Mais ferramentas, mais problemas: por que sua infraestrutura de segurança pode estar trabalhando contra você.

O Relatório de Investigações de Violações de Dados da Verizon de 2025 indica que a exploração de vulnerabilidades aumentou 34% em 2025.O investimento em segurança atingiu um nível recorde.

Falamos muito sobre o problema dos gastos na indústria de cibersegurança. Os orçamentos de segurança continuam a aumentar, o número de ferramentas continua a crescer e o número de funcionários continua a aumentar, mas as violações de segurança continuam a acontecer.

Como discuti em uma recente transmissão ao vivo no LinkedIn com Tanya Janca, CEO da SheHacksPurple e uma das vozes mais respeitadas no mundo da segurança de aplicativos, as estruturas de incentivo que construímos em torno do investimento em segurança são o problema. Enquanto não formos honestos sobre o que está impulsionando essas estruturas, nenhum orçamento será capaz de mudar o cenário onde realmente importa.  

A dura verdade é que a indústria de cibersegurança confundiu atividade com eficácia e complexidade com capacidade. O mais importante é saber se o seu conjunto de medidas de segurança realmente aumenta a sua segurança ou se apenas lhe dá a falsa sensação de segurança.

Por que mais investimento não se traduz em mais segurança?

Os números contam uma história que a indústria prefere não reconhecer. Os orçamentos de segurança estão em níveis recordes. As pilhas de ferramentas nunca foram tão longas. No entanto, a empresa média está afundando em acúmulos de vulnerabilidades tão grandes que se tornaram praticamente irrelevantes.

Tanya mencionou que já viu clientes com 40.000 vulnerabilidades críticas acumuladas em uma única lista de pendências, sem nenhum plano realista para resolvê-las. Isto é um teatro de segurança em grande escala.

Infelizmente, para muitas equipes de segurança, comprar uma nova ferramenta tornou-se simplesmente a resposta padrão para todas as questões de segurança. E cada nova ferramenta vem com seus próprios alertas, painel de controle e integrações que não funcionam muito bem com tudo o que você já tem.  

O resultado é uma confusão extensa, sobreposta e contraditória que consome enormes recursos, deixando lacunas perigosas.

O que torna isso particularmente insidioso é que a atividade parece produtiva. Quando os painéis de controle estão repletos de dados e os chamados estão sendo fechados, é fácil acreditar que você está seguro.  

Mas, como observou Tanya, estamos confundindo estar ocupado com ser eficaz. Os profissionais do conhecimento, incluindo os da área de segurança, muitas vezes demonstram esforço por meio de atividades visíveis, mensuráveis e de alta frequência, em vez do trabalho profundo e estratégico que realmente gera resultados.

Para os atacantes, a complexidade é uma característica, não uma falha.

Os atacantes dependem da complexidade dos seus ambientes. Eles apresentam baixo risco, alto retorno e paciência quase infinita. Eles só precisam encontrar a única brecha onde todas as suas ferramentas sobrepostas não se comunicam entre si.

“Quando as pessoas assaltavam um banco, elas entravam armadas”, disse Tanya. “Agora eles fazem isso virtualmente e podem tentar assaltar 100 bancos sem serem pegos.”

Essa assimetria é o principal desafio da cibersegurança moderna.  

E, como Tanya observou, eles são notavelmente bons em encontrar essas lacunas. “À medida que nos tornamos bons no perímetro, eles atacam a aplicação.” Ao criarmos zonas, eles atacam a cadeia de suprimentos. Eles se movem para o alvo mais fácil, seja ele qual for.”

Cada nova ferramenta adicionada cria novas lacunas em potencial. Seu agressor está atacando seu ponto mais fraco. E quanto mais complexo for o seu ambiente, mais difícil será encontrar essa ligação antes que eles a encontrem.

Por que o problema da codificação de vibrações está prestes a piorar muito.

Se a proliferação de ferramentas é o fogo que queima lentamente, o código gerado por IA é o acelerador.

A ascensão da "codificação intuitiva" — o uso de ferramentas de IA para gerar código rapidamente com o mínimo de consideração de segurança — está mudando fundamentalmente o cenário de ameaças de maneiras para as quais a maioria das equipes de segurança não está preparada. O volume, a velocidade e o alcance do código inseguro que está sendo enviado para produção neste momento são impressionantes.

“A IA foi treinada com código de baixa qualidade”, disse Tanya. “Não é que as empresas de IA tivessem a intenção de fazer isso; era apenas o que estava disponível.” O código disponível na internet tem qualidade inferior ao código privado e fechado. A maioria dos projetos de código aberto não possui uma equipe de segurança.”  

Estamos usando modelos treinados em código de baixa segurança para gerar mais código em uma velocidade sem precedentes. Isso geralmente acontece por pessoas que nunca pensaram seriamente sobre práticas de desenvolvimento seguro.

