O verdadeiro desafio da cibersegurança é a capacidade operacional

Durante anos, a indústria da cibersegurança assumiu que o principal desafio consistia em ter maior visibilidade, melhorar a capacidade de deteção e implementar ferramentas cada vez mais sofisticadas. Este paradigma já não reflete a realidade das operações de cibersegurança atuais.

As organizações nunca tiveram tanta visibilidade sobre a sua superfície de ataque, nem tantas capacidades para identificar ameaças. No entanto, a rápida evolução da IA está a aumentar a velocidade e a complexidade dos ataques a um nível em que a deteção, por si só, já não é suficiente. A lacuna já não existe apenas entre as capacidades dos atacantes e as ferramentas de defesa. Existe também entre a velocidade a que as ameaças evoluem e a capacidade operacional de que as organizações dispõem para as investigar, definir prioridades e responder antes que seja demasiado tarde.

O verdadeiro desafio surge, na realidade, depois da deteção. Cada novo endpoint, identidade digital, aplicação SaaS ou carga de trabalho na cloud aumenta o volume de atividade que as equipas de segurança têm de monitorizar, correlacionar e gerir. Cada novo ambiente exige também uma maior coordenação entre ferramentas, processos e equipas, aumentando constantemente a complexidade operacional.

A questão já não é apenas saber se as equipas conseguem detetar um incidente, mas se conseguem gerir continuamente o esforço operacional necessário para o investigar, contextualizar e responder a este em escala.

A cibersegurança está a entrar numa nova era, na qual a capacidade operacional será o fator decisivo entre as organizações capazes de manter o controlo e aquelas que se limitam a gerar mais alertas.

A visibilidade nunca foi o objetivo final

A visibilidade continua a ser essencial; afinal, não é possível responder àquilo que não se conhece. No entanto, recolher simplesmente mais dados nunca foi o objetivo final, porque a informação, por si só, não reduz o risco.

Cada alerta tem de ser validado e correlacionado antes de se poder transformar numa decisão operacional. Durante anos, a indústria assumiu que o problema consistia simplesmente em obter mais contexto. Atualmente, o desafio está em transformar esse contexto em ação antes que a janela de resposta se feche.

À medida que aumenta o número de ferramentas e ambientes que é necessário proteger, aumenta também o esforço necessário para interpretar todos esses dados. A proliferação de soluções de segurança melhorou a capacidade de deteção, mas também fragmentou as operações. Mais ferramentas nem sempre significam maior resiliência quando as equipas não têm capacidade para coordenar toda essa informação.

Ao mesmo tempo, a IA está a intensificar esta pressão ao permitir que os ataques avancem mais rapidamente, gerando mais sinais para analisar e deixando menos tempo para detetar, interpretar e agir antes que seja demasiado tarde.

A capacidade operacional está a tornar-se o principal constrangimento

O principal constrangimento nas operações de segurança já não é a capacidade de detetar ameaças. Em vez disso, reside num modelo operacional que continua a depender das equipas para absorver uma carga de trabalho que está a crescer ao ritmo da IA.

Cada incidente exige a recolha de informação proveniente de várias ferramentas, a validação de evidências, a correlação de eventos e a manutenção do contexto ao longo de toda a investigação. Esta coordenação ocupa uma parte cada vez maior do trabalho diário das equipas de SecOps.

A coordenação torna-se mais complexa

Cada nova tecnologia implementada no ambiente introduz novas fontes de dados e novos fluxos de trabalho. Quanto maior for a fragmentação, maior será o esforço necessário para manter uma visão completa sobre um incidente e tomar decisões rápidas.

As investigações exigem mais capacidade

Os analistas têm de analisar um volume crescente de atividade apenas para definir prioridades de resposta. Como consequência, o tempo dedicado à recolha de informação aumenta, elevando a pressão sobre as operações.

Não se trata de um problema de precisão na deteção. É uma questão de capacidade — mais concretamente, da capacidade de suportar o volume crescente de investigações exigido pelos ambientes atuais.

A escalabilidade já não depende apenas dos recursos

A integração de novos clientes, utilizadores ou serviços introduz novos fluxos de trabalho de monitorização, investigação e resposta. Para muitas organizações — e, em particular, para os Managed Service Providers (MSP) — o crescimento já não é apenas um desafio empresarial. Tornou-se também uma questão operacional: como proteger mais ambientes sem aumentar exponencialmente a dimensão da equipa necessária para os gerir.

A capacidade operacional torna-se, assim, um recurso estratégico tão essencial como a própria tecnologia.

Redistribuir a carga de trabalho para escalar as operações

Grande parte do trabalho diário continua centrada na recolha de evidências, correlação de eventos e enriquecimento das investigações. Estas são tarefas essenciais, mas consomem o tempo de que os analistas necessitam para lidar com incidentes mais complexos.

Por esse motivo, as organizações estão a adotar modelos em que a IA assume parte da execução contínua das operações de rotina. Isto permite aos analistas concentrar os seus conhecimentos na avaliação, supervisão e resposta.

É precisamente aqui que o papel da IA começa a mudar. A IA já não deve ser vista apenas como uma ferramenta para automatizar tarefas ou aumentar a produtividade. O seu verdadeiro valor está em disponibilizar uma capacidade operacional contínua que trabalha em conjunto com as equipas humanas.

Neste modelo, a IA assume parte da carga de trabalho operacional contínua — como a triagem inicial, a correlação de dados, o enriquecimento de contexto e a monitorização 24/7. Isto permite às equipas humanas concentrar os seus conhecimentos na supervisão, na avaliação especializada e na tomada de decisões de elevado impacto.

Não se trata de substituir os profissionais de segurança. Trata-se de redistribuir a carga de trabalho, permitindo que as pessoas dediquem o seu tempo à avaliação especializada, enquanto as máquinas asseguram uma capacidade de execução contínua.

A próxima geração das operações de segurança

A próxima geração de plataformas de cibersegurança não irá competir apenas com base na capacidade de detetar ameaças com maior precisão. Irá competir pela capacidade de proporcionar uma capacidade operacional contínua.

Os modelos de segurança estão a evoluir para ambientes em que as investigações permanecem constantemente ativas, a correlação de dados está sempre em funcionamento e os analistas recebem apoio operacional à velocidade das máquinas.

A IA está a passar de uma funcionalidade adicional para uma extensão permanente das equipas de SecOps.

Durante muito tempo, a prioridade foi detetar as ameaças antes que os atacantes pudessem agir. Nos próximos anos, a vantagem competitiva pertencerá às organizações capazes de manter uma resposta eficaz sem permitir que o crescimento da infraestrutura conduza a um aumento linear do esforço humano.

Porque o verdadeiro desafio da cibersegurança já não consiste apenas em detetar ameaças. Consiste em ter a capacidade operacional necessária para responder continuamente a essas ameaças, mesmo à medida que a complexidade do ambiente continua a aumentar.

Em última análise, o futuro da cibersegurança vai muito além da criação de ferramentas mais inteligentes. Trata-se de criar sistemas capazes de proporcionar uma capacidade operacional contínua, em conjunto com as equipas humanas.

Quer explorar esta evolução em maior profundidade?

Leia o nosso artigo "Porque é que a IA está a tornar-se uma necessidade operacional para as equipas de segurança", onde analisamos a forma como a inteligência artificial está a evoluir da automação para um novo modelo de capacidade operacional contínua para as equipas de segurança.