Materiais Gratuitos
Contato

Inovações e Tendências

Lei Geral de Cibersegurança
Inovações e Tendências

A Lei Geral de Cibersegurança está chegando: o que sua empresa precisa saber antes que o prazo comece a contar

/

Até hoje, nenhuma norma brasileira colocou um data center, uma operadora de telecom, uma prefeitura de médio porte e um fornecedor de tecnologia terceirizado sob o mesmo teto regulatório de cibersegurança. Cada um respondia a uma lógica diferente, quando respondia a alguma. Isso está prestes a mudar, e o texto que vai promover essa mudança já está em debate público. Em abril de 2026, o Comitê Nacional de Cibersegurança (CNCiber) publicou a minuta da Lei Geral de Cibersegurança, proposta que institui o Sistema Nacional de Cibersegurança (SNCiber) e cria uma Autoridade Nacional para o tema. Segundo reportagem do portal TeleSíntese, o texto classifica como “serviços essenciais” um conjunto amplo de atividades ligadas à infraestrutura digital do país, incluindo data centers, serviços de nuvem, provedores de infraestrutura de tráfego de internet, DNS, registro de domínios, redes de distribuição de conteúdo, certificação digital e os próprios provedores de serviços gerenciados (MSPs e MSSPs). Paralelamente, tramita no Senado o PL 4.752/2025, o Marco Legal da Cibersegurança, já aprovado pela Comissão de Constituição e Justiça (CCJ) em dezembro de 2025 e submetido a audiência pública na Comissão de Ciência, Tecnologia, Inovação e Informática (CCT) em 30 de junho de 2026, conforme registrado pela TV Senado. Governo e Congresso discutem hoje integrar as duas propostas em um único texto. Da fragmentação à sistematização: o vácuo que a LGPD e o BACEN não cobriam O Brasil já regula partes do ambiente digital há anos, mas de forma setorizada. A LGPD trata do tratamento de dados pessoais. As resoluções do Banco Central impõem controles de segurança cibernética às instituições financeiras. Nenhuma das duas, no entanto, estabelece uma estrutura de governança, obrigações técnicas e sanções aplicáveis à cibersegurança como disciplina própria, independentemente de o incidente envolver dados pessoais ou o setor financeiro. É esse vácuo que a Lei Geral de Cibersegurança se propõe a preencher. Diferente da LGPD, que pergunta “como você trata dados pessoais”, a nova lei pergunta “como você protege sistemas, redes e infraestruturas digitais”. Uma empresa pode estar em conformidade com a LGPD e, ainda assim, não ter controles de acesso, plano de resposta a incidentes ou monitoramento adequado sob a ótica da nova regulação. O que a minuta prevê: quem é obrigado e o que passa a ser exigido Um escopo muito maior do que setores regulados isoladamente Segundo a minuta divulgada pelo CNCiber, tornam-se “agentes de cibersegurança obrigados” os operadores de infraestruturas críticas, os provedores de serviços essenciais e a administração pública, incluindo municípios com mais de 100 mil habitantes. A aplicação se estende também à cadeia de suprimentos desses agentes, o que significa que fornecedores diretos e indiretos de uma operadora de telecom, de um provedor de nuvem ou de um MSSP podem ser alcançados pelas exigências da lei, de forma proporcional ao porte e ao risco de cada organização. Na prática, o texto vai muito além do que qualquer regulação setorial brasileira já tentou cobrir. Ele alcança simultaneamente telecomunicações, radiodifusão, serviços postais, data centers, nuvem, DNS, certificação digital e os próprios prestadores de serviços de segurança gerenciada, colocando indústria, varejo, telecom e infraestrutura crítica no mesmo raio de exigência que hoje se concentra, quase exclusivamente, no setor financeiro. Obrigações técnicas e de governança baseadas em risco Conforme detalha o TeleSíntese a partir da minuta, os agentes obrigados deverão adotar medidas técnicas, operacionais e organizacionais estruturadas em blocos mínimos: governança, avaliação e auditoria, proteção de ativos, controle de acesso com autenticação multifator e certificação digital, segurança no ciclo de vida dos sistemas, segurança da cadeia de suprimentos, testes contínuos, resposta a incidentes, continuidade de negócios e treinamento. A responsabilidade pela implementação dessas medidas permanece com o agente mesmo quando há terceirização, um ponto que reforça a importância de mapear e monitorar fornecedores tecnológicos. Há ainda deveres específicos perante a autoridade competente: indicar um responsável de alta administração pela cibersegurança, manter cadastro atualizado, notificar incidentes relevantes, comunicar vulnerabilidades ao órgão central do sistema e instituir uma equipe própria de tratamento e resposta a incidentes, a ETIR. Esse último ponto merece atenção redobrada, porque transforma a capacidade de resposta de diferencial competitivo em exigência legal. Uma nova Autoridade Nacional e poderes de intervenção A minuta institui o SNCiber como estrutura de harmonização entre União, estados, Distrito Federal e municípios, com o Gabinete de Segurança Institucional (GSI) como coordenador político-estratégico e um centro nacional responsável por emitir alertas, analisar ameaças e apoiar as equipes de resposta a incidentes. A criação de uma Autoridade Nacional de Cibersegurança, com competência regulatória, fiscalizatória e sancionatória, também está prevista, embora o texto público ainda não defina qual órgão vai exercer essa função. Segundo o TeleSíntese, a Anatel desponta como principal candidata, por já dispor de estrutura técnica instalada. Entre as competências previstas está a possibilidade de a autoridade determinar, em caráter cautelar e por até 72 horas, o bloqueio de tráfego, a remoção de artefatos maliciosos ou o desligamento de ativos cibernéticos em situações de risco iminente. É um nível de poder de intervenção direta que nenhuma regulação setorial brasileira de cibersegurança havia previsto até aqui. Sanções no mesmo padrão da LGPD O regime sancionatório segue a lógica já conhecida da proteção de dados: advertência com prazo para correção, multa simples de até 2% do faturamento do último exercício no Brasil, limitada a R$ 50 milhões por infração, multa diária, suspensão de distribuição de produtos ou serviços de cibersegurança e vedação ao acesso a financiamentos públicos por até cinco anos, conforme descrito na minuta divulgada pelo CNCiber. O prazo de 180 dias e por que ele é mais curto do que parece A minuta prevê um prazo de 180 dias de adequação a partir da publicação das normas regulamentadoras que vão detalhar a lei, uma etapa que só vem depois da aprovação do texto pelo Congresso. Em teoria, seis meses parecem tempo suficiente. Na prática, mapear ativos digitais críticos, revisar contratos com fornecedores, implementar controles de acesso com autenticação multifator, estruturar uma equipe de resposta a incidentes e comprovar governança documentada são processos que, quando conduzidos do zero,

Inovações e Tendências

Controle comprovável: o que o Banco Central já pode exigir da sua instituição financeira em uma fiscalização

