Na semana passada tive a oportunidade de participar de uma série de ótimos eventos, e poder falar e palestrar em alguns deles, abordando temas atuais que pessoalmente acho bem relavantes, e queria compartilhar abaixo um pouco do que falei a respeito, como na quarta passada quando dei uma palestra para a diretoria do Banco Yamaha, a quem agradeço o convite e oportunidade, em que falei a respeito dos cada vez mais interconectados risco cibernético com a fraude.
1) Introdução sobre o risco mudou, mas muitas estruturas de gestão ainda não:
Há alguns anos quando discutíamos gestão de riscos em uma instituição financeira era relativamente natural organizar o debate em categorias bem delimitadas. Havia o risco de crédito, o risco de mercado, o risco de liquidez, o risco operacional e outros riscos que, embora complexos, passaram a contar com metodologias, estruturas de governança, métricas, limites e processos relativamente consolidados. Aprendemos a avaliar probabilidade e impacto, construímos modelos, políticas, comitês, controles e mecanismos de monitoramento. O problema é que agora uma nova geração de riscos passou a desafiar essa lógica de compartimentalização.
Fraude, risco cibernético, risco de terceiros, roubo de informações, engenharia social, comprometimento de identidades, crime organizado digital e utilização maliciosa de inteligência artificial deixaram de poder ser compreendidos como acontecimentos independentes.
Diria de que hoje eles funcionam cada vez mais como elementos de um mesmo ecossistema de ameaças. Essa talvez seja a primeira grande mensagem para o Banco Yamaha de que não podemos mais administrar esses riscos como se fossem independentes, porque o criminoso não enxerga nosso organograma, não se importa se determinada responsabilidade pertence à tecnologia, à segurança da informação, à fraude, ao PLD, ao cadastro, à gestão de riscos, aos controles internos, às operações ou à gestão de fornecedores. Para ele, a pergunta é muito mais simples: onde está a porta mais fácil?
Esta palestra foi estruturada em três grandes blocos, em que o primeiro trata da transformação do ambiente de fraude e risco cibernético e de sua crescente interconexão, e o segundo discute a governança desses riscos e o papel da alta administração, da área de riscos, dos comitês e dos conselhos, já o terceiro aprofunda uma das maiores vulnerabilidades desse novo ecossistema que é o risco de terceiros.
2) O novo panorama em que os riscos que crescem em quantidade, sofisticação, eficiência e velocidade:
Os riscos tradicionais continuam existindo e continuarão exigindo enorme disciplina de gestão. Crédito não deixou de ser importante, mercado não deixou de ser importante, liquidez não deixou de ser importante e risco operacional continua presente. A diferença é que acumulamos décadas de experiência na administração desses riscos. Já os riscos emergentes associados à fraude, ao cibernético e ao crime digital apresentam uma dinâmica muito mais acelerada, obrigando as instituições a reaprender continuamente como se defender.
Fraudes e ataques cibernéticos estão crescendo em quantidade, mas esse talvez seja apenas o aspecto mais visível do problema, pois também estão crescendo em sofisticação, eficiência, capacidade de automação, e sobretudo em velocidade. Esse conjunto de fatores altera significativamente a equação da gestão de riscos. Pois durante muito tempo representamos um risco a partir de duas dimensões fundamentais clássicas, que são a probabilidade e impacto. Continuamos precisando delas, mas para compreender adequadamente fraude e risco cibernético, precisamos adicionar pelo menos duas outras dimensões, que são a interconectividade e velocidade da interconectividade.
Um evento cibernético pode começar em um fornecedor, comprometer uma identidade, permitir acesso a uma API, possibilitar exfiltração de informações, gerar fraude, utilizar contas de passagem para movimentar recursos, transformar-se em um problema de PLD, comprometer a disponibilidade operacional e atingir a reputação da instituição em poucas horas. Não estamos diante de sete incidentes independentes, mas de uma única cadeia de risco, pois é justamente por isso que estruturas organizacionais excessivamente rígidas e baseadas em silos passam a apresentar limitações.
Enquanto muitas empresas continuam organizadas verticalmente, os criminosos trabalham horizontalmente. Enquanto internamente discutimos quem é responsável pelo problema, externamente alguém pode estar explorando a vulnerabilidade. Enquanto uma área abre um chamado para outra, o ataque continua avançando. Essa diferença de velocidade é especialmente relevante quando comparamos fraude e cibernético com riscos como crédito. Uma deterioração de crédito normalmente oferece sinais antecedentes e algum tempo para atuação. Podemos rever políticas, apertar critérios de concessão, reduzir limites, exigir garantias adicionais ou renegociar exposições. Já um incidente cibernético pode evoluir em minutos. Uma instituição que leva horas para compreender aquilo que o atacante desenvolve em minutos começa a resposta em clara desvantagem.
