SEGURANÇA DIGITAL: O QUE TODO CEO PRECISA SABER (Álvaro Teófilo) | ESPECIALISTAS ACIMA DA MÉDIA #15

Olá, sejam muito bem-vindos a mais um episódio do podcast Especialista Acima da Média, um podcast que traz detalhes, conhecimentos sobre temas super relevantes para o dia a dia das médias empresas. E hoje o nosso tema também é muito pertinente e e cada vez mais em moda, né? Nós vamos falar aqui sobre segurança cibernética em um mundo digitalizado. E para isso a gente tem aqui o nosso convidado, o Álvaro. Álvaro, muito bem-vindo ao nosso podcast.

Obrigado, obrigado pelo convite, pela mídia, por estar aqui hoje.

Obrigado. E o Álvaro hoje ele é sócio da IT Riscos Digitais e da Durânio, integra comitês de risco no Banco Neon, é advisor da CE Cyber, professor do IBGC e na Sorbonne, e autor do livro Comentários sobre a IA Act Europeu. Álvaro é especialista com mais de 25 anos em segurança corporativa, cibersegurança, prevenção, fraudes e gestão de risco. Passagem 15 anos como CISO no Santander Brasil e liderança de instituições como Banco Original, Citibank, KPMG e Tempest Security.

Álvaro, e antes de seguir, eu sou Rafael Silveira, sócio da Falcone, diretor executivo da Mint, E para você que recebeu esse podcast, acompanha até o final e compartilhe com outras pessoas que você acha o tema interessante. Então, Álvaro, nós vamos falar de um tema muito complexo, né? A gente tava ali conversando ali nos bastidores, né, como que esse tema não chega de uma forma muito homogênea nas empresas, né? Vamos contar um pouco como é que, como é que esse tema pode estar ali.

A gente vê muito nas médias empresas que esse tema talvez não tá nem na pauta da diretoria, né? Deveria estar?

Deveria, deveria. Eu acho que a gente precisa contar um pouco, dar um pouco de perspectiva da linha do tempo, né? Se a gente quiser falar sobre segurança hoje, a gente tem que pensar um pouco nos últimos pelo menos 30 anos, pelo menos de uma forma rápida aqui, para a gente relembrar onde chegamos, né? Então, a internet comercial ela chega no final dos anos 90, a gente começa a ter os primeiros sistemas online, as empresas começam a criar os seus primeiros sites na internet, Quem tivesse mais avançado começa a vender pela internet.

E à medida em que o tempo vai passando, na verdade, tecnologia vai se tornando base da construção de qualquer operação. É raro hoje um lugar que não dependa de tecnologia como base de dia a dia, né? Assim, sem tecnologia, muitas das empresas que estão por aí sequer funcionariam. Claro que tem muita operação física, tem fábrica, tem mineração. Mas por trás mesmo dessas empresas, que não são exatamente orientadas a questões tecnológicas puras, tecnologia está presente de alguma forma.

O que eu acho que aconteceu ao longo dos anos é que existe um aumento da complexidade muito grande do que é fazer segurança cibernética hoje. Se a gente olhar o que existia de tecnologia de segurança por exemplo, no final dos anos 90, o que a gente encontrava de tecnologia básica de segurança era o tal do antivírus e o firewall. Até hoje, quando a gente fala de segurança, as primeiras coisas que vêm na nossa cabeça são antivírus e um firewall, né?

E se você olhar hoje para o que é um mapa de tecnologias de segurança disponíveis, quando tem aqueles mapas grandes, né, que o mercado disponibiliza, você tem, eu diria, centenas de famílias de soluções de tecnologia de segurança diferentes no mundo. De firewalls a biometria facial, por exemplo, né? Ou a empresa que é dedicada somente a reconhecer se o cliente que tá na ponta é ele mesmo olhando para sinais do celular dele, né?

Então ontem mesmo saiu uma notícia que a Visa comprou a BioCatch, que é uma empresa que faz só o que a gente chama de cognição digital. Eles olham para o comportamento da pessoa no seu celular e conseguem mapear que aquela pessoa é aquela pessoa pela forma como ela usa o celular dela. Então, ao longo dos anos, esse tema foi ficando extremamente complexo e também não só sob o ponto de vista técnico, pela própria complexidade do mundo digital, mas também pelo volume de ameaças diferentes que foram surgindo ao longo do tempo, né?

Se a gente romanticamente ainda pensa muito no hacker, né, que invadia sistema, enquanto na verdade hoje quem invade sistema é crime organizado, né. Cada país hoje tem uma realidade. Os Estados Unidos ou a Europa tá muito preocupado com o que chama de guerra digital, né, os ataques vindo de estruturas em tese patrocinadas por inimigos de Estado. No Brasil, o Brasil por sua vez está muito mais preocupado com crime puro, que moveu do mundo físico para o digital.

Você nunca mais ouviu falar de assalto a banco, não tem mais ladrão entrando com arma no banco, mas a gente fala todo santo dia de golpe. Então, a realidade das empresas hoje é, e além de tudo isso, né, que a gente acabou de falar, é o mundo foi se digitalizando. A gente tava falando aqui também antes que a pandemia é um grande divisor de águas. Quem não estava com presença digital Até 2020 teve, foi obrigado a acelerar suas capacidades, a sua presença digital.

