Sinopse: Por que a falha que tirou do ar sites de governos em três continentes deveria mudar a forma como o setor público brasileiro compra, constrói e aposenta sistemas.

Na quarta-feira, 21 de outubro de 2026, a Anatel suspendeu o acesso externo ao SEI. O TRF1 fez o mesmo, e a Justiça Federal da 4ª Região interrompeu sistemas digitais. Na Holanda, saíram do ar o portal do governo, o Porto de Roterdã e hospitais. Nenhum desses órgãos tinha sido invadido. Desligaram por precaução, porque não conseguiam saber, com a rapidez necessária, se estavam expostos.

A causa foi o PHP2Shell com duas falhas críticas no interpretador do PHP (CVE-2026-109618 e CVE-2026-109619, nota 9,2 no CVSS v4.0). O PHP está presente em cerca de 70% dos sites cuja tecnologia de servidor é identificável. As falhas permitem executar código no servidor sem login e, em algumas configurações, antes que a aplicação rode uma única linha. Todas as versões desde a 5.4, de 2012, são afetadas.

Os detalhes vazaram um dia antes da correção, e as tentativas de exploração, aceleradas por IA, começaram horas depois da publicação. O episódio foi tratado como emergência técnica. Quem trabalha com governança deveria observa-lo como um teste de estresse não programado da gestão de ativos, da arquitetura e da responsabilidade sobre dados de cidadãos. O que já sabemos é que muitos órgãos não passaram nesse teste.

O problema não é o PHP

O projeto PHP corrigiu as falhas em 21 de outubro para as quatro versões suportadas, da 8.2 à 8.5. O problema está no que não tem como ser corrigido, pois temos sistemas rodando versões que o projeto abandonou há anos e a tempos a substituição é indicada. Portanto, seria cômodo culpar a linguagem, mas seria muito errado.

Os números das varreduras públicas são duros. Uma simples contagem no Shodan feita em 20 de outubro encontrou cerca de 884 mil servidores expostos à internet com versões do PHP fora de suporte. Isso é 59% de todos os servidores que revelam a versão. Cerca de 371 mil rodam PHP 5.6 ou 7.2, para os quais não existe correção oficial alguma. Na web como um todo, a W3Techs registrava em agosto que 37,5% dos sites em PHP ainda usavam gerações encerradas.

O setor público aparece com clareza onde há dados. Em poucas horas, usando ferramentas abertas, o Centro Nacional de Resposta a Incidentes da Colômbia, encontrou servidores de domínios .gov.co com versões do PHP de mais de 15 anos. No Brasil, a evidência está na própria reação, sistemas como SEI, eproc e outros, que rodam sobre PHP, foram suspensos justamente por causa dessa dependência.

Em gestão, podemos chamar isso de dívida técnica. Ao contrário da dívida financeira, ela não aparece no balanço. Acumula juros em silêncio até que alguém a cobre de uma vez. Esta cobrança ficou mais rápida. A Wiz encontrou a primeira dessas falhas em 19 de agosto, com ferramentas próprias e modelos de IA de fronteira, e o defeito estava no código havia mais de uma década. O que antes exigia meses de pesquisa especializada passa a levar dias. Sistemas legados, que contavam com a obscuridade como proteção, perderam essa camada de segurança.

Dados de cidadãos não aceitam “sistema antigo” como justificativa

O Governo é o maior controlador de dados pessoais do país. Um processo administrativo pode conter CPF, endereço, laudos de perícia médica, informações fiscais, dados de crianças e registros disciplinares. Boa parte são dados pessoais sensíveis, conforme o art. 5º, II, da LGPD.

A lei não permite tratar a obsolescência como problema exclusivo da TI. Três dispositivos merecem leitura atenta de qualquer dirigente público:

• Art. 6º, VII e VIII: segurança e prevenção são princípios da lei, não recomendações.
• Art. 46: o controlador deve adotar medidas técnicas e administrativas aptas a proteger os dados. O §2º exige que essas medidas sejam observadas desde a concepção do produto ou serviço até a sua execução. Basicamente, trata-se do privacy by design escrito na lei.
• Art. 49: os sistemas usados no tratamento devem ser estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.

