Mark Nicholson, Líder de Cyber AI da Deloitte EUA, Deloitte & Touche LLP – Série de Entrevistas

Mark Nicholson, um sócio da Deloitte & Touche LLP, é o Líder de Cyber AI da Deloitte. Ele anteriormente atuou como Líder de Zero Trust da Cyber, onde ajudou organizações complexas a confiantemente aproveitar tecnologias avançadas para construir programas de risco cibernético que melhor alinham investimentos de segurança com prioridades de risco, estabelecem uma melhor conscientização e visibilidade de ameaças e ajudam a fortalecer sua capacidade de prosperar diante de incidentes cibernéticos.

Mark esteve ativamente envolvido no design e construção de algumas das primeiras soluções de monitoramento de segurança cibernética para detecção de fraude e outras formas de prevenção de perdas de negócios. Ele frequentemente informa conselhos e comitês executivos sobre os tópicos de ameaças cibernéticas emergentes e o alinhamento da governança de gerenciamento de risco tradicional e técnicas de mitigação de risco cibernético.

Como sua carreira moldou sua perspectiva sobre segurança cibernética e risco na era da IA?

Como um empreendedor que co-fundou uma empresa nos primeiros dias do Security Information and Event Management, passei muito tempo me concentrando no problema de agregação de dados, análise e automação. Lembro-me de uma época em que os analistas imprimiam cópias físicas de logs de firewall pela manhã para revisar manualmente na esperança de encontrar anomalias no tráfego de rede. Apesar do tremendo avanço, um problema de análise de dados persistiu. A IA promete melhorar dramaticamente nossa capacidade de processar e analisar dados de segurança de forma eficiente. Também nos ajudará a executar ações de remediação mais rapidamente, mas as apostas nunca foram tão altas. Estamos nos aproximando de uma era em que será cada vez mais difícil para profissionais de TI e segurança cibernética (para não falar de leigos) entender completamente o funcionamento interno de sistemas de computador, e, portanto, será mais difícil entender quando eles foram comprometidos.

O trabalho que faço na Deloitte realmente se resume à confiança. Podemos confiar que os dados financeiros sejam precisos? Podemos confiar que os controles de TI sejam eficazes? Um cliente pode confiar que seus dados serão mantidos em sigilo? A era da IA amplifica a necessidade de podermos confiar na integridade dos sistemas.

A Deloitte lançou recentemente um conjunto amplo de blueprints e serviços de tecnologia de Cyber AI projetados para ajudar os negócios a incorporar a IA no núcleo de sua estratégia de segurança cibernética. Qual é a lacuna específica ou falha de mercado que você viu que tornou esse lançamento urgente?

Primeiro, atores malignos já estão encontrando maneiras de aproveitar a IA para obter vantagem, o que acelera a urgência. Segundo, há muitas afirmações ambiciosas sobre como os produtos de IA podem resolver problemas espinhosos, mas é necessário muito experimentação para discernir fato de ficção. Finalmente, a ansiedade dos executivos para realizar o valor da IA cria pressão para que os programas de segurança cibernética mitiguem o risco sem retardar o negócio. Aproximadamente 80% das organizações esperam aumentar seus gastos gerais com IA no próximo ano fiscal. A transformação generalizada da IA exige que os líderes de segurança cibernética reimaginem como suas organizações operam.

Os blueprints e serviços de tecnologia de Cyber AI da Deloitte ajudam a fornecer a clareza necessária para que os líderes transformem suas operações de segurança cibernética para a era da IA, permitindo que as organizações projetem, construam e operem uma função de segurança cibernética habilitada para IA que apoie as ambições do negócio.

Como você aconselha as empresas a equilibrar a implantação rápida de IA com a necessidade de incorporar protocolos de segurança cibernética desde o início?

Quando se trata de implantações rápidas de IA, as organizações precisam ter os controles de segurança cibernética resolvidos desde o início. Assim como bons freios permitem que um carro vá mais rápido, uma boa segurança cibernética deve acelerar a adoção de IA. Isso requer estruturas de governança claras, monitoramento contínuo durante o ciclo de vida da implantação e colaboração cross-funcional entre as equipes de IA e segurança.

