dele. Então assim, o nível ali de risco é muito maior. Então assim, é necessária a segmentação lógica numa rede específica ali para que seja utilizado pel aquele grupo. E infelizmente a gente volta ali pro pros primórdios, aonde você é obrigado a ter a segmentação do ambiente de rede. Então assim, olha, ambiente X não pode se conectar, ambiente Y não pode se conectar, cabo de rede não pode ser removido. Isso até mesmo para empresas, rack no alto, cadeado no rack, até para empresas a gente fala assim,

24:44 mas tem muitas empresas que a gente vai auditar que eu vou ali fazer trabalho de auditoria, você vai olhar na empresa, tá todo mundo com com um equipamento dele, da empresa tá do lado, então você não tem regra. A única que ele coisa que ele utiliza é uma de acessou. Então belo bom NAC, um simples NAC, sabe aquela segurança bem feita de segmentação? conectou na rede, não sou eu, vai para uma rede separadinha, você vai usar internet, vai utilizar o que você tem que acessar, mas uma forma controlada assim, e é o único modo hoje que você tem. Fora isso, se for pensar MDM, estruturas não existe, você não tem carro de dinheiro que se bate, não exato. É que só funciona quando você realmente

25:24 consegue ter algum controle, né? Então você você consegue liberar essa utilização de quando você de alguma forma controla essa utilização, até o próprio NAC para você ter, para você justificar o NAC, que aí é, não sei se eu já tô emendando com algum assunto futuro, mas assim, a percepção de ganho de segurança, ela é da nosso, pro pra instituição perceber que você tem um NAC e aquilo tá protegendo o seu pessoal, etc. Salto muito grande. E o NAC é pro administrativo, né? qualquer ambiente, qualquer empresa, a gente chama cowork, a gente fala educação, mas tem muito cowork. Isso é corporativo, cowork é aquele negócio, não é? É um projeto fácil de colocar para funcionar, tá? De maneira nenhuma livre. De maneira nenhuma. Cliente me pede NAC [?], eu falei: "Tem certeza que você precisa?" Não tô brincando, eu vendo. Mas é, é, mas é, cara,

26:13 não, mas é isso, vários casos disso, é, exige um nível de maturidade, de conhecimento, de inventário, de você saber o que que você tem, do que que você não tem. E é assim, poucas as empresas têm tem esse nível para fazer uma transição, uma implantação de qualidade assim, que que justifique o investimento, mesmo que não seja ali um uma visão de ROI ainda para pro board ou para pro conselho, mas ainda para justificar. Não, e fora que é o a o paradoxo segurança e acessibilidade, né? Qualquer mecanismo a mais que você coloca pro cara conseguir utilizar alguma coisa é um chororô. é a dificuldade que você tá criando para ele. A gente tem um, a gente começou a forçar MFA no uso de alguns serviços de terceiros institucionais que a gente provê, né? Eu tenho um,

27:04 talvez eu tenha um print até hoje, mas eu tenho um chamado via ouvidoria gov.br de reclamação que tinha colocado o MFA que prejudicou o acesso, que inviabilizou o acesso, que inviabilizou muito bom, né? Porque o cara porque a instituição não não fornece um um segundo dispositivo de acesso para eu poder fazer a verificação em duas etapas que tinha que ter um e assim vai. Eu tenho eu tenho isso, a gente recebeu, tive que responder da ouvidoria do gov.br que o cara mandou por que tava colocando benefícios e tal, mas assim um um testão xingando quando a gente colocou o MFA. É. É, então até pro próprio usuário, porque reforça aquela visão nossa do TI que que é o cara que atrapalha, é o cara que traz a burocracia pro negócio, né? Isso aí. Aí eu brinco que uma

27:55 das perguntas que a gente tem feito bastante nas interações que a gente tem com os clientes é é governança, né, política, né, estrutura, ela não pode ser o final do processo. Se ela for o final do processo, ela realmente é um obstáculo. Se ela for DNA, se ela for cultura, se ela for parte do processo, as coisas nascem naturalmente com com segurança, né? O problema é que às vezes, né, tô falando às vezes que eu tô sendo muito bonzinho, a a gente que é de segurança, a gente que é de TI, a gente que é de tecnologia, a gente só é envolvido no negócio quando ele tá nascendo. Então é basicamente você entender como é que a criança vai nascer, o que que é para descobrir o que que você pode fazer aí o que é possível de ser feito, não é o que é melhor para ser feito, né? E apesar de ser contraditório quando a gente fala de benchmarking, de framework de segurança, de tudo isso, é a grande realidade, né?

28:46 Quantas vezes TI, quantas vezes segurança é consultada para uma adoção de alguma ferramenta na empresa? É informado, ó, trocamos tal coisa, agora o aluno tem acesso a tal coisa, agora o portal do aluno funciona da seguinte forma. Então assim, isso é uma realidade. E aí eu faço aqui um um passo pra próxima pergunta. A gente tá muito acostumado a falar de shadow IT, né? E aí a gente no uso de IA a gente tem o conceito de shadow AI. Então, para eu queria entender para vocês como é que é essa visão de vocês hoje, se vocês de alguma forma tão preocupados com isso. E aí eu eu enxergo, eu, Victor, enxergo e nas consultorias que a gente dá e nos assessments que a gente faz um problema muito comum em relação ao shadow AI. E aí que o que foi que o Léo já já abordou aqui, ah, o usuário ele sempre vai tentar galgar o melhor

29:39 caminho para endereçar uma dor dele. Ou seja, porque ele adotou uma IA, seja porque ele faz uso especificamente para uma para uma coisa ou para outra. E a gente sabe que existem inúmeras de mercado que são muito boas em algumas coisas, outras são boas para outras coisas. Então, para mim, o shadow AI também tá muito ligado a nisso. Quando você não tem muito bem mapeado as dores que você busca endereçar com uso de IA na tua corporação, na tua instituição, na tua empresa, na maioria das vezes ela vai endereçar uma dor do usuário. Aí o usuário vai usar o que ele quer. Então assim, é ter essa percepção de que dores você quer resolver, de que a que demandas você quer endereçar com uso de IA normalmente, normalmente não é 100%, mas a gente consegue orientar e diminuir esse problema de shadow. Aí quando você não tem nenhum mapeamento,

30:30 não tem a preocupação de fazer um scan e como como o Alessandro tava comentando que fez, cara, como é que você vai travar isso? E é um problema a máxima assim básica da de segurança, de administração, é você não protege o que você não conhece, né? você não administra o que você não sabe que existe, não tem visibilidade. Então assim, eu queria entender para vocês hoje como é que é essa questão do shadow AI para vocês, se vocês enxergam obviamente isso como um obstáculo, como é que vocês têm feito de alguma forma para tentar mitigar esse

31:01 esse ou minimizar esse gap, né, e trazer essa experiência para vocês aí de vocês estão preocupados em entender essas dores que precisam ser endereçadas? Vocês fazem algum tipo de pesquisa com o usuário de vocês? Vocês já fizeram algum levantamento para esse tipo de coisa? Olha, eu acho a sua pergunta muito pertinente, porque assim, o que eu sinto em muitas empresas é falta de objetividade no projeto relação a IA e a IA virou a nova corrida do ouro. Sim. Aí toda empresa quer ter inovação. Então assim, você vai pegar comprar um cachorro quente pontei [?], você vai pegar um refrigerante pon [?], então ele se tornou uma obrigação de mercado e isso se tornou corporativo. Então assim, virou a guerra do ouro. Então todo mundo quer colocar IA, só que todo mundo quer colocar IA no projeto, todo mundo emite. Acho que recentemente soltou lá que 95% dos projetos de IA que eles têm com LLM falharam. Quantos milhões se gastaram? O Gartner

31:56 traz a mesma linha justamente por às vezes vou pegar o exemplo de vocês, a empresa não tem o processo mapeado, ela não conseguiria automatizar, mas ela quer usar a IA. E aí o que que ela acaba transferindo é esse sentimento pro usuário. E aí ele acaba utilizando o quê? O shadow dele, a IA dele, o bebê dele de estimação, porque ele ensinou a fazer o bolo, gente. Ele falou que remédio ele tinha que tomar. Ele não entendeu a letra do médico, como é que ele não vai me ajudar na empresa? Não. E o salto, o salto maior é, cara, ele faz receita de bolo, porque que ele não pode me ajudar no processo X, Y, Z. E aí o que acontece dentro desse contexto? Muitas vezes a empresa fala: "Olha, eu preciso que você automatize, eu faça esse processo ou o usuário traz aquilo". Quantas reuniões você, a gente passou trabalhar ali presencialmente em diversos lugares, você vê a pessoa com celular aberto, alguém tá

32:51 falando, ele tá consultando, não é mais o Google, é, não é mais você tava falando do da questão de ensino, você não vê um jovem com notebook na mão, é 99% celular, é smartphone, o tablet, dificilmente você vê sempre. E mesmo que você queira usar o Google, a primeira resposta é uma IA. Ele vai, mas porque a Google percebeu isso dois anos atrás, eles perceberam. Então assim, isso já faz parte. Então assim, qual que é o trabalho? A empresa precisa fazer a a conscientização, precisa fazer os manuais, mas o que eu percebo que funciona muito, uma segurança próxima, você buscar entender o que o usuário tá, não olhar o conteúdo, mas se você tiver uma ferramenta dentro da empresa que possibilite ver quais são as tecnologias são sendo utilizadas, a empresa tem alguma tecnologia definida? Tem, ela tá entre os cinco primeiros, não? Então você já viu que tudo que foi feito falhou.

