Na Black Hat 2024, segurança de dados, identidade e IA foram temas prioritários, visto que as organizações enfrentam os desafios de integrar tecnologias de IA como o Microsoft Copilot, ao mesmo tempo que garantem medidas robustas de segurança de dados e controle de acesso à identidade. Existe, claramente, uma tensão crítica: o desejo de aproveitar as tecnologias de IA de ponta versus a realidade dos riscos de segurança que elas acarretam.
Abaixo, analisamos as questões de IA e muito mais, com nossas 5 principais conclusões da Black Hat 2024.
1. O Dilema da IA: Equilibrando Inovação e Segurança
Havia um consenso generalizado e muita discussão sobre o fato de que a segurança da IA está fundamentalmente ligada à segurança de dados. As organizações estão ansiosas para adotar tecnologias de IA, mas permanecem cautelosas quanto aos riscos, principalmente na ausência de uma forte visibilidade dos dados. A ideia de que uma única conta comprometida ou um processo de treinamento de IA não regulamentado possa levar a uma violação significativa de dados, descumprimento de normas ou desalinhamento dos resultados da IA é um temor real. Esse risco leva muitos a reconsiderarem a implementação de ferramentas de IA sem as devidas salvaguardas, incluindo processos de higienização de dados e controles de acesso rigorosos.
Uma das questões mais prementes discutidas foi a introdução inadvertida de informações sensíveis, como Propriedade Intelectual (PI) ou Informações de Identificação Pessoal (IIP), em modelos de IA. Se esses dados forem usados para treinar IA, podem levar a consequências indesejadas, como a geração de resultados que exponham essas informações sensíveis.
Com isso em mente, outra preocupação recorrente abordada foi o risco representado caso um agente malicioso obtenha acesso a uma conta de usuário e comece a usar o Copilot para extrair informações sensíveis, como IP ou dados pessoais, em larga escala.
Existe também uma preocupação constante com as implicações a longo prazo da incorporação de dados sensíveis em modelos de IA. Uma vez que os dados são usados no treinamento, pode ser difícil — senão impossível — extraí-los completamente do modelo. Essa permanência cria um risco duradouro, especialmente se a inclusão dos dados não era a intenção inicial. À medida que a IA se integra cada vez mais aos processos de negócios, as organizações devem estar atentas para garantir que suas práticas de segurança de dados evoluam para atender a esses novos desafios.
Além disso, a Nvidia ilustrou isso com um estudo de caso envolvendo um chatbot de atendimento ao cliente baseado em IA, onde um plugin inseguro levou ao acesso não autorizado a dados. Esse exemplo ressaltou a importância crucial da integração segura ao implementar plugins em sistemas de IA.
Em resumo, ouvimos repetidamente quatro casos de uso de IA para segurança.
- Garantir que o Copilot e outros assistentes de IA não acessem dados sensíveis.As organizações desejam impedir que ferramentas de IA generativa interajam com dados regulamentados ou sensíveis, mitigando assim o risco de vazamentos acidentais de dados.
- Limpeza de dados de treinamentoAntes de usar dados para treinar ou ajustar modelos de IA, é crucial garantir que eles estejam livres de dados regulamentados ou informações pessoais identificáveis (PII). Essa etapa é essencial para manter a conformidade e proteger informações sensíveis.
- Controlando a saída da IAExiste uma crescente demanda por mecanismos que garantam que os resultados gerados por IA sejam devidamente rotulados e controlados, especialmente quando envolvem dados sensíveis ou regulamentados.
- Inventário de IAMuitas organizações expressaram o desejo de simplesmente saber onde a IA está sendo usada em seus sistemas. Ter um inventário de ferramentas e aplicativos de IA pode ajudar no gerenciamento e na segurança dessas tecnologias de forma mais eficaz.
