O ano de 2025 marcou uma mudança na forma de investir em tecnologia dentro das organizações. Segundo a edição mais recente do CIO and Technology Executive Survey, do Gartner, 91% dos líderes de tecnologia planejam ampliar os recursos destinados à inteligência artificial (IA) generativa e 88% pretendem fazer o mesmo com IA em geral, contra 84% na cibersegurança. As três frentes lideram as altas de orçamento, mas a segurança aparece atrás das duas primeiras, e o cenário tem pedido uma nova postura dos Chief Information Security Officers (CISOs).
“Hoje, o CISO compete com o CIO pelo orçamento. Enquanto ele pede o recurso para proteger a empresa, o diretor de TI está do outro lado argumentando para habilitar a IA”, afirma Oscar Isaka, diretor analista sênior do Gartner.
Ainda que o cenário seja desafiador, os recentes ciberataques noticiados têm elevado o nível de consciência dos conselhos das organizações em relação à importância da cibersegurança. Em recorte da pesquisa com 330 conselheiros, o Gartner aponta que 84% concordam que a cibersegurança é um risco de negócio e 93% acreditam que o ciberrisco é um risco para o valor do acionista.
O problema, no entanto, se amplia quando se pensa na atual estrutura das empresas em relação à segurança. De acordo com Paul Furtado, vice-presidente analista do Gartner, a inteligência artificial tem sido usada tanto para defesa quanto para o ataque em cibersegurança, o que ampliou um problema antigo. “A maior parte das organizações não está fazendo o feijão com arroz, o básico, de cibersegurança. Isso se agrava ainda mais em um cenário com IA”, declara.
Pensando nisso, durante uma coletiva de imprensa na Conferência Gartner Segurança & Gestão de Risco, na terça-feira, 4, em São Paulo, SP, os executivos apresentaram três prioridades nas quais os CISOs devem se concentrar nos próximos anos, sendo elas: modernizar a identidade como infraestrutura fundamental; redefinir o sucesso da segurança cibernética com base na resiliência, em vez de prevenção; e reduzir as barreiras à inovação para que as equipes possam experimentar de forma segura, escalar a automação e aplicar IA onde ela gera valor imediato e mensurável.
Leia também: A evolução da rodovia brasileira: do asfalto para a IA
Além disso, Isaka afirma que, ao avançar em qualquer um destes pilares, é importante que o profissional de cibersegurança saiba mostrar como seu trabalho tem servido ao negócio. “A área de cibersegurança inova muito mais do que muitas outras. Só que nós fazemos um péssimo trabalho em mostrar e monetizar isso. O CISO precisa pensar como transformar a inovação em benefício escalável para a organização.”
Nesse sentido, a própria IA pode ser utilizada como ferramenta pelas equipes de cibersegurança. Isaka destaca três áreas-chave nas quais as organizações devem se concentrar conforme recorrem à IA, a começar pela oportunidade de modernizar a identidade, tanto humana quanto de máquinas.
Investimentos corporativos em IA para modernizar a Gestão de Identidade e Acesso (IAM)
Com o rápido crescimento de agentes de IA, cargas de trabalho automatizadas e interações entre máquinas, o diretor analista afirma que as empresas estão sendo forçadas a uma reavaliação da Gestão de Identidade e Acesso (IAM). “A identidade deixou de ser apenas uma função de controle em segundo plano para se tornar parte central da infraestrutura digital, e os modelos legados, desenvolvidos para usuários humanos e funções estáticas, mostram-se cada vez mais desconectados da realidade atual.”
Neste contexto, a IA introduz uma nova camada arquitetônica baseada em delegação e autonomia, em vez de permissões fixas. Os controles tradicionais de acesso baseados em funções e os processos convencionais de integração (onboarding) não conseguem escalar para ambientes compostos por milhares ou até milhões de identidades de máquinas operando continuamente. À medida que os sistemas baseados em agentes se expandem, práticas inadequadas de gestão dessas identidades e a ausência de políticas sensíveis ao contexto tornam-se as principais fontes de risco.
Por esse motivo, o Gartner prevê que, até 2028, 25% das violações de segurança ocorrerão por meio de superfícies de ataque baseadas em agentes, em decorrência de identidades de máquinas inadequadas e da ausência de controles de políticas sensíveis ao contexto.
A normalização dos ataques cibernéticos redefine como as organizações saem vencedoras
Para Isaka, dizer que o risco cibernético crescerá nos próximos anos é “chover no molhado”. Mercados, órgãos reguladores e clientes tratam cada vez mais os ataques como inevitáveis, e não necessariamente como evidência de negligência. E é essa normalização que cria uma oportunidade importante para repensar como o sucesso da segurança cibernética é definido e comunicado.
“A resiliência, e não a prevenção, é a estratégia com a qual as organizações podem realmente ter sucesso”, diz Isaka. “Se o objetivo passa a ser limitar o impacto, manter as operações críticas e se recuperar rapidamente, então a mitigação torna-se, do ponto de vista dos resultados de negócios, funcionalmente equivalente à prevenção. Ao contrário da segurança absoluta, a resiliência pode ser testada, praticada, medida e aprimorada ao longo do tempo.”
Para operacionalizar essa mudança, as organizações devem estabelecer limites claros de impacto vinculados às cadeias de valor de missão crítica para os negócios. Esses limites determinam quais níveis de disrupção são aceitáveis e onde o tempo de recuperação realmente faz diferença, criando uma responsabilidade compartilhada entre a área de segurança cibernética e o negócio.
Reduzindo as barreiras para a inovação
O Gartner prevê ainda que, até 2028, organizações que implementarem efetivamente IA em Centros de Operações de Segurança (SOCs) reduzirão em 30% os incidentes que exigem intervenção humana, iniciando a transição do papel do analista de “executor da resposta” para “supervisor”.
Para sustentar isso, os líderes devem proteger explicitamente tempo e espaço para a experimentação. A inovação deve ser tratada como uma atividade voltada ao desenvolvimento de competências e de resiliência, e não como um projeto paralelo opcional. Medir o conhecimento adquirido e a escala alcançada permite que as organizações convertam inovação em valor demonstrável para os negócios, facilitando a justificativa para investimentos contínuos.
“Atividades como criar ambientes de testes, simular ataques, gerar lógica de detecção ou ensaiar cenários de recuperação já não exigem grandes equipes especializadas nem longos ciclos de planejamento”, finaliza Isaka. “Essas iniciativas podem ser incorporadas ao trabalho operacional cotidiano por meio de engenharia de software assistida por IA e automação. É preciso ter tempo dedicado e patrocinado para a inovação, porque senão a demanda do dia a dia vence.”
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
