Podcast: Reproduza em uma nova janela | Download (Duração: 47:35 – 43,6 MB)
Assine: Podcasts da Apple | Spotify
Dowd Gordon, PhD, CEO e cofundador, Twosense
Dowd Gordon, Ph.D., CEO e cofundador da Twosense, uma startup de segurança cibernética com sede no Brooklyn, explica como a biometria comportamental pode resolver o desafio da autenticação sem senha na área da saúde. Neste episódio de nossa série de entrevistas gravadas na conferência ViVE, Gordon descreve por que ferramentas tradicionais como o Windows Hello e senhas falham em ambientes clínicos de estações de trabalho compartilhadas e como o software de sua empresa aprende a reconhecer usuários por meio de padrões de entrada e mouse. Ele também compartilha uma visão diferenciada de onde a IA generativa ajuda e onde representa um risco sério.
A autenticação sem senha tem um problema de saúde. Dezenas de fornecedores vendem a tecnologia e, para a maioria das empresas, a implementação é fácil: escolha uma solução, configure-a e siga em frente. Os sistemas de saúde não podem fazer isso. O ambiente clínico – estações de trabalho partilhadas nos quartos dos pacientes, médicos com equipamento de proteção individual, telefones proibidos no chão – supera as ferramentas que funcionam em qualquer outro lugar. Dowd Gordon, Ph.D., CEO e cofundador da Twosense, uma startup de segurança cibernética com sede no Brooklyn, passou anos construindo um produto projetado para funcionar onde todo o resto falha.
Podcast: Reproduza em uma nova janela | Download (Duração: 47:35 – 43,6 MB)
Assine: Podcasts da Apple | Spotify
O dilema desenrola-se da mesma forma em sistema de saúde após sistema de saúde. Uma equipe de identidade avalia as opções sem senha e rapidamente percebe que o reconhecimento facial, as senhas ou o Windows Hello abrangerão os trabalhadores não clínicos. Em seguida, eles analisam os endpoints clínicos: máquinas compartilhadas onde cada médico teria que fazer login em todos os dispositivos, ambientes onde o hardware biométrico é impraticável e fluxos de trabalho onde cada atrito retarda o atendimento ao paciente. O projeto foi paralisado porque a administração se recusou a implementar uma experiência parcial com um método de login nas máquinas administrativas e outro diferente na cama. O resultado geralmente é um toque no crachá seguido de 10 ou 15 entradas de senha durante o turno, ou um único toque no crachá sem qualquer autenticação adicional. Ambas as opções representam um compromisso entre segurança e usabilidade que Gordon chama de incontrolável de acordo com as exigências dos cuidados clínicos.
Twosense aborda isso com software que roda em máquinas compartilhadas e aprende a reconhecer usuários individuais pela maneira como digitam e movem o mouse. O sistema trata esses padrões comportamentais como biometria, vinculando-os aos fluxos de autenticação existentes para que a autenticação multifatorial aconteça de forma invisível. Quando o sistema reconhece alguém que não seja o usuário autorizado – digamos, um médico se afasta e outra pessoa se senta – ele sinaliza a sessão em segundos e aciona uma resposta política por meio de qualquer plataforma de identidade que o sistema de saúde já usa, seja Ping Identity, Okta ou Microsoft Entra.
Das tropas de ligação ao SOC
O conceito por trás da biometria comportamental não é novo. Gordon remonta à Segunda Guerra Mundial, quando os operadores do Signal Corps podiam identificar o pessoal de comunicações inimigo por meio de seus padrões distintos de escuta em código Morse, conhecidos como “punho”. O princípio é o mesmo: as pessoas apresentam sinais comportamentais consistentes e reconhecíveis. A novidade é transformar esse princípio em um software empresarial que funciona como um autenticador em tempo real em grande escala.
O caminho para a saúde passou pela academia e pelo Departamento de Defesa. Gordon obteve seu doutorado no Instituto de Tecnologia de Karlsruhe, na Alemanha, trabalhando na ETH Zurique pesquisando sistemas de inteligência artificial que interpretam o comportamento humano por meio de dados de séries temporais. Depois de deixar a academia, fundou a Twosense e ganhou um contrato com o Departamento de Defesa em busca de tecnologia de autenticação contínua para proteger dispositivos móveis e detectar o uso não autorizado de telefones militares em tempo real. A empresa acabou por desistir de um importante contrato de defesa para se concentrar no sector privado, apostando que a construção primeiro dos cuidados de saúde criaria uma base mais sólida. Os sistemas de saúde ofereceram a combinação de que Gordon necessitava: uma prioridade de segurança de alto nível, uma força de trabalho que sentia a dor todos os dias e decisores com autoridade orçamental para resolver o problema.
“Não há competição específica para isso. Não é porque outros não tenham tentado; eles tentaram”, disse Gordon. Alguns clientes ofereceram produtos semelhantes no passado que não geraram resultados. Twosense rebate esse ceticismo com demonstrações ao vivo nas quais os clientes potenciais assistem ao sistema detectar um usuário não autorizado com base apenas no comportamento, seguido por uma prova de conceito de 90 dias, normalmente cobrindo três aplicativos de alto tráfego e cerca de 60 usuários em um único andar do hospital.
