Susanne Senoff 01:00:00.000
Você realmente precisa começar a pensar em uma empresa mínima viável. E é assim que começamos a fazer. Resiliência significa definir quais processos de negócios precisam ser implementados, quais sistemas os suportam e quais dados precisam estar disponíveis. E é assim que você começa a analisar a produção.
Roy Akerman 01:00:12.240
Suzanne Sarnoff é a Diretora de Estratégia (CSO) da Kona e consultora de CSO da Pros.
Rob Ainscough 01:00:17.040
Suzanne traz consigo experiência em primeira mão sobre o que acontece quando um agente testa a resistência dos nossos sistemas de segurança tradicionais.
Susanne Senoff 01:00:23.400
O futuro é a IA. Temos que partir do princípio de que o agente de IA tentará acessar isso. Da mesma forma que analisamos os agentes de ameaças, a diferença é que o agente será mais rápido.
Roy Akerman 01:00:33.560
Analisamos uma das maiores questões da atualidade: como as empresas podem garantir a segurança de seus agentes de IA.
Susanne Senoff 01:00:40.320
É preciso ter engenheiros de segurança de identidade. É preciso ser você quem define os padrões, validando se o IAM está realmente funcionando. Portanto, se você não está fazendo isso, faça agora.
Roy Akerman 01:00:50.480
A identidade não é apenas um problema operacional, é também um problema de segurança. E a maioria das equipes está percebendo isso em tempo real.
Rob Ainscough 01:00:57.240
Este é o Identity Decoded, o podcast onde desvendamos o significado de segurança de identidade. Compartilhamos conversas francas sobre as pessoas. Construindo, corrigindo e repensando a segurança de identidade por dentro.
Roy Akerman 01:01:09.260
Meu nome é Roy Ackerman.
Rob Ainscough 01:01:10.700
E eu sou Rob Ainscough.
Roy Akerman 01:01:11.980
Vamos mergulhar.
Rob Ainscough 01:01:13.060
Vamos fazer isso.
Roy Akerman 01:01:19.620
Existe a ideia de que precisamos entender o que está acontecendo na rede, mas com a natureza dos agentes de IA executando, sei lá, 70% do tráfego hoje em dia, 50% do tráfego, é realmente muito difícil entender o que é humano e o que não é. E outro dia, você me contou uma ótima história sobre uma experiência que teve. Ficaria feliz se você pudesse compartilhá-la com o nosso público.
Susanne Senoff 01:01:40.220
Ah, com certeza. Acho que todos nós que trabalhamos em empresas com forte presença de IA, formulamos nossa estratégia de segurança principalmente com base nisso. Hum. Então, é isso que o agente vai fazer. Lá no começo, quando os agentes surgiram, estávamos todos empolgados. Pensamos: "Isso vai revolucionar tudo". E achávamos que estávamos fazendo um ótimo trabalho de inventário, garantindo que tínhamos os produtos certos. Aí, um dia, minha equipe de segurança recebeu um alerta do nosso provedor de segurança na nuvem dizendo: "Olha, um script de proxy reverso foi executado e houve um despejo de memória em um dos nossos bancos de dados mais importantes, bem no início". E nós ficamos tipo: "Putz!". Mas, felizmente, tínhamos recebido o alerta. Certo? E, por sorte, um dos engenheiros com quem estávamos trabalhando durante a triagem do incidente disse: "Esses scripts realmente pareciam algo que um agente de IA escreveria". Então, conseguimos rastrear a origem do problema até o laptop da administradora do banco de dados. Ela disse: "Ah, sim, eu estava apenas fazendo uma verificação de integridade". O que aconteceu foi que o agente falhou na verificação de integridade e exibiu a mensagem: "Não quero falhar na verificação de integridade". E então começou a se comportar como um agente malicioso.
Rob Ainscough 01:02:53.360
E isso era como um uso totalmente autorizado de um produto de IA que você utiliza. Então, tudo legítimo? Sim, mas a atividade? Nem tanto.
