Nick Lowther Diretor de Vendas para Grandes Empresas, Austrália e Nova Zelândia

Em junho de 2026, a Direção Australiana de Comunicações publicou um anúncio relativo a uma Declaração Conjunta das agências de cibersegurança do grupo «Five Eyes ». A publicação, que inclui uma ligação direta para o texto integral da declaração, resume a urgência da posição do Governo australiano em matéria de resiliência cibernética:

A IA está a acelerar a velocidade, a escala e a sofisticação das ameaças cibernéticas – a um ritmo mais rápido do que a maioria das organizações está preparada para enfrentar. Tendo em conta o potencial que isto acarreta, não só em termos de perturbações operacionais, mas também de perdas financeiras e danos à reputação, a mensagem é clara: a resiliência cibernética é agora um risco empresarial fundamental, e não apenas uma questão de TI. Os líderes das organizações são instados a agir agora.

Fonte: Direção Australiana de Comunicações via LinkedIn

Estas mensagens servem de ponto de referência, sintetizando e validando os intensos fatores de stress que afetam os líderes empresariais e os profissionais de segurança com quem trabalho diariamente na Austrália e na Nova Zelândia.

Por trás desta mensagem urgente está um risco real e presente que está a crescer exponencialmente. Há anos que os líderes mundiais em cibersegurança têm vindo a salientar a importância de adotar a mentalidade de «partir do princípio de que houve uma violação» na defesa cibernética. Agora, é evidente que as medidas defensivas, embora continuem a ser fundamentais, não são suficientes. As organizações têm de estar preparadas para responder e recuperar mais rapidamente de ataques — mesmo daqueles que não conseguem antecipar na totalidade.

A IA alterou a natureza da superfície de ataque. Mudou a forma como os atacantes avançam e como defendemos os nossos sistemas. E altera a forma como os conselhos de administração devem abordar a interligação entre a adoção da IA, a segurança de identidade e a resposta a incidentes e a recuperação.


Resumo: Pontos-chave para os responsáveis pela segurança e os líderes empresariais

  • A IA está a encurtar os prazos no mundo cibernético e a tornar perigosas as suposições desatualizadas.
  • As agências da aliança «Five Eyes» transformaram a resiliência cibernética numa questão de liderança ao nível do Conselho de Administração, e não apenas numa questão de TI.
  • Para a maioria das empresas, a resiliência da identidade é fundamental para a resiliência cibernética, uma vez que o Active Directory e a identidade híbrida constituem a base das operações empresariais e da recuperação.
  • O backup, por si só, não é suficiente. As organizações têm de demonstrar que conseguem recuperar o AD para um estado comprovadamente íntegro dentro de um RTO empresarial realista.
  • Os programas mais eficazes abordam a proteção da identidade, a recuperação completa e a gestão de crises como uma única disciplina, em vez de projetos separados.

Como a adoção da IA está a acelerar os riscos cibernéticos neste momento

As grandes empresas em toda a Austrália (tal como as suas congéneres em todo o mundo) dizem-me que se sentem presas entre as oportunidades e as ameaças da IA. De acordo com um estudo da Semperis, esta experiência é bastante comum — e isso significa que as organizações estão a conceder aos agentes de IA acesso direto a sistemas críticos mais rapidamente do que conseguem implementar medidas de proteção adequadas.

No estudo «O estado da segurança da identidade na era da IA», descobri que os inquiridos de organizações australianas confirmaram que:

  • 37 % dos seus colaboradores têm IA instalada em computadores locais, onde esta tem acesso a SSH e a chaves de encriptação.
  • 24 % das organizações já utilizam agentes de IA para tratar de pedidos de assistência relacionados com a segurança, incluindo a reposição de palavras-passe e o acesso à VPN.

Ao mesmo tempo que estão a acelerar a adoção de agentes de IA, os inquiridos reconhecem que a adição de identidades de agentes aumenta consideravelmente a superfície de ataque relacionada com identidades.

  • 80 % dos inquiridos australianos prevêem que a IA torne os ataques à identidade mais frequentes.
  • 65% prevêem que os atacantes irão utilizar a IA para atacar a sua infraestrutura de identidade.

As estatísticas regionais que encontrei no estudo da Semperis refletem fielmente os relatórios de todas as regiões do mundo. Trata-se de um problema mundial.

Quando os conselhos de administração perguntam se a organização está preparada para um ciberataque acelerado pela IA, muitas equipas respondem com uma lista de medidas de controlo: autenticação multifator (MFA), deteção e resposta em terminais (EDR), cópias de segurança, aplicação de correções, monitorização e exercícios de simulação. Tudo isso é importante.

