Em setembro desse ano a DCD conversou com Arick Goomanovsky, Vice-Presidente de inovação de produtos na Tenable. Com mais de 20 anos de experiência e atuação em Estratégia, Tecnologia, Pesquisa e Liderança para o setor público e privado, Arick entrou na Tenable após a aquisição da Ermetic, empresa da qual é um dos fundadores.

A entrevista, feita na sede da Tenable na zona sul de São Paulo, passou por vários tópicos, de cibersegurança a Inteligência Artificial, investimentos e um panorama do setor no Brasil.

DCD: A cibersegurança, agora, não é apenas um problema de segurança e tecnologia, mas um problema de negócios. Você concorda com essa afirmação?

Arick Goomanovsky: Com certeza. A segurança se torna muito importante para as empresas à medida que avançamos para a nova realidade em que a tecnologia impulsiona os negócios. Uma violação de segurança pode não apenas causar problemas financeiros, mas também interromper a produção. Se o seu ambiente for violado, você poderá parar de atender clientes. Se a usina estiver comprometida, ela não conseguirá fornecer eletricidade para grandes regiões, se a discussão for sobre infraestrutura crítica. Podemos olhar para as violações que aconteceram nos últimos dois anos e seu tremendo impacto. Anos atrás, antes de começar a trabalhar com cibersegurança, eu trabalhei como consultor de uma fábrica de magnésio. Eles tinham um processo de produção muito interessante: aquecem o magnésio, que se torna líquido. Se a fábrica parar por mais de 15 minutos, o magnésio esfria e se torna sólido, e toda a fábrica entrará em colapso. Portanto, a segurança hoje não é apenas sobre a segurança em si; também tem uma conexão direta com os negócios.

A maioria dos incidentes hoje ocorre por causa de um erro humano. É isso?

Isso é verdade. Os humanos hoje são um dos elos mais fracos da rede de segurança. Em primeiro lugar, os funcionários podem ser ameaçados. Antes de trabalhar para a Tenable, fundei uma empresa de serviços de cibersegurança. Certa vez, demos suporte a uma instituição financeira que estava comprometida. Conseguimos identificar o agente da ameaça e expulsá-lo, mas ele começou a ameaçar os funcionários para continuar seu ataque. Às vezes, as pessoas cometem erros, visitam um site, assistem a filmes ou baixam algo para suas máquinas. É um desafio conhecer todas as melhores práticas. Por exemplo, temos experiência em segurança na nuvem e oferecemos suporte a desenvolvedores que implementam aplicações na nuvem. Esses ambientes modernos têm milhares de configurações. Mesmo o desenvolvedor mais experiente não pode saber todas de cor. É muito fácil cometer erros. É por isso que você precisa de ferramentas automatizadas para descobrir esses riscos.

É difícil convencer os CEOs de empresas no Brasil a investir em cibersegurança e tecnologia. Como vê esse tipo de situação?

Em primeiro lugar, é minha primeira vez no Brasil, e obrigado por me receber nesta bela cidade que é São Paulo e neste lindo país. Não estou profundamente familiarizado com a situação no Brasil, mas o que você está descrevendo não é muito diferente do que acontece em todo o mundo. Leva tempo para educar o mercado. Conversei com muitas diretorias, CEOs e executivos. Eu os ensinei sobre os riscos, mas é sempre mais fácil após a experiência de sofrer uma violação. Não há melhor educação do que sofrer um incidente ou um incidente potencial. Você entende que precisa investir. Mas, às vezes, basta saber que alguém do seu setor sofreu um ataque. Isso o deixa mais ligado, como a velha piada: quando você e seu amigo fogem de um urso, você não precisa ser mais rápido do que o urso; você só precisa ser mais rápido do que o seu amigo.

O mesmo vale para a cibersegurança; você nem sempre precisa ser melhor que o invasor; você tem que ser melhor do que os outros na indústria. Já falamos sobre isso; eles encontrarão um caminho. Se eles baterem na sua porta e ela estiver fechada, por que tentar arrombá-la se eles podem ir para outra porta e entrar facilmente? Você tem que estar um passo à frente, e no mundo ocidental, na América do Norte e em alguns países europeus que sofrem com isso há mais tempo, as empresas já aprenderam. Então, os invasores estão indo em outra direção. Existem economias significativas como o Brasil. Bem, eles virão para cá. Mas tenho certeza de que depois de alguns anos e alguns incidentes que acontecerem aqui, as pessoas estarão mais familiarizadas. Eu não diria mais espertas porque todo mundo na área é inteligente, mas terão um entendimentos maior sobre o que está acontecendo e perceberão que é preciso investir em cibersegurança.

