Sua empresa já usa IA. Seu time de segurança ainda não.

0:00 a gente teve um processo de governança associado a isso e aí foi uma escolha da empresa tomar a decisão. Talvez IA seja a primeira de muitas que ainda possam acontecer de que esse processo se inverte. a gente tá vivendo um momento de disrupção tecnológico que foi apadrinhado ou foi trazido pelo usuário e as empresas de certa de certa forma estão tendo que correr atrás desse gap de governança, de processo, de política para atender uma realidade que já é de mercado. Fala pessoal, mais um VortexCast iniciando aqui pra gente falar sobre segurança da informação, pra gente falar de inteligência artificial. Tô aqui na mesa hoje dividindo esse espaço, sempre com um time muito forte, de notório saber, né? Estamos estávamos gravando aqui com o pessoal de de judiciário. Eu me apropriei aqui do termo jurídico, mas gostaria de apresentar aqui mais uma vez comigo Lourival. se apresenta aí, Lourival.

1:10 Ah, legal. Sou Lourival Júnior. Eu tenho mais de 30 anos aí, né, trabalhando com com TI, mais de 10 anos com segurança da informação. Eu estou aqui na Vortex, né, como especialista em soluções e serviços de cibersegurança, né? Legal. Mais de 30 anos. Nem parece, cara. Parece menos pintar a barba. Parece menos. Com a gente aqui também temos hoje o William, que eu não vou me atrever a falar seu sobrenome porque eu vou falar errado com certeza. E o Gilberto também, o Giba queria que vocês se apresentassem também, falassem um pouquinho aí do background de vocês. Primeiro, obrigado pela oportunidade de estar aqui para compartilhar um pouco. Tô na Ajinomoto hoje, né? né, Ajinomoto aqui no Brasil como gerente de segurança da informação, 30 anos de carreira em TI, passei por infraestrutura, governança, depois vinha há 10 anos aí em segurança na Ajinomoto [?]. Legal, legal, legal. E aí, Gilberto? Fala pra gente quem é o Giba.

2:09 O Giba. O Giba hoje tá está como gerente de segurança da informação na União Química Farmacêutica, mas tenho também mais de 30 anos de TI, mais de 20 anos de segurança da informação. Já passei por empresas como Locaweb, Sky, finada Proteus, quebrosec [?] agora consultoria, empresas bancárias, setor elétrico, bem rodado já. Boa. Como eu disse, pessoal, notório saber naquilo que a gente vai discutir aqui agora. Estou com medo até de abrir minha boca e falar uma besteira, mas vou vou tentar aqui conduzir esse bate-papo pra gente falar um pouquinho do desafio, que é a gente encarar essa grande realidade que a gente tá vivendo, que é o uso da inteligência artificial, o quanto isso tá potencializando o risco, o quanto isso tá acelerando o negócio. a gente estudar um pouco e esse esse contraditório aí, né, esse equilíbrio entre acelerar negócio e endereçar dores do mercado, dores de trabalho, dores ali no teu dia a dia, demandas, né, e o quanto você consegue assumir de risco para que isso aconteça. Então, a gente vai conduzir aqui esse bate-papo nesse sentido. E para começar, que que eu queria falar? Uma reflexão que a gente que a gente tem feito bastante com os nossos clientes, que é o seguinte. E aí, não sei se vocês pararam para pensar dessa forma, toda a transformação digital, pelo menos que eu me lembre aí,

3:34 todo mundo aqui falou de 30 anos, 20 anos, 15 anos, né, mais ou menos a minha idade de vocês trabalham com tecnologia, vocês passaram por diversas transformações dessas, né? Eu passei por algumas, por exemplo, cloud foi a a que eu me lembro assim mais recente de forma disruptiva, vamos chamar assim, né? O Louro viu a parte da máquina de escrever, essas coisas. Outra. Eu peguei essa parte também. Eu também peguei. É mais antigo. A gente não dava boot, dava IPL. É exato. Então eu não vi não vivi isso. Mas assim, algumas coisas eu vivi. E o que que eu tenho para fazer de reflexão sobre essas transformações digitais, essas grandes transformações digitais que eu vi ao longo desses anos, né? Eu trabalho já com tecnologia há mais ou menos uns 10, 15 anos por aí. se se eu contar o tempo que eu trabalhava com a parte de projetos ali, mas efetivamente com tecnologia, mais ou menos uns 15 anos. O que que eu observo em toda a transformação digital que foi marcante a sua época em termos de disrupção, né, de ser disruptiva toda, e aí vou dar o exemplo de cloud, que como eu falei, é mais é mais recente que eu me lembro, né? Toda a transformação digital, ela geralmente ocorre baseada em governança. Então, apesar do cloud ter sido um um hype como o IA é hoje, né? E vocês vão lembrar disso. Ah, tem temos que mudar para cloud. Por quê? Não, porque temos, tá todo mundo usando cloud. Ninguém sabia

4:56 dizer o por que você tinha que migrar a tua infraestrutura para cloud, né? E aí muita gente fez isso de forma equivocada, fez correndo, pagou o preço por isso, porque é um ralo de dinheiro. Você também foi rou de lenda [?] que achava que ia economizar e no primeiro momento até sim, né? Mas depois, mal feito, você gastou muito mais dinheiro. A gente já tem ouvido muitas empresas falar sobre IA nesse sentido também, né? IA vai resolver um problema de negócio. Agora, IA é um problema financeiro, porque eu não consigo bancar o uso da IA. Mas o que que eu tenho para comparar do momento que a gente tem vivido hoje sobre com IA, né, com essas transformações digitais que eu presenciei, que eu vivi, que eu acompanhei, como eu disse, todas essas, né, cloud e outras, né, a gente teve um processo de governança associado a isso e aí foi uma escolha da empresa tomar a decisão. Talvez IA seja a primeira de muitas que ainda possam acontecer de que esse processo se inverte. a gente tá vivendo um momento de disrupção tecnológico que foi apadrinhado ou foi trazido pelo usuário e as empresas de certa de certa forma estão tendo que correr atrás desse gap de governança, de processo, de política para atender uma realidade que já é de mercado. Veja que loucura. Por o usuário final tem acesso a isso, né? Que usuário

6:16 final na época de cloud poderia falar assim: "Ah, vou mudar a minha infraestrutura para cloud". Pode fazer isso, né? Nem no e-mail ele podia fazer isso, ele escolheu agora, mas assim, o a IA não é assim, né? A IA ela deu o poder pro usuário e agora as empresas estão tendo que correr atrás. Então, é uma nova realidade para uma transformação digital que até então a gente não tava vivendo. Então é muito natural e a gente tem falado com diversas empresas no Brasil de que e as pessoas, né, as corporações, as instituições, as as empresas estejam literalmente perdidas naquilo que precisam fazer, naquilo nas nas medidas que precisam adotar. Então, a gente tem conversado bastante para ajudar essas empresas nesse sentido. E aí eu queria conduzir essa conversa com vocês para que a gente caminhasse por essa trajetória para entender qual é a perspectiva de vocês. Antes disso, deixa eu me apresentar, não me chamo Victor El'Osta, sou especialista em cibersegurança e inteligência artificial aqui na Vortex. Hoje ocupo parte aí do time comercial/técnico, no que tange inteligência artificial e gostaria de convidar você que tá assistindo a gente para já seguir no LinkedIn e seguir no YouTube para não ficar de fora aí de nenhum processo, nenhum vídeo, nenhum material que a gente divulga, tá?

7:30 Se eu não falar isso, meu marketing briga comigo e eu sou retirado da função que eu estou fazendo nesse momento. Já tava esquecendo, como eu gosto muito de fazer. Então eu estou aqui lembrando a você que tá em casa e gosta do nosso material, acha que a gente publica ali algo interessante e relevante pro seu dia a dia, para você continuar seguindo a gente ou começar, se foi o primeiro vídeo que você está assistindo. Dito isso, sem mais delongas, vamos aqui à primeira provocação que eu tenho para vocês. Bom, a primeira pergunta, eu dividi isso aqui em alguns blocos, a gente tem aqui: "A IA já entrou nas empresas? Isso é um fato. Quem tá no controle?" Então, a primeira pergunta que eu faço para vocês é: quando que vocês perceberam que a IA já tava adotada pelos usuários e que você tava sendo simplesmente comunicado de que você precisava fazer alguma coisa a esse respeito? A minha dúvida, a minha pergunta, a minha provocação para vocês é: qual foi o gatilho? Em que momento essa visibilidade eu despertou que, cara, preciso fazer alguma coisa? E o dia D foi foi um famoso ChatGPT.

8:36 não teve jeito. Tava lá numa reunião e aí houveram questionamentos do por que a gente não usava e não liberava o uso. E aí a gente, mas a empresa tá usa, né? Exato. Eu uso em casa, eu uso no meu celular, eu uso. Eu só não consigo usar aqui nos computador corporativo. Por quê, né? É. E a pressão sempre começa assim, né? Não tem jeito. É, eu lembro da lá no começo com ChatGPT que nem era Gemini ainda, e o pessoal começam na TI, a TI lá querendo descobrir o que que é aquilo. Aí começa hype, começa todo mundo falar, todo mundo falar e hoje em dia todo mundo usa em casa. Porque que eu não vou usar no escritório? Hoje em dia tem que você compra que já tá incluído, né? Incluso. Você tem telefone que você compra que já vem com IA. Você tem, então assim, é uma coisa que você nem consegue mais desassociar, né? Não consegue. Se você não quiser, né? meu carro, eu tô dirigindo, eu falo alguma coisa. Ele: "Oi, falou comigo?" Eu falei: "Meu Deus". Eu nem sabia que tinha alguém me ouvindo aqui no carro. Então assim, você não consegue mais desassociar isso, né? Mas para você lá também foi assim, foi numa reunião que nem foi pro pro William, foi a demanda veio numa reunião por conta do ChatGPT, que era o que tava mais em voga na época, mas agora a gente fez um estudo lá também de mapeamento de quais IAs o time tava usando e o ChatGPT ainda tá, talvez

9:59 pela nome ChatGPT é mais conhecido, é o que mais a galera tá usando ainda, mas tem umas coisas meio estranhas que aparecem. Eu tenho, eu tenho a percepção de que a, a IA, ela aproveita uma oportunidade, ou ela surfa muito bem num discurso de produtividade, né? Ah, sim. Então, provavelmente, William, você deve ter ouvido nesse sentido, ah, mas eu uso e me ajuda demais a fazer as coisas mais rápido ou melhor, né? A empresa tal tá usando e, cara, a experiência que eu tenho, o feedback que eu tenho é de que nossa, os processos estão muito mais rápidos. Então esse discurso de produtividade, eu entendo que tenha acelerado a adoção. O problema é que esse discurso ele antecedeu qualquer discussão de política. Esse antecedeu qualquer qualquer conversa sobre governança. É, o usuário ele não vai esperar política, não vai esperar governança, ele quer resolver o problema dele, né?