Roy Akerman 01:03:01.470
Muito. Então, Suzanne, você sabe, a identidade é o novo perímetro. Estamos vendo isso em todos os lugares, não é? E às vezes eles sentem que isso está nos atrasando, como se estivéssemos cometendo os mesmos erros que cometemos com a segurança de rede.
Susanne Senoff 01:03:12.230
Acho o conceito de identidade como o novo perímetro simplesmente absurdo. É como se alguma empresa de identidade, sabe, o departamento de marketing tivesse pensado: "Ei, se lançarmos isso, as pessoas vão comprar e aí podemos vender mais coisas". Quando comecei na área de segurança, tudo girava em torno do fosso. E você precisa proteger o fosso com segurança de rede. E eu sinto que existe essa intenção de que, se acertarmos nossas identidades, teremos um novo fosso. E acho isso realmente prejudicial.
Roy Akerman 01:03:36.510
Então você praticamente detesta essa ideia, né? Ah, sim. E esse clichê, Rob, a gente conversou bastante sobre isso antes do programa. Tipo, o que você acha disso?
Rob Ainscough 01:03:45.070
Discordo um pouco. Interpreto a declaração de uma forma ligeiramente diferente. Certo, é uma declaração de marketing. Esse é o primeiro e mais importante ponto a ser dito. É apenas uma declaração de marketing. Mas acho que, na minha interpretação, ela está dizendo que estamos voltando à identidade como a linha de frente, o fator mais importante para garantir a segurança dos nossos negócios. Não a interpreto como uma declaração sobre castelo e fosso. Acho que o perímetro está em todo lugar e se expressa através da identidade. E quando converso com empresas por toda a Europa e lugares assim sobre identidade, muitas delas estão operando de forma muito, muito aberta, certo? Há uma grande chance de as pessoas transitarem por essas superfícies com a identidade. E, na verdade, acho que para algumas delas, mesmo que invistam em um pequeno fosso pensando que isso será melhor do que a situação atual, não é a solução definitiva, mas certamente é um começo.
Susanne Senoff 01:04:31.370
E você realmente precisa começar a pensar em termos de uma empresa mínima viável. E é assim que começamos a fazer. Resiliência significa: quais são os processos de negócios que precisam ser implementados, os sistemas que os suportam, os dados que precisam estar disponíveis? E é assim que você começa a analisar a produção.
Roy Akerman 01:04:44.210
Quando penso na perspectiva de segurança, percebo que somos condicionados a executar mecanismos de detecção assim que algo dá errado. E nesse momento, não conseguimos realmente entender ou definir o que é esse algo. Qual é a identidade que estamos tentando proteger? Qual é o agente? É um agente estável? Como criamos uma estrutura para isso? Obter visibilidade, descobrir, registrar, detectar, responder, remediar, recuperar. E temos esse ciclo de feedback acontecendo.
Susanne Senoff 01:05:11.150
Você trabalha para a Nest.
Roy Akerman 01:05:13.630
Ah, eu entendo e aprecio a estrutura. No entanto, acho que estamos em um mundo diferente agora. É como se tudo estivesse entrando em colapso, de modo que precisaremos fazer tudo em conjunto. E onde isso se encaixa com a autenticação? Onde isso se encaixa com as práticas de IAM?
Rob Ainscough 01:05:28.430
Acho muito interessante voltar à ideia do negócio mínimo viável, ou da empresa mínima viável. O que observo nas empresas quando converso sobre identidade é que, muitas vezes, há um foco no nível zero, certo? Elas investem muito esforço nos níveis, ótimo. Parabéns, é importante. Mas e a parte onde o seu negócio funciona? Porque se você acabar sem os aplicativos da sua empresa, mas com o nível zero, será que sua empresa realmente quer pagar por isso? Acho que essa priorização é muito comum em identidade e resulta da dúvida: "Eu realmente entendo o que é importante para o meu negócio?".
