Por que o TecSec defende a diversidade na cibersegurança e na tecnologia? (e por que você também deveria…)

Desde 2023 o dia 20 de novembro é dedicado à Consciência Negra. Por extensão, o mês de novembro virou um mês de celebração da memória e da cultura negra, e também um mês para refletir os desafios que nós, como sociedade, ainda temos na busca da igualdade racial. 

Por isso todo o mês de novembro o TecSec tem uma programação especial, trazendo convidados e convidadas pretos e pretas, com ou sem ligação com a tecnologia, para contar suas trajetórias e os perrengues que passaram para crescer – como pretos e pretas – nas suas carreiras e nas suas vidas. 

Mas quem conhece e acompanha o TecSec sabe que a questão da igualdade racial sempre esteve no nosso DNA. Desde o começo buscamos dar espaço para que vozes negras falassem para o nosso público sobre suas origens, escolhas e batalhas (neste ano publicamos um blogspot no nosso site onde selecionamos algumas das melhores entrevistas). 

Porém, como acontece todo ano, nos sentimos frustrados com a pouca recepção deste tema no nosso meio.

Acreditamos fortemente que ambientes com mais diversidade tornam os negócios capazes de atender a demandas que vão além de bolhas, gerando vantagem competitiva. Na tecnologia isso não é diferente. 

Mas antes de falar das vantagens de contar com mais diversidade nas empresas, levantei algumas hipóteses sobre por que é tão difícil engajar nossa comunidade em torno desse tema. 

E já digo que a ideia aqui não é encontrar um “culpado”, mas sinceramente tentar entender o problema. 

1. A ideia da “Meritocracia Técnica”

O público de tecnologia, em grande parte, foi educado sob a crença de que o setor é puramente meritocrático: “Se o código funciona, não importa quem o escreveu”.

Falar em desigualdade social, racial, econômica, pode parecer que há uma inversão de valores quando operamos sob essa lógica. Nela, cada um é recompensado segundo suas competências. Simples. 

De fato, se olharmos apenas para a última milha da carreira, naquele ponto onde todo mundo faz parte de uma organização busca executar suas tarefas da melhor forma possível, isso faz sentido. 

Mas se partirmos do fato de que vivemos em uma sociedade onde as chances para atingir o topo não são as mesmas para todos e todas desde a base, passamos a enxergar esse argumento (todo mundo é capaz) como algo falho. Nem sempre a capacidade e a vontade pessoal são o “segredo para o sucesso”. 

É verdade que todo mundo passa por desafios para atingir seus objetivos, mas é importante refletir sobre a oportunidade que cada um teve desde a sua origem para atingir esses objetivos.

2. O viés do “Problema Solucionável”

Profissionais de tecnologia costumam consumir conteúdo focado em resolução de problemas imediatos (como configurar um firewall ou mitigar um exploit).

Eles estão sob pressão constante para entregar resultados e reduzir danos e riscos. 

É um contexto completamente do contexto social. O racismo não se corrige com patch. Muita gente enxerga o problema, mas simplesmente se sente impotente diante dele. Ou mesmo não enxerga uma utilidade prática em combater esse problema. 

3. Algoritmos e bolhas

As plataformas de distribuição (LinkedIn, buscadores, redes sociais) tendem a entregar o que o usuário já consome habitualmente e essa é uma lógica contra a qual simplesmente não há o que fazer. 

Se você ou eu consumimos conteúdo técnico 90% do tempo, provavelmente esse post simplesmente não vai chegar até você. 

Tem mais, o mesmo algoritmo vai entregar conteúdo novo com base em interações. Com menos pessoas interagindo, menos esse conteúdo vai chegar a novos públicos. 

Cruel, mas é a real. 

Legal, Gustavo. Então me convença de que falar desse tema na nossa comunidade é algo importante

Em primeiro lugar você precisa ver alguns números oficiais que provam que há desigualdade de raça e gênero na nossa comunidade (somos técnicos, logo, somos treinados a confiar em números e estatísticas), leia a introdução deste post.

• O último censo, de 2022, mostra que as atividades com menor rendimento, como agropecuária, construção civil e serviços domésticos, tinham a maior proporção de trabalhadores pretos ou pardos. 