10:58 É. E e é o que a gente tem visto, né, Louro? Nas entrevistas que a gente tem feito, nos assessments que a gente tem feito. É, é exatamente essa a realidade, né? É, a maior preocupação é sempre com do usuário, né? Ele tem que entregar a produtividade, entregar a parte dele o quanto antes. Ele não tá realmente preocupado com a segurança, quem tá controlando isso, né? Isso não é o problema dele, né? A gente fala isso aí é é ali veio veio em conflito, né? Com o que todo mundo preza, né? Esse e isso acontece em todos os níveis, né? Então, desde o usuário mais comum lá da ponta que você, se você fala que não usa, ele vai usar escondido, não é? Que não pode usar e vai usar escondido. Quanto, né, até do board lá alta direção cobra, pô. Eu uso em casa, por que que eu não posso usar aqui? É, foi falou, pô, uso no meu computador de casa. Por que que eu não, né, mas a gente toma um cuidado bastante grande com esse ponto, viu Lourival? Tipo, não é um problema dele.

11:58 É, sim. É isso aí. é nosso. É nosso, porque o que ele vai fazer ali, o que ele vai trazer para dentro de casa, o que ele vai colocar de dado informação, não vai afetar a sua TI, só a segurança, não vai, vai afetar todo mundo. E foi dessa forma que a gente começou. Uhum. Foi dessa forma que a gente começou. Não teve jeito. Bom, pessoal, quer usar, pessoal, vamos lá. Vamos lá. Mas, ó, por favor, pelo amor de Deus, né? Sabe aquele aquela informaçãozinha que tá lá confidencial, estritamente confidencial, é classificada para você não ter nenhuma dúvida. Não coloca ali, não coloca ali, né? Baseado nisso, claro, a gente tem nas nossas proteções, né? Lá no gateway, tem no endpoint, tal, não vai para lá, tá tá guiado. Mas aquilo que o que eu falei, o cara vai pegar, ele vai pegar aquela informação, ele vai replicar no celular, se ele não tiver a consciência vai acontecer. esse letramento é muito importante. A gente tem discutido bastante isso e assim, a gente tem até sido acionado e até me coloco à disposição de vocês aí na da empresa de vocês, de forma até sem custo pra gente fazer palestras de conscientização, porque eu entendo também o seguinte, né, famoso ditado, né, Casa de Ferreiro, né, não tem muito peso, né? Então, às vezes você falando pra tua equipe, ah, vou lá ouvir o

13:22 William, nada, vou lá ouvir o Giba nada. Pô, deixa eu trazer um cara aqui de mercado, ele vai te explicar qual que é o risco, qual que são os os riscos associados ao uso não seguro disso, né? É. E aí, cara, contem com a gente para esse sentido, mas eu concordo plenamente contigo. Eu acho que é uma máxima que a gente fala, né, de que o usuário é o o elo mais fraco da cadeia, né? Sempre foi. A gente fala de segurança. Exatamente. Pro uso de IA, cara. Ó, se ele foi o vetor que motivou a adoção, quanto mais agora nessa nessa nessa situação. Então assim, a gente precisa trabalhar muito muito mais em cima dessa conscientização e e e para isso não a gente mitigar ali, né, minimizar os riscos, né? É que risco, né, do o usuário bem intencionado, né, e ele tá colocando mais em risco o seu ambiente do que o o próprio atacante, vai. É. E eu vou vou usar tua tua tua fala, que é a próxima frase que eu ia comentar aqui para vocês concordarem, discordarem, fiquem à vontade. Hoje existe mais risco em um colaborador bem-intencionado usando IA do que em muitos ataques externos. Aí concordem, discordem? O que que vocês acham dessa frase? Faz sentido, não faz?

14:38 Infelizmente faz, né? Infelizmente eu tenho que concordar porque assim usuário ele acaba não percebendo o que que ele tá compartilhando com a IA, nem com a IA que ele tá jogando lá no DeepSeek, tá mandando as informações confidenciais lá pra China, não sabe como é que vai ser tratado, para que que vai ser tratado. Então, realmente o usuário bem intencionado, ele acaba trazendo mais risco, trazendo mais risco, né? Não tem jeito, não tem jeito. Eu acho que a gente fez um chamamento, né, ao aos profissionais, é, de se posicionarem de uma maneira diferente. Ou seja, se a gente parar um pouco a pensar de fato, o que que aconteceu? Se você quer ser um profissional do amanhã, você precisa atuar hoje com IA. Perfeito. Então você aprende, essa é a mensagem para todos, né? Então, tá todo mundo tentando, tá todo mundo querendo mexer, tá todo mundo querendo aprender porque quer estar no mercado amanhã, né? Então, claro, na melhor intenção do mundo, que é a intenção de aprender, fazer aquilo, funcionar, gerar a produtividade, gerar o resultado e se destacar na organização, provavelmente ele vai cometer um erro.

15:52 É, você tem lá, não falando mal do cara do financeiro, né? Mas o cara do financeiro desenvolvendo, você tem o cara do contas a pagar desenvolvendo. Aí eu lembro que eu tava na tava numa aula minha da de uma das pós que eu faço em IA e aí um cara de que é um que é um CISO de um de um hospital grande aqui de São Paulo e falou o seguinte: "Meu, o cara do meu financeiro virou para mim e falou assim: "Cara, desenvolvi tudo aqui, ó, tá pronto, eu só preciso agora ter acesso às bases de dados para testar". Aí o cara, não, mano, calma aí, pera aí. Não é assim que funciona assim, você desenvolveu o quê? Baseado em quê? Qual é a sua experiência em em DevOps para você poder agora pedir acesso a uma base de dados da da do hospital, da companhia? Pera aí, assim, e security by design não existe, privacy by design não existe. Ouviu falar esses termos? Nunca, né, cara? Não precisa. E aí é uma coisa que a gente tem comentado bastante, é qual que é o problema da IA, né, assim, vários, mas e eu digo no uso, quando você usa a IA para fazer algo que você tem domínio e você precisa da capacidade de processamento que a IA traz, cara, show, vai dar certo, porque você tem domínio para criticar aquilo que foi e o resultado final da tua interação. Eu chamo isso de

17:12 curadoria, né? Você consegue pegar o resultado disso e auditar, porque você sabe, sabe? Pô, Lourival, faz um risoto para mim. Eu sei que que é um risoto bom ou ruim, então eu vou criticar o risoto que ele fez, né? O problema é que as pessoas hoje estão utilizando IA, os usuários estão utilizando IA para fazer coisas que eles não dominam. Então, quando você pega alguém de um setor que não é desenvolvimento, nunca estudou desenvolvimento, desenvolvendo, cara, você tem um risco muito grande de tratar, estar trazendo riscos e vulnerabilidades para um ambiente que teoricamente tava seguro antes, né? Você publicar ali uma uma aplicação, alguma coisa que não tá pensando em absolutamente nada, DevSecOps, o cara, o que que é isso? É de comer, de passar no cabelo, não sei o que que é. Então assim, eu concordo. Foi uma frase que a gente ouviu durante a gravação de um podcast que a gente fez recente até da de um pessoal que era que era da da área de educação. Ele fala assim: "Meu, você codificar é trivial, assim, você precisa conhecer a lógica do do de codificação, linguagem, OK? Mas ainda não é antigamente você precisava você você desenvolve em que em que linguagem?" Linguagem, né? Cara, hoje assim a IA ela ela supre isso. Perfeito. Qualquer linguagem que você pedir ali, ela vai fazer. Agora você precisa ter uma lógica de

18:34 arquitetura, uma lógica de pensamento, de raciocínio, de estruturar e não porque mesmo o dev hoje ele tá usando aí IA para desenvolver, só que é só DevOps, não tem o Sec ali no meio. Então a própria arquitetura que ele pede no prompt pra IA desenvolver, ela desenvolve pensando naquilo que entrou. Qual que é a entrada? a entrada isso daqui, o que o dev pediu, não tá pensando em boas práticas, tá pensando em by design, tá pensando parte do código, em que em que GitHub da vida você foi lá, em que onde você onde você pegou isso, né? Então assim, o cara ã eu tinha que tinha que tá preocupado com isso, sério, ninguém me falou. É, é complicado. É, e, e aí, eu comento assim para, para finalizar essa, essa frase e talvez o problema maior hoje que a gente tenha é que esse risco agora ah, não que ele não existisse antes nas instituições, nas empresas, né, mas ele era um risco conhecido e meio que centralizado. Eu sabia onde esse risco tava. Aí ela descentraliza esse risco, porque o usuário a qualquer momento, dependendo da interação que ele faça, ele potencializa o risco, ele cria vulnerabilidades que não existiam antes. Então, o que antes era vulnerabilidade, sei lá, um ambiente legado teu, um patch não aplicado, uma versão não atualizada, que ainda era um risco controlado, mas pelo menos centralizado e conhecido, hoje isso expandiu para qualquer usuário baixando ou

19:58 acessando uma IA não homologada, né? a gente entra no conceito de shadow AI e você não tem controle e visibilidade nenhuma disso. Então assim, e esse essa é a grande questão. Eu faço uma pergunta para vocês. O seguinte, entrando nessa nesse viés aí do do shadow AI. Se a gente se vocês fossem pedir hoje um relatório, chegou a diretoria de vocês lá, o board de vocês, cara, eu quero um relatório mostrando todas as minhas ferramentas de IA que estão sendo utilizadas pelos colaboradores. Vocês conseguem entregar isso hoje? Vocês têm essa visibilidade? Vocês sabem o tamanho do problema? Essa essa é a é a pergunta. Então, hoje a gente consegue mapear quais IAs tem, mas vai dar trabalho. Eu vou ter que ir lá no firewall [?] e na mão, né? na mão e fazer a busca na mão. Mas o problema não é nem enxergar quais IAs estão, os usuários estão usando, mas o que que eles estão compartilhando com a IA, quais são os prompts que eles estão usando e quais decisões estão sendo tomadas com base no que dos resultados da IA que ele tá alimentando e tá voltando com alguma decisão. Isso pelo firewall a gente não tem acesso. É a partir do que a interação gerou, né?

21:04 Que que outputs e como é que isso tá sendo utilizado. Ex. Consigo ver que o meu dev tá usando Lovable ou Claude Code? Consigo, mas tá. O que que ele gerou com isso? É perfeito. Como é que é para você lá, William? A gente tem um programa que tem algumas pessoas, né, que tão trabalhando no desenvolvimento de agentes efetivamente, usando ferramentas ambiente controlado, iniciativas [?] iniciativas de inovação que estão usando IA, mas certamente 100% vai ser muito difícil, né? Porque você tem um um universo onde você não vai ter o controle do que a pessoa tá fazendo, né? Então vai tá usando algo que a gente não conhece ainda, que a gente vai ver daqui a pouco falar: "Pô, isso aqui tem inteligência artificial, né? Isso vai olhar o comportamento e vai falar assim: "Opa, essa aqui tem uma tá chamando uma inteligência artificial". É importante lembrar, né? O contexto da IA, a gente falou aqui num contexto mais pesado, que é o contexto onde eu desenvolvo algo, né? Para, mas tem um contexto de usuário comum, né? interagindo ali no seu dia a dia, melhorando na planilha, melhorando assim, embarcado no Office, né? Exato. Então assim, e eu acho que tá é mais

22:26 arriscado esse contexto mais leve, mais comum do que o pesado, mais rotineiro, né? do que algo específico. Exato. Porque o algo específico a a aquele aquela pessoa vai ter uma dificuldade técnica, ela vai consultar alguém, isso vai em algum momento, isso vai aparecer, o do dia a dia vai passar e você não vai ver. É, é, eu brinco que a pergunta deixou de ser se a empresa usa ou não? Uhum. A pergunta é quem tá usando e quais dados você tá utilizando. Exatamente, né? É, é meio que não dá para não dá para perguntar que empresa hoje não tá usando gente até sem saber tá usando. Tem saber provavelmente tá usando. É até sem saber. e e como você falou, de repente não é para fazer algo tão específico ou tão profundo como desenvolvimento de uma aplicação ou alteração de coisas, mas um dia a dia de um relatório que o cara ele viu lá no no Instagram em algum lugar, olha, você precisa fazer os seus relatórios usando prompt e tal e você viu aquele PDF que tá tá rodando aí que você pega, instala e coloca o seu PDF para rodar toda vez que você for utilizar aí, ah, o O cara, ele vai pegar um papel que ele não sabe o que que tem ali dentro direito e vai colocar lá dentro e você não sabe o que tá rodando.

