Se tem algo que preocupa as empresas – além de inteligência artificial, claro – são temas relacionados à cibersegurança. Ataques, vazamento de dados, plano de recuperação, phishing, ransomware, entre outros, são tópicos cada vez mais presentes em reuniões estratégicas. E não é para menos. Relatório recente da Cohesity apontou o Brasil como terceiro país que mais sofre ataques de ransomware. Quando bem-sucedidos, além do prejuízo financeiro (normalmente relacionados a pagamento de resgate), podem ficar danos reputacionais e riscos à continuidade do negócio. 

Parte do problema reside na falta de atenção que foi dada ao tema ao longo da digitalização das empresas, que resulta em baixo nível de maturidade. Há empresas que desconhecem seu tempo de recuperação em caso de ataques. E não falamos apenas de empresas de médio porte. A falta de maturidade atinge também grandes empresas, como avalia Gustavo Leite, vice-presidente da Cohesity para América Latina e Caribe. Em entrevista ao Coletivo Tech, o executivo arrisca a dizer que pelo menos 70% das organizações já sofreram com algum tipo de incidente e a chave para afastar riscos está em uma boa estratégia que tenha um plano de recuperação adequado. 

A seguir, você confere os principais trechos da conversa.

Vitor Cavalcanti – Empresas do mundo todo sofrem com problemas de cibsergurança, principalmente com a chegada de IA generativa e, mais recentemente, com os agentes. Você sente que não é apenas uma coisa nossa de Brasil e América Latina?

Gustavo Leite – Eu acho que, no mercado latino-americano, a gente demora um pouco mais. Tem algumas situações que eu olho uma grande empresa que eu custo a acreditar que esteja tão imatura. E a verdade é que os estudos demonstram que, inclusive as grandes estão sofrendo. Porque elas não têm um plano de resiliência que é diferente de ter uma ferramenta para isso. 

Se você pergunta em um grupo de empresas: em quanto tempo você recupera (seus dados)? Eu acho que de dez, oito ou nove vão dizer que não sabem esse tempo. Porque eles não treinam, não fazem uma análise. Você tem que praticar toda hora para entender qual a aplicação é core, o que é que eu preciso voltar rápido. Muitas vezes o líder não sabe o que é que ele precisa voltar para continuar operando. Porque também não adianta falar que quer recuperar tudo. Não vai dar. Não tem poder computacional que faça um banco retornar em segundos. Mas ele tem que entender qual o core bancário dele, o que é que ele não vive sem. É a tal da MVC (Minimum Viable Company). 

A gente tem falado muito para os nossos clientes do conceito de jump bag. Fazendo uma analogia boba, é quando minha esposa estava grávida e tinha uma mala ao lado da porta. Estourou a bolsa, pega a mala e vai. É o que, em termos de tecnologia, de digital, deveria existir. As empresas deveriam ter essa mala. Deu ruim, pega e vamos embora. Porque aqui eu volto a companhia em X tempo. E poucos têm essa maturidade.

VC – O que você entende ser o maior desafio para uma empresa não atingir esse estágio de maturidade que garanta uma resiliência digital?

GL – Primeiro, ela precisa ter clareza de como tierizar as aplicações. Quais são as implicações? Qual a interdependência dessas aplicações? E tem a questão dos dados. Hoje as empresas guardam dados que nem você faz no seu armário. Se você olhar, vai dizer que sempre usa as mesmas dez camisetas. Por que é que eu tenho outras trinta?

O certo seria pegar as trinta e jogar fora o excedente, fica muito mais fácil para você encontrar aquelas dez. Mas você vive com as quarenta usando as dez. E é o que, hoje, acontece nas empresas. Eles não têm essa visibilidade e ninguém quer tomar essa responsabilidade de fazer uma deleção inteligente.

O argumento é guardar ad eternum porque, nunca se sabe, posso precisar um dia. O mundo ideal seria o seguinte: se eu olho para os dados de uma planilha criada em 2015, tenho evidência que de 2015 até hoje ninguém acessou, por que é que eu estou mantendo isso? E muitas vezes quem criou não existe mais e tem uma segunda pessoa que eventualmente passou a usar. Aí temos de conversar com essa pessoa e entender a necessidade daquele arquivo.

