Decisões de negócio: o elo invisível das falhas de segurança

A maior ameaça à segurança digital das empresas não vem, necessariamente, de hackers sofisticados. Na prática, ela surge de decisões estratégicas tomadas por CEOs, CFOs e CTOs que, muitas vezes sem perceber, abrem portas para riscos críticos.

De fato, violações de dados envolvendo terceiros dobraram no último ano. Além disso, 82% das brechas já afetam dados armazenados em nuvem. Ao mesmo tempo, mais de 60% dos aplicativos corporativos operam como shadow IT, fora do controle das equipes de segurança.

No Brasil, o cenário é ainda mais sensível. Apenas 5% das organizações atingem maturidade em cibersegurança, enquanto o custo médio de um vazamento chega a R$ 7,19 milhões. Portanto, não estamos falando de falhas técnicas isoladas, mas de consequências diretas de decisões de negócio mal estruturadas.

Quando decisões estratégicas criam vulnerabilidades

Diversas escolhas corporativas ampliam o risco sem que isso seja percebido imediatamente. Entre elas, destacam-se:

• Terceirização sem due diligence adequada
• Migração para nuvem sem planejamento de segurança
• Contratos com cláusulas vagas ou incompletas
• Estruturas de governança que afastam o CISO das decisões

Além disso, o investimento médio em segurança representa apenas 5,7% do orçamento de TI. Consequentemente, quando há pressão por redução de custos, a segurança costuma ser sacrificada primeiro.

No entanto, essa economia é ilusória. Organizações com escassez de profissionais de segurança gastam, em média, R$ 29,6 milhões por violação. Em contrapartida, empresas com equipes adequadas têm custos menores, cerca de R$ 20,5 milhões. Ou seja, a diferença supera qualquer corte inicial.

Nuvem: eficiência operacional ou vetor de risco?

A migração para a nuvem é, antes de tudo, uma decisão de negócio. Ela busca eficiência, escalabilidade e redução de custos. Porém, quando feita sem estratégia de segurança, torna-se um dos principais vetores de ataque.

Atualmente:

• 82% das violações envolvem dados em nuvem
• Ambientes multicloud aumentam a complexidade
• Violações podem levar até 283 dias para serem contidas

Além disso, práticas como lift and shift — migrar sistemas legados sem redesenho — ampliam vulnerabilidades estruturais.

No Brasil, quase metade das violações envolve múltiplos ambientes. Como resultado, o tempo médio de resposta chega a 355 dias, elevando custos e impacto operacional.

Terceiros e supply chain: o risco que mais cresce

Outro fator crítico é a cadeia de fornecedores. Segundo relatórios recentes, 30% das violações envolvem terceiros — o dobro do ano anterior.

Entretanto, existe um desalinhamento claro:

• Empresas gerenciam centenas de fornecedores
• Apenas metade dos programas pode bloquear riscos
• Só 16% acreditam mitigar esses riscos de forma eficaz

Além disso, 98% das organizações trabalham com pelo menos um fornecedor que já sofreu violação.

No caso de serviços terceirizados, como SOC e NOC, o problema se agrava. Isso ocorre porque esses provedores têm acesso direto a sistemas críticos. Portanto, qualquer falha externa se torna uma falha interna.

---

Contratos frágeis: o risco jurídico invisível

Muitas vulnerabilidades nascem dentro de contratos mal estruturados. Frequentemente, termos como “medidas razoáveis de segurança” são utilizados sem definição clara.

Por outro lado, empresas que adotam contratos robustos alcançam até 50% mais eficácia na gestão de risco.

Esses contratos incluem:

• SLAs de segurança bem definidos
• Direito de auditoria
• Planos de resposta a incidentes
• Avaliações padronizadas de risco

Além disso, no Brasil, regulações como a LGPD aumentam a responsabilidade legal. Normas recentes exigem comunicação rápida de incidentes e maior controle sobre fornecedores.

Arquitetura tecnológica também é decisão de negócio

Decisões técnicas não são apenas operacionais. Na verdade, elas têm impacto direto na segurança.

Por exemplo:

• Mais de 90% das empresas enfrentaram problemas em APIs
• Apenas 7,5% possuem programas estruturados de segurança para APIs
• O volume de APIs cresceu 167% em um ano

Além disso, o débito técnico representa um risco crescente. Sistemas legados continuam operando mesmo após o fim de suporte. Como consequência, tornam-se alvos fáceis.

Um exemplo claro é o ransomware WannaCry, que ainda hoje representa uma parcela significativa das ameaças, mesmo explorando uma vulnerabilidade antiga.

Segurança como premissa estratégica

A tendência global é clara: executivos estão sendo responsabilizados diretamente por falhas de segurança.

Diante disso, a cibersegurança precisa deixar de ser apenas responsabilidade do CISO. Ela deve ser incorporada às decisões do C-level.

Isso significa:

• Avaliar riscos cibernéticos antes de projetos
• Realizar due diligence em terceirizações
• Estruturar contratos com critérios técnicos claros
• Monitorar indicadores de segurança no nível executivo

Além disso, conselhos de administração precisam acompanhar métricas como acesso de terceiros, segmentação de ambientes e tempo de resposta a incidentes.

Conclusão: a porta aberta de dentro para fora

Decisões de negócio moldam diretamente a arquitetura de risco das organizações. Quando não há integração entre estratégia, tecnologia e governança, surgem vulnerabilidades críticas.

Diferentemente de um ataque externo, essas falhas não envolvem invasão. Na verdade, a porta já está aberta.

E, nesse cenário, o maior risco não é o atacante. É a decisão que permitiu a entrada.