Um sistema que depende de um runtime sem suporte, para o qual uma falha crítica conhecida não terá correção, dificilmente atende ao art. 49. Mantê-lo em produção, tratando dados sensíveis e exposto à internet, deixa de ser uma limitação técnica. Passa a ser uma decisão de risco, e toda decisão de risco tem um responsável.

Há um ponto que costuma passar despercebido. Para órgãos públicos, a LGPD não prevê multa, mas prevê publicização da infração, bloqueio e eliminação dos dados (art. 52, §3º). Bloquear os dados de um sistema que sustenta um serviço público equivale, na prática, a interromper o serviço. Somam-se a isso o dever de comunicar incidentes à ANPD e aos titulares (art. 48 e Resolução CD/ANPD nº 15/2024) e a responsabilização de gestores perante os órgãos de controle.

Secure by Design: a segurança é responsabilidade de quem constrói

O conceito ganhou força em 2023, quando a CISA, agência de cibersegurança dos EUA, e parceiros de vários países publicaram os princípios de Secure by Design. A ideia central é simples, que o ônus da segurança não pode ficar com quem usa o sistema, na verdade deve ser assumido por quem o projeta, constrói e mantém. Os princípios são três, e cada um tem uma tradução direta para o setor público:

1. Assumir os resultados de segurança do cliente. No Estado, o cliente final é o cidadão, cujo dado está no sistema e que não tem como escolher outro fornecedor.
2. Transparência radical e responsabilização. Saber e informar quais componentes existem, quais vulnerabilidades conhecidas carregam e como estão sendo tratadas.
3. Liderança a partir do topo. Segurança como objetivo institucional, com patrocínio da alta direção, e não como tarefa delegada à equipe de infraestrutura.

O PHP2Shell traz uma lição técnica que reforça essa agenda. As falhas são de segurança de memória, como use-after-free, no interpretador, que é escrito em C. A aplicação em PHP pode ter sido escrita com todo o cuidado e, mesmo assim, herdar a vulnerabilidade do runtime. Não por acaso, a própria CISA vem pedindo aos fabricantes roteiros de migração para linguagens com segurança de memória.

Para o gestor público, a consequência prática é que o runtime, o sistema operacional e as bibliotecas fazem parte do sistema. Precisam estar no inventário, no contrato e no planejamento de ciclo de vida.

No Estado, Secure by Design começa na contratação. A segurança precisa entrar no estudo técnico preliminar e no termo de referência das contratações regidas pela Lei 14.133/2021, como requisito verificável. Não como cláusula genérica de “atender às boas práticas”, mas com exigências concretas:

• componentes em versões suportadas durante toda a vigência do contrato;
• prazo máximo para aplicar correções críticas;
• entrega de lista de componentes de software (SBOM) a cada versão;
• configurações seguras por padrão;
• testes de segurança antes de cada liberação.

Desenvolvimento seguro é processo, não ferramenta

Utilizar um testador de vulnerabilidades não é ter desenvolvimento seguro. O que muda o resultado é um ciclo de vida em que a segurança tem etapas, responsáveis e evidências. Não faltam referências para estruturar isso:

O que essas referências têm em comum, e que o PHP2Shell deixou exposto, é a gestão de dependências. Um sistema não é apenas o código contratado. É também o runtime, o servidor web, o sistema operacional e dezenas de bibliotecas. Sem uma lista de componentes (SBOM) e sem acompanhar o fim de vida de cada um, o órgão só descobre que está exposto quando o CERT publica o alerta.

O próximo fim de vida já tem data. O PHP 8.2, uma das versões corrigidas agora, perde o suporte em 31 de dezembro de 2026. Quem atualizou às pressas para a 8.2 está a pouco mais de dois meses de voltar ao mesmo lugar.

Atualizar, encapsular ou substituir

Nem todo sistema legado precisa ser reescrito, e nem todo pode esperar. A decisão deve considerar dois eixos: a criticidade dos dados e do serviço que o sistema sustenta, e a viabilidade de mantê-lo em uma base suportada. Sistemas que tratam dados sensíveis e não têm caminho de atualização são a prioridade de substituição. Os demais seguem para atualização ou encapsulamento, sempre com prazo.

