Os chefes de segurança devem tratar a identidade como uma infraestrutura digital central, à medida que a IA multiplica as superfícies de ataque que protegem, de acordo com novas orientações Gartner entregue ao CISO esta semana.
A direção veio na Cúpula de Segurança e Gerenciamento de Riscos do Gartner. Lee McMullen, analista vice-presidente e membro do Gartner, disse no lançamento que as últimas notícias sobre produtos continuam a desviar os líderes de segurança do curso. Três prioridades podem redirecioná-los, disse ele: modernizar a identidade, redefinir o que significa vencer e reduzir a barreira à inovação quotidiana. Numa sessão de acompanhamento, John Watts, analista vice-presidente da Gartner, mapeou quatro ameaças onde os atacantes têm vantagem. Juntos, os dois deram aos líderes de segurança do sistema de saúde uma estratégia e uma lista de ameaças contra as quais testá-lo.
Identidade como infraestrutura
O investimento empresarial em IA está forçando uma repensação há muito esperada do gerenciamento de identidade e acesso, disse McMullen. Agentes de IA, cargas de trabalho automatizadas e tráfego máquina a máquina são enormes programas IAM que as complexidades da nuvem e do DevOps já sobrecarregaram. A identidade passou do controle em segundo plano para a infraestrutura central. Os modelos legados construídos para usuários humanos e funções estáticas ignoram cada vez mais a forma como os sistemas funcionam agora.
A IA trabalha com delegação, autonomia e contexto em vez de permissões fixas. Os controles de acesso tradicionais baseados em funções não se adaptam a ambientes com milhões de identidades de máquinas em execução contínua. À medida que os sistemas baseados em agentes proliferam, a má higiene da identidade das máquinas e as políticas limitadas com reconhecimento de contexto tornam-se grandes fontes de risco. Devido a esta exposição, o Gartner prevê que 25% das violações passarão por superfícies de ataque baseadas em agentes até 2028.
McMullen definiu a pressão como uma abertura estratégica. Em vez de colocar novas ferramentas em pilhas frágeis, as organizações podem usar investimentos em IA para acelerar a modernização do IAM. À medida que as interações entre clientes, parceiros e funcionários se tornam mediadas por máquinas, os fortes controlos de identidade estão a deixar de ser uma necessidade básica para se tornarem um diferencial competitivo. As empresas que integram e gerenciam cargas de trabalho de máquinas com mais rapidez obtêm uma vantagem real em velocidade e confiabilidade.
Ganhando resiliência
A segunda prioridade exige que os líderes redefinam o próprio sucesso. Os ataques cibernéticos tornaram-se uma característica normalizada dos negócios, disse McMullen, e os mercados e reguladores estão cada vez mais tratando os incidentes como inevitáveis, em vez de evidência de negligência. À medida que os ataques viabilizados pela IA aumentam, enquadrar o sucesso apenas em torno da prevenção torna-se irrealista e improvável. Esta mudança abre espaço para repensar a forma como a segurança comunica a vitória.
A resiliência dá aos líderes um alvo que podem atingir, disse ele. Quando o objetivo passa a ser limitar o impacto, sustentar operações críticas e recuperar rapidamente, a mitigação corresponde à prevenção do ponto de vista empresarial. A resiliência também pode ser testada, praticada, medida e melhorada. McMullen disse que as organizações precisam definir limites claros de impacto relacionados às cadeias de valor de missão crítica. Esses limites definem uma interrupção aceitável e criam responsabilidade compartilhada entre segurança e negócios.
As quatro ameaças às quais os defensores devem responder
Watts enquadrou o ambiente atual como um problema de detecção de sinal. As ofertas de segurança de empresas fronteiriças de IA acrescentam ruído a um cenário de ameaças já lotado, disse ele, e os líderes precisam encontrar o sinal real quando as condições mudam. Ele destaca quatro ameaças em que os invasores têm vantagem: comprometimento de aplicativos de IA, mensagens falsas profundas, ataques à cadeia de suprimentos de software e injeção instantânea.
