As duas pesquisas saíram na mesma semana e, lidas juntas, descrevem um desencontro de compra:
- O dinheiro vem. 78% das empresas brasileiras de porte médio e grande vão ampliar. A América Latina fica em 79%, a Ásia-Pacífico em 78% e a União Europeia em 69%. A região está entre as que mais pretendem gastar.
- O destino do gasto ainda é a infraestrutura de ontem. 85% das organizações governam identidade de máquina e de agente com ferramenta de identidade genérica ou com controle nativo da plataforma. 4% usam ferramenta separada para agente. 2% usam tecnologia feita para o problema.
- A restrição não é orçamento, é gente. Contratar um especialista de segurança no Brasil leva mais de seis meses, segundo a mesma pesquisa. Ferramenta comprada e não operada é custo com aparência de controle.
- A conta de conformidade já está vencendo. 57% dizem conseguir atender exigência regulatória, mas 43% se consideram preparados para apresentar evidência verificável em auditoria relacionada a IA. A diferença entre essas duas respostas é o tamanho do problema.
Os números da SailPoint, que são o lado difícil da conta
A pesquisa pontua as organizações em cinco patamares de maturidade, do primeiro, sem programa formal, ao quinto, integrado ao ecossistema. O retrato é este:
| Medida | Valor |
|---|---|
| Organizações com agentes de IA em produção | 79% |
| Que usam tecnologia de identidade feita para agente | 2% |
| Que usam ferramenta separada para identidade de agente | 4% |
| Que usam ferramenta genérica ou controle nativo da plataforma | 85% |
| Participação dos agentes no total de contas não humanas | 22% |
| No primeiro patamar de maturidade para identidade de agente | 54% |
| No primeiro patamar para identidade humana, contra 45% em 2022 | 23% |
| Que avaliam a própria capacidade de IAM humano como boa ou melhor | 87% |
| Com processo maduro para acesso de agente | 43% |
| Que conseguem provisionar acesso não humano em tempo real | 15% |
| Com estratégia de identidade não humana alinhada ao plano de IA da empresa | 41% |
A relação de 79% para 2% é o que a SailPoint chama de lacuna de 40 para 1. O número que considero mais revelador, no entanto, é outro par: 80% dos líderes avaliam a distância entre a ferramenta que têm e a de que precisam como moderada ou menor, e 15% conseguem provisionar acesso não humano em tempo real. Não é uma lacuna de ferramenta. É uma lacuna de percepção de lacuna.
Wendy Wu, diretora de marketing da SailPoint, resumiu o problema de prazo: comprimir uma curva de maturidade de cinco anos em um único ano é um desafio operacional enorme. É uma frase de fornecedor, e ainda assim descreve o que está acontecendo. A maturidade de identidade humana levou quatro anos para sair de 45% no primeiro patamar e chegar a 23%. A de agente começou agora, com 54% no primeiro patamar, e a tecnologia que ela precisa governar não espera quatro anos.
A restrição brasileira tem nome e prazo
Do lado de cá, a pesquisa da Kaspersky mede intenção de gasto, não execução, e esse detalhe é o ponto. 78% querem ampliar. Ao mesmo tempo, preencher uma vaga sênior ou analítica crítica de segurança leva mais de seis meses. Roberto Rebouças, gerente-geral da Kaspersky no Brasil, foi direto: o desafio da falta de talento fica mais evidente conforme o investimento cresce.
Esse é o mecanismo que transforma orçamento aprovado em prateleira cheia. A compra se resolve em um trimestre. A contratação de quem vai operar, em dois ou três. Nesse intervalo, a ferramenta entra em produção com configuração padrão, sem ajuste fino, sem caso de uso escrito e sem ninguém medindo se ela está detectando algo. É a forma mais discreta de desperdício em segurança, porque aparece no balanço como investimento e no ambiente como nada.
Vale um reparo honesto nas duas pesquisas. A da Kaspersky é de uma fabricante de produto de segurança perguntando se as empresas vão comprar mais produto de segurança. A da SailPoint é de uma fabricante de produto de identidade concluindo que falta produto de identidade feito para agente. Nenhuma das duas é neutra, e as duas são úteis porque a direção que apontam coincide com o que se vê em edital e em renovação de contrato na região.
Onde o dinheiro vai parar se ninguém mudar o edital
A inércia de compra em segurança é alta e previsível. Orçamento novo em empresa que já tem plataforma instalada vira, na maioria dos casos, módulo adicional do fornecedor que já está lá. Isso não é irracional: é mais rápido, passa por um contrato existente e não exige integração nova. É também exatamente como se chega aos 85% governando agente com ferramenta genérica.
O caminho que a própria pesquisa da SailPoint recomenda tem três estágios, e dá para usá-lo como critério de compra independentemente de fornecedor. Descobrir: catalogar conta de serviço, token de API, script e agente, identificar IA fora do processo oficial e atribuir dono e finalidade a cada identidade de máquina. Governar: automatizar criação, mudança de privilégio e desativação dessas identidades, forçar rotação de credencial e ligar sinal humano e sinal de agente no mesmo grafo. Proteger: privilégio zero em repouso, acesso sob demanda e contenção automática.
Do ponto de vista de quem assina a compra, o teste é simples. Qualquer fornecedor que não consiga demonstrar o primeiro estágio, descobrir o que já existe no ambiente do cliente, não deveria avançar para a conversa sobre os outros dois. Inventário é a parte chata e é a única que não dá para terceirizar para o roteiro do produto.
