Gartner aponta três prioridades estratégicas para CISOs navegarem o "caos" da IA

 Paul Furtado - VP Analyst e Oscar Isaka Sr Director Analyst

Flavio Sartori

A aceleração da inteligência artificial está exigindo uma mudança profunda na forma como os Chief Information Security Officers (CISOs) conduzem estratégias de segurança, identidade e inovação, segundo o Gartner. As conclusões foram apresentadas na Conferência Gartner Segurança & Gestão de Risco.

Segundo a consultoria, os CISOs devem concentrar esforços em três prioridades centrais: modernizar a identidade como infraestrutura fundamental; redefinir o sucesso da segurança cibernética com base na resiliência, em vez da prevenção; e reduzir as barreiras à inovação, permitindo que as equipes experimentem com segurança, escalem automação e apliquem IA onde ela gera valor imediato e mensurável.

"Essas prioridades ajudarão os CISOs a manter o foco diante do fluxo aparentemente diário de notícias sobre novos produtos de segurança cibernética", afirma Oscar Isaka, Diretor Analista Sênior do Gartner. "Nas mãos de agentes de ameaças qualificados, a tecnologia atual já é suficientemente eficaz. Não importa se estamos falando de marketing ou de tecnologias realmente revolucionárias."

Para Isaka, a mesma tecnologia que amplia o poder de ataque também amplia a capacidade defensiva das organizações. "Os CISOs podem compensar esse cenário acelerando sua própria jornada de IA e transformando essas ameaças de IA em apenas mais uma melhoria em uma cadeia de aprimoramento contínuo", diz. "A mesma tecnologia que está permitindo que hackers iniciantes (script kiddies) ampliem seus ataques em escala também permitirá que as organizações aumentem suas capacidades defensivas na mesma proporção — e os CISOs dispõem de mais recursos."

O crescimento acelerado de agentes de IA, cargas de trabalho automatizadas e interações entre máquinas está sobrecarregando programas de Gestão de Identidade e Acesso (IAM) que já enfrentavam desafios de complexidade na nuvem e nas práticas de DevOps. A identidade deixou de ser uma função de controle em segundo plano e passou a ocupar o centro da infraestrutura digital — mas os modelos legados, feitos para usuários humanos e funções estáticas, estão cada vez mais desconectados da realidade atual.

A IA introduz uma camada arquitetônica baseada em delegação, autonomia e contexto, em vez de permissões fixas. Controles tradicionais de acesso por função e processos convencionais de integração não conseguem escalar para ambientes com milhares ou milhões de identidades de máquinas operando continuamente. Por esse motivo, o Gartner prevê que, até 2028, 25% das violações de segurança ocorrerão por meio de superfícies de ataque baseadas em agentes, decorrentes de identidades de máquinas mal geridas e da ausência de políticas sensíveis ao contexto.

"Essa pressão também representa uma oportunidade estratégica", afirma Isaka. "Em vez de adicionar novas ferramentas a estruturas já frágeis, as organizações podem utilizar os investimentos em IA para acelerar a modernização da IAM. À medida que as interações entre clientes, parceiros e colaboradores se tornam cada vez mais mediadas por máquinas, controles robustos de identidade e confiança deixam de ser apenas uma necessidade e passam a representar um diferencial."

Os ataques cibernéticos deixaram de ser vistos como falhas excepcionais e passaram a ser tratados como uma característica normal dos negócios modernos. Mercados, reguladores e clientes já encaram os incidentes como praticamente inevitáveis — e não necessariamente como evidência de negligência. Com o aumento de ataques impulsionados por IA em velocidade e volume, medir o sucesso apenas pela prevenção se tornou cada vez menos realista.

"A resiliência, e não a prevenção, é a estratégia com a qual as organizações podem realmente ter sucesso", diz Isaka. "Se o objetivo passa a ser limitar o impacto, manter as operações críticas e se recuperar rapidamente, então a mitigação torna-se, do ponto de vista dos resultados de negócios, funcionalmente equivalente à prevenção. Ao contrário da segurança absoluta, a resiliência pode ser testada, praticada, medida e aprimorada ao longo do tempo." Para operacionalizar essa mudança, o Gartner recomenda que as organizações estabeleçam limites claros de impacto vinculados às cadeias de valor de missão crítica, criando responsabilidade compartilhada entre segurança e negócio.

A inovação em segurança cibernética costuma parecer inacessível por ser vista como carga extra sobre equipes já sobrecarregadas. Mas, segundo o Gartner, ela já ocorre diariamente — em improvisações de resposta a incidentes, integrações de ferramentas e ajustes de fluxo de trabalho — só não é reconhecida ou mensurada como tal.

Nesse contexto, o Gartner prevê que, até 2028, organizações que implementarem efetivamente IA em Centros de Operações de Segurança (SOCs) reduzirão em 30% os incidentes que exigem intervenção humana, iniciando a transição do papel do analista de "executor da resposta" para "supervisor".

"Atividades como criar ambientes de testes, simular ataques, gerar lógica de detecção ou ensaiar cenários de recuperação já não exigem grandes equipes especializadas nem longos ciclos de planejamento", afirma Isaka. "Essas iniciativas podem ser incorporadas ao trabalho operacional cotidiano por meio de engenharia de software assistida por IA e automação. Quando os experimentos apresentam baixo risco, mas estão conectados a sistemas e resultados reais, as equipes adquirem experiência prática ao mesmo tempo em que produzem artefatos que a organização pode reutilizar."

O Gartner recomenda que os líderes protejam explicitamente tempo e espaço para experimentação, tratando a inovação como atividade voltada ao desenvolvimento de competências e resiliência — e não como projeto paralelo opcional. Medir o conhecimento adquirido e a escala alcançada permite converter inovação em valor demonstrável para o negócio, facilitando a justificativa de investimentos contínuos.