Ao alinhar esses esforços de transformação com a segurança desde o início, as organizações podem acelerar a adoção de IA enquanto protegem ativos críticos e mantêm a conformidade regulatória.

A pesquisa da Deloitte mostra que a segurança cibernética frequentemente foi uma afterthought nas implantações de IA. Quais são as consequências dessa lacuna — e como as organizações podem corrigir o curso?

Os programas de segurança cibernética historicamente estiveram em um jogo perene de catch-up com a transformação tecnológica, frequentemente deixados para trás involuntariamente pela TI. Às vezes, isso é o resultado de uma percepção de que envolver a segurança irá retardar o progresso. Invariavelmente, a lacuna cria impacto downstream ao introduzir risco e, no caso de algumas indústrias, escrutínio regulatório. Ironicamente, a lacuna pode se tornar mais custosa e demorada no longo prazo.

Com a IA, a segurança cibernética está em uma posição única para ajudar o negócio a se mover mais rápido com confiança em sua jornada de IA. Obter uma estratégia adequada no início é crítico, mas o diabo está realmente nos detalhes. As estruturas fornecem um ponto de partida. Os blueprints da Deloitte levam ao próximo nível e ajudam a facilitar a conversa crucial sobre como a tecnologia funcionará na realidade como parte de um sistema complexo. Essa conversa vai fundo rapidamente.

Construir a segurança cibernética em cada função de negócios desde o início faz uma grande diferença na determinação de se a iniciativa será bem-sucedida ou não. A transformação tecnológica exige rigor. Ao tornar a segurança cibernética um elemento fundamental, as organizações podem desbloquear o valor total da IA enquanto minimizam o risco, ajudando a criar sistemas que sejam seguros, resilientes e conformes.

Como os blueprints da Deloitte ajudam as empresas a redefinir a segurança cibernética como um driver de valor, em vez de apenas uma função de gerenciamento de risco?

Os blueprints de Cyber AI da Deloitte reduzem a necessidade de experimentação longa e cara. Os blueprints ajudam as organizações a acelerar a adição de uma força de trabalho de segurança digital que impulsiona uma experiência mais eficiente e amigável ao usuário. Ao usar esses blueprints, as empresas podem ir além do desenvolvimento de casos de uso ad-hoc e criar uma arquitetura de serviço com IA que alinha as capacidades necessárias para entregar resultados de negócios com governança integrada.

Qual é o papel dos sistemas de IA agêntica na transformação moderna da segurança cibernética, e como a Deloitte está incorporando-os em suas ofertas?

A IA agêntica tem um grande potencial em muitas aplicações na função de segurança, mas ainda está amadurecendo. Desenvolvemos agentes que suportam operações de segurança de nível 1 e ajudam a realizar a promessa dos produtos de Security Orchestration, Automation, and Response (SOAR) que muitas organizações lutaram para implementar. Desenvolvemos um agente autônomo de teste de penetração. Criamos um agente que melhora a eficiência do processo de Identity Governance and Administration (IGA). Até começamos a trabalhar em um piloto para um agente que executa o monitoramento da eficácia dos controles e pode eventualmente ser capaz de fornecer uma resposta de exame regulatório de primeira linha. Nosso foco maior é como tudo isso funciona juntos. No final, à medida que os agentes proliferam exponencialmente, as organizações precisam ter um controle forte sobre as permissões dos agentes. Além disso, para criar valor real, há necessidade de uma função supervisor que coordene e governe as cargas de trabalho e solicitações.

A Deloitte oferece blueprints e serviços de tecnologia de Cyber AI para ajudar as organizações a acelerar seus programas. A Deloitte também oferece soluções de GenAI e agêntica por meio de sua plataforma de produto Zora AI ™, que foi projetada para um desempenho forte, segurança e escalabilidade.

Como você aborda a construção de uma força de trabalho consciente de segurança cibernética em uma era em que a IA está automatizando mais a tomada de decisões? Quais habilidades ainda importam mais?