Só que essa capacidade toda ela não veio junto com cultura, né? A maioria das empresas elas não sabem exatamente o que é um cenário de risco contra ela, ela não sabe o que poderia acontecer amanhã contra ela. E existe um volume muito grande de ataques. A maioria desses ataques ele fica contido sob o ponto de vista de informação nas próprias empresas. Sob o ponto de vista regulatório ou legal, existe pouca cobrança para a maioria das empresas, com exceção de algumas indústrias, como é o caso dos próprios bancos ou telecom ou mercado de energia, que já tem uma regulação específica.

Mas tirando as grandes indústrias, para empresa média que a gente tá falando aqui, que ela não é regulada, a capacidade dela de fazer segurança só vai depender de si mesmo e não de alguém que tá falando para ela: faça isso porque isso é importante.

Eu acho que você trouxe um negócio que é super relevante a gente fazer um paralelo, né? A gente lá, anos 2000, poucas empresas estavam com tecnologia, né? A gente tem uma curva de adoção de tecnologia, né? Eu acho que aí a questão do banco é bem legal. Qual que era a preocupação do banco em 2000? Roubar agência físico. Qual que é a preocupação do empresário? Segurança do trabalho, um acidente fatal na fábrica, uma greve. Ou seja, a gente estava em tudo que era físico.

A partir do momento que a sua empresa começou a ir para o digital e na verdade você teve que cair de ponta-cabeça na pandemia no digital, o tipo de crime muda. Porque no fundo são crimes, então são atentados contra o patrimônio da empresa, a lucratividade da empresa, a imagem da empresa. Só que ele sai de um físico para um digital, então Mesma pessoa que tá lá no interior do Brasil e que fabrica talvez parafuso, ela tá suscetível a isso.

Como é que você vende? Onde que roda os seus processos? Onde você acompanha contas a receber, contas a pagar? Como é que você processa sua folha? Então você tá no digital. Então acaba que as coisas migrou de um para o outro, né? Poderíamos dizer assim, né?

É, migrou, e o crime também migrou, né?

Da mesma forma que diminui o custo, né? Porque vamos lá, até você pegar a teoria econômica do Becker lá do crime, né? A logística do crime, ele faz as pessoas não cometerem um crime. Como a tecnologia também ajudou para o criminoso a ser mais barato fazer, então ele vai ter mais propensão a ter mais casos, né?

A gente tava falando do exemplo aqui de roubo a banco, né, das agências. Só um bandido muito perigoso se arriscava a entrar numa agência pra roubar um banco. Hoje em dia, o cara, né, a mulher, porque também tem mulheres infelizmente no mundo do crime digital, as pessoas que estão nesse mundo, elas têm um senso, uma sensação de risco muito menor. A chance de você ser pego e preso é muito menor do que no mundo físico, né. A internet infelizmente ela nasceu com seus problemas.

E entre eles a capacidade das pessoas de se passarem despercebidas ou anonimizadas dentro de operações. Você tem uma fraude que acontece no Brasil, mas se você for olhar o endereço IP dela, tá apontando para o Japão, né? Existem estruturas no mundo que estão sendo construídas ou que foram construídas justamente para melhorar ou para dar capacidade às pessoas de se tornarem anônimas na internet. Ela também tá sendo usada para o mal, infelizmente.

Então essa é a situação, digamos assim, o cenário atual que a gente enxerga não só no Brasil, tá, no mundo inteiro. O problema de segurança cibernética é um problema do planeta e não só do Brasil. Fraude, inclusive, não é só um problema do Brasil. A gente também tava falando antes aqui, países como Inglaterra tem um volume gigantesco de fraude digital contra aposentados, pessoas vulneráveis, e que tá forçando os governos a tomarem atitudes do ponto de vista de regulação, Aperto nas leis, grupos de trabalho para ir atrás dos criminosos, só que o volume é muito grande.

Eu acho que hoje nós não temos, não só no Brasil, mas no mundo inteiro, capacidade de lidar com tudo isso, com tantas outras prioridades que a sociedade tem. E esse é um problema.

E aí, Alvaro, até avançando aqui na conversa, pensando no ambiente da empresa, né? Que risco que nós estamos falando aqui por trás, pensando como negócio, né? Como eu tô tomando uma decisão ou quando eu tô fazendo um planejamento estratégico de um negócio, eu falo: Eu quero avançar nesse mercado, eu quero diminuir esse risco aqui. A gente tá falando de um acidente fatal dentro da empresa, é a pior coisa que pode acontecer, é uma vida, tem um impacto na questão de cultura, na moral do time, tem um impacto nas famílias, tem um impacto financeiro.

Então tem vários impactos. Quando a gente tá falando de risco cibernético, quais são os riscos que de fato estão acontecendo mais hoje, as empresas sofrem mais?

Eu acho que dá para primeiro pensar que mudou, que essa coisa do qual é o risco atual vai mudando ao longo do tempo. Se a gente pensar em 2010, 2012, a maior preocupação das empresas era com vazamento de informação. Tanto isso é verdade que Brasil e mundo, pegar a União Europeia aqui como um bom exemplo, foram atrás de novas leis para proteger pelo menos a vida, os dados das pessoas. LGPD no Brasil, a GDPR equivalente na Europa.

Só que ao longo do tempo esses cenários foram mudando. Na medida em que o crime foi se organizando no digital e foi se tornando mais sofisticado, com mais acesso à tecnologia, com mais automação, a coisa começou a mudar. Em 2017 existe um marco, que é 2017, que é o primeiro caso de ataque de ransomware, que é o sequestro de uma infraestrutura técnica, né? Quando entra um malware ou um vírus na rede de uma empresa e sequestra o dado. Ele criptografa tudo que tá nos HDs, né?