• O rendimento-hora dos homens brancos supera o dos homens pretos em todos os níveis de instrução. Entre os brancos, o valor médio era de R$3.273. Entre os pretos era de R$2.838.

• A informalidade também é mais alta entre trabalhadores pretos e pardos com 40% dos homens e 46% das mulheres.

• Uma pesquisa divulgada em 2024 conduzida pelo IT Forum Inteligência com o Eu Capacito e o LandTECH aponta que apenas 4% dos profissionais de TI do país são pretos, enquanto 73% são brancos. No recorte por gênero, 86% são homens e 12% mulheres.

• Diante desses números não podemos assumir outra postura que não a de luta, e nessa luta o TecSec tem um lado claro: precisamos reduzir a desigualdade racial no Brasil. 

E aí a gente pode começar a falar sobre os impactos dessa diferença toda. Separei alguns pontos bem atuais para que a gente reflita:

Como a falta de diversidade gera vieses em IA de Segurança

Viés de Dados e Representatividade

Sistemas de IA, como reconhecimento facial, falham com grupos minoritários se treinados com dados homogêneos. Isso leva a alto Falso Negativo (negando acesso legítimo) ou Falso Positivo (permitindo acesso indevido), sendo um risco de segurança. Exemplo: IAs de vigilância que falham em identificar rostos pretos em baixa luz.

Visão Estreita na Linguística (NLP)

Modelos de NLP (deteção de phishing ou engenharia social) treinados em dialetos dominantes não reconhecem ataques que utilizam gírias ou códigos de grupos minoritários (Ignorar ataques). Pior, podem marcar comunicações legítimas desses grupos como suspeitas (Censurar usuários).

Definição Enviesada de “Comportamento Normal”

Sistemas de segurança (EDR/UBA) definem “anomalia” com base em um padrão de comportamento não-diverso. Desconsiderar contextos culturais ou socioeconômicos (horários, dispositivos) gera imensos falsos positivos. Isso causa “fadiga de alertas” na equipe de segurança, mascarando ataques reais.

Esses são apenas alguns exemplos.

Se considerarmos um ambiente homogêneo do ponto de vista racial e de gênero é possível prever que logo teremos muitos outros pontos cegos. Veja abaixo.

• 1. O Mito do Ataque Padrão: Times homogêneos focam em ameaças que eles sofreriam (ex: golpe da Receita Federal). Isso os faz ignorar ataques de pretexting que usam contextos de minorias ou gírias regionais, não os reconhecendo como perigosos.

• 2. Falta de Inteligência de Rua Digital: A engenharia social moderna exige personalização. A ausência de diversidade socioeconômica impede o time de validar a verossimilhança (credibilidade) da linguagem usada em ataques de vishing ou outros, expondo a empresa a erros de julgamento.

• 3. O Efeito de Pensamento de Grupo (Groupthink): A homogeneidade gera conforto intelectual, onde o grupo tende a concordar rapidamente. A diversidade é um “atrito produtivo” essencial para forçar a consideração de cenários de ataque não óbvios e vieses culturais desconhecidos.

• 4. Vulnerabilidade em Canais Não Convencionais: Times tradicionais focam em e-mail/Slack. Sem diversidade, eles demoram a notar que atacantes exploram novas “superfícies de ataque” em canais como WhatsApp comunitário ou redes sociais de nicho, que não fazem parte do seu cotidiano.

De cara posso dizer que não são questões desprezíveis em qualquer cenário. Pense num banco. Com o aumento da inclusão no sistema financeiro, será que basta seguir a lógica dos times de homens brancos para proteger os clientes? E uma grande varejista? Será que ela pode pensar em estratégia de segurança que desconsidere canais de comunicação de nicho para pensar na segurança do negócio?

Nunca fui tão seguro nesse ponto: precisamos de diversidade

Espero ter sido claro: a questão social da inclusão e da diversidade é importante, mas cada vez mais ela vem se tornando também uma questão de negócio. 

Por tudo isso esse assunto ainda vai ser central aqui no TecSec.

É uma luta por incluir quem hoje não tem espaço, sim, mas também é uma luta que deveria ser central na cibersegurança. 

Bora conscientizar!