A IA e o Futuro da Cibersegurança Empresarial

No ano de 2024, o impacto financeiro causado por violações de dados alcançou um recorde, com um custo médio global de 4,88 milhões de dólares. Até 2028, estima-se que o custo do cibercrime alcance aproximadamente 13,8 bilhões de dólares para as empresas. Na Europa, prevê-se que o impacto direto das ciberameaças aumente em 64% até 2029.

Diante desse cenário de intensificação das perdas provocadas pelo cibercrime, a Inteligência Artificial (IA) emerge como uma das principais ameaças e desafios, possibilitando ataques mais sofisticados e difíceis de detectar, especialmente os de engenharia social, como deepfakes extremamente realistas. Além disso, a IA facilita a geração em larga escala de ataques de phishing e possui uma rápida adaptação, tornando a resposta e a mitigação um grande desafio para as empresas. Entre 2023 e 2024, o uso de IA generativa em ciberataques cresceu 600%, evidenciando a crescente sofisticação e escala dessas ameaças.

Esses números refletem apenas uma fração da gravidade e complexidade do problema, mas são suficientes para evidenciar um panorama alarmante que demanda uma análise cuidadosa dos fatores subjacentes. Um desses fatores é a evolução dos ataques de ransomware, que se tornam cada vez mais sofisticados e desafiadores, juntamente com a crescente digitalização das operações empresariais.

A adoção da computação em nuvem (cloud), o crescimento do trabalho remoto e a proliferação de dispositivos IoT (Internet of Things) ampliam a superfície de ataque. Simultaneamente, o setor continua a enfrentar a escassez de profissionais qualificados, sempre acompanhada pelo aumento salarial e pelos custos operacionais. A IA integra naturalmente este cenário, oferecendo métodos inovadores para perpetrar ataques.

Em Portugal, a preparação e capacidade de resposta das empresas em relação a incidentes de cibersegurança ainda estão aquém do ideal, especialmente entre as pequenas e médias empresas (PMEs), que representam 99,9% do tecido empresarial. Essas empresas estão entre os principais alvos de ciberataques (diferente da percepção que muitas delas têm) e frequentemente não possuem proteção adequada, enfrentando barreiras significativas, como recursos financeiros limitados e falta de know-how especializado.

A cibersegurança é frequentemente posta em segundo plano em favor do enfoque no core business. As poucas exceções são grandes empresas, especialmente as que operam em setores regulados ou públicos, que devem ter estruturas dedicadas, como CISOs (Chief Information Security Officers) e responsáveis de riscos.

Para a maioria das empresas, o caminho a seguir exige um reforço das medidas mais básicas: capacitação interna, backups regulares, implementação de firewalls, utilização de gerenciadores de senhas, atualizações constantes de software e a criação de planos de resposta bem definidos e testados para incidentes.

A resposta da UE às novas ameaças

O novo marco legal europeu, especialmente a diretiva NIS2, promete um alinhamento mais rigoroso das empresas com as melhores práticas de cibersegurança. Em Portugal, o Governo já aprovou, em Conselho de Ministros, o decreto-lei que implementa esta diretiva, finalizando o processo legislativo que estava pendente desde o início do ano. A legislação estabelece a exigência de medidas de prevenção, resposta e recuperação para empresas de todos os tamanhos e setores, além de padrões mais elevados para a segurança dos sistemas e dados empresariais.

No âmbito das políticas públicas e da colaboração internacional, iniciativas como a diretiva NIS2 e o Cyber Resilience Act (CRA) estabelecerão um novo nível de exigência no domínio da cibersegurança. Ao atribuir a responsabilidade aos conselhos de administração e ao impor frameworks mais robustas em todos os setores, espera-se finalmente criar um ambiente onde a cibersegurança será indispensável e inegociável. Essa exigência se torna ainda mais crucial diante do avanço da IA, que acentua o nível das ameaças e exige a implementação de estratégias de defesa ágeis e eficazes.

É importante ressaltar que o custo real de um ciberataque ultrapassa amplamente as questões relacionadas ao resgate financeiro de ataques de ransomware. Casos como o ataque à AMA (Agência para a Modernização Administrativa), que teve a recuperação dos sistemas estendida por mais de um mês, evidenciam o verdadeiro alcance dos custos envolvidos: resposta técnica, recursos humanos, software, multas regulatórias, despesas legais e perda de produtividade.

Adiciona-se a isso o impacto sobre a credibilidade das organizações, resultante da exposição de dados sensíveis dos cidadãos por entidades cuja missão é protegê-los. O tempo de inatividade é um dos fatores mais onerosos, afetando diretamente as receitas. Outros aspectos, como danos à reputação e perda de confiança dos clientes, podem ser igualmente devastadores para o futuro do negócio.

Além das soluções técnicas, a cultura organizacional desempenha um papel crucial na cibersegurança. A maior ameaça para as empresas continua a ser a insider threat: a maioria dos ataques tem início na exploração inadvertida de um colaborador que, muitas vezes sem saber, facilita o acesso dos hackers aos sistemas corporativos. Portanto, a responsabilidade não deve ser restrita apenas aos departamentos de TI; ela deve ser abrangente, englobando toda a organização, começando pela alta gestão. A responsabilização legal direta dos diretores executivos, introduzida pela NIS2, é um elemento que promove esse compromisso, tornando a cibersegurança uma prioridade estratégica inegociável.

Em suma, a cibersegurança não é apenas uma questão de tecnologia; é um desafio de liderança, cultura e colaboração coletiva. O futuro pertencerá às organizações que compreenderem essa exigência e que se tornem genuinamente ciber-resilientes. Agora que o decreto-lei que implementa a NIS2 foi aprovado em nosso país, o enfoque deve estar na aplicação prática e na supervisão efetiva das novas regras, assegurando que as empresas tenham os recursos, prazos e orientações necessárias para cumprir o novo regime. Esse será um passo fundamental para garantir que as novas exigências se traduzam em ações concretas.