Você perde acesso aos dados, perde acesso a tudo.

E o criminoso do outro lado, ele pede um resgate. Por isso ransomware, né? Ransomware, porque ransomware é exatamente isso.

Esse caso é no mundo ou no Brasil?

2017 tem um desses primeiros ataques coletivos, ou digamos, não coletivo, mas automatizados. O nome para esse bichinho era, chamava WannaCry, que ficou no mundo inteiro. A Europa foi muito afetada, o Brasil também teve vários casos. E foi a primeira vez que a gente viu uma mudança de perspectiva em muitos anos. Até então, como eu tava falando, a preocupação era com vazamento de informação. E aí você começa a ver os casos de, não, em vez de um cara ou um grupo organizado vazar informação de alguém, ele passa na verdade a sequestrar os dados e exigir um resgate.

Aí o jogo muda. Porque a empresa não tem mais a opção, ela precisa em muitos dos casos, na maioria dos casos, pagar o resgate para ter a sua operação de volta. De 2017 para cá esse problema só cresceu e cada vez de forma mais sofisticada. Daqui a pouco a gente vai ter que falar de AI, né, inevitavelmente.

Mas nós estamos segurando aqui para a gente dar o contexto, mas vai piorar, dando spoiler, vai piorar.

Porque na verdade o que tem acontecido é, existe um uma automação maior. E aí vai entrar no ponto que a gente tava também falando em off. Ótimo que a gente teve a conversa ontem, que a gente esquentou aqui, né, os motores. A maioria das empresas não sabe o que tá acontecendo do ponto de vista de risco no mundo. As grandes empresas, grandes corporações, elas têm uma vantagem que é ter acesso privilegiado do que tá acontecendo na internet.

Quando eu falo privilegiado, não é porque elas compraram informação que não deviam, É porque existem serviços de inteligência comercial hoje, tem empresas, aqui no Brasil tem várias, que elas vendem especificamente informação do que tá, que a dark web tá falando sobre a sua empresa. Só que quem compra esse tipo de serviço? Quem tem muito recurso. Empresa média, empresa pequena nunca vai ter dinheiro pra pagar, sei lá, num contrato base, R$50 mil por mês pra ter esse tipo de serviço.

Sem falar dos processos mais sofisticados. Então acaba que a maioria das empresas, elas não têm visibilidade de qual é o problema do dia, quais são os tipos de ataque que podem acontecer hoje. Perdão. Isso conecta a um segundo problema, que é o que eu deveria estar fazendo a respeito daquilo para me proteger.

Só antes de você avançar, desculpa te interromper. Quando acontece esse caso de sequestro de dados, nós estamos falando de que cifras?

Varia muito, né? Tem as estatísticas, elas falam de números muito diferentes assim. Tem de, sei lá, casos mais chamamos de ataques genéricos automatizados, em que o cara que tá atacando a empresa, ele rodou robôs ao redor da internet que ele encontrou um monte de alvo que ele nem sabe quem é e achou mais fácil, foi lá e ele entra. Quando ele entra, o próprio sistema dele avisa lá na console dele que Ele atacou alguém, ele nem sabe, a Prefeitura de Piratininga.

Não aconteceu em Piratininga que eu saiba, foi só um nome aleatório. Um caso como esse, tipicamente, o sequestro é pequeno, você está falando de $1.000, $2.000 que o cara peça de resgate. Agora, quando é um ataque direcionado, quando o grupo organizado sabe quem está atacando, a cifra vai para os milhões de dólares.

Entendi.

Então depende muito do tamanho e exposição e impacto que o ataque conseguiu gerar na empresa. Tem muitas empresas, por exemplo, que elas já estavam preparadas, funcionários como esse fala o seguinte: se alguém me sequestrar, eu zero toda a minha infraestrutura, recupero meu ambiente do zero e vida que segue. Só que nem toda empresa, primeiro, pode fazer isso, dependendo da tua empresa. Sei lá, vamos pegar um exemplo hipotético de uma empresa de varejo de consumo de altíssimo impacto no Brasil.

Hipoteticamente, iFood. O iFood não tem a opção de para tudo e eu recupero o ambiente daqui a 2 horas com que tá, porque, cara, o volume de transações para chegar nesse nível de sofisticação vai ter que ter muito dinheiro. Talvez o iFood até consiga fazer isso, mas a maioria das empresas não vai conseguir. Então existe esse paradigma entre o que tá acontecendo em termos de sofisticação de ataque e o que que as empresas fazem a respeito nas suas infraestruturas técnicas.

E fala assim, pô, mas como é que você resolve? Isso é uma equação impossível. Tinha lá o cara da Amanda aqui que falava, né, uma equação impossível, né? Talvez a gente esteja numa. Empresas com menor capacidade de investimento, elas tendem a ter uma menor chance de fazer o seu dever de casa e deixar a sua estrutura minimamente protegida. Uma vez eu tava no Sebrae em Curitiba dando uma palestra para pequenas empresas, e eu fui para lá, peguei o avião, né, e pensei, pô, o que que eu vou falar para pequenas empresas?

E eu só dei uma dica para eles: protejam seus backups. Eu não vou falar para vocês comprarem o antivírus mais sofisticado do mundo, investir dinheiro em ter um chefe de segurança. Vocês não têm dinheiro, ninguém tem dinheiro para isso, a maioria das empresas. Então o que eu falei foi: parta do pressuposto que algo vai dar errado, mas se você tiver que ter os dados guardados, protegidos e offline, pelo menos do dia anterior, você vai salvar tua empresa.