Cinco perguntas para a próxima renovação
- Quantas identidades não humanas existem hoje no ambiente, e quantas delas têm dono nomeado? Se a resposta não vier de um relatório, e sim de uma estimativa, o problema de governança está antes da ferramenta.
- Qual é o tempo para revogar o acesso de um agente que passou a se comportar fora do esperado? A resposta útil é em minutos ou horas, não em processo.
- A plataforma de identidade que já está contratada governa agente de verdade, ou governa a conta de serviço que o agente usa? São coisas diferentes, e boa parte da discussão de mercado confunde as duas de propósito.
- Quem opera isso depois da compra, com nome e dedicação em horas por semana? Diante de seis meses de prazo de contratação, a resposta honesta muitas vezes é terceirizar a operação, e é melhor decidir isso antes de assinar do que seis meses depois.
- O que a empresa consegue apresentar hoje se um auditor pedir a trilha de decisão de um agente que tocou dado de cliente? Com 43% de preparo declarado para esse tipo de evidência, a aposta estatística é que a resposta seja nada.
O argumento que vai convencer o financeiro antes do técnico
Entre as organizações que já investem em segurança de identidade não humana, 62% relatam ganho mensurável de produtividade e 46% dizem ter implantado IA de forma mais rápida e segura. E 76% dos líderes esperam que uma governança de identidade mais forte melhore a elegibilidade ou os termos do seguro cibernético.
Esse último número é o que tende a abrir o orçamento no Brasil, mais do que qualquer argumento de risco. Seguro cibernético aqui ainda é mercado em formação, com questionário de subscrição cada vez mais detalhado e prêmio sensível a controle demonstrável. Se o segurador começar a perguntar sobre governança de identidade de agente, como já pergunta sobre autenticação multifator e cópia de segurança isolada, a discussão sai da área técnica e vai para a renovação da apólice. Historicamente, é ali que ela anda mais rápido.
O que esperar
A previsão menos arriscada é a de que os 78% de intenção de gasto se confirmem em contrato e os 2% de ferramenta feita para agente subam pouco em 2027. O que deve mudar primeiro é o questionário: pergunta sobre inventário de agente, sobre quem aprova ação de agente e sobre trilha de auditoria vai migrar da conversa informal para a planilha de avaliação de fornecedor. É menos do que o problema pede, e é a parte que não depende de contratar ninguém.
Outros movimentos do mercado
- PCI SSC
Ação de agente sobre dado de cartão em texto claro passa a pedir aprovação humana explícita
O conselho de padrões de segurança de meios de pagamento publicou em 8 de outubro o documento Security Considerations for AI Systems. A orientação é consultiva e não substitui exigência existente, mas define o que vai aparecer em questionário de conformidade: menor agência possível por sistema, um humano responsável formal pela saída do modelo, aprovação humana explícita para qualquer ação de agente com acesso a dado de portador em texto claro, e proibição de combinar acesso a dado sensível, comunicação externa e entrada não confiável no mesmo sistema. Contrato com fornecedor externo de IA deve vedar uso do dado para treinamento.
- Pesquisa
Sete ferramentas de segurança em média, e ainda sem ver todo o ativo de OT
Levantamento da Palo Alto Networks divulgado nesta semana aponta que operadores industriais rodam em média sete ferramentas de segurança e continuam sem visibilidade completa do próprio inventário de tecnologia operacional. É o retrato de compra por camada: cada incidente adiciona uma ferramenta, nenhuma delas resolve o inventário, e o custo de operação sobe junto com o número de consoles.
- Automação
Noventa por cento querem operação de TI autônoma, 77% hesitam em deixar a IA agir sozinha
Pesquisa divulgada na semana mostra 90% das empresas interessadas em operação de TI autônoma e 77% com reserva em permitir que a IA execute ação sem revisão. A distância entre os dois números é o espaço em que o mercado de aprovação, trilha de auditoria e reversão de ação de agente vai se formar. É a mesma lacuna que a orientação do PCI SSC acabou de nomear do lado de pagamentos.
- Autenticação
Quarenta e três por cento ainda entram na conta corporativa com senha
Pesquisa conjunta da Yubico e da Okta indica que 43% dos profissionais ainda autenticam em conta de trabalho com senha. O dado é útil como calibragem de prioridade: enquanto a discussão de orçamento migra para governança de agente, quase metade do acesso humano segue no fator que a indústria declarou obsoleto há uma década.
Fontes e aprofundamento
- IT Forum · 78% das empresas brasileiras ampliam segurança de TI, aponta Kaspersky, os 78%, 17% e 5% no Brasil, a comparação com América Latina, Ásia-Pacífico e União Europeia e o prazo de mais de seis meses para contratar.
- SailPoint · SailPoint Report Finds 79% of Enterprises Run AI Agents in Production, Yet Only 2% Have Deployed Purpose-built Security, a quinta edição do Horizons of Identity Security, com 340 líderes, os cinco patamares de maturidade, a lacuna de 40 para 1 e a fala de Wendy Wu.
- Channel Insider · SailPoint: AI Agents Outpace Identity Security Controls, os percentuais de ferramenta genérica, separada e feita para agente, os 15% de provisionamento em tempo real e os três estágios de descobrir, governar e proteger.
- Brasil Inovador · Empresas brasileiras planejam ampliar aportes em cibersegurança e enfrentam déficit de especialistas técnicos, a metodologia da pesquisa da Kaspersky, com 1.800 respondentes em 18 países, e a fala de Roberto Rebouças sobre o gargalo de talento.