/

Sua instituição consegue apresentar, agora, evidência técnica de que a autenticação multifator está ativa em todos os acessos administrativos ao Pix? Consegue exibir o relatório do último teste de intrusão independente, com plano de ação documentado para cada vulnerabilidade crítica encontrada? Até fevereiro de 2026, essas perguntas ainda soavam hipotéticas para boa parte do setor financeiro brasileiro, agora, no segundo semestre do ano, elas deixaram de ser. Desde 1º de março, as Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 tornaram mandatórios 14 controles técnicos mínimos de cibersegurança para instituições financeiras, instituições de pagamento, corretoras e distribuidoras autorizadas a funcionar pelo Banco Central. As normas atualizam a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021, segundo publicação da Grant Thornton Brasil, e a fiscalização já opera em uma fase distinta: não basta descrever um controle na política de segurança, é preciso demonstrar, com registros técnicos, que ele funciona. De política declarada a evidência auditável A mudança de fundo não está apenas no volume de exigências, mas na natureza delas. O modelo anterior permitia razoável liberdade de interpretação sobre como cada instituição implementava seus controles de segurança cibernética, desde que a política formal existisse. O modelo atual é prescritivo: especifica mecanismos concretos, como autenticação forte, criptografia e testes de intrusão, e condiciona a conformidade à existência de registros que comprovem sua efetividade ao longo do tempo. Isso significa que, em uma inspeção, o Banco Central não está mais avaliando um documento, mas uma capacidade operacional: logs de autenticação, trilhas de auditoria de ponta a ponta, relatórios de correção de vulnerabilidades e evidências de testes de continuidade, mantidos por até cinco anos e disponíveis para exame a qualquer momento. Os 14 controles mínimos que passam a ser auditáveis A Resolução CMN nº 5.274/2025 detalha 14 procedimentos e controles que passam a integrar, de forma obrigatória, a política de segurança cibernética das instituições reguladas. Autenticação e controles de acesso ganham peso técnico específico, exigindo segregação de funções e mecanismos robustos além da simples senha. Mecanismos de criptografia precisam proteger dados sensíveis tanto em repouso quanto em trânsito, enquanto prevenção e detecção de intrusão, prevenção de vazamento de informações e proteção contra softwares maliciosos formam o núcleo defensivo esperado pelo regulador. A rastreabilidade completa das transações e a gestão de cópias de segurança também se tornam objeto de comprovação, assim como a avaliação e correção formal de vulnerabilidades, os perfis de configuração segura (hardening) de ativos de tecnologia e a proteção de rede. Completam o conjunto a gestão de certificados digitais, os requisitos de segurança para integração por interfaces eletrônicas (APIs) e, em um sinal claro de amadurecimento regulatório, as ações de inteligência no ambiente cibernético, com monitoramento estruturado de internet, deep web, dark web e grupos privados. Vale o destaque: esses controles não se limitam à infraestrutura própria da instituição. Sistemas de fornecedores executados com recursos computacionais da própria empresa contratante também precisam seguir o mesmo padrão, o que redesenha por completo a forma como contratos de tecnologia e cláusulas de segurança devem ser negociados. Pix e STR: o ponto de maior rigor da norma Para os ambientes de maior criticidade sistêmica, o Pix e o Sistema de Transferência de Reservas (STR), a resolução impõe reforços específicos que vão além do baseline geral. A autenticação multifator passa a ser obrigatória para todo acesso administrativo a esses ambientes, e o isolamento precisa ser tanto físico quanto lógico: quando operados em nuvem, Pix e STR devem residir em instâncias dedicadas e apartadas dos demais sistemas da instituição. Há ainda uma vedação expressa e pouco discutida fora dos círculos técnicos: terceiros não podem ter acesso às chaves privadas utilizadas na assinatura digital das mensagens do Sistema de Pagamentos Instantâneos. A validação de integridade precisa ocorrer de ponta a ponta antes de qualquer transação ser assinada digitalmente, e a própria comunicação eletrônica na Rede do Sistema Financeiro Nacional (RSFN) passa a ser classificada como serviço relevante para fins de contratação, elevando o nível de supervisão exigido sobre esse elo da cadeia. Testes de intrusão deixam de ser boa prática e viram obrigação anual Um dos pontos mais concretos da nova regulação é a exigência de testes de intrusão realizados ao menos uma vez por ano, conduzidos por profissionais independentes. A norma não define exclusividade de fornecedor externo, mas reforça que a independência técnica e a imparcialidade do time responsável precisam estar comprovadas, o que exige governança clara para evitar que a mesma equipe avalie controles que ela própria implementou sem segregação adequada. Documentação do escopo, uso de metodologia reconhecida, classificação de criticidade das vulnerabilidades encontradas e um plano de ação formal com prazos e responsáveis passam a ser parte obrigatória do processo, com registros preservados por cinco anos à disposição do regulador. Como já discutimos em outro artigo sobre a exposição do setor financeiro brasileiro a ataques cibernéticos, os ataques direcionados a esse segmento cresceram 115% entre 2024 e 2025, segundo a Check Point Research, um cenário que dá urgência prática, e não apenas regulatória, à exigência de testes recorrentes. A responsabilidade não termina na sua infraestrutura Talvez o ponto mais sensível para o board seja este: a norma deixa claro que a instituição financeira não pode terceirizar o risco. Sistemas operados por fornecedores dentro do próprio ambiente da instituição contratante precisam seguir os mesmos 14 controles mínimos, o que implica revisão de contratos, inclusão de cláusulas específicas de segurança e monitoramento contínuo de aderência, e não apenas due diligence no momento da contratação. Para CISOs, CIOs e áreas de compliance, essa mudança desloca o centro de gravidade da conformidade: já não é suficiente proteger o perímetro interno se um prestador crítico, com acesso a ambientes de pagamento ou dados de clientes, opera abaixo do padrão exigido pelo regulador. O que o board e os auditores devem esperar ver Em uma inspeção estruturada nos termos da nova resolução, é razoável antecipar que o Banco Central solicite relatórios completos de testes de intrusão, registros de varreduras periódicas de vulnerabilidades, logs de autenticação forte, evidências de

Inovações e Tendências

Riscos corporativos em 2026: por que os ciberataques assumiram o topo das preocupações dos CEOs no Brasil