Existem empresas com centenas de sistemas e aplicativos de segurança. É impossível gerenciar tudo isso ao mesmo tempo.

Isso é algo que nós, em nossas análises, vimos acontecer. Quinze anos atrás, as organizações teriam 10 ou 15 produtos de segurança, o que seria muito. Hoje têm 50, 60, 100. Essa situação é muito familiar e as pessoas acham difícil administrá-la. Em primeiro lugar, o gerenciamento de fornecedores. Todos os anos, você tem uma negociação sobre os novos produtos. Se você é uma equipe de segurança com 100 produtos, deve ter uma equipe exclusiva que faça apenas o gerenciamento de fornecedores. É preciso ter experiência em 100 produtos diferentes. Mesmo que você tenha uma pessoa responsável por um produto, significa no mínimo uma equipe de 100 pessoas. Então, você tem que se certificar de que esses produtos são sinérgicos.

Essa foi uma das coisas que nos motivou a investir no que chamamos de Tenable One Platform, a Exposure Management Platform, porque a ideia dessa plataforma é reunir várias ferramentas. Oferecemos quatro, cinco ou seis produtos diferentes que você pode consolidar em uma plataforma. E também produtos de terceiros. Assim, podemos trazer informações sobre nossos produtos e os produtos de nossos parceiros, e é possível ver todas essas informações centralizadas em um só lugar, o que é excelente. Por exemplo, podemos dizer em quais máquinas você não tem um desses produtos implementados. Assim, você tem a implementação, para que possamos ajudá-lo a fazê-la melhor e de forma mais inteligente, normalizando o risco. Porque se você tem 150 produtos relatando o mesmo risco, um dizendo que ele é crítico e outro dizendo que não é, como saber qual é o correto? Como você sabe qual deve priorizar?

No Brasil, as empresas não estão preparadas para lidar com o sequestro de dados. Às vezes, as organizações pagam e não recebem de volta os dados sequestrados ou recebem apenas uma parte deles.

É uma situação muito interessante. Eu vi diferentes ações de invasores. Já vi sequestrarem seus dados e, quando você paga o resgate, eles devolvem. Além disso, informam como eles invadiram e o que você deve melhorar em seu ambiente. Por serem homens de negócios, eles precisam manter sua reputação. Quando vão atrás de outras vítimas, eles também querem ser pagos. É um negócio de proteção.

Quando eu estava no negócio de resposta a incidentes, vi CEOs que, nessas situações, disseram “ok, traga-me o melhor negociador que puder encontrar; vamos negociar o melhor acordo”. E alguns CEOs me disseram: "Não me importo quanto isso vai me custar; não vou dar um centavo a essas pessoas”. Pessoas diferentes lidam com essa situação de maneira diferente. A propósito, não estou aqui para julgar ninguém. Eu não sei o que é certo ou errado. Com base na decisão deles, estou aqui para apoiá-los da melhor maneira possível. Essa é a nossa filosofia; na Tenable, temos prazer em ajudar nossos clientes a fazer o que é certo para eles.

Você pode nos dizer quais são as ameaças mais comuns?

Hoje, o ransomware é muito, muito popular. É um negócio muito popular. A propósito, você sabe quando aconteceu o primeiro incidente de ransomware? Em 1984 nos EUA. Os dados foram criptografados e as pessoas que sofreram o ataque transferiram dinheiro para uma caixa postal no Panamá para obter a chave dos dados. A caixa postal foi fechada após duas semanas, o que significou o fim da operação. O que permitiu que o ransomware ficasse tão popular foi a criptomoeda, porque agora o dinheiro pode ser transferido sem deixar vestígios. O desenvolvimento da criptomoeda permitiu que o ransomware se tornasse uma operação escalável, e isso ocorre muito em todas as regiões e em todos os setores. Costumava ser um negócio muito lucrativo. Agora, com as vantagens da tecnologia de backup na nuvem, os fornecedores de serviços em nuvem utilizam essa ferramenta o tempo todo. Por isso, está se tornando mais desafiador para os invasores, mas eles ainda fazem isso em endpoints. Vão atrás de informações pessoais.

Você acha que o setor de segurança está sempre um passo atrás dos invasores?

Não, não acho que seja dessa maneira. O setor de cibersegurança é muito avançado e tem muitos recursos, mas voltando à sua questão anterior, também se trata de fatores humanos; nem todas as empresas estão trabalhando e adotando as melhores práticas. Elas podem comprar ferramentas adequadas, mas não sabem como usá-las.

