A VisionWare continua a encontrar dificuldades na «total visibilidade sobre os seus activos, gestão de identidades e privilégios, actualização de sistemas, monitorização contínua ou capacidade de resposta». A dependência de fornecedores e terceiros acrescenta potenciais portas de entrada sobre as quais as empresas têm menos controlo. «Hoje, não diria que as empresas portuguesas estão necessariamente mal equipadas. O problema é que, em muitos casos, têm mais ferramentas do que capacidade operacional para tirar partido delas», afirma Bruno Castro. David Silva rejeita igualmente essa solução: «A resposta não pode ser simplesmente comprar mais IA». Para o fundador da CyberX, Portugal tem bons profissionais de cibersegurança e um ecossistema tecnológico em crescimento, mas enfrenta a mesma assimetria que o resto da Europa. «Os atacantes estão a adoptar estas capacidades extremamente depressa, enquanto as grandes organizações e os governos, naturalmente, se movem mais devagar». A solução passa também pela tecnologia, mas não termina nela. «Precisamos de utilizar IA do lado da defesa, mas combiná-la com pessoas que compreendam segurança ofensiva, threat intelligence e a forma como os verdadeiros atacantes operam».
Cumprir não significa resistir
É precisamente na distância entre cumprir requisitos e conseguir travar um ataque que David Silva identifica uma das principais fragilidades europeias. «A Europa fez progressos significativos através de regulamentação como a NIS2 e o AI Act. As organizações estão a ser obrigadas a pensar mais seriamente em cibersegurança, risco da cadeia de fornecimento, gestão de vulnerabilidades e segurança dos sistemas de IA. Mas compliance e resiliência não são a mesma coisa». Uma organização pode ter firewall, EDR, SIEM, SOC, políticas de segurança e toda a documentação necessária, mas «isso não prova necessariamente que esses controlos vão travar um atacante».
A diferença é particularmente evidente para quem tenta entrar nos sistemas com autorização para descobrir onde estes falham. «As empresas podem gastar quantias significativas em tecnologia defensiva, mas comparativamente pouco em atacar efectivamente a sua própria infraestrutura para verificar se esses investimentos funcionam». Para David Silva, a Europa «tornou-se muito melhor a dizer às organizações aquilo que precisam de proteger». O passo seguinte será «levar igualmente a sério a demonstração de que essas protecções realmente funcionam».
Isso significa tornar testes de penetração, red teaming, simulações de phishing e exercícios de cibersegurança parte da operação normal, em vez de actividades realizadas sobretudo antes de uma auditoria ou uma vez por ano. «A IA torna isso ainda mais importante porque o ciclo de ataque está a ficar mais curto».