23:41 É normal. Não tem essa noção. Aquele indicador, né, do financeiro, aquele indicador que mostra, é, é, eu quero que a IA [?] se comporte como um especialista de mercado e analise esses dados com pô, você tá jogando dado ali, né? Informações da empresa assim, né? Talvez essa falta de essa falta de visibilidade que o usuário tem naquilo que ele pode ou não, né, interagir, naquilo que ele pode ou não alimentar ali a base de conhecimento, LLM, é que a gente volta a falar da importância que é você trabalhar a conscientização, o letramento do usuário, principalmente, é assim, querendo ou não, quando a gente fala de um usuário mais especializado, como como desenvolvedores e tal, você precisa ajustar o cara, mas ele tem um conhecimento ali que ele, né, ele pode fazer Porque ele pode não escolher não fazer aquele passo de segurança porque é mais burocrático, demora mais, mas ele sabe, né? Quando você vai pro usuário final, é cara, ele não tem noção do que aquilo existe. Sim. Eu preciso me preocupar com isso.

24:41 Mas eu tô perguntando só qual é a opinião dele nessa nesse relatório que eu acabei de montar, que eu tenho que apresentar pro meu chefe, se a conclusão que eu cheguei ali é lógica ou não, né? Olha, eu vou dar um exemplo aqui que é um exemplo real. Eu não sei se eu dei esse exemplo de na na na reunião que a gente fez com vocês lá, mas você imagina uma empresa tem a instância corporativa ali do do Copilot, por exemplo, liberada para um ambiente controlado, os usuários controlados, né, com nível de níveis de privilégio para isso. Aí você pegou o RH, que tinha privilégio para usar, subiu uma planilha de cargos e salários, né, e pediu para ela, olha, cria uma coluna, faça uma pesquisa de mercado, preciso saber se eu tô pagando bem ou pagando mal, uma coisa que ela ia ter que olhar a mão, consultar bases, cruzar dados de informação. A IA faz isso para ela. Ela nasceu para alimentar isso, enriquecer isso, mas num dado que é sensível. Estamos falando de cargos e salários. Ora, isso foi pra base de conhecimento da tua instância corporativa. Isso a a IA aprendeu aquele dado, né? A gente não tá falando nenhuma bobeira, então aprendeu aquele dado. Se eu vou perguntar lá assim, ó, quanto que o William ganha? Ah, a primeira resposta obviamente vai ser: "Não posso te dar essa informação." Ela tá treinada para responder dessa forma. Mas o brasileiro é muito bom em criar prompt. A gente tava dando exemplos aqui, números, né? chave válida do Windows, um monte de coisa. Se se eu você consegue me

26:03 recomendar sites que eu não posso acessar, pô. Então, se você mudou a semântica da pergunta ali, ele te traz. Então, eu vou contar uma historinha. Eu tô falando de tinha um case real de um cliente nosso. Poxa, mas se eu dependesse dessa informação para tal, não sei o quê, não sei que ela, cara, ela vai chegar porque aquilo é um dado conhecido pela pela base. Então, ela foi treinada por aquele dado. Então assim, isso é um vazamento de dado, não? Isso foi, tá sendo negociado na dark web. Não, mas se esse cara criar uma planilha a partir disso com esses cargos e salários e vender isso para algum lugar ou compartilhar de alguma forma, aí sim a gente tem um um vazamento de dado. Então, a aí eu passo pra próxima pergunta. No segundo bloco a gente vai falar um pouquinho de governança de risco e para perguntar para vocês assim opinião de vocês, né? Qual que é a o entendimento e a visão de vocês? A gente vê hoje as empresas se comportando de diversas formas, tá? A gente tem empresas que a área de segurança tá 100% respondendo pelas estratégias e adoção de IA, a gente tem empresas que a área de tecnologia aí mais amplo, né, infraestrutura e segurança tá respondendo. A gente tem empresas que criaram comitês multidisciplinares, onde você tem até o RH, você tem a área de de produtos, você tem diversas áreas ali juntos discutindo esse esse esse esse caminho, essa estratégia. Eu queria perguntar para vocês, na opinião de vocês, quem

27:28 que deveria liderar essas conversas sobre governança de IA? É segurança, é TI, é comitê? Que que na no entendimento de vocês é o é o recomendado? Assim, obviamente pode trazer a experiência de vocês, não precisa dizer exatamente como vocês estão fazendo, mas o modelo que vocês acreditam que é o ideal, vamos chamar assim. Tem tem uma questão importante, né? Muitas organizações agora tão buscando inovar seus processos, né? Principalmente nós indústria, né? Tá num momento crucial onde a inovação ela é importante pra competitividade futura. Se você tentar segurar demais, você não vai conseguir. Você não vai conseguir. Então, adotar a a abordagem de entender o se é uma experimentação, se é uma aplicação efetiva em um processo crítico, entender como é que vai ser aplicada a IA e é a melhor forma, é a forma como a gente tá trabalhando, para falar de recomendação de governança, né? o quanto aquilo vai impactar o meu negócio, o quanto aquilo mexe com dado crítico, porque tem muitas coisas que o pessoal faz que é trivial, é para executar algo que não vai ninguém

28:52 entender o que que tu tá fazendo. É um negócio tão específico dentro do teu processo, um ponto tão específico que se alguém olhar para aquilo, vai falar: "Que que é isso?" Não vai entender. Então, qual que é o ponto aqui? você entender a aplicação da IA, a forma de uso, o impacto daquilo e separar para você entender como é que você vai governar é extremamente importante. Não dá para pensar em fazer algo padrão para tudo. Mas nessa linha de raciocínio, ele é correto entender que um comitê multidisciplinar aproxima o entendimento de dor de mercado? Um, eu acho que é pouco. É, né? É isso, é isso que eu tentei colocar, né? Então, por exemplo, quando a gente tá falando de inovação, né, Ajinomoto, hoje a gente faz o que a gente chama de fast track. Então, segurança já colocou os pontos principais de análise, o time de infraestrutura já colocou e aí aquilo segue um caminho que se tiver determinadas perguntas, a gente nem vai lá olhar.

30:01 Ele segue, ele segue para fazer experimentação dele, ele segue para, você faz o MVP ali controlado, você vai validando, né? Ele ele vai fazer. Agora, se algo que bate em alguns critérios, aí ele tem que vir aqui comigo. Aí eu vou olhar a solução, vou ver como tá com que ele tá fazendo, que expertise que tem que ter, o quanto de segurança tem que ter naquele código, porque senão você trava tudo, você não vai ter condição de responder. Exato. Você não vai ter condição de responder. Então, a gente separar essas aplicações e separar o quanto aquilo é relevante, segurança contribui de fato, é extremamente importante para construir esse comitê. Então agora se você falar assim, não é um processo estabelecido que a gente vai mudar e implementar e aí é diferente. É um processo de valor, tá na cadeia de valor, é outra estrutura. Outras pessoas precisam decidir aquilo, outras pessoas precisam considerar sobre aquilo. Quem vai dividir esse risco, né?

31:06 Exatamente. É. E para você, Giba, como é que é isso? Cara, eu entendo assim, é um, tem que ser um comitê multidisciplinar, como é um comitê de risco. É exato. Não é, não é só a segurança não é só a segurança que vai falar, não é só a TI que vai falar. Tem até a gente tem que ouvir as outros, o nosso cliente interno também, porque a definição vai vir muito dele. Segurança não pode ser, não pode impactar o negócio, né? Eu não posso minar a inovação ou minar a solução lá na ponta de que vai melhorar o o negócio, vai trazer mais resultado pra empresa. Mas o negócio também tem que ouvir que segurança que aquele aquela inovação pode trazer um risco e esse risco a gente tem que de alguma forma tentar tangibilizar. Dentro de um comitê de risco e dentro do comitê para essa parte de governança de IA também. É, e aí eu vou vou complementar aí a tua a tua resposta, né, na verdade a resposta de vocês com uma visão que a gente tem recebido, assim, o feedback que a gente tem recebido dos clientes que a gente tem conversado, né? Acho que uma grande estratégia que esses clientes que a gente tem falado, tem adotado e tem funcionado, pelo menos na no feedback que a gente recebe, é aproximar segurança do dia a dia, né, do usuário. Então, esse esse esses comitês que são estão sendo criados ou a essas iniciativas que as empresas estão tendo, como fast track, né, que é para você acelerar ali

32:30 as MVPs, né, e tal, eles buscam na prática, se a gente for pensar, o entendimento real de uma dor que vai ser atendida. Então assim, ó, cara, você quer usar IA, beleza. Para quê? Qual é a dor que você quer endereçar com o uso dessa IA? E aí, com essa pergunta simples, você consegue validar muita coisa e criar procedimentos e e governança para isso. Eu costumo dizer o seguinte, governança não pode ser uma etapa final, ela tem que ser parte do processo. Sim. Se governança a empresa, vocês que estão assistindo a gente, ela é parte final de avaliação, esquece, segurança, tecnologia, vai virar o vilão da história, porque você vai ser o cara que vai dizer não. Você vai dizer, você vai ser a pessoa que vai olhar pro processo e falar assim: "Não, risco, vulnerabilidade, não podemos aceitar".

33:30 Aí você perdeu duas semanas, três semanas, quatro semanas, alguém fazendo alguma coisa para no final você dizer que não serve. E não serve, não é porque não é bom, não serve porque não é seguro. Então, se você traz política e governança somente pra etapa final do processo, você tá correndo o risco de não ter soluções que endereçam dores do mercado, dores de vocês, porque você não pensou em segurança durante o processo, porque você não pensou em governança durante o processo. Então, uma dica que eu posso dar de feedback que a gente tem recebido é, cara, você ter uma segurança, uma área de tecnologia ou ter esses comitês sempre muito próximos do usuário final para entender essas dores, para entender o que que você busca endereçar. Você tá usando IA para acelerar ou para automatizar, é um processo que é repetitivo. É uma tarefa que você faz ali todo dia. Você tá pegando um LLM, um NotebookLM da vida, um Grok [?] da vida para poder te ajudar, cara. Show de bola. Vamos entender. Faz sentido se eu perder um cara que nem você, uma pessoa, poderia estar pensando numa estratégia diferente para fazer um negócio ali que ele é é é é repetitivo.