3) O criminoso procura o caminho mais fácil:
Durante muitos anos os grandes bancos foram alvos naturais de ataques cibernéticos e fraudes sofisticadas. Continuam sendo. No entanto essas instituições investiram intensamente em tecnologia, pessoas, monitoramento, inteligência, controles e resiliência. Como consequência, atacar determinados ambientes se tornou mais caro, mais difícil e mais arriscado para o criminoso. O crime porém também realiza uma espécie de análise econômica e de seus riscos. Assim se determinado caminho se tornou difícil, ele procura outro mais barato e fácil com menos riscos.
Se atacar diretamente uma instituição é muito difícil, procura-se um terceiro. Se quebrar uma barreira tecnológica é complexo, procura-se uma pessoa. Se penetrar na infraestrutura principal exige esforço demasiado, busca-se uma credencial. Se o ambiente principal está bem protegido, procura-se uma API. Se o grande banco está fortemente protegido, procura-se uma empresa menor conectada a ele. O objetivo não é necessariamente encontrar o maior volume financeiro, mas encontrar a maior facilidade de acesso.
O criminoso também não procura apenas dinheiro. Informação possui enorme valor. Credenciais possuem valor. Acesso possui valor. Conhecimento sobre processos internos possui valor. Informações sobre pessoas, horários, exceções, sistemas, arquiteturas, bases e terceiros possuem valor. Quanto mais resiliente se torna o núcleo da instituição, mais importante passa a ser olhar para o ecossistema que a cerca, porque fornecedores, prestadores de serviços, empresas de cobrança, call centers, consultorias, empresas de tecnologia e diferentes parceiros passam a integrar efetivamente o perímetro de risco.
4) O crime digital é uma atividade organizada:
Outro ponto importante é abandonar a imagem simplificada do hacker solitário diante de um computador. Uma parcela significativa do crime digital contemporâneo funciona como atividade organizada, com especialização, divisão de trabalho, planejamento, financiamento, logística e funções distintas dentro de uma mesma cadeia criminosa. Existem pessoas dedicadas ao acesso inicial, outras à engenharia social, outras à obtenção ou corrupção de insiders, outras à movimentação dos recursos, outras à lavagem do dinheiro, outras ao desenvolvimento tecnológico e outras ainda à comercialização das informações obtidas.
Queria trazer uma imagem forte ao descrever estruturas que funcionam como células especializadas dentro de uma organização criminosa. Pois é nesse contexto que podemos utilizar a expressão “novo cangaço digital”. Em que o antigo cangaço bancário dependia de presença física, armas, veículos e explosivos, já o novo cangaço pode depender de credenciais, APIs, engenharia social, informações internas, terceiros vulneráveis e inteligência artificial. O objetivo econômico pode ser semelhante, mas o modus operandi tornou-se digital.
5) Muitas vezes a primeira coisa que o atacante leva não é dinheiro, mas informação:
Esse é um dos pontos mais relevantes para compreender o ciclo de um ataque. Quando alguém consegue penetrar em uma estrutura, é natural imaginar que seu primeiro objetivo será retirar recursos. Nem sempre. Muitas vezes o primeiro ativo procurado é informação. O atacante precisa compreender como a empresa funciona, quem decide, quem possui determinados acessos, onde estão as bases mais relevantes, como os sistemas se relacionam, onde estão as credenciais, quais são os fornecedores, quais mecanismos de autenticação existem e quais controles são fortes ou apenas aparentes.
É por isso que documentos aparentemente administrativos podem possuir enorme valor para um criminoso. Manuais, políticas, organogramas, arquiteturas, desenhos de bases, informações sobre cofres de senhas, rotinas de substituição e dados sobre pessoas podem ajudar a construir um mapa detalhado da empresa. A segurança portanto não pode ser pensada apenas como capacidade de impedir a entrada, mas devemos também perguntar o que acontece depois que alguém consegue entrar. Quanto conseguirá enxergar? Quanto conseguirá acessar? Quanto conseguirá retirar? Quanto tempo permanecerá sem ser identificado? E até onde conseguirá se mover lateralmente?
Esse raciocínio representa uma mudança importante. Uma instituição madura não trabalha apenas com a premissa de que suas barreiras são invioláveis. Ela admite que algum controle pode falhar e prepara a arquitetura para limitar o impacto dessa falha.
6) A analogia da portaria: tecnologia sofisticada não elimina fragilidade humana:
Uma analogia particularmente útil é imaginar um prédio extremamente moderno no qual foram investidos milhões em segurança. Existem câmeras de alta definição, biometria, portas blindadas, alarmes, sensores e inteligência artificial. Contudo existe uma pessoa na portaria capaz de liberar o acesso. Se essa pessoa puder ser facilmente manipulada, corrompida ou intimidada, toda aquela sofisticação tecnológica pode ser contornada.