• Alta criticidade com atualização viável. A decisão deve ser atualizar já. Migrar runtime e aplicação para versões suportadas, com testes de regressão e janela planejada. É o caminho de menor custo e deve ser a prioridade imediata.
• Alta criticidade com atualização inviável. A decisão é substituir. Um sistema que trata dados sensíveis e não tem como ser atualizado é o candidato prioritário à troca, com plano, prazo e orçamento. Até lá, fica encapsulado.
• Baixa criticidade com a atualização viável. Planejar para atualizar no ciclo regular, dentro da gestão de mudanças e com monitoramento do fim de vida.
• Baixa criticidade, atualização inviável. Propor para encapsular ou desativar. Retirar da internet, colocar atrás de VPN ou WAF, restringir acesso e registrar a exceção com dono e prazo. Muitas vezes, a melhor resposta é simplesmente “desligar”.

Em qualquer quadrante, aceitar o risco só é legítimo como decisão formal da alta direção, com prazo de validade. Nunca por omissão.

A agenda do CISO público

O PHP2Shell vai sair do noticiário, mas a dívida técnica continua. Proponho uma agenda em três horizontes, que pode ser adaptada ao porte e à maturidade de cada órgão.

1) Próximos 90 dias

1. Inventariar todos os ativos que executam PHP e outros runtimes, inclusive sistemas de terceiros, hospedagem contratada e equipamentos, com versão e grau de exposição.
2. Confirmar que as correções do PHP2Shell foram aplicadas e procurar indícios de comprometimento a partir de 20 de outubro, quando os detalhes vazaram.
3. Classificar cada sistema nos quatro caminhos acima e registrar os riscos aceitos, com responsável e prazo.
4. Cruzar o inventário com o encarregado de dados para identificar quais sistemas legados tratam dados sensíveis.

2) Em 12 meses

1. Aprovar uma política de ciclo de vida de componentes: nenhum sistema em produção com runtime fora de suporte sem exceção formal.
2. Padronizar cláusulas de segurança nos termos de referência: versões suportadas, prazo para correções críticas, SBOM e testes.
3. Fazer o diagnóstico de maturidade com o OWASP SAMM e fixar metas anuais.
4. Levar indicadores à alta direção: percentual de sistemas em versões suportadas, tempo médio para corrigir vulnerabilidades críticas e exceções vencidas.

3) Em 36 meses

1. Executar o plano de substituição dos sistemas críticos sem caminho de atualização, com recursos previstos no planejamento orçamentário.
2. Incorporar o desenvolvimento seguro, alinhado ao SSDF, a todas as contratações e equipes internas.
3. Exercitar periodicamente o cenário de “falha crítica pública sem correção disponível”, com critérios pré-aprovados para tirar serviços do ar.

O preço de esperar

O PHP2Shell levou dois meses entre a descoberta e a correção. O próximo pode ser descoberto em dias e explorado em horas, porque as mesmas ferramentas de IA usadas pelos pesquisadores também estão ao alcance dos atacantes. A janela entre a divulgação e o ataque está encolhendo, e os sistemas legados estão do lado errado dela.

Os órgãos que tiraram sites do ar fizeram a escolha certa naquele momento. Mas desligar porque não se sabe o que está exposto é sintoma de falha de governança, e não sinal de prudência. O cidadão que entrega seus dados ao Estado não pode trocar de fornecedor, e isso torna a obrigação do poder público maior, não menor.

Atualizar ou substituir sistemas legados custa caro e não rende inauguração. Mas custa menos do que explicar à ANPD, ao Tribunal de Contas e à sociedade por que um dado sensível vazou por uma falha que tinha data de validade conhecida.

