Porque começa a cibersegurança fora da tecnologia

Nenhuma empresa tem recursos infinitos para proteger tudo ao mesmo nível. Por isso, antes de escolher qualquer solução técnica, é preciso responder a uma pergunta mais simples: onde é que um incidente nos dói mais?

Imaginemos uma organização com três áreas: produção, marketing e recursos humanos. Um ataque a recursos humanos é incómodo. Um ataque à produção, sobretudo se a empresa trabalha em regime Just in Time, com entregas a clientes marcadas ao minuto, pode significar penalizações contratuais pesadas, perda de faturação e danos que se arrastam durante meses. A prioridade de proteção tem de refletir essa diferença.

É aqui que entra o Business Impact Assessment (BIA): um exercício que avalia o impacto financeiro e operacional de um incidente em cada área do negócio. Não há uma linha de código envolvida. Há gestores a olhar para processos, contratos e obrigações (incluindo obrigações regulatórias), legislação como as que resultam do RGPD, NIS2 ou DORA, e a decidir como se trata cada risco.

O orçamento de segurança nasce no conselho de administração

Esta avaliação de risco é também o que define o orçamento. Áreas mais críticas para a continuidade do negócio recebem níveis de proteção mais elevados; outras, níveis proporcionalmente mais baixos. É uma decisão estratégica, tomada ao nível do conselho de administração, muito antes de qualquer tecnologia entrar em cena.

O mesmo raciocínio aplica-se aos fornecedores. Nenhuma empresa opera isolada, e o ecossistema de terceiros, o chamado Third Party Risk Management, é hoje parte incontornável da equação de risco. Um fornecedor mal protegido pode ser a porta de entrada para um incidente que a própria empresa nunca deixaria em aberto.

As pessoas fazem parte do sistema

Há ainda outra dimensão que raramente aparece nas conversas técnicas: a predisposição das próprias pessoas para lidar com ameaças. Não é preciso um discurso alarmista sobre o "elo mais fraco da corrente". Basta bom senso na forma como se abre um e-mail suspeito, e hábitos simples, como a autenticação de dois fatores, que reduzem drasticamente o risco sem exigir nenhum investimento tecnológico de vulto.

Nada disto diminui todavia a importância da tecnologia. É ela que, no fim, implementa as decisões tomadas. Mas tratar a cibersegurança como um problema puramente técnico é começar pelo fim. As organizações que gerem este tema com maturidade fazem o caminho inverso: identificam onde está o risco de negócio, decidem onde investir, e só depois escolhem as ferramentas.

A cibersegurança começa, afinal, fora da tecnologia. Começa nas prioridades de negócio, nas pessoas e nos processos que sustentam a organização.