CISOs em alta: demanda crescente na era da inteligência artificial

A conferência RSAC 2025 trouxe à tona um tema crucial: a crescente demand for CISOs na era da inteligência artificial (IA). Com a proliferação de agentes de IA no setor de segurança cibernética, a necessidade de líderes que compreendam os riscos e as oportunidades dessa tecnologia nunca foi tão grande. O evento destacou como os CISOs estão se tornando figuras-chave nas decisões estratégicas das empresas.

O CEO da CrowdStrike, George Kurtz, fez um alerta durante a RSAC 2025: “O risco cibernético agora é o risco de negócio definitivo para todos os conselhos”. Essa afirmação ressalta a importância dos CISOs, que estão ganhando destaque ao lado dos CFOs nas tomadas de decisão em nível de diretoria.

O Cenário da Segurança Cibernética em 2025

Durante a RSAC 2025, mais de 20 fornecedores apresentaram agentes, aplicativos e plataformas de segurança baseados em IA. A notícia mais animadora foi a melhora na eficácia geral da segurança cibernética, algo que não acontecia há três anos.

A Scale Venture Partners (SVP) divulgou o “Relatório de Perspectivas de Segurança Cibernética de 2025”, mostrando que a eficácia média das proteções cibernéticas aumentou para 61% este ano, um salto em relação aos 48% de 2023. Segundo o relatório, 70% dos líderes de segurança se sentem mais protegidos contra ataques de phishing, com apenas 28% das empresas relatando comprometimento.

A SVP também descobriu que 77% dos CISOs consideram prioritário proteger modelos de IA/ML e data pipelines para melhorar sua postura de segurança até 2025, um aumento em relação aos 55% do ano anterior. Além disso, 75% das empresas demonstraram interesse em usar a IA para automatizar investigações de SOC, utilizando agentes de IA para triar grandes volumes de alertas de segurança e prevenir incidentes.

Essa melhora nos números de eficácia não é por acaso. Ela é resultado da adoção de automação em larga escala e da consolidação de plataformas por parte dos CISOs e suas equipes, fechando brechas que os invasores exploravam no passado.

Etay Maor, diretor sênior de estratégia de segurança da Cato Networks, explicou à VentureBeat durante a RSAC 2025: “Se você não tem visibilidade completa, os invasores vão passar pelas brechas entre os produtos. Nosso objetivo é eliminar esses pontos cegos, unindo segurança e rede para que nada escape aos nossos olhos.”

A Maturidade da IA Agente

A RSAC 2025 também revelou o quão madura a IA agente está se tornando. Alguns fornecedores estão usando a IA agente como um “adesivo” baseado em código para unificar bases de código e aplicativos. Outros, que já trabalham com IA agente há anos, a têm como parte essencial de sua base de código e arquitetura.

Entre os provedores de segurança cibernética que consideram a IA agente fundamental para suas plataformas estão a SASE Cloud Platform da Cato Networks, o Cisco AI Defense, a arquitetura de agente único Falcon da CrowdStrike, o Cyber AI Loop da Darktrace, o Elastic AI Assistant da Elastic, o Security Copilot and Defender XDR Suite da Microsoft, o Cortex XSIAM da Palo Alto Networks, a Singularity Platform da SentinelOne e a Cognito Platform da Vectra AI.

Organizações que utilizam detecção integrada impulsionada por IA com contenção automatizada estão reduzindo os tempos de permanência em mais de 40%. Além disso, elas têm quase o dobro de probabilidade de neutralizar intrusões baseadas em phishing antes que ocorra movimento lateral. No evento, muitos fornecedores demonstraram como seus fluxos de trabalho de IA agente podem ajudar a reduzir as cargas de trabalho dos analistas de SOC, focando em cenários de gerenciamento de identidade e acesso.

Vasu Jakkal, vice-presidente corporativa de segurança da Microsoft, destacou seis pilares críticos para proteger a IA agente, enfatizando a segurança “por design, padrão e em todos os aspectos”. Jakkal ressaltou que “a identidade será um elemento crítico da IA ao longo de seu ciclo de vida. Agentes de IA precisarão de identidades e entenderão a confiança zero, e precisamos verificar e gerenciar explicitamente o acesso com o mínimo de privilégios”. Ela concluiu que “a IA deve começar com a segurança. É crucial que evoluamos nossos mecanismos de segurança tão rapidamente quanto evoluímos a IA”.

Um tema comum em todas as demonstrações de IA agente foi a triangulação de dados de ataque, obtendo insights rápidos sobre as táticas utilizadas e definindo uma estratégia de contenção em tempo real.

A CrowdStrike mostrou como a IA agente pode passar da detecção à ação em tempo real através de uma investigação ao vivo de uma campanha de ameaças norte-coreana. Essa campanha envolvia a colocação de contratados remotos de DevOps em empresas de tecnologia estratégicas nos EUA e em outros países. A demonstração seguiu as táticas do Famous Chollima da DPRK, que se passava por um contratado remoto de DevOps, driblava as verificações de RH e usava ferramentas legítimas, incluindo software RMM e VS Code, para extrair dados silenciosamente. Essa demonstração serve como um lembrete de que, embora poderosa, a IA agente ainda depende de um humano no circuito para identificar ameaças adaptativas e ajustar os modelos antes que o sinal se perca no ruído.

O Objetivo da IA Generativa

A grande questão é descobrir e neutralizar as táticas de estados-nação. A possibilidade de ameaças capazes de derrubar redes elétricas, sistemas de pagamento, bancos ou cadeias de suprimentos é uma preocupação constante para muitos dos cérebros mais brilhantes e inovadores da segurança cibernética.

