A natureza humana da cibersegurança

Isto pode parecer estranho, mas abra um separador novo e faça uma pesquisa de imagens rápida no Google para "cibersegurança". Já está? O que viu? Imagens futuristas translúcidas de cadeados sobrepostas em placas de circuito e chuva digital ao estilo Matrix? Bem me pareceu. Para nós e para o nosso Senior Director of Information Security, Product Security and Global Response, Quentin Taylor, esta é uma representação completamente errada do campo, cujos fundamentos são tão humanos quanto possível.

Sim, há um mundo de competências técnicas envolvidas, sem dúvida alguma, mas a equipa de Quentyn também foi escolhida pela sua experiência em natureza humana. Porquê? Infelizmente, é uma verdade fundamental: muitas vezes, as pessoas são o ponto mais vulnerável na segurança de uma empresa. E outras pessoas, os atacantes cibernéticos, são assustadoramente competentes em explorar o comportamento humano, como a nossa natureza de confiança, curiosidade, dependência de hábitos e até excesso de confiança. No entanto, também eles são apenas humanos e, muitas vezes, têm comportamentos intrigantes. Por isso, com toda esta psicologia envolvida, vejamos algumas das formas como esta se manifesta numa equipa de cibersegurança de elevado desempenho como a nossa.

Flexibilidade

"Não me interessa o quão avançado o modelo de IA, são os seres humanos que conseguem integrar fontes de dados de forma flexível, físicas e digitais", afirma Quentyn. "As pessoas conseguem fazer milagres entre diferentes tipos de tecnologia ou dados, enquanto as ferramentas de IA têm de ser treinadas". Isto faz todo o sentido, já que, neste momento, uma IA só consegue trabalhar com os dados que tem disponíveis, enquanto os humanos conseguem formular hipóteses, pensar lateralmente e tomar decisões rápidas. Conseguimos obter muitas informações diferentes rapidamente, em diferentes formatos, e considerá-las de forma igual, algo que as ferramentas de IA focadas na segurança ainda têm dificuldade em fazer.

Intuição

Não, não é tudo suposição, a intuição pode muitas vezes ser a apresentação do reconhecimento de padrões, informada e moldada pela experiência de vida. "E pode ser poderosa, embora possa ser fácil ignorá-la", diz Quentyn. "Mas há centenas de exemplos em que as pessoas disseram que 'algo parecia não estar bem' e acabaram por ter razão". No entanto, Quentyn também faz questão de salientar que, como todos são diferentes, por vezes pode ser influenciado por outro atributo muito humano: a parcialidade. "É claro que temos de ter cuidado. Mas, mesmo assim, ainda não existe uma IA que consiga igualar a intuição humana quando combinada com bons dados, formação e uma pausa para pensar".

Diversidade

"Nem todos os atacantes são iguais", salienta Quentyn. Parece óbvio, mas, por outro lado, significa que as equipas de cibersegurança também têm de refletir sobre isto. "Ao formar uma equipa, é absolutamente essencial ter diversidade em todos os tipos de fatores: educação, formação, cultura, localização, gostos, desagrados… se estamos a tentar defender contra atacantes de todo o tipo, isso faz sentido". Quentyn dá um excelente exemplo de um ciberataque onde foram encontradas referências obscuras a Duna, de Frank Herbert, no código de um malware particularmente destrutivo. Isto foi muito antes da série de filmes de sucesso, pelo que alguém na equipa de investigação teria de estar familiarizado com o livro. E, sim, isto significava que o amor de alguém por ficção científica fazia com que estas palavras-chave fossem recolhidas e pudessem ser associadas a diferentes ataques, reunindo informações.

Instinto

A intuição e o instinto são frequentemente utilizados de forma alternável, mas ao passo que a intuição é um cálculo, o instinto é um impulso. Embora, à primeira vista, possa parecer irracional agir instintivamente numa situação de alto risco, como um ciberataque, o instinto coletivo de uma equipa pode ser uma força formidável. "Quando juntamos provas e instintos, tal pode ser incrivelmente poderoso", diz Quentyn. "Por exemplo, se for preciso tomar uma decisão e tiver todos os dados disponíveis, mas estes não lhe derem uma direção clara, é aí que o instinto entra em ação. Quando uma equipa inteira sente instintivamente que deve seguir uma estratégia em detrimento de outra, devemos confiar? Eu diria que sim".

Perceção

As pessoas são imprevisíveis. Até deixarem de ser. E, em cibersegurança, por vezes basta adotar uma abordagem ligeiramente diferente ou um ponto de vista alternativo para compreender o que se passa com um atacante. "Na maioria das vezes, o quebra-cabeças que estamos a tentar resolver é um ser humano a fazer coisas de humanos". Quentyn dá o exemplo de um ataque que estava sempre a parar e a recomeçar, aparentemente de forma aleatória. "Lançaram o ataque e, em seguida, pararam durante algumas horas. Depois, houve um pouco de atividade menor, seguida de outra paragem antes do ataque principal ocorrer algumas horas mais tarde. Foi apontado que esse era, na verdade, um padrão: antes do trabalho, na hora do almoço e depois do trabalho. E, com este conhecimento, conseguiam identificar rapidamente o local de origem do ataque.

Pensamento crítico

Engano, irregularidades subtis, engenharia social, explorações técnicas… a lista é infinita e as decisões a tomar são imensas. "O nosso trabalho diário é a essência de 'humano para humano'", explica Quentyn. "Basicamente, são duas pessoas a tentar compreender-se, algo que sempre se fez". É mais do que uma simples análise do que está à nossa frente, é a soma total de tudo o que foi mencionado, o que leva a uma avaliação ponderada, ao nível da intuição, agindo com base em várias fontes de informação e tomando decisões rápidas, ao mesmo tempo que se inspira nas experiências da equipa para identificar e classificar atividades invulgares. Isto estende-se até à organização como um todo, já que os especialistas em cibersegurança podem colocar estas competências em prática de formas que incentivem comportamentos online mais seguros a todos os níveis.

Em suma, está longe do estereótipo do profissional de cibersegurança e, na verdade, de todo o conceito de cibersegurança em si. A realidade é que os resultados da sua pesquisa no Google deveriam ser simplesmente várias imagens de equipas diversificadas a trabalhar em conjunto. De humano para humano.

Saiba mais sobre as carreiras na Canon.