Ali Hayat, CEO e fundador da Axipro – Série de entrevistas

Ali Hayat é CEO e fundador da Axipro. Ele reúne experiência em gestão de riscos industriais e auditorias ISO, além de atuação em consultoria de cibersegurança e conformidade. No início da carreira, trabalhou em ambientes industriais de alto risco, nos quais a segurança, os requisitos regulatórios e os riscos operacionais eram preocupações centrais. Mais tarde, fundou a Axipro sem investimento externo, com foco em ajudar empresas em crescimento a adotar controles de segurança práticos, preparar-se para auditorias e gerenciar os riscos emergentes da IA.

Axipro é uma consultoria de cibersegurança e conformidade que apoia organizações na adoção de estruturas como SOC 2, ISO 27001 e ISO 42001, além do cumprimento de requisitos de proteção de dados. Seu trabalho combina consultoria, automação da conformidade, preparação para auditorias e testes de segurança, com ênfase no monitoramento contínuo e na supervisão humana. Nesta entrevista, Hayat aborda fluxos de trabalho de conformidade orientados por IA, o uso não autorizado de IA, os riscos de agentes autônomos, as diferenças regionais de governança e a distância entre a certificação e a resiliência em cibersegurança.

Sua carreira começou em ambientes industriais de alto risco, em projetos que envolviam a Saudi Aramco, a ADNOC e a TotalEnergies, nos quais a segurança, a gestão de riscos e a conformidade regulatória eram essenciais. O que o levou a migrar da segurança industrial e das auditorias para a cibersegurança? E o que, em última análise, o motivou a fundar a Axipro?

Fundei a Axipro porque, enquanto trabalhava com gestão da qualidade, percebi que havia uma lacuna no mercado. Em 2021, notei o lançamento de muitas novas plataformas de cibersegurança semiautomatizadas para conformidade com SOC 2 e ISO 27001.

Ficou claro que, embora essas plataformas aliviassem as equipes técnicas de boa parte da carga de trabalho relacionada à conformidade, ainda precisavam ser configuradas e mantidas. As startups, que já tinham dificuldade para acompanhar o próprio crescimento, pagariam a uma equipe liderada por pessoas para manter a conformidade em dia. Foi assim que nasceu a Axipro.

Então, em 2022, foram lançadas as primeiras plataformas de IA. Foi outro momento de revelação. Enquanto muitas pessoas do setor temiam tornar-se obsoletas, percebi rapidamente que aquilo representava uma grande oportunidade. O mais provável era que a IA aumentasse exponencialmente os ataques cibernéticos, e seriam necessários profissionais qualificados para orientar as startups em suas necessidades de segurança e conformidade diante desse cenário.

Hoje, somos parceiros de elite da Drata e parceiros preferenciais da Vanta, e já orientamos mais de 300 empresas no caminho para a conformidade com os principais padrões de cibersegurança e IA.

Você construiu a Axipro do zero, sem investimento externo, e a transformou em uma consultoria internacional que atende centenas de clientes. Quais foram os maiores desafios de financiar o crescimento de uma empresa de cibersegurança com recursos próprios? E como a tecnologia e a automação ajudaram a ampliar as operações sem comprometer a qualidade dos serviços?

Os primeiros anos foram extremamente desafiadores. Desde esgotar minhas economias com um bebê a caminho até ver os primeiros modelos de IA começarem a dominar o setor, os primeiros 2 a 3 anos provavelmente são responsáveis pelos cabelos grisalhos que tenho hoje.

Eu concorria com alguns gigantes, que já tinham reputação consolidada, grandes escritórios e orçamentos de marketing substanciais. Eu estava no Bahrein, tinha experiência em gestão da qualidade e meu orçamento de marketing era zero.

Minha resposta foi seguir o caminho contrário: mantive a empresa enxuta e eficiente e cobrei menos do que as grandes empresas consolidadas.

Isso me trouxe muitos clientes novos, mas nossas margens eram estreitas. Gerenciar o fluxo de caixa virou uma arte, e mal conseguimos sobreviver àqueles primeiros 2 anos. Tudo mudou quando fechamos nosso primeiro contrato de cinco dígitos que abrangia várias estruturas de conformidade. Isso nos deu um pouco de fôlego, permitiu que eu fizesse minhas primeiras contratações em tempo integral e começasse a pensar em marketing para além das parcerias e indicações.

