Na EDP, a questão coloca-se também em termos operacionais. A adopção destas ferramentas traz desafios relacionados com «a qualidade e integração dos dados, a gestão de falsos positivos, a explicabilidade das decisões e a integração com infraestruturas legadas e ambientes OT». A empresa acrescenta ainda os riscos dos próprios sistemas de IA, a falta de competências especializadas e a dependência de fornecedores externos. E deixa uma pergunta que poderá tornar-se cada vez mais relevante: «até que ponto a IA pode actuar autonomamente», sem colocar em causa «governação, supervisão humana, rastreabilidade e mecanismos de controlo que evitem impactos operacionais significativos».
David Silva acrescenta outro paradoxo. «A IA produz enormes quantidades de ruído. Dar a uma empresa mais uma ferramenta de segurança de IA que produz milhares de alertas não a torna necessariamente mais segura. As equipas de segurança já têm dificuldades de priorização. Se a IA aumentar o volume sem melhorar a validação, podemos simplesmente criar mais um problema de fadiga de alertas».
A Europa está preparada?
Está a Europa devidamente preparada para esta batalha? Se a IA está a encurtar o ciclo dos ataques, a questão passa a ser se empresas, governos e reguladores conseguem encurtar também o ciclo da defesa. E, entre os especialistas ouvidos, há uma distinção recorrente: uma coisa é a Europa ter construído regras para responder ao risco e outra é essas regras se traduzirem em capacidade real para resistir a um ataque. «A Europa está à frente no papel e atrás na prática», comentou à businessIT Viktor Bulanek, fundador da Penetrify. NIS2, DORA e AI Act contribuíram, na sua opinião, para elevar o nível de exigência. O problema é o ritmo. «A conformidade é uma fotografia e os ataques com IA são um fluxo».
Viktor Bulanek aponta para uma contradição que considera particularmente perigosa. A empresa europeia típica continua a demonstrar a segurança através de uma auditoria, um teste de penetração, um relatório ou uma certificação realizados periodicamente, enquanto altera software com muito maior frequência e enfrenta atacantes capazes de voltar a testar os sistemas continuamente e a um custo reduzido. «O intervalo entre a frequência com que mudamos e a frequência com que alguém verifica essas mudanças é, na minha opinião, o número mais perigoso da cibersegurança europeia, e quase ninguém o mede», afirma. Por isso, a pergunta sobre a preparação europeia não deveria ser apenas se existem regras suficientes, mas «se a verificação consegue avançar à mesma velocidade que a ameaça. E hoje não consegue, especialmente nas PME que constituem a maior parte da economia europeia e que não conseguem suportar os custos de uma equipa humana de red team».