/

Quando conselhos administrativos definem suas prioridades de risco para os próximos anos, a pauta de cibersegurança deixou de dividir espaço com instabilidades econômicas e operacionais. Ela passou a liderá-las. Essa não é mais uma leitura isolada de um único levantamento: é a convergência de pesquisas globais e nacionais que, em 2026, colocam o ciberataque como o risco número um para a continuidade dos negócios. Segundo a pesquisa Top Risks, conduzida pela Protiviti em parceria com a North Carolina State University (NC State), as ameaças cibernéticas aparecem como o principal risco para empresas brasileiras em 2026. O estudo ouviu 1.540 conselheiros e executivos C-level em diferentes países entre setembro e outubro de 2025, incluindo lideranças brasileiras, avaliando tanto riscos de curto prazo quanto projeções para a próxima década. No recorte nacional, ameaças cibernéticas lideram um ranking que inclui falta de qualificação para adoção de inteligência artificial, pressões inflacionárias, riscos envolvendo terceiros e infraestrutura de TI obsoleta; todos eles, vale notar, direta ou indiretamente conectados à exposição digital da operação. O crescimento acelerado da transformação digital ampliou significativamente a superfície de ataque corporativa. Ativos esquecidos, aplicações expostas à Internet, APIs públicas, buckets em nuvem, domínios similares, certificados digitais, identidades privilegiadas e ativos Shadow IT passaram a representar vetores de comprometimento tão relevantes quanto vulnerabilidades tradicionais.  O cenário brasileiro não é exceção dentro de uma tendência global. O Allianz Risk Barometer 2026, que consultou 3.338 especialistas em gestão de risco de 97 países, aponta os incidentes cibernéticos como o principal risco corporativo do mundo pelo quinto ano consecutivo, com a maior margem de vantagem já registrada sobre o segundo colocado. A inteligência artificial aparece logo atrás, subindo da décima para a segunda posição no ranking global,  maior salto da história da pesquisa, hoje em sua décima quinta edição. Juntos, cibersegurança e IA agora figuram entre os cinco principais riscos em praticamente todos os setores e portes de empresa analisados. O risco que saiu da TI e chegou ao conselho A leitura desses dois levantamentos, lidos em conjunto, descreve um movimento estrutural: a cibersegurança concluiu sua transição da sala de servidores para a mesa do conselho administrativo. Não se trata mais de uma pauta técnica reportada esporadicamente em comitês de risco, mas de uma variável que molda decisões sobre fusões, expansão geográfica, parcerias estratégicas e até a precificação de capital. Essa mudança de status tem uma explicação direta. Segundo a área de Gestão de Riscos e Continuidade de Negócios da Protiviti Brasil, os riscos corporativos atuais formam um ecossistema altamente conectado, no qual ameaças cibernéticas, dependência de terceiros, infraestrutura legada e inteligência artificial impactam diretamente a capacidade das empresas de executar sua estratégia, manter a confiança do mercado e sustentar o crescimento. Em outras palavras, um incidente de segurança deixou de ser um problema isolado de TI para se tornar um evento capaz de comprometer simultaneamente operação, reputação e posicionamento competitivo. O dado do Allianz Risk Barometer reforça essa interdependência: a permanência do risco cibernético no topo do ranking global, segundo a análise da seguradora, reflete uma dependência cada vez maior de provedores terceirizados para dados e serviços críticos, em um momento no qual a inteligência artificial amplia a superfície de ataque e potencializa ameaças já existentes. Para empresas de grande porte, isso significa que a robustez de sua própria infraestrutura já não é suficiente: a resiliência do ecossistema de fornecedores, parceiros e plataformas conectadas passou a fazer parte direta da equação de risco. Entre o discurso de risco e o orçamento que o sustenta Um dos pontos mais relevantes da pesquisa Protiviti para o debate estratégico é a distância entre o reconhecimento do risco e o volume de investimento direcionado a ele. No Brasil, 46% dos executivos afirmaram priorizar investimentos em modernização da infraestrutura tecnológica e melhorias em processos de negócio, enquanto iniciativas ligadas a cibersegurança e proteção digital concentram 34% das prioridades corporativas. O risco mais citado pelos líderes brasileiros não é, ainda, o que recebe a maior fatia isolada de investimento, um descompasso que tende a se tornar insustentável à medida que a pressão regulatória e a sofisticação das ameaças avançam. Esse desencontro fica ainda mais evidente quando se observa o componente de inteligência artificial dentro do mesmo levantamento. No Brasil, 36% dos executivos apontam dificuldade para implementar IA em ritmo competitivo, o mesmo percentual destaca a necessidade de capacitação e requalificação de profissionais para acompanhar a transformação tecnológica, e 28% citam problemas de integração entre ferramentas de IA e sistemas já existentes. Como observa a própria área de Riscos da Protiviti Brasil, o risco não está em adotar a inteligência artificial, mas em fazê-la avançar sem governança, sem integração e sem preparo das pessoas envolvidas, e essa lacuna de governança é, justamente, um dos vetores que o Allianz Risk Barometer identifica como amplificador do risco cibernético em 2026. Apesar desse cenário de exposição elevada, os executivos brasileiros mantêm uma leitura otimista sobre o crescimento: 80% acreditam em potencial relevante de receita nos próximos dois ou três anos, e 76% apontam parcerias estratégicas e desenvolvimento de ecossistemas de negócios como principais caminhos para ampliar oportunidades. A leitura correta desse otimismo não é a de que o risco cibernético seja secundário, é a de que ele se tornou a variável que determina se o crescimento projetado será, de fato, sustentável. Por que a resposta reativa já não acompanha o ritmo da ameaça A maior parte das estruturas de segurança corporativa no Brasil ainda está organizada em torno da resposta a incidentes: detectar, conter e remediar depois que o ataque já está em curso. Esse modelo, construído para um cenário de ameaças mais previsível, não acompanha a velocidade de um ambiente no qual a inteligência artificial reduz o custo da ofensiva e amplia a escala dos ataques simultaneamente em múltiplas frentes, exatamente o padrão que tanto a Protiviti quanto a Allianz identificam como o principal fator de aceleração do risco em 2026. Para o conselho administrativo, a pergunta deixou de ser “estamos protegidos contra um ataque?” e passou a ser “quanto tempo

Ilustração digital de uma arquitetura de rede com conexões brilhantes em verde e uma rota destacada em vermelho, representando o conceito de Zero Trust Security
Inovações e Tendências