Ela pode colaborar ativamente, abrindo a porta ou fornecendo a senha, mas também pode colaborar passivamente, simplesmente ignorando um comportamento suspeito ou deixando de reagir a algo que deveria chamar sua atenção. Nas empresas acontece algo semelhante. Podemos investir milhões em segurança tecnológica e continuar dependendo de um funcionário ou, principalmente, de um terceiro cuja maturidade de segurança é muito inferior à da instituição.
Esse terceiro conhece processos, pessoas, sistemas, horários, exceções e acessos. Eventualmente, possui informações que jamais deveria possuir. Quando isso ocorre, risco de terceiros deixa de ser um tema separado e passa a fazer parte do próprio risco cibernético e da fraude. Terceirizar uma atividade pode ser eficiente e racional. Terceirizar a responsabilidade pelo risco, porém, não é possível.
7) De uma postura reativa para uma postura de contrainteligência:
Durante muito tempo, a resposta ao cibernético e à fraude foi predominantemente reativa. Acontecia um incidente, identificava-se uma vulnerabilidade e corrigia-se aquele ponto. Depois aparecia uma nova vulnerabilidade, que também era corrigida. O problema dessa lógica é que a empresa permanece permanentemente atrás do adversário. Está sempre reagindo à última estratégia utilizada por ele.
Em algum momento essa lógica precisa mudar, pois não podemos esperar que o criminoso seja o responsável por descobrir nossas vulnerabilidades. Precisamos procurar essas vulnerabilidades antes dele, compreender seu modus operandi, estudar seus comportamentos, acompanhar o ambiente externo, identificar padrões e desenvolver inteligência sobre ameaças. Na experiência relatada na conversa, essa mudança levou à criação de uma atuação de contrainteligência, acompanhada de monitoramento de ambientes associados ao crime digital e esforços para compreender como suas células funcionavam e se articulavam.
A lógica é simples: se o adversário estuda a instituição, a instituição também precisa estudar o adversário. A defesa deixa de ser apenas proteção de perímetro e passa a incorporar inteligência.
8) Inteligência precisa circular:
Outro elemento importante é a cooperação entre instituições, autoridades e especialistas. Queria usar o exemplo aprendido da Caixa, e a sua relação com a Polícia Federal que permite troca de informações, treinamento e interação com equipes especializadas em fraude e crimes cibernéticos. O ponto mais relevante dessa experiência não está apenas na característica institucional da Caixa, mas no princípio que ela revela de que os crimes digitais organizados dificilmente serão enfrentados de maneira eficiente se cada instituição trabalhar completamente isolada.
Um padrão identificado em uma instituição pode aparecer logo depois em outra. Uma credencial comprometida pode fazer parte de uma operação mais ampla. Uma forma de fraude observada em determinado ambiente pode se reproduzir rapidamente no mercado. Modus operandi conhecido por uma empresa pode evitar uma perda em outra. Quando o adversário opera como rede, defender-se exclusivamente em silos reduz a eficiência da resposta.
9) A inteligência artificial está comprimindo o tempo do ataque:
A inteligência artificial está alterando profundamente essa dinâmica porque permite analisar volumes enormes de informação em períodos muito menores. Tradicionalmente, depois de obter documentos e dados de uma empresa, o criminoso poderia gastar semanas ou meses estudando o material, identificando relações, procurando vulnerabilidades e construindo seu plano de ataque. Hoje, modelos de inteligência artificial podem acelerar dramaticamente essa análise.
Documentos podem ser processados, relações podem ser identificadas, padrões podem ser encontrados e potenciais fragilidades podem ser priorizadas em muito menos tempo. Aquilo que antes demorava meses pode passar a demorar semanas. O que demorava semanas pode passar a demorar dias. Isso reduz significativamente a janela disponível para a defesa.
Outro ponto importante é que o atacante não necessariamente identifica apenas uma vulnerabilidade. Pode encontrar várias e organizá-las em sequência. Se a primeira porta for fechada, tenta a segunda. Se a segunda também for bloqueada, utiliza a terceira. A resposta deixa de ser simplesmente uma disputa entre uma vulnerabilidade e um controle e passa a ser uma disputa de velocidade, capacidade de adaptação e resiliência. Por isso, apenas corrigir o último buraco encontrado deixa de ser suficiente.