Mas a maturidade não está nesse nível. As pessoas guardam com essa ideia de ‘se precisar está aqui’. Gastam muito mais e não conseguem fazer a recuperação nos tempos corretos. E hoje tem um grande desafio da localização das informações, antes ela estava dentro de um perímetro. Hoje ela está dentro de casa, está na nuvem A, está na nuvem B, está na nuvem C e está no data center Y. Como fazer essa gestão completa? Como garantir que você tem essa visibilidade de uma forma transparente? Como consigo olhar para tudo isso, mas numa única plataforma?

IA deve trazer otimização de processos

VC – Mas agora com IA as empresas não vão ter que caminhar para isso? Com IA, LGPD, regulamentação de IA, precisa de um ciclo de vida do dado. 

GL – Eu acho que a IA, pelo menos aqui no Brasil, ainda está um pouco em experimentos pontuais para algumas aplicações. Mas a tendência é que ela traga o quê? Uma otimização dos processos. Lá nos Estados Unidos já está acontecendo um problema sério, que é a IA tomando decisões de, de repente, deletar dados. Só que em algumas vezes ela erra feio.

Você tem que ter mecanismos, e a gente está até desenvolvendo agora todo esse conceito de ciber resiliência para IA. Se tem uma decisão mal tomada, como volto depois que eu identifico que foi tomada uma decisão ruim? As empresas têm que amadurecer muito mais para poder tirar melhor proveito da IA nessa questão de otimização. Na maioria das vezes você ganha, mas às vezes ela toma uma decisão que não faz o menor sentido. E você tem que ter a capacidade de retornar. Só que para você chegar nesse nível de maturidade, você tem que conhecer os seus dados como ninguém. Você tem que ter uma gestão, uma maturidade que hoje a gente não está pronto.

VC – Eu acho que a IA acabou escancarando o problema de dados que a gente tem. Muitos CIOs são pressionados pelo conselho, pelo CEO, mas há casos em que o projeto de dados não foi aprovado no passado e, hoje, inviabiliza essa maturidade para IA. 

GL – Olha, eu estava conversando com um cliente recentemente sobre essa questão de IA, o quão complexo é esse tema. Essa empresa, que é uma empresa pública (capital aberto), ela não tinha feito o anúncio de resultado do trimestre. Só que, provavelmente, quem estava preparando o anúncio estava usando uma IA em nuvem para ajudar.

Aquele conteúdo foi consumido pelo LLM e alguém conseguiu acessar aquelas informações do trimestre antes da divulgação. O dado tinha sido mastigado pela IA. Então a pergunta é como é que as empresas vão governar? Tome como exemplo a Cohesity. Eu gosto muito do ChatGPT, tenho uma familiaridade melhor. Mas aqui a gente usa outra, temos a Claude. Só que, assim, eu uso muito dado da empresa. Hoje, se eu pego o meu chat pessoal e tento colocar qualquer informação, sou travado pelo sistema. Porque ele sabe que ali não é um ambiente controlado.

Já o Claude que eu uso, ele é controlado, está num sandbox que ele não sai dali. Mas quais são as empresas que têm esse nível de controle? Provavelmente, nesse caso que eu dei como exemplo, alguém usou sua IA pessoal e, ao usar, você deu um aceite de que aquela informação é pública.

VC – Pensando nas empresas que não têm a governança adequada, qual que é o maior risco de inteligência artificial? É mais no sentido de um vazamento de informação, como esse exemplo que você deu, ou tem risco real de abertura de porta para cibercriminoso?

GL – Eu acho que tem as duas coisas. O vazamento talvez seja o mais difícil de controlar, porque enquanto a gente fala, muita gente usa e é difícil controlar. Para questão de vulnerabilidade existem algumas ferramentas que você consegue apontar onde estão as falhas, as portas abertas, as vulnerabilidades em si. Você vai ter sempre uma tecnologia que olhe para as vulnerabilidades, que aponte riscos. 

Mas acho que o uso indiscriminado da inteligência artificial é ainda mais perigoso do que a questão de ter a porta aberta. Porque a porta aberta você tem outros mecanismos. Agora, essa porta aberta de dados é extremamente crítica. Estamos falando de propriedade intelectual que vaza das empresas.