Para saber mais sobre a abordagem da Cyera para proteger ferramentas de IA, confira nosso webinar recente. “Da Inteligência Artificial à Inteligência Artificial: Protegendo Dados para IA”
2. Implementação da MFA: O Dilema da Árvore de Decisão
A autenticação multifator (MFA) é um pilar da cibersegurança moderna, mas sua implementação em grandes empresas está longe de ser simples. Muitas organizações operam com uma complexa árvore de decisão, onde alguns usuários são obrigados a usar MFA, enquanto outros não. Essa abordagem inconsistente geralmente decorre da falta de contexto sobre os usuários e os tipos de registros aos quais eles têm acesso.
Há um reconhecimento crescente de que a compreensão do contexto do usuário e seus padrões de acesso a dados pode simplificar o processo de tomada de decisão em relação à autenticação multifator (MFA). Com uma visão mais clara de quem está acessando o quê, as organizações podem otimizar suas políticas de MFA, garantindo que aqueles com acesso a informações confidenciais estejam adequadamente protegidos. No fim das contas, este é um desafio de acesso à identidade.
3. Identidade e compartilhamento externo com o Microsoft 365
Na Black Hat, vimos que o Microsoft 365 continua sendo uma ferramenta vital para a colaboração, mas o compartilhamento externo de registros representa um desafio significativo de segurança. As equipes de segurança se veem divididas entre a necessidade de manter a eficiência operacional e a necessidade de proteger informações confidenciais. Embora seja tecnicamente possível restringir o compartilhamento externo, fazê-lo pode interromper os processos de negócios e dificultar a colaboração.
Para gerenciar isso, muitas equipes de segurança recorrem a scripts personalizados do PowerShell para rastrear arquivos e domínios compartilhados. No entanto, há uma clara necessidade de uma solução mais eficiente — um "botão fácil" que possa identificar quem tem acesso aos arquivos, como eles estão sendo compartilhados e com quem.
O cenário em que usuários externos, como antigas empresas de consultoria ou unidades de negócios desinvestidas, ainda têm acesso a arquivos confidenciais foi um ponto recorrente nas discussões. O fato de esses usuários externos serem frequentemente ignorados quando os controles de acesso à identidade são atualizados evidencia uma lacuna de segurança significativa.
Embora não seja um problema novo, tecnologias emergentes de segurança de dados como Módulo de Identidade de Cyera estão trazendo isso à tona. As organizações estão cada vez mais focadas em garantir que os usuários externos sejam prontamente removidos das listas de acesso quando sua associação com a empresa terminar, evitando possíveis vazamentos de dados.
4. A dificuldade com as ferramentas legadas de classificação de dados
O consenso na Black Hat foi claro: as ferramentas legadas de classificação de dados não corresponderam às expectativas. Executivos de segurança expressaram frustração com o tempo necessário para obter valor dessas ferramentas, a complexidade das implementações e o alto custo de manutenção. Em muitos casos, o suporte tem sido insuficiente e o custo superou o retorno do investimento.
Essa insatisfação está levando as organizações a buscarem alternativas que ofereçam implantações mais rápidas, manutenção mais fácil e melhor suporte. A demanda é por soluções que possam gerar valor imediato, reduzindo o tempo e o esforço necessários para proteger dados confidenciais.
5. O Caminho a Seguir
As informações obtidas na Black Hat 2024 destacam as complexidades que as empresas modernas enfrentam para proteger seus dados enquanto adotam novas tecnologias como a IA. Organizações que buscam soluções de segurança de dados que forneçam contexto, otimizem processos e gerem valor imediato. À medida que a IA, a identidade e a segurança de dados continuam a convergir, o foco estará cada vez mais em soluções que possam proteger informações sensíveis sem prejudicar a inovação.
Para organizações que desejam se manter à frente da concorrência, a hora de agir é agora. Seja aprimorando a segurança de dados, investigando problemas de acesso à identidade e autenticação multifator (MFA), encontrando maneiras mais seguras de compartilhar informações com o Microsoft 365 ou protegendo iniciativas de IA, as decisões tomadas hoje moldarão o cenário de segurança de amanhã.
Tem interesse em saber como a Cyera pode ajudar a enfrentar esses desafios? Solicite uma demonstração hoje mesmo.
Get your AI Security Assessment
.svg)