10) Governança em que o risco cibernético não é apenas um problema da tecnologia:
O segundo grande bloco desya discussão trata da governança. Existe uma tendência perigosa de transformar risco cibernético em tema exclusivamente técnico. Frases como “isso é problema de tecnologia” ou “a segurança resolve” ainda aparecem com frequência. Essa visão é insuficiente. Tecnologia implementa parte relevante das soluções e segurança possui responsabilidade operacional importante, mas definição de prioridade, alocação de recursos, aceitação de risco residual, arquitetura de governança e continuidade do negócio são questões que pertencem à alta administração.
Cibersegurança é tema de negócio. Fraude é tema de negócio. Terceiros são tema de negócio. Resiliência é tema de negócio. A diretoria, os comitês e os conselhos precisam compreender que esse tipo de risco não se limita a uma infraestrutura tecnológica, porque seus efeitos podem chegar ao cliente, à reputação, ao patrimônio, à liquidez, à continuidade das operações e à própria sobrevivência da empresa.
11) A competição por recursos é real:
Também é necessário compreender o dilema da administração. Executivos trabalham com orçamentos limitados, metas de resultado, projetos concorrentes e pressões de curto prazo. De um lado, surge um projeto comercial cujo retorno pode ser facilmente demonstrado. Do outro, aparece um projeto de segurança cujo melhor resultado é impedir que algo aconteça. Essa assimetria dificulta a decisão.
Uma iniciativa comercial pode apresentar uma projeção de receita. Já a segurança oferece uma perda que não ocorreu. Quanto mais eficiente o controle, mais silencioso tende a ser seu resultado: nenhum sistema caiu, nenhum dado foi roubado, nenhum cliente foi afetado, nenhum serviço precisou ser interrompido e nenhuma crise reputacional foi iniciada. Paradoxalmente exatamente porque funciona, a proteção pode ser percebida como custo.
A governança precisa corrigir essa interpretação. Segurança não é burocracia nem despesa improdutiva, mas é um investimento necessário para preservar a capacidade da empresa de continuar operando.
12) Segurança como seguro antes da UTI:
Queria usar aqui a analogia do seguro de saúde, em que não faz sentido decidir contratar um bom seguro quando o paciente já está internado na UTI. Nesse momento a doença já aconteceu, o custo já apareceu e o poder de escolha diminuiu dramaticamente. O mesmo vale para cibersegurança. Descobrir depois de um ataque que deveríamos ter investido em pessoas, segmentação, monitoramento, identidade, contingência ou proteção de backups significa agir quando o dano já começou.
Após um ataque grave frequentemente surge aquilo que não existia antes, que é um orçamento praticamente ilimitado. Mas orçamento ilimitado depois da crise não recupera automaticamente reputação, clientes, dados, confiança ou oportunidades perdidas. O aprendizado precisa acontecer antes do evento, não apenas depois dele. Mas é exatamente por isso que a conversa reforça que essas áreas devem ser vistas como investimento e proteção da própria administração, e não como burocracia.
13) Um caso que mostra como um problema técnico pode se transformar em crise empresarial:
Queria trazer um relatado de um caso real ocorrido em uma instituição financeira internacional na virada de 2019 para 2020. Existia um servidor antigo esquecido havia anos, ainda conectado ao ambiente. Foi por essa porta que os atacantes teriam entrado. A análise posterior indicou que eles permaneceram durante meses no ambiente antes de executar o ataque final.
Esse detalhe é extremamente importante porque mostra que o ataque não começou no dia em que os sistemas ficaram indisponíveis. O ataque começou muito antes. Durante esse tempo, o criminoso observou, estudou, mapeou e escolheu o momento mais favorável para agir. O ataque ocorreu em período de feriado, madrugada e menor disponibilidade de equipes, justamente quando a velocidade de reação tende a cair.
O impacto incluiu criptografia ampla da infraestrutura e comprometimento dos próprios backups, dificultando muito a recuperação. A operação internacional sofreu consequências relevantes e a normalização levou meses. O problema tecnológico rapidamente se transformou em problema operacional, comercial e reputacional. Clientes importantes migraram e a concorrência ocupou o espaço disponível. O caso demonstra de maneira clara que um incidente cibernético pode começar em um equipamento tecnológico e terminar comprometendo a própria viabilidade econômica de uma empresa.
14) Quem já foi atacado pode ser atacado novamente:
Outra crença perigosa é imaginar que uma instituição, depois de sofrer um ataque, ficará menos exposta simplesmente porque “já aconteceu”. Isso não é necessariamente verdade. Se o criminoso conhece o caminho e a instituição permanece vulnerável, existe incentivo para retornar. O atacante procura facilidade. Se aquela porta continua fácil, ele pode voltar.