Referências

• Wiz Research – PHP2Shell
• Google Cloud – Responding to core PHP vulnerabilities
• The Hacker News – PHP Issues Emergency Patches
• Greenbone – PHP2Shell e versões fora de suporte
• CybelAngel – exposição por versão
• IONIX – versões afetadas e fim de vida do PHP 8.2
• W3Techs – uso do PHP por versão
• Impacto TIC – alerta do Colcert
• Canaltech – Anatel e tribunais suspendem sistemas
• The Next Web – governos europeus tiram sites do ar
• Lei nº 13.709/2018 (LGPD)
• CISA – Secure by Design
• NIST SP 800-218 – Secure Software Development Framework
• OWASP SAMM

Natália Küster Gabardo¹

Resumo A rápida expansão da Inteligência Artificial (IA) em 2026 transformou a tecnologia de uma ferramenta de automação em uma parceira ativa nos processos decisórios humanos. Paralelamente, essa evolução ampliou a superfície de ataque digital, intensificando dilemas éticos e riscos de cibersegurança. Este artigo analisa o impacto dos vazamentos de dados no Brasil, a fragilidade gerada pela “Shadow IA”, os perigos das redes abertas e o novo papel estratégico do Chief Information Security Officer (CISO) diante de regulamentações rigorosas. A metodologia baseia-se em análise documental e estudos de caso contemporâneos. Conclui-se que a resiliência organizacional depende da integração indissociável entre tecnologia robusta, ética aplicada e governança estratégica.

Palavras-chave: Cibersegurança; Ética na IA; Shadow IA; LGPD; Resiliência Corporativa.

1.  Introdução

No cenário tecnológico de 2026, a Inteligência Artificial (IA) permeia serviços, governança pública e interações sociais, deixando de ser uma promessa futurista para se integrar à tomada de decisão humana (MALTEMPI, 2026). Contudo, a eficácia técnica não pode ser dissociada da responsabilidade ética, uma vez que a expansão dessas capacidades intensificou preocupações sobre transparência e proteção de direitos fundamentais (BARAVALLE et al., 2025).

O Brasil registrou em 2025 um impacto financeiro médio de R$ 7,19 milhões por vazamento de dados, uma alta de 6,5% que pressiona as organizações a encararem a segurança não como custo, mas como pilar de continuidade de negócios (SINDPD, 2026). Este artigo sustenta que a resiliência corporativa — a

capacidade de antecipar, absorver e se recuperar de incidentes — só se concretiza quando tecnologia, ética e governança operam como um sistema integrado, não como silos isolados.

2.  Dilemas Éticos e a “Caixa Preta” da IA

O uso de IA em processos críticos, como concessão de crédito ou seleção de pessoal, levanta o desafio central da explicabilidade. Sistemas que operam como “caixas pretas” — cujas decisões não podem ser compreendidas nem pelos próprios engenheiros que os construíram — geram insegurança jurídica e social quando as conclusões automatizadas carecem de justificativas compreensíveis para os afetados (MALTEMPI, 2026). Sem explicabilidade, não há como contestar uma decisão algorítmica, o que fere diretamente princípios do devido processo legal e da transparência administrativa.

Um dos reflexos mais perigosos dessa opacidade são os vieses algorítmicos. Sistemas treinados em dados históricos que refletem desigualdades estruturais — de raça, gênero ou classe — tendem a reproduzir e até amplificar essas discriminações em escala massiva (MALTEMPI, 2026). Uma IA de recrutamento treinada com currículos majoritariamente masculinos, por exemplo, pode “aprender” que homens são candidatos preferíveis, perpetuando a exclusão. O problema não está no algoritmo em si, mas nos dados que o alimentam — e na ausência de curadoria ética sobre esses dados.

A esse cenário soma-se o paradoxo da autoria: quando uma máquina participa ativamente da criação intelectual — redigindo textos, compondo música ou gerando imagens — os conceitos tradicionais de autoria e responsabilidade são desafiados (MALTEMPI, 2026). Quem responde por um conteúdo danoso gerado por IA? O desenvolvedor? O usuário? A própria máquina? A indefinição jurídica nesse campo cria zonas de impunidade que a regulamentação ainda não alcançou.

Por fim, a desinformação potencializada por IA representa uma ameaça direta à estabilidade democrática. O avanço dos deepfakes — vídeos e áudios sintéticos praticamente indistinguíveis da realidade — exige regulamentações urgentes sobre rotulagem obrigatória de conteúdo sintético e criminalização de seu uso malicioso (MALTEMPI, 2026). Sem essas barreiras, a confiança pública em registros audiovisuais, antes considerados provas robustas, se erosiona por completo.