Guia de Zero Trust Security: O que é e como estruturar sua arquitetura de rede

/

Uma pesquisa do Gartner revelou que 63% das empresas globais já implementaram alguma forma de estratégia Zero Trust, total ou parcialmente. Para 78% delas, esse investimento representa 25% do orçamento inteiro de segurança cibernética. São números que, à primeira vista, sugerem maturidade. O problema está na leitura complementar: 56% dessas mesmas organizações não têm clareza sobre as melhores práticas de implementação. E como consequência direta disso, o Zero Trust dessas empresas cobre, em média, metade ou menos do ambiente corporativo, mitigando aproximadamente 25% do risco total ao qual estão expostas. Ou seja: as empresas estão investindo de forma significativa em um modelo que, na maioria dos casos, está sendo aplicado de forma incompleta. Não por falta de tecnologia disponível, mas por ausência de uma estrutura operacional capaz de sustentar o modelo com consistência ao longo do tempo. Neste artigo, vamos nos aprofundar nessa lacuna entre adoção declarada e operação real, e os riscos e oportunidades para seu negócio. Zero Trust: o que é, de verdade? Zero Trust não é um produto. Não é um software que se instala e esquece. É uma filosofia de segurança e uma arquitetura de rede que se constrói com base nela. O princípio central é direto: nenhuma pessoa, dispositivo ou sistema deve receber acesso automático a qualquer recurso, independentemente de onde esteja na rede. Toda interação deve ser continuamente validada com base em identidade, contexto, postura do dispositivo e nível de risco. Toda sessão deve ser monitorada e reavaliada dinamicamente ao longo do ciclo de acesso.  Em termos práticos, isso representa uma quebra radical com o modelo tradicional. No modelo antigo, um colaborador que se conectava à rede corporativa era tratado como confiável por padrão. No modelo Zero Trust, nenhum usuário, dispositivo ou workload recebe confiança implícita até que identidade, contexto e legitimidade sejam continuamente validados: a cada acesso, a cada sessão, a cada solicitação. A frase que define o conceito é: “nunca confie, sempre verifique” (never trust, always verify). Isso pode soar rígido. Na prática, quando bem implementado, o Zero Trust é transparente para o usuário legítimo e devastador para o atacante. Por que o modelo tradicional não é mais suficiente? Com o crescimento das aplicações em nuvem, dispositivos IoT e a normalização do trabalho remoto, os pontos de vulnerabilidade se multiplicaram de formas que o perímetro tradicional não consegue acompanhar. Hoje, um colaborador pode estar acessando sistemas críticos de uma rede doméstica, de um aeroporto ou de um dispositivo pessoal. Um fornecedor pode ter credenciais válidas e acesso a dados sensíveis. Um atacante que comprometeu uma credencial pode se mover lateralmente pela rede por semanas sem levantar suspeitas. As ameaças internas são tão perigosas quanto as externas. E o perímetro, esse conceito de “dentro” e “fora” da rede, não protege contra o que já está dentro. O Zero Trust resolve esse problema ao eliminar a confiança implícita em qualquer ponto do ambiente. O acesso passa a ser baseado em identidade, contexto e necessidade real, não em localização na rede. Como funciona uma Zero Trust Network na prática? Uma Zero Trust Network não é uma única tecnologia. É um conjunto de componentes que trabalham juntos para garantir verificação contínua e visibilidade total. No modelo Zero Trust, toda interação de rede é considerada suspeita até que seja provado o contrário. Um funcionário acessando o sistema de um novo dispositivo, de uma localização incomum ou fora do horário habitual é submetido a verificações adicionais antes de receber acesso, e isso acontece de forma automatizada, sem fricção desnecessária para o usuário legítimo. Os componentes essenciais de uma arquitetura Zero Trust incluem: Autenticação e autorização contínua: não apenas no momento do login, mas ao longo de toda a sessão. Se o comportamento do usuário mudar de forma suspeita, o sistema reage. Monitoramento e análise de comportamento em tempo real: usando ferramentas de análise para detectar padrões anômalos antes que se transformem em incidentes. Políticas de acesso baseadas em privilégio mínimo: cada usuário, dispositivo ou sistema recebe apenas o nível de acesso estritamente necessário para a função que exerce. Nada mais. Microssegmentação: a rede é dividida em zonas menores e isoladas. Se um segmento for comprometido, o atacante não consegue se mover lateralmente. O incidente fica contido. Zero Trust Network Access (ZTNA): acesso baseado em identidade que substitui a VPN tradicional, oferecendo controle granular e reduzindo drasticamente a superfície de ataque. Autenticação multifator (MFA) e frameworks sem senha: para garantir que a identidade por trás do acesso é genuinamente quem diz ser. Como implementar o Zero Trust: o passo a passo que a maioria ignora Aqui está o problema real: implementar Zero Trust não é difícil por falta de tecnologia, mas por falta de clareza estratégica. O Gartner aponta três recomendações críticas para líderes de segurança antes de iniciar qualquer implementação: 1. Defina o escopo com antecedência: quais ambientes serão cobertos? Quais são os ativos mais críticos? Qual risco você está buscando mitigar prioritariamente? Começar sem essas respostas é a receita para uma implementação parcial que dá falsa sensação de proteção. 2. Utilize métricas estratégicas e operacionais: a implementação precisa ter critérios de sucesso mensuráveis: redução de movimentação lateral, tempo médio de detecção, cobertura de identidades gerenciadas. Sem métricas, não há como saber se o modelo está funcionando. 3. Preveja impactos de custo e equipe: a abrangência da estratégia define o custo e o esforço operacional. Projetos que ignoram essa variável tendem a travar no meio do caminho. Na prática, uma implementação Zero Trust eficaz segue uma lógica progressiva: Primeiro passo: avalie a estratégia atual de segurança: mapeie vulnerabilidades na infraestrutura existente. Identifique onde a confiança implícita está sendo concedida sem controle, e esses pontos serão, invariavelmente, os primeiros vetores de ataque explorados. Segundo passo: segmente os ativos: categorize os ativos críticos e divida o ambiente em microssegmentos com acesso controlado por necessidade. Isso limita o raio de explosão de qualquer eventual comprometimento. Terceiro passo: implemente controle de acesso por identidade: MFA, políticas adaptativas e, quando possível, frameworks sem senha. A identidade é o novo perímetro, protegê-la é

Inovações e Tendências

A nuvem não tem paredes: por que a identidade é o novo perímetro da LGPD

/

Imagine que um ex-colaborador desligado há 45 dias ainda consegue acessar o sistema de CRM da sua empresa, com login e senha válidos, sem qualquer alerta. Ou que um bot de automação criado para um projeto interno acumula, silenciosamente, permissões de leitura sobre bases de dados que contêm informações pessoais de clientes. Estes podem não ser apenas cenários hipotéticos, mas falhas estruturais que evidenciam falhas críticas em processos de Identity and Access Management (IAM), especialmente na ausência de controles formais de provisionamento, revisão periódica e desprovisionamento automático (deprovisioning) de acessos, falhas estruturais de governança de identidade que se tornaram rotina nas organizações que migraram para a nuvem sem revisar como controlam quem acessa o quê. Do ponto de vista técnico, o problema é grave. Do ponto de vista regulatório, ele é ainda mais urgente: a Lei Geral de Proteção de Dados (LGPD) exige que as empresas demonstrem, a qualquer momento, que apenas pessoas autorizadas têm acesso a dados pessoais, e que esse controle é contínuo, documentado e auditável. Em 2026, com a ANPD em postura ativa de fiscalização, a ausência dessas evidências deixou de ser uma lacuna técnica para se tornar uma exposição jurídica concreta. Quando os dados se movem, a governança precisa acompanhar A migração para ambientes cloud já é uma realidade consolidada. Plataformas SaaS, infraestruturas multicloud, integrações via API e modelos de trabalho distribuído transformaram a forma como dados corporativos circulam. O que antes estava centralizado em um datacenter próprio agora se distribui entre dezenas de ambientes simultâneos. Muitos deles fora do controle direto da equipe de segurança, caracterizando cenários de Shadow IT e uso de integrações baseadas em APIs, tokens e credenciais persistentes, sem governança centralizada.  Esse movimento cria um problema específico para a conformidade com a LGPD: dados pessoais não ficam mais parados. Eles transitam entre sistemas, são acessados por identidades humanas e não humanas, replicados em ambientes de desenvolvimento e consumidos por integrações automatizadas. Em cada um desses pontos, a pergunta que a lei impõe é a mesma: quem está acessando, com qual base legal, e há controle e registro disso? Segundo análise publicada pelo portal Data Guide em janeiro de 2026, a maior dificuldade das organizações em relação à LGPD em 2026 não é mais a elaboração de políticas, mas a governança: a capacidade de manter evidências consistentes e processos auditáveis de controle de acesso. Não basta ter uma política documentada, é preciso provar, na prática, que ela funciona. O que a LGPD efetivamente exige de quem opera na nuvem A LGPD não é uma lei de tecnologia, mas suas exigências têm consequências técnicas diretas. O artigo 6º estabelece, entre os princípios do tratamento de dados, a segurança (inciso VII) que obriga o controlador a adotar medidas técnicas e administrativas capazes de proteger dados pessoais de acessos não autorizados, e a responsabilização e prestação de contas (inciso X), que vai além: exige que a organização demonstre ativamente que os controles existem e funcionam. Traduzindo para o contexto de identidade e acesso em ambientes cloud, isso significa que a empresa precisa ser capaz de responder, com evidências técnicas suportadas por controles como: A ANPD, segundo análise publicada pelo portal LGPD2U em dezembro de 2025 sobre os cinco anos da Autoridade, encerrou sua fase predominantemente educativa. A postura atual é de fiscalização estruturada, com capacidade para instaurar processos administrativos e aplicar sanções. O recado para 2026 é direto: não basta ter documentos. É preciso demonstrar que o programa de governança funciona no dia a dia. Nesse cenário, a trilha de auditoria de acessos deixou de ser um log técnico e passou a ser um ativo de conformidade jurídica. E é exatamente aqui que a maioria das empresas que migraram para a nuvem sem revisar sua arquitetura de identidade opera com uma lacuna crítica. Três falhas de governança que transformam acesso em passivo regulatório 1- Identidades que ninguém revisou Em ambientes cloud, recursos são provisionados com agilidade e permissões são concedidas na mesma velocidade. O problema é que elas raramente são revisadas com a mesma frequência. Um colaborador que muda de função acumula os acessos do cargo anterior. Um projeto encerrado deixa credenciais ativas em sistemas que continuam processando dados pessoais. Uma integração entre plataformas, criada provisoriamente, permanece ativa por meses. Esse acúmulo de permissões excessivas (permission creep) amplia a superfície de ataque e facilita cenários de lateral movement em caso de comprometimento de credenciais, chamado de permission creep, não gera alertas imediatos. Ele se instala gradualmente e cria uma superfície de exposição que só se torna visível quando algo dá errado. Sob a LGPD, cada uma dessas identidades com acesso desnecessário a dados pessoais representa uma potencial violação do princípio da necessidade (Art. 6º, III): tratar apenas o mínimo necessário para a finalidade declarada. 2- O intervalo entre o desligamento e a revogação O processo de offboarding é um dos pontos de maior risco regulatório em organizações com ambientes distribuídos. Quando um colaborador é desligado, os sistemas de RH são atualizados, mas os acessos em plataformas SaaS, repositórios de código, ferramentas de comunicação e painéis de dados raramente são revogados de forma centralizada e imediata. A ausência de integração entre sistemas de RH e IAM compromete o modelo Joiner-Mover-Leaver (JML), criando janelas de exposição exploráveis em cenários de insider threat ou uso indevido de credenciais válidas.  Dados da SailPoint indicam que, em processos manuais de revogação, esse intervalo pode superar 30 dias. Durante esse período, credenciais de ex-colaboradores permanecem válidas em sistemas que contêm dados pessoais de clientes, funcionários ou parceiros. Sob a LGPD, isso configura acesso não autorizado, com obrigação de notificação à ANPD quando o incidente resultar em risco ou dano relevante aos titulares. 3- Identidades não humanas sem ciclo de vida definido Scripts de automação, bots de integração, aplicações que consomem APIs, contêineres em ambientes de DevOps: todas essas entidades operam com credenciais próprias e, com frequência, com privilégios muito além do necessário para sua função. Diferentemente de usuários humanos, essas identidades raramente passam por revisões periódicas, e muitas permanecem ativas muito