Parceiros já monitoram deep web

VC – E essa informação vazada pode chamar a atenção de cibercriminoso, que às vezes nem tinha a empresa no radar. E falando no Brasil, vocês soltaram estudo recente que nos coloca como terceiro país que mais sofre ataque de ransomware.

GL – O que mais impressiona é o número, são quase mil ataques desse tipo por mês (globalmente). É muita coisa. Sabe que esses dias a gente estava conversando com um parceiro – e nossos parceiros têm essa característica de cibersegurança – e ele comentava de um serviço que eles têm na deep web que monitora o que está sendo vazado das empresas. Eles estão lá ouvindo, capturando tudo o que aparece na deep web para ajudar o cliente. As empresas também têm que estar muito atentas a isso. Porque é como ele comentou, saiu um dado ali, a mensagem (na deep web) é: ‘tem um usuário aqui que está com a porta aberta, mandando um monte de dado, é um bom cara pra gente usar como caminho’.

VC – E dados interessantes, né? Porque daí eles vão olhar se aquilo tem valor ou não.

GL – Exato. Isso também acaba sendo uma forma de phishing. Eu tive um caso recente de uma grande empresa que eles buscaram um parceiro nosso porquê este parceiro apareceu na deep web. Aí eu entendi isso como um caso de maturidade em termos de cibersegurança. Como esse parceiro é importante para eles, quando ele apareceu na deep web, o cliente falou: ‘você tem algum problema aí. Você está sendo falado na deep web, você tem acesso a coisas importantes minhas, eu quero entender toda a auditoria do seu ambiente’. Então, as empresas têm que estar muito preocupadas com isso, porque abre-se uma porta, todo mundo está sabendo, e aí você acaba sendo foco de ataque. Quando você olha esses mil ataques, não são aleatórios.

VC – O cliente procura vocês já na UTI?

GL – A gente tem diversos casos, né? Hoje, como a Cohesity está nos grandes clientes, eu diria que, na maioria das vezes, eles nos procuram depois da coisa ter evoluído. O que é que eu quero dizer? Muitas vezes eles têm receio de abrir o problema para muita gente.

Teve um caso aqui, onde foram atacados e, na mídia, disseram para todo mundo que não houve ataque. Eles foram obrigados a nos buscar porque nós somos a solução de recuperação deles. A gente tem um serviço para nossos clientes que chama CERT (Cyber Event Response Team), onde a gente conecta com todas as empresas de segurança, outros vendors, porque a gente troca figurinha. Então, eu falo com a Palo Alto que já me dá logs que são importantes, e vice-versa. Converso com a Tenable, onde a gente troca logs, e, com isso, a gente ganha tempo e o cliente acaba aproveitando dessa conexão, porque a ação tem que ser muito rápida. 

Nesse caso, o cliente falou que não queria que a gente falasse com a equipe de segurança da informação. Pediu que só fizéssemos a recuperação. Mas se eu recuperar sem ter muita informação, eu posso recuperar de uma forma ruim. A gente tem uma estratégia onde a recuperação tem de ser muito cuidadosa, porque se o cara (invasor) está muito tempo no ambiente, mais de uma semana, por exemplo, o backup pode estar infectado.

Então, eu tenho que ter a garantia de que a cópia de recuperação que eu estou usando está limpa. Mesmo com esse alerta o cliente assumiu o risco. A boa notícia é que eles usam os appliances que são nossos, que é como se fosse uma caixa forte, então ele tem sete camadas de segurança. Normalmente, quando o cibercriminoso ataca, o primeiro lugar que ele vai é no backup. Ele derruba o backup, que daí a empresa não retorna. Nesse caso, a gente recuperou e funcionou. A história que ele contou para o mercado é: ‘não fui atacado, recuperou, beleza’. 

Mas a verdade é que hoje as empresas demoram e sempre vêm com algo assim: o quanto isso vai vazar? Se ligar para o meu account manager, o quanto essa informação de que a empresa tal foi atacada vaza. Então eles tentam proteger. Mas respondendo sua pergunta, uma coisa que a gente vê muito é “cara, não sei o que fazer, você me alertou, você me disse algumas vezes, e eu estou nessa situação”. Então, em alguns casos a gente faz o nosso melhor, e aí são os casos UTI. Onde a gente não fez um trabalho prévio, porque a história que a gente conta é: depois que foi atacado, é um problema. A gente tem que tentar antecipar as coisas para poder estar preparado.