3.  Shadow IA: A Fragilidade da Governança Invisível

Se os dilemas éticos representam o desafio visível da IA, a Shadow IA opera nas sombras — e é precisamente aí que reside seu perigo. Caracterizada pelo uso de ferramentas de inteligência artificial por funcionários sem autorização formal da TI, a Shadow IA cresce na mesma proporção que a popularização de ferramentas como ChatGPT, Copilot e assistentes de código (SINDPD, 2026).

O problema é alarmante em escala. Conforme Peck (2026), o Relatório da IBM aponta que 97% das empresas atingidas por violações em IA não possuíam mecanismos de controle de privilégios. Isso significa que, na prática, qualquer funcionário pode alimentar um modelo de IA com dados corporativos sensíveis — planilhas de clientes, códigos-fonte, estratégias de negócio — sem que a organização sequer tome conhecimento. Esses incidentes ocorrem frequentemente via aplicativos, APIs ou plugins de terceiros que se conectam diretamente aos sistemas internos, criando canais de vazamento invisíveis aos controles tradicionais de segurança (PECK, 2026).

A gravidade da Shadow IA não está apenas no risco de vazamento, mas na impossibilidade de gerenciar o que não se enxerga. Sem mapeamento de dados e trilhas de auditoria que capturem o uso não autorizado de IA, a gestão de riscos corporativos opera cega (SINDPD, 2026). Construir resiliência contra a Shadow IA exige, portanto, três camadas de defesa: visibilidade (descobrir onde e como a IA está sendo usada), controle (estabelecer políticas de uso aceitável e privilégios mínimos) e educação (conscientizar os funcionários sobre os riscos antes que a proibição simples se mostre ineficaz).

4.  Ameaças Contemporâneas e o Fator Humano

Por mais sofisticadas que sejam as defesas tecnológicas, o comportamento do usuário permanece como o elo mais frágil — e mais explorado — da cadeia de segurança (PECK, 2026). De nada adianta investir em firewalls de última geração se um colaborador, distraído ou desinformado, entrega suas credenciais a um golpista. A resiliência organizacional, portanto, começa pelo fator humano.

4.1  Phishing e Engenharia Social

O phishing é uma técnica de má-fé que explora a confiança ou o medo do usuário para obter dados sensíveis (CERT.br, 2012). O que era um e-mail mal escrito com promessas de prêmios evoluiu para campanhas altamente personalizadas, alimentadas por IA, que replicam com precisão a linguagem e o estilo de comunicação de colegas e fornecedores. Em 2026, novas variantes utilizam códigos de dispositivos habilitados por IA para explorar fluxos de autenticação como o OAuth, sequestrando sessões legítimas sem que o usuário perceba (MINUTO DA SEGURANÇA, 2026).

4.2  Redes Wi-Fi Abertas

Se o phishing explora a confiança, as redes Wi-Fi abertas exploram a conveniência. Conexões públicas em aeroportos, cafeterias e hotéis são vulneráveis a ataques de interceptação (sniffing) e redes falsas (evil twin), nas quais o atacante cria um ponto de acesso idêntico ao legítimo e captura todos os dados transmitidos sem criptografia (NIC.br, 2026). Oneda et al. (2025) alertam que esses pontos de acesso facilitam a distribuição de malware e o roubo de credenciais em escala.

A recomendação técnica central é o uso de VPN (Rede Virtual Privada) para criptografar todo o tráfego entre o dispositivo e o destino, tornando inútil a interceptação. Aliada a isso, a adoção obrigatória de MFA (Autenticação de Múltiplos Fatores) garante que mesmo credenciais roubadas não sejam suficientes para acessar sistemas críticos (G1, 2026). Essas duas medidas, embora simples, formam uma barreira robusta contra a maioria dos ataques que exploram o fator humano.

5.  Impacto Econômico e Cenário Regulatório

A conjugação de ameaças éticas, Shadow IA e vulnerabilidade humana produz um impacto financeiro crescente. O setor de Saúde no Brasil lidera os prejuízos por vazamentos, com custos superiores a R$ 11 milhões por ocorrência (GABARDO, 2026).