33:45 Exato. Sim. Você não precisa ir longe. Então assim, é o trabalho de conscientização. É um trabalho muito difícil porque o pessoal de segurança já é conhecido como senhor do não. Fala com todo mundo, menos com o cara de segurança, porque a primeira resposta dele é não. Pelo contrário, é o que você falou, se a segurança nasce no final, a política nasce no final, o processo não nunca vai funcionar. Se você me pergunta antes, eu te direciono. Perfeito. Então assim, esse é o grande problema que eu vejo do shadow [?] porque assim, o que a gente tava comentando, né? O que que é uma ferramenta de IA? Por exemplo, Canva. Pode falar, pode, pode. Canva ele usa IA por trás, só que ele não é classificado como uma ferramenta de IA, ChatGPT. É, mas ele se conecta ao Canva. Então, olha a complexidade. Aí você tem uma área de marketing, você fala: "Eu preciso que você crie as campanhas." O que que ela faz? joga com essa, conecta

34:34 qualquer IA e já sai o Ele ou ele usou o Canva? Até na na classificação disso é difícil. E imagina pro mundo educacional que o mundo educacional é aberto. Ele tá ali para aprender, ele tá ali para conhecer tudo. Faz parte da provocação do dia a dia dele experimentar, né? Aí eu passo para você a dificuldade também. Ah, acho que a maior confusão que na verdade eu brinco que a maior jogada de marketing desse século até agora foi chamar de IA, foi chamar esse esse cálculo probabilístico de de essa esse cálculo probabilístico do próximo o próximo termo tá correto em relação aos anteriores de IA, porque isso vendeu uma ideia de um raciocínio e aí agora foi se criando em cima disso, né? Deep thinking, reasoning, começou a aparecer algumas coisas. para colocar, mas nada

35:24 mais é do que mecanismos para tentar tornar o próximo token mais correto em relação às outras possibilidades, considerando o contexto anterior de que tá colocado ali, né? Que eu brinco, você prompta, você pega na resposta porque o prompt tá na resposta, entra list [?], sai list [?]. Exatamente. Você você sabe o que o cara perguntou, que ele o cara o cara pediu pela IA vendo pelo output da IA. você não precisa nem ver o que o cara colocou, mas você entende o que que ele pediu ali pelo pela saída no prompt Mal feito. Mas eu tô comentando isso porque a gente começa a entrar numa numa seara do educacional que ele vai utilizar. Então assim, aí já é uma opinião muito particular minha. professor que começar a pensar em que, meu Deus, tem que bloquear, tem que proibir o uso, tem que

36:11 Ele tá enrascado, porque quanto mais avançado for este cálculo de probabilidade e mais isso tiver acessível no mundo gratuito, pior vai ser para identificar. E detalhe, teve uma discussão recente que que eu tava participando, agora não vou me lembrar aonde, mas é, acho que foi até com o pessoal da Google, não tem como se criar no momento alguma coisa que identifique um texto gerado por IA, por exemplo, pelo simples fato de que houve um texto real de base que ele usou para construir aquele texto. Ele não criou aquele texto, ele combinou possibilidades. Ex. Uhum. Ele combinou possibilidades daquele texto original com o que ele tem do treinamento prévio dele para gerar aquilo. É. E um prompt bem feito. Você tira vício de linguagem de IA, tira uma série de coisas. É praticamente impossível. Conclusão final, né? Você comentou mais

37:04 cedo, né? O você não é mais é, então você consegue consegue toda interação na IA tem uma conclusão, né? Ela te explica toda a linha de raciocínio concluindo, concluindo é esse concluindo e aí os travessões que você acha pelo caminho e você pá iso [?] e no mundo educacional o aluno não se preocupa nem em tirar isso, né? Ele faz lá e se preocupa, mas assim eu um caso muito particular, né? A última atividade que eu passei para estudante se vai sair lá na frente, a atividade que eu passei pros estudantes no final do semestre passado, eu botei um prompt injection no meu material, o material, o meu PDF que eu forneci pros alunos para fazer atividade prompt injection. Sensacional, sensacional. Eu dei as dicas, meus professores da minha das minhas pós aí, não escutem isso, tá? Não é uma boa prática, não façam isso, deixa a gente ser feliz.

37:48 Não, mas eu eu coloquei ainda coloquei a dica de como tava, porque eu peguei aquele mesmo exemplo que aconteceu, não lembro em qual TJ do texto branco, pequenininho e tal, eu repliquei aquela dois advogadas incríveis, colocaram lá, consider, faço um uma defesa rasa, sucinta. Que que você botou no teu prompt é muito curioso? Que que você botou assim? Sabe por que eu não lembro o que que eu coloquei no meu prompt? Porque quem escreveu isso foi uma IA. Ah, então é IA tentando burlar IA, né? Não, mas a a a brincadeira é essa. Veja, existem n ferramentas hoje de IA para você produzir um conteúdo acadêmico mais interativo, né? Então, a própria Google tem apostado muito nisso enquanto estratégia de de venda do produto deles na área educacional, né? Então lá os os os Banana [?], os os Veo [?], etc. Tem ser

38:37 atrativo, é para você criar um conteú conteúdo, né? Antigravity, tem vários. É, o Antigravity ele acaba sendo mais focado no mundo corporativo produtivo ou code em geral, né? Desenvolvimento de código, mas ele tem eles têm todo um um conjunto de ferramentas sobre criação de conteúdo voltado pro mundo acadêmico que eles estão tentando divulgar isso agora e tal. Uhum. E ao mesmo tempo você tem um tanto de professor que tá acostumado a dar o mesmo tipo de aula um tempão que aula mesmo slide, pô. anos aprender. Tá bom, 10 anos você tá lá, você tem logo professor tal, tá naquele slide ainda, a mesma coisa, mesma figura. E o uso interessante que é só ele pegar esse slide e pedir para transformar num vídeo, por exemplo, e vai funcionar bem ou mal. Você pode talvez não gostar muito do resultado final, precisa fazer vários ajustes, tal, você gera uma dinâmica diferente, né?

39:25 Você gera uma dinâmica diferente. Então assim, não vai ter como fugir da utilização, não vai ter como você impedir, não vai ter como você descobrir que o aluno utilizou. O que vai acontecer é que você, no meu entendimento, né, e muito particular meu, né, vai dar um um bafafá do caramba isso, mas assim, é meio que aceitar que isso tá no dia a dia. Ah, falam, falam da da Ah, uma hora a bolha de IA vai estourar, que tá todo mundo ansioso para ver estouro da bolha, que as empresas já começaram a falar que agora estão gastando mais com IA do que gastava com funcionário, mas casa muito com o que você tava comentando. o o dado dos 95% de projetos mal sucedidos quando fizeram um pouquinho de drill down em cima disso, não tinha escopo definido do por tava usando aqui. E aí eu só vou amarrar com o que eu queria falar no começo sobre é uma

40:20 ferramenta. Se você usar martelo para apertar parafuso vai funcionar. E como vocês vai ficar um bom é assim aquela velha, né? Se você não sabe o que quer, qualquer coisa serve. Isso. E assim, eu uso para pra um pouco diferente. O meu hack é o seguinte, você vai perguntar pra IA e você vai me falar. Não é isso? Já é obrigatório da política. Porque assim, eu quero que você converse com ela. Isso. Os próximos profissões serão tratados dessa forma. Entenda, abra as três principais que você adotou, converse com elas, compare resultado. E aí você me aí a discussão é, vocês confiariam no que ela trouxe para vocês? Porque aí você vai fazer a pessoa sair da inerência na mesma resposta, é a mesma resposta. Chegaram a conclusões

41:10 parecidas. É porque assim, teve um trabalho que eu falei: "Olha, façam uma conclusão do trabalho e pergunte para as IAs [?]. Os três LLMs trouxeram, pede para ele pegar a referência bibliográfica". Todos trouxeram. pergunta se os livros existem. Hum. Duas não existiam. Ele criou. Falei sobre isso. Então assim, o que a gente tá falando que é IA agora, velho para caramba, colocaram uma cápsula muito bonita, é um meu avançadíssimo e ele traz essa visão. Então assim, é transferir novamente pro ser humano a responsabilidade, porque quando você fala pro aluno, pergunta para ele, agora me responde, você vai falar para mim o que ele falou? Você obrigou ele a ler. Perfeito. Você obrigou ele a ler porque assim, senão ele faz o contrário. Ele vai fazer eu ler o prompt dele. Não, pelo menos você vai ler seu prompt.

