Como não deixar a segurança para trás na corrida pela inovação

Por Cleber Morais

O cenário digital da América Latina, especialmente do Brasil, possui facetas que fascinam e assustam ao mesmo tempo. De um lado, testemunhamos uma onda de inovação sem precedentes, impulsionada pelo sistema financeiro e iniciativas como o PIX e Open Banking, um dos modelos mais avançados do mundo. Essa rápida transformação, no entanto, expõe as organizações e as pessoas a um nível de risco cibernético igualmente recorde.

Como podemos, então, equiparar a agilidade de inovação com segurança robusta e proativa? A solução não está em frear a inovação, mas em redefinir a nossa abordagem à segurança.

O estudo Cenário de Riscos Cibernéticos para o Setor Financeiro da América Latina em 2025 revelou que 79% das instituições financeiras da região foram alvo de ataques de ransomware, um índice consideravelmente superior à média global de 53%. O Brasil lidera esse ranking regional de alvos, enfrentando custos de bilhões de reais.

Trata-se de uma dualidade do comportamento “early adopter, but late finisher”. Adotamos novas tecnologias com entusiasmo, mas a implementação de estratégias de segurança eficazes muitas vezes não acompanha o ritmo. A cibersegurança, embora reconhecida como a segunda iniciativa de TI mais estratégica pelas empresas, não se reflete proporcionalmente nos investimentos em processos estruturantes.  Nas projeções de gastos para 2025-2028 levantadas pela Brasscom, a segurança da informação aparece em quarto lugar, atrás de nuvem, IA, big data e análise de dados. Essa lacuna entre a consciência do risco e a ação efetiva é o terreno fértil onde as ameaças digitais prosperam.

Leia também: Sônia Guimarães, do ITA: a física que inspira nova geração de cientistas negras

Pessoas, processos e tecnologia

A transição de uma postura reativa para uma estratégia de segurança proativa começa com a adoção de uma abordagem holística, fundamentada em três pilares essenciais: pessoas, processos e tecnologia. A tecnologia, por si só, é insuficiente se não for sustentada por processos bem definidos e por pessoas conscientes e capacitadas. A falha humana continua a ser uma das principais vulnerabilidades, o que torna o treinamento e a conscientização sobre ameaças como o phishing — o ataque mais comum no Brasil — uma linha de defesa indispensável.

Sob o pilar da tecnologia, é preciso enxergar a computação em nuvem, onde está boa parte das cargas de trabalho hoje, não apenas como uma plataforma para operações, mas como uma aliada estratégica e resiliente, que oferece as ferramentas para construir defesas multicamadas e automatizadas.

A base de uma defesa eficaz na nuvem reside na construção de um perímetro de dados robusto, começando pela identidade. O princípio do privilégio mínimo deve ser a regra de ouro, garantindo que cada usuário ou sistema tenha acesso apenas às permissões estritamente necessárias para realizar suas tarefas.

Para além da identidade, a proteção dos dados exige uma arquitetura de segurança em profundidade (defense-in-depth). Isso significa criptografar todos os dados, tanto em repouso quanto em trânsito, como uma camada de proteção fundamental. Existem mecanismos robustos para gerenciar chaves de criptografia, garantindo que, mesmo em caso de falha nos controles de acesso primários, os dados permaneçam inacessíveis em formato de texto cifrado. A segmentação de rede cria barreiras que limitam o movimento lateral de um invasor, contendo o impacto de uma possível violação. O tráfego de saída da rede também deve ser rigorosamente controlado e monitorado, pois é um vetor comum para evitar a transferência não autorizada de dados.

Detectar um acesso não autorizado exige vigilância constante e automatizada e, por isso, é necessário implementar um monitoramento contínuo de atividades e logs de segurança, capaz de reconhecer quem fez o quê, de onde e quando. Outras ferramentas permitem criar alarmes e automatizar respostas a eventos suspeitos, além de auditar automaticamente as políticas de backup em relação a controles definidos, como frequência, retenção e criptografia, gerando evidências para auditorias e corrigindo desvios antes que se tornem problemas graves.

O backup oferece mais do que parece

Mesmo a melhor defesa precisa de um plano de contingência para o pior cenário. Uma estratégia de backup bem projetada é a última e mais importante linha de defesa contra ataques com alto potencial destrutivo, como o ransomware. Essa estratégia deve integrar o Plano de Continuidade de Negócios (BCP) e de Recuperação de Desastres (DR) da organização. Na nuvem, podemos ir além dos backups tradicionais, criando cofres de backup imutáveis. Assim, uma vez gravados, os backups não podem ser alterados ou excluídos nem mesmo por usuários com privilégios de administrador, durante o período de retenção definido, garantindo a integridade e a disponibilidade dos dados para recuperação.

A maratona para chegar a uma estratégia de cibersegurança madura exige um compromisso organizacional que transcende a área de TI. Requer o engajamento da liderança executiva, planejamento estratégico e o entendimento de que a segurança é uma responsabilidade compartilhada. Ao adotar uma abordagem proativa e integrada — combinando pessoas capacitadas, processos rigorosos e as tecnologias mais avançadas —, as empresas brasileiras podem superar o paradoxo do “early adopter, but late finisher”.

 Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!