Susanne Senoff 01:06:04.450
Bem, eu também acho que você está levantando algo muito importante, que é esse foco isolado em certas coisas. E nós também pensamos nisso do ponto de vista da identidade. Certo. É como se disséssemos: nos importamos mais com usuários, não humanos ou agentes? E quais humanos e quais agentes? E assim por diante. Mas você precisa descobrir a conexão, como tudo isso se interliga. E acho que às vezes isso pode passar despercebido.
Roy Akerman 01:06:26.690
Estamos falando de um mundo sem perímetro definido, de certa forma. Desculpe, Rob, mas a segunda questão é que privilégios básicos podem ser usados para fins maliciosos ou supostamente maliciosos. Como você cria uma estrutura em torno desses agentes que realmente impeça sua adoção? Quero dizer, provavelmente existem milhões deles na sua organização e na nossa também. Nem consigo imaginar.
Susanne Senoff 01:06:46.050
Eu não acho que devamos impedir a adoção da IA. O futuro é a IA. Precisamos saber o que estamos tentando proteger e implementar medidas de segurança adequadas. Precisamos partir do princípio de que o agente de IA tentará acessar essas informações da mesma forma que analisamos os agentes de ameaças, só que o agente será mais rápido. E, sabe, talvez não consigamos prever as ameaças da mesma forma que costumávamos prever um agente de ameaça. Então, novamente, isso é divertido. É um problema interessante de resolver. Bem, eu tenho uma filha de 15 anos e penso nos agentes como se fossem minha filha. Sabe, eu pessoalmente acho que fiz um trabalho incrível. Meu marido e eu criamos esse ser humano incrível. Ela recebeu todas as instruções corretas. Passou por todo o treinamento adequado. Tem a estrutura certa e tudo está ótimo. Ela tem 15 anos agora. Está indo para o mundo. Sabe, daqui a uns dois meses ela vai ter carteira de motorista, né? Aí ela já tem uma identidade. Ótimo. Certo. Mas o que me preocupa agora é: quais são os mecanismos de controle que vão conseguir ver onde ela está? E, aliás, eu tenho um rastreador nela que faz parte disso.
Roy Akerman 01:07:50.790
Ela sabe.
Susanne Senoff 01:07:53.390
Do ponto de vista dela. Mas, sabe, tem coisas como, por exemplo, nos Estados Unidos, você precisa ter 21 anos para entrar em um bar. Então, tenho quase certeza de que ela não pode entrar em um bar, sabe? As carteiras de motorista têm recursos incríveis. Sabe, é muito difícil falsificá-las. E também sabemos que existem controles comportamentais. Sabe, se ela começar a ziguezaguear no trânsito da rodovia, algumas câmeras vão flagrá-la e alguns policiais vão pará-la, sabe? Então, quando estamos projetando a segurança na organização, sabe, precisamos pensar nisso como uma adolescente de 15 anos que vai fazer o que quiser.
Roy Akerman 01:08:25.140
Uma adolescente de 15 anos com comportamento imprevisível. Ou algo assim. Sim, eu entendo. Para mim, é muito difícil lidar com o fato de que ela tem privilégios para dirigir um carro, certo? Ela tem privilégios para gastar dinheiro com coisas. Certo? Há áreas em que esses privilégios podem levar a erros. Se estivermos falando de um agente agora, como este: verificação de integridade ou proxy reverso que manterá uma capacidade de rede consistente para o agente ou conectividade. A mesma estrutura de privilégios ainda se aplica. Você ainda consegue descrever o mundo com uma lista prescritiva, sei lá, do que você pode fazer aqui, o que você pode fazer ali? Temos a linguagem para realmente colocar os controles em ação nos lugares certos?
