Durante muito tempo, falar de cybersecurity dentro de uma empresa era falar de firewall, antivírus, atualização de sistemas e controles técnicos. O assunto ficava concentrado nas áreas de tecnologia e segurança e, muitas vezes, só ganhava espaço na liderança quando alguma coisa dava errado. Esse cenário mudou bastante. Hoje, uma vulnerabilidade pode interromper uma operação inteira, expor dados de clientes, gerar impacto regulatório, comprometer receita e colocar em risco uma confiança que levou anos para ser construída. É por isso que eu não consigo mais enxergar cybersecurity como um tema restrito à tecnologia. Para mim, estamos falando de risco de negócio.
Na Masterclass da Risk Women, quis justamente levar essa discussão para mais perto da realidade das empresas. Meu objetivo não foi falar apenas sobre tipos de ataque ou controles de segurança, mas mostrar como essas ameaças se conectam às decisões que as organizações tomam todos os dias. Quando olhamos para o cenário atual, fica difícil tratar o tema como algo distante. O cibercrime já movimenta trilhões de dólares, os ataques estão mais rápidos, automatizados e, em muitos casos, mais sofisticados. Ainda assim, o que mais me chama atenção é que o custo de um incidente quase nunca termina no valor diretamente perdido. Existe a paralisação da operação, o esforço de recuperação, possíveis multas, processos judiciais, investigação, comunicação com clientes, pressão de parceiros e um impacto reputacional que nem sempre é fácil de medir.
Por isso, quando penso em risco cibernético, não começo perguntando apenas se existe uma vulnerabilidade. Quero entender qual ativo está exposto, quem pode ter interesse em explorá-lo, o que aconteceria se esse ataque fosse bem-sucedido e quanto risco aquela organização está realmente disposta a assumir.
As ameaças mudam mas precisam ser entendidas no contexto do negócio
Na Masterclass, falei sobre cinco ameaças que considero especialmente relevantes hoje: ransomware, Business Email Compromise, ataques à cadeia de fornecedores, insider threats e ataques associados a Estados-nação. Cada uma delas tem dinâmica, impacto e formas de prevenção diferentes, e esse é um dos motivos pelos quais não faz sentido tratar todo risco cibernético da mesma maneira.
O ransomware continua sendo uma das ameaças mais conhecidas porque o impacto é muito visível. Sistemas ficam indisponíveis, dados podem ser roubados e a empresa pode sofrer extorsão. Só que o ataque raramente começa de forma cinematográfica. Pode começar com um phishing, uma credencial comprometida, um acesso remoto mal configurado ou uma vulnerabilidade conhecida que não foi corrigida.
O Business Email Compromise também mostra bem como tecnologia e comportamento humano se misturam. Muitas vezes, o criminoso observa uma empresa, entende seus processos, identifica fornecedores ou executivos e espera o momento certo para se passar por alguém legítimo. Não precisa, necessariamente, existir uma invasão extremamente sofisticada. Em alguns casos, a fraude acontece porque o atacante entendeu melhor o processo do que a própria empresa esperava.
Os ataques à cadeia de fornecedores também merecem muita atenção. Uma empresa pode ter bons controles internos e, ainda assim, ser impactada pela vulnerabilidade de um parceiro. Quanto mais conectadas ficam as organizações, mais importante se torna saber de quais terceiros dependemos e o que acontece conosco quando algum deles falha. Já no caso de insider threat, o ponto de atenção é outro: nem todo risco vem de fora. Ele pode estar relacionado a uma ação intencional, mas também a um funcionário com acesso maior do que deveria, uma credencial compartilhada, um desligamento mal executado ou simplesmente um erro.
Há ainda os ataques associados a Estados-nação, que podem envolver espionagem, busca por informações estratégicas ou comprometimento de infraestruturas importantes. Para algumas organizações, compreender esse contexto também passa a fazer parte da análise de risco, especialmente quando existem ativos, operações ou dados de maior relevância estratégica.
Outra coisa que eu quis mostrar na Masterclass é que não podemos olhar para um incidente apenas a partir do momento em que ele se torna visível. Um ataque normalmente passa por várias etapas: o atacante escolhe um alvo, procura uma brecha, consegue acesso, tenta ampliar seus privilégios, se movimenta pelo ambiente e procura aquilo que tem valor. Quando a empresa percebe apenas a última etapa, pode ser que aquele acesso já exista há dias ou até meses.