41:58 Você lê seu prompt. Você tem certeza? Pensa que amanhã eu vou ser o seu empregador. Não, calma aí. Então tá bom, perfeito. Já consegui plantar a sementinha para que ele busque ali o diferencial dele. E aí ele tira a dúvida, pega os três principais e busca você. Vê se você acredita na mentira que elas vão de contar. A brincadeira do prompt injection não é para ele não utilizar. Na verdade, eu vou descobrir se utilizou ou não, porque o injection resulta nisso. Ele bota uma entrada num dos É isso que eu imaginei. Você bota uma flagzinha ali que você pega num dos códigos de saída, se aparecer a palavra, ele gerou aquilo. Mas o meu ponto não era nem dele gerar o código ou não. A ideia do prompt injection era como um desafio para encontrar onde é que tá colocado, porque eu deixei claro que

42:40 tinha várias pegadinhas ao longo do exercício. Então, uma das coisas que eu coloquei além do prompt injection não foi um erro um erro conceitual no sentido de ah, tá errado, mas o manual da ferramenta dita uma boa prática. O a recomendação que tá na atividade é diferente do que tá no manual, porque o que eu quero saber é se obedeceram o que eu falei sobre consultar a documentação original da ferramenta. Então, faz parte do processo de forçar ele a interagir com o material, não pelo uso em si, em si ou não, porque gerar o código hoje para esse tipo ah atividade acadêmica de graduação, gerar código para esse tipo de coisa hoje é trivial. até a parte de referência,

43:30 ele já tá já tá chegando num nível de validação, se o que ele se aquele nome que ele gerou ali existe ou não. Se você acompanhar os reasonings de modelos Jeffert [?] um pouquinho mais alto e tudo mais, se aparece uma citação, mas esse autor não tá na minha base de treinamento, por que que eu tô citando? Ah, esse autor não existe. Na verdade é esse aqui. Ah, aquele lá existe. Então, parte do ela ela ele já tem feito modelos para ir corrigindo isso, porque o grande problema virou essa coisa da alucinação. Então, tá tendo um esforço muito grande de tentar criar mecanismos para reduzir essa essa incidência de alucinações. E aí a tendência daqui pra frente que eu entendo é cada vez menos isso ser recorrente. Não sei

44:18 se a gente chega num momento em que eles vão ter coragem de falar: "Não, isso aqui não erra mais". Acho que não. Acho que não vai chegar tão longe. Uma coisa que eu falo bastante é quando a gente tá falando desse shadow AI, desse uso e tal, o usuário ele sempre vai achar um caminho. Isso aí é é inevitável. Resta saber se esse caminho ou se essas possibilidades de caminho ah permitem a visibilidade do time de segurança. É isso que você tem que fazer. O o que eu tiro de tudo que vocês estão falando aqui, ô Léo e Alessandro, é exatamente isso, né? Vocês estão num ambiente, num ecossistema que ele, por natureza, ele é provocativo. Ele por natureza ele força a experimentação. É diferente de um ambiente 100% corporativo que você tem uma uma uma IA homologada e cara,

45:03 meu, você tem que usar essa. Por que que eu tenho que usar essa? Mas eu tô fazendo tal coisa, tal IA é melhor. Então você tem e é de forma até lúdica, uma inspiração para que as pessoas experimentem. É como é que você se prepara enquanto tecnologia, enquanto segurança para que esse caminho inevitável da experimentação seja visível para eu quero amarrar tudo isso em cima disso. Assim, não vai ser, não vai não. Não se iluda. Não, não, você não vai conseguir. Talvez você tenha alguma ferramenta que uma P de X tem [?]. Quais são? Não tem o o maior zero-day, o maior zero-day que tem hoje, hoje em dia, acho é a próxima próxima startup de IA que vai surgir. É porque você não sabe como é que vai ser o domínio, você não sabe o que que ele

45:46 vai colocar, você não sabe o que que vai vincular. E no fundo assim, ah, o que que a gente pode fazer para impedir que um dado de aluno vá parar numa IA? Cara, você pode pensar n coisas, todos eles vão ser caríssimos, porque isso é tecnologia de ponta. E o dado não é mais seu. E pronto. Então assim, ah, o vazamento de dado no final, quem vai resolver vazamento de dado para IA não vai ser a gente prevenindo, vai ser a IA que não quer sair na notícia como a IA que vazou dado de uma de uma instituição. Não quer dizer que ela não vá utilizar aquilo internamente de alguma forma. São aspectos são aspectos diferentes. Aí você me você me remete a uma pergunta que eu vou fazer agora. P tava lendo meu roteiro aqui. Todo toda a organização guarda dados de

46:37 pessoas que não escolheram tá ali. Quando esse dado vaza, o impacto ele não é só financeiro nem humano, ele é reputacional. Vocês concordam plenamente com isso? 100% parcialmente. Eu tenho uma visão que assim, o dado é seu, é uma pergunta que eu faço. O dado não é mais nosso. Você encontra ele em tudo quanto é lugar. e muitas vezes fornecido por nós mesmos. Então assim, o nosso dado o nosso dado, por exemplo, ele tá num canal, ele tá numa rede social, ele tá num comentário de um post, tudo isso ele vira uma telemetria, alimenta alguém, que a gente às vezes fala vazamento de dado aconteceu isso e aquilo, aquilo, aí você vai ver, poxa, mas eu nunca forneci meus dados assim é que você a gente tem um costume, o ser humano de não ler aonde ele

47:26 fornece ou com quem ele compartilha. Então assim, eu vejo que assim os dados cada vez mais a gente tem uma cautela com ele, mas a gente não se preocupa para onde a gente fornece ele e cada vez mais a indústria obriga a gente. Então, por exemplo, eu sou diabético, hum, eu vou na farmácia, vou comprar uma insulina, eu não quero fornecer meu CPF, mas para eu conseguir o desconto, eu preciso do CPF para entrar no Ou seja, que esse cadastro vai para quem, entendeu? A loucura que a gente no no momento que a gente chega, não, não vou fornecer meu dado. Ou melhor, né? Você quer coletar CPF, fica na fila da farmácia, Quer, eu ia chegar nisso, entendeu? Água, comprar uma água não é uma crítica Nota Fiscal Paulista, não é, não é, não é nessa linha. Eu nunca forneci meus dados. Vamos voltar

48:15 uma semana, quantas vezes você foi no mercado e entregou seu CPF no caixa pra Nota Fiscal Paulista? Ah, mas a Nota Fiscal Paulista tem que guardar com segurança, LGPD e tudo mais. Ah, apesar que CPF no Brasil hoje para mim já é dado público, porque concordo, tá? Os especialistas vão discordar da gente, mas é na prática. Vamos, vamos, vamos lá. Vazou, vazou. Resgataram os 200 milhões de CPFs, inclusive de gente morta já, etc. Não tem 20 dias. Voltou esse essa massa de dados de novo a ser vendida na Deep Web. Os caras faz promoção, né? Cada seis meses, um ano, eles anunciam num fórum diferente essa base de dados que tá ali. Celular,

49:02 um exemplo muito muito simples. Aí eu vou evitar citar os nomes porque não tá vinculado a ao marketplace em si. Mas eu fiz uma compra, uma compra internacional, recebi o aviso pelo site um pouquinho antes que tinha feito a importação, que ia entregar no dia seguinte. No mesmo dia, eu também recebi um SMS com o meu código de compra correto do site no meu celular, no WhatsApp. Não foi, não foi nem no, não foi nem no SMS, desculpa. Foi no WhatsApp o número do pedido, correto, endereço, telefone, porque entrou em contato comigo, tudo atualizadinho pedindo para eu pagar o boletinho da importação. Pera aí, onde é que isso vazou? Quem é o responsável por isso? Por que lado

49:56 vazou? Só para você investigar isso. Sim. Já é uma cadeia, meu amigo. Se só para abrir um só para abrir um protocolo na ouvidoria, meu irmão. E você vai reclamar onde? No marketplace. Mas o marketplace terceiriza a entrega. Ah, então foi a empresa de logística. Ah, então foi a empresa de logística. Mas a empresa de logística terceiriza o sistema. Ah, mas é o sistema, o problema tá onde? No desenvolvimento, no que tá na web? No que tá? Aonde é que tá vazando isso? Eu não sei, mas tá vazando. E aí, vamos ser sincero. Se eu, enquanto cidadão, for começar a esquentar a cabeça com isso, pô, mas o cara tem meu dado, que que eu faço com isso agora? Você não vive mais. E assim,

50:38 quanto mais digital a gente tiver, mais isso vai acontecer. Agora, o ECA Digital sobre a questão dos 18 anos e tudo mais, não é uma questão de se tá correto ou não, mas nós estamos criando bancos de dados centralizados com toda a sua biometria facial e reconhecimento de documento da sua da sua identidade. É um rastro digital, né? A sua identidade tá lá guardada. Ah, mas esse cara tem que ter um dever por causa da LGPD. Tem tem. E se acontecer alguma coisa, ele quebra e o seu dado já vazou. A sua identidade já vazou, o seu reconhecimento facial já vazou. Sim. O seu, ah, o CPF aqui já virou detalhe, porque você assina contrato, você assina contrato do banco como reconhecimento facial. Então, mas