A Axipro se dedica a simplificar estruturas complexas de conformidade por meio da transformação digital e da automação. Como a inteligência artificial está mudando os fluxos de trabalho tradicionais de conformidade? E quais atividades, na sua opinião, oferecem as maiores oportunidades de ganho de eficiência com o uso da IA?

O setor de conformidade se beneficiou muito da IA. Antes, dependia de grandes volumes de trabalho repetitivo, como coletar e mapear evidências, responder a questionários de segurança e redigir políticas. Hoje, quase todas essas tarefas são automatizadas. A IA também possibilitou o monitoramento contínuo e a sinalização de riscos relacionados à cibersegurança e à conformidade.

Hoje, a IA está presente em quase todas as etapas do processo de conformidade. Quando integramos um novo cliente, nossa IA interna realiza uma avaliação automatizada de riscos com base no setor, no porte e na localização da empresa. Temos um grande banco de dados de trabalhos anteriores, que nos ajuda a identificar automaticamente possíveis riscos e sinais de alerta. Esse é provavelmente o maior valor agregado pela IA.

Os cibercriminosos também se beneficiaram da IA, e os ataques aumentaram exponencialmente. Há uma espécie de corrida armamentista entre IA e IA: de um lado, empresas como a nossa trabalham na detecção automática de ameaças; do outro, hackers automatizam ataques.

É aí que entra o julgamento humano, que é central para a nossa forma de trabalhar: a IA deve cuidar das tarefas repetitivas e aumentar a eficiência operacional, para que as pessoas possam se concentrar na avaliação de ameaças e na resposta a elas.

Muitas organizações ainda encaram a conformidade em cibersegurança como uma atividade periódica, centrada na preparação para auditorias. Como as ferramentas baseadas em IA e as plataformas de monitoramento contínuo, como a Drata, estão mudando essa abordagem, e o que a transição para a conformidade contínua significa para as empresas?

Quando comecei a trabalhar com conformidade, todos temiam a época das auditorias. Durante a maior parte do ano, as empresas ignoravam seus controles e, então, passavam semanas correndo atrás de capturas de tela e registros antes do prazo da auditoria. Ser aprovado significava estar em conformidade naquele dia, e pouco mais do que isso.

A Drata e plataformas semelhantes mudaram esse cenário. Elas se conectam às ferramentas de nuvem e de RH de uma empresa e verificam os controles todos os dias. Se alguém desativa a autenticação multifator (MFA) ou se um ex-funcionário ainda tem acesso, isso aparece imediatamente, e nossa equipe corrige o problema na hora.

Para as empresas, a conformidade deixou de ser um projeto anual e passou a fazer parte das operações normais. As auditorias ficam mais curtas e baratas, e as equipes de vendas podem apresentar a situação de segurança da empresa a compradores corporativos sob demanda, o que ajuda a fechar negócios mais rapidamente.

A privacidade de dados e a cibersegurança estão deixando lentamente de ser requisitos para atuar em setores sensíveis e se tornando diferenciais de marketing que agregam valor.

À medida que as organizações recorrem cada vez mais à IA para gerar documentação de segurança, avaliar riscos e revisar evidências de conformidade, como podem garantir que esses sistemas produzam resultados precisos e confiáveis? Em que etapas dos processos de auditoria e certificação a expertise humana continua sendo essencial?

A IA é muito boa em redigir documentos que parecem corretos. Uma política pode parecer perfeita e, ainda assim, descrever processos que a empresa não tem.

Nossa abordagem é usar a IA para elaborar rascunhos e sinalizar problemas, mas alguém da equipe verifica tudo antes de o material chegar ao cliente ou ao auditor. Tudo o que a IA produz também deve remeter às evidências que o fundamentam, para que possamos verificar as informações.

É nas auditorias internas e externas que traço um limite claro. Os auditores assinam em seu próprio nome e comprometem sua reputação profissional. A IA pode ajudá-los a analisar as evidências mais rapidamente, mas a decisão sobre a certificação de uma empresa deve continuar nas mãos de uma pessoa. Se ninguém for responsável, o certificado perde seu valor.

A Axipro apoia organizações que precisam cumprir normas como ISO 27001, SOC 2 e ISO 42001, a norma internacional para sistemas de gestão de IA. Que novos desafios as empresas enfrentam ao tentar estabelecer uma governança responsável da IA, e em que a gestão dos riscos relacionados à IA difere da conformidade tradicional com os requisitos de segurança da informação?

