Cibersegurança: de controle técnico a pilar da governança corporativa

*Por Carolina Eyquem

 Quando um sistema crítico falha, o que os usuários percebem não é um erro de programação, mas uma promessa quebrada. Em uma era de profunda integração digital, a cibersegurança deixou de ser apenas uma questão tecnológica e passou a ser o pilar que sustenta as operações diárias. Para uma instituição pública, um banco ou um operador logístico, um incidente não representa apenas uma violação de segurança; é uma fila que não avança, um processo crítico que paralisa ou um serviço essencial indisponível justamente quando ele é mais necessário, impactando diretamente a continuidade operacional, os riscos e a reputação da organização.

Nesse cenário, a principal dúvida nas salas de reunião deixou de ser “estamos protegidos?” para se transformar em “somos capazes de continuar operando sob ataque e restaurar os serviços com rapidez e controle?”.

A Estratégia Nacional de Cibersegurança (E-Ciber), instituída pelo Decreto nº 12.573, de 4 de agosto de 2025, reforça essa visão ao propor uma governança centralizada, voltada ao desenvolvimento de mecanismos de regulação, fiscalização, coordenação e controle.

Essa mudança de paradigma também é respaldada pela evolução regulatória internacional. No Chile, a Lei nº 21.663, que estabelece o Marco da Cibersegurança, exige que a disciplina seja tratada como uma obrigação permanente de gestão e resposta a riscos, especialmente para serviços essenciais e operadores de importância vital. Paralelamente, frameworks internacionais como o NIST CSF 2.0, guia flexível desenvolvido pelo National Institute of Standards and Technology (NIST) para segurança, eleva a governança de riscos cibernéticos ao nível executivo. Em termos práticos, a cibersegurança deixou de ser um catálogo de controles técnicos para se tornar um componente formal da governança corporativa.

A evidência global é contundente. Ransomware e intrusões em sistemas continuam entre as principais ameaças, presentes em 39% das violações registradas em grandes organizações, segundo o relatório Verizon DBIR 2025. E, embora o impacto financeiro seja expressivo, com custo médio global de US$ 4,4 milhões por incidente, de acordo com a IBM, o dano mais profundo e duradouro é o reputacional. Cada hora de indisponibilidade corrói a confiança pública, um ativo que não se recupera com um simples comunicado.

Por isso, a cibersegurança eficaz precisa ser compreendida como um programa contínuo de resiliência, estruturado em três camadas inseparáveis.

A primeira é a preparação: identificar os processos críticos que sustentam o serviço e definir tolerâncias de operação. Isso exige a construção de cenários realistas de crise para manter o serviço durante uma interrupção, alinhando-se a padrões de continuidade.

Na sequência vem a detecção e resposta: Exige-se visibilidade 24/7 e a capacidade de conter ameaças com playbooks testados. Não se trata de documentos esquecidos em uma gaveta, mas de prática, treinamento e simulação constantes.

E, em terceiro lugar, a recuperação. Contar com backups imutáveis, segregação de redes e validação completa da integridade dos ambientes antes do retorno à operação. Quando essa etapa falha, a organização fica exposta ao pior cenário possível: ter que restaurar sistemas rapidamente apenas para ser comprometida novamente.

Sob essa perspectiva mais ampla, a cibersegurança passa a refletir a responsabilidade das organizações diante da sociedade, dos clientes e dos parceiros. Com a superfície de ataque ampliada pela nuvem híbrida, pela hiperconectividade e pelo avanço da Inteligência Artificial, a liderança empresarial precisará substituir métricas baseadas apenas em ferramentas adquiridas por indicadores de capacidade operacional concreta, como detecção, contenção e tempo de recuperação. Essa combinação de exigências regulatórias e desafios operacionais torna inevitável uma mudança cultural. Ela demanda líderes e gestores capazes de compreender que a continuidade operacional demonstrável, e não apenas a segurança declaratória, é o verdadeiro alicerce institucional.

Embora a robustez do SOC (Centro de Operação de Segurança) e dos controles técnicos seja indispensável, o público mede o sucesso pela experiência final: se o serviço funciona, se as informações permanecem seguras e, se, diante de um incidente, a organização responde com rapidez, transparência e eficiência.

A tecnologia é o grande habilitador dessa transformação, mas a diferença competitiva está na gestão estratégica da tríade formada por governança, operações e resiliência. Quando esses três pilares estão alinhados, a cibersegurança deixa de ser apenas uma defesa tecnológica e se torna a capacidade estratégica mais valiosa de uma instituição moderna: proteger a confiança e garantir o cumprimento de sua promessa essencial.

*Carolina Eyquem é head de soluções de estratégia e risco na SONDA, líder em Transformação Digital.