Da tecnologia à cultura: o verdadeiro desafio da cibersegurança industrial

Durante anos, o foco esteve (e continua a estar, em muitos casos) na implementação de mais soluções, mais ferramentas e mais controlos. Investimos, implementamos, auditamos. E, mesmo assim, os incidentes multiplicam-se. E isto não é coincidência, é um sinal claro de que continuamos a abordar apenas parte do problema.

A principal fragilidade das organizações não está na tecnologia. Continua a estar nas pessoas.

Num setor onde a continuidade operacional é crítica, um incidente de cibersegurança ultrapassa rapidamente o domínio digital. Pode significar paragens de produção, disrupções na cadeia de valor e, em última instância, riscos reputacionais e financeiros relevantes. Apesar disso, a cultura de cibersegurança permanece, paradoxalmente, uma das dimensões menos consolidadas em muitas organizações industriais.

É difícil de justificar. Mas é a realidade.

A ilusão da “awareness”

Há uma crença instalada de que fazer campanhas de sensibilização é suficiente. Não é.

A maioria das organizações industriais já fez formações, já enviou comunicações, já falou de phishing, passwords e boas práticas. Na prática, o problema não está na falta de conhecimento, mas na forma como esse conhecimento compete diariamente com aquilo que verdadeiramente move a operação: prazos, produtividade e eficiência.

No terreno, muitos comportamentos de risco não resultam de desconhecimento, mas de decisões condicionadas pela pressão do dia a dia. E a questão já não é saber se as pessoas conhecem as regras, mas sim perceber se, no momento da decisão, escolhem aplicá-las.

Indústria: um contexto que exige outra abordagem

A indústria tem hoje mais tecnologia de cibersegurança do que nunca. Segmentação, monitorização, controlo de acessos, frameworks, normas, IA. Tudo existe.

O problema é outro: estas medidas são frequentemente desenhadas fora da realidade operacional. E a coexistência de ambientes IT e OT, frequentemente com níveis de maturidade distintos, acrescenta uma camada de complexidade, a que se soma a presença de sistemas legacy, muitas vezes difíceis de atualizar e que não foram concebidos com a cibersegurança como prioridade.

Mas o fator mais determinante é cultural. Qualquer medida que seja percecionada como um entrave à operação tende a ser contornada, mesmo que inconscientemente. E é aqui que muitas estratégias falham. Porque tentam impor segurança à operação, quando deveriam integrá-la nela.

Cultura não é o que se diz. É o que se permite.

Desenvolver uma cultura de cibersegurança na indústria implica mais do que transmitir mensagens. Exige criar contexto e relevância.

Significa ligar a cibersegurança ao que realmente importa no ambiente industrial: segurança das pessoas, estabilidade da produção e continuidade do negócio. Significa, também, reconhecer que diferentes perfis exigem diferentes abordagens porque o que resulta num contexto de escritório raramente gera o mesmo impacto no chão de fábrica.

Há, no entanto, um denominador comum nas iniciativas bem sucedidas: a consistência. Não são campanhas isoladas que mudam comportamentos, mas sim ações simples, repetidas e integradas na rotina operacional. É no dia a dia, através das decisões, dos exemplos e dos comportamentos que são incentivados, ignorados ou corrigidos, que a cultura se consolida.

Um outro elemento crítico, frequentemente subestimado, é a liderança intermédia. Supervisores e responsáveis de equipa são, na prática, os principais agentes de mudança cultural. São eles que podem transformar a cibersegurança numa prática operacional ou num formalismo irrelevante, permitindo que tudo permaneça na mesma e que a cultura que tanto se quer promover não escale.

O próximo passo: da responsabilidade do IT à responsabilidade coletiva

À medida que a digitalização industrial se intensifica, a exposição ao risco cresce na mesma medida. Neste novo contexto, a cibersegurança deixou de ser uma preocupação exclusivamente tecnológica, tradicionalmente associada às equipas de IT, para se afirmar como um reflexo de maturidade organizacional.

Mais do que transversal, a cibersegurança é um desafio operacional. Influencia a forma como os sistemas são concebidos, os equipamentos são geridos e as decisões são tomadas em contexto real, exigindo, por isso, uma abordagem partilhada e um compromisso coletivo.

As indústrias que conseguirem incorporar a cibersegurança na sua forma de operar estarão mais bem preparadas para enfrentar um cenário de ameaça permanente e em constante mutação. As restantes continuarão num ciclo reativo, criando uma falsa sensação de controlo, em que a segurança evolui ao ritmo das ameaças já conhecidas, deixando-as vulneráveis às que ainda não se manifestaram.

Conclusão

A diferença entre resiliência e vulnerabilidade raramente está apenas nas tecnologias adotadas. Está, sobretudo, na forma como as pessoas pensam, decidem e agem no seu dia a dia.

A cultura de cibersegurança constrói-se muito antes de qualquer incidente. Constrói-se nas prioridades que se definem, nos comportamentos que se incentivam e nas exceções que não se aceitam. Porque, quando o incidente acontece, já não estamos a falar de prevenção, estamos a falar de consequências. Depois dele, o foco já não é evitar o problema, é contê-lo.

Por isso, a cultura de cibersegurança não é um elemento acessório nem uma iniciativa paralela à operação. É parte integrante da forma como toda a organização funciona.

No final, não serão as políticas, as campanhas ou as tecnologias a determinar o resultado. Será a cultura. Porque os ataques procuram vulnerabilidades técnicas, mas é a cultura (ou a sua ausência), que determina se esses ataques chegam longe o suficiente para causar danos.