A IA precisa de acesso. Mas em que medida?

Por que a identidade e o acesso estão se tornando fundamentos essenciais para a IA corporativa?

A gestão de identidade e acesso tem se concentrado tradicionalmente em um conjunto conhecido de questões: Quem é o usuário? Qual dispositivo ele está usando? A quais aplicativos e dados ele deve ter permissão para acessar?

A IA está acrescentando outra dimensão a esse panorama. À medida que se integra aos processos de negócios, mais aplicativos, cargas de trabalho, APIs e serviços de IA estão se conectando aos sistemas e dados corporativos.

Isso significa que as organizações precisam considerar não apenas quais funcionários devem ter acesso, mas também quais aplicativos, cargas de trabalho e serviços de IA são confiáveis, a que eles devem ter permissão para acessar, quais ações devem ser permitidas e quanta autonomia devem ter ao interagir com os sistemas da empresa.

A questão da segurança está mudando. A IA precisa de acesso para gerar valor, mas até que ponto ela deve ter esse acesso?

A IA gera valor por meio do acesso

Os sistemas de IA dependem de informações para fornecer respostas úteis, apoiar tomadas de decisão ou automatizar processos de negócios. Essas informações podem estar espalhadas por plataformas de colaboração, aplicativos em nuvem, bancos de dados, sistemas ERP dos clientes e ambientes operacionais.

O acesso a informações relevantes é, portanto, fundamental para o que a IA pode oferecer. Ao mesmo tempo, cada sistema, fonte de dados ou aplicativo adicional conectado à IA introduz outra relação de acesso que precisa ser compreendida e gerenciada.

Considere um assistente de IA utilizado para dar suporte aos funcionários. Para ser realmente útil, ele pode precisar de acesso a documentos internos, informações de clientes ou aplicativos corporativos. Mas isso não significa que todo funcionário que utilize o assistente deva, indiretamente, ter acesso a tudo o que a IA pode acessar.

O mesmo se aplica a um aplicativo de IA conectado a vários sistemas corporativos por meio de APIs. Ele pode precisar de informações desses sistemas para desempenhar sua função, mas isso não significa necessariamente que precise de acesso permanente ou irrestrito a todos eles.

Portanto, garantir a segurança da IA corporativa vai além da proteção da própria plataforma de IA. As organizações também precisam compreender e controlar o número crescente de relações de acesso relacionadas a ela.

Para se pensar: você sabe a quais sistemas corporativos e dados suas aplicações de IA têm acesso – e se elas precisam de todos eles?

Quando a identidade não é mais apenas humana

As identidades de máquinas não são novidade. As empresas já gerenciam contas de serviço, aplicativos, cargas de trabalho e processos automatizados. O que a IA muda é a escala e a complexidade potenciais dessas interações, bem como o nível de autonomia que algumas dessas identidades podem ter dentro dos processos de negócios.

Um processo baseado em IA pode envolver um funcionário, um aplicativo de IA, várias APIs, múltiplas fontes de dados e outros serviços automatizados. Cada um deles pode ter sua própria identidade e direitos de acesso distintos. À medida que essas interações se multiplicam, fica mais difícil entender qual identidade está acessando qual recurso – e com que finalidade.

Isso torna a identidade uma parte cada vez mais importante da infraestrutura que sustenta a IA. O simples fato de estar conectado à rede corporativa já não é motivo suficiente para confiar em um usuário, dispositivo, aplicativo ou carga de trabalho.

As organizações precisam entender quem ou o que está solicitando acesso, qual recurso está sendo solicitado e se esse acesso é adequado naquele contexto específico.

O Zero Trust oferece uma abordagem arquitetônica para enfrentar esse desafio.

Da confiança implícita ao acesso controlado

O modelo Zero Trust se baseia no princípio de que o acesso não deve ser concedido simplesmente porque um usuário, dispositivo ou aplicativo já se encontra dentro de um ambiente confiável. Em vez disso, o acesso é verificado e limitado de acordo com a identidade, o contexto e a necessidade.

Essa distinção se torna particularmente relevante para a IA corporativa.

Um aplicativo de IA conectado a um banco de dados de clientes pode precisar de acesso a determinadas informações, mas não necessariamente a todo o banco de dados. Da mesma forma, um funcionário que utilize um assistente de IA pode estar autorizado a acessar documentos de uma área de negócios, mas não de outra.

O objetivo é tornar o acesso mais preciso, e não simplesmente mais restritivo. Usuários, aplicativos e cargas de trabalho devem ter o acesso necessário para desempenhar suas funções, sem obter automaticamente acesso a recursos dos quais não precisam. À medida que as organizações conectam a IA a mais sistemas e informações, esse princípio do privilégio mínimo torna-se um elemento importante para manter o controle.

A segurança precisa acompanhar a interação

O desafio do acesso também reflete a evolução mais ampla da conectividade empresarial.

Os usuários trabalham em diferentes locais, os aplicativos são executados em ambientes de nuvem e corporativos, e os dados circulam entre sistemas, parceiros e locais. As cargas de trabalho de IA podem operar em infraestruturas de nuvem, de borda e locais.

Nesse ambiente, a localização na rede, por si só, fornece informações limitadas sobre se uma interação é confiável. A segurança, portanto, precisa levar em consideração a identidade envolvida, o recurso que está sendo acessado e o contexto da interação.

É também por isso que as redes e a segurança estão se tornando cada vez mais interligadas. Abordagens como o Acesso à Rede com Confiança Zero (ZTNA) podem ajudar as organizações a estabelecer o acesso com base na identidade e no contexto, enquanto as arquiteturas de Borda de Serviço de Acesso Seguro (SASE) combinam recursos de rede e segurança em ambientes distribuídos.