34:39 Cara, legal. Agora você vai mexer no processo da empresa, tá no caminho crítico do meu negócio. Cara, calma aí. Então vamos entender se primeiro se o que você quer usar é a melhor solução, é melhorar para isso. E aí no, por exemplo, no assessment que a gente faz, né, até comentei isso com o Giba lá e a equipe dele, um dos entregáveis é um modelo de arquitetura sugerido. Você quer gastar quanto de token? Você tá disposto a quanto para gastar, né? Eu dei, a gente dá um exemplo de uma empresa agora no nos Estados Unidos que liberou o uso do Claude [?] e pagou 500 milhões de dólar no primeiro mês. E tão disposto para isso? tem caixa. Então assim, endereçar, entender quais são as dores que vão que vão ser atendidas pelo uso de IA faz total sentido para você criar política, para você criar governança e principalmente para você definir qual a tua arquitetura de IA. Eu vou para modelo interno, vou para modelo cloud, eu vou para modelo híbrido, eu vou desenvolver algo que vai ficar aqui dentro. A gente tava falando com com o pessoal do do de judiciário, né, brasileiro. Cara, uma preocupação de soberania digital. onde é que estão os meus dados hospedados e tal, esse tipo de coisa. Todo mundo partindo para uma para uma arquitetura interna, tá, bicho? Mas assim, você criou uma arquitetura interna, você acha que tá você tá seguro. Essa arquitetura, esse modelo, essa LLM que você construiu, ela tá consultando o quê?

36:01 Uma base de conhecimento interna. Show de bola. Como é que você alimentou essa base de conhecimento? Ah, não, ela tá buscando, cara. Meu, não tá dentro. Então, assim, não tá dentro de casa. você tá jogando isso de alguma forma na rede. Então, assim, trazer essa essa reflexão, trazer esse feedback dessas experiências positivas de como as empresas têm feito, eu acho que faz total sentido, né? A segurança não precisa ser o vilão da história, né? A TI não precisa ser o vilão da história, né? A gente tem que trazer se aproximar do usuário para entender quais dores ele tá buscando endereçar. E eu aproveito para fazer a próxima pergunta que é: vocês acham, eu tô rindo porque eu já recebi diversas respostas para essa pergunta. O board, o conselho, ele realmente entende o risco de IA ou ele tá preocupado em na próxima rodada de tênis que ele vai ter com os amigos que são conselheiros ou diretores de outras empresas, tá todo mundo usando IA e eu não tô usando. Ou seja, eu quero surfar o hype ou eu tô preocupado e eu sei quais são os riscos. Eu entendo que pode acelerar o meu negócio, mas eu entendo os riscos associados a a essa adoção aí de forma genérica, tá? Não precisa falar assim, ó, o meu board lá, não, que eu tenho visto no mercado, né? Vocês podem dar trazer essa experiência, mas na prática eu queria entender como é que vocês estão olhando para isso. É, eu

37:25 penso que o board ele tá pensando num negócio, ele quer acelerar, ele quer colocar implementação. Já vi muita, muito caso de vir top down. Vocês tanto de tem que usar e quem não tá usando a IA, eu quero relatório de uso da IA, porque é isso que vai alavancar o negócio. Eles não estão preocupados com o risco. Eles não não têm essa visão do risco ou de tangibilizar esse risco. Uhum. Até porque, ô Giba, vamos vamos ser sinceros aqui, né? é um gap histórico, vamos chamar assim, da área de tecnologia de conseguir tangibilizar risco. Sim, para negócio, né? Eu me lembro nesses anos todos que eu trabalho com tecnologia, já participei de diversas reuniões de diretoria, de board, de cons de conselhos, onde o cara, né, o CISO, o gerente de segurança, ele chega lá com um relatório com 3.000 vulnerabilidades, né? Primeiro caso, cara, isso tudo, mas eu te dei milhões de orçamento para você. Tem gente ainda tem 3.000 vulnerabilidades, cara. 3.000, dependendo do estrutur da da do ambiente é nada é nada. Essas vulnerabilidades estão no teu ambiente, no teu ambiente de desenvolvimento, estão no teu ambiente de produção, de homologação. Onde tá isso, né? Então, sempre foi um gap aí, eu tô dando a minha opinião, tá? Que a gente até trabalha muito bem na Vortex, nos relatórios que

38:47 a gente faz gerência de serviço, mas que é traduzir risco, vulnerabilidade, exposição em risco de negócio. Sim. é o quanto meu negócio pode ser impactado. Então eu acho, eu concordo contigo, a maioria dos dos conselhos, dos boards não tão preocupados, não tem não não tão preocupados, é uma palavra forte, mas não tem essa visibilidade ou entendimento, muito mais por um gap histórico de tecnologia, não não catequizar o negócio, não trazer essa cultura de risco de negócio e aproximar isso para eles, porque senão isso é intangível. Sim, né? Não é comum. E aí a gente faz isso muito bem também. É você falar para um para um gerente de segurança ou para um CISO e conversar com um cara sobre BIA, sobre PCN, né? Desafio que empresa de segurança, tirando uma Big Four da vida, vai chegar para você e vai te questionar, pera aí, se teu ativo aqui tá no caminho crítico do teu negócio, a maioria das empresas não sabem nem qual que é o negócio, fim do cliente. Ela mensaliza um ciente [?], gera um monte de alerta e toma aí e trata isso. É isso aí. Então, a preocupação com o negócio ou o caminho crítico disso ajuda a tangibilizar isso, né? E aí, William, o que que você acha dessa desse bate-papo aí que a gente tá tendo?

40:02 Eu vou contar uma historinha para vocês, tá? Boa, adoro. É, esse eu posso falar da Ajinomoto, não tem problema nenhum. Nosso CEO hoje global, ele é tava no Brasil há alguns anos atrás, né? E lembra a história do ChatGPT que eu contei aqui, né? O posicionamento dele, ele é um cara de pesquisa e desenvolvimento. Ele desenvolveu um dos melhores produtos que tem na companhia. Ele virou para mim e falou assim: "Eh, é uma ferramenta de inovação. A nossa empresa nasceu de uma inovação incrível. Para nós é estratégico ter a ferramenta a partir dali. Foi sim, senhor. OK. Então, que que como é que a gente se posiciona, né, junto com os RS [?] ou os executivos que estão nos processos de negócio, apoiá-los a avaliar o risco. Então, eu faço parte da avaliação do risco, faço a inteira. É um risco de negócio, né? Tem que ter um negócio envolvido, né? Você tem que ter diversas pessoas falando, a gente volta pra questão do comitê, a Ajinomoto vende... a Ajinomoto vende segurança [?]. Então como é que você vai responder pelo negócio da empresa? Então assim, é isso,

41:25 é trazer pro debate essa visão multidisciplinar, porque o negócio é feito de diversas áreas. Quer dizer, o board tá vendo essa aceleração, a inovação, né? E e vocês estão ali vendo a exposição e o risco. E aí conscientizar e trazer pra mesa desafio equilibrar isso, né? negócio e equilibrar essa balança, né? Eu comecei o nosso bate-papo falando exatamente isso. Qual que é o desafio? É você equilibrar a velocidade, aquilo que impulsiona a aceleração do negócio com o nível de exposição que você tá disposto a a ter. Sim, né? E esse é o grande desafio, mensurar isso. É. E e vocês como segurança é trazer esse essa essa visibilidade sobre esse tema, né? O meu, cara, foi perfeito. Assim, o meu papel é é cara aqui, ó, levantar a mão aqui, ó. Red flag aqui para para o uso disso, por isso, por isso, por isso aí. Ah, mas isso vai acelerar a essa velocidade o negócio, cara. É um risco que eu tô disposto a assumir. É ou não é? É, vamos dar esse passo, vamos pra frente. Não é. Vamos segurar aqui até a gente ter processos, ferramentas, enfim.

42:34 Mas pelo menos vai estar mapeado e vai estar claro para todos. Perfeito. É isso. E não e não é uma isenção de responsabilidade, né? Não é. Então assim, a gente tem que lembrar quando a gente fala dessa dessa dessa desse tema, né, assim, claro, a gente vai sempre trazer a visão do que pode acontecer e o negócio pode comprar, não tem problema, mas a gente tem a responsabilidade de monitorar, a gente tem a responsabilidade de saber o que tá acontecendo, né? é pensar nos planos lá, o que que vai fazer, como é que vai fazer, que que a gente vai adotar, qual e a gente tá vendo o movimento, né, de de todos os fabricantes, né, pensando muito nisso, né, então criando meios e ferramentas, né, para que a possa ajudar, né, as equipes de segurança das empresas a a criar essa essa gestão, ter esse controle, né, o o maior possível, né? Então, se você pode ver para todos os fabricantes, tá todo mundo lançando aí, né, a as suas iniciativas, seus módulos para ajudar, né, vocês nesse desafio que é que é muito grande, né? Então aí aí vem o que o El'Osta tá falando, essa parte desses assessments para você conseguir entender, ver o qual que é a sua posição, em que momento vocês estão e e na realidade quais são as melhores ferramentas, o melhor caminho

43:57 para você seguir, né? Então até isso tá difícil para você conseguir e direcionar esse caminho, né? É na prática, né? O que que a gente faz, né? Nesse assessment a gente o objetivo não é vender um produto, né? Não é esse, né? É dar visibilidade frente a a alguns frameworks de mercado, não é? Uma uma metodologia que o Victor, né, que o Victor El'Osta, o El'Osta inventou. A gente vai olhar, pô, AI [?], a gente vai olhar ISO 42001, né? vai usar para vai olhar para LGPD, vai olhar para OWASP LLM, vai olhar para uma série de frameworks e vai dar visibilidade pra empresa da empresa e como é que ela tá de aderência ou de maturidade frente a esses frameworks. Isso que é o primeiro ponto. Uma coisa que a gente faz muito interessante nesse assessment é dar uma visão tridimensional das respostas. Que que é uma visão tridimensional das respostas? Não é uma resposta binária, sim ou não. É uma resposta que ela ela tá orientada pra política, ela tá orientada pra governança e ela tá orientada para o enforcement ou pra auditoria. Muitas das vezes o teu gap é política. Ou o teu gap você tem política, o teu gap é governança. Ou você até tem política, você tem governança, mas você não tem formas de garantir que aquilo tá sendo executado. Então o teu gap é outro. Então a gente traz essa visão para justamente dar visibilidade, né?