Elas não as implementam corretamente e, dado o número de empresas e pessoas no mundo, os invasores sempre encontrarão alguém que não está fazendo o trabalho corretamente. No entanto, a indústria em geral tem muita capacidade e implementa suas defesas de acordo. Nem sempre podem evitar o risco, mas sim minimizar substancialmente os danos.

As empresas em todo o mundo e no Brasil estão prontas para lidar com essa ameaça?

Muitas empresas percorreram um longo caminho e estão fazendo muitas coisas certas. É uma questão de escala e tamanho. É um problema diferente. O invasor tem que estar certo uma vez. E quem se defende tem que estar certo o tempo todo. E é impossível estar sempre certo, então não é uma questão de saber se você pode proteger sua organização. É uma questão de motivação. Se você dificultar o suficiente os esforços do invasor, ele irá para outro lugar. Se alguém tem você na mira, e é apoiado por outro país ou organização que vai atrás de uma empresa específica, saberá encontrar o modo de invadir. Se tiverem motivação e determinação, eles entrarão. No entanto, para um invasor, segmentar empresas por setor é um grande benefício. Por que? As empresas de um setor específico tendem a comprar as mesmas tecnologias dos mesmos fornecedores de serviços. Então, por exemplo, a produção de café, popular aqui no Brasil. Digamos que existam 20 grandes empresas de produção de café no país, provavelmente todas usando sistemas ERP muito semelhantes. Elas têm os mesmos fornecedores e usam o mesmo site e as mesmas aplicações. Se um CIO mudar de empresa, é fácil levar a mesma tecnologia para o novo local de trabalho.

Em última análise, 80% das empresas usam a mesma tecnologia. Agora, se eu sou um invasor e quero atingir uma empresa de produção de café, após aprender sobre uma empresa, acabo conhecendo todas elas. Dez anos atrás, houve uma onda em que invasores patrocinados por outro país visaram as empresas farmacêuticas nos EUA porque estavam atrás de IPs farmacêuticos. Então atacaram uma por uma. Todas as empresas farmacêuticas. Visaram escritórios de advocacia. Também tinham como alvo fábricas automatizadas de automóveis. E os ataques vieram em ondas pela economia escalável dos invasores. Agora, se eu sou um fabricante de café no Brasil e sou melhor do que todos os outros no meu setor, por que o invasor viria atrás de mim? Eles iriam atrás do outro. Como na piada do urso. É a mesma história. Você não precisa ser perfeito, precisa ser melhor do que todos os outros, estar atento e lembrar que não existe algo como defesa perfeita. Você sempre tem que assumir a possibilidade de uma invasão, assumir que alguém pode estar dentro de sua organização. Você deve caçar as ameaças, estar pronto para respondê-las e não esquecer como se recuperar de uma ameaça interna.

O treinamento dos funcionários é uma forma de minimizar isso?

Sem dúvida. Treinamento para funcionários e equipes de segurança. É muito fácil treinar os funcionários para lidar com essas ameaças e não requer muito investimento.

As empresas brasileiras estão confusas sobre como usar a inteligência artificial na cibersegurança. Elas não sabem como fazer isso.

Acho que não é só no Brasil. Todo mundo está um pouco confuso porque há um hype em torno da inteligência artificial. Há muitas expectativas, mas não é uma panaceia. Não vai resolver todos os problemas de cibersegurança. Ela tem alguns recursos, mas tem muitos desafios – as alucinações da IA e assim por diante. Acho que a indústria ainda está tentando descobrir onde a IA pode ser usada de forma eficaz na cibersegurança. A IA e o aprendizado de máquina têm sido usados na cibersegurança há muitos anos. Agora vemos o surgimento da IA Generativa. É um tipo específico de IA e tecnologias de aprendizado de máquina. Acho que a indústria agora começa a entender onde pode ser melhor usada.

Por exemplo, ao fornecer recomendações de correção e outras coisas. É bom porque você deve gerar algo para o usuário aplicar. É um bom caso de uso, mas acho que levará um pouco mais de tempo. Creio que existem muitas áreas em que a IA generativa é benéfica para os bandidos. Você pode criar malware automaticamente; pode criar réplicas de outros usuários. Então, não vamos dar ideias a eles, mas vejo muitas maneiras de usar a IA generativa. Para os quem se defende, obviamente não é possível substituir um ser humano inteligente tomando as decisões de negócios corretas. Pelo menos agora, talvez daqui a alguns anos. Mas, por enquanto, infelizmente, ainda não chegamos lá.

Você acha que a IA é o caminho? Pessoas e empresas terão que usá-la?

Terão que usá-la, torná-la segura e utilizá-la de forma inteligente; pelo menos, é o que eu penso.