Redefinindo a Autoridade na Alta Direção: O Que Realmente Exige Cultivar um Relacionamento com a IA

Passei 25 anos do lado comprador das operações de segurança e nunca perdi o sono por causa de uma regra de firewall. No entanto, perdi o sono com a IA. A automação tradicional, por mais complexa que seja, segue uma lógica que pode ser rastreada. Já nesta escala sem precedentes de IA agente, os sistemas estão sendo confiados para tomar decisões de julgamento que os engenheiros nem sempre conseguem explicar completamente – essa falta de transparência é exatamente o que prende tantos CISOs.

97% dos líderes de segurança estão confiantes de que a IA pode lidar com a triagem, mas apenas 35% a utilizam efetivamente nessa função. Esse ponto de inflexão é um problema de confiança, e a confiança só pode ser resolvida como sempre foi, por meio de estrutura, evidência e tempo.

Você Pode Ver a Automação, Mas Pode Confiar na IA?

Com a automação tradicional, os profissionais podem saber com certeza o que acontecerá antes que aconteça. Essa transparência é o motivo pelo qual as equipes de SOC passaram uma década construindo confiança em fluxos de trabalho automatizados sem muito debate interno; porém, a IA agente quebrou esse modelo ao introduzir uma camada de julgamento aprendida – um sistema que pondera o contexto, faz previsões e chega a conclusões por meio de um processo que nem sempre é totalmente legível, mesmo para quem o criou.

Apenas 21% das organizações afirmam ter um modelo de governança maduro para IA agente, embora 74% esperem usar agentes de IA pelo menos “moderadamente” até 2027. Quando os profissionais de segurança não conseguem explicar de forma transparente esse tipo de “black box AI”, isso demonstra a dificuldade de governar ferramentas de IA. Não é porque as ferramentas não são protegidas adequadamente, mas porque o funcionamento interno da ferramenta de IA baseia‑se em julgamento, e não em um fluxograma.

Nas salas de diretoria, os líderes avaliam a IA da mesma forma que avaliam a automação, perguntando “posso ver a lógica?”, em vez de perguntar “como ganho confiança em um tomador de decisão cuja lógica evolui?”. A maioria dos CISOs provavelmente já conhece a resposta, mas o desafio está em aplicá‑la na prática.

Tratando a IA como uma Contratação de Alto Risco

Pense na integração de um novo analista sênior. Um CISO não entregaria as chaves da produção a um analista recém‑contratado no primeiro dia, por mais impressionante que seja o currículo. Ele começaria com tarefas de baixo risco, observaria como lida com ambiguidades e ampliaria sua autoridade à medida que a conquista. A IA merece a mesma integração, cultivada por meio de confiança baseada em evidências que se desenvolve ao longo do tempo.

Já vimos os efeitos na prática quando um agente autônomo da Meta AI desencadeou um incidente de segurança em toda a empresa após agir sem aprovação humana, expondo dados sensíveis da empresa e dos usuários a funcionários não autorizados por cerca de duas horas antes que o problema fosse contido. A causa raiz foi a falta de supervisão humana no ponto de decisão, onde a aprovação explícita deveria ter sido exigida. Esse é exatamente o modo de falha que as barreiras rígidas pretendem impedir, e serve como lembrete de que a disciplina de escopo importa mais do que a sofisticação do modelo.

A IA merece a mesma atenção, e podemos considerá‑la como uma rampa baseada em evidências:

• Entenda a lógica de decisão antes de implantá‑la. Você não precisa ver cada peso do modelo, mas precisa saber sobre quais dados ele está raciocinando, quais resultados está otimizando e onde provavelmente estão seus pontos cegos.
• Defina barreiras rígidas desde o primeiro dia. Defina exatamente o que o sistema pode agir de forma independente e o que requer intervenção humana. Um escopo restrito é a base sobre a qual a confiança se constrói.
• Expanda os limites somente à medida que a evidência se acumula. Cada decisão correta é um ponto de dados, e cada erro também é um ponto de dados. Amplie a abertura proporcionalmente ao histórico, não ao entusiasmo do fornecedor ou aos ciclos de orçamento.

Seguir isso como protocolo ajudará a proteger contra os receios dos CISOs, inclusive evitando que um sistema autônomo opere além do ponto em que alguém realmente verificou que ele merecia confiança.

O Modelo de Três Camadas: Onde a IA Ganha Seu Lugar

SANS’ Secure AI Blueprint descreve uma estrutura de governança baseada em três trilhas — proteger a IA, utilizar a IA e governar a IA — abrangendo seis categorias de controle, incluindo acesso, dados, implantação, inferência, monitoramento e segurança de modelo. Este é um ponto de partida útil e, para avançar um passo, é útil estruturar essa relação dividindo o SOC em três camadas para resolver o problema de confiança na IA.

1. Resultado. Esta é a camada onde reside o risco de negócios. O que a organização considera um resultado aceitável? Qual é a tolerância para falsos negativos versus falsos positivos? Esta é uma decisão humana, ponto final. Nenhum modelo tem voto sobre o que a organização está disposta a arriscar.
2. Julgamento. É aqui que as prioridades são definidas e os trade‑offs são feitos sob ambiguidade. Este alerta deve ser escalado agora ou mantido para mais contexto? Vale a pena interromper a noite de alguém por essa anomalia? O julgamento pode ser orientado por IA, e cada vez mais deveria ser, mas a autoridade final permanece humana. Esta é a camada que a maioria das organizações tenta delegar cedo demais, e será a que as prejudicará se o fizerem.
3. Execução. É aqui que a IA deve fazer o trabalho pesado, e fazê‑lo a uma velocidade que nenhuma equipe humana pode igualar. Enriquecer um alerta, correlacionar sinais em dezenas de ferramentas, redigir uma ação de contenção, executar o playbook após um humano ou uma camada de julgamento confiável aprovar o caminho. Velocidade de máquina, determinística ao ser acionada, sem ego.

Maturando a Parceria, Não Apenas Gerenciando a Ferramenta

Quando o relacionamento da IA dentro do SOC é construído como uma parceria, em vez de supervisionar uma ferramenta, os CISOs podem começar a enxergar a IA como um colega de equipe em desenvolvimento, o que gera uma mudança fundamental na forma como o CISO gasta seu tempo.

Os SOCs que conseguem equilibrar esse relacionamento são os que possuem o processo de construção de confiança mais disciplinado. Essa disciplina permite que uma operação de segurança escale à velocidade de máquina na camada de execução sem perder o julgamento humano que as decisões de nível de resultado ainda exigem, e sempre exigirão.

Já deixamos para trás o momento em que a IA era vista como a nova ferramenta reluzente para impressionar as salas de diretoria. As capacidades e o potencial da IA conquistaram a autoridade de ser tratada da mesma forma que todos em um SOC sempre trataram tecnologias avançadas, uma decisão verificada de cada vez.