Mark Nicholson, Líder de Modernização Cibernética da Deloitte nos EUA – Série de Entrevistas: Uma Conversa de Retorno

Mark Nicholson, Líder de Modernização Cibernética da Deloitte nos EUA, é um Diretor da Deloitte com mais de duas décadas de experiência na interseção de cibersegurança, inteligência artificial e risco empresarial. Ele lidera as iniciativas de cibersegurança com IA e a estratégia comercial para a prática de cibersegurança da Deloitte, ajudando grandes organizações a modernizar seus quadros de segurança e alinhar os investimentos em cibersegurança com os riscos em evolução. Antes de ingressar na Deloitte, ele co-fundou e atuou como Diretor de Operações da Vigilant, Inc., uma empresa de consultoria em segurança da informação focada em inteligência de ameaças e monitoramento de eventos maliciosos. Sua carreira anterior em funções de vendas e desenvolvimento de negócios em várias empresas de tecnologia forneceu uma base sólida tanto nos aspectos técnicos quanto comerciais da cibersegurança.

Deloitte é uma das maiores empresas de serviços profissionais do mundo, oferecendo serviços de auditoria, consultoria, impostos e consultoria para organizações de quase todos os setores. Sua prática de cibersegurança se concentra em ajudar as empresas a navegar em ambientes de ameaças cada vez mais complexos, enquanto habilitam a transformação digital por meio de tecnologias como a inteligência artificial. A empresa fornece serviços que abrangem estratégia de cibersegurança, resiliência, gestão de riscos e segurança empresarial, posicionando a cibersegurança como uma função protetora e um impulsionador estratégico de inovação e crescimento.

Isso segue uma entrevista anterior que foi publicada em 2025.

Você esteve envolvido em cibersegurança desde os primeiros dias de monitoramento de ameaças modernas, incluindo a co-fundação da Vigilant e ajudando a trazer as primeiras capacidades de Gerenciamento de Informações e Eventos de Segurança (SIEM) e inteligência de ameaças para o mercado. Como a evolução desses sistemas de monitoramento iniciais para as plataformas de defesa cibernética impulsionadas por IA de hoje mudou a forma como as organizações detectam e respondem a ameaças?

Quando começamos a construir plataformas de monitoramento nos primeiros dias do SIEM, o desafio principal era obter os dados em um só lugar e dar sentido a eles. Lembro-me de quando os analistas imprimiam os logs do firewall todas as manhãs e os revisavam manualmente para tentar encontrar anomalias. Mesmo quando o SIEM amadureceu, havia um problema de escala. A velocidade humana não era compatível com o grande número de eventos detectados. Apesar do uso da automação, os defensores cibernéticos ainda tinham um problema de correlação de dados e análise, constantemente laborando para criar novas regras, muitas vezes em resposta a falhas de monitoramento.

Uma das esperanças é que a IA mude essa dinâmica de forma fundamental. Além de implantar capacidades agênticas para automatizar as operações de segurança de nível 1, a IA promete ajudar a mudar a detecção e a resposta de “após o fato” para muito mais perto de “enquanto está acontecendo” por meio do ajuste dinâmico de algoritmos de monitoramento. Em alguns casos, as organizações cibernéticas também se sentirão confortáveis em permitir que a IA inicie ações de remediação.

Porém, a parte difícil não some, ela muda. À medida que os sistemas se tornam mais autônomos e complexos, a confiança e a observabilidade se tornam um campo de batalha: O que o sistema está fazendo, por que está fazendo e como sabemos que não foi manipulado? A oportunidade com a IA é enorme, mas também aumenta as apostas quando o ambiente opera à velocidade da máquina.

Você observou que a IA está habilitando os adversários a automatizar a reconhecimento, gerar exploits e acelerar os ciclos de ataque. Em termos práticos, quanto a IA comprimiu o tempo entre a descoberta de vulnerabilidade e a exploração?

Historicamente, havia frequentemente uma janela entre a descoberta de vulnerabilidade e a exploração. Havia certa urgência, mas geralmente, a menos que você fosse atingido por um dia zero, havia tempo para entender a ameaça, corrigir e mitigar antes que um atacante pudesse implantar exploits em larga escala. A IA eliminou essa janela.

Os adversários podem automatizar a reconhecimento, escanear continuamente em busca de exposição e usar ferramentas habilitadas por IA para acelerar partes do desenvolvimento de exploits e direcionamento. Em muitos casos, o que costumava ocorrer em semanas pode agora se comprimir em horas, e em cenários altamente automatizados, pode ser mais rápido do que a maioria dos programas de segurança é capaz de lidar.

A lição é simples: as equipes de segurança precisam de automação e IA no lado da defesa, combinados com controles fortes, se quiserem manter o ritmo.

As equipes de segurança estão cada vez mais se movendo de modelos de “humano no loop” para modelos de supervisão “humano no loop”. Como essa mudança se parece operacionalmente dentro de um Centro de Operações de Segurança (SOC) moderno, e como as organizações devem repensar os papéis de analistas à medida que a IA assume tarefas mais autônomas?