Susanne Senoff 01:09:07.400
Sabe, antigamente a identidade era muito bidimensional e plana. E então, eu vi a migração para identidades de IA não humanas. Certo. E isso simplesmente não é suficiente. Certo. Porque agora a identidade está se expandindo para além dessa bidimensionalidade, abrangendo também intenção e comportamento tridimensionais. Então você não pode escolher apenas uma, você precisa considerar a combinação de ambas.
Roy Akerman 01:09:30.040
E se estamos intensificando a análise comportamental, o que você gostaria de saber para poder controlar, com base nesse sensor, o que está sendo feito? Não se trata apenas de associar a uma intenção maliciosa. É como se perguntássemos: como podemos ver isso? É interessante. Parece-me que essa área nos dá a oportunidade de revisitar a forma como a segurança evolui a cada momento. Primeiro, detectamos todas as coisas ruins; depois, tentamos construir mecanismos para prevenir algumas delas, antes mesmo que algo aconteça, nos primeiros passos do atacante. Mas, então, permanecemos com um equilíbrio peculiar entre controles que não estamos operando no momento certo, de modo que precisamos detectar e gerar um alerta que poderíamos ter evitado.
Rob Ainscough 01:10:14.220
Acho que o interessante aqui é que algumas das alavancas nas quais talvez tenhamos confiado no passado, seja em termos de detecção e resposta ou de correção de vulnerabilidades, estão perdendo espaço, e a oportunidade de usá-las como controles primários para isso é muito restrita e provavelmente se erode com o tempo. Então, voltamos à identidade como um pilar fundamental e nos perguntamos: o que precisamos fazer de diferente? É ótimo dizer que a intenção é o ponto crucial, certo? Mas o que isso realmente significa? O que faremos de diferente? O que isso significa para nós? E acho que esse é um desafio realmente difícil de resolver. É uma maneira completamente nova de pensar sobre o problema. Não se trata de governança ou de preencher um formulário, certo? Ou obter uma aprovação é rápido demais para isso. Então, o que faremos de diferente? Essa é a minha principal pergunta.
Roy Akerman 01:11:04.880
Se naquele dia você estivesse sentado na sala do SOC e visse em tempo real um alerta vindo do proxy reverso do fornecedor de nuvem, o que faria você decidir permitir ou bloquear a entrada?
Susanne Senoff 01:11:21.040
A questão é a seguinte: depende. Certo. E é isso que eu acho que está mudando. Há muito tempo sabemos que, se o seu SoC não estiver integrado ao seu negócio, se você não tiver o contexto imediatamente disponível, não temos mais tempo para ligar para um engenheiro, abrir um chamado e perguntar: "Ei, isso está certo? Isso está afetando vocês?". Precisamos de visões quase predefinidas sobre se isso é malicioso ou não. Então, como no exemplo que dei, nós o desligamos. Parecia uma ameaça. Nós o desligamos.
Roy Akerman 01:11:50.600
E antes de compreender.
Susanne Senoff 01:11:51.880
Antes de entendermos, porque parecia um agente malicioso. E preciso dizer, o pessoal do produto, os executivos, acharam ótimo, uma ideia perfeita.
Rob Ainscough 01:12:00.420
E acho que isso provavelmente gera essa mentalidade de que talvez a segurança estivesse relutante em interferir nos negócios, certo? E tomar decisões difíceis e dizer: "Não vou deixar isso acontecer, certo?". Porque estamos tentando fazer o negócio funcionar corretamente. Não queremos atrapalhar. Mas acho que, com os riscos de uma perspectiva autêntica, talvez possamos ser um pouco mais proativos e dizer: "Aqui está o que toleraremos e aqui está o que não toleraremos para as coisas com as quais realmente nos importamos". Então, talvez seja uma nova era em termos da assertividade do que somos capazes de fazer e dos limites que impomos ao negócio, dizendo: "Vejam, isso é algo novo, certo? Isso é algo novo".