Por isso que sofrer um incidente não reduz automaticamente o risco futuro. O aprendizado precisa ser transformado em controles, arquitetura, pessoas, processos, investimento, monitoramento e governança. Também não é necessário sofrer pessoalmente um ataque para aprender. Mas é perfeitamente possível aprender com a experiência de outras instituições. Aprender com a dor de outra empresa é sempre muito menos oneroso do que aprender depois da própria crise.
15) O papel da área de riscos precisa mudar:
Seria contudo inadequado atribuir toda a responsabilidade à alta administração. As áreas de riscos e tecnologia também precisam rever a maneira como apresentam seus problemas e defendem seus investimentos, em que ainda é comum uma equipe técnica identificar uma vulnerabilidade relevante, preparar dezenas de páginas, explicar todos os detalhes da arquitetura e, apenas no último slide, informar quanto precisa de orçamento.
Conselhos e diretorias porém trabalham sob severa restrição de atenção. Não precisam conhecer todos os detalhes técnicos para decidir. Mas precisam sim compreender qual é o risco, qual é a exposição, qual pode ser o impacto no cliente, qual a consequência financeira, operacional e reputacional, qual é o cenário extremo, o que está sendo evitado, quanto custa a solução, qual risco residual permanecerá e o que acontece caso nada seja feito.
Esse é o idioma da governança. Profissionais de risco precisam ser capazes de traduzir complexidade técnica em consequência empresarial. Isso não significa simplificar irresponsavelmente, mas comunicar de forma que a decisão possa efetivamente ser tomada.
16) A proteção física e a proteção digital partem do mesmo princípio:
Uma analogia interessante é perguntar a um executivo como ele protege sua própria residência. Provavelmente haverá fechaduras, portaria, câmeras, senhas, alarmes, seguro e controle de acesso. Ele entende intuitivamente que seu patrimônio físico precisa ser protegido. A mesma lógica precisa ser aplicada ao patrimônio digital.
Dados são patrimônio. Sistemas são patrimônio. Relacionamentos são patrimônio. Reputação é patrimônio. Continuidade operacional é patrimônio. Identidades são patrimônio. A diferença é que a proteção do patrimônio físico é intuitivamente compreendida, enquanto o risco digital muitas vezes precisa ser traduzido para que sua dimensão econômica se torne visível.
17) Quanto devemos investir?
Essa é uma pergunta inevitável, mas a conversa evita oferecer um número genérico ou percentual universal. O nível de investimento depende da arquitetura, da exposição, da criticidade dos serviços, do legado tecnológico, da maturidade atual, do ecossistema de terceiros, da quantidade e sensibilidade dos dados e das características operacionais da instituição. Não existe uma fórmula única aplicável a todos.
O que sabemos é que segurança consistente não é barata. Ao mesmo tempo também sabemos que dinheiro sozinho não resolve. Investimento sem estratégia, priorização e capacidade de execução pode gerar ferramentas caras e proteção insuficiente.
18) Pessoas antes de ferramentas:
Trago outro caso real que ocorreu em abril de 2021, novamente durante um feriado prolongado. Depois do ataque o orçamento naturalmente apareceu, mas a experiência demonstrou que disponibilizar dinheiro sem saber como utilizá-lo não era suficiente. Dinheiro é recurso, mas pessoas também são recurso. Conhecimento, autonomia e capacidade de decisão também são recursos.
Uma das primeiras mudanças foi reforçar a equipe. Isso não significa simplesmente aumentar o número de pessoas, mas contar com profissionais competentes, preparados, capazes de tomar decisões, dotados de autonomia e respaldados pela administração. Uma equipe relativamente pequena, mas tecnicamente forte e bem apoiada, pode produzir impacto muito maior do que uma estrutura numerosa e sem clareza de responsabilidade.
Ferramentas excelentes operadas por pessoas despreparadas continuam vulneráveis. Pessoas competentes sem autonomia também ficam limitadas. Segurança eficiente exige combinação entre capacidade técnica, apoio institucional, clareza de autoridade e ferramentas adequadas.
19) Segurança é uma jornada, não um projeto com data final:
Depois de reforçar pessoas e capacidades, é necessário construir planejamento. O que precisa ser feito primeiro? Quais vulnerabilidades são mais importantes? Onde está a maior exposição? Qual iniciativa reduz mais risco? O que depende de outra iniciativa? Onde é necessário segmentar? Onde é necessário modernizar? Onde identidade precisa ser revista? Como priorizar?
Isso exige um roadmap. Mas existe uma característica particular: esse roadmap não termina. Na experiência descrita na conversa, a evolução já ocorria havia cerca de quatro anos e continuava avançando. A proteção foi se tornando progressivamente mais sofisticada, evidenciando que segurança é uma jornada contínua que não possui um ponto definitivo de conclusão.