Mas a realidade é que apenas 21 % das organizações australianas — e apenas 32 % das organizações a nível mundial— acreditam que poderiam recuperar o controlo caso um agente de IA divulgasse credenciais de administrador.

A declaração das agências de cibersegurança da aliança «Five Eyes» eleva o nível de exigência. A mensagem não se resume a que as organizações devam reforçar as suas defesas. Trata-se de que os líderes devem partir do princípio de que as hipóteses relativas aos riscos cibernéticos podem tornar-se obsoletas em meses ou mesmo semanas — e que a resiliência deve manter-se firme sob pressão durante um incidente real.

Esse é um padrão que suscita alguma apreensão. Muitas empresas nunca verificaram verdadeiramente se conseguem recuperar os seus sistemas de identidade de forma rápida e eficaz após uma violação de segurança.

E, uma vez que a identidade constitui o plano de controlo empresarial, essa lacuna não é uma mera nota de rodapé de natureza técnica. Trata-se de um risco empresarial com consequências operacionais, financeiras e para a reputação.


Por que é que o alerta dos «Five Eyes» sobre a IA é importante neste momento

As agências da aliança «Five Eyes» foram sucintas e diretas na sua declaração de alerta. A IA já está a reduzir as barreiras para os agentes maliciosos, aumentando a velocidade e a complexidade dos ataques e encurtando o intervalo de tempo entre a descoberta de vulnerabilidades e a sua exploração específica no âmbito da identidade.

Ao mesmo tempo, defendem que a resiliência cibernética já não é uma questão puramente técnica. Trata-se de uma responsabilidade da liderança, ligada à continuidade operacional, à confiança do mercado e ao valor a longo prazo.

Essa abordagem e essas especificações devem ser importantes para todos os CISO, responsáveis pela gestão de identidades e acessos (IAM), administradores do Active Directory e de identidades híbridas, responsáveis pelas operações de segurança (SecOps) e arquitetos empresariais. Isso transforma a questão de «Temos controlos?» para «Conseguimos provar que esses controlos funcionarão durante um incidente real, quando a identidade estiver sob ataque?»

Para a maioria das empresas, a prova da resiliência reside na recuperação da identidade. Como observa a Semperis, o sistema de identidade está envolvido na maioria dos incidentes cibernéticos e, na maioria das organizações, esse sistema de identidade é um ambiente híbrido baseado no Active Directory e no Entra ID.


O desafio que os conselhos de administração muitas vezes não têm em conta: a identidade é simultaneamente um objetivo e uma dependência

Os responsáveis pela segurança passaram anos a explicar que o Active Directory constitui uma infraestrutura crítica. No entanto, a declaração dos «Five Eyes» confere a esse argumento uma nova urgência, uma vez que a IA reduz o tempo disponível para detetar, decidir e responder.

O problema não é apenas o facto de os atacantes terem como alvo a identidade. É que o resto da organização depende da identidade para funcionar. Quando a identidade fica inoperacional, o e-mail, as conferências, o acesso a ficheiros, o acesso a SaaS, os fluxos de trabalho operacionais e até mesmo a coordenação em situações de crise podem deixar de funcionar.

Isso cria um risco composto:

  • A identidade constitui uma superfície de ataque de elevado valor.
  • A identidade permite o movimento lateral e a escalada de privilégios.
  • A identidade é também o sistema de que a empresa necessita para recuperar tudo o resto.

É por isso que os conselhos de administração não devem tratar a recuperação do Active Directory como mais um exercício de cópia de segurança. O AD é uma base de dados replicada e multimestre, com requisitos de recuperação rigorosos, e uma recuperação incorreta pode prolongar o tempo de inatividade, permitir que os atacantes voltem a ter acesso ou obrigar as equipas a recomeçar do zero.


Por que razão a IA torna a questão da recuperação da identidade mais urgente

As orientações dos «Five Eyes» não afirmam que a IA altere todos os princípios da segurança cibernética. Na verdade, grande parte das recomendações é de carácter fundamental: reduzir a exposição, acelerar a aplicação de correções, retirar de serviço os sistemas obsoletos, reforçar os controlos de identidade e de acesso, partir do princípio de que ocorrerão violações e testar antecipadamente os planos de resposta.

O que a IA altera é o ritmo e a escala a que as vulnerabilidades podem ser detetadas e exploradas. Isso significa que pressupostos de longa data, como «teremos tempo para investigar», «podemos corrigir o problema manualmente» ou «o nosso backup provavelmente é suficiente», tornam-se mais difíceis de defender.

