Zamp首席信息安全官警告：不懂流程就上AI等于自动化混乱

A expansão da inteligência artificial nas empresas está criando um novo desafio para a segurança da informação: acompanhar as iniciativas tecnológicas que já não estão concentradas exclusivamente nos departamentos de TI. Com áreas como jurídico, financeiro e outras unidades de negócio desenvolvendo suas próprias aplicações, cresce a necessidade de integrar a segurança desde o início dos projetos, ampliar a visibilidade sobre os riscos e compreender os processos que serão automatizados. Para Wellington Capitani, CISO da Zamp, um dos principais problemas está na velocidade com que as organizações buscam implementar novas tecnologias sem necessariamente conhecer, em profundidade, os processos envolvidos. Durante entrevista à TI Inside no Cyber Security Summit 2026, o executivo destacou que a inovação precisa avançar acompanhada de informações que permitam avaliar seus impactos e orientar as decisões das lideranças. https://youtu.be/69gYzTbNr7c “Quando a gente não conhece esses processos o suficiente para saber como automatizá-los de maneira eficiente, a gente automatiza o caos”, afirmou. A segurança precisa participar desde o início da inovação Na Zamp, a estratégia de segurança da informação busca acompanhar as iniciativas de inteligência artificial desde suas etapas iniciais. Segundo o executivo, a participação antecipada permite identificar riscos e estabelecer controles antes que as aplicações avancem para fases em que as mudanças se tornam mais complexas. Essa abordagem está relacionada ao conceito de shift left, que propõe antecipar atividades de segurança no ciclo de desenvolvimento e inovação. Para Wellington, sua aplicação vai além da adoção de ferramentas e depende do posicionamento da área dentro da organização. “O shift left não é sobre tecnologia, é sobre o local onde nós estamos posicionados dentro de todo o ciclo de inovação”, explicou. O executivo também defende uma relação mais próxima entre os profissionais de segurança e as áreas de negócio. Na sua avaliação, as decisões sobre riscos não podem ser tomadas de forma isolada, sem considerar as necessidades operacionais e os objetivos das equipes responsáveis pelos projetos. Nesse modelo, ganha relevância o papel do Business Information Security Officer (BISO), profissional que atua como ligação entre a segurança da informação e as unidades de negócio. A função contribui para traduzir necessidades operacionais em requisitos de proteção, permitindo que as decisões sejam construídas de maneira conjunta. A expansão da IA exige rever equipes e orçamentos A descentralização da inovação também coloca em discussão os critérios utilizados para dimensionar equipes e investimentos em segurança da informação. Tradicionalmente, parte das organizações estabelece o tamanho das equipes de segurança e seus respectivos orçamentos com base na estrutura de tecnologia. Com a disseminação da IA generativa, diferentes departamentos passaram a desenvolver soluções e automatizações sem depender exclusivamente da TI. Na avaliação de Wellington, esse movimento exige uma revisão dos parâmetros adotados pelas empresas, uma vez que o volume de iniciativas que precisam de acompanhamento cresce sem necessariamente provocar uma expansão proporcional das equipes responsáveis pela proteção. O executivo cita como exemplo a dificuldade de um único arquiteto de segurança acompanhar projetos desenvolvidos simultaneamente por diferentes unidades de negócio.  A principal barreira enfrentada pela Zamp, segundo ele, está justamente na relação entre a capacidade das equipes e a quantidade de iniciativas de inovação. O desafio não é apenas participar dos projetos, mas garantir que a segurança esteja envolvida no momento adequado para contribuir com as decisões. O retorno sobre investimento em IA também precisa ser demonstrado Outro ponto levantado pelo CISO é a diferença entre as exigências de retorno sobre investimento aplicadas à segurança da informação e às iniciativas de inteligência artificial. Enquanto os responsáveis pela cibersegurança precisam justificar investimentos e demonstrar seu valor para o negócio, projetos de IA ainda encontram, em algumas organizações, maior flexibilidade para experimentação, mesmo quando seus resultados financeiros não estão claramente definidos. Para Wellington, a discussão não está na capacidade da tecnologia, mas na dificuldade de demonstrar o valor das aplicações desenvolvidas. Essa questão também envolve o controle dos custos operacionais, especialmente em soluções que utilizam modelos de IA generativa e são cobradas conforme o consumo de tokens. Sem o acompanhamento adequado, as iniciativas experimentais podem gerar despesas superiores às previstas. O executivo avalia que a dificuldade de mensurar resultados não é exclusiva dos profissionais de segurança, mas também está presente entre as lideranças responsáveis pela implementação da inteligência artificial. A disponibilidade é prioridade em uma operação de milhares de restaurantes No varejo, os impactos de uma decisão tecnológica precisam ser avaliados considerando a escala da operação. A Zamp possui aproximadamente 1.600 restaurantes em sua operação e cerca de 2.600 unidades quando considerados os franqueados, segundo os números apresentados pelo executivo. Nesse ambiente, a implementação de um software ou a alteração de um sistema pode atingir simultaneamente centenas de unidades, ampliando as consequências de eventuais falhas. Wellington explica que, embora a segurança da informação seja tradicionalmente estruturada sobre os pilares de confidencialidade, integridade e disponibilidade, o último assume especial relevância em operações de varejo. A indisponibilidade de um sistema pode impedir o funcionamento de uma loja e provocar perdas financeiras imediatas. Por isso, as decisões relacionadas à infraestrutura e à segurança precisam ser sustentadas por dados e por uma compreensão dos impactos operacionais. O executivo também diferencia os riscos envolvidos em iniciativas experimentais de IA daqueles associados aos sistemas que sustentam diretamente a operação. Enquanto determinados projetos de inovação permitem ajustes antes de sua adoção em escala, as falhas em ambientes críticos podem comprometer imediatamente o faturamento. O CISO precisa combinar conhecimento técnico e visão de negócio Além dos desafios tecnológicos e financeiros, a transformação da segurança da informação exige mudanças no perfil das lideranças. Para Wellington, o conhecimento técnico continua necessário, mas já não é suficiente para conduzir uma área que precisa negociar investimentos, compreender processos e participar de decisões estratégicas. Nesse processo, competências comportamentais, capacidade de comunicação e relacionamento com outras áreas ganham importância. O executivo destaca que a formação de equipes deve considerar tanto profissionais com conhecimentos técnicos especializados quanto aqueles com habilidades de colaboração e resolução de problemas. O aprendizado contínuo também se tornou uma exigência. Com a evolução das tecnologias de inteligência artificial, os profissionais de segurança precisam compreender conceitos e arquiteturas emergentes para avaliar riscos e dialogar com as equipes responsáveis pelas implementações. Wellington reforçou a importância da troca de experiências entre profissionais de segurança, especialmente diante de desafios relacionados à defesa de orçamentos e à comunicação com as lideranças. Para os executivos de negócio, sua principal recomendação é aprofundar o conhecimento sobre os processos antes de acelerar sua automação. A preocupação, segundo ele, está no desequilíbrio entre a busca por produtividade e o entendimento das atividades que a tecnologia pretende transformar. Sem essa compreensão, a velocidade de implementação pode ampliar os problemas existentes em vez de solucioná-los.