Estudo de caso: Instituto ISAC. Um dos episódios mais emblemáticos de 2026 foi o ataque de ransomware ao Instituto ISAC, que comprometeu dados sensíveis de 500 mil pacientes, incluindo informações médicas, CPFs e prontuários. O caso ganhou contornos ainda mais graves com a investigação da ANPD, que apurou falhas não apenas na proteção dos dados, mas também na comunicação aos titulares — obrigação prevista no art. 48 da LGPD (CONVERGÊNCIA DIGITAL, 2026). As lições do caso ISAC são claras: a resiliência não se mede apenas pela capacidade de evitar o ataque, mas pela preparação para responder quando ele ocorre — e isso inclui planos de comunicação de incidentes, notificação ágil aos afetados e evidências técnicas de que as medidas de segurança eram adequadas antes da violação.

No âmbito regulatório, a Resolução CMN nº 5.274 estabeleceu um novo patamar de rigor para o setor financeiro, exigindo mecanismos expressos de detecção de intrusão e monitoramento da deep e dark web (PECK, 2026). A conformidade agora exige evidências técnicas robustas — resultados de testes de intrusão, varreduras de vulnerabilidades periódicas e trilhas de auditoria contínuas (PECK, 2026). O que antes era “recomendável” tornou-se mandatório, e as organizações que não se adequarem enfrentarão não apenas multas regulatórias, mas exclusão de cadeias de suprimento que passam a exigir comprovação de maturidade cibernética como critério de contratação.

6.  Liderança e Estratégias de Resiliência

Diante desse cenário, o papel do CISO evoluiu de técnico para estrategista central na mitigação de riscos digitais (NEUBER, 2025). Não basta mais configurar firewalls e gerenciar patches — o CISO de 2026 precisa traduzir riscos técnicos em linguagem de negócio, defender orçamentos de segurança perante conselhos administrativos e integrar a cibersegurança à estratégia corporativa.

CISOs proativos que utilizam frameworks consolidados como NIST CSF, CIS Controls ou ISO/IEC 27001 conseguem reduzir em 25% as perdas financeiras e em 30% o tempo de resposta a incidentes (NEUBER, 2025). Esses números não são acidentais: frameworks maduros fornecem processos testados para detecção, resposta e recuperação, eliminando o improviso que custa caro durante uma crise.

Lições do caso CrowdStrike (2024). Embora não tenha sido um ataque cibernético, a falha massiva que paralisou 8,5 milhões de PCs Windows em 2024 oferece uma lição valiosa sobre resiliência: a dependência excessiva de um único fornecedor de segurança é, em si mesma, um risco estratégico (IBSEC, 2024). O incidente — causado por uma atualização defeituosa sem controle de qualidade adequado — demonstrou que mesmo empresas tecnicamente robustas podem falhar, e que planos de redundância e validação de atualizações em ambiente controlado são tão críticos quanto as defesas contra ameaças externas.

A construção da imunidade digital passa por uma mudança de mentalidade: em vez de negociar resgates, as empresas devem priorizar o disaster recovery e tratar o ransomware como um risco estratégico vital, com planos testados periodicamente (MINUTO DA SEGURANÇA, 2026). A pergunta que todo conselho administrativo deveria fazer não é “estamos protegidos?”, mas “se formos atacados hoje, quanto tempo levaremos para voltar a operar?”.

7.  Conclusão

A análise do cenário de 2026 revela que cibersegurança e ética na IA não são mais temas periféricos ou responsabilidade exclusiva dos departamentos de TI — são imperativos de sobrevivência organizacional. A transparência e a explicabilidade das decisões automatizadas tornaram-se critérios de aceitação social superiores ao desempenho isolado dos sistemas. Uma IA que aprova crédito com 99% de acerto, mas é incapaz de explicar por que negou um empréstimo a um cliente qualificado, é um passivo jurídico e reputacional, não um ativo tecnológico.

Para as empresas brasileiras, a maturidade cibernética exige uma mudança cultural profunda: a segurança precisa sair do departamento de TI e ocupar a sala do conselho. Isso significa orçamento adequado, liderança qualificada (CISOs com assento estratégico), evidências técnicas auditáveis e, acima de tudo, educação contínua do fator humano — porque o elo mais fraco também pode ser o mais fortalecido quando bem treinado.

