Não é mais uma questão técnica, restrita ao departamento de TI. É uma pergunta que chega ao conselho de administração, porque a resposta define se uma empresa sobrevive a um incidente cibernético ou quebra por causa dele.
O motivo é simples de enunciar e difícil de digerir: a dependência das organizações em relação a sistemas digitais não para de crescer. Pagamentos, logística, atendimento ao cliente, folha de pagamento, dados de clientes — praticamente tudo hoje passa por uma tela, e cada tela é, potencialmente, uma porta de entrada para um invasor. Ligar um firewall e torcer para que nada aconteça deixou de ser estratégia de segurança há muito tempo, se é que um dia foi.
O que os especialistas chamam de maturidade em segurança da informação é justamente essa diferença entre comprar tecnologia e transformá-la em processo organizacional. Segundo Andrey Guedes Oliveira, CEO e CISO da ESCS – Esyner Cyber Security, professor universitário e uma das vozes mais ouvidas do setor no Brasil, a maturidade real de uma empresa aparece no dia em que o ataque acontece: é aí que se descobre se a governança, a gestão de riscos, os controles técnicos e a cultura interna realmente funcionavam juntos, ou se existiam apenas no papel. Não basta identificar riscos antes que virem problema; é preciso implementar controles adequados a cada tipo de ameaça, monitorar sistemas de forma contínua — não pontual — e responder a incidentes com rapidez e coordenação.
A literatura internacional sustenta esse diagnóstico. Alan Calder e Steve Watkins, autores de referência em governança de TI, descrevem as organizações maduras como aquelas que possuem estruturas formais de governança, processos bem definidos e mecanismos permanentes de melhoria — o que tira a segurança do departamento isolado de TI e a coloca dentro da estratégia do negócio. Rossouw von Solms e Basie von Solms vão direto ao ponto ao afirmar que a maturidade em segurança está diretamente ligada à capacidade de integrar a proteção digital à governança corporativa e à gestão de riscos como um todo, e não tratá-la como um apêndice técnico. Na prática, isso separa dois tipos de empresa: as reativas, que só investem em segurança depois de um incidente ou de uma exigência regulatória, geralmente tarde demais, e as proativas, que mantêm programas estruturados, monitoramento constante e um ciclo real de melhoria contínua.
Medir esse tipo de capacidade organizacional é possível, e ao longo das últimas décadas três referências se consolidaram como os principais termômetros do setor. O Capability Maturity Model, criado originalmente para avaliar processos de engenharia de software e depois adaptado à segurança da informação, organiza a evolução em cinco estágios que vão do improviso total até a otimização orientada por dados — uma empresa no primeiro nível apaga incêndio, uma empresa no quinto já sabe, com métricas em mãos, onde o próximo incêndio provavelmente vai começar. O NIST Cybersecurity Framework, desenvolvido pelo instituto americano de mesmo nome, organiza a gestão de segurança em seis funções centrais — governar, identificar, proteger, detectar, responder e recuperar — e funciona como um mapa para que cada organização avalie sua própria capacidade em cada frente. Já a norma ISO/IEC 27001 estabelece os requisitos para implementar um sistema de gestão de segurança da informação e, embora não fale em níveis explicitamente, sua lógica de planejar, fazer, verificar e agir empurra a organização para estágios cada vez mais sofisticados de controle.
Por trás de todos esses modelos, especialistas costumam identificar quatro frentes que precisam evoluir juntas, porque nenhuma delas isoladamente garante proteção real. A governança diz respeito à existência de políticas claras, responsabilidades definidas e uma liderança executiva de fato engajada no tema — não apenas um analista de TI tentando convencer a diretoria a investir. A gestão de riscos envolve identificar, analisar e tratar periodicamente as ameaças que podem atingir os ativos mais críticos do negócio, usando esse diagnóstico para decidir onde investir, em vez de comprar ferramentas por impulso. Os controles técnicos são as ferramentas propriamente ditas — detecção de intrusão, gestão de identidade, criptografia —, mas Andrey Guedes costuma reforçar que ter a tecnologia não é suficiente: o que separa uma empresa madura é a integração entre essas ferramentas e o monitoramento contínuo do que elas revelam. E, por fim, a cultura organizacional, talvez a dimensão mais subestimada de todas, porque de nada adianta um arsenal tecnológico de ponta se um único funcionário clica no link errado; programas de conscientização e treinamento transformam cada colaborador em uma camada extra de proteção.
