Apesar de considerar os ciberataques um dos seus principais riscos, muitas empresas ainda não modernizaram a sua segurança por inércia, falta de orientação e dificuldade em demonstrar o valor preventivo desses investimentos. Perante modelos de IA capazes de explorar vulnerabilidades, os especialistas da BCG concluem que a cibersegurança deve ser abordada com urgência pela alta direção e não delegada apenas aos responsáveis tecnológicos ou tratada como uma questão estritamente técnica.
A estratégia de cibersegurança na era da IA requer uma coordenação em toda a empresa, tanto de cima para baixo como de baixo para cima. Da mesma forma que os CEOs tomaram a iniciativa em matéria de inovação em IA, devem assumir a sua posição diretiva com uma comunicação precisa e uma delegação clara de competências. Esta decisão pode marcar a diferença entre uma organização segura e outra insegura.
Medidas para proteger a organização
O relatório da BCG destaca que os conselheiros delegados não precisam ser especialistas em cibersegurança, mas sim entender que a IA aumenta tanto o risco como a potência dos ataques. De fato, uma pesquisa da consultora evidenciou que 35% das organizações sofreram um impacto significativo por ataques baseados em IA nos últimos doze meses, com 3 lacunas importantes e 25 incidentes de dados sensíveis em média.
Como os ataques são inevitáveis, a prioridade é a resiliência, não apenas a prevenção. Nesse sentido, está nas mãos do CEO a possibilidade de impulsionar cinco medidas básicas:
1. Proteger as joias da coroa: Isto inclui não repartir o orçamento por igual e identificar os ativos cuja perda seria crítica para as empresas (IP, dados sensíveis, credenciais, sistemas operativos). Na prática, isso significaria agrupar as suas equipas de negócios, de TI e de segurança para elaborar um mapa desses ativos e uma explicação de porque cada um deles é vital para a organização. Também deveria existir uma declaração de riscos aprovada pelo Conselho de Administração.
2. Assumir que a prevenção falhará: A ideia é passar de um protocolo de "evitar o ataque" para "contenção rápida". Para isso, é necessário planear o que acontece quando falha através de um manual de atuação para situações de crise dirigido aos diretores.
3. Gerir os riscos do ecossistema de IA: A IA aumenta muito a dependência de terceiros como hiperescaladores, fornecedores de modelos, copilots SaaS, ferramentas e plugins. Assim, o CEO deve evitar que a empresa dependa excessivamente de um único fornecedor ou modelo, assim como controla o risco de concentração financeira.
4. Segurança da IA desde o design: Neste ponto, o relatório da BCG recomenda mudar a mentalidade da empresa promovendo a filosofia “security by design”, ou seja, que segurança e desenvolvimento trabalhem juntos desde o primeiro dia, e não que se torne uma espécie de remendo posterior.
5. Criar uma equipe multifuncional com poder para reagir rapidamente: Coordenação clara de papéis e responsabilidades em momentos críticos, com capacidade real de decisão, para o qual será necessário ativar protocolos de vigilância constante e focar no essencial, sempre sob a suposição de que a lacuna de segurança ocorrerá em algum momento.