A razão é simples. O adversário evolui, as tecnologias mudam, os produtos mudam, os fornecedores mudam, os processos mudam, as APIs mudam e agora agentes de inteligência artificial passarão a integrar o ambiente. A proteção adequada para hoje não necessariamente será adequada amanhã. Resiliência é, em grande medida, capacidade permanente de adaptação.
20) Risco de terceiros onde o risco continua sendo da instituição:
Este terceiro bloco trata de um tema cada vez mais relevante que é o risco de terceiros. Instituições financeiras operam em ecossistemas complexos e dependem de empresas de tecnologia, cobrança, atendimento, processamento, infraestrutura, consultoria, desenvolvimento e diversos outros serviços especializados. Cada terceirização pode gerar eficiência, mas também pode ampliar a superfície de ataque.
Um argumento que aparece com frequência quando se identifica uma vulnerabilidade em fornecedor é que aquele mesmo terceiro trabalha para uma instituição maior. Isso não elimina o risco. O escopo contratado pode ser diferente, os acessos podem ser diferentes, a integração tecnológica pode ser diferente, a criticidade dos dados pode ser diferente e os controles compensatórios podem ser diferentes.
O princípio precisa ser claro: a execução pode ser terceirizada, mas a responsabilidade pelo risco permanece com a instituição. Não é possível simplesmente transferir a accountability para o fornecedor.
21) Ainda estamos amadurecendo na gestão de terceiros:
Precisamos reconhecer de que a disciplina de risco de terceiros ainda possui muito espaço para amadurecimento. Muitas empresas avançaram em due diligence, questionários, cláusulas contratuais e avaliações de segurança. Tudo isso é necessário, mas não suficiente.
O risco não termina quando o contrato é assinado. O fornecedor muda ao longo do tempo, sua equipe muda, subcontratados surgem, tecnologias são alteradas, integrações evoluem, acessos são ampliados e a criticidade pode mudar. O monitoramento precisa acompanhar a relação operacional real, e não apenas a documentação existente no momento inicial da contratação.
22) Integrar áreas sem necessariamente eliminar especializações:
Queria trazer minha experiência que mostra uma direção importante ao reunir, em estrutura mais integrada, temas como cibernético, fraude, terceiros, PLD e cadastro. Isso não significa que todas essas funções passem a fazer a mesma coisa. Cada uma continua exigindo especialização própria. O que muda é a capacidade de conexão.
As equipes precisam compartilhar dados, hipóteses, sinais, alertas, padrões e inteligência. Silos são úteis para preservar especialização, mas tornam-se perigosos quando impedem que relações entre eventos sejam percebidas.
23) Quando um modelo de crédito encontra uma fraude:
Trago mais um exemplo real particularmente interessante, em que uma equipe trabalhava em modelagem de crédito utilizando informações comportamentais. O ganho esperado para o modelo de crédito não foi tão grande quanto se imaginava, mas alguém percebeu que determinados padrões poderiam ser muito úteis para identificar fraudes e contas de passagem.
A informação foi levada à equipe de fraude e acabou contribuindo para a construção de uma abordagem melhor. Essa experiência demonstra uma ideia muito importante: dado não sabe em qual diretoria trabalha. Uma variável que pode ter pouco valor para crédito pode ser extremamente relevante para fraude. Uma informação cadastral pode ser importante para PLD. Um comportamento anormal pode indicar comprometimento de identidade. Uma ocorrência de segurança pode revelar fraude interna.
A gestão de riscos moderna precisa procurar exatamente essas interconexões.
24) O terceiro como porta de entrada:
Outro exemplo é o comportamento dos ataques contra estruturas altamente protegidas e seus fornecedores. Quando o alvo principal se torna extremamente difícil, o atacante passa a procurar quem presta serviços para aquele alvo. O raciocínio é semelhante ao de uma fortalez em que se o muro principal é alto, procure o portão lateral; se o portão também é protegido, procure quem possui autorização legítima para entrar.
No setor financeiro essa dinâmica pode surgir em empresas de telemarketing, prestadores de tecnologia ou outros terceiros que necessitam algum nível de acesso aos sistemas e dados da instituição. Um call center, por exemplo, pode precisar consultar informações de clientes. Esse acesso é legítimo operacionalmente, mas pode se transformar em vetor ilegítimo se for comprometido.
Uma vez dentro o atacante tentará se movimentar pelo ambiente. Por isso, a questão deixa de ser apenas “quem pode entrar?” e passa a incluir “até onde essa pessoa ou identidade consegue caminhar depois de entrar?”.
25) Microsegmentação para limitar o tamanho do problema:
Uma das capacidades consideradas fundamentais é a microsegmentação. A lógica é semelhante à dos compartimentos de um navio. Se todo o casco funcionasse como um único compartimento, um pequeno furo poderia comprometer toda a embarcação. Por isso existem divisões que limitam a propagação de uma avaria.
