De poucos em poucos meses, a segurança das avaliações parece encontrar uma nova questão com que se preocupar. Como devemos responder à IA generativa? Óculos inteligentes? Deepfakes? A próxima ameaça emergente? São todas perguntas importantes. Simplesmente não estou convencido de que sejam os mais importantes.

Um recente webinar da Association of Test Publishers (ATP) sobre segurança em diferentes modalidades de exame reforçou essa visão. A parte mais valiosa da discussão não foram as tecnologias em si. Foi a oportunidade de dar um passo atrás e perguntar se estamos a focar-nos nas questões que continuarão a importar quando a próxima tecnologia chegar.

Quer gere um programa de certificação, um exame de licenciamento ou um exame de admissão, o padrão é o mesmo: quase de certeza haverá outra 'variante' de IA no próximo mês ou no próximo ano, tal como haverá novos dispositivos, novas técnicas e novas formas de agentes mal-intencionados explorarem os sistemas de avaliação. Se as nossas estratégias de segurança se basearem na tecnologia atual, estaremos sempre a tentar recuperar o atraso. A segurança da avaliação preparada para o futuro começa por fazer perguntas melhores.

A tecnologia muda, os princípios de segurança perduram. Vimos isto ao longo da história da avaliação. Os dispositivos ocultos tornam-se menores, os testes proxy tornam-se mais sofisticados, a IA reduz a barreira à má conduta enquanto cria vetores de ataque totalmente novos.

Cada nova tática cria pressão para encontrar a próxima contramedida, seja outra política, outra ferramenta ou outro controlo concebido para contrariar a técnica mais recente. Essa é uma corrida que nunca vamos ganhar.

Segurança eficaz não consiste em prever cada nova ameaça. Trata-se de compreender os vetores de ataque subjacentes, incluindo personificação, roubo de conteúdos e assistência não autorizada, e construir arquiteturas de segurança que se mantenham eficazes à medida que o panorama das ameaças evolui. Tecnologias como a IA têm um papel cada vez mais importante neste processo, ajudando-nos a identificar riscos mais cedo, combater a trapaça habilitada pela IA e reforçar a segurança das avaliações. Essa mudança de pensamento é o que torna a segurança resiliente; O que vier a seguir.

A segurança da avaliação é frequentemente enquadrada como um compromisso entre integridade e experiência do candidato. Não acho que tenha de ser.

Uma boa segurança é assimétrica: quase invisível para candidatos honestos e cara para maus intervenientes. O objetivo não é criar mais atritos para todos. Trata-se de criar atritos significativos precisamente onde pertencem, para as pessoas que tentam minar a integridade da avaliação, mantendo ao mesmo tempo uma experiência justa, acessível e positiva para os candidatos legítimos.

Quando conseguimos esse equilíbrio, a segurança reforça a confiança sem se tornar uma barreira de acesso.

Nenhum controlo de segurança único pode responder a todas as perguntas. E não se deve esperar que sim.

Cada controlo contribui com uma perspetiva diferente:

• A verificação de identidade estabelece a confiança de que a pessoa certa está a fazer a avaliação.
• Os controlos ambientais conferem confiança nas condições em que a avaliação é realizada.
• A monitorização comportamental ajuda a identificar atividades invulgares à medida que ocorrem.
• A inteligência conectada revela padrões que sessões individuais não conseguem. 

Individualmente, cada um fornece uma perspetiva valiosa. Juntos, fornecem contexto, que é muito mais poderoso. Mais importante ainda, contribuem em diferentes fases do ciclo de vida da avaliação, desde a dissuasão e prevenção de fraudes antes mesmo do início da avaliação, passando pela deteção em tempo real, investigação pós-teste e melhoria contínua.

Isto é importante porque as ameaças modernas raramente dependem de uma única tática. Combinam pessoas, tecnologia, timing e oportunidades de formas que nenhum controlo isolado consegue resolver totalmente. Por isso, faz sentido que a segurança eficaz da avaliação não dependa de um único controlo. A confiança vem de ver o quadro completo, não de depender de uma única parte dela.

Cada avaliação gera dados. A questão importante é se estamos a transformar esses dados em inteligência.

Sinais individuais raramente contam toda a história. Uma verificação de identidade pode não levantar preocupações; uma sessão de testes podia parecer sem incidentes; um único resultado pode não parecer invulgar isoladamente. Mas quando esses sinais estão ligados entre candidatos, sessões, dispositivos, locais e tempo, começa a emergir uma imagem diferente. Os padrões tornam-se visíveis, as relações tornam-se mais claras, os riscos podem ser identificados mais cedo e investigados com maior confiança.

É por isso que acredito que a inteligência conectada está a tornar-se um dos princípios mais importantes na segurança moderna dos testes. Não porque recolhemos mais dados, mas porque os ligamos para criar maior compreensão. É também onde tecnologias como a IA ganham o seu lugar num programa de segurança. Não como a ameaça a que reagimos, mas como uma capacidade defensiva que nos ajuda a identificar riscos mais cedo e a ligar as provas mais rapidamente.

Os programas de segurança mais fortes não respondem apenas a incidentes individuais. Eles ligam continuamente as provas, aprendem com cada avaliação e fortalecem a sua capacidade de prevenir a próxima ameaça.

A segurança da avaliação preparada para o futuro não é definida pela nossa capacidade de prever cada nova técnica de trapaça. Vem da nossa capacidade de construir arquiteturas de segurança desenhadas para a mudança.

Isso exige que olhemos para além das tecnologias individuais e nos foquemos em princípios duradouros. Exige que criemos atritos para maus intervenientes, não para candidatos honestos. Exige que pensemos na segurança como uma arquitetura integrada em vez de um conjunto de controlos autónomos. E exige que transformemos dados em inteligência conectada que nos ajude a adaptar-nos continuamente à medida que as ameaças evoluem.

A tecnologia continuará a mudar, e ninguém pode antecipar cada nova ameaça ou tipo de IA. O que podemos fazer é continuar a fazer melhores perguntas e construir arquiteturas de segurança prontas para o que vier a seguir. Essa é a conversa mais importante que devíamos ter.