Roy Akerman 01:12:37.380
Acredito que, no fim das contas, precisaremos de um mecanismo que permita esse tipo de ocorrência de novos eventos e comportamentos, em vez de bloqueá-los por padrão. Se identificarmos algo que possa ser usado por um hacker, a intenção é um ponto interessante, talvez um conceito que esteja em voga no momento. É a nova palavra da moda: intenção, firewall, intenção, proteção e tudo mais. Mas se entendermos que a intenção é uma verificação de integridade, e que esse agente é operado a partir de um laptop de propriedade de um humano, um humano de confiança que você verificou cuidadosamente, o gatilho para o bloqueio seria um pouco diferente, ou o comportamento seria o mesmo? Essa é a grande questão: talvez permitir que os agentes tomem essas decisões por nós, aprimorando essa camada de incerteza que temos, como quem fez o quê e por quê, e me dizendo agora qual é o contexto naquele exato segundo, ou fração de segundo, antes de eu permitir ou não a passagem do tráfego?
Susanne Senoff 01:13:34.290
Sim. E isso demonstra a visão inovadora dos provedores de segurança em nuvem. É isso que eles estão fazendo. Eles estão incorporando esse contexto imediatamente e percebendo que não podem simplesmente fornecer a descoberta de um problema. Eu queria voltar a algo que vocês mencionaram sobre velocidade. A Cloud Security Alliance publicou recentemente um artigo em resposta aos ataques Mythos e Glassing, que continha um gráfico que me deixou impressionado. Enviei para toda a minha equipe. Nele, constava que, em 2018, o tempo entre a descoberta e a exploração de vulnerabilidades era de cerca de 50 ou 60 dias. E em 2026, seria de 20 horas. Um crescimento exponencial. E acredito que, com a IA, esse tempo será reduzido para minutos.
Roy Akerman 01:14:19.150
O que isso significa para nós, pessoas? Quero dizer, precisamos nos preparar. Precisamos fazer parte da história. Mas o que nosso público pode fazer de diferente quando se trata de, sei lá, segunda-feira de manhã, certo? Preciso apresentar uma nova iniciativa que converse com meu CISO e com a equipe. Como podemos participar disso? Quer dizer, para mim, continuo pensando nos privilégios, coisas que você não pode dizer. Sim, tem privilégio para fazer isso. Então, tudo bem. Ok. Porque você não sabe quem é. E você sabe, você não sabe quais são os privilégios. Veja bem, assim como o efeito, ou parte do efeito, você não sabe aonde isso leva. Então você precisa construir uma nova estrutura para proteger isso. Portanto, o IAM deve estar mais focado no lado comportamental, mais no lado em tempo real da tomada de decisões e menos no lado administrativo. Então não é mais "sim, vou configurar o controle e vou rezar para que funcione". Certo? É outra coisa. Ah, e Cecil deveria convidar o IAM para essa festa também. Certo. E você deveria sentar lá. É tipo... Hum. Tipo, você deixou essa coisa fazer isso? Ah, o que isso significa? Para onde isso pode ir?
Rob Ainscough 01:15:23.810
É isso que, em última análise, importa para as empresas, certo? E voltando ao tema, falamos sobre o que é importante para o negócio e o que estou fazendo para proteger isso. E acho que essa é a diferença. E isso faz sentido para mim. Pode não fazer sentido para mais ninguém, mas é uma diferença entre proteger identidades para proteger coisas versus proteger coisas por meio da identidade. Certo. E essa é uma diferença bastante grande quando você pensa a respeito. Certo. O que é realmente importante e como vou usar essa alavanca da identidade, sabe, comportamento, intenção, contexto, para tomar decisões sobre o que é apropriado em termos de risco e o que não é?
Roy Akerman 01:15:57.890
Então, para responder à pergunta: o que você espera que a nova geração de profissionais de IAM seja mais capaz de fazer?