Jeetu Patel, diretor de produtos da Cisco, enfatizou a urgência de fortalecer a segurança cibernética com IA para que ameaças latentes, que poderiam ser devastadoras se ativadas, possam ser encontradas e neutralizadas agora. “A IA está mudando tudo fundamentalmente, e a segurança cibernética está no centro disso. Não estamos mais lidando com ameaças em escala humana; esses ataques estão ocorrendo em escala de máquina”, disse Patel. Ele também observou que os modelos orientados por IA não são determinísticos, “eles não darão a mesma resposta sempre, introduzindo riscos sem precedentes”.

O Papel dos CISOs no Conselho

“Eu prometo que esta não é mais uma palestra sobre IA”, brincou o CEO da CrowdStrike, George Kurtz, ao abrir seu discurso na RSAC 2025. “Eu fui solicitado a fazer uma, e eu disse: ‘Que tal falarmos sobre algo que realmente importa agora, como conseguir um lugar para os CISOs na mesa do conselho?'” Essa frase de efeito serviu como alívio cômico e uma mudança para a questão crucial da liderança em segurança cibernética em 2025.

Em seu discurso, “O Guia do CISO para Garantir um Assento no Conselho”, Kurtz fez um apelo claro à ação: “A segurança cibernética não é mais uma sugestão de conformidade. É um mandato de governança. As regulamentações da SEC mudaram materialmente o arco da carreira do CISO”. Os conselhos não estão apenas evoluindo; eles estão sendo forçados a lidar com o risco cibernético como uma ameaça primária aos negócios.

Kurtz apoiou seu argumento com números: 72% dos conselhos dizem que estão buscando ativamente expertise em segurança cibernética, mas apenas 29% realmente a têm. “Essa não é apenas uma lacuna de talento”, disse Kurtz. “É uma oportunidade se você estiver pronto para avançar”, incentivou ele.

O roteiro de Kurtz para os CISOs chegarem ao conselho foi tático e prático:

1. Aprimore sua fluência em negócios. “Entenda onde o valor de negócio é criado. Se você não consegue falar sobre margem, ARR ou risco legal, você não vai durar muito tempo na mesa.”
2. Fale a língua do conselho. “Todo conselho funciona com três prioridades: tempo, dinheiro e risco legal. Se você não consegue traduzir o mundo cibernético nesses termos, você vai ficar de fora.”
3. Construa sua marca fora da bolha da segurança. “Os membros do conselho estão em vários conselhos. O caminho para entrar é através da confiança e reputação, não apenas excelência técnica.”

Kurtz traçou o caminho da reforma regulatória ao impacto no conselho, relembrando como a Sarbanes-Oxley em 2002 transformou os CFOs em colaboradores sólidos para o conselho. Ele argumentou que o mandato de relatório de violação da SEC em 2024 faz o mesmo pelos CISOs. “Ameaças impulsionam a regulamentação, e a regulamentação impulsiona a composição do conselho”, disse ele. “Este é o nosso momento.”

Seu conselho não era abstrato. Ele instou os CISOs a estudar declarações de procuração, identificar necessidades em nível de comitê e fazer networking estrategicamente com membros do conselho que estão “sempre procurando preencher funções”. Ele apontou o CISO da CrowdStrike, Adam Zoller, agora no conselho da AdventHealth, como um modelo. Zoller, segundo Kurtz, conquistou seu lugar permanecendo na sala, aprendendo como o conselho operava e sendo visto como mais do que um especialista em segurança.

Kurtz encerrou com um desafio: “Espero voltar em dez anos, ainda com cabelo ruivo, e ver CISOs em 50% dos conselhos, assim como os CFOs. A sala do conselho não está esperando por permissão. A única questão é: será você?”

IA Não é Mágica, É Matemática

Diana Kelley, CTO da Protect AI, atraiu uma das maiores multidões na RSAC 2025 com uma mensagem direta: “IA não é mágica — é matemática. E assim como protegemos o software, devemos proteger rigorosamente o ciclo de vida da IA”. Seu discurso forneceu um histórico sólido que cortou o hype da IA generativa, destacando os riscos reais para os modelos de IA que toda organização precisa se defender antes de iniciar qualquer trabalho em seus modelos. Kelly forneceu insights aprofundados sobre envenenamento de modelos, injeções de prompt e alucinações, pedindo uma abordagem de pilha completa para a segurança da IA.

Ela apresentou o OWASP Top 10 para IA generativa, enfatizando a necessidade de proteger a IA desde o dia zero, fazer parceria com os CISOs desde o início, modelar ameaças agressivamente e tratar prompts, saídas e cadeias de agentes como superfícies de ataque privilegiadas.

A Palo Alto Networks anunciou sua intenção de adquirir a Protect AI no mesmo dia da apresentação de Kelley, outro fator que impulsionou tantas conversas sobre seu discurso.

A RSAC 2025 deixou claro que os agentes de IA estão entrando nos fluxos de trabalho de segurança, mas os conselhos querem provas de que eles funcionam. Para os CISOs sob pressão para justificar gastos e reduzir riscos, o foco está mudando do hype da inovação para o impacto operacional. As verdadeiras vitórias, incluindo tempo de permanência 40% menor e resiliência ao phishing atingindo 70%, vieram da consolidação da plataforma e da automação da triagem de alertas, que são todas tecnologias e técnicas comprovadas. O momento da verdade da IA agente chegou, especialmente para os fornecedores que estão entrando no mercado. Empresas como a Microsoft, estão investindo em autenticação biométrica para eliminar senhas e aumentar a segurança. Para conhecer mais sobre segurança cibernética, veja os golpes virtuais que mais afetam os brasileiros.

Este conteúdo foi auxiliado por Inteligência Artificiado, mas escrito e revisado por um humano.

Via VentureBeat