Então essa foi a principal dica que eu dei e que hoje é a realidade da maioria das empresas. Ninguém vai conseguir fazer muito além disso, infelizmente, mas essa é a realidade.

Você comentando, eu tô até lembrando nosso papo do que a gente tava aqui antes falando um pouco do estudo do Fórum Econômico, do Fórum Econômico, eu acho que tem tudo a ver com isso, né? Tem uma barreira, né, de assim, de para você tá preparado para esse jogo, você tem uma linha de corte, né? Todo mundo que vai estar, né? E eu acho que é entender isso, entender que esse risco ele tá inerente, né, para todos os negócios, ele tá aumentando, mas que por outro lado Você não tem muitas formas de se precaver dependendo em qual momento a sua jornada tá. Conta um pouco mais o que que tem nesse estudo do Fórum Mundial.

Tem um neologismo aqui, né? O Fórum Econômico Global, ele introduziu o termo cibermiséria, ciberpobreza, né? Pobreza digital. Em inglês é cyber poverty, onde eles determinam que existe uma linha de corte, o que seria o equivalente ao abaixo da linha da pobreza. Para as empresas, né? Qual é a nossa percepção que vai ao encontro dessa visão do Fórum Econômico? É que quanto mais o tempo passa, mais empresas de maior porte estão sendo incapazes de fazer o seu dever de casa, de proteger as suas empresas, por uma série de razões: complexidade, dispersão, Cenários de risco estão se tornando mais complexos, investimentos estão se tornando cada vez mais duros.

Não adianta mais, por exemplo, alguém me falar, Álvaro, eu tô usando antivírus grátis na minha empresa. A minha única resposta é, cara, é como se você não tivesse nada.

Você tá nu.

Você tá nu. É a história do Rei Nu, né? Você colocou antivírus grátis, seria o equivalente a isso. E a má notícia, não vou conseguir chegar aqui e falar, temos uma solução para isso. Não tem. A real, e não é só no Brasil, nós não estamos numa posição especialmente privilegiada em relação a isso, é que o tema se tornou muito complexo e vai se tornando cada vez mais. Uma tendência, por exemplo, que a gente viu nos últimos anos é o aumento da fraude interna.

Olha que interessante, a gente tá muito falando de hacker, grupo organizado, ataque, fraude, mas a gente sempre olhou para perspectiva do se isso acontecer de fora para dentro, alguém ataca a minha empresa. Se a gente pensar nos últimos 18 meses de casos que aconteceram no mercado de fraude eletrônica de grande escala, vocês devem ter ouvido falar em ataques aí ao SPI, Pix, alguns bancos, em muitos dos casos houve uma cooptação de um funcionário interno ou de um terceiro que trabalhava para empresa.

Onde é que esse assunto se conecta? Se você pensar nas empresas mais sofisticadas hoje em termos de gestão e de segurança, a maioria delas já está criando dentro de casa estruturas de fraude interna, equipes dedicadas a monitorar o ambiente interno da mesma forma como monitorava o ambiente que o cliente acessava. Por quê? Porque os processos internos também podem ser frágeis. A gente partiu do pressuposto que o que tava para fora era mais frágil, que tava para dentro era mais seguro. Isso acabou.

Ou seja, que como se fazendo analogia da fortaleza, né, o que tá dentro da minha empresa tá dentro da fortaleza, tá seguro. O que tá para fora, o mundo externo, que é o perigo.

Perfeito, exatamente isso. Hoje você pode partir do pressuposto que você tem um risco interno sim relevante, e o pior, não mapeado. Existem empresas hoje no mercado sem mencionar nomes, empresas excelentes que vivem só de fazer investigação corporativa em busca de sinais de que há uma possibilidade de acontecer uma fraude ali. Para uma empresa média, o que que eu daria de grande dica? Reveja os seus processos internos. A gente no passado, ainda lá em 95, 98, eu trabalhei no Citibank.

Curioso, o Citibank também foi um exemplo de começo de carreira Muito, eu tive muita sorte, porque era banco americano já estabelecido há mais de 100 anos. Então já tinha passado por tudo, já era uma empresa madura em 95, né, na minha perspectiva de quem tinha acabado de começar a carreira. Já existia uma preocupação muito grande com isso. Não existe uma transação interna que não passe por alguém que entra com a transação e o outro autoriza.

Isso se perdeu com o tempo, porque as empresas partem do pressuposto que quem tá dentro é confiável. E se você olhar para esses últimos casos de 18 meses, 24 meses, o volume de pessoas que se submeteram a uma cooptação de um crime organizado subiu brutalmente. As empresas, maioria delas, não consegue ler isso nas entrelinhas das notícias que estão saindo nos jornais. E é disso que a gente tá falando. Existe uma assimetria de informação entre grandes empresas E a maioria que tá abaixo dessa linha, que inclui uma grande parte das empresas médias e pequenas.

Essa questão de processo é muito interessante, né? Porque a gente ajuda muitas empresas a melhorar os processos, melhorar os resultados, né? E algo que a gente fala muito é que eu preciso ter um indicador que meça o meu problema para eu conseguir melhorar o meu processo. Mas mesmo depois que eu passo disso, raramente, quando a gente vai trabalhar qualquer processo, eu preciso entender, tá, o que que eu espero que esse resultado esse processo ser entregue.