Susanne Senoff 01:16:04.310
Lembra que falamos sobre velocidade, certo? Os humanos têm limitações na velocidade com que conseguem processar as coisas. Então, você também mencionou agentes de IA protegendo outros agentes de IA, certo? Não me lembro onde ouvi isso, mas a teoria é que, pelos próximos dois anos, os infratores, sabe, esse mito realmente se concretiza, terão a vantagem. E não sei quem inventou esses dois anos ou de onde surgiu essa ideia. Mas, sabe, depois de dois anos, por algum motivo, acontece como num passe de mágica. Os defensores assumem o controle. E eu acredito que os defensores vão assumir o controle. Haverá um mundo onde nossos agentes de IA se moverão nessa velocidade e nos darão informações que podem estar bloqueando, mas pode levar uma fração de segundo para que eles entendam o contexto.
Roy Akerman 01:16:49.830
Então, você precisa construir uma unidade IAM que tenha, sei lá, 50% de agentes de IA operando para verificar cada transação a cada milissegundo antes de confiar nela. E aposto que precisaremos de novos controles diferentes que possam ser implementados em tempo real. Mas o que você ouve desses novos fornecedores? Quem são eles? Como eles enxergam esse cenário?
Susanne Senoff 01:17:11.250
Acho que os fornecedores ainda não se adaptaram. Há um sentimento geral de que precisamos resolver isso. O que é uma vantagem competitiva sustentável? Em alguns casos, ouvi dizer que não se trata mais da tecnologia, mas sim da execução, do marketing e de estar à frente do mercado. Essa é uma teoria. Outra teoria é que vai acabar como quando o SaaS surgiu. Lembro que, anos atrás, era aquela coisa de "por que comprar alguma coisa? Podemos construir nós mesmos, certo?". E as pessoas não fizeram isso porque não tinham desenvolvedores em suas equipes. Elas tinham operadores, defensores e analistas de risco. Então, ainda não sei. Acho que estamos descobrindo isso agora.
Roy Akerman 01:17:49.330
E digamos que amanhã você retorne ao mundo do IAM e precise reconstruir uma unidade, ou melhor, revitalizar uma equipe de operadores e líderes de IAM. O que você faria de diferente para lidar com agentes supostamente inadequados? Para enfrentar esses desafios e ser mais flexível?
Rob Ainscough 01:18:11.790
Ótima pergunta. É uma pergunta complexa, Roy. Uma pergunta realmente complexa, eu diria.
Roy Akerman 01:18:15.470
Tenha grandes expectativas para a resposta também. Algo totalmente inovador.
Rob Ainscough 01:18:18.870
Basta diminuir um pouco as suas expectativas. Para mim, tudo se resume aos princípios básicos que já discutimos. Certo? E acredito que, desde o RSA, a Mythos tem enfatizado bastante a importância de fazer o básico bem feito, de garantir a segurança e a cobertura do que realmente importa. Se isso significa contexto comportamental, regras rígidas sobre o que realmente importa e o que pode ou não acontecer por meio da identidade, acho que é um ótimo ponto de partida, certo? Porque não vamos resolver o mundo hoje, certo? É um problema enorme. E o mundo corporativo é tão grande e complexo tecnicamente que não será resolvido da noite para o dia. Então, você precisa voltar ao básico, voltar ao que realmente importa para o seu negócio e ser capaz de mensurar o que você fez certo. E acho que isso é fundamental. E muitas vezes há uma lacuna na nossa identidade, na nossa capacidade de explicar os controles que implementamos e o que eles significam para o negócio, bem como as concessões que estamos fazendo. Certo. Porque vamos dizer: se eu vir algo que pareça de alto risco para este repositório de dados crítico, simplesmente não vou deixar isso acontecer.
Roy Akerman 01:19:24.580
E eu acho que, para o nosso público, se estivermos tentando decodificar essa discussão e entendermos o que devemos considerar, da perspectiva de IAM (Gestão de Identidades e Acessos), é o seguinte: quais são os controles? Quais são os gatilhos para alterar esses controles, para usá-los, com os quais precisamos interagir e que precisaremos desenvolver nessa nova realidade? Não podemos estar alinhados com o processo de construção, não podemos estar em tempo administrativo configurando as coisas. Precisamos agir instantaneamente. Precisamos dizer sim e não. Agora, em uma fração de segundo.