imagem representativa da escassez de talentos no mercado de cibersegurança, em contrapartida com o rapido crescimento das ameaças
Inovações e Tendências

Escassez de talentos ou falha de modelo? Como escalar a defesa sem contratar 20 analista

/

Existe um número que ajuda a sintetizar o estado atual da cibersegurança corporativa: 4,7 milhões.É o déficit estimado de profissionais qualificados na área ao redor do mundo, de acordo com o 2025 Global Cybersecurity Skills Gap Report da Fortinet. Não se trata de uma projeção distante, mas de uma lacuna concreta que já impacta a capacidade das organizações de manter operações, responder a incidentes e justificar investimentos em segurança. O dado não é isolado. Segundo o Fórum Econômico Mundial (Strategic Cybersecurity Talent Framework, 2024), a escassez global de mão de obra qualificada é uma das ameaças estruturais mais persistentes à resiliência digital de organizações públicas e privadas. A demanda por especialistas cresce em ritmo consistente ano após ano, e a oferta simplesmente não acompanha. O que fazer diante disso? A resposta que muitas organizações escolheram nos últimos anos foi contratar um MSSP: um provedor de serviços gerenciados de segurança, como alternativa ao recrutamento interno. Uma decisão praticamente correta, mas que, dependendo de como é executada, pode criar uma falsa sensação de cobertura. O modelo tradicional de MSSP não resolve o problema do CISO Terceirizar o monitoramento de eventos resolve parte do problema operacional. Tira o peso do SOC 24/7 da responsabilidade do time interno e libera ciclos de atenção para outras frentes. Mas não resolve o problema estratégico que está no centro da pressão que o CISO enfrenta todos os dias. O que o CISO precisa não é apenas de mãos que monitorem dashboards e disparem tickets. É de inteligência aplicada: alguém que ajude a traduzir risco técnico em linguagem de negócio para o board, que apoie a priorização de investimentos com base no que realmente expõe a organização, que questione se os controles existentes estão configurados com excelência e não apenas instalados. O 2025 Fortinet Skills Gap Report reforça essa dimensão: 86% das organizações sofreram ao menos uma violação em 2024, e mais da metade (52%) afirma que incidentes custaram mais de US$ 1 milhão no ano. Ao mesmo tempo, 76% dos boards aumentaram seu foco em cibersegurança em 2024, o que significa mais pressão, mais perguntas sem resposta fácil e mais exigência de clareza estratégica por parte do CISO. É nesse gap, entre o que o modelo tradicional de MSSP entrega e o que o CISO realmente precisa, que mora a oportunidade de evolução. A guerra por talentos eleva o custo de montar um SOC interno Antes de avaliar alternativas, vale dimensionar o que está em jogo ao tentar resolver o problema com contratação direta. O 2024 Global Cybersecurity Skills Gap Report da Fortinet aponta que 70% das organizações identificam a escassez de talentos como um risco adicional concreto para sua postura de segurança. Mais do que isso: 87% dos líderes afirmaram ter sofrido uma violação que podem ao menos parcialmente atribuir à falta de profissionais qualificados, número que cresceu de 84% em 2023 e 80% em 2022. A série histórica é clara: o problema não está se resolvendo sozinho. Recrutar analistas seniores de SOC, threat hunters e especialistas em resposta a incidentes é caro e lento. Reter esse perfil é ainda mais difícil: o mercado paga prêmios elevados, o burnout é real (especialmente em operações de monitoramento contínuo) e o ciclo médio de permanência em funções operacionais de segurança é curto. Construir e manter um time com maturidade técnica real demanda anos de investimento, uma governança de desenvolvimento de carreira consistente e orçamento que raramente está disponível na proporção necessária. O resultado prático: organizações que tentam resolver o problema de escassez apenas com recrutamento ficam presas em um ciclo de contratação, sobrecarga e saída. Projetos estratégicos, implementação de Zero Trust, evolução de postura em cloud, maturidade de identidade, ficam no papel enquanto o time apaga incêndios. O que significa ter um parceiro estratégico, não apenas um fornecedor A diferença entre um MSSP que opera como fornecedor e um que atua como extensão do time do CISO está na forma como a inteligência flui, além do contrato.  No modelo fornecedor, o MSSP entrega alertas, relatórios periódicos e resposta a chamados. No modelo de parceiro estratégico, o que a Asper define como Trust Advisor, a relação é fundamentalmente diferente. O parceiro entende o contexto do cliente, conhece seus sistemas críticos, acompanha mudanças de ambiente e atua proativamente para fechar brechas antes que virem vetores de ataque. Isso inclui questionar configurações. Uma ferramenta instalada e mal configurada não protege, em alguns casos, gera falsa sensação de cobertura que é mais perigosa do que a ausência da ferramenta. O Trust Advisor não entrega tecnologia: entrega operação com excelência e governança contínua sobre os controles. Inclui também apoiar a comunicação com o board. O CISO que consegue traduzir “nosso risco de ransomware dado o investimento atual” em termos financeiros e operacionais tem uma conversa completamente diferente com os líderes da organização. Esse trabalho de tradução, de risco técnico para impacto de negócio, é parte do que um parceiro estratégico precisa oferecer. Como o Cyber Fusion Center da Asper opera nesse modelo O Cyber Fusion Center (CFC) da Asper foi concebido para ir além do modelo tradicional de SOC. A proposta não é apenas monitorar eventos, mas orquestrar defesa com inteligência e entregar clareza estratégica. Na prática, isso se desdobra em três dimensões que diferenciam a operação: Detecção comportamental e resposta orquestrada: em vez de depender de assinaturas estáticas, o CFC analisa comportamentos e correlaciona eventos entre diferentes camadas: endpoint, rede, identidade, nuvem. Quando uma anomalia é identificada, a contenção não espera aprovação manual: playbooks automatizados isolam máquinas, bloqueiam processos e iniciam varreduras em paralelo enquanto os analistas aprofundam a investigação. O CFC opera com resposta em minutos nos incidentes críticos. Threat hunting proativo: o CFC não reage apenas a alertas. Times especializados buscam ativamente evidências de comprometimento que ainda não geraram alarmes: movimentações laterais sutis, abuso de credenciais legítimas, persistências ocultas. É a diferença entre descobrir um intruso pelo barulho que fez e encontrá-lo antes que cause dano. Relatórios executivos com visão de risco de negócio: o CISO recebe não apenas