A implementação começa como uma solução pontual conectada ao logon único existente e à pilha de autenticação multifatorial existente do sistema de saúde. Seis meses depois, disse Gordon, os clientes estão começando a encontrar usos adicionais: extrair pontuações contínuas de confiança em investigações de privacidade, por exemplo, para verificar se um funcionário sinalizado estava realmente no teclado quando um registro médico foi acessado. O produto está migrando para o centro da política de identidade, evoluindo de uma solução pontual para algo mais próximo de uma plataforma.
A computação generativa do risco de IA
Tendo construído sistemas de IA através de três ciclos tecnológicos separados, Gordon ofereceu uma avaliação sincera do valor da IA generativa na sua própria empresa. No lado do produto, onde os engenheiros escrevem agentes de endpoint, código de API e integrações OIDC, os assistentes de codificação de IA generativos fornecem um aumento estimado de 15 a 20 por cento na velocidade. Na camada intermediária: o mecanismo de eventos em tempo real que processa sinais comportamentais e retorna decisões de autenticação, o lucro cai para o ponto de equilíbrio, ou cerca de 5%, porque existem menos dados de treinamento na Internet para esse tipo de trabalho. Na camada central de aprendizado de máquina, onde os algoritmos são ajustados iterativamente em relação às métricas de precisão centradas no cliente, a IA generativa interrompe tudo. O sistema é muito especializado, o trabalho muito novo e a margem de erro muito pequena para que a conclusão generalizada do código contribua com segurança.
Esta experiência privilegiada informa o conselho mais amplo de Gordon aos líderes de segurança da saúde. A variável crítica é o custo do erro. A IA generativa se destaca em tarefas de alto volume e baixo risco: divulgação de vendas automatizada, por exemplo, onde um e-mail mal feito custa quase nada. O perfil de risco muda drasticamente quando a tecnologia afeta as operações de segurança. “Em qualquer lugar onde estou usando IA generativa e o custo de errar pode ser alto, mesmo que seja uma probabilidade baixa com volume suficiente, é aí que fico nervoso”, disse Gordon. Ele destacou os alertas de segurança filtrados por IA como uma preocupação particular: silenciar uma única notificação que um analista precisa ver é uma falha com consequências agravadas.
“Se a perfeição é necessária para fazer um negócio funcionar, então você não tem um negócio e nunca terá”, disse Gordon. “É quase mais importante focar em como identificar quando a IA comete um erro e mitigar o impacto”.
Ele ilustra esse ponto com um ataque de phishing real contra um cliente Twosense. Um adversário comprou um domínio de token único para um portal de salários, comprou anúncios de busca para direcionar o tráfego e conduziu um ataque man-in-the-middle que capturou credenciais e autenticação de dois fatores em tempo real. Os funcionários que sucumbiram ao ataque cometeram claramente um erro humano; eles pesquisaram o site de salários no Google em vez de digitar o URL. O mecanismo comportamental do Twosense executado em segundo plano detectou o que as pessoas não perceberam: a assinatura comportamental do invasor não correspondia ao usuário autorizado, mesmo depois que o invasor passou por todas as portas de segurança tradicionais.
A lição, disse Gordon, é que a IA e os humanos cometem diferentes tipos de erros, e o verdadeiro valor reside em combiná-los para que esses erros possam compensar. Quando se trata de planeamento de talentos, ele emitiu um aviso: as organizações que deixarem de contratar engenheiros juniores porque a IA pode lidar com tarefas de nível inicial enfrentarão uma escassez aguda de talentos seniores dentro de cinco a 10 anos porque a IA não melhora com a experiência como os humanos.
Leve embora
- Antes de lançar uma iniciativa sem senha, descreva como ela funcionará em estações de trabalho clínicas compartilhadas; é aí que a maioria dos projetos para
- Avalie as implantações de IA pelo custo de um único erro; tarefas de alto volume e baixa consequência são mais seguras para automatizar
- Use a IA para complementar o julgamento humano, combinando sistemas que cometem diferentes tipos de erros, para que os erros sejam anulados
- Pense duas vezes antes de aplicar IA generativa para filtrar alertas de segurança; silenciar a notificação errada é uma falha em cascata
- Erro de design de IA falha normalmente: um usuário digitando novamente uma senha é muito melhor do que um invasor acessando o sistema sem ser detectado
- Continuar a contratar engenheiros juniores; A IA lida com tarefas básicas hoje, mas não se transforma em um talento sênior com o tempo
Gordon reservou seu aviso mais contundente para o talento. As organizações que pararem de contratar engenheiros juniores à medida que a IA generativa assume hoje as tarefas de programação de nível básico enfrentarão uma escassez aguda de talentos seniores daqui a cinco a 10 anos. “A IA não melhora com a experiência da mesma forma que os humanos”, disse ele. “Você ainda precisa de pessoas subindo na hierarquia.”