51:26 pegando até um gancho, pega indo pra linha do, você falou da Deep Web, a gente vai pra Dark Web. Se você acessar dark web e você compra a carne humana. Isso. Você seleciona ainda vai marcando lá pegamos os melhores necrotérios, médicos credenciados, dado pessoas. Você fala: "Isso é impossível. Isso é brincadeira." Não fala com o vinheteiro que ele vai querer comer comprar carne de anão. Não sei se alguém me explicou. Desculpa, perdão, não consegui me controlar. Então você consegue comprar dados? Então ele ele virou uma moeda de troca. Então, por exemplo, antigamente a gente tinha a questão relacionada, onde eu compro uma base de dados. Hoje você tem um FraudGPT, que é um canal do Telegram, que você vai lá, põe alguns bitcoins, faz uma assinatura, consegue o tipo de golpe que você quer, você escolhe, é o golpe a CFIS [?], você escolhe o que você quer,

52:15 escolhe a base, ele faz para você, tá pronto, tá na mão do atacante. Então assim, por isso que eu perguntei qual dado que ainda é nosso, porque você liga no a menina do banco te liga, eu vou te passar, me fala só os últimos três CPFs, os três números do seu CPF. O cara do golpe te liga, me fala os três números do seu CPF. Aí você fala: "Deixa eu olhar no meu documento que eu não lembro os três números". Ou seja, eles sabem mais do que a gente. Então assim, hoje em dia os dados se tornaram tão volátil a forma que ele foi tratado ao longo do tempo por muitas empresas que era um negócio, né? Tem entrar as leis voltadas à privacidade. O dado era negócio. O cara vendia o que você gostava, o que não gostava, onde você andou, o que você não fez. Hoje você tem que ir lá dar

52:58 consentimento, não tá tá, mas continua tendo um mercado para isso totalmente negro e aberto. Sim. É perfeito. Eu faço aqui uma uma uma outra reflexão de uma frase aí, eu queria que vocês comentassem, tá? 55% dos CISOs já apontaram ataques habilitados por IA como ameaça prioritária, onde phishing já era o vetor mais comum, a IA tornou o ataque mais convincente, mais barato e mais difícil de detectar. Eu fui numa apresentação de um fabricante que ele trazia uma um recorte muito interessante que um e um CISO ele fica no máximo 1.6 meses no vocês devem saber qual fabricante eu tô falando. E é totalmente é verdade. Quando o CISO ele entra dentro do de uma empresa, é assim, a dificuldade não é muitas vezes não é traduzir pro board. Uhum. E dependendo da do manejo, ele vai

53:58 conseguir fazer. Muitas vezes é que aquilo tá na cultura da empresa, quitando na cultura da tá na cultura da população. Sim. E aí o que acontece? Você praticamente não muda. É o que eu te falei do adotar. Então assim, você imagina hoje pensando com pentest, tá? Pentest que a gente faz que você demorava para fazer ali um dois dias para fazer a pesquisa. com três prompts ele sai pronto. Trazer um dado para você. Eu fui fazer uma auditoria para uma empresa. A empresa falou: "Olha, eu vendo serviços de segurança, o que a gente queria auditar". Perfeito. Combinei o phishing. Falei: "Olha, eu preciso de um um exemplo. Eles me deram exemplo, tratamos no prompt. O que antes era feito ali demorava Uhum meu 10 minutos. Combinamos o jogo. Quem pode receber? Legal. 70% da empresa clicou. Ou seja, tão próximo daquilo que ele se

54:54 tornou da realidade, feito por uma IA. A gente tava até conversando. É porque quando aí saiu na rádio peão, aí da rádio peão, aí já ninguém mais clicava, mas se caiu, ia cair todo mundo. Sim. Por quê? Depende de quem vem, para quem vem e como vem. Ainda é a mesma cultura. Se eu mandou um e-mail. Aí eu tava brincando com o cara, quanto tempo você tá na empresa? Tá, quantos e-mail você recebeu dele? Nunca. E ele ia mandar um e-mail para você, seu bilhete da sorte, entendeu? Isso acontece. Não, mas é e assim a gente tentar cobrar que o cara perceba esse tipo de coisa, cara. Não, não. Às vezes isso vai no psicológico da pessoa, vai na personalidade dela. Tem várias maneiras de você colocar

55:44 é o que é real, né? Vamos, vamos, vamos real hoje com a IA. Acho que o maior risco da IA, ela levou a gente para a condição de perguntar o que é real, esse podcast tá acontecendo ou são quatro avatares, né? Como é que eu vou verificar? Você vai ter uma IA para avaliar isso. É, teve. É, aí já teve deepfake que o CEO caiu porque liberou o crédito porque ele entrou na reunião e só tinha ele de pessoa. Esses dias eu fiz um uma simulação com software chinês de deepfake entrando numa reunião com a câmera reversa. Eu entrava com a minha imagem numa câmera com do Elon Musk na outra. Isso. Na mesma reunião. Aham. E aí conversando com o pessoal, falei: "Olha, como é que você percebe que isso é real?" No meu caso, fácil. Recurso, máquina, cenário. Eu falei: "E se eu trabalhar isso? Se eu tiver conversando com ele, pegar o podcast dele, colocar para treinar minha IA".

56:34 E aí eu entro na reunião abrindo um podcast como se fosse ele ou fechando um contrato. Não, parte de engenharia social, por exemplo, hoje quantas ligações você não recebe que são só para captar sua voz, por exemplo, para serem utilizadas em golpes? Então assim, são situações que de fato é dificultam muito, né, a gente poder trabalhar. Esse esse cenário do uso da IA ofensivamente, ela é para cada e para enfim, você pode usar o martelo para assaltar alguém, vai tá sempre relacionado a esse tipo de situação. O potencial é a jaqueta na mão, você assalta porque a pessoa não vai, qual que é o risco? Ele tá armado, ele não tá armado isso aí. Exatamente. Então assim, e e o o o risco potencial relacionado é muito grande. Não tem quando muito quando se se o cara mirar para fazer na tua instituição,

57:24 usar uma IA para fazer um scraping do seu site, puxar notícia recente, puxar informação recente, pegar uma alteração que tá rolando, jogar em cima daquilo. Se o cara quiser sentar, trabalhar e colocar aquilo para fazer contro, não tem assim aonde você defender. treinamento vai resolver, vai em algum nível, mas se realmente assim o o cara for esforçado, ele se dedicar a fazer para pro teu ambiente, vai rolar. E sabe diferencial? Por exemplo, vocês trabalham como empresa prestadora de serviço de segurança, a gente trabalha ali como consultor, trabalha em empresas. O nosso diferencial pro atacante, pro criminoso, é que a gente tem que seguir regras. Eu tenho que seguir o NIST, a ISO, o CIS. Eu tenho que bater na mesa de alguém e falar: "Olha, por favor, eu posso ativar tal

58:15 controle de segurança?" O atacante, ele tá lá passeando na praça, ele portinha aberta, eu entrei. Isso. Simplesmente isso. Ele não tem regra, ele não tem horário, ele não tem, ele quer o que tá mais fácil para ele. É, a gente já falou isso no podcast, deve ter visto que é que é assim, o atacante ele só precisa acertar uma vez, né? Você tem que defender todas elas. Não. E eu ia cair. E aí ele sem a pressão nenhuma, ele tá ali no tempo dele. É o máximo. É o máximo. É isso que ele consegue amarrar. Eu ia amarrar em cima disso. No final o que que vai te proteger? O de sempre. Camada. Quanto mais difícil for fazer em você, ele vai para outro. Ele vai pro mais fácil. Ele vai mais fácil. É o assalto na rua. O cara não vai te O cara não vai

58:56 assaltar você que tá prestando atenção, tá vendo o que tá acontecendo, tá ligado? A chance de você ofertar algum tipo de Não, ele vai no cara que tá de fone de ouvido, olhando pro céu, maravilhado com o negócio, catar, tomar o celular dele e sair correndo. É. E no anuário de segurança, ele ganhou o celular do mesmo jeito do de crime que sai todo ano. Ele traz, né, o aumento do número de celular versus os crimes que estão acontecendo em São Paulo. Aí você vai olhando qual que é a máxima hoje? Vou passear com o cachorro, deixa o celular. Aí você fala: "Leva a aliança, porque se levar o cachorro não volta para casa, né? Então tem que levar a aliança. Aliança negocia. O cachorro é coisa pro ladrão. Você tem que ter alguma coisa, sabe? Aquele segundo celular com aplicativo com com medo da sua vida, porque você

