Conformidade com a NIS2 na era da inteligência artificial: por que a cibersegurança tradicional não é suficiente

A introdução da Diretiva de Segurança de Redes e Informações 2 (Diretiva NIS2) representa uma das maiores mudanças na legislação europeia sobre cibersegurança nos últimos anos. As organizações não podem mais considerar a segurança cibernética como uma responsabilidade exclusiva do departamento de TI. 

As equipes executivas são agora diretamente responsáveis por garantir que controles de segurança adequados estejam em vigor, sendo que incidentes significativos devem ser notificados em até 24 horas.

Ao mesmo tempo, a IA transformou radicalmente a forma como os ataques cibernéticos ocorrem.

Ameaças que antes levavam dias ou semanas para serem desenvolvidas pelos invasores agora podem ser lançadas em questão de minutos. O reconhecimento automatizado, o phishing assistido por IA e as campanhas de ransomware cada vez mais sofisticadas reduziram drasticamente o tempo que as organizações têm para detectar e conter um ataque.

Para as empresas sujeitas à NIS2, isso levanta uma questão desafiadora:

Como você pode demonstrar que sua organização é capaz de conter uma violação antes que ela se transforme em um incidente grave?

Muitas organizações encaram inicialmente a NIS2 como mais um exercício de conformidade.

No entanto, a diretriz tem como objetivo melhorar a resiliência operacional, e não apenas aumentar a quantidade de documentação.

O foco agora não é mais apenas prevenir ataques. Os órgãos de gestão das organizações que prestam serviços essenciais devem ser capazes de demonstrar (e não apenas afirmar) que são capazes de:

• Minimizar o impacto de um incidente cibernético

• Proteger os serviços essenciais

• Gerenciar o risco da cadeia de fornecimento

• Manter a continuidade dos negócios

• Compreender rapidamente o que foi afetado quando ocorre um incidente

E, de acordo com a NIS2, os órgãos de gestão podem ser responsabilizados por não cumprirem as normas. Em um ambiente em que as ameaças cibernéticas avançam cada vez mais na velocidade das máquinas, esses requisitos exercem uma pressão significativa sobre os modelos tradicionais de segurança. 

A Akamai Guardicore Segmentation foi desenvolvido exatamente para este cenário. Ele proporciona às equipes de segurança e de direção uma visibilidade comprovável sobre até que ponto um incidente está realmente sob controle.

As organizações precisam comprovar que os controles de segurança são capazes de conter ativamente um incidente antes que ele se espalhe pelos sistemas críticos (Artigos 21(1) e 21(2)(f)).

A NIS2 amplia a responsabilidade para além da infraestrutura própria de uma organização (Artigo 21(2)(d)). Os fornecedores e parceiros terceirizados também devem ser gerenciados como parte da postura geral de segurança, o que inclui garantir que uma credencial comprometida de um fornecedor, por si só, não seja suficiente para acessar sistemas críticos. Recursos como a autenticação multifator, que exige verificação de identidade no momento da conexão e não apenas no perímetro da rede, foram desenvolvidos exatamente para esse tipo de situação.

Os controles de segurança devem aumentar a resiliência sem causar interrupções operacionais ou complexidade desnecessárias (Artigo 21(2)(c)).

A responsabilidade pessoal, aliada a um prazo rigoroso para prestação de contas (Artigo 23), que inclui um alerta antecipado de 24 horas, uma notificação de incidente em 72 horas e um relatório completo em até 1 mês, exige que as organizações tenham visibilidade imediata sobre a extensão do incidente e seu impacto nos negócios.

Esses desafios exigem mais do que a segurança tradicional de perímetro ou exercícios periódicos de conformidade.

Eles exigem visibilidade constante e contenção rápida.

A Akamai Guardicore Segmentation é uma plataforma definida por software, centrada em ativos e projetada especificamente para a era da IA:

• A análise de exposição e resposta (ExAR) mapeia continuamente as rotas de ataque antes que os invasores as explorem. 

• Os recursos de consulta do Insight permitem que as equipes utilizem a pesquisa em linguagem natural para avaliar instantaneamente o alcance de uma violação. 

• O Generative Policy Engine reduz o movimento lateral ao automatizar a geração de políticas, limitando drasticamente o alcance de uma credencial ou workload comprometida. 

Isso ajuda as organizações a entender o que está conectado, limita o alcance dos invasores e demonstra rapidamente o impacto de um incidente.