Foi por isso que trouxe o conceito de kill chain. Entender a sequência de um ataque ajuda a encontrar pontos em que ele pode ser interrompido antes de chegar ao pior cenário. Um dos casos usados na apresentação começou com um phishing relacionado a VPN e terminou com 847 servidores criptografados, pedido de resgate de US$ 4,2 milhões, 18 dias de indisponibilidade e impacto total estimado em US$ 23 milhões. Quando colocamos os números dessa forma, cybersecurity deixa rapidamente de parecer um problema apenas técnico.
A inteligência artificial também mudou esse cenário
É impossível falar sobre ameaças digitais hoje sem falar sobre inteligência artificial. Do lado de quem ataca, ela facilitou muita coisa. Mensagens de phishing podem ser mais bem escritas, adaptadas para diferentes idiomas e personalizadas com muito mais rapidez. Conteúdos falsos estão melhores e algumas etapas de ataques que antes exigiam mais esforço agora podem ser automatizadas.
Isso também aproxima ainda mais cybersecurity de fraude. Uma credencial obtida por phishing pode resultar em fraude financeira, uma conta comprometida pode ser usada para engenharia social e um problema de identidade pode começar fora da empresa e terminar dentro de um ambiente corporativo. Do lado de defesa, a inteligência artificial também pode ajudar bastante, principalmente na análise de grandes volumes de informação, na identificação de comportamentos incomuns e na aceleração de investigações. Ainda assim, continuo acreditando que tecnologia sozinha não resolve o problema, porque contexto continua fazendo muita diferença.
A liderança precisa entender o que está realmente em risco
Uma das maiores dificuldades que vejo nas empresas é transformar um risco técnico em uma conversa que faça sentido para quem toma decisões. Quando segurança fala apenas em vulnerabilidade crítica, CVE, patch ou volume de alertas, parte da organização pode até entender a gravidade técnica, mas não necessariamente entende o impacto para o negócio.
Por isso, gosto de olhar para quatro dimensões: financeira, regulatória, reputacional e operacional. Quanto a empresa perderia se determinado sistema ficasse indisponível por dois dias? Quantos clientes seriam afetados? Existe risco regulatório? Quais contratos poderiam ser impactados? Quanto tempo a operação consegue funcionar sem aquele ativo? Quais fornecedores são realmente críticos?
Essas perguntas aproximam a discussão de segurança daquilo que a liderança já faz todos os dias: escolher prioridades, decidir onde colocar recursos e avaliar quais riscos fazem sentido assumir. Nenhuma empresa consegue eliminar todo risco. Em algum momento, alguém precisa decidir o que será mitigado, o que pode ser transferido, o que será tratado depois e o que a organização aceita continuar carregando. Por isso, uma das frases que trouxe para a Masterclass foi que risco residual é decisão executiva.
Frameworks como o NIST Cybersecurity Framework ajudam muito a organizar esse trabalho, mas antes de pensar em ferramenta, acredito que uma empresa precisa responder perguntas muito básicas sobre si mesma. O que eu tenho? Onde estão os meus dados mais sensíveis? Qual é a minha joia da coroa? Quem teria interesse em me atacar? O que aconteceria se determinado ativo parasse? Eu conseguiria perceber rapidamente? Quanto risco eu aceito?
Pode parecer simples, mas muitas organizações ainda têm dificuldade para responder. E quando não sabemos exatamente o que temos ou o que é mais importante, também fica muito mais difícil proteger bem.
No meio de tantas discussões sobre inteligência artificial, automação e novas tecnologias, existe uma verdade menos sofisticada: muitos ataques ainda exploram falhas bastante conhecidas, como credenciais fracas, sistemas desatualizados, acessos excessivos, backups que nunca foram testados, falta de monitoramento e pessoas que não reconhecem uma tentativa de engenharia social.
Por isso, controles como autenticação multifator, gestão de atualizações, backup testado, capacidade de detecção e treinamento continuam fazendo diferença. Para mim, uma empresa preparada não é aquela que tem mais ferramentas, mas aquela que conhece bem o próprio ambiente, entende onde está mais exposta, sabe o que precisa proteger primeiro e consegue reagir quando alguma coisa foge do esperado.
Cybersecurity tem muito menos a ver com quantas tecnologias foram compradas e muito mais com a qualidade das decisões que uma organização consegue tomar antes, durante e depois de um incidente. É exatamente por isso que, para mim, cybersecurity deixou de ser um problema de TI há bastante tempo e passou a fazer parte das decisões de negócio.
