Na Conferência de Profissionais de Segurança Cibernética e Privacidade (CPPC) da EDUCAUSE deste ano, em Anaheim, Califórnia (EUA), os participantes podem ter compartilhado uma escada rolante com um personagem de Star Wars ou visto uma onda de Minnie Mouses passando pelo saguão. A feira de influenciadores de mídia social do outro lado da rua provou que os bastões de selfie são acessórios práticos e que regatas fluorescentes são uma vestimenta adequada.
Dentro da área de conferência, no entanto, centenas de defensores cibernéticos conversavam sobre como manter o ensino superior seguro, já que a IA, a regulamentação e as técnicas de ataque estão acelerando simultaneamente. As sessões abordaram ameaças habilitadas por IA, os riscos e as promessas dos agentes de IA, resiliência de dia zero, harmonização de estruturas, o papel da segurança nos esforços de modernização e como defender o ecossistema de TI contra fraudes. Um tema central da conferência foi que a identidade será o alicerce da segurança no ensino superior na próxima década.
Três conclusões que vale a pena levar de volta ao campus.
Conclusão 1: a MFA é necessária, mas não consegue dar conta de tudo sozinha
Várias sessões tomaram caminhos diferentes e, no fim, chegaram ao mesmo ponto. Os kits de phishing do tipo "browser-in-the-middle" fazem o proxy de um login real, permitindo que o usuário conclua a MFA e, em seguida, roubam a sessão autenticada. Ataques de prompt, trocas de SIM e kits "attacker-in-the middle" deixaram de ser casos isolados e se tornaram rotineiros. O phishing criado por IA atingiu um nível de qualidade e volume que os treinamentos tradicionais de usuários têm dificuldade em igualar. Deepfakes de voz direcionados a serviços de suporte técnico foram identificados como um padrão ativo de ameaça.
Isto ficou bem claro em muitas sessões: a MFA protege as credenciais, mas os ataques atuais têm como alvo sessões, dispositivos, fluxos de recuperação e as pessoas que atendem ao telefone.
A próxima fase é familiar em seus componentes: fatores de resistência a phishing vinculados ao site legítimo e a um dispositivo confiável, avaliação contínua do risco da sessão e do dispositivo após o login, governança vinculada à função e automação do ciclo de vida que remove o acesso no momento em que uma pessoa muda de função ou sai da empresa. A MFA, por si só, nunca resolveria esses problemas. A execução dessas capacidades como ferramentas desconectadas também não. As instituições que têm um progresso real estão integrando tudo isso em uma plataforma unificada de identidade.
Conclusão 2: a proliferação da IA e os agentes estão aparecendo no campus
Se você esperava passar uma semana sem ouvir falar sobre IA e agentes de IA, essa conferência não era o lugar certo. As sessões ocorreram em paralelo: uma contava histórias de terror sobre ataques habilitados por IA enquanto a outra destacava o potencial dos casos de uso agênticos.
A TI no ensino superior se encontra nesse ponto atualmente. Agentes de IA produtivos e eficientes estão surgindo nos departamentos de TI mais rápido do que é possível catalogá-los. Os professores estão convencidos de que o OpenClaw poderia ser melhor do que o assistente deles se tivesse acesso a mais alguns sistemas. Já os estudantes estão desenvolvendo novos casos de uso em todos os cantos do campus.
O risco tem dois lados. Do lado do invasor, a IA reduziu o custo da criação de phishing convincente, do comprometimento de e-mails comerciais, dos deepfakes e do reconhecimento automatizado a um nível em que a autenticação estática e as políticas de acesso não conseguem acompanhar. Do lado da Shadow AI nos campi, pergunte a uma equipe de segurança quantos agentes de IA estão operando na instituição. A resposta quase sempre será uma estimativa, seguida de: "pelo menos esses são os que conhecemos".
A identidade oferece uma solução para ambos os lados — e ela se resume a ser capaz de responder a três perguntas:
- Onde estão os meus agentes?
- O que eles podem acessar?
- O que eles podem fazer?
As universidades já estão desenvolvendo assistentes e fluxos de trabalho de IA em diversas equipes, ferramentas e plataformas. O desafio não é se essas instituições usarão IA, mas sim como expandi-la sobre uma base de identidade que permita responder a essas perguntas com confiança. Isso inclui:
- Descobrir cada agente
- Registrar a propriedade
- Delegar a autoridade do usuário de forma segura
- Reforçar o acesso de granularidade fina com aprovação humana onde for necessário
- Manter um registro auditável em todo o ecossistema de TI do campus
Conclusão 3: centros de pesquisa, dados regulamentados e a camada de identidade subjacente
A questão da conformidade surgiu com mais frequência nas áreas onde ela tem mais impacto. Universidades com foco em pesquisa e centros médicos acadêmicos precisam gerenciar simultaneamente os requisitos de diversas estruturas de conformidade, muitas vezes sobrepostas, nos mesmos sistemas, incluindo CMMC, NIST 800-171, HIPAA, FERPA e acordos federais de dados. Uma das sessões descreveu a jornada para construir um ambiente de pesquisa regulamentado que atenda ao Nível 2 do CMMC. O padrão operacional ficou claro: a identidade é fundamental.
Grande parte do Nível 2 do CMMC consiste em identificação, autenticação, controle de acesso, auditoria e responsabilidade, o que se manifesta da mesma forma em todos os acordos federais de pesquisa de dados e na HIPAA. Uma plataforma de identidade unificada que gerencia autenticação, acesso privilegiado, governança e relatórios prontos para auditoria reduz os esforços duplicados em todas essas áreas.
Sozinha, uma estrutura de segurança de identidade não garante a conformidade, mas torna a parte de identidade do trabalho mensurável, repetível e defensável.
O final feliz
Este resumo pode dar a entender que uma conferência que tratou apenas de identidade foi suspeitosamente realizada perto de um dos lugares mais felizes da Terra. A realidade é que houve um encontro de profissionais de cibersegurança que debateram os problemas mais complexos de segurança, conformidade, IA e resiliência no ensino superior. A identidade simplesmente apareceu em todo lugar. E nem todo mundo foi passear na Disney.
Para os profissionais de privacidade e segurança cibernética no ensino superior, o objetivo não se limita mais a um SSO melhor e à autenticação moderna. Eles querem uma estrutura de segurança de identidade unificada que integre acesso, governança, risco, conformidade, segurança da IA e experiência do usuário para que todos no campus possam utilizar qualquer tecnologia com segurança.