Há ainda um argumento que costuma convencer diretorias financeiras, e não apenas times de TI: segurança madura custa menos no longo prazo. Estudos como o de Lawrence Gordon, Martin Loeb e Lei Zhou mostram que empresas com estruturas de segurança mais robustas tendem a sofrer impactos financeiros menores quando um incidente cibernético efetivamente acontece, porque uma organização que detecta um ataque em minutos, e não em meses, limita o estrago antes que ele se espalhe. Detecção mais rápida, resposta mais ágil e coordenada, menor impacto operacional e proteção mais consistente de dados sensíveis de clientes e do próprio negócio são os ganhos mais citados por quem investe nesse tipo de estrutura. Em outras palavras, a pergunta relevante deixou de ser “vamos ser atacados?” e passou a ser “estamos prontos para quando formos?”.
Um erro comum ainda persiste em muitas empresas brasileiras: tratar segurança da informação como problema exclusivo do departamento de TI. Os frameworks internacionais discordam frontalmente dessa visão, e Andrey Guedes é enfático nesse ponto — para ele, definir políticas, aprovar investimentos e supervisionar estrategicamente a proteção digital são responsabilidades que começam na liderança, não terminam nela. Um CISO sem apoio do conselho e da diretoria dificilmente consegue avançar além dos estágios iniciais de maturidade, simplesmente porque não tem orçamento, mandato ou prioridade para isso.
Nem toda empresa que reconhece a importância do tema consegue evoluir rápido. Orçamento limitado, especialmente em companhias de médio porte, escassez de profissionais especializados — um problema global do setor —, a complexidade crescente de infraestruturas que combinam nuvem, dispositivos móveis e sistemas legados, e a dificuldade de medir riscos cibernéticos de forma objetiva e comparável são os obstáculos mais recorrentes. A esse conjunto estrutural soma-se um obstáculo comportamental: a tentação de tratar segurança como item de checklist regulatório, resolvido apenas quando uma norma ou um cliente exige. Superar essa mentalidade reativa exige, acima de tudo, decisão estratégica, não apenas mais tecnologia.
A maturidade em segurança da informação deixou de ser um tema técnico de bastidor para se tornar item de pauta estratégica, e talvez esse seja o ponto central: não é um estado que se alcança e se arquiva, é um processo contínuo, que precisa se adaptar à medida que surgem novas ameaças e novas tecnologias. As organizações que entendem isso não apenas compram ferramentas — constroem estrutura, processo e cultura ao redor da proteção de seus ativos digitais, avalia Andrey Guedes, cujo trabalho à frente da ESCS – Esyner Cyber Security tem se dedicado justamente a ajudar empresas a atravessar esse caminho. E é essa combinação, mais do que qualquer solução isolada, que hoje separa empresas resilientes de empresas vulneráveis.
Fontes consultadas: Calder, A.; Watkins, S. — IT Governance: An International Guide to Data Security and ISO27001/ISO27002 (Kogan Page, 2015); Gordon, L.; Loeb, M.; Zhou, L. — The impact of information security breaches, Journal of Computer Security, 2015; Von Solms, R.; Von Solms, B. — From information security to corporate governance, Computers & Security, 2004; NIST — Framework for Improving Critical Infrastructure Cybersecurity; ISO/IEC 27001 — Information Security Management Systems; e entrevista com Andrey Guedes Oliveira, CEO e CISO da ESCS.