Imagem representando profissional de T.I sobrecarregado por tool fatigue
Inovações e Tendências

RSA 2026 e a “Tool Fatigue”: menos logos, mais orquestração estratégica

/

O Moscone Center, em São Francisco, voltou a reunir dezenas de milhares de profissionais de segurança para a RSA Conference 2026, realizada entre 23 e 26 de março. O pavilhão, como sempre, foi vitrine de promessas: novos logos, novos acrónimos, novas plataformas. Mas as conversas mais relevantes, aquelas que aconteceram nos corredores, nas mesas de café e nos painéis menos lotados, giraram em torno de uma pergunta que nenhum fabricante gosta de responder: por que, com mais ferramentas do que nunca, tantas empresas continuam se sentindo expostas? A resposta está menos na qualidade das soluções individuais e mais na arquitetura que as sustenta, ou, na maioria dos casos, na ausência dela. Para muitos CISOs, a RSAC 2026 não foi sobre descobrir a próxima grande ferramenta, mas reconhecer que o modelo de acúmulo de tecnologia chegou ao seu limite operacional. A RSA Conference 2026 evidenciou uma mudança estrutural na maturidade do mercado de cibersegurança: o excesso de ferramentas deixou de ser visto como maturidade e passou a ser reconhecido como fator de risco operacional. Em um cenário onde CISOs enfrentam pressão simultânea para acelerar a adoção de IA e, ao mesmo tempo, proteger ambientes cada vez mais distribuídos, a discussão central deixou de ser expansão de stack e passou a ser integração, visibilidade e redução de complexidade. Os principais temas do evento como segurança de identidade, riscos em ambientes cloud e o uso crescente de IA tanto por defensores quanto por atacantes  reforçam que o desafio atual não está na falta de tecnologia, mas na incapacidade de correlacionar sinais em tempo hábil. Nesse contexto, a chamada tool fatigue não é apenas uma questão operacional, mas um sintoma de arquiteturas fragmentadas que dificultam detecção, resposta e priorização de risco. O diagnóstico que o mercado finalmente assumiu Por anos, a lógica dominante no setor de cibersegurança foi simples: surgiu uma ameaça nova, compra-se uma ferramenta nova. O resultado acumulado desse comportamento é o que hoje se chama de tool sprawl, e os números são reveladores.De acordo com levantamento do Gartner com 162 grandes empresas, realizado entre agosto e outubro de 2024, as organizações utilizam, em média, 45 ferramentas de cibersegurança distintas.  O problema não é apenas orçamentário. Segundo pesquisa da Syxsense, 68% das organizações operam com mais de onze ferramentas apenas para gerenciamento e segurança de endpoints, um recorte específico que já sozinho evidencia a fragmentação estrutural. E quando os dados se acumulam em silos desconectados, a consequência imediata é o que os analistas chamam de alert fatigue: um volume de alertas tão elevado e descontextualizado que a equipe de segurança deixa de ser capaz de distinguir o sinal crítico do ruído operacional. Na RSAC 2026, esse diagnóstico ficou ainda mais claro nas análises pós-evento e nas conversas do ecossistema: a discussão dominante não foi “como adicionamos mais ferramentas”, mas como integramos melhor o que já existe. Em vez de mais nomes no stack, o mercado passou a mirar consolidação, interoperabilidade e uma arquitetura que reduza a sobreposição de capacidades. A complexidade como aliada do atacante Há uma consequência da fragmentação tecnológica que vai além da ineficiência operacional: ela cria pontos cegos arquiteturais que os adversários exploram com precisão. Quando dados de TI, nuvem e identidade transitam por plataformas que não se comunicam, qualquer movimentação lateral dentro do ambiente corporativo tende a passar despercebida por mais tempo. O Relatório Mandiant M-Trends 2025 coloca em perspectiva a dimensão desse risco: exploração de vulnerabilidades, credenciais comprometidas e phishing lideram os vetores de acesso inicial em investigações de resposta a incidentes. O que esses números não dizem diretamente é que a eficácia de cada um desses vetores depende, em parte, da capacidade da vítima de correlacionar sinais entre domínios diferentes, algo que stacks fragmentados simplesmente não conseguem fazer em tempo hábil. Outro ponto reforçado em relatórios de identidade e resposta a incidentes é que ataques modernos continuam sendo profundamente oportunistas em relação a falhas de acesso, excesso de confiança e baixa visibilidade. A confiança em ferramentas individuais não equivale à capacidade de detecção integrada. O que a RSAC 2026 evidenciou sobre a nova agenda dos CISOs Segundo análises publicadas antes e depois do evento, a RSAC 2026 consolidou uma discussão madura sobre consolidação versus fragmentação, e foi exatamente isso que muitos profissionais buscaram nas conversas com fornecedores: o que a solução substitui, o que ela integra e o quanto ela reduz complexidade real. Se a resposta fosse apenas “ela complementa o que já existe”, o interesse caía rapidamente. O movimento de consolidação ficou evidente no comportamento dos grandes players, que apostaram em narrativas de plataforma integrada, unificando detecção, investigação e resposta em fluxos coesos, em vez de apresentar capacidades isoladas. O tema do “Agentic SOC”, que combina automação com inteligência humana dentro de uma arquitetura unificada, emergiu como um dos conceitos mais discutidos do evento. Para análises como as da CSO Online, a tensão central do evento foi como habilitar a adoção de IA rápido o suficiente para manter a competitividade enquanto se protege a empresa contra um cenário de ameaças que a própria IA está remodelando. Orquestração e visibilidade integrada tornaram-se, portanto, o alicerce sobre o qual qualquer estratégia de segurança orientada a resultados precisa ser construída. Esse movimento já tem respaldo em dados concretos: segundo levantamento da Fortra com profissionais de segurança, uma parcela relevante das organizações já iniciou um processo ativo de consolidação do stack tecnológico, enquanto outras planejam fazê-lo em breve. A consolidação deixou de ser só conversa e passou a ocupar espaço de roadmap. O ponto cego que nenhum logo resolve: a falta de telemetria integrada O que diferencia um stack fragmentado de uma arquitetura de segurança eficaz vai além do número de soluções presentes, trata-se da qualidade da comunicação entre elas. Ferramentas que não compartilham telemetria criam o que os especialistas chamam de gaps de visibilidade, janelas de tempo e espaço onde atividades anômalas acontecem sem gerar correlação. É exatamente nessas janelas que as ameaças persistentes avançadas (APTs) operam.Um CISO que gerencia dezenas de consoles diferentes enfrenta, na prática,