Rob Ainscough 01:19:55.700
Essa será a principal capacidade. Acho que, enquanto isso, a governança é realmente boa e importante. Mas será que ela realmente fará o que você precisa, quando você precisar? Essa é a verdadeira questão. E entrar nesse assunto, essa aplicação em tempo real, essa definição de diretrizes e regras, acho que se tornará o que as equipes de identidade precisarão alcançar. Não se trata apenas de operar um negócio ou de cadastrar novos membros ou qualquer coisa do tipo. Precisamos fazer tudo certo. Isso ainda é importante, mas agora está indo além disso, focando na segurança.
Roy Akerman 01:20:23.520
E os CISOs podem precisar ser muito mais tolerantes com relação a pessoas de fora, especialmente com aquelas que entram na estrutura de segurança.
Susanne Senoff 01:20:31.560
Na verdade, não acho que eu esteja fora do escopo. Sabe, acho que às vezes a operação do IAM pode estar presente, mas se você, como CISO, ainda não a tem, precisa ter engenheiros ou arquitetos de segurança de identidade. Ou melhor, você precisa ser quem define os padrões, validando se o IAM está realmente funcionando. Então, se você não está fazendo isso, faça agora.
Roy Akerman 01:20:53.600
E em modo de crise.
Susanne Senoff 01:20:54.760
Ah, sim. Com certeza. Quer dizer, isso deveria ter acontecido pelo menos há três anos.
Roy Akerman 01:20:59.500
Acho que Rob foi sincero na resposta que deu no início da nossa última sessão, que foi sobre as perguntas do fogo.
Rob Ainscough 01:21:06.620
Sessão rápida de perguntas. Certo. Sim, nós fazemos isso. Conversamos com todos os nossos convidados sobre esses assuntos. Então, vamos falar sobre um mito, uma prática inadequada, uma verdade incontestável e exageros. O primeiro é um mito. Qual é um mito sobre identidade ou segurança?
Susanne Senoff 01:21:20.180
Um mito sobre segurança de identidade é que identidades não humanas possuem processos completamente diferentes dos humanos.
Roy Akerman 01:21:28.260
Isso é interessante. Há uma grande expectativa em torno disso. As pessoas ainda estão absorvendo essa expectativa. Há muitas identidades não humanas envolvidas. E existem alguns fornecedores que dizem: "Não, você precisa fazer algo diferente", mas você está alegando outra coisa.
Susanne Senoff 01:21:40.700
Sim, estou afirmando que não todos. Para ser justo, existem algumas diferenças, mas a ideia é que você precisa descobri-los, certo? Você precisa descobrir quais são os privilégios deles. Eles precisam ser descobertos no inventário. Você precisa saber quem os possui. Você precisa saber quais privilégios eles têm para garantir que não sejam excessivos, e você precisa ter a capacidade de desativá-los.
Rob Ainscough 01:22:06.520
Devo dizer que concordo com você neste ponto, certo? Acho que a diferença não é tão grande quanto nos fazem acreditar. Acho que há sobreposição em termos do que precisamos fazer. Certo. De quais capacidades precisamos para todas essas coisas? Acho que há uma sobreposição clara aí que não é discutida. Muito bem. Segundo ponto: má prática. Então, qual é o principal erro que os líderes — presumo que sejam líderes de identidade ou segurança — cometem?
Susanne Senoff 01:22:32.040
Nós erramos em tanta coisa. Por onde começar? Por onde você quer que eu comece? Acho que o erro que muitos líderes cometem é achar que este é um problema puramente técnico. Certo. Eu acho que eles são realmente eficazes. Os líderes de segurança são aqueles que descobriram como influenciar e colaborar com toda a empresa. E essa é uma habilidade que se desenvolve. Às vezes, você a possui naturalmente, mas ainda assim é incrível e precisa ser aprimorada. Então, acho que às vezes erramos ao pensar que só podemos resolver isso de uma perspectiva técnica.
