Um novo papel para o CISO em empresas orientadas por dados e IA
As empresas que se baseiam em dados e inteligência artificial (IA) enfrentam um novo desafio de segurança. O papel do Chefe de Informação de Segurança (CISO) precisa ser redefinido para atender às necessidades de uma organização que opera em um ambiente de dados e IA.
Da proteção de ativos à proteção de decisões
Antigamente, a segurança era focada na proteção de ativos, como redes, endpoints, aplicações e identidades. No entanto, com a adoção de dados e IA, a proteção de decisões tornou-se uma prioridade. Se um dado é alterado sem detecção, se um modelo aprende com uma fonte inadequada ou se um usuário recebe acesso além do necessário, a consequência pode ser um erro de precificação, fraude, interrupção operacional, discriminação automatizada ou perda de confiança do cliente.
Integridade, procedência e observabilidade dos dados
Integridade, procedência e observabilidade dos dados ganham peso semelhante ao da confidencialidade. Isso significa que o CISO precisa estar mais próximo de dados, jurídico, privacidade, arquitetura, produtos, RH e áreas de negócio. A segurança deixa de ser uma função que aprova ou reprova demandas isoladas e passa a ajudar a definir as condições de uso aceitável da informação e da automação.
Governança que permite velocidade, não burocracia
O desafio é evitar dois extremos: liberar qualquer ferramenta em nome da produtividade ou impor processos tão lentos que estimulem o uso não autorizado. A governança precisa ser orientada por risco e aplicada de forma compatível com a criticidade de cada caso. Um assistente de IA usado para resumir conteúdo público não exige o mesmo nível de controle de uma solução que analisa dados financeiros, prontuários, contratos ou informações de clientes.
Políticas genéricas e controles operacionais
Políticas genéricas, por si só, raramente resolvem o problema. As equipes precisam saber quais ferramentas foram aprovadas, quais dados podem ser inseridos, como reportar exceções e quem decide diante de uma dúvida. Também é necessário transformar regras em controles operacionais: gestão de identidade, menor privilégio, registros de auditoria, descoberta de dados sensíveis, monitoramento de APIs e revisão de permissões.
A nova superfície de ataque inclui fornecedores e usuários
A adoção de IA ampliou o ecossistema de terceiros. Plataformas de modelos, provedores de cloud, APIs, ferramentas de automação, consultorias e startups passam a integrar processos corporativos em ritmo acelerado. A avaliação de risco de terceiros precisa ir além de questionários formais. O CISO deve buscar clareza sobre onde os dados são processados, se são usados para treinamento, quais suboperadores participam do serviço, como ocorrem retenção e exclusão, quais evidências de segurança existem e quais são os compromissos de notificação em caso de incidente.
Métricas para conversar com o negócio
Relatórios centrados apenas em quantidade de alertas, vulnerabilidades abertas ou treinamentos concluídos não traduzem, sozinhos, a contribuição da segurança. O conselho precisa entender exposição, impacto e evolução da capacidade de controle. Indicadores mais úteis podem combinar cobertura de classificação de dados críticos, percentual de casos de uso de IA avaliados antes da produção, tempo de revogação de acessos excessivos, aderência de fornecedores a requisitos definidos e prazo de detecção e contenção de incidentes relevantes.
Liderança para um ambiente em transformação
O novo papel do CISO exige competências que combinam profundidade técnica, visão de negócio e capacidade de articulação. Não é necessário que o executivo de segurança se torne cientista de dados, mas ele precisa compreender o ciclo de vida dos dados, as limitações dos modelos de IA, os vetores de ataque emergentes e os trade-offs entre controle, custo e velocidade. A empresa que tratar o CISO como parceiro de estratégia terá melhores condições de transformar segurança em confiança operacional.
- Competências que combinam profundidade técnica, visão de negócio e capacidade de articulação;
- Compreensão do ciclo de vida dos dados, das limitações dos modelos de IA, dos vetores de ataque emergentes e dos trade-offs entre controle, custo e velocidade;
- Parceria de estratégia entre o CISO e a empresa.
Essa é a visão de futuro para o papel do CISO em empresas orientadas por dados e IA. É uma oportunidade para os executivos de segurança se tornarem líderes de transformação e ajudar as empresas a alcançar sua missão.
