Por que os CISOs devem cultivar uma força de trabalho cibersegura na era da IA

A avaliação de ameaças deve ser apoiada por um sistema operacional eficaz que possa evoluir para lidar com o que são essencialmente soluções e conjuntos de dados de IA “vivos”, garantindo verificação, classificação e escopo contínuos dos dados, incluindo a sensibilidade da marcação e a criticidade dos dados. Algumas empresas têm apenas 20% de seus dados marcados ou classificados, segundo nossa pesquisa. Realisticamente, as empresas devem priorizar a marcação e a verificação de seus dados mais críticos e confidenciais para garantir que tenham as salvaguardas certas para questões como identidade, gerenciamento de acesso, fluxo de dados, acesso a dados e linhagem.

A modelagem e o acesso a ameaças são essenciais para implementar um modelo eficaz de governança de segurança cibernética, mas as organizações devem estar cientes do risco de cair em mecanismos de resposta antigos e ineficazes. Uma abordagem é colocar um especialista em IA no conselho de administração para uma rotação de seis meses com o poder de criar um novo modelo de governança, incluindo foco em educação e treinamento. A responsabilidade também é necessária para garantir que a responsabilidade pela governança da IA seja distribuída adequadamente, cobrindo custódia, propriedade e uso.

Para a IA, uma força de trabalho informada cibernética para combater os erros dos funcionários

Embora tentativas exóticas de hackeamento por IA, como solicitações falsas de transferência bancária de CFO, dominem as manchetes, o erro dos funcionários continua sendo a vulnerabilidade mais proeminente para a maioria das organizações. A IA e a cibersegurança são um novo vetor de ameaças, exigindo controles que impeçam que funcionários não autorizados adquiram intencionalmente ou não informações confidenciais às quais talvez não tenham tido acesso ou interação anteriormente. De fato, toda a promessa da IA é dar aos funcionários a chance de consultar e extrair valor de mais dados do que antes. Isso só pode ser fornecido se a orientação cibernética for igualmente fácil para eles obterem.

Uma característica comum das empresas bem-sucedidas analisadas em nosso estudo Global Cybersecurity Leadership Insights de 2023, apelidado de “Criadores Seguros”, foi a integração da segurança cibernética a todos os níveis da organização, da diretoria executiva à força de trabalho em geral. Em geral, apenas metade dos líderes de segurança cibernética disseram que seu treinamento cibernético é eficaz. A própria IA pode oferecer abordagens de comunicação cibernética mais eficazes e dar aos funcionários o apoio que eles buscam?

Chatbots mais sofisticados e intuitivos, por exemplo, poderiam aconselhar sobre perguntas de funcionários sobre dados confidenciais ou restritos, o que, por sua vez, reduziria o desgaste das equipes cibernéticas que atendiam às consultas e a frustração dos funcionários ao ler documentos políticos longos e complexos. A implementação de mecanismos de controle e a facilidade de consulta podem reduzir os riscos da TI paralela, como inserir dados confidenciais, IP ou material restrito em modelos de IA.

Por exemplo, os diretores de dados (CDOs) tendem a se concentrar em aproveitar os dados para gerar valor comercial, com menos integração à função de tecnologia e uma interseção ainda mais fraca com a unidade cibernética e os CISOs. Isso precisa mudar na era da IA, quando uma lente de segurança cibernética é necessária durante o ciclo de vida do gerenciamento de dados, à medida que mais dados se tornam utilizáveis nos negócios. Os CDOs devem se concentrar mais na governança, qualidade e privacidade de dados, e agora é necessária uma gama mais ampla de habilidades na equipe executiva de segurança cibernética como um todo.

Um desafio é que a amplitude de habilidades necessárias na função atual está se expandindo em várias direções ao mesmo tempo. Aqui, descrevemos alguns dos muitos perfis executivos de cibersegurança que surgiram nos últimos anos. Uma abordagem melhor é construir uma equipe que equilibre uma combinação de disciplinas amplas, com o entendimento de que cada uma tem seus próprios pontos fortes e fracos.

No nível institucional, os Centros de Excelência (COEs) podem se tornar um requisito para coordenar a adoção da IA em todas as unidades de negócios e equipes. Eles têm um longo precedente no setor de tecnologia e estão se tornando mais comuns em setores conscientes de riscos, como serviços financeiros. Eles podem agilizar e simplificar os requisitos de governança, mitigando o fenômeno da TI paralela. A “padronização de design” pode incentivar ainda mais a IA segura e responsável, simplificando processos, arquiteturas e fluxos de dados para permitir uma implantação mais rápida com o mínimo, embora não zero, atrito.

Principais conclusões para os CISOs:

• A força de trabalho está preocupada com o risco cibernético na era da IA e precisa de maior apoio.
  As empresas mais ciberseguras alcançam um alto grau de integração em toda a empresa. A própria IA poderia melhorar a qualidade e a relevância do treinamento e do aconselhamento. Além disso, poderia tornar as políticas e procedimentos de segurança cibernética mais fáceis de entender e acessar, como por meio de chatbots intuitivos para consultar políticas cibernéticas ou aprendizado gamificado. Também pode apoiar o desenvolvimento de mecanismos de controle mais sofisticados, reduzindo o fenômeno da TI paralela. Os CISOs agora desempenharão um papel crucial no engajamento da liderança sênior antes que o risco paralelo da IA se torne incontrolável.

• A modelagem e a avaliação de ameaças devem ser abrangentes e contínuas.
  Na era da IA, o cenário de ameaças está se ampliando para incluir os muitos serviços de IA de terceiros e de quatro partes na cadeia de suprimentos. As organizações devem identificar soluções e ativos de IA para entender as exposições a riscos e conformidade. As empresas precisam avaliar a arquitetura, os serviços e as integrações/APIs para quantificar e identificar riscos e orientar o desenvolvimento de controles para gerenciar o uso generalizado da IA. Eles também devem investir em uma classificação de dados robusta para garantir que os modelos de IA não acessem e processem dados restritos e propriedade intelectual confidencial. Essa modelagem precisa ser contínua, pois as soluções de IA visam continuamente conjuntos de dados novos e subutilizados.

• Os Centros de Excelência podem fornecer supervisão estratégica e coordenação institucional para a implantação segura da IA.
  Os COEs podem desempenhar um papel importante na defesa da boa governança e das melhores práticas para organizações inclinadas à IA, inclusive por meio do compartilhamento de habilidades e do desenvolvimento de protocolos consistentes. Eles permitem governança e monitoramento centralizados e apoiam uma abordagem consistente para o uso da IA, oferecendo uma melhor contextualização dos casos de uso da IA e uma melhor compreensão dos ativos de dados corporativos. De forma mais ampla, as empresas devem considerar o redesenho organizacional, novas linhas de relatórios e processos adaptados para permitir níveis razoáveis de adoção sem que o risco cibernético se torne um problema a ser resolvido caso a caso.