imagem ilustrativa para representar o novo e-ciber 2025
Inovações e Tendências, Keeping Digital Safe

e‑Ciber saiu do PDF: o que muda de verdade para sua empresa

/

Em 2022, o Brasil registrou mais de 100 bilhões de tentativas de ataque cibernético, resultando em prejuízos estimados em R$ 1,5 trilhão em 2024. Os setores mais impactados — financeiro, saúde e infraestrutura crítica — representam exatamente o que a nova Estratégia Nacional de Cibersegurança (E-Ciber) pretende proteger. No início de agosto de 2025, o governo brasileiro publicou o Decreto nº 12.573/2025, revogando a estratégia anterior de 2020 e instituindo cinco pilares estratégicos que serão desdobrados no futuro Plano Nacional de Cibersegurança (P-Ciber), organizado pelo Comitê Nacional de Cibersegurança (CNCiber). Para empresas, especialmente as que atuam em setores regulados como finanças, saúde, telecomunicações e energia, a pergunta central é: como sair do discurso e transformar diretrizes em métricas, orçamento e governança?  Neste artigo iremos analisar o novo ciclo da E‑Ciber, explorar seus eixos temáticos, avaliar desafios e oportunidades e mostrar como a Asper Cibersegurança pode ajudar a traduzir o plano no papel em maturidade prática. Ouça o resumo desse artigo: Da teoria à prática: os cinco pilares da E-Ciber 2025 A E-Ciber 2025 nasce de uma constatação: a primeira versão de 2020 trouxe conceitos importantes, mas careceu de mecanismos de execução e métricas padronizadas.  O decreto de 2025 busca resolver isso através de cinco pilares estratégicos com aplicação direta no ambiente corporativo. Soberania e Interesses Nacionais: reduzindo dependência tecnológica com o E-Ciber O primeiro pilar incentiva o desenvolvimento de soluções nacionais de cibersegurança, com prioridade para PMEs e startups brasileiras.  Para empresas, a E-Ciber significa oportunidades de parcerias estratégicas com fornecedores locais e potencial redução de custos de licenciamento internacional. As ações incluem avaliação de conformidade nacional, certificação de produtos e formação de profissionais especializados.  Empresas que já sofrem com escassez de mão de obra qualificada podem se beneficiar dos programas de capacitação previstos, especialmente aqueles focados em inclusão de grupos subrepresentados. Garantia de Direitos Fundamentais: compliance além da LGPD O segundo pilar da E-Ciber alinha a cibersegurança com proteção de dados, privacidade e liberdade de expressão. Estabelece padrões mínimos para dados sensíveis e promove autenticação forte através de certificação digital. Para empresas reguladas, isso significa evolução das práticas de compliance — não basta apenas estar em conformidade com a LGPD, mas também demonstrar aderência aos novos padrões nacionais de segurança de dados. As campanhas de ciber-higiene previstas podem complementar programas internos de conscientização. Prevenção, Tratamento e Resposta: o que muda na gestão de incidentes Este pilar da E-Ciber toca diretamente no dia a dia operacional das empresas. Prevê a criação de um mecanismo nacional unificado para notificação de ciberincidentes e estabelece proteção obrigatória para infraestruturas críticas e serviços essenciais. Para organizações de setores regulados, isso implica que o e-Ciber vai forçar a adaptação dos planos de continuidade existentes, integração com CSIRTs setoriais e participação obrigatória em simulações multissetoriais. O decreto também incentiva a divulgação coordenada de vulnerabilidades, exigindo processos internos mais estruturados de gestão de patches. Cooperação e Atuação Internacional: inteligência compartilhada O quarto pilar da E-Ciber reconhece que ameaças cibernéticas são globais e exigem colaboração. Empresas multinacionais ou que operam com parceiros internacionais precisarão alinhar suas práticas de compartilhamento de inteligência de ameaças com os novos mecanismos de cooperação. A participação ativa em fóruns internacionais de cibersegurança pode gerar vantagens competitivas, especialmente para empresas que buscam expandir operações ou validar suas práticas internacionalmente. Cultura e Conscientização: além dos treinamentos obrigatórios O último pilar da E-Ciber estabelece que cibersegurança deve fazer parte da cultura organizacional. Prevê capacitação de gestores e implementação de “confiança zero” em serviços digitais — conceito que vai além do Zero Trust técnico e inclui mudanças comportamentais. Para empresas, isso significa evolução dos programas de conscientização tradicionais para abordagens mais abrangentes, incluindo suporte especializado para PMEs que sofreram ciberincidentes. Por que essa versão é diferente? Além de simplificar os eixos, a E‑Ciber 2025 estabelece que cada ação estratégica tenha um indicador de desempenho próprio.  Segundo o assessor especial do GSI/PR Dr. Marcelo Malagutti, a ideia é avaliar cada eixo pelo desempenho médio de seus indicadores. Ele explica que a primeira proposta do P‑Ciber está em elaboração e que a estratégia não influenciará o orçamento federal de 2026, mas deverá orientar as discussões para 2027.  Isso reforça a necessidade de que empresas privadas se antecipem, criando seus próprios KPIs e reservas orçamentárias para acompanhar a estratégia. O cronograma abaixo do e-Ciber mostra como empresas podem se posicionar estrategicamente em cada marco da implementação: Essa linha do tempo evidencia que organizações proativas terão vantagem competitiva ao estruturar governança e KPIs antes das exigências se tornarem obrigatórias. Desafios e oportunidades: maturidade como diferencial competitivo A implementação da nova E-Ciber não virá sem obstáculos. O próprio decreto admite que seu sucesso dependerá da criação de uma cultura de cibersegurança em toda a sociedade. Entre os principais desafios estão: Apesar dos desafios, as oportunidades são significativas. A valorização dos especialistas, o desenvolvimento de soluções nacionais e o crescimento do mercado de seguros cibernéticos são tendências apontadas na própria estratégia.  O Dr. Malagutti destaca que as iniciativas do P‑Ciber terão indicadores e que a E‑Ciber prevê um modelo brasileiro de maturidade para aferir a evolução do setor. Para organizações privadas, isso significa que medir sua exposição cibernética passará a ser requisito de compliance, não apenas boa prática. O especialista também alerta que é preciso mudar a mentalidade de que cibersegurança é custo. Ele defende a lógica do “custo de não fazer” (de não implementar a nova E-Ciber), lembrando que muitas instituições que sofrem ataques graves vão à falência poucos meses depois. Além das perdas financeiras, há o custo reputacional e a dificuldade de recuperar a confiança dos clientes. O que a E‑Ciber exige das empresas reguladas Empresas de setores regulados como bancos, operadoras de saúde, concessionárias de energia e telecom — estão no foco da E-Ciber.  Com as principais modalidades de ataque concentradas em phishing (35%), ransomware (25%), DDoS (20%) e malware (15%), o decreto exige padrões mínimos de segurança e mecanismos de certificação para serviços essenciais. Isso implica várias frentes de trabalho: Do discurso à execução: transformando diretrizes em KPIs,

Inovações e Tendências, Mídia e Imprensa

ISACs no Brasil: Como o Modelo Internacional de Inteligência Cibernética Fortalece a Segurança Digital