59:37 sabe que o cara vai pedir e ele vai e aquele momento é você que vai fazer a sua análise de risco. A gente tá caindo por um condicional. Isso em qualquer lugar. A pessoa às vezes fala: "Não, no Brasil não, olha lá outros países da Europa, o que acontece é igual, não muda pocket [?]". Exatamente. E aí vou vou amarrar aqui numa pergunta que na verdade vou fazer duas perguntas numa só. Primeiro, assim, para quem tá construindo a expertise em IA, tá aplicando isso à segurança defensiva, né? O que que mudou de fato? O que que vocês enxergam que isso transforma o jogo quando a gente fala de SOC, né? Quando a gente fala dessa capacidade de detecção e de resposta, com a a chegada mesmo do da IA. E aí eu queria que vocês fizessem um corte daquilo que vocês entendem que é a prática hoje, que é a realidade, ou seja, aquilo que já tá

1:00:21 acontecendo, o uso da IA e nesse universo de detecção legal, tá chegando para ajudar, é necessário, né? E daquilo que ainda é promessa, fala-se muito disso. E não sei quem foi que tava na RSAC [?], era foi você, Alessandro, que foi, quanto você já ou quanto você ouviu de de de IA lá, né? 99%. Então, todo fabricante faz IA, todo mundo faz IA. O que que de fato é prático? o que que de fato ainda é promessa, o que que é etéreo ainda é abstrato e o que que vocês enxergam como uma nova realidade ou uma nova expertise que um SOC hoje precisa ter com essa visão de futuro, com o uso de IA. Olha, eu te falo porque eu faço a gestão também de um SOC e assim o ataque ele

1:01:05 automatizou, o ataque é feito por IA, a defesa é feita por humano. Então assim, por mais que você coloque 50 ferramentas correlacionando para que ela tenha um comportamental, é humano, muitas vezes que analisa, enfim, isso tem que ser feito por IA. Muitas vezes não é um LLM, às vezes é um deep learning [?], às vezes é, sabe que muitas empresas elas tentam vender, olha, eu tenho IA dentro da minha ferramenta, mas aí você se conecta e assim uma coisa que eu faço muito é teste. Legal, eu vou te testar de madrugada, no horário que você tiver dormindo, no horário que você não esperar. E assim, 90% das vezes os testes são efetivos. O ataque acontece, alguém não viu, sempre uma desculpa, por condiciona ainda pro ser humano. Então o o pessoal fala: "Não é o SOC do futuro, não é o SOC de hoje, precisa usar IA já na primeira

1:01:58 camada, no correlacionamento e aí sim dar a direção pro analista poder tomar uma decisão em um segundo momento, porque senão, meu amigo, o cara vai entrar, vai sair, não teve tempo." Eu fiz um simulado com o WannaCry e com o LockBit. O LockBit 4 na criptografia de máquina é microssegundos, não é segundos. Antes de você piscar três ele, ele já criptografou. E quando ele acaba de criptografar, ele autoapaga o arquivo, deixando um um executável em branco. Até pro forense dificulta. Como é que você pega isso se não for numa ferramenta automatizada ou se não for com IA [?]? Você não pega, você só vai descobrir que você tá sem acesso. É, você vai descobrir que aconteceu. Não é dois, três dias depois quando alguém concluiu uma análise bateu aí. É isso

1:02:49 que você falou, ela é bem bem pertinente. O o ISG trata isso como next generation SOC, né? Uhum. Trazendo aí a a que ele fez pro Fel [?] também, né? E a Vortex tá lá no no líder do quadrante, que ainda vai ser publicado, mas como se podcast sair daqui a três meses já vai ter publicado, não tem problema falar. três vezes. E é exatamente isso. A gente que que a gente faz hoje, né? A gente trata o SOC como convergente, né? Não é um SOC que tá preocupado a correlacionar pura e simplesmente eventos. é um SOC que tá preocupado em olhar camadas distintas, realidades de negócio distintas, aí sim trazer um contexto de negócio correlacionando isso, mas com uso efetivo de IA para esse enriquecimento e essa correlação. Gente, é uma besteira ou desculpa o termo burrice, você querer comparar a capacidade de correlação de

1:03:44 uma IA com a capacidade de uma correlação de um ser humano. assim, não não existe fundamento para esse comparativo. Então, se você não tá usando IA como a gente usa hoje nessa camada inicial de correlacionar, de entender comportamentos, que você falou, Alessandro, é é extremamente verdade. O ataque ele não acontece numa camada só, ele acontece em múltiplas camadas. Então, você tá esperando o quê? logs distintos de lugares distintos para você correlacionar isso, mas correlacionar baseado com que inteligência você construiu esse esse caso de uso de detecção, né? Eu tava numa reunião com um cliente aqui em São Paulo de uma grande de rede de saúde que ele falou: "Cara, como é que você constrói teu caso de uso? Como é que você me garante?" Falei: "Bicho, a resposta para isso é: aconteceu uma vez, eu tenho histórico, eu vou construir ele". Cara, parabéns. Ninguém nunca teve a coragem de me responder isso, porque todo mundo acha

1:04:38 que caso de uso sai da do do da cartola mágica. É, sabe? Não é desse jeito. A IA tem a capacidade de encurtar o caminho. Tem a capacidade de encurtar esse caminho. Ela vai correlacionar coisas que você demoraria algum tempo para poder entender movimentos. Então assim, é é isso que a gente faz quando a gente fala de SOC convergente, quando a gente fala da capacidade que a gente tem hoje de enxergar o mundo corporativo, do mundo de IT ou de OT [?], num mundo de uso de IA até para interagir nos prompts ali, nos guardrails e tudo, é trazer esse contexto aplicando análise a ele e aí sim correlacionar isso para que você tenha um tempo de reação menor, né? tem um estudo, eu não vou lembrar exatamente qual foi o fabricante, que ele ele correlaciona o tempo de ataque com o tempo de defesa usando a mesma IA,

1:05:25 tá? O tempo de ataque era em média 8 minutos para você conseguir ali uma brecha e entrar num ambiente. E usando a mesma IA para defender era de 14 minutos. Então veja que usando a mesma IA, partindo-se do princípio que você tá fazendo ações diferentes, uma de ataque, uma de defesa, usando a mesma, você tem já um gap absurdo. Eu gasto oito para conseguir invadir e gasto 14 para conseguir impedir. Então assim, só eu já saio atrás. Então se você não tiver a IA usando IA, é usando usando IA, imagina nem é o IA. Certo? Agora, se eu se eu trago isso para uma realidade, onde além do uso de IA eu trago esse contexto de correlação, eu trago esse contexto de negócio, eu trago esse contexto de comportamento, não olhando somente pro meu ambiente, mas cara, olhando para a MITRE, olhando para uma série de coisas que você, cara, faz sentido essa movimentação é é padrão

1:06:18 e para esse de ataque dentro do meu segmento, não é? Opa, já tem uma flag aqui levantada. E e e apesar disso parecer básico, não é realidade, não. Mas é é o que eu comentei do uso de o uso corrente da ferramenta. O que a IA faz muito bem é reconhecer padrão. Perfeito. Então se você tem um um case construído, o padrão é aquele, ela vai fazer essa associação muito rápido, mas ou no mínimo te te levantar uma red flag de olha só, é tá, esse padrão aqui não é conhecido, mas essa red flag tem que ser analisada por IA. Perfeito. Isso. E outra coisa que eu trago, você precisa conhecer as joias da sua coroa. Ah, perfeito. Porque muitas vezes a pessoa não sabe quem são os usuários do IP, não sabe o comportamental e ele acha que a IA vai resolver. Então assim, a gente fez, eu

1:07:02 fiz um simulado um tempo atrás e dentro do simulado eu falei: "Olha, a gente tem uns ABICS [?], jogo o log dos ABICS [?] pro Telegram". Aí eu olhava no Telegram, a gente diminuiu o tempo de uma ferramenta para outra ali, de 3 horas de observabilidade e programa relacionado. Falei: "Cara, mas aquele é perdido 50.000 mensagens". Transformei aquilo num banco de dados. Do banco de dados fui para uma IA e da IA fui pro machine learning. Falei: "Ó, me dá previsibilidade dos próximos 4 meses. O que que para?" Tá, tá, tá, tá. Isso maravilhoso. Os próximos quatro meses, os quatro de sete equipamentos, quatro pararam. Foi até um projeto que eu apresentei no no BSides, que eu fiz uma uma palestra lá falando assim, o uso do machine learning para quem trabalha com previsibilidade de segurança, para

1:07:48 quem tem comportamental, é muito importante, principalmente você precisa conhecer o seu ambiente, porque não é o parceiro de tecnologia, numa empresa prestadora que vai fazer milagre, ele vai chegar lá e um ponto bem observado por você, já aconteceu? Não, então a gente vai aprender juntos. Só vou conseguir te dar uma resposta quando acontecer, porque assim, instalando um agente, ele já traz 100, 2000 posturas e padrões. O atacante, o atacante que realmente quer o seu negócio, é isso. Ele tá te esperando, ele tem tempo. Então ele vai bater uma vez na portinha, ele vai sair, ele vai ligar uma vez, ele não vai atender, ele vai mandar uma carta, não vai receber e ele vai ficar tentando. E naquele momento que você