Para as equipas de identidade, a principal implicação é a seguinte: a preparação para a recuperação deve ser tratada como uma capacidade dinâmica, e não como um documento estático. Se os atacantes conseguirem agir mais rapidamente, as organizações precisam de saber com antecedência:

  • Quanto tempo demora a recuperar o AD para um estado em que se sabe que funciona corretamente
  • Se os backups estão corretos
  • Se as vias de acesso privilegiado foram identificadas e reduzidas
  • Se a comunicação em situações de crise e a tomada de decisões podem prosseguir caso as ferramentas que dependem da identidade falhem

Essas são questões do âmbito do Conselho de Administração, pois determinam se um incidente cibernético se traduz numa perturbação controlada ou numa crise empresarial prolongada.


A diferença entre a resiliência do backup e a resiliência da identidade verdadeira

Uma das distinções mais importantes no que diz respeito à resiliência da identidade é a diferença entre ter uma cópia de segurança e ser capaz de recuperar um estado de confiança.

A Semperis deixa isto bem claro: o que importa é o resultado da recuperação, e não apenas a cópia de segurança.

Qualquer pessoa pode afirmar que fez uma cópia de segurança do Active Directory. A questão mais complexa é saber se a organização consegue recuperá-lo de forma a restabelecer capacidade de identificação fiável suficiente para suportar as operações mínimas viáveis da empresa (MVC) dentro do prazo exigido.

Essa distinção é importante porque os sistemas de identidade comprometidos não ficam comprometidos apenas de uma única forma. Os atacantes podem comprometer os sistemas operativos que alojam o AD, mas também podem criar persistência no próprio banco de dados do AD através de contas privilegiadas, alterações de permissões, adesões não autorizadas ou outras portas traseiras. Restaurar o backup errado demasiado depressa pode simplesmente reintroduzir o ponto de acesso do atacante.

É neste aspeto que muitos programas de resiliência ainda se encontram imaturos. Dispõem de políticas de cópia de segurança. Podem até ter manuais de recuperação. No entanto, ainda não demonstraram que a identidade pode ser restaurada de forma correta, dentro de um objetivo de tempo de recuperação (RTO) realista, sob o stress e a confusão de uma crise cibernética real.

O que os conselhos de administração devem perguntar à administração neste momento

Se a declaração dos «Five Eyes» constitui um apelo à liderança, os conselhos de administração precisam de perguntas concretas a colocar. Algumas boas opções incluem:

  • Será que conseguimos recuperar o Active Directory para um estado que se saiba estar limpo? A recuperação rápida é importante, mas a recuperação limpa é ainda mais importante. Os responsáveis devem questionar-se sobre como a organização verifica se o ponto de recuperação é fiável e se a persistência na camada de identidade não sobreviverá à restauração.
  • Já testámos a recuperação em relação ao nosso RTO empresarial efetivo? Um objetivo de recuperação do AD só faz sentido se restaurar serviços de identidade suficientes para dar suporte às aplicações e aos processos empresariais críticos da organização. Recuperar um controlador de domínio não é o mesmo que restabelecer as operações empresariais.
  • Sabemos quais são as vulnerabilidades relacionadas com a identidade que mais importam? As orientações da aliança «Five Eyes» dão ênfase aos controlos fundamentais e à redução da exposição. Na prática, isso inclui compreender os percursos privilegiados, o acesso administrativo obsoleto, as configurações incorretas, o risco associado à delegação de poderes e os controlos de identidade fracos que os atacantes podem encadear.
  • A equipa de resposta consegue coordenar-se caso os sistemas dependentes de identidade estejam indisponíveis? Um plano de recuperação que parta do princípio de que o e-mail, as partilhas de ficheiros e as comunicações normais continuarão a funcionar durante uma falha de identidade é incompleto. A gestão de crises deve funcionar independentemente dos sistemas que estão a ser recuperados, com uma capacidade de comunicação e coordenação fora de banda (como, por exemplo, Semperis Ready1), garantindo que as equipas de resposta possam continuar a colaborar ao longo do incidente.
  • Será que validámos isto há pouco tempo? Se os pressupostos relativos aos riscos cibernéticos podem ficar desatualizados em poucos meses, então a validação da resiliência não pode ser uma simples formalidade anual. Tem de ser ensaiada com frequência suficiente para refletir a arquitetura atual, as dependências atuais e as vias de ataque atuais.