45:22 E conhecimento a todos de cara de como é que eu tô. Ah, Victor, como é que tá o resultado dos assessments que você tem feito na maioria das empresas? Cara, o resultado é ruim, é algo muito novo, é algo que as empresas estão tendo que correr atrás. A gente começou o bate-papo aqui falando disso. Humum. Mas é muito melhor eu ter visibilidade do quão ruim eu estou ou se médio estou ou se bom estou do que não ter visibilidade nenhuma e achar que estou bem. É, então a falta de conhecimento nesse caso, na maioria dos casos, né? ela é muito mais perigosa do que você conhecer que você tá ruim. E aí eu faço aqui uma provocação para que vocês comentem, que eu acho que tá exatamente ligada ao que a gente acabou de falar. A maioria das empresas ela ela não sabe diferenciar ainda adoção de IA e governança de IA. Adoção de IA é relativamente fácil. você vai pegar uma IA, você vai acessar e pô, até adotei a governança exige processo, exige política, exige muitas das vezes até ferramenta e as empresas não enxergam isso muito claramente. Como é que é para vocês essa divisão? Vocês têm essa assim aí, não só vocês, mas a companhia, né, as pessoas que estão ali envolvidas nesses processos, esses comitês, tem noção do que que é governança, do que que é adoção de IA? Quando você vai discutir com com um comitê, você tá

46:45 discutindo adoção, você tá discutindo governança. Como é que tá isso para vocês hoje? Todos os conceitos são muito novos, né? E a gente tá falando de indústrias que o objetivo delas não é produzir IA. Perfeito. É meio para para um fim, né? Isso aí. Então, de novo, né? Acho que quando eu converso com os times de engenharia, que são grandes adotadores de IA, né, eles consomem IA que é uma beleza, é, eles têm esse conceito um pouco mais aflorado a de saber o que que é uma governança de IA, o que que é uma adoção de IA. E eles são como nós mais técnicos, né? Agora, pros executivos de verdade, eu nem espero que eles saibam. Se eu tiver um executivo que saiba isso no meu, na minha organização, acho que tá alguma coisa não tá indo muito bem, a não ser que seja o cara o cara da inovação que cuida de IA, né? Se talvez eu não esteja fazendo o meu trabalho direito, né? Porque tem um executivo que tá querendo falar coisas que eu deveria levar soluções para ele. Sim. Acho que não sei se eu tô sendo muito pretensioso aqui, não. Mas eu acho que tá até correto. Você tem que fomentar esse tipo de pensamento. Nós precisamos resolver e

48:06 falar, precisamos fazer isso aqui, isso por isso, isso funcionar de tal forma, isso profissional de tal forma e a nossa organização seguir de tal maneira. Caminha desse jeito, né? Caminha desse jeito, tem esse direcionamento, né? Porque se ele chegou a entender o que é a diferença de adoção e governança, significa que ele já teve a dor grande. Ele já pesquisou em algum lugar, né? Já já tá sofrendo para você, Giba. Como é que é isso aí? Cara, eu acho que a adoção, o usuário já adotou e já tá lá. Não tem, a gente não tá discutindo adoção, porque o usuário já adotou, adotou em casa, adotou no celular e muitas vezes adotou lá no no equipamento corporativo. O que a gente tá discutindo de fato é a governança. Como é que a gente governa essa adotada? Pode todas, não pode todas. O que que pode colocar? O que que pode compartilhar? Eu posso subir arquivos em todas ou não? A gente tá nessa fase de governar como é que a gente coloca os guardrails, principalmente nas IAs públicas [?] do de quem, quais os usuários vão acessar e como que eles vão acessar, que que eles vão estar usando lá.

49:09 Eu eu costumo dizer o seguinte, né? Sim. E aí, voltando ao paradoxo produtividade e proteção, né? Segurança, a gente tá automatizando produtividade numa velocidade muito mais rápida do que a gente tá automatizando segurança. Sim. né? Isso tem muito a ver com o que a gente falou no início, que é o fato do usuário ter adotado isso primeiro, e depois a gente tá falando de governança. Então, essa é uma questão muito forte em todas as empresas, que todo mundo tá vivendo exatamente e essa fase. Quando a gente fala de segurança, SOC, operação, automação, vou vou comentar uma frase aí, vocês concordem ou não. A IA tá ajudando os times de segurança ou apenas aumentando a velocidade da corrida? Ou seja, a IA tá me ajudando ou só tá me fazendo correr mais rápido, né? E eu tô do mesmo, não cheguei em lugar nenhum ainda, eu só tô correndo mais rápido, tô me desgastando mais. Que que vocês acham nesse sentido?

50:11 Eu tenho os dois cenários. Boa. Eu tenho os dois cenários. Quando quando a gente pensa em análise comportamental, tá ajudando, tá? Então, quando eu uso entender padrão, né? Isso aí, ah, para entender o padrão do meu usuário, para me dizer: "Ó, esse cara tá fugindo do padrão, esse processo aqui não faz isso normalmente". Uhum. Ela me ajuda bastante, porque isso é muito trabalhoso, isso é muito difícil de fazer, né? Agora, quando a gente fala do que a gente conhece como tradicional, em segurança, não tá ajudando muito, não, tá ajudando só correndo, né? Então, o que a gente tem tá ajudando o atacante, né? É, não sei, não sei bem se é o atacante, mas para mim não tá me ajudando, porque o a velocidade que a gente tem, novas coisas acontecendo na no fora da da organização, os nossos sensores, filtros, seja o que for, não acompanham de jeito nenhum. De jeito nenhum, né? Eu vou vou vou descer um pouquinho aqui, né? Então, a a IA dos nossos fabricantes que deveriam fazer as

51:32 classificações lá dos sites, parará, só para falar de conteúdo de filtro web, pois sim, não dá conta do que tem de problema de categorização e site não categorizado, isso afoga time de segurança, porque o usuário quer acessar, você precisa parar para analisar, ver o que que é e tal, quando deveria ter uma inteligência artificial funcion funcionando num produto para resolver esse problema e poderia resolver, né? Eu costumo dizer que é um paradoxo, né? A mesma IA que ajuda o SOC, acelera, né? ela também aumenta a pressão. Então assim, porque você tem todos esses ambientes evoluindo e mudando de forma numa velocidade que você não consegue humanamente sem o uso de uma IA do outro lado acompanhar. Mas e a essa pressão, ou seja, essa pressão aumenta muito. E aí, Giba, que que você ia falar aí do do atacante?

52:28 Não, ia falar que o hoje o atacante ele já tá usando, né? Ele ele não tem filtro, ele não precisa pensar em governar, política, tem guardrail, não tem nada, ele só tá nem horário, né? nem horário, ele faz o que ele quiser, na hora que ele quer e aí com isso escala absurdamente. Você não consegue responder no no na no nível humano os ataques do jeito que tá vindo em velocidade máquina, né? E aí, por exemplo, eu tava comentando também numa numa conversa, você tem um dado público, se eu não me engano, da IBM, né, do tempo médio, né, que uma pessoa, que um atacante fica dentro do ambiente para até virar um incidente, né, 280 e poucos dias, 200, 200 e tantos dias, se cara, exatamente o que o William falou, né? Se você tem aí a nessa análise de comportamento, por mais que você tenha ali um atacante com uma credencial válida, se conectando no horário comercial, simulando ali o comportamento do usuário, em algum momento ele vai tentar uma senha não vai funcionar, algum momento ele vai tentar fazer um download de alguma coisa. Então assim, cara, a gente tá falando de 200 e tantos dias dentro de um ambiente até que subi um incidente. É muito tempo. É muito tempo. Isso para mim mostra uma incapacidade que a maioria das empresas ou grande parte das empresas têm hoje nessa análise de comportamento, né, de você ter um um ferramenta, um parceiro do lado ali que te ajude nesse ligão [?] de maturidade para que você consiga ter essa visibilidade. Sem isso, não tem

53:51 como. É isso. Entra na próxima pergunta e que eu ia falar, embora já saiba a resposta, mas eu queria muito ouvir a opinião de vocês. É um SOC tradicional. Ele consegue acompanhar esses ataques acelerados por IA? É meio que eu já respondi, né? É impossível. É impossível. Mesmo com IA, tem existem estudos que mesmo com IA a as o a segurança da informação ainda não consegue responder na velocidade que os ataques acontecem. É, então do tradicional com pessoas ali olhando e alerta. Vou te dar um dado, Giba que é muito legal. Depois eu vou vou te buscar a referência certinha para te passar, mas foi tem um estudo não direto porque são estudos distintos, mas se eu usar uma IA para atacar, eu demoro 8 minutos para conseguir um ataque bem sucedido. Se eu usar a mesma IA para defender, eu demoro 14 minutos para defender. Então a gente sempre tá atrás. Então assim, a gente, eu já tenho uma disparidade usando a mesma tecnologia, tá? Usando a mesmo recurso tecnológico, que é a IA. Se eu não aplicar inteligência nisso, se não trouxer contexto, se eu não trouxer inteligência, se tu não trouxer comportamento, se não tiver cara, esquece, a gente sai atrás, a gente já sai atrás desde que existe segurança, né? É uma máxima que a gente fala também, que é o o o atacante tem que

55:11 acertar uma vez, né? Sim. A gente a gente tem que defender todas. Então assim, é um trabalho é ingrato, vamos chamar assim, né? Então é, não sei por que a gente tá aqui. É, cara, é o goleiro que toma aquele frango, né? No final, defendeu todo, tomou um gol, tomou um gol, perdeu o jogo, já era. E aí, ô William, você concorda? SOC tradicional dá conta disso aí? Certeza que não, né? Certeza que não. Precisa repensar os modelos, né? E de novo, né? assim, a inovação que traz aí a IA dentro do ambiente, dentro da do cenário externo também, quebra todo o modelo do SOC. Sim, a verdade é essa aí, aquela estrutura de receber log, tratar log, receber log, tratar log com uma determinada característica, uma determinada regra de análise. Acabou, não tem como. Então assim, se você não tiver uma ferramenta que consiga olhar e no aqui eu não tô falando de ferramenta, pelo amor de Deus, mas que consiga olhar meio pr essas variáveis de análise dentro dos dados que ele tem do contexto de negócio, né, e comportamento, não vai, não vai, não vai, porque assim,

56:32 A gente não falou aqui, mas se você não conhece a identidade do teu usuário, já começou Começou mal. Você não sabe quem é aquele cara, o que que ele faz na organização. Sim. Você já começou perdendo, né? O que ele deveria ter acesso ou não, né? Você não discutiu isso antes. Já começou porque você não vai saber se aquilo ali que ele foge um padrão comportamental. Tá vendo é de fato válido ou não? Primeira coisa é entender como é que todo mundo trabalha com o proced depois você entender o comportamento. Se você não consegue ter isso, e é humanamente impossível você ter conhecer os seus, sei lá, 7, 10, 15, 20.000 usuários. Você vai ter que ter inferior [?]. O senhor não quer falar ferramenta, mas tem que ter ferramenta. Posso falar um exemplo? Pode um exemplo pequeno, pequeno. Um usuário que ganhou uma permissão de acesso, se você não conseguir olhar na sua ferramenta que dá autorização e aprovação para isso, para ver se aquilo tá aprovado, já começou mal aqui, já tá, você já tem um gap em teu ambiente, né?

57:43 Sim. Então daí pra frente vai. Então assim, eu tava falando num negócio simples, né? É. O cara ganhou um acesso. Não era para ele ganhar esse acesso. Tá aprovado. Putz, eu não consigo ver que aprovou. Tem que chamar um analista para olhar. Cara, já foi, já foi, já foi, foi, já foi. O ataque já aconteceu. É, e você nem sabe, né? Esse é o ponto. E aí, olhando para esse contexto de IA, olhando para esse contexto de SOC, não necessariamente um interno, mas vocês têm a estrutura de vocês hoje de de de analistas, especialistas internos. Vou falar uma frase aqui, vocês me me digam se está certo ou não. Sou um analista de SOC. A gente recebeu aqui no chat agora ao vivo, ó. Sou um analista de SOC N1. Preciso me preocupar em manter meu emprego com uso de IA. Que que vocês acham? Eu eu diria eu diria para ele que não, mas não agora, né? Não, essa semana ele precisa mudar a visão do que é o emprego dele, né?