Primeiro, é importante notar que a força de trabalho humana é a chave para realizar o valor da IA. Ninguém sabe mais sobre o que entra no trabalho do que as pessoas que o fazem todos os dias. É essencial que os líderes convoquem os principais performers dentro de suas organizações para ajudar a estabelecer uma estrutura clara e guardrails para aproveitar a IA. Nessa etapa, a comunicação interna é crítica, pois os líderes devem definir o tom de cima, mas envolver stakeholders e trabalhadores cedo para garantir transparência e fomentar a adesão. A exposição e o treinamento podem ajudar a desmistificar a tecnologia e, em seguida, fomentar uma cultura que vê a transformação como útil para tornar os trabalhos mais fáceis e/ou ajudar as pessoas a se tornarem mais produtivas.

Em sua experiência, quais verticais de indústria estão mostrando a maior urgência — ou resistência — em relação às transformações lideradas por IA?

O ritmo da transformação liderada por IA varia amplamente de empresa para empresa e depende da função de negócios. A maioria dos setores está explorando o valor que a IA traria para seu programa de segurança. Em indústrias altamente regulamentadas, há um incentivo adicional para aproveitar a IA para um melhor gerenciamento de risco (com vigilância no gerenciamento do risco que a IA introduz). As empresas de Serviços Financeiros e Tecnologia frequentemente estão à frente da curva na adoção de tecnologia, mas não estão sozinhas na priorização de iniciativas de IA. Muitas empresas de Ciências da Vida e Saúde estão desenvolvendo agressivamente programas de IA. Independentemente do setor, em alguns casos, há uma percepção no nível executivo de que a IA pode impulsionar a redução de custos e a transformação da força de trabalho, e isso impulsiona a ação.

Houve algum rumor recentemente sobre resultados mistos em alcançar valor de negócios a partir da adoção de IA, mas não acredito que isso se aplique ao contexto de segurança. É importante notar que, ao olhar para o ROI com a adoção de IA em diferentes indústrias, aqueles focados em segurança cibernética são muito mais propensos a exceder suas expectativas de ROI, com 44% das iniciativas de segurança cibernética entregando um ROI um pouco ou significativamente acima das expectativas, versus apenas 17% que entregam um ROI um pouco ou significativamente abaixo das expectativas.

Quais são as métricas ou sinais que você usa para medir se a transformação de IA + segurança cibernética de um cliente está realmente entregando valor de negócios?

Há vários fatores que determinarão como medir o resultado de negócios dessa transformação — todos dependentes do negócio específico, indústria, paisagem de ameaças, necessidades e maturidade da organização. As organizações podem começar realizando uma avaliação de prontidão para IA para identificar as oportunidades que existem e o nível de esforço necessário para alcançar o ROI desejado. Além disso, a Deloitte criou uma ferramenta de Workforce Analyzer que ajuda uma organização a entender melhor as cargas de trabalho diárias suportadas pelo pessoal de segurança cibernética.

Olhando cinco anos à frente, como você espera que a IA resshape o paisagem de segurança cibernética — tanto em termos de sofisticação de ameaças quanto de como as organizações se defendem?

Com o ritmo incrível de inovação, é difícil projetar cinco anos à frente. É seguro dizer que a IA continuará a transformar o paisagem de segurança cibernética em ambos os lados da equação. Antecipamos um aumento na sofisticação das ameaças à medida que os adversários aproveitam a IA para automatizar ataques, evadir detecção e explorar vulnerabilidades em uma velocidade e escala sem precedentes. Também esperamos que as organizações usem cada vez mais ferramentas impulsionadas por IA para identificar proativamente riscos, automatizar a remediação de incidentes e adaptar defesas dinamicamente, enquanto os humanos mantêm a supervisão “no loop”.

É evidente que as empresas que investem em segurança impulsionada por IA e fomentam uma cultura de aprendizado contínuo provavelmente estarão melhor equipadas para proteger ativos, construir resiliência e manter a confiança do que aquelas que não o fazem.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar a página de Blueprints e Serviços de Tecnologia de Cyber AI da Deloitte.