Tanya compartilhou um exemplo particularmente alarmante de uma sessão recente com um cliente. Sessenta participantes executaram o mesmo exercício de geração de código de IA, com as mesmas restrições de segurança aplicadas. Uma das saídas adicionou comentários instruindo o linter do Python a ignorar determinado código e, em seguida, vazou segredos intencionalmente.  

Um risco desse tipo já está presente no seu ambiente. Seu programa de segurança foi projetado para detectar isso?

Deslocamento à esquerda na cultura de segurança

Então, como é, de fato, uma boa segurança no cenário de ameaças atual? A resposta reside em repensar fundamentalmente onde e como a segurança entra no processo de desenvolvimento, e não em adquirir mais ferramentas.

Tanya vem defendendo essa tese há anos. “É mais fácil contratar uma empresa para implantar uma ferramenta, adicionar uma série de verificações ao processo e dizer 'agora o problema é dos desenvolvedores'.” Esse não é o melhor programa de segurança que você pode criar.”

Para os líderes de segurança, isso significa que dois ou três profissionais de segurança de aplicativos (AppSec) bem implementados e integrados às equipes de desenvolvimento podem agregar mais valor à segurança do que um contrato de ferramenta de seis dígitos que ninguém usa corretamente.  

O cálculo do ROI muda quando você começa a medir os resultados de segurança em vez da atividade de segurança.

Tanya também destacou o poder das opções padrão. Ela descreveu uma simples alteração de configuração, como configurar um gerenciador de pacotes do Node (NPM) para não executar scripts pós-instalação por padrão. Essa simples mudança pode eliminar toda uma classe de ataques à cadeia de suprimentos.  

“As equipes de segurança de aplicativos precisam se concentrar em onde é possível eliminar toda uma classe de bugs ou onde é possível definir um padrão que proteja contra um impacto de grande escala”, disse ela.  

A mudança de mentalidade está passando de "qual ferramenta eu compro para resolver isso?" para "qual mudança sistêmica elimina essa categoria de risco?" Às vezes isso inclui novas ferramentas, mas não necessariamente.

Construindo uma equipe de segurança preparada para a era da IA.

Se você estivesse montando sua equipe de segurança do zero hoje, como ela seria?  

Tanya disse que gostaria de três perfis distintos:  

• Alguém profundamente curioso sobre IA e que se sinta à vontade para desenvolver com ela.
• Alguém com fortes habilidades sociais, capaz de se comunicar tanto em linguagem técnica quanto em linguagem corporativa, e que consiga construir o consenso interfuncional necessário para a transformação da segurança.
• Um profissional altamente técnico capaz de quebrar sistemas, revisar código e encontrar vulnerabilidades antes que os atacantes o façam.

Para Tanya, esse equilíbrio importa mais do que o número de funcionários. Uma equipe de quatro pessoas integrada aos fluxos de trabalho de desenvolvimento, focada na eliminação de categorias de risco, terá um desempenho consistentemente melhor do que uma equipe de dez pessoas que executa listas de verificação de conformidade.

Do meu ponto de vista na Illumio, eu acrescentaria mais uma perspectiva a isso: a resiliência.  

Antes de pensar em montar uma equipe ou selecionar ferramentas, comece com perguntas estratégicas:

• O que a segurança precisa oferecer para garantir a resiliência do seu negócio?  
• Como será o controle em caso de violação de segurança?  
• Como sua arquitetura de segurança limita a movimentação lateral e reduz o raio de impacto de um ataque?  

As ferramentas e as equipes devem ser definidas a partir dessa resposta, e não o contrário.

As equipes de segurança não podem se dar ao luxo de esperar.

O problema da segurança está se agravando mais rapidamente do que os modelos de investimento tradicionais conseguem responder.  

Aumentar o orçamento dos mesmos fornecedores para as mesmas ferramentas não vai resolver esse problema.  

O que será?  

• Uma análise honesta de onde seu orçamento está realmente gerando resultados.
• Disposição para cortar ferramentas que criam ruído sem cobertura
• Um compromisso com a incorporação da segurança antes mesmo de existir o código que precisa ser protegido.
• Um pilar estratégico na resiliência cibernética

Por muito tempo, o setor vem contando a si mesmo uma história reconfortante: mais investimento significa mais segurança, mais ferramentas significam mais cobertura e mais alertas significam mais conscientização.  

Nenhuma dessas equações se sustenta na cibersegurança moderna. O que importa agora é se você descobre isso proativamente ou se os atacantes descobrem por você.

Nosso próximo evento Hard Truths LinkedIn Live reunirá duas pessoas que construíram a estratégia Zero Trust. Inscreva-se hoje Participe da discussão com John Kindervag e Chase Cunningham, intitulada "Pare de tratar os sintomas: por que a segurança cibernética continua recaindo".