Melhorar a proteção com a Inteligência Artificial: “A IA é o futuro para nos ajudar a estar cada vez mais preparados” (com vídeo)

“Melhorar a proteção com a Inteligência Artificial” foi o tema da primeira mesa-redonda da IT Security Conference 2024, e contou com as visões de Olivia Arantes, CISO da Imprensa Nacional Casa da Moeda, Rui Sousa Gil, Head of Information Technology da José Mello Capital, David Marques, Head of Cybersecurity do Grupo Nabeiro, e David Grave, Cybersecurity Director da Claranet.

A Inteligência Artificial (IA) tem sido cada vez mais implementada na área da cibersegurança, desempenhando um papel fundamental tanto na proteção dos ativos empresariais como na resposta a ataques sofisticados. Neste debate sobre a integração da IA nas estratégias de cibersegurança, discutiu-se o impacto desta tecnologia nas organizações e como ela pode servir de aliada na redução de ameaças.

O papel da IA na proteção de ativos empresariais

Olivia Arantes, CISO da Imprensa Nacional Casa da Moeda, destacou a importância da IA para enfrentar a crescente sofisticação dos ciberataques. “Os atacantes têm recorrido cada vez mais à inteligência artificial para atacar as empresas, para tornar os ataques mais credíveis”, afirmou. Para a CISO, “se não tivermos capacidade de responder da mesma forma, estaremos em desvantagem”.

A IA permite uma resposta mais rápida e eficiente, especialmente em cenários onde a identificação manual de ameaças pode ser lenta ou imprecisa. “A inteligência artificial é o futuro para nos ajudar a estar cada vez mais preparados”, concluiu a oradora, destacando a urgência de investir em ferramentas avançadas que integrem a IA nos sistemas de defesa.

Rui Sousa Gil, Head of Information Technology da José Mello Capital, explicou que a IA facilita a monitorização das saídas dos sistemas, permitindo identificar inconformidades e realimentar os processos de forma adaptativa. Segundo o especialista, “ao utilizar a inteligência artificial, consigo [...] ver se existem não conformidades e realimentar o processo em si”. Assim, no futuro, sistemas como os de gestão de desempenho e ERP poderão alertar automaticamente sobre problemas, garantindo maior eficiência e proteção.

IA como multiplicador de produtividade e os desafios na implementação

David Grave, Cybersecurity Director da Claranet, contribuiu com a sua perspetiva de fornecedor de serviços, afirmando que a IA tem se tornado “um multiplicador de produtividade”. Neste sentido e, ao contrário de algumas perceções, o orador defendeu que a IA não substitui os analistas, mas liberta-os para outras funções mais estratégicas.

Contudo, David Grave também alertou para uma visão excessivamente otimista da IA como uma solução automática e completa. O especialista assegurou que a IA “não é uma ferramenta set and forget”, referindo-se ao risco de criar uma falsa sensação de segurança se as organizações não continuarem a avaliar e ajustar os sistemas de IA.

Por outro lado, o Head of Cybersecurity do Grupo Nabeiro, considerou que o desafio está em “conseguir sair do hype” e, por sua vez, “construir use cases concretos dentro da organização, onde a IA consiga trazer valor para as equipas de cibersegurança”. Esta abordagem é reforçada pela ideia de que grandes inovações, como a IA, seguem um ciclo que começa com os fabricantes, passa pelos integradores e, finalmente, chega aos clientes finais. Assim, o objetivo é ir além das promessas iniciais e transformar essas tecnologias em soluções práticas.

David Marques exemplificou este ponto mencionando dois use cases de prova de conceito que estão a ser implementados na sua organização. Num deles, a IA está a ser utilizada para trabalhar com linguagem natural em repositórios de dados, uma iniciativa que visa melhorar a extração de informação útil e acelerar o tempo de resposta às ameaças.

Prevenção de fraude e aprendizagem contínua

Um ponto crítico discutido foi o papel da IA na prevenção de fraudes, nomeadamente ataques como o spear phishing. Olivia Arantes explicou como a IA pode detetar ataques de spear phishing com maior rapidez do que os humanos, desde que a tecnologia seja constantemente atualizada. “A partir do momento em que lhe dizemos que é spear phishing, já vai saber identificar mais rapidamente”, afirmou. Contudo, a especialista enfatizou que a IA não é uma solução definitiva e requer uma aprendizagem contínua para se adaptar a novos tipos de ataques, ou seja, “é uma máquina que temos que ensinar dia após dia”, disse.

O Head of Information Technology da José Mello Capital, Rui Sousa Gil, também se referiu à IA como uma tecnologia que deve ser transversal a todos os processos de negócio. Salientou a importância de proteger os sistemas que suportam os processos de negócio e de garantir que a tecnologia utilizada está alinhada com esses objetivos. “Temos de começar por proteger esses processos de negócio e a forma como os fazemos, usando a tecnologia em nosso proveito” e, para esse efeito, o orador considera que é “crítico termos sistemas de aprendizagem contínua que vão estar a ver sistematicamente o que está a acontecer”.

Limitações da IA e deepfakes

Embora a IA ofereça inúmeras vantagens, o painel também reconheceu as suas limitações. David Grave alertou para a crescente ameaça dos deepfakes, destacando que a IA não tem a capacidade de compreender o contexto social ou as relações humanas, fatores que são frequentemente explorados por cibercriminosos em ataques de spear phishing. “A IA não vai ajudar a entender qual é a relação que eu tenho com o meu CEO, que me mandou aquela mensagem de áudio”, exemplificou.

O Cybersecurity Director da Claranet acrescentou ainda: “Acho que é uma lacuna. Podemos usar a IA para uma série de coisas, analisar os emails, padrões, cabeçalhos e uma série de indicadores. Mas este tipo de conteúdos muito tailor-made, de spear phishing para o utilizador, que requerem um contexto social e das relações humanas, a IA não nos vai ajudar. Aqui é a formação, é o utilizador”.

Responsabilidade e coordenação da IA nas organizações

A responsabilidade e coordenação da utilização da inteligência artificial nas organizações emergem como uma questão fundamental à medida que as empresas adotam esta tecnologia. Olivia Arantes salientou que é essencial identificar os problemas associados ao uso da IA e criar uma “política interna que vai regulamentar a utilização do IA dentro da organização”. A oradora também abordou o surgimento de um "Shadow IA" que considerou ser um risco real, onde os trabalhadores, ao não encontrarem diretrizes claras, podem recorrer a ferramentas não credíveis que, em vez de ajudarem, possam comprometer a segurança da organização.

Rui Sousa Gil acrescentou que “devemos ser proativos na utilização da IA, porque é uma ferramenta de criação de valor, acima de tudo, e que vai rapidamente ter retorno”. Para o orador, a regulamentação que lidera a transformação digital deve ser abrangente, envolvendo formação tanto para os utilizadores quanto para as unidades de negócio, com supervisão por parte de alguém com competências transversais. David Marques reforçou a necessidade de uma coordenação transversal, argumentando que as áreas de cibersegurança devem apoiar as iniciativas de IA, mas não serem as responsáveis por elas.

Já David Grave destacou o risco da falta de ferramentas adequadas, apontando que, se as organizações forem lentas a adotar novas tecnologias, os colaboradores podem utilizá-las de formas inadequadas. Assim, a criação de um framework que permita regular a utilização da IA sem limitar a inovação é um desafio crucial que as organizações devem enfrentar. O objetivo é encontrar um equilíbrio que proteja os dados e ao mesmo tempo permita que a IA agregue valor ao negócio, aproveitando as suas potencialidades de forma eficaz.