BitSight segue rota segura na EMEA

À margem do Luminate – o evento anual para utilizadores que decorreu em Lisboa, onde a BitSight possui a sede da EMEA, o fundador e CTO da empresa, Stephen Boyer revelou que o crescimento na EMEA está a seguir uma rota positiva alinhada com os desafios da segurança digital e com as intenções de investimento dos gestores. Sem ignorar as restrições orçamentais que obrigam à redefinição de prioridades de investimento, o responsável aponta a melhoria da visibilidade e identificação das vulnerabilidades e dos riscos cibernéticos, internamente e nas cadeias de abastecimento, como áreas prioritárias. As tecnologias emergentes, como a inteligência artificial, e a forma como esta pode “facilitar” os ataques ou melhorar as defesas foram também apontadas por Stephen Boyer, que continua motivado para fazer crescer o negócio da empresa em Portugal.

Como vê o atual cenário de segurança digital na região EMEA e de que forma a BitSight está a endereçar as necessidades específicas deste mercado?

Existem muitas oportunidades de investimento nesta área na EMEA, embora ventos económicos contrários e desafios geopolíticos ainda condicionem os orçamentos das organizações. Portanto, as empresas europeias precisam definir prioridades para compreender quais são os riscos mais importantes e determinar onde devem alocar seus recursos. Diria que o lado da oferta está a responder às necessidades e aos desafios específicos do mercado de segurança. Estamos a investir numa melhor compreensão e identificação das vulnerabilidades que existem nas organizações, bem como na identificação de ativos, que muitas vezes não eram conhecidos. Na BitSight, ajudamos os clientes a obter essa visibilidade, a conhecer o seu nível de exposição a ataques, traçando a sua evolução ao longo do tempo. Dessa forma, as organizações, especialmente aquelas que trabalham com parceiros e cadeias de abastecimento, conseguem garantir que suas operações sejam seguras e que os riscos sejam mitigados. Além disso, conseguimos proporcionar aos clientes a quantificação do risco cibernético, para que eles entendam quanto custaria um ataque de ransomware, por exemplo, qual é o investimento necessário para mitigá-lo e como esse investimento deve ser realizado.

Existem diferenças entre o mercado EMEA e outras regiões, relativamente à adesão da prática de segurança cibernética?

Penso que estamos a testemunhar uma adoção mais rápida de mecanismos de segurança cibernética, assim como uma maior quantificação do risco cibernético na Europa. Trata-se de uma nova realidade, uma vez que historicamente a Europa ficava aquém de outros mercados, como o americano, em termos de adoção de mecanismos de cibersegurança. A verdade é que o panorama regulamentar tem avançado de forma mais ativa na Europa do que anteriormente, impulsionando o desenvolvimento de novos contextos de cibersegurança nas empresas financeiras e não só.

(…) veremos muitos investimentos no sentido de se criar uma firewall para a IA, que proteja esse modelo de ser corrompido ou de perder informações.

Pode partilhar exemplos de setores ou regiões específicas na EMEA que sejam exemplos de estratégia de investimento em segurança digital?

A Bélgica é um país que tem investido muito nesta área e estabeleceu o objetivo de ser um dos países menos vulneráveis da Europa. Nós fornecemos-lhes a capacidade de medição e de visibilidade para perceberem se os investimentos que estão a fazer estão a produzir os resultados esperados. Tem sido muito interessante ver como a sua estratégia está a dar frutos, reduzindo as oportunidades de ataque e melhorando o desempenho do país.

De que forma a IA está a agitar a gestão de riscos de segurança?

Penso que ainda há muito a descobrir. Não tivemos dúvidas em aceitar a IA generativa, em deixá-la gerar conteúdo legível, que parece ter sido escrito por humanos, com base em muita informação extraída da Internet. Por isso, os atacantes estão a utilizá-la para gerar correio eletrónico e conteúdos, por vezes com voz e a imitar alguém, de modo a poderem tirar partido desse conteúdo. Podemos chamar-lhe um recurso de produtividade para os atacantes, uma forma de criarem mensagens em grande escala com um maior realismo, etc. Há também ferramentas baseadas na IA que estão a ser distribuídas para facilitar o acesso à informação e que podem ser exploradas em ataques a bases de dados, por exemplo. Por outro lado, temos as mesmas ferramentas disponíveis para os defensores e penso que veremos muitos investimentos no sentido de se criar uma firewall para a IA, que proteja esse modelo de ser corrompido ou de perder informações, etc. A IA está também a ser usada como “red teaming”, ou seja, como um método para “atacar” a estrutura de segurança das organizações, ajudando-as a identificar possíveis falhas nas suas estruturas que podem ser exploradas Por isso, muitas das lições que aprendemos em matéria de cibersegurança e noutras áreas serão provavelmente aplicáveis à IA. Até à data, ainda não vi um grande ataque com base em IA que tenha causado danos substanciais. Penso que é por isso que ainda falta muito para ver, mas está a avançar muito rapidamente.

As empresas em Portugal olham para a segurança como um todo ou ainda possuem estratégias departamentais ou segmentadas?

Temos em Portugal algumas organizações muito sofisticadas, que têm objetivos muito bem definidos em matéria de cibersegurança, que inclusive comunicam publicamente o seu desempenho nesta área nos seus relatórios anuais. Estas organizações investem massivamente e estão a adotar uma visão holística muito sofisticada sobre os riscos também ao nível da cadeia de abastecimento, o que é importante porque há um vasto grupo de empresas, mais pequenas, que não têm a mesma capacidade de investir das grandes e não definem a segurança como prioridade, mas que ao fazerem parte das cadeias de abastecimento das grandes podem representar portas de acesso para os atacantes explorarem vulnerabilidades e atacarem as grandes empresas. Recomenda-se por isso que estas procurem salvaguardar as suas cadeias de abastecimento. Por isso, estão a ser estudadas iniciativas para fornecer capacidades e créditos às empresas mais pequenas, para que possam investir e atingir os padrões mínimos de cibersegurança, afirmando-se como parceiros seguros e confiáveis.

Como estão a fazer crescer o negócio em Portugal? Que balanço fazem do último ano e quais as frentes de desenvolvimento de negócio mais promissoras neste mercado?

Contratámos muito aqui, cerca de 40 pessoas só no último ano. Mudei-me para cá e estou muito concentrado na região. Oferecemos novos produtos e capacidades, quer ao nível da gestão dos riscos, nomeadamente de IoT, quer da quantificação/valorização dos ataques, com uma abordagem que procura identificar e monitorizar o risco na cadeia de abastecimento, algo que as empresas europeias não estavam a fazer até agora, por estarem muito focadas no controlo das suas operações e da sua performance.  Mas esta realidade está a mudar em parte porque a regulamentação assim o exige e também porque os riscos associados à cadeia de abastecimento estão a crescer.

Qual o desempenho da rede de parceiros para a BitSight e quais os planos de crescimento deste ecossistema?

Investimos muito no canal e uma grande parte do nosso negócio passa por parceiros. Eles têm as relações comerciais e nós investimos em marketing e no seu desenvolvimento, certificando-nos de que são formados e que estão a par dos desenvolvimentos e investimentos que fazemos em conjunto. Pensamos que uma parceria forte é realmente boa para o negócio. Por isso, queremos continuar a construir relações fortes e profundas com os parceiros, que sejam mutuamente benéficas.

---