No ambiente tecnológico, precisamos partir da hipótese de que determinado ponto poderá ser comprometido. A pergunta passa a ser: se alguém entrar aqui, até onde conseguirá avançar? Se comprometer uma credencial, essa credencial permite acesso generalizado? Um terceiro consegue navegar por sistemas que nada têm a ver com sua função?
A microsegmentação busca reduzir o movimento lateral. O atacante pode comprometer determinado segmento, mas encontra barreiras para avançar. O objetivo deixa de ser acreditar que nenhum incidente ocorrerá e passa também a ser conter o tamanho do dano quando algum controle falhar.
26) Monitoramento comportamental em tempo real:
A segunda capacidade importante é o monitoramento comportamental. Controle tradicional de acesso pergunta se determinada identidade possui permissão. Monitoramento comportamental pergunta se aquilo que essa identidade está fazendo faz sentido.
Imagine um profissional de determinada área tentando acessar repetidamente um sistema totalmente alheio às suas funções. Talvez tecnicamente a credencial funcione, mas o comportamento é anômalo. Por que está acessando? Em qual horário? De qual dispositivo? A partir de onde? Com qual frequência? Qual volume de informação está consultando? Seu padrão mudou?
Em um ambiente no qual senhas podem ser roubadas, identidades podem ser comprometidas e autenticações podem ser burladas, observar comportamento se torna tão importante quanto validar credenciais.
27) Identidade digital é o próximo grande desafio:
A terceira capacidade é a identidade digital. Durante muito tempo, identidade esteve associada principalmente à identificação de pessoas por login, senha, token, certificado ou biometria. Esse cenário está mudando. Cada vez mais teremos agentes automatizados e agentes baseados em inteligência artificial executando tarefas diretamente nos sistemas das empresas.
Esses agentes também precisarão possuir uma identidade, um conjunto de permissões e limites claros. Será necessário saber quem criou o agente, qual é sua finalidade, quais dados ele pode acessar, quais sistemas pode utilizar, se pode executar transações, se pode chamar APIs, se pode criar outros agentes, por quanto tempo sua credencial é válida e quem responde por suas ações.
A identidade deixa de ser apenas um problema humano e passa a ser uma questão associada a qualquer entidade capaz de interagir com os sistemas. A conversa também destaca que a porta utilizada pelo atacante nem sempre será física ou sequer uma aplicação convencional. Muitas vezes será uma API, o que amplia significativamente a superfície de ataque e exige controles específicos.
28) A grande mudança: de proteger sistemas para construir resiliência:
Ao conectarmos todos esses elementos, percebemos que a verdadeira discussão não é simplesmente sobre adquirir mais uma ferramenta de segurança, mas o tema é resiliência empresarial. Resiliência significa admitir que incidentes podem acontecer e preparar a instituição para impedir, detectar, responder, conter, recuperar e aprender.
Precisamos impedir aquilo que for possível impedir, detectar rapidamente aquilo que não conseguimos evitar, conter aquilo que foi detectado, responder na velocidade necessária, recuperar o que foi afetado e aprender para que a instituição se torne mais forte depois do evento. Essa lógica é muito diferente de acreditar que segurança consiste em construir uma muralha perfeita. Não existe muralha perfeita. O que pode existir é uma arquitetura resiliente.
29) Velocidade de comunicação também é um controle:
Um dos meus aprendizados mais relevantes foi perceber que falta de comunicação e lentidão de comunicação também constituem vulnerabilidades. Normalmente associamos controles a sistemas, ferramentas, senhas, firewalls ou políticas. Em uma crise cibernética, entretanto, comunicação também é controle.
É necessário saber quem precisa ser informado, em quanto tempo, quem possui autoridade para decidir, quem pode isolar um ambiente, quem pode bloquear determinado acesso, quem pode suspender um serviço, quem aciona a liderança, quem preserva evidências, quem conversa com terceiros e quem coordena a resposta.
Se a empresa precisa reunir múltiplas instâncias antes de tomar uma decisão operacional urgente, talvez seu modelo de governança não esteja compatível com a velocidade do risco. Governança não pode produzir apenas supervisão. Precisa produzir capacidade decisória.
30) O desafio é simultaneamente humano, tecnológico e de governança:
Existe uma tendência de buscar soluções exclusivamente tecnológicas para problemas que possuem forte componente humano. Um terceiro pode ser corrompido, um funcionário pode ser manipulado, uma credencial pode ser compartilhada, uma pessoa pode ignorar um alerta, uma equipe pode não se comunicar adequadamente, um executivo pode postergar um investimento e um conselho pode não compreender a exposição.