Como se traduz a preparação prática

A boa notícia na declaração dos «Five Eyes» é que a resposta não é «comprar mais ferramentas».

As agências chamam explicitamente a atenção dos líderes para os princípios fundamentais, a execução disciplinada e o uso deliberado da IA para melhorar a defesa nos aspetos em que esta acrescenta valor.
No caso de ambientes de identidade híbridos, a preparação prática envolve, normalmente, várias ações.


Reduzir as vias de ataque à identidade

Reforce o controlo do acesso privilegiado, elimine a exposição desnecessária, reveja regularmente as permissões e identifique vias de ataque de alto risco aos ativos de Nível 0 antes que um adversário o faça.


Melhorar a visibilidade do comportamento específico de cada identidade

O registo geral é importante, mas os ataques de identidade requerem frequentemente um contexto específico do AD para detetar alterações perigosas, tais como atividade de DCSync, comportamento de «Golden Ticket», manipulação de grupos com privilégios ou abuso do AdminSDHolder.


Teste a recuperação tal como a empresa a vivenciaria

Um teste de recuperação significativo verifica se os serviços de identidade são restabelecidos na ordem correta, com as dependências adequadas e numa escala suficiente para operações críticas. Além disso, testa se as equipas conseguem agir sob pressão e comunicar de forma eficaz ao longo do incidente.


Encarar a gestão de crises e a recuperação da identidade como indissociáveis

A recuperação da identidade não é apenas um processo técnico de restabelecimento. É também um problema de coordenação que envolve executivos, equipas jurídicas, equipas de infraestruturas, responsáveis pelas aplicações, equipas de resposta e, muitas vezes, partes interessadas externas. As organizações que gerem bem ambos os aspetos recuperam mais rapidamente e com menos confusão.


O papel da Semperis como consultora de confiança

A Semperis revela-se mais valiosa neste contexto quando o objetivo não é simplesmente vender um produto, mas sim ajudar as organizações a colmatar a lacuna entre os planos de segurança de identidade e a resiliência comprovada em matéria de identidade.

Isso pode começar por compreender a exposição. A Semperis disponibiliza formas gratuitas e práticas de avaliar o estado de segurança das identidades, incluindo Purple Knight a avaliação de vulnerabilidades comuns no AD, no Entra ID e no Okta, e Forest Druid para identificar vias de ataque de Nível 0.

A experiência da Semperis estende-se também à resposta e recuperação. A sua equipas de Análise Forense de Identidades e Resposta a Incidentes (IFIR) enfatizam que a recuperação deve restaurar o AD para um estado fiável e isento de malware, em vez de se limitar a colocar os serviços novamente em funcionamento. O planeamento da recuperação é acompanhado por uma coordenação de crises que permanece disponível mesmo quando os sistemas dependentes de identidade não o estão.

Esse posicionamento é importante porque está em consonância com as orientações da Five Eyes. A necessidade estratégica não é gerar mais medo. É obter mais provas —de que os controlos fundamentais são eficazes, de que a identidade pode ser restaurada de forma adequada e de que a organização consegue continuar a funcionar durante o incidente, em vez de ter de improvisar no meio do mesmo.


Os conselhos de administração devem validar a recuperação da identidade já

O desafio mais importante levantado pela declaração dos «Five Eyes» não é determinar se a IA irá alterar o risco cibernético. Isso já aconteceu.

Atualmente, as equipas de liderança têm de garantir a única capacidade que mais importará quando a identidade for comprometida: a capacidade de recuperar o AD de forma rápida, eficaz e com controlo suficiente para manter a atividade da empresa em funcionamento.

Os conselhos de administração não precisam de mais uma garantia abstrata de que «temos controlos em vigor». Precisam de provas de que a resiliência da identidade funciona sob pressão. As organizações que conseguirem apresentar essas provas estarão melhor preparadas não só para sobreviver a ameaças aceleradas pela IA, mas também para manter a confiança quando chegar a hora da prova.


Recursos relacionados

Declaração das agências de cibersegurança do «Five Eyes» | Cyber.gov.au
O estado da segurança da identidade na era da IA
Introdução de agentes de IA na sua estrutura de identidade
Recuperação de identidade e gestão de crises: inseparáveis na resposta a incidentes
Repensar a gestão de crises cibernéticas: por que razão os planos falham
Principais armadilhas do « AD Forest Recovery » manual
Empresa Mínima Viável: a verdadeira resiliência cibernética começa com a identidade
Lista de verificação: Prepare a sua estrutura de identidade para a era dos agentes