1:08:30 cochilou, ele tá lá acordado para poder entrar. É, e veja, o ataque, ele tem que ser o ataque, nesse nível que a gente tá falando, ele é necessariamente personalizado. Exato. Ele é direcionado. Os ataques hoje são direcionados. Ele é necessariamente personalizado, porque o playbook em geral de ataque, ele funciona no no no genérica. É, se você tem o básico de segurança feito, o playbook 90% das vezes já não vai encaixar. se encaixou. O problema, o te problema o teu problema era anterior, já é um um pedaço anterior ali que já tá, tá, se playbook já tá que funcionou, já é um um passo antes que tá que tá errado. Ele vai desenhar aquilo em cima daquilo que ele conseguir encontrar do seu ambiente específico. Então ele vai ficar, como você falou, ele vai ficar

1:09:14 batendo coisinhas diferentes. Como que era o o eu tô tentando lembrar o ataque do TJ quando decidiram centralizar as eleições no STJ [?]. Foi por causa disso. Fazia seis meses que a galera tava rodando dentro de um dos dos TJs estaduais, do TJ não, do do ST, dos tribunais eleitorais. que depois virou todo aquele rolo de de se questionar e etc, mas trouxeram e centralizaram o processamento por causa disso no dos dos STE [?], né, num dos dos tribunais eleitorais, agora não me lembro de qual estado, o cara tava rodando ali a seis meses quando ele finalmente tomou uma ação. você não consegue ter visibilidade do que tá acontecendo no seu ambiente e não

1:10:00 consegue correlacionar evento. E aí veja, você pode ter um cara, um ser humano colocado acompanhando todos os os eventos. Ô, teve uma tentativa na porta X, teve uma ligação na para ele conseguir ter memória de tudo que tá acontecendo na vida dele, mais correlacionar um evento que aconteceu no mês, um evento que aconteceu no mês, ele precisa atender a mãe, ele vai fazer alguma coisa. Agora você cata um histórico de log desse, joga na mão de mania [?], processa texto extremamente, vai descobrir onde ele passou, quando ele voltou e o que aconteceu. Dado legal para corroborar com o que você tá falando, se eu não me engano, um estudo da IBM, cara, eu acho, eu apresentei isso, ã, acho que no CIO Brasil, se eu não me engano, o tempo médio, de permanência dentro de um de um ambiente

1:10:46 para são 270 e poucos dias. dias é cara quase um ano, meu. São 270 e poucos dias que você tá dentro de um ambiente e que ninguém pegou, não. E aí ele vai conectar no horário, eu vou te falar de um ataque real que eu participei. O atacante conectou no horário comercial, quando a empresa abria, com uma credencial válida, credencial válida, no mesmo horário que a pessoa se conectava, aí você falava: "Não, alguém passou". E você vai ver depois, vai abrindo na análise forense, você vai vendo que ele foi escalonando, cara, seguiu o script maravilhosamente bem e foi evoluindo. O que salvou o ataque, camada de segurança. Você falou da questão, uma, a gente brinca muito com com eleição, a gente fala de urna [?], isso, aquilo. Na minha visão, o que torna ela extremamente segura são as camadas. Isso. Qualquer objeto é vulnerável. Se fosse

1:11:34 só aquele ali fazendo aquele processo, ele é vulnerável. A composição das camadas torna aquilo seguro, porque assim, a equação é tão complexa de você conseguir fazer uma manipulação, porque era muito mais fácil você manipula a fonte, não a origem, você pega na fonte. Então assim, o os ataques você olhando na superfície de ataque. Então assim, se você tiver oportunidade de ver auditoria, participar, ver o como funcionando, você fala complexidade que é formado é o é a equação, não é o produto em si, porque cara qualquer coisa, o carro blindado ele é vulnerável, ele aguenta.50. Não, não pode porque não é militar. E aí quando você vai no posto, como é que você paga isso? Você não baixa o vidro? Hum. Quando você quer ir no banheiro do posto, você não sai do carro? Você não vai sair do carro. Uma hora

1:12:21 você tem que É, é a mesma lógica. Então assim, a composição de camadas de segurança que faz efetividade. E pro SOC é muito importante. Eu digo para vocês, a gente testa como consultor, a primeira coisa que às vezes eu pego, pergunto, você tem SOC? Tem, tá? Me passa o horário, quais são as camadas da superfície, a gente vai atacar. 95% das vezes foram efetivos. ou esqueceram alguma regra ou a consultoria que esperou o cliente que esperou o outro, que o outro saiu para tomar uma água que deveria ter feito. Acontece e o que a gente falou, melhor que aconteça no ambiente controlado do que você fazer isso, porque o que acontece no ataque, sim, se você pegar os ataques hoje, você vê faz quanto tempo que a gente não vê no

1:13:03 LinkedIn ou qualquer outra rede, um ataque de ransomware só faz um tempo, né? Não, eu tava comentando sobre, eu tava só que vazamento virou o quê? Carrinho de vaca [?], né? Todo dia tem um vazamento novo de uma empresa nova, seja ela qual for. Só que o método mudou. E aí, será que não foi ransomware e alguém não divulgou? Ou será que é o só o vazamento porque o impacto é menor? Não, eu acho que é é é consequência de evolução natural do mercado. Talvez daqui 5 anos ransomware volta a ser uma coisa. Exato. Porque no na prática aconteceu o quê? teve tanto ransomware, aí a indústria de cibersegurança foi lá e criou n ferramentas de você impedir um ransomware, passou a ser menos efetivo você conseguir em aplicar um ransomware. Quando você consegue, é, quando você consegue funciona lindo, maravilhoso,

1:13:44 tranquilo, mas hoje já tá bem mapeado, como é que você tem que fazer as coisas e assim por diante. Tá bem mapeado, nem todo mundo sabe como fazer, muita gente é vulnerável. O ponto não é que ransomware não é mais uma ameaça, pelo contrário, é uma ameaça. Segue do mesmo jeito que era antes. A única coisa é que o foco de ataque, o foco de efetividade de ataque mudou. Ele saiu desse ransomware, desse foco no ransomware, mudou para onde? Interação de dado em identidade. Hoje os grupos de ransomware eles contratam acessos, eles têm contrato de afiliação, eu vendo uma credencial, eles me pagam, eu faço uma troca, com efetividade eu recebo lucro. A identidade virou o próximo perímetro. A identidade é o principal perímetro hoje, porque assim, se você olhar, as camadas de segurança evoluíram tanto que

1:14:34 qual a única fragilidade que ainda continua? identidade e muita empresa ainda acaba não utilizando coisas básicas como MFA. E aí você tem uma porta aberta, credencial alta, patente alta, privilégio. Privilégio, sim. Conectando no horário de serviço. Quem é que vai bater na sala do diretor, falar: "O diretor tá aí, é ele que tá fazendo isso?" Você sabe que ele não vai conectar no banco de dados, mas ele pode fazer n coisas dentro de sistemas que ele tem acesso. Em 270 dias ele pode fazer um download devagarzinho, ele pode fazer devagarzinho, ele pode fazer uma série de movimentações que para uma análise humana ou uma análise preliminar é um comportamento OK, partindo de uma credencial válida no horário comercial, acessando às vezes pastas que ele tem que ele tem acesso, que ele tem privilégio num comportamento, OK? Como é que você um acesso negado num dia? Depois tenta

1:15:26 no outro e aí você aquilo não nenhuma ferramenta de segurança consegue correlacionar. Ah, ele tentou há 30 dias atrás. Princípio é válido. Ontem mesmo eu vi o case aí que o o ataque tava lá dentro há 8 meses, né, até efetivar o ataque dele. Quer dizer, o cara que você falou, cara, tem tempo. Ele tá ali. Não, normalmente ele efetivou porque acabou de pegar o que precisava. né? Agora é a saída dele é é o ataque. Beleza. E pra gente finalizar, pessoal, a gente tá chegando aqui no no final. O papo tá muito bom. Acho que rende pelo menos mais um podcast a gente ficar falando aqui. Hum. Eu vou comentar uma frase e queria que vocês falassem ou comentassem, trouxessem a sua a sua visão em cima dessa frase que é a seguinte: segurança não é um problema de

1:16:17 TI, ele é um problema de negócio. Ai, como é que eu tinha falado? Mas algum dia foi de TI, algum dia foi de TI, né? Você comentou, né? Algum dia segurança foi exclusividade de TI. Pois é. Nunca deveria ter sido, né? Ele é comportamental, ele é do ser humano. Então assim, é o que a gente brinca, né? Você tem o o ser humano aí tem dois caminhos, né? O mais o correto e o mais rápido, o mais fácil, né? Então assim, o nosso cérebro por si só, ele sempre vai pelo mais fácil. Tem livros e livros de psicólogos falando sobre isso. Então assim, se você tiver que atravessar uma rua, você vai até a faixa ou você vai, você vai subir a passarela, vai atravessar aqui, né? Ou você vai atravessar ali. Quantos casos de atropelamento embaixo da passarela? 6 horas de uma