58:46 Então assim, acho que o o analista de primeiro nível do SOC, ele vai deixar de operar, visualizar alertas para ser o cara que vai apoiar na supervisão dessa IA. Sim. Né? Querendo ou não, a gente pode falar o quanto a gente quiser de agentes de agentes supervisórios, gestão por agente, ainda assim precisa de alguém que conheça da prática, conheça, ter o olhar humano, não tem como automatizar tudo, né? Sim. Para ajudar a acelerar aquele processo e apoiar a evolução daquilo. Então eu eu diria isso para ele, assim, vai estudar um pouquinho mais, né? Um pouquinho mais certo? me agradece depois, mas dá uma dá uma estudada, dá uma analisada nisso daí que você vai me agradecer no futuro. É, é, é aquilo que o El'Osta falou logo logo no início, né, da nossa conversa, porque o cara que tá usando lá a IA, né, ou quem tá supervisionando, ele tem que ter o domínio, né, do do que aquela IA tá fazendo ali, porque a resposta dela vai ser diretamente, né, como fala, vai ser diretamente, é, tá ligado? assertiva, né, de acordo com o que o entend com o que ele tem de entendimento. Porque é o que você falou, não adianta só colocar lá para ela

1:00:09 automatizar ou supervisionar. Alguém vai ter que tá supervisionando ela e vai ter que entender se o tudo que ela tá fazendo está correto ou não. A correlação que ela tá te entregando, o pensamento que ela tá te entregando. É isso. Eu preciso conhecer além da minha arquitetura, além da de como as coisas funcionam, preciso entender como é que a IA a Sim. Eu tô contratando com capacidade de ferramenta e se eu não entendo aquilo que faz, cara, não adianta, né? É uma máxima do A IA tá fazendo e você vai usar essa essa essa IA para você automatizar processos de resposta de melhoria, né? Então se ela não se você não tiver domínio sobre isso, será que o que ela tá tentando ajustar ou resolver tá sendo assertivo ou não? É aquela máxima, né, de a IA vai substituir o meu emprego, vou perder o meu emprego para uma IA, um robô vai fazer aquilo que eu faço hoje, né, cara? Não necessariamente. Ele vai sempre precisar de alguém ali por trás.

1:01:04 Então, mas será que vai ser o N1? É perfeito. Então, existem funções que vão deixar de existir por uma questão óbvia de poder de processamento. Ponto. Não dá para você comparar o que uma IA pode fazer com o que um analista pode fazer, né? né? Então assim, a a gente faz um exemplo de, sei lá, que a gente faz de resposta automatizada muito tempo sem esse hype de IA, exemplo. Então, uma credencial vazada, meu time de threat [?] lá pegou essa credencial vazada, eu me conecto ao AD do cliente, eu valido aquilo, eu bloqueio e faço reset de senha em 45 segundos. Eu já faço suas [?]. Quanto tempo um analista N1 pega uma lista de 150 credenciais vazados? sendo bonzinho, porque é sempre muito mais do que manualmente. Como é que ele valida se é um usuário que existe, se ele tá ativo, se ele não tá ativo na mão, estamos falando de algumas horas. Isso se o alerta não chegar na sexta-feira às 5 da tarde, virou segunda, né? pro cara olhar, cara, credencial é o um dos principais vetores de ataque e e assim é algo que dificulta a gente que trabalha com segurança, porque você tem um acesso válido de uma credencial que existe, de um usuário que tá ativo. E aí se o cara, o atacante tiver, cara, tá de férias ou tá trabalhando, se o atacante tiver minimamente uma inteligência aplicada, ele vai se comportar como aquele usuário. Sim.

1:02:25 E como é que você pega isso? É muito mais difícil. você vai pegar num num desvio padrão ali que possa acontecer. Mas se se esse cara souber e for um ataque direcionado, não for alguém ali fazendo um movimento aleatório, um ataque aleatório, eu quero pô pegar mais morto [?]. Então eu vou entender qual é o usuário, eu vou entender qual é a função dele, eu vou entender tal e vou me comportar, cara. Isto esquece, você vai demorar muito para pegar, né? E e é nesse sentido a a provocação. Acho que assim, ele tem que se preocupar, eu acho que precisa se preocupar no intuito de crescimento de carreira. A função exatamente que ele exerce hoje não vai não vai existir mais. Ele precisa entender como é que a IA funciona, ele precisa entender o ecossistema, ele precisa entender a arquitetura, ele precisa entender como é que ele orquestra isso. Assim, agora é minha vez de fazer uma provocação. Faça, por favor. pensando em mercado, se aí você tem o N1 que não vai não vai mais existir porque você tem agentes que vão operacionalizar todo ali. Como é que o N1 que tá em início de carreira, como é que ele sobe para N2, N3 se ele não vai ter essa base ali do N1? Ah, perfeito. É, é, é o que a gente, é o que muita gente é que muitas vezes a gente tem, por exemplo, o William deu essa experiência dele que tantos anos que ele tem de experiência, ele veio de infraestrutura, foi migrando para chegar em segurança. Ele tem esse background de infraestrutura que ele conhece o negócio. A maior dificuldade que a gente vê hoje até pra contratação é o cara sair de uma faculdade ou sair de um negócio sem esse background, sem essa experiência. E

1:03:52 aí, como é que você, o cara querendo entrar como como especialista, o cara querendo entrar, mano, você não sabe nem como é que faz o básico do negócio. Sim. Então, acho que assim, aí a gente entra, ô Giba, numa discussão de formação acadêmica, onde eu acho que os cursos precisam se preparar um pouco melhor, né, a a a dar essa base, obviamente, não tão prática, mas pelo menos teórica de como é que as coisas funcionam. Então assim, que que eu quero dizer com isso? Eu tenho duas filhas. Se amanhã ou depois eu sei lá, ela eu vou pedir para ela, a gente gosta muito, por exemplo, de churrasco lá em casa. Então a minha filha vai fazer um churrasco. Se ela não tiver experiência do que é um churrasco bom ou se eu não ensinei para ela o que que é um churrasco bom, ela não vai fazer um bom. E nem mesmo que ela contrate alguém que faça por ela, ela não vai ter capacidade de julgar. Julgar se é bom. Isso que ela faz. Você não sabe se tá boa ou se é boa assim.

1:04:49 Qual parâmetro? Ah, o cara pegou uma carne de segunda, botou mal passada para ficar molinha, te vendeu como picanha e acabou. Então assim, tem que saber fazer, precisa ter a prática é é ideal, mas tem que conhecer pelo menos. Tem que ter passado um perrenguinho ali, né? Tem que ter passado um incidentezinho ali, um quem aí a gente cresce. Mas a gente tá, a gente tá enfrentando e uma é uma realidade uma geração que não passou por isso, cara. uma uma geração que nunca pegou um incidente, que nunca pegou uma sala de guerra, sabe? Que nunca pegou um domingo de Páscoa com incidente, sabe? Um feriado, Natal, o cara não sabe o que que é isso, não sabe o que que é um tabletop. Você falar com o cara, você se acontecer isso, isso e isso, o que que eu preciso fazer? Hã, barata voa, ninguém sabe o que acontece. Então assim, esse e e aí respondendo a tua provocação, acho que é parte responsabilidade das faculdades, né, dos cursos ali, de ter essa preocupação, de ter esse viés, que, cara, sejamos práticos, né, e não ingênuos. Só vai vir se um professor tiver essa visão, se um um coordenador de um curso tiver essa visão prática e que eu vejo de forma acadêmica cada vez mais distante da da prática, né? você tem acadêmicos sendo formados sem

1:06:12 experiência prática, dando aula para outros acadêmicos e um ciclo que vai se se escalando, né? Você não tem um cara de mercado que hoje ocupa uma quando a gente fala de MBA, de especialização, não, não, muito menos, quase zero. Você geralmente tem um cara de mercado que ainda tá trabalhando inclusive trazendo esse viés, mas quando a gente traz pro nível mais básico, até técnico antes até do do do nível superior ali, cara, é o acadêmico dando aula pro acadêmico que você pergunta na prática o que que o cara fez. É, é o cara que tá vendendo vendendo curso de como ficar rico e não é rico. Quer dizer, no final você vai ter que contratar aquela pessoa e qualificar internamente. É o que na realidade acaba acontecendo, né? né? Você vai trazer um cara cru de mercado, o cara acabou de sair da faculdade, ele vai ter um básico, uma visão, mas você vai ter que vai ter que ensinar ele ali dentro para trabalhar nos moldes e nas cidades [?] da sua empresa. É difícil hoje você, primeiro, difícil hoje você contratar, qualificar e depois reter, né?

1:07:15 Porque no mesmo momento que você contrata e qualifica, o mercado se abre para essa pessoa, né? Todo mundo quer o cara qualificado. É. E você que preparou o cara, né? E você que preparou, então são são desafios, né, qualificar e e reter esse exatamente, é mais difícil, a gente vive isso direto, né? você forma o cara e você dá experiência pro cara e o mercado absorve ele de uma outra forma, o cara recebe uma proposta e o cara também não tá preocupado em não tem uma dívida de gratidão com você porque você ensinou a ele, o que ele sabe hoje. Não, isso acontece muito. Agora eu queria pegar um pouquinho ou na verdade concatenar esse assunto todo que a gente tá falando aqui de IA com uma realidade crítica e operativa de vocês que são indústrias, tá? Então, quando a gente fala de TI, o impacto é o vazamento. O grande impacto é o vazamento de dados. Quando a gente fala de OT ou de ambientes críticos, o grande impacto é a interrupção operacional.

1:08:12 Como é que vocês enxergam essa e essa diferença aí entre uma coisa e outra? sem briga para responder, pode ficar tranquilo. É, interrupção operacional pode acontecer por conta de decisão ou de processo automatizado, erroneamente, talvez por conta de da qualidade dos dados que foram treinados a IA. E é alguma coisa, é algo que impacta direto o negócio, né? Você tem uma máquina, você já vê hoje a galera preocupada com isso. A questão é assim, por exemplo, se eu for olhar, se eu fizer um corte no tempo aqui, olhar vai seis meses atrás, tá? Não vou muito longe não. Seis meses atrás, eu via muito uma realidade mais criteriosa, mais, sabe assim, com medo. Ah, não vou usar IA no meu ambiente crítico, tô muito distante disso. Não, não tô muito a indústria 5.0, calma, isso tá lá na frente. Vamos olhar aqui com calma isso, cara. E e se for fazer um corte pra semana passada que eu tava falando com uma indústria, já tem coisa para caramba rodando. E aí faz um paralelo com ele aqui, cara. Os engenheiros são os que mais tão consumindo esse negócio. Então assim, a minha preocupação é o quanto isso ainda tá distante de virar uma realidade operacional. Por

1:09:35 enquanto, eu acho que ainda tá numa fase experimental. Eu tô modelando, eu tô criando algumas coisas. a gente já tem linhas de produção que usam, já tem algumas coisas que estão minimamente utilizando já. Falta ainda clareza ou uma regulação específica também. O Brasil não tem isso muito claro, né? Então tá todo mundo um pouco com medo de implementar IA e depois ter que retroceder porque sai uma regula uma regulamentação que me exige algo que eu não pensei e fiz. Então é é mais nesse sentido assim, né, de que de como é que vocês estão vendo isso lá lá para você, William, é uma realidade, você já até comentou, né? Mas precisa para fechar essa lógica, você precisa lembrar que usualmente indústria de alimentos, indústrias farmacêuticas, elas têm uma regulamentação que elas têm que atender. Perfeito. Perfeito. Já existe, né? Isso não tem como, independente do que você for aplicar, você precisa tomar o cuidado com o teu produto, né, com com a qualidade dele.