70% das empresas já tiveram problemas de ciber

VC – Na média, as empresas estão mais abertas para entender esse assunto? Porque eu ainda vejo muita gente fugindo de temas que são mais complexos quando chega no conselho.

GL – Eu diria que no nosso tema, pela dor, sim. Eu me arrisco a dizer que 70% das empresas já passaram por alguma coisa nesse sentido, por isso, estão muito mais preocupadas. Eu até brinco, você avaliar uma cadeira de cibersegurança em um board seria uma coisa meio utópica lá no passado. Conheço vários casos que pagaram (resgate) e que não a informação não vazou, mas pagaram.

Só que o ponto é: pagou, legal, mas além da perda de dinheiro, continuaram vulneráveis por um período. Ter a governança dos dados para saber onde o cibercriminoso tocou, poucas empresas têm. É um tema supercomplexo. Eu digo que está na boca de todo CEO o tema de recuperar rápido. 

Aí você pega um caso famoso, que a porta de entrada foi uma impressora. Eu tive a oportunidade de estar com esse executivo, que é um amigo, ele falou: ‘foi o pior momento da minha vida. Foi um mês que era advogado, era a pressão do board. É muita responsabilidade’. Então, eu percebo que os executivos estão mais preocupados, estão olhando mais para isso. Dentro do board é um tema importante, assim como a inteligência artificial.

VC – Segurança hoje virou um problema de sociedade, né? Seja por conflitos entre países que assistimos, invasões a sistemas de governo que, eventualmente, podem parar trens, metrôs e fornecimento de energia. 

GL – Healthcare é outro segmento que é muito atacado pela criticidade. Não dá para brincar. É sensibilidade de informação, manter a rede ativa, você tem até cirurgia a distância. Imagina o paciente sendo operado a distância, e cai o sistema? Acho que hoje segurança, alta disponibilidade, plano de contingência são temas críticos, as empresas têm essa visibilidade, algumas ainda não sabem qual caminho, outras estão buscando.

Temos ajudado muito essas empresas a ter um plano, porque é fato que isso vai acontecer. O problema vai ocorrer e a gente é a última fronteira. Porque quando a empresa chega até nós, é que realmente todos os pontos de segurança foram ultrapassados e a última fronteira para recuperação somos nós. Por isso, ter um plano inteligente, com uma tierização, com uma receita de bolo de como recuperar, é chave. 

VC – Considerando todo esse cenário complexo, se você fosse pensar em um projeto que você te brilharia o olho, que projeto seria esse?

GL – Acho que um projeto que olha tanto para a questão de segurança, de alta disponibilidade, garantir que a empresa esteja madura do ponto de vista do ciclo da informação, no sentido de recuperar e ter uma ciber resiliência redonda. Mas também que eu consiga ajudar a entender melhor seus dados. Aproveitando que eu tenho toda essa massa de dados, como eu trago inteligência para ele tomar decisões, para ele poder renunciar a alguns dados que não deveriam estar lá?

A gente fala que o projeto ideal é quando o cliente está disposto a criar essa jornada que temos de cinco passos. O primeiro é garantir que eu tenho tudo protegido, depois garantir que esses dados que eu tenho estão íntegros para recuperação. O terceiro está ligado à questão de como eu vou garantir que eu vou analisar as vulnerabilidades naquele ambiente, em quarto, que eu tenha todo o plano de ensaio, de recuperação e, por fim, o quinto é conhecer todos os dados, que eu consiga classificar esses dados.

VC – E ciber resiliência, você acha que é um tema que que pega quando no Brasil, de fato?

GL – Eu acho que já está pegando. As empresas estão muito preocupadas. Isso não quer dizer que elas estejam maduras, mas é um tema que já permeia as reuniões de board, os CIOs já têm isso como um ponto de atenção. Tem uma questão de maturidade, tem um processo aí de amadurecimento que vai levar aí uns 2 ou 3 anos para as empresas estarem mais maduras.