Em um SOC tradicional, os analistas estão no centro de cada ponto de decisão. Os alertas chegam, os analistas os triam, investigam e determinam quais ações devem ser tomadas. Essa abordagem funcionava quando o volume de alertas e o ritmo dos ataques eram gerenciáveis. Mas no ambiente de hoje, a escala de atividade é simplesmente muito grande para os humanos atuarem como um gatekeeper para cada decisão.

A mudança para o modelo de supervisão “humano no loop” significa que os sistemas de IA podem realizar muitas das tarefas rotineiras que os analistas anteriormente lidavam, como triar alertas, reunir contexto, correlacionar dados e executar certas ações de remediação. O papel humano se torna um de supervisão e validação, em vez de execução manual.

Operacionalmente, isso desloca o tempo dos analistas para longe da “moagem de alertas” e em direção ao trabalho de maior valor, como caça de ameaças, engenharia de detecção, simulação de adversários e melhoria da arquitetura defensiva. Os humanos permanecem essenciais, mas seu papel evolui para supervisão, julgamento e estratégia, em vez de atuar como o principal processador de dados de segurança.

Nós estamos ouvindo muito sobre “Segurança de IA por Design”. Do seu ponto de vista, por que esse conceito precisa se estender além da segurança do modelo para sistemas de identidade, arquitetura de permissões e camadas de orquestração?

Muitas discussões sobre segurança de IA se concentram fortemente no modelo em si, como proteger os dados de treinamento, prevenir a contaminação do modelo ou defender contra ataques de injeção de prompts. Esses são problemas reais, mas são apenas parte do risco.

Na prática, os sistemas de IA operam como parte de ecossistemas digitais muito maiores. Eles acessam dados, interagem com APIs, disparam fluxos de trabalho e, cada vez mais, operam por meio de agentes que podem agir com um grau de autonomia.

Quando isso acontece, a identidade e as permissões se tornam o plano de controle. Os agentes de IA são efetivamente novas identidades digitais dentro da empresa. Se essas identidades não forem governadas adequadamente, elas podem introduzir riscos significativos.

A segurança de IA por design, portanto, precisa se estender para a governança de identidade, controles de acesso, camadas de orquestração e sistemas de monitoramento que rastreiam o que esses agentes estão fazendo. As organizações precisam tratar os agentes de IA muito como usuários humanos, com permissões definidas, auditoria e supervisão, caso contrário, a superfície de ataque se expande rapidamente.

Muitas empresas estão sobrepondo ferramentas de IA em cima de fluxos de trabalho de segurança legados que foram projetados para a velocidade humana. Quais são as principais mudanças arquitetônicas que as organizações precisam fazer para realmente aproveitar a IA na defesa cibernética?

Um padrão comum é acoplar a IA a processos e fluxos de trabalho legados que foram projetados para operações impulsionadas por humanos. Não é uma abordagem ruim, especialmente à medida que a visão computacional se torna uma realidade. Por exemplo, a Deloitte criou um agente que pode ser treinado para substituir o humano no processo de governança e administração de identidade sem descartar as soluções de software existentes que seriam desafiadoras de serem substituídas. Isso pode impulsionar economias de custos dramáticas.

O benefício futuro, no entanto, é que as empresas provavelmente começarão a repensar os fluxos de trabalho de segurança de ponta a ponta: modernizar a base de dados para que as ferramentas de segurança possam acessar confiavelmente dados de alta qualidade e bem estruturados; construir orquestração para que as funções de detecção, resposta e identidade operem como um sistema coordenado, e não como ferramentas desconectadas.

A identidade prevalece como um dos controles mais críticos. À medida que mais automação e agentes de IA são introduzidos, o número de identidades não humanas cresce significativamente. Gerenciar essas identidades de forma eficaz se torna essencial para manter o controle.

A segurança nativa de IA é, em última análise, uma mistura de melhores dados, melhor orquestração e governança que leva em conta tanto atores humanos quanto máquinas.

À medida que os sistemas de IA se tornam mais autônomos, a superfície de ataque se expande para áreas como orquestração de agentes, cadeias de API e pipelines de decisão automatizados. Qual dessas superfícies emergentes o preocupa mais?

Se eu tivesse que escolher uma área que merece atenção imediata, é a identidade e as permissões de acesso dentro dos sistemas impulsionados por agentes.

À medida que as organizações introduzem mais IA agêntica, elas estão criando uma população crescente de atores autônomos operando dentro da empresa. Esses agentes podem ter acesso a dados, APIs e fluxos de trabalho que são incrivelmente poderosos, e isso os torna um caminho atraente para um atacante se as permissões não forem projetadas, monitoradas e auditadas rigorosamente. É importante tratar cada agente como um novo funcionário: nomeá-lo, dimensioná-lo, monitorá-lo e permitir que seja desconectado rapidamente se necessário.

As cadeias de API e os pipelines de decisão automatizados introduzem riscos, também, mas a governança de identidade é frequentemente o controle fundamental. Se você não puder responder claramente quem é o agente, o que ele pode tocar e o que ele fez, você não realmente controla isso.