Normalmente são resultados do processo. Raramente eu tenho nenhum indicador, eu quero que ele seja antifraude. Hoje em dia eu quero que ele seja automatizado para eu ter menos pessoas possível. E eu acho que aqui fica uma pulga atrás da orelha. Se eu tô revendo o processo, será que então na minha matriz de priorização eu tenho que ver quais meus processos eu tenho mais riscos de no futuro tá abrindo alguma porta para um ataque cibernético, né?

E olha que interessante, né? Falando um pouco sobre o mercado de prevenção à fraude, um dos, digamos assim, o coração de uma operação antifraude em qualquer empresa de grande porte ou médio porte tem uma coisa chamada motor de fraudes. Tem alguns softwares, tem vários no mercado por aí, que eles fazem um papel de rotear o que é bom e o que é ruim em termos transacionais. Vem o cliente na ponta, no app, faz uma transação, ele vai passar pelo motor de fraudes e o motor vai falar: essa transação é boa, essa transação é suspeita ou essa transação É fraude, vou parar.

A suspeita vai para uma equipe interna que vai ligar de volta para o cliente, para o número seguro, etc. Tradicionalmente, tradicionalmente, nós nunca discutimos sobre o uso de motores para processos internos. Em geral, a gente usa motor para olhar o comportamento do cliente, mas não do próprio funcionário. Se a gente olhar pandemia, pós-pandemia, o volume de fraudes internas que está acontecendo na empresa está crescendo exponencialmente.

Não à toa, se você der uma linkedinha, eu até brinco, se você quiser ver tendências de mudanças de estruturas organizacionais, olha as vagas novas que surgem nos grandes bancos que não existiam antes. Entre eles tá lá o gerente sênior de fraude interna de um banco X que acabou de abrir a vaga. Isso de fato aconteceu esses dias. A maioria das empresas não tá nem de longe preparada para pensar. Primeiro, tem um motor de fraudes, né?

Segundo é: faz sentido eu usar isso nos meus processos internos para minimizar o risco de um problema de dentro me levar a uma fraude financeira? Esse é um problema ainda, os sinais estão aí, os problemas estão acontecendo, a maioria das empresas ainda não tem acesso a isso. Estamos aqui para fazer parte desse aculturamento.

Desse aculturamento que é super importante, né? E o problema, né, Alvaro, que a gente estava conversando, que não passa só eu ter a consciência, né? A gente tava falando um pouco da paralisia da decisão, né? Conta um pouco mais assim que você tem aprofundado aí na sua consultoria, que você vê, poxa, não é só uma questão de monitorar, ter backup, ter recursos e tudo mais, tem uma questão comportamental do ser humano aqui no meio, né?

Então, como eu tava falando, né, tem uma, primeiro tem uma questão de falta de informação, as empresas elas não têm hoje informação suficiente para saber o que tá acontecendo para e passo com os grandes casos de mercado, ou os que a gente chama de ruídos, né? E a segunda coisa que a gente percebe aqui também é que as próprias lideranças, dependendo das suas experiências anteriores, elas tendem a ser mais coniventes com o problema.

Existem várias teses ou estudos de mercado, estudos acadêmicos, psicólogos, que estudaram esses assuntos. Então, a teoria do rinoceronte cinza, né, que faz contraponto ao cisne negro, né, a história do tail risk, né, o risco de cauda, que é aquele risco que tem uma pequena chance de acontecer, mas se acontecer é catastrófico. O rinoceronte cinza é diferente. É uma tese de uma estudiosa americana, salvo engano ela é americana, em que ela fala que o problema já estava na sua porta, você já sabia que ele poderia acontecer contigo e você não fez nada a respeito.

Isso é muito comum e ainda infelizmente em certas indústrias onde o problema está acontecendo em outros lugares dos teus pares da indústria, a informação está chegando para você, Mas você fica na inércia, né? E aí vai entrar outras teorias ou outras análises, digamos assim, de como o mundo funciona, como as pessoas funcionam, que ajuda a gente entender essa diferença entre quem reage e quem não reage. Teoria da perspectiva, né, que fala sobre isso.

Sobrecarga cognitiva, a gente tava mencionando isso, tá aqui na minha colinha. Onde se tudo é urgente, você passa a gerar muita informação sobre um assunto, por exemplo, golpes digitais. Eu tendo a acreditar que mais pessoas caem em golpe de tanto que já acontece que as pessoas param de ouvir as notícias. Cara, é tanto caso, tanto caso, tanta notícia, é como, infelizmente, como corrupção. Dá a impressão de que quanto mais corrupção acontece, menos a sociedade é capaz de reagir e só vai piorando.

Me parece que para o caso de segurança e fraude não estamos num lugar muito diferente. O que eu percebi da minha experiência até aqui, especialmente nesse 1 ano e meio que eu tô com a minha consultoria própria, é que a experiência pessoal da liderança faz muita diferença. Quem já viveu algo semelhante antes é capaz de trabalhar de forma mais preventiva de quem nunca viveu.

Ou seja, você tá me dizendo que quem passou já por algum incidente ciberneutro, que ele tem mais propensão.

Gato escaldado.

Gato escaldado.

Então existe um ponto de atenção importante aqui, que é: tem muita empresa com potencial gigantesco de acontecer problema onde nunca aconteceu. Se você conectar isso à experiência pessoal da liderança, que é realmente quem faz a diferença, e dizer: cara, isso não vai acontecer com a gente, sempre foi assim, continua sendo. E isso vai ser o Digamos, continua sendo para mim hoje um dos maiores problemas da incapacidade das empresas de tomarem a liderança, de fazer algo de antecipação antes que o problema aconteça.