Rob Ainscough 01:23:13.340
A tecnologia é importante, mas não é suficiente.
Susanne Senoff 01:23:15.340
Não. E especialmente quando você implementa uma tecnologia sem um processo subjacente, é como se fosse apenas uma ferramenta e, portanto, não funciona tão bem quanto deveria.
Rob Ainscough 01:23:22.820
Eu sempre pensei na minha antiga empresa, com 400,000 mil pessoas, que isso era mais como mudar um pequeno país do que uma empresa, com todas aquelas pessoas diferentes trabalhando em lojas, armazéns, escritórios, tantos países diferentes com necessidades diferentes. Você tem que encarar isso como um problema de pessoas, certo? E é preciso fazer isso da maneira correta.
Roy Akerman 01:23:40.500
Sim. E claro, do ponto de vista da segurança, ou do ponto de vista de hackers. Os hackers não estão tentando quebrar o sistema. Eles estão tentando invadir o processo, roubar dinheiro, roubar dados. Então, se você não entende isso, você está perdendo algo. Sim.
Rob Ainscough 01:23:53.540
Pergunta três. Verdades difíceis. Qual é uma verdade difícil?
Susanne Senoff 01:23:58.260
Voltando ao meu filho de 15 anos. Acho que segurança é muito parecido com criar filhos. Significa que toda vez que acho que acertei e sei o que estou fazendo, algo novo aparece.
Roy Akerman 01:24:09.170
Qual é o termo ou a palavra da moda mais exagerada que você está ouvindo no momento?
Susanne Senoff 01:24:15.130
Ah, você quer dizer além da identidade estar no seu perímetro. Sim, eu ainda acho que é confiança zero. Isso aparece o tempo todo. E os princípios da confiança zero são absolutamente belíssimos. Sabe, no entanto, não existe confiança zero. Tem mais a ver com confiança explícita, sabe, e realmente entender quais são as camadas em que estamos confiando. Como estamos confiando umas nas outras?
Roy Akerman 01:24:42.370
Entendi. Então, da próxima vez que um fornecedor entrar em contato com você, algo como "confiança zero" não deve estar no assunto do e-mail.
Rob Ainscough 01:24:46.610
Bem, em relação ao que conversamos, abordamos alguns pontos. Falamos sobre genética, obviamente, e era isso que iríamos discutir em algum momento. Falamos sobre o que é realmente importante para os negócios. Se você pudesse resumir a principal mensagem que gostaria de transmitir aos nossos espectadores sobre identidade e sobre tudo o que discutimos, qual seria?
Susanne Senoff 01:25:06.430
O que eu recomendo é que, se sua equipe ainda não está pensando em como usar IA, se vocês ainda não estão analisando suas habilidades e pensando em como a equipe deveria ser no futuro, comecem agora mesmo.
Roy Akerman 01:25:22.950
Há muita gente que ainda está esperando para ver o que vai acontecer.
Rob Ainscough 01:25:27.430
Muito obrigada por participar. Foi uma ótima conversa. Adorei.
Rob Ainscough 01:25:32.270
E agradeço por terem vindo até Houston para termos essa conversa.
Roy Akerman 01:25:38.750
É ótimo. Obrigado.
Rob Ainscough 01:25:40.270
Por hoje é só, no episódio de Identidade Decodificada.
Roy Akerman 01:25:42.830
Se esta conversa mudou algo na sua forma de pensar sobre segurança de identidade, compartilhe com alguém que esteja enfrentando os mesmos desafios.
Rob Ainscough 01:25:49.110
E não se esqueça de acompanhar o programa para não perder os próximos episódios.