1:17:02 sexta-feira, eu preciso copiar um dado, tá lento. Eu tô com o meu HD, eu copio pro meu HD achando que eu vou trabalhar no final de semana ou espero copiar e vou ficar um tempo a mais. Eu vou tentar ser produtivo naquele horário que eu deveria não ser produtivo porque não deveria estar trabalhando. Eu não trabalhei no horário. É a mesma coisa. É a falsa sensação da gente achar que o usuário vai ter aquela visão de segurança. Ele não vai ter. Ele sempre vai pelo modo mais fácil. Na minha visão, segurança nunca foi de TI. A segurança, ela acaba sendo institucional e comportamental. Uhum. E assim, infelizmente, a única maneira que você tem é com guardrails, processos, penalizações. Dou um exemplo bem simples. Lei, bebida,

1:17:48 trânsito. Alguém deixa de beber e dirigir porque tem uma lei sabendo que pode ser preso, carro apreendido. Ah, se fosse a Lei Seca na rua, né? Exatamente. Então assim, o medo da penalização. Exatamente. O medo e eu não digo que é medo, eu digo que é você. ou catequizar o seu usuário, o que você pode, o que você não pode. E como é que você traz essa visão? A segurança próxima, a segurança humanizada, falar: "Olha, já aconteceu dentro da empresa, acontece todo momento fora. Quer beber? Vontade, você sabe o que vai acontecer se você for pego". Ah, mas se eu não for, loteria. Ah, a mesma coisa com dado, a mesma coisa com segurança. A visão, a prática é a mesma. Então, assim, como é que você encurta dentro de uma empresa?

1:18:33 O primeiro, tentar tirar aquela parte negativa de segurança. Segurança olhada sempre como pior parte da empresa. Fala com todo mundo, mas não fala com o cara de segurança. O contrário, é tentar trazer, tentar ter, estar próximo, porque muito próximo você corre o risco de ser corrompido. Você tá no meio do, você você é ser humano, você tá no grupo seletivo, mas tem um processo de segurança próximo. Isso quando envolve pessoas, envolve alunos, envolve qualquer tipo de situação. E quando você tem questões financeiras, acaba piorando ainda mais, muito mais. E acho que a não tem muito mais o que colocar além do que você comentou, porque assim, a a a pergunta a a provocação inicial é justamente nesse

1:19:16 sentido. E aí e vou além assim, ficou cômodo colocar na TI. Ah, tem que ter um compadono [?] porque é o é o a superfície de ataque digital, ela é maior. Então, fisicamente você bota um porteiro, um muro, um conjunto de câmera e pelo menos você sabe quem tá entrando ou não. Ou você mente para si mesmo que você sabe, você tá seguro, né? É, você se ilude isso, você se ilude de que você tá seguro. Digitalmente é muito mais difícil você sentir dessa forma. Uhum. Por outro lado, ficou cômodo colocar porque o pessoal de TI em geral, ele tem esta preocupação mais integrada a sua formação profissional do que o restante dos profissionais. Então foi ficando,

1:20:07 foi ficando. Alguém foi correndo atrás ao longo de 40 anos de área e hoje culmina nisso daí. Então ficou cômodo ficar ali. Só que é o que eu o o eu o brinco até hoje para demonstrar o quanto que segurança não é uma coisa específica de TI. TI tem um papel de segurança como o porteiro tem, como o cara que coloca o post-it no monitor com a senha tem. E aí o post-it é ainda tradicional. Eu duvido você andar um escritório de uma empresa. E como é que você teclado tá lá para fechar? Como é que você traduz isso pro mundo de IA às vezes nas palestras de conscientização mesmo a gente, é o que eu trago, gente, o que você manda para IA não é mais seu. Então é assim, ela faz parte daquela empresa. Hoje no mundo que a gente tá, ele é geopolítico, então ele

1:20:58 pode ser usado naquele momento, naquele determinado momento, por uma nação. Então assim, pensa bem o que você coloca lá. Você não precisa me falar, não quero saber se você tá seguindo o que tá acontecendo ou não. Olha o que você compartilhou e olha que você vai ver lá que a empresa não pode apagar porque o governo dela não deixa. É, tá políticas e regras diferentes. Então se você leva isso pro usuário, eu levo até nas nas apresentações, faz essa pergunta, fala mal do país dele, vê se ele pode falar: "Meu país não não posso falar mal". Ou seja, ele já tem um guardrail, ele já tem uma definição. Então, dado que você tá colocando lá, o seu pessoal é uma decisão sua, da empresa não mais seu. Então assim, pensa bem antes de você colocar da empresa lá,

1:21:41 porque isso vai tá lá e pode ser usado em qualquer momento, em qualquer situação. E é assim, aquele lance, né? Eu quero acesso a a IA total, não pode. Ó, aconteceu um vazamento na semana seguinte, um vazamento que acontece e aí como é que funciona? Eu tenho acesso, não tenho acesso? Quem teve acesso ao dado? Então tudo isso acaba colaborando para você ter uma tomada de decisão por usuário. Você sempre é transfer fala: "Ó, é seu, é igual o volante, é seu, tá aí, ó. Por quê? Você vai barrar barrar no dispositivo, ele vai estar com o celular dele, ele vai pedir um minuto, ele vai no banheiro, ele vai fazer alguma coisa na IA dele." Então é sempre isso. Olha, a decisão é sua com seu dispositivo.

1:22:21 Rastro digital você sempre vai deixar, vai existir seu rastro. pode ter certeza que de alguma forma ele vai com alguém vai conseguir chegar. Tem um exemplo muito bom, cara, disso que é, eu vi um prompt, alguém comentou isso comigo também, mas eu até tinha visto já um um post, na verdade sobre isso, que é um post no Instagram que falava assim, ó: "Como apagar os seus rastros digitais da internet?" Já viram isso? Sensacional. Tem gente que vende serviço disso. Não, o cara acessa uma IA, dá todos os dados dele pra IA e pede pra IA apagar os rastros digitais. Eu falei: "Meu amigo, o que você acabou de fazer foi deixar um rastro digital seu naquela naquela IA com todos os seus dados." A provocação que eu faço na frase que eu comentei aqui, que eu pedi para vocês

1:23:04 comentarem, ela obedece um um estudo ou uma observação que a gente tem feito, né, ao longo de desses anos todos que a gente trabalha, que para mim assim e é um básico que não é básico porque é uma não é uma realidade de mercado, tá? Não é comum, né, dentro das observações que eu faço, você esbarrar com uma empresa de segurança, no caso, eu tô comparando aí o mercado com a Vortex, abordar um cliente e falar com ele de BIA e falar com ele de PCN e falar com ele de coisas que estão associadas à continuidade do negócio. E aí, cara, para mim, isso é tão e paradoxal, porque como é que eu garanto segurança e continuidade, reputação de uma instituição, de uma empresa, se eu

1:23:55 não sei qual é o negócio dela? Então, quando eu trago essa essa essa reflexão de segurança de segurança não é o problema de TI, é um problema de negócio, é porque é uma é a forma como a Vortex E aí, que bom que vocês têm essa visão, né? Não é uma visão de mercado, tá? É a visão que a gente traz pros nossos clientes, sabe? Qual que é o teu negócio? Qual o caminho crítico do teu negócio? Quais são os ativos que estão presentes nesse caminho crítico? Qual sistema você precisa minimamente? Quais são as joias da coroa, cara? Joias. Então, assim, se você não tem essa visibilidade, o que para vocês, na fala que eu observo aqui é algo básico, pro mercado não é, cara.

1:24:38 E aí assim, a gente vira um só por mês [?] de concorrente, porque o cara tá falando exatamente isso, meu. O cara nunca me perguntou o que que eu faço. O cara me vendeu um SIEM [?] mensalizado, me joga 300 alertas aqui para eu correr atrás do que que é o alerta, do que que não é. E aí quando você mostra uma apresentação nossa, um modelo de negócio, bota o cara para falar com o cliente que a gente atende e ele explica o tipo de atendimento que ele recebe e a visão que a gente entrega de negócio, que ela fala: "Meu, como é que eu sobrevivi até hoje sem alguém, sem um parceiro do meu lado olhando para negócio?" Então assim, eu faço das suas palavras as minhas. Segurança não é um problema de TI, assim como o IA também não é um problema de governança, não. IA é um problema de negócio e não é um problema de TI também. Não é um problema de TI, é um problema de negócio. É assim como segurança é.