1:10:39 Isso é muito forte lá pra gente, né? E então assim, a gente tem negócios que vai de produtos alimentícios a insumos farmacêuticos, né? Então o nosso leque lá é bem grande. Então o que que o pessoal tem essa preocupação? Então assim, tem tem a aplicação da IA, ela vem apoiando produtividade, né? E quando ela tá dentro do processo mesmo, no processo, ou seja, eu tô falando que ela influencia na qualidade final, se um erro de IA pode me gerar uma perda operacional, pode me gerar uma parada de linha, pode me gerar um produto, uma com uma variação de qualidade, ela é supervisionada ainda. Então, ainda na nossa indústria, ela tá sendo supervisionada, ela não anda sozinha. Sim. Então, ou ela não toma decisão ainda de fazer a regulagem sozinha, ela pede uma, ó, te recomendo que você faça um um ajuste aqui e aí o cara aperta um botão, tá na camada da análise ali, né, da crítica, da sugestão, orientação, operador aperta o botão e aí sim ele.

1:11:53 Ok. E a essa percepção ainda tá distante de uma linha de produção 100% tocada, automatizada ali por IA. Acho que a gente ainda tá distante disso. Isso por IA. Eu acho que sim. É automatizado, não automatizada no sentido assim por decisões de IA, né, assim, automatizadas elas já são a maioria, né, em níveis diferente, né? Se a gente for pra indústria automobilística, por exemplo, você tem uma linha de produção, carro sai pronto do outro lado, totalmente automatizado, recebe o projeto, corto e sai pronto. A questão é eu mudar o processo no meio do caminho, porque a IA entendeu que tem que ser diferente em algum momento por uma variação. Acho que essa realidade a gente ainda tá quando eu falo distante, cara, distante em tecnologia não é não são anos, né? São semanas, são meses, são horas. Então assim, distante no sentido assim hoje, hoje hoje dia 10 de junho. Então assim, pode ser que da semana que vem a gente tenha processos diferentes. Eu eu concordo por conta do nosso negócio que é bem regulado. Eu acho que para negócios que não são tão regulados quanto o nosso já pode ser mais factível. É, mas o que o o negócio que não é regulado por uma normativa, ele é regulado por uma máxima capitalista, que é o o o do desperdício ou do custo ou do prejuízo. Então, ninguém vai arriscar um erro, como você comentou, né, de

1:13:18 produção ou descarte, porque a IA tomou uma decisão errada, porque ela não tava treinada ou 100% pronto para isso. Então esse é esse é é o grande X da questão, né, vamos chamar assim. E pra gente encerrar aqui o nosso último entrar, na verdade nosso último bloco, quando a gente fala um pouquinho de futuro, de tendência, né, de tudo isso, uma pergunta que eu faço nessas discussões que vocês têm internamente dos comitês e tudo isso, que risco vocês entendem que ainda não tá sendo visto, não tá sendo olhado ou discutido pelos conselhos? Você tem alguma coisa que você fala: "Cara, eu já levantei aqui essa red flag, mas ninguém tá me ouvindo ainda que são isso é um problema". Tem alguma coisa nesse sentido que vocês estão olhando? Ah, de tudo que a gente falou, eu acho que a gente já abordou bastante coisa, né? Eu acho, para mim, principalmente as decisões que as IAs estão tomando, que a gente tá delegando para as IAs tomarem, principalmente de negócio, não só o que a gente tá compartilhando de informação do do negócio com IAs públicas, mas também as decisões que essas IAs estão tomando e que o que que ela tá o que que ela faz parte do processo, né? Como William falou, né? o que que ela é apoio e o que que ela tá tomando, o que que ela tá tomando decisão influenciando numa decisão. Exatamente. Exatamente. Para você lá a mesma coisa, William, você acha que assim, em termos de de erro estratégico a gente já tá mapeado, já

1:14:39 entenderam muito bem ou você entende alguma coisa que ninguém tá falando agora? E, cara, ninguém tá falando disso, mas é um problema. Por muitos anos a gente falou da da cadeia de suprimentos e a gente conectar os nossos sistemas, né? Eu entendo que daqui um pouquinho a gente vai falar em conectar as IAs para entender demanda, para entender problemas de produção, né? Eu tenho medo disso. Como é que vai ser? E na verdade ninguém tá falando disso, né? Ninguém tá falando disso e e não tem como não tem como escapar disso. No momento em que eu tiver com a minha cadeia de valor automatizada e gerenciada por uma inteligência artificial, o meu cliente, o meu fornecedor, fornecedores principais também, como é que elas se falam? Para dar para dar velocidade que elas vão demandar, elas vão ter que se falar. Como é que a gente vai gerenciar isso?

1:15:43 É, como é que vai fazer esses caras se falarem? É, quem conseguir, falando, estamos falando de estratégia aqui, né? Sim. Então, quem conseguir sair na frente com isso, talvez daqui 5 anos vai despontar o teu negócio. Aham. Porque vai chegar nesse momento. É, acho perfeito. Acho que a colocação que você trouxe uma reflexão interessante mesmo. Eu acho que faz sentido, principalmente quando a gente fala de indústria, né? Você tem uma cadeia ali que é muito particular, né? Você tem o ou no B2C ou no B2B, dependendo da indústria de como você trabalha, você tem o cliente do outro lado, né? Pode ser o cliente final, pode ser, né? Varejo, pode ser varejo. E aí tá todo mundo usando IA, né? Então, se você usa IA para acelerar o teu negócio, mas tem que ter uma figura humana para traduzir isso e o outro lado também, você tá trazendo um gargalo para o que podia tá acelerando numa velocidade muito maior. E como é que você interrompe esse gargalo ou quebra esse gargalo falando, botando as duas para falar? Então eu acho que faz total sentido o que você acabou de falar.

1:16:51 O sistema vai vir aí. Exato, exato, exato. E aí pra gente finalizar de fato, acho que a gente, eu tinha até algumas outras perguntas, mas ele acho que dentro das respostas que a gente teve aqui, a gente já endereçou elas, né? Eu vou falar uma frase aqui, vocês digam, me falem se vocês concordam ou não. Quando a gente olha para IA, vou retroceder. Quando a gente fala de segurança, eu acho que segurança já não era um problema de TI. Segurança sempre foi um problema de negócio. A gente historicamente falando, sempre desassociou isso. Uhum. Ou isso historicamente sempre caminhou apartado, né? SI é um custo, pô, não vendo segurança, que que eu tenho que ter esses cara de segurança aqui, né? E eu vou expandir isso para IA. Quando as empresas entendem IA como um problema da área de TI, cara, você sai atrás. Quando você entende que IA é um problema do negócio, você tem essa convergência para que tudo aconteça. Você tem os comitês formados, você tem a área de negócio associada à tomada de decisão, a criação de estratégia. Vocês concordam com isso? Discordam disso? A gente ia responder um pouco sobre isso, mas eu queria que vocês aprofundassem um pouquinho mais, né, o quanto que na verdade assim, o maior desafio para mim nos próximos anos é traduzir esse risco

1:18:15 pro negócio. É como é que eu faço isso convergir e ter visibilidade? Vocês concordam com isso ou não? IA é problema de TI ou é um problema de negócio? IA é problema de negócio, né, que a gente com certeza vai ajudar. a a lidar com esse problema e definir a principalmente definir o que como a IA de fato vai estar na organização. Uhum. é uma estratégia de negócio, é uma IA de operação, é uma IA de inteligência para transformação de negócio ou ela só vai operar o processo que existe hoje? Essa é a questão, né, para você, Giba? É, eu concordo com ele, né? é um problema de negócio e tem que ser endereçado, como a gente comentou antes, um comitê multidisciplinar com várias cadeiras, inclusive o pessoal Então fala pro fala pro board que tá te assistindo aqui na tua câmera, que que tá olhando tá olhando pra IA hoje, fala assim: "Esse problema não é meu, esse problema é da área de segurança. Ele tá no caminho certo ou não? Esse problema é de negócio, mas a área de segurança vai ajudar a resolver, né? Perfeito, cara. Acho que o futuro da segurança, quando a gente fala de IA

1:19:37 talvez não seja, eu quando falo futuro, acho que já é a realidade, tá? Mas talvez o futuro de quem trabalha com segurança não é travar a inovação, né? De novo, o quanto essa inovação, o quanto IA tem acelerado o negócio. Quando você escolhe, tá fora desse jogo, sim. você assume um risco de tá atrasando o teu negócio. Então, a decisão para mim, papel de segurança, não é travar a inovação, é permitir meios de que isso seja controlado ou de que você tenha visibilidade disso. O grande X da questão é: será que o concorrente da Ajinomoto tá usando IA? Hum. Será que o concorrente lá da União Química tá usando IA? Então eu vou ficar para trás. O meu negócio vai ficar para trás. Olha que dado interessante, né, que você trouxe aqui do CEO falando que a Ajinomoto nasceu da da necessidade de inovação, né? Quantas empresas hoje estão se reprimindo se ou se atrasando em termos de negócio porque, cara, não tem maturidade para usar IA e escolhem simplesmente não adotar, porque eu não tenho maturidade, eu não criei políticas ou governanças para isso. Uhum. Qual é o risco associado a essa decisão?