A segurança mais eficiente nasce da combinação entre tecnologia, pessoas, processos e governança. Tecnologia sem pessoas capacitadas não resolve. Pessoas capacitadas sem ferramentas adequadas também não resolvem. Tecnologia e pessoas sem processo não resolvem. E tecnologia, pessoas e processos sem apoio da alta administração continuam insuficientes. É um sistema e, como todo sistema, sua força depende da capacidade de suas partes trabalharem de forma coordenada.
31) O que a liderança do Banco Yamaha deve levar dessa reflexão:
Talvez a pergunta mais importante ao final dessa discussão não seja “estamos seguros?”. Essa pergunta induz a uma resposta binária que praticamente não existe. Uma pergunta mais adequada seria sobre quão resilientes somos diante dos cenários que realmente importam?
Se um terceiro crítico for comprometido amanhã, saberemos rapidamente? Se uma credencial legítima começar a se comportar de forma anômala, perceberemos? Se alguém entrar em determinado segmento, conseguirá caminhar lateralmente? Nossos backups estarão efetivamente disponíveis depois de um ataque? As pessoas responsáveis pela resposta estarão disponíveis em um feriado ou durante a madrugada? A diretoria sabe quem toma cada decisão em uma crise? Fraude, cibernético, PLD, cadastro, risco e terceiros compartilham informações relevantes? Monitoramos apenas sistemas ou também comportamentos? Sabemos quais informações cada fornecedor consegue acessar? Conhecemos nossas APIs mais críticas? Estamos preparados para controlar identidades de agentes de inteligência artificial? Nossos investimentos são priorizados por risco ou apenas pela urgência do momento?
Essas perguntas transformam cibersegurança em governança porque fazem a discussão sair do ambiente exclusivamente técnico e chegar ao centro da gestão empresarial.
32) Mensagem final de que precisamos largar na frente:
Existe uma ideia que sintetiza toda a palestra: não podemos continuar correndo atrás do criminoso. Durante muito tempo o criminoso encontrava uma vulnerabilidade, nós fechávamos; ele encontrava outra, nós fechávamos; ele mudava a técnica, comprávamos outra ferramenta; e a corrida recomeçava.
Esse jogo precisa mudar. Precisamos conhecer nossas vulnerabilidades antes que sejam exploradas, compreender nossas dependências antes que se transformem em portas, conhecer nossos terceiros antes que sejam utilizados contra nós, monitorar comportamentos antes que uma credencial legítima produza um resultado ilegítimo, segmentar ambientes antes que um acesso localizado provoque comprometimento generalizado e estruturar identidade digital antes que pessoas, máquinas e agentes inteligentes passem a compartilhar um ecossistema cuja governança ainda não compreendemos completamente.
Precisamos também comunicar o risco antes que o incidente seja a única forma de fazê-lo ser ouvido. Precisamos investir antes de chegar à UTI. E precisamos abandonar definitivamente a ideia de que fraude pertence exclusivamente à fraude, cibernético pertence exclusivamente à tecnologia, terceiros são responsabilidade apenas de quem contrata e PLD pertence somente ao compliance.
O adversário já conectou tudo isso. Agora as empresas também precisam conectar.
A instituição financeira resiliente do futuro não será necessariamente aquela que nunca sofrerá uma tentativa de ataque, porque praticamente todas sofrerão muitas, mas será aquela capaz de tornar o ataque mais difícil, detectar rapidamente comportamentos anômalos, limitar o movimento lateral, proteger informações, responder na velocidade necessária, preservar suas operações e aprender continuamente.
Segurança portanto não é um projeto com data para terminar, não é uma ferramenta que se compra, não é apenas um orçamento aprovado e não é responsabilidade de uma única diretoria, mas é uma jornada permanente de tecnologia, pessoas, inteligência, comunicação, terceiros, governança, disciplina e resiliência.
Os criminosos continuarão mudando. A tecnologia continuará mudando. A inteligência artificial continuará acelerando os dois lados dessa disputa. As portas de entrada também continuarão mudando. Por isso, nossa defesa não pode parar.
A principal mensagem para o Banco Yamaha é exatamente esta de que o objetivo não é construir uma empresa que acredita que nunca será atacada, mas o objetivo é construir uma empresa suficientemente preparada, integrada, atenta e resiliente para que, quando o ataque vier, o adversário encontre muito menos espaço para transformar uma tentativa em uma crise.
Para melhor ilustrar estes conceitos e pontos acima, segue a apresentação que preparei para eles, que pode acessar online no link abaixo. Caso queria que eu faça uma palestra assim para seu time na sua empresa me procurem que tento ajudar.