E aí vai ligar a outros problemas. Não existe uma forma de você fazer um ROI sobre fraudes e segurança. Você está evitando perda, você não está trazendo dinheiro para a empresa. É óbvio que de forma indireta pode falar sobre reputação, confiança na marca, Mas de curto prazo é muito difícil você colocar um dinheiro para proteger a empresa e falar, como é que esse dinheiro vai retornar para mim? Nunca ninguém conseguiu fazer isso.

Já houve tentativa no mercado. Isso é um problema, inclusive, para quem está na função de fazer essa proteção. Convencer a direção de que a empresa precisa colocar dinheiro mesmo que nada tenha acontecido. E isso é um problema.

Óliver, a gente— eu acho que aqui tem até um comentário que tem até a ver com— tem uma série nova do Netdeal falando sobre Pompeia. Né, até para o ouvinte ver. E tem exatamente uma parte, se eu não me engano, no capítulo 2, no episódio 2, em que eles vão em busca de entender por que que as pessoas não tomaram, não fugiram da cidade, não fugiram da cidade sabendo que o vulcão estava tremendo, tava tudo tremendo, deveria fugir. Então tem uma psicóloga lá que ela comenta exatamente com o pessoal, então no museu conversando, e ela dispara o alarme de incêndio.

E pede, observa, ninguém mexe. O ser humano tem essa paralisia. Então acho que vale, nós estamos falando, não é só para cyber, é para todos esses eventos que demandam tomar decisão rápido. E aí eu acho que você traz uma carga que é importante. A gente nesse episódio nem é sobre liderança, mas carga mais um papel importante. Você como líder da empresa, você tem que estar atento a isso e direcionar e ser o primeiro a falar, gente, Temos que ir, vamos tomar uma decisão rápido, isso aqui pode ser um risco, vamos fazer alguma coisa.

Tem até uma coisa muito interessante para a gente falar sobre isso, que é, olha que curioso, a área de segurança digital, segurança de forma geral, as pessoas que vivem a posição de liderança de segurança, elas tendem à obscuridade. O que eu quero dizer com isso? Que o que elas fazem e o que acontece na empresa em geral é tratado como segredo. Teve um incidente? Não vamos falar sobre isso. Teve um vazamento de informação? A não ser que se tornasse, que essa informação do incidente se torne público, que o mercado saiba, a imprensa noticia, todo mundo trata isso como segredo.

Eu tenho experiência pessoal sensacional que eu vivi, que foi viver uma ameaça à minha empresa, que ela não se materializou, Mas foi muito grave. No final era só ameaça, era um blefe, chamemos assim. Lidamos com a situação, mas ela apontou que nós tínhamos um problema potencial ali naquele lugar onde não aconteceu nada. E o presidente da empresa teve a ideia que eu não entendi de cara, mas que para mim foi um outro, um daqueles momentos de de, puxa, isso aqui é interessante.

Ele chamou toda a direção da empresa para um workshop, a gente estruturou esse workshop para falar do que tinha acontecido ou do que poderia ter acontecido naquele caso. Foi de uma transparência que eu nunca tinha visto. Ele foi lá, a gente montou o workshop, até trazer uma equipe de comunicação, coisa super bem feitinha. Eu lembro de dia seguinte a esse workshop, a mudança de comportamento em um monte de líder falando: Álvaro, eu tô preocupado com isso, aquele meu negócio eu nunca pensei na área de segurança, a fraude pode ser um problema para mim.

Então a gente tem um tema aqui que é uma provocação que eu tenho feito aos meus clientes de forma positiva, que é: traga mais informação para mesa. Se parte dos líderes que nunca passaram por uma experiência ruim determina o seu comportamento de não investimento, por exemplo, se você trouxer mais informação de qualidade, primeiro para a própria liderança, depois para a empresa como um todo, liderança, por exemplo, de negócio, você tem uma chance muito maior de sucesso de trabalho.

Isso aqui é uma dica para os CISOs, né, para os chefes de segurança ou de fraudes: sair dessa camada de obscuridade onde os assuntos são tratados como segredo e, na medida do possível, trazer para a empresa a informação de que algo aconteceu. A gente aprendeu. Olha só, gente, as empresas— Alura, você já viveu incidentes sérios? Muitos. A maioria, a maioria brutal contido. Nunca tive nenhum incidente existencial, né, do ponto de vista empresa, mas vivi inúmeros incidentes, né.

A nossa capacidade de reação sempre foi o determinante, mas olhando no tempo de vários anos para trás, o que eu faria diferente do que eu fiz até, sei lá, 6, 7 anos atrás era: eu daria mais transparência para a empresa sobre os casos mais relevantes. Eu chamaria mais gente de negócios, de riscos, mas principalmente de negócio mesmo, para contar: gente, aconteceu tal coisa. Isso aqui foi uma fragilidade nossa, num aplicativo, numa operação, num call center, e a gente precisa ficar atento a isso.

Quando você traz informação geral Perdão, quando você traz informação real para as pessoas, o jogo muda, porque você está saindo de uma teoria ou de um comportamento de trazer um certo medo, lidar com o risco como uma espécie de tortura psicológica contra as pessoas, você começa a trazer de fato dados reais, o jogo pode mudar.

É bem legal mesmo usar a estrutura de liderança da empresa para comunicar e conscientizar, porque no fundo a gente vai cair naquele ponto. Como é que eu diminuo? Eu preciso olhar meus processos, ter essa ótica. Quem é dono dos processos são as lideranças e elas têm o papel de rever os processos, mas se elas não sabem que isto é uma dimensão a ser considerada, não vai ter mágica. Ou vai ter uma batalha lá dos cavaleiros obscuros lá que vão tentar resolver o problema, mas talvez a empresa inteira se transformando e correndo atrás de um objetivo só, né?