1:20:57 E é paradoxal, porque também adotar sem governança talvez seja até pior do que não adotar, né? A questão é que dores que você tem hoje, que demandas que você tem hoje de negócio? Eu não tô falando nem mais a a aquele processo do fulaninho do contas a pagar e receber que tá sendo automatizado. Não, que dores do teu negócio poderiam estar sendo endereçadas com o uso de IA e não estão porque você escolheu não fazer isso. É por uma falta de maturidade, por por não ter um parceiro certo do lado para te ajudar nesse gap ou simplesmente, cara, não vamos mexer no que tá funcionando não. a empresa tá aí há 30 anos rodando sem IA continuar e eu vou vou pagar para ver o que que vai acontecer. Então a reflexão que eu faço é essa, né? Então assim, o o qual é o risco que você tá disposto a não acelerar o teu negócio a ponto de você ficar para trás? E é que ninguém é ninguém trabalha em ONG, né? Sim. Todo mundo tem que entregar resultado no final das contas, todo mundo que tem que trazer, né, pro pro seu acionista ali o resultado. O quanto isso impacta no negócio? Então é, IA é um problema de negócio, mas a governança e o controle é um problema de segurança. Sensacional, né? Exatamente isso. Eu acho que isso

1:22:21 corroborar exatamente com o que o William falou, por exemplo, que, cara, se eu não tiver levando essa preocupação de governança essa visão de política, cara, eu não tô fazendo o meu trabalho. Eu não tô fazendo o meu trabalho. Eu não é travar a inovação, o uso. Isso, como o Giba falou, cara, é inevitável. Já tá, já tá rodando, já tá. A adoção de IA já foi feita, já foi. Cada um gosta da sua, um gosta do Claudinho, outro gosta do GPT, outro gosta do Gemini, né, e tal. Tem umas, mas já tá adotado. Tem umas estranhas, tem umas estranhas, tem umas, tem muita, man. É, eu gosto do n8n [?], eu gosto do Perplexity, eu gosto de Não, se cara, vamos falar de governança, vamos falar se se é um recado que eu posso dar desse nosso bate-papo aqui pro nosso público em casa, é entenda, aproxime-se do seu usuário, aproxime-se das dores do teu negócio, seja você catalisador disso, sabe? Esteja onde a onda tá começando dentro da empresa, não quando ela já tá com 5 m de altura e você tem que só encarar ela e surfar. Fique próximo do problema, fique próximo do teu usuário, entenda as dores que você tá buscando resolver ou endereçar ou sanar. Acho que essa proximidade traz visibilidade, traz a possibilidade de segurança ser de fato relevante pra tomada de decisão quando a gente fala de inteligência artificial. Sim, se é um recado que eu poderia passar pro

1:23:44 nosso público de casa. É isso. E aí, aproveitando para finalizar, Giba, Will, Lourival, queria que vocês dessem um recado aí pro público que tá assistindo, que aguardou a gente aí depois de uma hora de de bate-papo. Se você chegou no final desse vídeo, parabéns, você tá com a gente aí até o final. Qual o recado que você tem aí pro pro público, pro gerente de segurança que tá do outro lado lá perdendo os cabelos da noite, sem dormir, porque não sabe o que fazer com a realidade da empresa dele, porque ele já foi atropelado pelo uso de IA, pro CISO, pro board, pro conselheiro que tá acompanhando a gente de casa. Que que você tem para falar para ele, William? Olhando na tua câmera aqui, olhe pra sua câmera aqui, fala, dá esse recado direto, olhando nos olhos desse gerente de segurança que não está dormindo há quatro dias, William, pensando em como é que ele vai controlar, como é que ele vai aplicar a governança na empresa dele. Pode falar, procure votos [?], não, brincadeira, mas seja fique fique fique livre na sua resposta. Fique livre. Acho que ele precisa primeiro entender onde que a empresa dele, com o negócio dele quer estar daqui alguns anos. Eu eu faço uma provocação que daqui alguns anos a gente vai ter o feito em casa, o tradicional e o e o normal. Vai ter uma nova categoria de produto que é o produto das indústrias que não usam IA, né? Eu

1:25:08 não sei se isso vai ter um mercado tão grande. Não tem como, não vai ter como. O, se você fizer um paralelo, todo mundo vai estar lá e todo mundo vai usar essa ferramenta. Então, se você tá hoje num cenário onde você tá preocupado com isso, continue, mas dê as mãos às pessoas de negócio, aos decisores da sua organização. Encontre caminhos dentro do das possibilidades do teu negócio para gerenciar, não vou nem dizer governar, gerenciar a forma como vocês vão utilizar essa ferramenta para potencializar o seu negócio e sobreviver e continuar dando resultado. Perfeito. É isso. É isso. O risco de oportunidade, né? Como é que você quer estar no futuro?

1:26:03 fala muito sobre a estratégia da empresa, fala muito sobre o risco que você escolhe adotar e não assumir de segurança. Perfeito. É isso. A a a área, como a gente falou, né, lá no começo, a gente falou de conscientização de usuário, do usuário ele entender o risco que tá na mão dele, ele entender o dado que tá na mão dele. E aí também tem a conscientização do executivo, né, que a gente tocou aqui, passou por ela assim, mas não bateu. Então vamos carimbar aqui. O executivo também precisa ter letragem, né? precisa ter letramento, precisa, a gente precisa levar informação para ele, precisa apoiar ele na tomada de decisão. Porque faz parte do nosso papel isso. Se você for olhar, por exemplo, o NIST, que é um framework de segurança, ele tem diversos pontos que ele fala exatamente isso, que é dar visibilidade ao board, né, ao conselho de segurança. Board, o executivo, ele tem visibilidade de risco. Então, cabe a segurança às vezes até traduzir isso para um linguajar que ele entenda, mas é, se eu faço, se eu fizer um assessment numa empresa e essa pergunta for respondida de forma, ah, eu entrego um relatório XPTO de vulnerabilidade, cara,

1:27:25 meu, você não dá visibilidade. Ponto. É política para você que governança não tem. Ah, mas o meu parceiro, o meu fornecedor de de segurança me entrega uma visão consolidada de vulnerabilidade. Meu, você não faz isso, cara. trazer o board para pra segurança e dar visibilidade. Você tem um dashboard que ele pode acessar, é você traduzir o risco de negócio pro que você tá tá fazendo em segurança. E muitas das vezes, tá, assim, que eu tenho visto na prática é de quando você consegue endereçar esse gap de risco para essa visão executiva, a resposta normalmente é orçamento. Quando você não consegue traduzir isso, segurança é custo. Sim. Então assim, eu acho que você, o que você falou é é incrível. Aí um recado meu para você que é que é CISO, conselheiro, tá na na alta direção de uma companhia, orçamento para segurança, isso é importante, tá? A gente tem falado a gente tem falado muito com empresas esse ano sobre IA e a maior objeção das empresas é, viu, Victor?

1:28:37 Isso não tá previsto no meu orçamento, porque ano passado isso não era um problema e meu meu meu ciclo orçamentário fecha em junho. Você imagina assim, eu tô eu tô pensando agora para ano que vem, mas eu como é que eu vou ficar um ano inteiro exposto a isso? Então assim, o letramento do do da alta direção viabiliza o entendimento de que, por mais que você não tenha previsto, é uma realidade. Sendo uma realidade, eu preciso tomar uma atitude. E aí acaba que esse orçamento aí viabiliza ou aparece para que você tome uma decisão, uma atitude, uma compra, né? Contrate um parceiro, terceirize, mas endereçando uma dor que é real. Não é uma dor daqui a um ano. Daqui a um ano são outras dores, até porque nem tudo cabe no bolso e a gente faz o que é prioridade. Exatamente. Exatamente. Giba, falta o teu recado aí pro pessoal que tá em casa, que acompanhou a gente até agora. Você vai mandar esse vídeo para todos os na tua rede lá para fazer assiste os 15 segundos finais que eu vou dar um recado para você. E não pode passar lá a barrinha lá, tem que assistir tudo porque senão não conta a visualização no YouTube, tá pessoal? Que que você tem para falar pro pessoal que tá assistindo a gente? Pessoal, ah, primeiro vocês não estão sozinhos, né? Estamos todos no mesmo barco e aprendendo durante o jogo como é que a gente joga esse jogo. Somos todos segurança. Respeit

1:29:59 todos. É, somos todos segurança. E aproveitar o que o William falou, é abraçar o negócio e caminhar junto. A gente, principalmente nessa fase, não pode ficar separado do negócio, a gente tem que ir junto e não pode ser um um fator impactante ou um freio pro negócio e pra inovação. A gente tem que realmente caminhar junto, buscar meio de viabilizar, né? Exatamente. E conscientização. Conscientização. Bato muito forte nisso de conscientização, porque o usuário sabendo o que ele tá fazendo, ele tendo noção, por conta de um treinamento de conscientização, treinamento de segurança, do dos riscos que ele pode estar gerando, ele vai pensar duas vezes antes de fazer. Ele não vai compartilhar alguma coisa. Às vezes vai até fazer pensando duas vezes, né? Mas pelo menos ele tem pelo menos tem consciência, né? Então, conscientização, a gente tem que dar letramento de segurança pros usuários, pra TI também, não só pros usuários, mas pra TI também, talvez em outro nível e pro board. Todo mundo tem que tá letrado em segurança, porque no final do dia é a gente que tá lá na frente segurando os impactos do do que desses problemas que quando dá errado tem ocupado [?], né? Sim. Quando tá dando certo você é invisível.

1:31:15 É isso aí. Eu prefiro ser invisível. É, eu também. Nesse caso, Louro, você tem algum recado aí pro pessoal que tá em casa, olha na sua câmera, que é aquela dali, que é a mesma que a minha. Mas legal, legal. Mas é um resumo de tudo que a gente falou aqui, né? E eu volto a falar e é um problema de negócio, é um problema do board, é um problema de Kencid [?] e segurança tá ali para dar esse letramento, para dar as mãos e e é um problema no final que acaba sendo de todo mundo, né? Então é de vocês, é nosso que tá que estamos aqui para para apoiar, né? apoiar todos os clientes e todo mundo que precisa, né, de de segurança e e quem quer tá quer ter a continuidade do seu negócio, né? Então você vai adotar, você vai usar IA, mas todo mundo tem que dar de tá de mão dadas ali e para resolver o problema de negócio. Perfeito, cara. Meu recado é o seguinte, concorda? Discorda daquilo que a gente comentou aqui agora? Cara, escreve aqui embaixo, ó. Bota aí, ó. Giba. Só não concordei em nada que o Giba falou.

1:32:25 William, mais ou menos. O Louro, cara, bota aqui, a gente entra em contato com você, troca essa ideia, bate esse papo. Acho que essa interação, essa e essas provocações são sempre muito ricas. E a gente não tá aqui falando de verdades absolutas, né? Sim. A gente tá aqui justamente enriquecendo um discurso, um uma conversa sobre um tema que é muito novo. Você tá passando por isso na tua empresa? Você tem desafios diferentes daqueles que a gente abordou aqui? Comenta com a gente aqui, compartilha com a gente. Vamos, quem sabe você tá aqui no próximo podcast falando sobre isso, né? Trazendo aí a experiência que você tem na tua empresa. Dito isso, senhores, muito obrigado pra gente tá aqui batendo esse papo. Acho que foi, para mim foi sensacional, foi incrível. Obrigado por vocês compartilharem um pouquinho da visão de vocês de mercado, de negócio, da gente muitas vezes concordar aqui, entender o movimento perfeito do mercado, caminhando pro mesmo lugar, outras vezes discordar parcialmente. Acho que é isso que enriquece. E queria agradecer essa disponibilidade de vocês estarem aqui. Quem sabe aí tem muito assunto pra gente falar, né? Tem muita coisa pra gente falar. Quem sabe aí no próximo podcast a gente escolhe um outro tema. Novos episódios. É, aguardem as novas as novas os novos episódios. Dito isso, pessoal, muito obrigado. Você que tá em casa e aguardou a gente até aqui. Muito obrigado também. Curte, compartilha, manda para toda a tua rede aí e não fica de fora dos próximos episódios, tá bom,

1:33:46 pessoal? É isso. Tchau, tchau e até mais. Até mais. Até a próxima.