O princípio subjacente é simples: toda conexão deve ter uma razão para existir, e o nível de acesso associado a ela deve refletir essa razão.

Isso se torna ainda mais importante à medida que a IA passa da simples recuperação e processamento de informações para a execução de ações em sistemas corporativos. As organizações precisarão, cada vez mais, gerenciar não apenas quais sistemas e dados uma aplicação de IA pode acessar, mas também qual o nível de acesso que ela possui — se pode recuperar informações, gravar ou modificar dados, ou acionar ações em outros aplicativos e sistemas. À medida que os sistemas de IA se tornam mais capazes de agir de forma independente, as organizações também precisam decidir com que grau de autonomia essas ações podem ser realizadas e em que casos é necessária a aprovação humana.

A IA torna mais difícil gerenciar o princípio do privilégio mínimo

A aplicação do princípio do privilégio mínimo torna-se mais desafiadora à medida que os ambientes corporativos mudam.

Os funcionários alternam entre funções, os aplicativos evoluem, novas fontes de dados são conectadas e os ambientes em nuvem se expandem. Casos de uso de IA que começam como projetos relativamente isolados podem, eventualmente, passar a ser integrados a processos essenciais para os negócios.

As permissões podem se acumular ao longo do caminho.

Um aplicativo de IA inicialmente conectado a dois sistemas pode, com o tempo, interagir com dez. Um serviço projetado para recuperar informações pode, posteriormente, passar a fazer parte de um fluxo de trabalho automatizado. O acesso que era adequado no início de um projeto pode deixar de ser adequado à medida que sua finalidade muda.

Isso significa que o acesso não pode ser simplesmente configurado uma vez e mantido inalterado. As organizações precisam ter visibilidade sobre quais identidades existem, a quais recursos elas têm acesso e se essas permissões continuam sendo adequadas à medida que seu ambiente de IA se desenvolve.

Algo para se pensar: se uma de suas aplicações de IA mudasse de função amanhã, com que rapidez você conseguiria identificar e ajustar tudo o que ela tem permissão para acessar?

Quando a IA começa a agir?

Essa questão se tornará ainda mais relevante à medida que as organizações começarem a utilizar agentes de IA de forma mais ampla.

Atualmente, muitas aplicações de IA corporativas ajudam principalmente os usuários a encontrar informações, gerar conteúdo, analisar dados ou apoiar a tomada de decisões. Os agentes de IA podem ir além, realizando tarefas em diferentes sistemas, como recuperar informações, atualizar registros, acionar fluxos de trabalho ou interagir com outros aplicativos.

Consequentemente, as organizações precisam levar em consideração não apenas quais informações um sistema de IA tem permissão para acessar e recuperar, mas também quais ações ele está autorizado a realizar.

Um sistema de IA capaz de ler um registro de cliente requer um determinado nível de controle. Um sistema capaz de modificar o registro, iniciar uma transação ou acionar outro processo de negócios requer um nível diferente de autorização e supervisão.

À medida que a IA assume um papel mais ativo nos processos de negócios, as organizações precisarão levar em consideração a identidade, a autorização e a visibilidade não apenas de seus funcionários e aplicativos, mas também dos sistemas de IA que atuam em seu nome.

Perguntas que os líderes devem fazer

À medida que a IA é integrada a mais processos de negócios, os líderes de tecnologia e segurança devem levar em consideração:

• Quais usuários, aplicativos, cargas de trabalho e serviços de IA podem acessar nossos sistemas críticos?
• Temos uma visão centralizada de quais identidades humanas e de máquinas têm acesso a quais sistemas, aplicativos e dados em toda a organização?
• Quais fontes de dados corporativos estão atualmente conectadas a aplicativos de IA?
• Cada serviço de IA tem acesso apenas às informações de que precisa?
• Como as identidades humanas e de máquinas são autenticadas e autorizadas?
• Os direitos de acesso podem mudar conforme as funções, os riscos ou os requisitos de negócios mudam?
• Podemos ver quais identidades estão acessando recursos confidenciais em diferentes ambientes?
• Quais ações as aplicações de IA têm permissão para realizar, além de quais informações podem recuperar?
• Esses controles poderiam ser ampliados caso o número de aplicações e agentes de IA aumentasse significativamente?

O objetivo é garantir que o acesso continue sendo intencional e controlável à medida que a IA se torna cada vez mais integrada aos negócios.

Criando confiança na IA corporativa

A IA gera valor ao reunir informações, aplicativos e processos de negócios. À medida que essas conexões se ampliam, as organizações precisam de uma maneira mais precisa de determinar quem e o que pode acessar seus recursos digitais.

O Zero Trust oferece um princípio arquitetônico útil para esse ambiente. Em vez de presumir confiança com base na localização ou em uma conexão existente, o acesso se baseia na identidade verificada, no contexto e nas permissões necessárias para uma interação específica.

À medida que a IA evolui, passando de um papel de apoio aos funcionários com informações para a execução de mais tarefas nos sistemas corporativos, esses princípios tornam-se relevantes não apenas para controlar o que a IA pode acessar, mas também o que ela pode fazer.

A questão, portanto, não é simplesmente quanto acesso a IA precisa. As organizações também precisam determinar o que a IA deve ter permissão para fazer com esse acesso, mantendo ao mesmo tempo a visibilidade e o controle necessários para alterar ou remover essas permissões quando necessário.

A conversa continua

À medida que a IA se conecta a mais dados corporativos, aplicativos e processos de negócios, o gerenciamento de identidade e acesso passa a ser uma parte importante da infraestrutura que a sustenta.

Caso deseje discutir como o Zero Trust, a conectividade segura e os controles de acesso podem apoiar sua estratégia de IA, nossos especialistas estão à disposição para ajudá-lo.


Imagem: gerado por IA