Comprometer aplicativos de IA está no topo da lista. Os invasores estão visando o crescente campo de ferramentas de IA de produção, e a superfície agora abrange agentes personalizados, integrações de terceiros e aplicativos internos que vazam dados quando os controles são frouxos. Watts incentivou as equipes a mapear essas superfícies e criar mitigações no desenvolvimento, apoiadas por práticas de desenvolvimento seguras, classificação de dados mais rigorosa, controle de acesso direcionado e monitoramento de tempo de execução.
Deepfakes são uma segunda frente. A IA generativa aumentou o volume, a precisão e o alcance da voz, vídeo e imagens sintéticas. Os invasores os visam para autenticação biométrica, vinculam-nos à engenharia social e os usam para subverter contratações. Nenhum controle resolve isso, disse Watts, então as equipes precisam agrupar processos, conscientização e detecção, ao mesmo tempo em que fortalecem a verificação biométrica.
Os ataques à cadeia de fornecimento de software constituem a terceira ameaça, alimentados por falhas de código aberto que a IA generativa irá multiplicar. Watts insistiu em inventários de software abrangentes e controles fortes em todas as fases, incluindo especificações de software e IA, repositórios de modelos e códigos selecionados, proteção de filiais, artefatos de construção assinados e monitoramento de tempo de execução.
A injeção rápida completa a lista. Os invasores manipulam os prompts que alimentam grandes modelos de linguagem para vazar dados, acionar ações ou ignorar controles, e o risco aumenta à medida que a adoção aumenta. A proteção em camadas funciona melhor, disse Watts, combinando testes de segurança de IA com fortes prompts de sistema, proteções de tempo de execução, validação de entrada e injeção incorporada.
Inovação como trabalho diário
A terceira prioridade de McMullen reformula a inovação como um trabalho em progresso. Correções de incidentes, integração de ferramentas e refinamento do fluxo de trabalho são importantes, disse ele, mas esse trabalho raramente é nomeado ou defendido. O Gartner prevê que, até 2028, as organizações que utilizem bem a IA em centros de operações de segurança reduzirão os incidentes de toque humano em 30%, transferindo o analista de socorrista para supervisor.
Construir ambientes de teste, simular ataques e ensaiar a recuperação não exige mais equipes grandes ou longos ciclos de planejamento, disse McMullen. As equipes podem transformar essas tarefas em trabalho diário por meio de engenharia assistida por IA, ganhando experiência enquanto produzem ativos reutilizáveis. Os líderes precisam reservar tempo para isso e medir o que as equipes estão aprendendo para que os esforços mostrem valor para o negócio.
Leve embora
- Trate a identidade como uma infraestrutura central e priorize a higiene da identidade da máquina à medida que os sistemas baseados em agentes são escalonados.
- Planeje agora a exposição orientada por IA: o Gartner espera que 25% das violações passem por superfícies de ataque baseadas em agentes até 2028.
- Mudar a definição de sucesso da prevenção para a sustentabilidade e vincular os limiares de impacto às cadeias de valor críticas.
- Mapeie a superfície de ataque que a IA generativa e as ferramentas de agente introduzem e, em seguida, crie mitigações no processo de desenvolvimento.
- Exija software e BOMs de IA dos fornecedores e fortaleça os pipelines de CI/CD contra o comprometimento da cadeia de suprimentos.
- Proteja modelos de linguagem grandes com controles em camadas: testes de segurança, prompts fortes do sistema, proteções de tempo de execução e validação de entrada.
- Economize tempo para experimentos de baixo risco e avalie o que as equipes estão aprendendo para que as inovações de segurança se traduzam em valor comercial.
A mensagem principal de ambas as sessões foi uma mudança de posição: à medida que a IA dá aos atacantes uma nova vantagem, os líderes de segurança estão a ganhar mais terreno ao modernizarem a identidade, medirem a resiliência e tratarem a experimentação diária como um trabalho que mantém os programas a avançar.