A maioria das empresas com quem conversamos nem sequer sabe o quanto está usando IA. O termo para isso é “IA sombra”.

O marketing se inscreveu em uma ferramenta, os desenvolvedores integraram um modelo ao produto e alguém do setor financeiro está copiando planilhas e colando-as em um chatbot. Nada disso é mal-intencionado: as pessoas estão tentando trabalhar mais rápido, e as ferramentas de IA são baratas e rápidas. No entanto, isso pode expor facilmente os dados da empresa.

O primeiro e mais importante passo da maioria dos projetos de conformidade com a ISO 42001 e com os requisitos de IA é mapear tudo isso. Analisamos relatórios de despesas, inscrições em softwares e dados de rede, além de conversar com cada equipe sobre o que realmente usa no dia a dia. A lista que elaboramos quase sempre é mais extensa do que o esperado.

Proibir a IA raramente funciona e é contraproducente e ineficiente. Queremos que nossos clientes possam aproveitar os ganhos de eficiência proporcionados pelos modelos de IA. Uma abordagem melhor é fornecer à equipe ferramentas aprovadas que cumpram sua função, estabelecer regras claras sobre quais dados podem ser inseridos nelas e facilitar a solicitação de novas ferramentas.

A governança de IA também levanta questões que a segurança da informação nunca precisou abordar. Na ISO 27001, a principal preocupação é impedir que as pessoas erradas acessem seus dados. Na ISO 42001, também é preciso saber se a IA está se comportando adequadamente, se suas decisões podem ser explicadas e quem é responsável quando ela comete um erro.

Esses riscos também mudam mais rapidamente. Um fornecedor pode atualizar um modelo da noite para o dia e alterar o comportamento do seu produto sem que você toque em nada.

As empresas que já têm a certificação ISO 27001 partem em vantagem. As duas normas usam a mesma estrutura de sistema de gestão, por isso boa parte do trabalho preparatório já está feita.

Com o surgimento de agentes autônomos de IA capazes de acessar informações confidenciais, interagir com sistemas corporativos e executar processos de negócios, para quais novos riscos de cibersegurança e conformidade as organizações devem se preparar? As estruturas de segurança existentes estão preparadas para lidar com esses sistemas cada vez mais autônomos?

Os agentes são a área que estou acompanhando mais de perto neste momento. O software convencional faz exatamente o que lhe mandam. Um agente toma suas próprias decisões e pode ser enganado e também enganar outras pessoas, como vimos no incidente da Hugging Face.

O risco mais comum que estamos observando é a injeção de comandos. Um invasor pode ocultar instruções em um e-mail ou PDF e, quando o agente o lê, segue essas instruções usando todos os acessos que lhe foram concedidos.

O segundo risco é as empresas concederem aos agentes muito mais acesso do que deveriam, porque é mais fácil. Muitas vezes, os funcionários dão acesso aos agentes de IA por meio das próprias contas de e-mail, em vez de contas dedicadas, o que torna extremamente difícil determinar se uma alteração foi feita por uma pessoa ou por um robô. Se os registros também forem insuficientes, talvez nem seja possível saber o que o agente fez.

A ISO 27001 e o SOC 2 ainda abrangem aspectos básicos, como controle de acesso e registro de atividades, e a ISO 42001 ajuda na parte de IA. No entanto, nenhum deles foi elaborado pensando em agentes autônomos, e espero que novas diretrizes sejam publicadas em breve.

O AIUC-1 está se consolidando como um padrão de referência para o AIUC-1, e acabamos de começar a treinar nossa equipe para implementá-lo. Já conversamos algumas vezes com clientes a respeito, mas ainda não temos estudos de caso para apresentar. O padrão conta com forte respaldo de grandes empresas de cibersegurança, por isso esperamos que essa estrutura se consolide como o principal padrão para agentes de IA.

Depois de trabalhar no Oriente Médio, na Europa e nos Estados Unidos, você teve contato com diferentes ambientes regulatórios e abordagens de gestão de riscos. Como as diferenças regionais na governança da IA e na proteção de dados influenciam a forma como as empresas implementam a IA, e que desafios surgem quando as organizações atuam em várias jurisdições?

Morando no Bahrein e trabalhando com clientes na Europa e nos EUA, deixei de esperar que as regras sobre IA convirjam. Na verdade, as regiões estão se distanciando cada vez mais.