1:25:25 Eu faço uma provocação pros meus clientes, né, pros nossos clientes, né, o Lourival tá sempre comigo aí na nessas agendas. Sim. Que é o seguinte, você pode barrar o uso da IA ou achar que barrou, né? A gente falou de shadow AI aqui para caramba, de usar seu próprio dispositivo. Uhum. seu concorrente tá fazendo isso ou seu concorrente tá de alguma forma fomentando o uso de IA para endereçar uma dor e uma demanda que ele tem ali para poder acelerar e ganhar e ganhar mercado? Então, qual é o risco de oportunidade que você perde quando você não se preocupa em criar governança política e ganhar maturidade pro uso do negócio? Você prefere simplesmente proibir ou como muitos clientes que a gente visita fala, não criar tranquilo aqui, pô, tá tudo liberado aqui. O que é

1:26:13 que eu fiz? Conta do usuário, peguei, não, peguei meu DLP, proibi o upload, proibi proibi proibi não sei o quê. Pode usar, pode usar e que ele quiser. Falei, mas para fazer o quê? Perguntar o horóscopo, perguntar, pedir para ele montar a série dele da academia, a dieta dele, o que que ele tá usando IA no teu negócio, cara? Eu dou aí eu dou um exemplo e e aí a produção que tá me ouvindo aqui pode corrigir o exemplo se tiver errado depois, mas tem de um de um caso recente de um menino de 18 anos, cara, numa faculdade. Ele baixou dados lá de um de um satélite lá, de um telescópio da NASA, não sei se vocês viram isso, jogou isso, modelou isso dentro de um de uma de uma IA e descobriu centenas de corpos celestes que a NASA não sabia que existia. E a R [?] publicou isso no X, a NASA foi lá,

1:27:02 contratou o cara. contratou o cara, pô. Pô, não temos uma vaga para você novo da produção acabou de me confirmar aqui. Minha informação está correta. Então assim, quantos jovens ou meninos de 18 anos, aí eu tô fazendo um comparativo direto, mas quantas pessoas existem na instituição de vocês hoje que poderiam sim estar endereçando dores de negócio, resolvendo problemas, fazendo com que a empresa de vocês, a instituição de vocês estivesse muito mais à frente, sendo disruptiva, sendo criando coisas e não tá porque simplesmente é mais fácil proibir do que ganhar corpo e ganhar maturidade para você usar de forma segura. E e essa foi a primeira preocupação que eu

1:27:47 tive quando a gente fez a política de não proibir em algum momento ia começar a surgir essa essa demanda por proibir. Então a gente já tentou criar a política justamente para orientar a não ir por esse caminho, porque tem algumas coisas ali a gente perdeu outras situações semelhantes aonde a gente preferiu proibir do que tentar incorporar aquilo no dia a dia como se aquilo não tivesse no dia a dia do pessoal. Mas a ideia da política surgiu justamente por causa disso e a gente perde muita capacidade, muita intelectualidade pelo simples fato de tentar aplicar um modelo rígido a uma mente cada vez mais flexível. Então, as críticas de Gen Z, as críticas que que a gente vê do pessoal

1:28:36 contra o pessoal mais novo, as críticas geracionais que acontecem e tudo mais, é porque de fato eles já operam, pensam, trabalham e atuam de uma maneira que não é a que a gente tá acostumado a visualizar. E aí é mais fácil a gente criticar e reclamar e colocar proibido, proibido que tentar entender como aquilo como aquela dinâmica ocorre. É, mas deixa eu só aproveitar uma uma brincadeira que eu achei que a gente ia conseguir passar uma uma sessão sem falar desse tema e não conseguimos, mas eu acho muito pertinente aquilo que você tava falando de qual que é o regramento do país, onde se aplica a a IA e tudo mais, mas acho que tem um o a brincadeira que eu vou fazer é não percam o próximo VortexCast soberania

1:29:22 de segurança, né? segurança soberana, porque isso por si só, eu te garanto, o próximo não, né? Você tem que colocar isso na agenda, mas considerem isso como um tema. E aí, segurança soberana, papo do É claro, tá? É, é óbvio. O episódio que vai ao ar antes desse que a gente tá gravando aqui, fala exatamente sobre, não percam o que já foi lançado. Voltem an vai ser lançado. Voltem no anterior e vejam isso, porque assim, pessoal, revejam, revejam, né? Talvez o VortexCast anterior a esse perfeito para entender melhor, se você não sabe o que é soberania digital que o Leonardo tá trazendo aqui, volta e Mas não, eu quero, mas é uma especialização da soberania digital que eu tô falando, tá? Uhum. Que é a soberania, a segurança soberana,

1:30:08 porque eu Porque a gente fala de soberania digital num guarda-chuva geral. Eu não vou me estender em soberania aqui, porque é uma o Brasil no atual estado agora falar de soberania é uma eu falo que vende é não não, mas mas é uma ilusão que vende bem, tá? é uma ilusão que vende bem sobre soberania digital, sobre data center, sobre tecnologia de IA sobre e assim por diante. Existe essa essa esse assunto dentro do governo, ele tá assim fervilhando de várias maneiras diferentes. E eu quis quis trazer o o assunto de volta para provocar nesse sentido, justamente por causa disso. Ah, então vamos pensar. O data center é brasileiro, a IA é brasileira, o sistema operacional não é,

1:30:57 a ferramenta de SOC [?] não é. É, seria o meu, o meu questionamento que eu faria, porque o que eu a tava no evento de segurança, tinham CISOs, especialistas, hackers, começou a entrar a questão sobre soberania, não fugindo muito sobre a não sei o quê. Eu falei legal, sua empresa não faz negócio com tal região do mundo, a dele com aquela. Quem fabrica os servidores? Isso. Quem fabrica o chip, quem fabrica o SO. Sim. Então não existe uma soberania 100%. Você vai sempre você vai tá de um lado ou do outro tirando. Existe sim, corrigindo. Asiáticos têm as deles, os alguns outros países têm também que é, ou seja, 100% voltado. E a gente sabe de países que utilizam o sistema deles, estrutura deles, mas não é na realidade nossa. A

1:31:47 gente não tem incentivo em pesquisa, inovação, não tem criação. É, então tem muita e assim e voltando para IA, é aquilo que a gente falou, para onde você manda seu dado simples. Onde você vai jogar? Ah, tem uma um modelo aqui que roda internamente, tá? E tá consultando o quê? Uma base sua de conhecimento. Não, a base de treinamento foi como? É, a base de treinamento foi feita como é exato. Então, assim, mas assim, se a gente entrar nisso vira outro. Então assim, a eu só queria deixar a provocação, não só sobre soberania digital, porque é o guarda-chuva maior. Uhum. Mas e as ferramentas de segurança e a o teu SOC e o a operação do teu SOC [?]? Falar de soberania sem olhar para tudo isso é o seu C [?], ação,

1:32:29 é uma defesa jurídica numa contratação, a sua cl, a sua cláusula de segurança, enfim, vamos e só só essa essa especialização acho que ela já vai ah vale outro podcast. É, é, você acaba alucinando. Ah, não. Trazendo pra realidade. A gente alucina alucinando que a gente não sabe tudo que tá acontecendo e não fez a pergunta correta. Pessoal, queria agradecer de verdade. Acho que o papo foi muito bom. Eu particularmente gostei muito dessa interação, pegar diferentes visões, diferentes experiências, né, o contexto, que vocês trouxeram. Acho que para mim foi muito enriquecedor. Tenho certeza de que para quem vai assistir esse episódio também. Obrigado também,

1:33:12 Lourival, por compartilhar aqui um pouquinho com a gente do conhecimento, tua visão. Convidá-los para que, assim como o Leonardo falou, não deixarem de acompanhar aí os nossos episódios. A gente tem bastante coisa que a gente tem gravado, que ainda vai ao ar, né? já tem pronto, que, enfim, o marketing tá trabalhando. Que lembrar vocês de seguir lá no LinkedIn, seguir também no YouTube, e ativar lá o a notificaçãozinha no YouTube para toda vez que a gente for publicar vocês receberem em casa. E é isso, pessoal. Muito obrigado. Quiserem falar alguma coisa aí para finalizar, fiquem à vontade, mandando um recado aí para pro público em casa, para quem tá assistindo a gente, não? Legal. Eu agradeço aí o convite de vocês, parabenizo pela forma que é

1:33:52 conduzida totalmente agnóstica, sem produto, sem venda de Eu acho isso muito importante, o a troca limpa. Eu acho que é isso que enriquece num podcast. Participei de outros que também seguem a mesma linha. Parabéns pela iniciativa. Agradeço muito aí o convite de vocês e estamos à disposição aí. Eu agradeço o convite, agradeço a oportunidade de participar de um uma conversa assim tão profunda do ponto de vista técnico e tão necessária hoje em dia. Mas para finalizar, eu queria deixar uma uma provocação, brincadeira. Você consegue garantir que a sua corporação não tá invadida há 270 dias e amanhã vai acontecer? Porque eu não consigo. Então, preocupe-se com isso. Beijo. Eu adiciono uma coisa. Com profissional de segurança

1:34:41 você semar [?]. Isso. Perfeito. Excelente. Responda para você. Aí respondendo essas duas perguntas, contrate a Vortex [?]. Não tô brincando. Tá vendo? É. Não, você não pode elogiar. Gente, muito obrigado. O pessoal de casa também muito obrigado e até o próximo episódio. Alessandro, Leonardo. Obrigado. Obrigado e até a próxima. Obrigado, gente, pela presença aí.