/

Em um cenário onde os ataques cibernéticos se tornam cada vez mais sofisticados, o Brasil dá um passo decisivo para transformar sua postura defensiva em uma estratégia de inteligência coletiva. Com a publicação da Portaria GSI/PR nº 148 de 2025, o país formaliza a criação dos ISACs no Brasil, um modelo que fortalece a inteligência cibernética — estruturas inspiradas em modelos internacionais já consolidados nas maiores economias do mundo. A iniciativa coloca o Brasil em sintonia com as estratégias de cibersegurança mais avançadas globalmente. Estados Unidos, Canadá, Japão, União Europeia, Singapura e Índia operam ISACs setoriais há anos, conforme documentado pelo National Council of ISACs, promovendo a troca de informações sobre ameaças e coordenando ações de resposta que beneficiam ecossistemas inteiros. No Brasil, os centros reunirão representantes dos setores público e privado em segmentos estratégicos — como energia, finanças, telecomunicações, transportes e saúde — com o objetivo de compartilhar informações sobre ameaças em tempo real, especialmente em um momento em que ataques coordenados contra infraestruturas críticas se intensificam. O Poder da Inteligência Distribuída na Cibersegurança A lógica dos ISACs é direta: inteligência distribuída para conter riscos exponenciais. Um exemplo claro seria um ataque de ransomware contra uma operadora logística. Em vez de reagir isoladamente, a empresa comunica o incidente ao ISAC setorial, que redistribui os dados, permitindo que outras organizações reajam proativamente. O que antes era um incidente localizado se transforma em um alerta preventivo para toda a cadeia. A experiência internacional demonstra que os setores que implementaram ISACs maduros conseguiram reduzir significativamente o tempo médio de detecção e resposta a ameaças. No setor financeiro americano, o FS-ISAC tem permitido que instituições financeiras identifiquem campanhas de phishing com maior antecedência, conforme documentado pelo Cyber Security Summit Brasil. Mais do que um canal de alertas, os ISACs funcionam como centros de inteligência estratégica, onde as organizações constroem coletivamente conhecimento e capacidade de resposta, especialmente relevante em um país com dimensões continentais como o Brasil. Benefícios dos ISACs no Brasil para as organizações A implementação dos ISACs no Brasil traz benefícios tangíveis para as organizações participantes: Acesso a inteligência qualificada: O FS-ISAC nos EUA fornece alertas de ameaças específicas ao setor financeiro regularmente. Esta abordagem de inteligência antecipada é similar à oferecida pelo Cyber Fusion Center da Asper, que opera com inteligência preditiva para antecipar ameaças. Redução do tempo de resposta: Organizações participantes de ISACs conseguem melhorar significativamente seus tempos de detecção e resposta, conforme relatório da Cisco. Durante eventos de segurança globais, como o ataque WannaCry, membros de ISACs setoriais implementaram medidas de proteção mais rapidamente que a média do mercado. Além disso, o uso de sistemas de orquestração de resposta a incidentes (SOAR) integrados aos ISACs tem se mostrado uma prática eficaz em centros maduros, conforme demonstrado em publicações da MITRE e da ENISA. Tais integrações reduzem significativamente o tempo de contenção e remediação de incidentes. Economia de recursos: Estudos do Ponemon Institute indicam que organizações participantes de ISACs conseguem otimizar seus investimentos em segurança ao evitar duplicação de esforços de análise e aproveitar a inteligência coletiva do setor. Visão ampliada de ameaças: O E-ISAC proporciona aos seus membros acesso a uma base de conhecimento sobre ameaças específicas ao setor elétrico significativamente maior do que organizações individuais conseguiriam construir. Esta visibilidade expandida é crucial para identificar campanhas direcionadas a setores específicos. Alinhamento regulatório: Organizações participantes de ISACs demonstram maior conformidade com requisitos regulatórios relacionados à segurança cibernética, conforme a Financial Services Roundtable. Reguladores como o Banco Central do Brasil já sinalizaram que a participação em ISACs será considerada um indicador positivo em avaliações de maturidade. ISACs como Estratégia de Mercado e Diferencial Competitivo A nova portaria prevê que os ISACs serão organizados por setores econômicos ou domínios técnicos. Empresas interessadas deverão buscar integração com o ISAC mais compatível com sua atividade e se comprometer com padrões mínimos de segurança, confidencialidade e interoperabilidade, conforme a Portaria GSI/PR nº 148. Não se trata apenas de segurança. Trata-se de estratégia de mercado. A aproximação com o governo, a antecipação de exigências regulatórias e o acesso a inteligência qualificada podem representar uma vantagem competitiva clara, sobretudo em setores com forte pressão de compliance. Em um mercado onde a confiança se torna cada vez mais um diferencial competitivo, participar ativamente dos ISACs sinaliza compromisso com a segurança do ecossistema como um todo. As organizações que adotarem uma postura proativa neste movimento estarão se posicionando como líderes em maturidade digital e responsabilidade corporativa. Em um cenário onde incidentes de segurança frequentemente ganham manchetes, demonstrar comprometimento com práticas colaborativas pode ser um diferencial significativo na construção da confiança de clientes e parceiros. O Papel da Threat Intelligence na Era dos ISACs A eficácia dos ISACs está diretamente ligada à qualidade da inteligência de ameaças compartilhada entre os participantes. Neste contexto, soluções robustas de Threat Intelligence se tornam fundamentais para: Coleta e processamento de dados: O FS-ISAC processa diariamente um grande volume de indicadores de comprometimento compartilhados por seus membros. Esta abordagem proativa encontra paralelo no Cyber Fusion Center da Asper, que utiliza tecnologias de big data para transformar indicadores em inteligência acionável. Os ISACs operam segundo o ciclo de vida da Threat Intelligence: coleta, processamento, análise, disseminação e feedback, prática recomendada por estruturas como o MITRE ATT&CK e frameworks da ENISA. Contextualização de ameaças: O Health-ISAC tem documentado como a contextualização setorial de alertas de segurança reduz significativamente os falsos positivos em ambientes hospitalares. O Cyber Fusion Center da Asper já opera com esta filosofia, aplicando contexto setorial aos alertas. Automação de respostas: O E-ISAC tem demonstrado como empresas do setor elétrico que implementam automação baseada em inteligência compartilhada conseguem melhorar seus tempos de contenção de ameaças. Esta capacidade é potencializada no Cyber Fusion Center da Asper, onde a orquestração permite implementar contramedidas em múltiplos sistemas simultaneamente.  Organizações com integração SIEM + SOAR + feeds STIX/TAXII conseguem automatizar detecções baseadas em IoCs provenientes dos ISACs, reduzindo o Mean Time to Respond (MTTR) e o Mean Time to Detect (MTTD), potencializando a capacidade de defesa das organizações

Jki-linkedin-in Instagram

Nossos Escritórios

SEDE

São Paulo, SP
Rua Ministro Jesuíno Cardoso, 454, Edifício The One, Sala 83, Vila Nova Conceição - CEP: 04544051
(11) 3294-6776

Traçar rota

FILIAIS

Rio de Janeiro, RJ
Avenida das Américas, 3434, Bloco 7, Salas 602 e 603, Barra da Tijuca, CEP: 22640102
(21) 2186-7594

Traçar rota

Florianópolis, SC
Square Corporate, Torre Jurerê B, Sala 214 e 216, Rodovia José Carlos Daux, 5500, Saco Grande, CEP: 88032005

Traçar rota

Brasília, DF
SHIS QI 03 Bloco F, 1º andar, Comércio Local,
CEP: 71605450
(61) 3047-8777

Traçar rota

New York, NY
1270 Avenue of the Americas, Suite 210
New York, NY 10020

Traçar rota

Asper © . Todos os direitos reservados.

Logo_Aguiar_black 1