O Estado da Nação 2025: entre a ilusão da segurança e a realidade da ameaça

Levantam-se, portanto, questões que, embora desconfortáveis, são necessárias: Estamos realmente preparados para o que aí vem? Ou continuamos confortados por uma falsa sensação de segurança, alimentada por relatórios, apresentações e normas que, na prática, pouco concretizam?

Entre o discurso e a realidade: um desfasamento perigoso

A imagem que nos é muitas vezes vendida é a de um país que está a “fazer progressos”. Mas basta uma análise honesta para perceber que, fora dos setores mais regulados - como a banca ou as telecomunicações -, a maturidade da resposta nacional continua a ser, no melhor dos casos, mediana.

São demasiadas as organizações onde o investimento em cibersegurança continua a ser o mínimo necessário para “cumprir requisitos”, em vez de uma aposta estratégica. Várias vezes, a segurança é apenas um custo a minimizar - até ao dia em que o prejuízo real surge com a força de um ransomware bem-sucedido.

Regulamentos como NIS2 ou DORA são marcos importantes, mas há um risco real de os vermos como o destino, quando deviam ser o ponto de partida. Cumprir a letra da lei não é sinónimo de estar protegido. A verdadeira segurança começa onde a conformidade acaba.

O risco de transformar a regulamentação num exercício de “checkbox” é real - e perigoso. É urgente termos uma governação que encare a cibersegurança como parte da continuidade do negócio, não como uma obrigação administrativa.

Da preparação à prática: sabemos o que fazer, mas não fazemos

Hoje, falar de planos de resposta a incidentes é uma prática comum. Mas ter efetivamente um plano testado, com equipas treinadas, é outra coisa. Muitos dirão que têm tudo preparado, mas a realidade é que, muitas vezes, se referem a um PowerPoint esquecido numa pasta, com equipas que nunca fizeram um exercício realista.

Em cibersegurança, um “talvez” ou um “em teoria, sim” não chega. Num ataque real, a hesitação custa tempo, e tempo, neste contexto, custa dados, reputação e dinheiro.

O fator humano na base da mudança

Para que a mudança se concretize, é essencial olhar para quem executa a segurança todos os dias - não podemos continuar a ignorar o fator humano.

Portugal sofre de uma escassez crónica de talento em cibersegurança. As equipas internas são curtas, sobrecarregadas e muitas vezes ignoradas no processo de decisão, e o investimento na formação e retenção de talento nacional continua a ser insuficiente.

Falar de “resiliência organizacional” sem investir nas pessoas é um paradoxo. E quando falamos em cultura de segurança, precisamos de ir além do e-learning anual. É preciso criar uma cultura viva de cibersegurança, transversal a toda a organização, do estagiário ao CEO.

Continuamos a dizer que o “elo mais fraco” é o utilizador e a tratá-lo como tal. Vemos campanhas de sensibilização genéricas - sem contexto, sem acompanhamento e sem medição de impacto - e a verdade é que este tipo de estratégia não muda comportamentos.

Se queremos reduzir riscos, temos de envolver os colaboradores no processo de segurança. Precisamos de os capacitar, não apenas de os responsabilizar. E, mais do que tudo, precisamos de começar a medir o sucesso destas iniciativas.

E agora? Uma chamada à ação

Neste cenário complexo, uma coisa é certa: o futuro da cibersegurança em Portugal depende, em grande parte, da nossa capacidade de sermos autocríticos. Para tal, precisamos de:

• Abandonar a mentalidade reativa e investir numa abordagem preditiva;

• Encarar a segurança como um fator de competitividade e não como um

  entrave;

• Reforçar a formação técnica e estratégica das equipas;

• Colocar a cibersegurança no centro da governação empresarial;

• Assumir que falhar é possível - e preparar-nos para quando acontecer.

Temos talento, capacidade e acesso à tecnologia. O que nos falta é prioridade, coragem e ambição. Se não aproveitarmos este momento para fazer diferente, não podemos fingir surpresa quando os danos forem reais.

Não há tempo para complacência. Há tempo para decisão. A cibersegurança em Portugal está num ponto de viragem: ou damos o salto - estratégico, cultural e operacional - ou vamos continuar a reagir às crises em vez de as evitar.

Assim, a pergunta mais importante a fazer neste momento é: E nas nossas organizações, estamos focados em manter a ilusão da segurança, ou na construção efetiva da resiliência?

Conteúdo co-produzido pela MediaNext e pela Claranet Portugal