Tem vários estudos interessantes no mercado que mostram, por exemplo, pegar o mercado de capital aberto nos Estados Unidos, que é um dos mercados mais maduros do mundo, onde mostra uma evolução da— e eu gosto muito desse assunto— da evolução da governança de segurança cibernética nas empresas. Eu, como tenho o prazer de dar aula no IBGC, os meus alunos são conselheiros, diretores de empresas, eles sempre me perguntam, cara, como é que eu gero mais uma agenda mais proativa ou mais completa sobre o assunto de cyber?

Dentro da minha empresa. Muitas das empresas de capital aberto nos Estados Unidos, elas mudaram algumas agulhas, digamos assim, em termos de gestão. Por exemplo, a maioria começou a ter algum especialista de cybersecurity dentro de alguns dos seus comitês de apoio ao board. Não é um cara de segurança no conselho de administração. É algum especialista no assunto dentro de um comitê de apoio, auditoria, comitê de riscos. E se você olhar, existe um estudo da EY muito interessante que eles estratificaram desde 2018 quais são as práticas de governança de segurança cibernética que as empresas de capital aberto nos Estados Unidos, inclusive algumas brasileiras, né, estão adotando.

E aí mostra essa diferença de perspectiva de 10, agora 8 anos para cá. Evoluiu muito a governança porque existe uma agenda mais extensa, tem mais comitês de apoio responsáveis pelo assunto, tem mais frameworks disponíveis no mercado para você gestionar o assunto de forma mais estruturada. Isso está evoluindo. O Brasil ainda tem muito passo para trás ainda, mas esse trabalho, por exemplo, do IBGC, quando a gente fala com os executivos, conselheiros, as pessoas que estão nessa posição de liderança, A gente já começa a ver essa mudança no Brasil também, mas de novo, maioria das empresas de maior porte.

E aí, Alva, a gente tem que falar aqui um pouco de AI, né? E eu tava vindo para o estúdio, né, tava escutando um podcast falando sobre tecnologia e contando um estudo recente, acho que só essa semana, que fizeram com 22 pessoas e fizeram separarem amostras, 11 para um lado, 11 para o outro, aleatório, e usaram, né, tentativa de um golpe via WhatsApp conversando com a pessoa. Como era um estudo, não era para fazer um Pix, mas era para baixar um aplicativo.

Só que eles fizeram uma parte do grupo com ser humano e outra parte com o coach trabalhando ali, interagindo. E para mim, o que mais surpreendeu é que no grupo com ser humano, 20% das pessoas caíram. No grupo que era um bot, 50% das pessoas caíram. Ou seja, a propensão da gente cair com— a gente conseguiu gerar mais rapor e confiança com um bot do que com uma pessoa. Ou seja, vai piorar então?

Já está pior, né? E a tendência é ficar ainda pior. Vou falar de um assunto chamado deepfake, né? A gente começou a falar de deepfake em 2014, quando a gente decidiu— eu ajudei a montar o primeiro banco digital no Brasil, que foi o Original. O grupo JTF, e a gente provocou uma mudança regulatória que era abertura de contas correntes completamente online. Olha que curioso, online, né? Até 2014 você não podia abrir uma conta que não fosse na agência. Parece 30 anos atrás, mas é 2014 isso.

É, tem 11 anos, 11 anos, 12 anos.

E a grande pergunta que a gente fazia: como é que a gente valida que a pessoa é ela mesma? Fizemos lá uma esteira de de várias tecnologias disponíveis e tal, e biometria facial estava entre elas, que por sinal é uma tecnologia vencedora claramente no mercado hoje. Tá aí algumas grandes empresas no Brasil fazendo esse papel. Naquela época, em 2014, a gente já fazia teste de deepfake, a gente já tinha tecnologia disponível para falsificar o vídeo de uma pessoa para se passar por outra.

Olha isso!

Com AI Explodiu. Tem centenas de ferramentas que custam centavos, senão algumas grátis, que você consegue alterar o rosto de uma pessoa para outra. E o pior, alguns sistemas de biometria sequer são capazes de fazer isso, de pegar essa diferença, essa alteração. Ora, se um sistema de biometria sofisticadíssimo não consegue pegar, o que dizer de uma pessoa? Então as fraudes hoje elas estão movendo para esse nível de sofisticação, inclusive na camada pessoal.

Tem pessoas que recebem vídeos do pai, da mãe, da tia. Sabe aquela história do golpe do pedir dinheiro pelo WhatsApp? Agora vem vídeo. Fala assim, sou eu mesmo. Aparece a voz da pessoa, o rosto da pessoa. Você percebe algumas nuances de que aquilo não é natural, que as tecnologias elas não são ainda perfeitas de deepfake. Cada vez mais se aproximando dessa perfeição. Mas já no atual, ela já convence substancialmente mais gente. Tá aí a prova do que você acabou de falar.

É impressionante, né? E olha que o teste aqui era só em texto. Imagina se tivesse áudio, imagem, o que que iria acontecer, né? Uma outra coisa que eu fico vendo muitas empresas agora discutindo, né, que é o impacto do vibe code, né? A gente tem escutado, né, e tem visto cada vez mais, né, Tem até uma propaganda legal do Base44, se eu não me engano, transformando tudo em app, né? E a gente vê que isso tem sido uma revolução para as médias empresas, porque elas conseguem acessar coisas que seriam extremamente caras.

