A transformação digital da indústria automotiva trouxe ganhos importantes de produtividade, eficiência e integração. Mas criou também novas portas de entrada para ataques cibernéticos. Hoje, veículos, fábricas, fornecedores e concessionárias estão conectados em um ecossistema no qual uma vulnerabilidade aparentemente distante pode comprometer toda a operação.
O chão de fábrica é um bom exemplo. “49% dos ataques ocorrem por meio de dispositivos OT ou IoT. São equipamentos conectados à produção que muitas vezes utilizam sistemas operacionais embarcados ou versões antigas de Windows. Substituí-los nem sempre é simples: uma máquina pode permanecer produtiva durante décadas, enquanto a tecnologia responsável por sua proteção envelhece muito mais rapidamente”, adverte Ricardo Moraes, Head de Cybersecurity da KPMG.
O desafio aumenta quando se considera a dimensão da cadeia automotiva. A produção de um veículo pode envolver entre 500 e 600 fornecedores conectados em tempo real. Por essas redes circulam preços de componentes, códigos, volumes e planejamento de produção, além de informações comerciais estratégicas. Um ataque a um fornecedor, portanto, pode deixar de ser problema de terceiro e rapidamente chegar à linha de montagem.
“A segurança precisa ser tratada em todo o ecossistema. Não adianta uma empresa ter controles robustos se existem centenas de parceiros conectados à sua operação com níveis diferentes de maturidade”, explica Moraes.
O mesmo raciocínio vale para a rede de concessionárias. Durante a compra de um veículo são coletados documentos, telefones, imagens e uma extensa quantidade de informações pessoais. Enquanto montadoras normalmente possuem estruturas mais robustas de proteção, a maturidade pode variar bastante entre grandes grupos e concessionárias menores. Para o consumidor, basta um elo vulnerável para que seus dados fiquem expostos.
Nesse cenário, a KPMG defende a combinação entre tecnologia, governança e conscientização. Um dos princípios é o Zero Trust: nenhuma solicitação de acesso deve ser considerada legítima automaticamente. E-mails, links, telefonemas e pedidos de credenciais precisam ser verificados, principalmente diante da evolução do phishing e da engenharia social impulsionada por IA.
Além das plataformas corporativas autorizadas, funcionários podem utilizar ferramentas externas sem conhecimento da empresa, fenômeno conhecido como Shadow AI. Informações estratégicas podem, assim, ser inseridas em sistemas sem que a organização saiba onde serão processadas. Agentes de IA com permissões excessivas também ampliam os riscos de acessos indevidos.
É justamente aí que cybersecurity e Trusted AI se encontram. A KPMG avalia processos, ferramentas, agentes, fornecedores e fluxos de dados para identificar vulnerabilidades e construir um roadmap de segurança e governança. A proposta não é impedir o avanço tecnológico, ao contrário, mas estabelecer controles que permitam acelerá-lo com menor exposição ao risco.
Para uma indústria que avança rapidamente em direção a fábricas, veículos e serviços cada vez mais conectados, cibersegurança deixa de ser responsabilidade exclusiva da área de TI. Passa a fazer parte da própria continuidade do negócio. Afinal, quanto maior a conectividade, maior precisa ser também a capacidade de proteger cada elo dessa corrente.