Do ponto de vista da sala de diretoria, como os executivos e diretores estão pensando atualmente sobre o risco cibernético impulsionado por IA, e onde você vê a maior lacuna entre a realidade técnica e a compreensão do conselho?

Os conselhos estão cada vez mais cientes de que, embora a IA traga enormes oportunidades, também pode trazer riscos significativos. A maioria dos diretores entende que a IA dará forma à transformação dos negócios e está começando a fazer perguntas sobre governança, segurança e resiliência.

Onde a lacuna aparece é frequentemente a velocidade e a complexidade. Muitas conversas do conselho ainda recorrem a quadros de cibersegurança tradicionais — que permanecem importantes —, mas não refletem sempre como os riscos cibernéticos impulsionados por IA podem evoluir e escalar rapidamente.

A outra desconexão é que “Está nossa IA segura?” soa como uma pergunta única, mas a resposta vive em toda a governança de dados, integridade do modelo, gestão de identidade e orquestração em vários sistemas. Os conselhos que estão fechando a lacuna estão pressionando por relatórios baseados em controles que tornam essas partes móveis visíveis e testáveis, e investindo tempo para construir fluência de diretor, para que a supervisão acompanhe a tecnologia.

A IA está sendo cada vez mais usada em ambos os lados do campo de batalha. Estamos entrando em uma corrida armamentista cibernética permanente de IA versus IA, e, se sim, quais são as vantagens que os defensores têm que os atacantes podem ter dificuldade em replicar?

Nós claramente estamos em uma era em que a IA está sendo usada por ambos os lados. Os adversários já estão aplicando a IA para acelerar a reconhecimento, identificar vulnerabilidades e automatizar partes do ciclo de ataque. No entanto, os defensores ainda têm vantagens reais se escolherem usá-las.

Os defensores têm visibilidade em seu próprio ambiente, acesso a telemetria interna e a capacidade de construir arquiteturas em camadas que os atacantes devem navegar. A IA pode ajudar os defensores a analisar volumes enormes de dados em redes, pontos finais e identidades, dando-lhes o potencial de detectar comportamento anômalo muito mais cedo.

A pegadinha é a adoção. Se os defensores ficarem presos em fluxos de trabalho manuais enquanto os atacantes automatizam, a assimetria se torna brutal. A corrida armamentista é real, e os vencedores serão aqueles que implantam a IA com governança forte, e não apenas os que a pilotam.

Em seu trabalho aconselhando grandes empresas, quais são os erros mais comuns que as organizações cometem ao tentar integrar a IA em sua estratégia de cibersegurança?

Um dos erros mais comuns que vemos é tratar a IA como uma ferramenta autônoma em vez de uma mudança arquitetônica. As equipes executam experimentos isolados sem atualizar a base de dados, o modelo de governança ou os processos operacionais necessários para sustentar o impacto, levando a um platô nos resultados.

Outro erro é implantar capacidades de IA sem levar completamente em conta os novos riscos: novas identidades, novos fluxos de dados e pipelines de decisão automatizados que expandem a superfície de ataque. Se esses forem acoplados sem os controles certos no lugar, a IA pode adicionar fragilidade em vez de resiliência.

Finalmente, muitas organizações subestimam a importância do engajamento da força de trabalho. Os profissionais que executam operações de segurança todos os dias sabem onde está a fricção e o que “bom” significa. As transformações mais fortes trazem essas equipes para dentro cedo, para que a tecnologia amplifique seu julgamento em vez de perturbá-lo.

Olhando para os próximos três a cinco anos, como o centro de operações de segurança nativo de IA parece em comparação com os ambientes de SOC de hoje?

Bem, ele provavelmente parecerá muito diferente, de muitas maneiras que não posso prever. É provável que o SOC do futuro opere como uma força de trabalho híbrida humana e digital. Os sistemas de IA lidarão com a maior parte do processamento de dados, correlação e atividade de resposta inicial. Os sistemas agênticos ajudarão a automatizar fluxos de trabalho em todo o gerenciamento de vulnerabilidades, governança de identidade, resposta a incidentes e monitoramento de controles contínuos.

Os analistas humanos permanecem essenciais, mas o centro de gravidade muda: supervisionando os sistemas de IA, validando casos de uso de detecção (em vez de escrevê-los), investigando ameaças complexas e melhorando a arquitetura defensiva. O objetivo não é remover os humanos, mas sim elevar seus papéis. Em vez de gastar tempo triando alertas e montando manualmente os dados, os analistas se concentrarão nos aspectos estratégicos da cibersegurança. A pergunta será: “como vamos treinar a próxima geração de profissionais de segurança quando o nível 1 e o nível 2 são completamente automatizados?” Talvez a resposta esteja na melhoria dramática da tecnologia de simulação e treinamento que a IA pode nos ajudar a desenvolver.

As organizações que construírem com sucesso uma força de trabalho híbrida bem-sucedida, combinando a expertise humana com a automação impulsionada por IA, provavelmente estarão melhor posicionadas para operar à velocidade necessária no ambiente de ameaças moderno.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Deloitte ou ler nossa entrevista anterior.