Categoria: C-Level

A proliferação e o fácil acesso a ferramentas de Inteligência Artificial Generativa introduziram uma quebra de paradigma sem precedentes na produtividade corporativa. No entanto, do ponto de vista do gerenciamento de riscos e da segurança da informação, esse fenômeno deu origem ao Shadow AI — a adoção e utilização de soluções e serviços baseados em IA sem a homologação, supervisão ou consentimento formal do departamento de TI e Segurança.

O cerne do risco associado ao Shadow AI reside na exfiltração inadvertida de dados institucionais e na quebra de conformidade regulatória. Ao alimentar modelos de linguagem públicos (LLMs) com fragmentos de códigos proprietários, balanços financeiros não publicados, planejamentos estratégicos ou dados de titulares protegidos por legislações de privacidade (como a LGPD), as companhias perdem o controle sobre o ciclo de vida daquela informação. Muitas plataformas públicas gratuitas utilizam as interações dos usuários finais como dados de treinamento, o que pode resultar na exposição de segredos industriais em consultas formuladas por terceiros externos à organização.

Para mitigar essa superfície de exposição sem obstruir o desenvolvimento e a eficiência operacional dos times, as lideranças de governança precisam estabelecer uma Arquitetura de Confiança para IA. Isso envolve a homologação de APIs corporativas com cláusulas estritas de não-retenção de dados para treinamento, a implementação de controles perimetrais de filtragem de conteúdo (Data Loss Prevention – DLP) capazes de identificar e bloquear o envio de strings sensíveis para domínios de IA não autorizados, e o desenvolvimento de frameworks de conformidade específicos para novas tecnologias. A segurança dos ativos intangíveis da companhia exige que a adoção da Inteligência Artificial seja governada com o mesmo rigor aplicado às infraestruturas críticas tradicionais.

A interconectividade de sistemas e a dependência crônica de ecossistemas de softwares como serviço (SaaS) e parceiros de infraestrutura expandiram de forma drástica a superfície de ataque das organizações. Sob a perspectiva da governança corporativa e do gerenciamento de riscos, os ataques à cadeia de suprimentos (Supply Chain Attacks) estabeleceram-se como um dos vetores mais complexos e destrutivos da atualidade, exigindo uma reconfiguração nos modelos tradicionais de defesa perimetral.

O cerne dessa ameaça reside na exploração de relações de confiança pré-estabelecidas. Ao comprometer o código-fonte de um fornecedor legítimo, injetar artefatos maliciosos em repositórios de atualização automatizados ou exfiltrar credenciais de suporte técnico de um prestador de serviços, o agente de ameaça contorna controles complexos de segurança do alvo principal. Esse movimento lateral dissimulado neutraliza defesas perimetrais tradicionais, uma vez que o tráfego originado do parceiro é reconhecido como legítimo e confiável pela infraestrutura receptora.

Para mitigar esse risco de forma eficaz, as lideranças de TI e Segurança da Informação devem consolidar programas rígidos de Gestão de Riscos de Terceiros (Third-Party Risk Management – TPRM). No escopo de uma arquitetura baseada em Zero Trust (Confiança Zero), é imperativo implementar a validação contínua de integridade de códigos, segmentação rigorosa de redes para acessos externos, monitoramento comportamental de contas de prestadores de serviços e a imposição contratual de conformidade com frameworks globais de segurança (como ISO/IEC 27001 e NIST). A resiliência cibernética institucional exige que a segurança de terceiros seja tratada como extensão indissociável da governança interna.

Os processos de Fusões e Aquisições (M&A) atingiram um patamar de complexidade onde os ativos intangíveis e tecnológicos frequentemente representam a maior parcela do valor transacionado. Sob a ótica da governança e do gerenciamento de riscos, a execução de uma Cyber Due Diligence minuciosa tornou-se um pré-requisito indispensável para a salvaguarda jurídica e financeira das partes compradoras.

A auditoria de cibersegurança pré-aquisição visa mapear a postura de segurança da organização-alvo, identificando vulnerabilidades estruturais, níveis de conformidade regulatória (como a LGPD) e, criticamente, a presença de ameaças persistentes avançadas (APTs) que já possam ter comprometido a confidencialidade de dados sensíveis ou da propriedade intelectual. A descoberta tardia de um incidente cibernético pós-fechamento do trato gera não apenas severas penalidades administrativas, mas também a erosão imediata da reputação da marca e a depreciação do valuation projetado.

Para os tomadores de decisão (CEOs, CFOs e CISOs), traduzir o risco tecnológico em provisões financeiras e cláusulas de garantia contratual é a estratégia ideal. Integrar a perícia computacional e a análise de infraestrutura na esteira tradicional de auditoria garante que a integração sistêmica ocorra de forma resiliente, assegurando que o crescimento corporativo não seja acompanhado de vulnerabilidades críticas ocultas.

A proliferação do modelo de software como serviço (SaaS) e a facilidade de adoção de ferramentas baseadas em nuvem trouxeram agilidade às linhas de negócio, mas criaram um desafio complexo para a governança de cibersegurança: o fenômeno do Shadow IT. O uso de ativos de hardware, software ou serviços de nuvem sem o escrutínio e a autorização explícita do departamento de tecnologia compromete diretamente a postura de segurança da informação das companhias.

Do ponto de vista técnico e de conformidade, o risco reside na exfiltração não intencional de dados sensíveis e na violação de legislações de privacidade, como a LGPD. Quando informações corporativas ou dados de clientes são processados por plataformas terceiras não auditadas, perdem-se os controles de criptografia em repouso, políticas de retenção de dados e gestão de identidades.

Mitigar o Shadow IT exige a transição de uma postura puramente reativa e proibitiva para um modelo de capacitação segura. A implementação de soluções de Cloud Access Security Broker (CASB), a realização de auditorias periódicas de logs de proxy/firewall e o estabelecimento de um processo ágil de homologação de softwares são passos fundamentais. A segurança efetiva não reside na opacidade, mas na visibilidade total dos fluxos de dados da organização.

Alertas fracos e prevenção de deslizamentos aumentam os níveis de risco para os CISOs – Help Net Security