As empresas brasileiras melhoraram seus indicadores de cibersegurança, mas ainda permanecem em um estágio intermediário de maturidade e têm dificuldade para identificar, com precisão, os pontos mais vulneráveis de seus ambientes digitais. Uma pesquisa setorial conduzida pelo Markets Innovation & Technology Institute (MiTi), com patrocínio da FTI Consulting, apontou que a aderência média às boas práticas de segurança passou de 53% para 58%.
O mesmo levantamento estimou em 43% a probabilidade média de sucesso de um atacante diante das companhias avaliadas. Na edição anterior, esse índice era de 50,65%. A redução indica avanço na proteção das organizações, mas também mostra que ainda existe uma parcela relevante de risco para empresas de diferentes portes e setores.
Maturidade em cibersegurança ainda é desafio para as empresas
O conceito de maturidade em cibersegurança não se limita à compra e à instalação de ferramentas tecnológicas. Ele envolve a capacidade de uma organização de prevenir ataques, detectar comportamentos suspeitos, responder rapidamente a incidentes e retomar as operações com o menor impacto possível.
Na prática, isso inclui a existência de políticas internas, definição clara de responsabilidades, controle sobre os acessos, atualização de sistemas, proteção dos dispositivos usados pelos funcionários, monitoramento contínuo e planos de resposta. Também exige que a segurança esteja ligada à estratégia do negócio, e não tratada apenas como uma tarefa do departamento de tecnologia.
Para Lierte Bourguignon, vice-presidente de Vendas da ARX CYBER, empresa que atua com cibersegurança, infraestrutura e nuvem desde 2003, muitas organizações ainda avaliam a proteção digital de forma fragmentada.
“Muitas empresas ainda enxergam segurança da informação como um conjunto de ferramentas implantadas, mas sem uma visão consolidada de processos, pessoas e riscos. O desafio está em transformar informações técnicas em indicadores que apoiem decisões estratégicas. Sem um diagnóstico estruturado, a organização acaba investindo em segurança de forma pontual, sem necessariamente atuar nos pontos que representam maior exposição”, afirma.
Quais são as principais fragilidades encontradas
Segundo Bourguignon, as avaliações iniciais realizadas nas empresas costumam revelar problemas recorrentes. Em muitos casos, a organização possui equipamentos e programas de proteção, mas não sabe exatamente se eles estão configurados corretamente, se cobrem todo o ambiente ou se os alertas são acompanhados por uma equipe preparada.
- Gestão de identidades e acessos: controle sobre quem pode entrar nos sistemas e quais informações cada usuário está autorizado a consultar;
- Proteção de dispositivos: segurança de computadores, celulares, servidores e demais equipamentos conectados à rede corporativa;
- Atualização de ambientes tecnológicos: correção de falhas conhecidas em sistemas, aplicativos e equipamentos;
- Monitoramento contínuo: acompanhamento de eventos e comportamentos que possam indicar uma tentativa de invasão;
- Resposta a incidentes: capacidade de conter o ataque, investigar o ocorrido e restabelecer os serviços.
Esses pontos são importantes porque um ataque raramente depende de uma única falha. Uma senha exposta, por exemplo, pode permitir o acesso inicial. Se os privilégios do usuário não estiverem limitados, o invasor pode alcançar outros sistemas. Sem monitoramento, a movimentação pode passar despercebida. E, na ausência de um plano de resposta, a empresa tende a perder tempo justamente durante uma crise.
“Também identificamos muitas empresas que possuem tecnologias de segurança, mas ainda precisam evoluir processos, controles e definição de responsabilidades para que esses recursos sejam utilizados de forma mais eficiente”, pontua o executivo.
Por que o diagnóstico de segurança é importante
Uma avaliação de maturidade funciona como um diagnóstico do ambiente corporativo. O objetivo é levantar os riscos, verificar a efetividade dos controles existentes e organizar as medidas que devem ser tomadas primeiro. Essa priorização é essencial porque nenhuma empresa consegue eliminar todos os riscos de uma só vez, especialmente quando há restrições de orçamento, pessoal e tempo.
O diagnóstico também ajuda a transformar informações técnicas em indicadores compreensíveis para diretores e gestores. Em vez de apresentar apenas uma lista de alertas ou vulnerabilidades, a área de segurança pode demonstrar quais problemas ameaçam sistemas críticos, dados de clientes, operações financeiras e a continuidade do negócio.
Esse aspecto ganhou importância com a digitalização de processos e com a adoção de serviços em nuvem. Quanto mais atividades dependem de sistemas conectados, maior é a necessidade de conhecer os caminhos de acesso, os dados armazenados e os responsáveis por cada etapa de proteção.
Segurança envolve tecnologia, pessoas e processos
As falhas não estão necessariamente relacionadas apenas à falta de ferramentas. Configurações inadequadas, permissões excessivas, equipamentos sem atualização, ausência de treinamento e demora na comunicação de incidentes também podem abrir espaço para criminosos.
Por isso, uma estratégia consistente normalmente combina controles tecnológicos com medidas administrativas. Entre elas estão regras para criação e troca de senhas, autenticação reforçada, revisão periódica de permissões, treinamento dos funcionários, cópias de segurança e testes dos procedimentos de recuperação.
A proteção de dados pessoais também faz parte desse cenário. A Lei Geral de Proteção de Dados (LGPD) estabelece princípios e obrigações para o tratamento de informações pessoais por empresas e órgãos públicos. Embora conformidade legal e segurança da informação não sejam exatamente a mesma coisa, controles de acesso, prevenção de vazamentos e resposta a incidentes contribuem para reduzir riscos relacionados à legislação.
O que as empresas devem fazer após a avaliação
O resultado de um teste de maturidade não deve ficar restrito a um relatório. A etapa seguinte é transformar as constatações em um plano de ação, com responsáveis, prazos e critérios para medir a evolução. A prioridade deve ser dada aos ativos e processos que podem causar maior prejuízo à operação ou aos clientes.
- Mapear sistemas, dispositivos, usuários e dados considerados críticos;
- Revisar permissões e eliminar acessos desnecessários ou sem responsável definido;
- Corrigir vulnerabilidades e manter sistemas e equipamentos atualizados;
- Definir procedimentos para identificar, comunicar e conter incidentes;
- Reavaliar periodicamente os controles e acompanhar a evolução dos indicadores.
Também é importante testar os planos. Um documento que nunca foi colocado à prova pode não funcionar quando ocorrer um incidente real. Simulações ajudam a identificar falhas de comunicação, dependências técnicas e dúvidas sobre quem deve tomar decisões durante uma emergência.
Avanço nos indicadores não elimina o risco
Os números da pesquisa mostram uma melhora na preparação das empresas brasileiras, tanto pelo aumento da aderência às boas práticas quanto pela queda na probabilidade estimada de sucesso de um atacante. Ainda assim, os índices estão longe de indicar um cenário de segurança plena.
O principal alerta é que a evolução precisa ser contínua. Novas tecnologias, mudanças nos processos de trabalho e o uso cada vez maior de serviços digitais alteram constantemente a superfície de ataque das organizações. Uma empresa que hoje apresenta controles adequados pode voltar a ficar exposta se deixar de revisar acessos, atualizar sistemas e acompanhar novas ameaças.
Para as companhias, o caminho apontado pelos especialistas passa por conhecer o próprio ambiente, medir os riscos e investir de maneira direcionada. Mais do que acumular ferramentas, a maturidade depende de integrar tecnologia, processos e pessoas em uma estratégia permanente de proteção.
