Como será o papel do CISO em 2024

De acordo com os especialistas da Qualys, o ano de 2023 será recordado, em termos de cibersegurança, da mesma forma que os anos anteriores: por um crescimento imparável de vulnerabilidades e ameaças de zero-day, sendo que as tendências apontam para um aumento ainda maior em 2024.

No contexto atual, onde a velocidade de exploração aumenta e as empresas exigem uma tomada de decisão mais célere, os especialistas da Qualys elaboraram um ranking com as seis principais previsões sobre a cibersegurança, relacionadas com o papel dos CISO, no ano que se aproxima.

Previsão 1: Os CISO devem passar da consolidação à simplificação

Em 2024, o objetivo principal dos CISO será simplificar as soluções de segurança existentes na empresa. Os CISO pretendem utilizar, de forma mais eficaz, as ferramentas implementadas pelas organizações (em média, as empresas dispõem de 70 a 90 ferramentas). A prioridade não é consolidar as soluções de segurança, mas antes tornar os processos mais eficazes, centrando-se nas abordagens de “um clique”. Haverá um maior uso da automatização para facilitar o trabalho das equipas de operações de segurança, cujo foco deverão ser os riscos para as suas organizações. Por consequência, áreas como a remediação serão ainda mais automatizadas. Desta forma, será possível que os funcionários mais capazes concentrem os seus esforços onde podem fazer uma verdadeira diferença.

Previsão 2: A IA vai começar a acelerar

Muitas equipas de segurança incorporarão a IA como parte das suas operações até ao fim do ano de 2024. Os primeiros projetos-piloto começarão a gerar resultados positivos e serão implementados de forma abrangente. No entanto, estes projetos terão de demonstrar resultados concretos e mensuráveis, de forma a ultrapassar qualquer ceticismo em relação ao hype mediático em torno da IA. As equipas não conseguirão evitar estes pedidos porque o resto da empresa adotará a inteligência artificial nas suas operações. Isto levará à criação de mais dados, mais operações TI para manter seguras e mais componentes móveis nos processos empresariais para resolver.

A IA será muito útil. Contudo, será necessário pensar muito bem sobre como a própria empresa deverá utilizá-la e quais são as melhores decisões de conformidade e gestão de riscos. Neste âmbito, os CISO e os seus homólogos de GRC (Governação, Risco e Conformidade) têm de estar envolvidos desde o início para liderar o planeamento e orientar as equipas para os melhores resultados.

Previsão 3: O défice de competências obrigará ao investimento na IA

Uma das preocupações associadas à utilização da IA é a possível substituição das pessoas nas empresas. Na segurança, isto não é uma exceção: a IA tem o potencial de assumir parte das tarefas que os profissionais têm de realizar de forma manual ou mais complicada. No entanto, estas implementações não substituem completamente os colaboradores. A intenção da utilização da IA por parte das empresas é a de melhorar as equipas e promover a produtividade. 

A Gartner prevê que a falta de talento será responsável por mais de metade dos grandes incidentes cibernéticos até 2025. Antecipar esta situação e garantir que as equipas se tornem mais eficazes, através da utilização da IA, é um objetivo fundamental para o ano de 2024.

Previsão 4: A educação e as relações interpessoais serão temas de maior atenção

Para além dos investimentos em tecnologia e segurança em que as equipas estão a trabalhar, existem vários problemas que a tecnologia não consegue resolver sozinha. É o caso das ameaças internas, com ataques provenientes do roubo de credenciais legítimas ou da exploração de informações. O desafio é saber como ajudar as equipas a compreender as suas responsabilidades, bem como a evitar estes incidentes.

Na ótica do programador, este terá de analisar a gestão segura da identidade ou evitar o roubo de credenciais. Do ponto de vista do utilizador final, será essencial compreender os ataques e as suas tipologias, a engenharia social ou o phishing. Para que isto aconteça, a segurança precisa de trabalhar com os restantes departamentos das empresas e tornar a formação sobre a segurança mais consistente. Desta forma, em 2024, veremos novas técnicas de abordar os colaboradores e novas formas de lhes transmitir todos estes conhecimentos indispensáveis.

Previsão 5: A segurança começará a ser dona dos dados

Uma das maiores tendências de segurança, a longo prazo, estará relacionada com os dados. As empresas armazenam progressivamente mais dados e estes são utilizados em aplicações críticas, pelo que as organizações terão cada vez mais dúvidas sobre a forma como gerem a conformidade e previnem os riscos. As equipas de segurança serão responsáveis por responder, da melhor forma, a estas questões.

À medida que mais equipas de segurança assumem a responsabilidade pela gestão de dados, a sua intervenção será mais abrangente: fazer alterações ou melhorias com base nas informações recolhidas e resolver problemas de forma a obter melhorias globais de eficiência em todos os tipos de processos. Prevemos, por isso, que em 2024 muito mais organizações passarão a enveredar por este caminho.

Previsão 6: Os CISO estão obrigados a quantificar o risco cibernético

A eliminação ou redução dos riscos, cibernéticos ou “reais”, tornou-se num objetivo central para a gestão das empresas. Atualmente, quase 50% dos CISO reportam diretamente ao CEO e mais de 90% apresentam relatórios regulares, ao seu conselho de administração, sobre a exposição da sua organização aos riscos cibernéticos. Os CISO encontram-se numa posição desafiante: estão sob pressão para resolver questões críticas, enquanto trabalham sob restrições orçamentais mais exigentes do que nunca. Os CISO são diariamente confrontados com impacto financeiro e devem ser capazes de medir e quantificar o risco cibernético em termos do negócio, comunicá-lo eficazmente à gestão de topo e eliminar os riscos mais significativos em tempo útil.

“Neste momento, ainda estamos a fechar e a recapitular todo o imenso trabalho que foi feito em 2023 na cibersegurança em torno da IA e da automação, pelo que é difícil arriscar previsões para 2024. No entanto, a lógica sugere que todos estes investimentos realizados em 2023 vão querer ser aproveitados pelas empresas. Estas, por um lado, vão procurar consolidar os seus processos de segurança, através da redução de ferramentas, e, por outro lado, vão dar mais importância à automatização, especialmente no domínio da remediação, a fim de aumentar a eficiência das suas equipas e reduzir os custos”, sublinha Sergio Pedroche, country manager da Qualys em Portugal e Espanha.