Então, ao invés de eu comprar um Salesforce, eu vou fazer o meu CRM. Eu entro aqui no LOVA, vou pôr alguma conta da vida e faço. Mas qual que é o risco que eu tô correndo aqui por trás disso?

Olha que interessante, né? Eu li outro dia que 90%, não sei onde saiu isso, a estatística é uma por dia, né, mas que 90% de tudo que é construído em modo de modelo vai, porque hoje não chega a lugar nenhum, é jogado fora, né. Mas tem um assunto muito mais grave, que é, que não é um tema de eficiência, tema de controle. A gente vem lutando nos últimos bons anos para ter certeza de que tudo que tá construindo, do ponto de vista tecnológico, nas empresas, passa por alguma camada mínima de controle.

Aqui tem uma coisa curiosa. Quando você entrega um algoritmo como Cloud Code ou qualquer outro, um Gemini, né, Copilot, na mão dos funcionários, você tá dando para ele uma missão de automatizar parte do seu trabalho. Virou o mantra das empresas. Só que não existe maturidade hoje, sob o ponto de vista tecnológico, que garanta que toda essa construção ela passa por camadas de controle. O que significa, por exemplo, sei lá, dar um exemplo hipotético, que alguém está criando um sistema interno que vai substituir a planilha de pagamento de salários ou de pagamentos a fornecedores.

A maioria das pessoas ela está construindo as soluções no seu próprio computador. Estava dando exemplo aqui do funcionário da área financeira que vai tentar sair de um Excel e construir uma solução para automatizar pagamentos a fornecedores usando VibeCode, conceitualmente. Quem que vai validar que essa automação não está livre de erro, de um risco de pagamento que não devia, de trazer uma vulnerabilidade nova para o processo interno, ambiente interno?

A gente estava falando aqui sobre fraude interna também, né? Existe uma clara tendência no mercado a surgirem novas famílias de soluções tecnológicas que vão ajudar as empresas a melhorar a governança do uso de AI dentro das suas empresas. Só que governança do uso de AI não é um documento impresso que fala que as pessoas têm que ser responsáveis, é controle técnico. De alguma forma, as empresas vão ter que trabalhar para ter um mínimo de plataformas que ficam entre o usuário final, né, a pessoa que tá na ponta sentada na sua computadora, e o core da empresa, de uma forma que a gente sabe o que tá acontecendo.

Tem coisas muito mais básicas, né. Pensa que a maioria das empresas sequer controla quem pode usar o quê. Hoje em dia, a maioria bossal das empresas, brutal das empresas, nem sequer controla isso. As pessoas usam o ChatGPT à vontade na internet, vazando informação, né, entregando dado.

Licença de graça, o pessoal.

Mas além disso, é, o Vibe Code ele traz uma série de novos riscos que a gente ainda não começou a se materializar ou viu se materializar ainda no mercado. Existem algumas bases de dados, a MIT ele mantém uma base de incidentes de AI. Que ele vai, as pessoas vão relatando quais foram os problemas que aconteceram. Até 2024, a gente via muito problema de bias em algoritmo. Algoritmo tinha um problema de sexismo ou tomada de decisão baseada em gênero, problemas muito, muito estruturais, muito básicos, por exemplo, de biometria.

E agora a gente começa a ver uma tendência de mudanças de erros que levaram a perdas financeiras por conta, entre outras coisas, do Vibe Code. Então, tem aí um novo flanco a ser atacado do ponto de vista de gestão e com várias perguntas no mercado: quem é o responsável por isso do ponto de vista de controle? É o cara de segurança? É o cara de fraudes?

É o cara que fez?

É o CTO? Você não pode falar que é a própria pessoa, seguramente. Essa é a única resposta boa que a gente pode dar. Uma pessoa individualmente, ela não vai ter critério técnico para falar de controle. Alguém vai ter que tomar uma decisão sobre como fazer de forma estruturada lá em cima.

Muito bom, Álvaro. Agora a gente estourou o nosso tempo aqui. Queria que deixasse esse minuto final para você explicar um pouco como é que entra em contato com a sua empresa, como é que te segue, como é que gostou do assunto, quer aprofundar mais, como é que faz?

A minha empresa, ela tem um ano e meio, a gente tem uma consultoria voltada para estratégia de segurança cibernética e riscos digitais no mercado, não só no mercado financeiro, no mercado geral. É, para me achar mais fácil, LinkedIn, Álvaro Teófilo, mandar uma mensagem lá, tranquilamente eu respondo rápido também, a gente pode conversar.

Álvaro, muitíssimo obrigado por compartilhar com a gente esse tema, foi muito legal aqui, a gente falou de diversos temas, né, eu acho que faltou tempo, né. Agradeço em nome da mídia, em nome da Falcone, por ter participado aqui com a gente.

Obrigado, obrigado por vocês pelo convite.

E para você ouvinte também, meu muito obrigado por ter nos escutado até agora, gostou desse episódio, compartilhe com outro amigo seu empresário, compartilhe no grupo da empresa de WhatsApp, compartilha no grupo de empresários para que este tema não fique ali obscuro, né, restrito algumas poucas pessoas, e a gente começa a ter cada vez mais uma consciência da importância deste tema, que tem uma— provavelmente vai ficar cada vez mais frequente.

E nós estamos falando de potenciais escalas aqui de mais riscos. Um muito obrigado e até o próximo episódio. Até mais!