Na Europa, a regulação é feita por meio de leis. A Lei de IA da UE classifica os sistemas de IA de acordo com o risco e especifica as obrigações de cada categoria; por isso, as empresas europeias tendem a agir com cautela e documentar tudo. Os EUA não têm uma lei federal sobre IA, e o mercado faz a maior parte da regulação. Os compradores exigem em seus contratos estruturas como o AI RMF do NIST, e a responsabilidade jurídica dá conta do restante. A China segue um terceiro caminho: cria uma nova regra sempre que uma tecnologia apresenta um novo risco.

A região do Golfo é a que considero mais interessante. A Arábia Saudita, por exemplo, ainda não tem uma lei geral sobre IA. A maioria das regras vinculantes está na legislação de proteção de dados e nas compras governamentais, porque o Estado é o maior comprador de tecnologia da região. As exigências de conformidade dependem muito de quem é seu cliente. Quando a SDAIA, a autoridade reguladora saudita, obteve a certificação ISO 42001 em 2024, isso indicou ao mercado qual padrão buscaria nas licitações.

A parte mais difícil é quando uma empresa atua em mais de uma dessas regiões. Uma empresa de SaaS de Riade que vende para a Europa pode cumprir os requisitos técnicos da UE e, ainda assim, não atender às regras sauditas de registro e transferência de dados. Nenhum dos lados aceita a documentação do outro.

Nossa abordagem é criar uma base que possa ser aplicada em diferentes regiões — a ISO 42001 junto com a ISO 27001 — e, em seguida, acrescentar os requisitos de cada região. A ISO 42001, por si só, não garante conformidade legal em lugar algum, mas é o mais próximo que temos de uma linguagem comum aceita por todas essas regiões.

Há muitas vezes uma diferença significativa entre obter uma certificação de segurança e manter uma resiliência genuína em cibersegurança. Como as organizações podem usar IA e automação para ir além da conformidade meramente formal e desenvolver práticas de segurança que se adaptem continuamente às ameaças emergentes?

Já vi empresas com um relatório SOC 2 recém-emitido e falhas básicas de segurança que ninguém havia percebido. O objetivo delas era passar na auditoria. Um certificado mostra que uma empresa atendia a um padrão em determinada data, mas não demonstra se ela consegue impedir um ataque.

Para ir além disso, é preciso perguntar se cada controle resistiria a testes. A automação ajuda muito nesse aspecto. O monitoramento contínuo detecta problemas quando ainda são pequenos, e os dados atuais sobre ameaças mantêm as avaliações de risco alinhadas às ações dos atacantes. Testes de penetração e simulações de ataques regulares mostram, então, se os controles funcionam na prática.

Obter a certificação CREST este ano fez parte desse processo para nós. Queríamos testar a segurança dos nossos clientes e documentar os resultados.

Olhando para os próximos três a cinco anos, como você imagina que a IA transformará o setor de consultoria em cibersegurança e conformidade? Você acredita que os agentes de IA acabarão realizando de forma autônoma a maioria das atividades rotineiras de conformidade, e como vê a evolução da Axipro à medida que essas tecnologias amadurecem?

Acho que, em cinco anos, os agentes de IA cuidarão da maior parte das tarefas rotineiras de conformidade, como coletar evidências, atualizar políticas e responder a questionários de segurança. As empresas que ganham dinheiro cobrando por hora por esse trabalho, sem oferecer conhecimento especializado identificável, terão dificuldades.

No entanto, não acho que os agentes cuidarão da conformidade por conta própria. Quanto mais tarefas a IA assumir, mais importantes serão as decisões restantes. Alguém ainda terá de aprovar uma auditoria e lidar com as consequências quando algo der errado. Como os atacantes também usam IA, a demanda por profissionais qualificados de defesa continuará crescendo.

Na Axipro, vejo nossa equipe dedicando menos tempo à documentação e mais à orientação dos clientes e à avaliação da segurança deles. Nossa IA desenvolvida internamente assumirá uma parcela maior do trabalho de execução, e nossa equipe se concentrará nas decisões que exigem julgamento humano. Em 2022, muita gente achava que a IA tornaria empresas como a nossa obsoletas. Até agora, aconteceu o contrário: crescemos mais de 10% mês a mês, às vezes com mais trabalho do que conseguimos dar conta, e não esperamos que isso diminua.

Agradecemos pela ótima entrevista. Os leitores que quiserem saber mais sobre conformidade em cibersegurança, governança de IA e desenvolvimento de práticas contínuas de segurança devem visitar Axipro.