A resiliência corporativa em 2026 não se define pela ausência de incidentes — nenhuma organização está imune — mas pela capacidade de responder, aprender e se adaptar após cada violação. As empresas que entenderem isso não apenas sobreviverão aos próximos ataques; sairão delas mais fortes.

Referências Bibliográficas

BARAVALLE, Adriana et al. Ethical Dilemmas for Cybersecurity and the Impact of

Artificial Intelligence. Anais do Simpósio Brasileiro de Cibersegurança (SBSeg), 2025.

CERT.br. Cartilha de Segurança para Internet. Versão 4.0. São Paulo: CGI.br, 2012.

CONVERGÊNCIA DIGITAL. Ataque cibernético vaza dados de 500 mil pacientes e ANPD investiga infrações graves à LGPD, 2026.

GABARDO, Natália Küster. Resiliência e Proteção de Dados no Cenário Digital. Segurança da Informação, 2026.

IBSEC. Desvendando o problema recente com a atualização do software CrowdStrike, 2024.

MALTEMPI, Clark. Inteligência Artificial e Ética: Desafios e Perspectivas para 2026, 2026.

MINUTO DA SEGURANÇA. Por que pagar o resgate se tornou um risco jurídico, 2026.

NEUBER, Diego. Liderança de CISOs sob pressão: tomada de decisão estratégica em ambientes modernos de cibersegurança. Revista Tópicos, 2025.

NIC.br. Fascículo Redes. Cartilha de Segurança para Internet. São Paulo: CGI.br, 2026.

ONEDA, A. R. et al. Os perigos de redes Wi-Fi abertas. Seminário de Iniciação Científica (SIEPE), Editora Unoesc, 2025.

PECK, Patricia. Novas regras para a segurança digital em 2026. Febraban Tech, 2026.

ROHR, Altieres. Usar VPN em Wi-Fi público no celular deixa a conexão mais segura?. G1 – Globo, 2026.

SINDPD. Brasil registra custo recorde por vazamentos de dados em 2025, 2026.

SOCIEDADE BRASILEIRA DE COMPUTAÇÃO. Código de Ética e Conduta

Profissional da SBC. Resolução nº 02, 2024.

Engenharia de Software, Universidade do Contestado, Curitibanos, Santa Catarina, Brasil, natalia.gabardo@aluno.unc.br

As perdas financeiras e o volume de golpes no setor bancário brasileiro continuam em uma escalada agressiva. Uma nova pesquisa da BioCatch, líder em prevenção a fraudes por inteligência comportamental, revela que 89% dos líderes bancários no Brasil relatam aumento nas tentativas de golpe em 2026. O número representa um salto notável frente aos 77% do ano anterior e supera a média global atual, que é de 81%

O estudo inédito entrevistou 100 profissionais de alta liderança (gerência, diretoria e C-suite) das áreas de gestão de fraudes, prevenção a crimes financeiros, risco e compliance no país. O perfil dos participantes reflete o peso do ecossistema financeiro nacional: 99% atuam em instituições com mais de US$ 10 milhões sob gestão, e metade (50%) gerencia ativos que superam a marca de US$ 1 bilhão.

Embora o Brasil tenha se posicionado como o mercado mais próximo das médias globais entre todos os países pesquisados, os dados nacionais de perdas e sofisticação acendem um alerta vermelho para o setor.

O prejuízo financeiro das fraudes no ecossistema brasileiro

A pressão financeira exercida pelas atividades criminosas já dita o orçamento dos grandes bancos, gerando impactos severos tanto para as instituições quanto para os usuários. No âmbito institucional, mais da metade dos entrevistados no Brasil (51%) perde acima de US$ 10 milhões para fraudes todos os anos. Ao mesmo tempo, para 19% dos entrevistados esse rombo supera os US$ 25 milhões anuais e, para 3%, o dano ultrapassa a marca de US$ 100 milhões.

Na outra ponta, o prejuízo transferido ao cliente final é igualmente alarmante. Cerca de 74% dos executivos afirmam que seus clientes perdem mais de US$ 5 milhões anualmente em fraudes autorizadas e golpes, e quase metade (44%) relata perdas de clientes acima de US$ 10 milhões ao ano.

Esse cenário é ainda mais agravado pelo dinamismo e rapidez dos ataques, que preocupam diretamente os comitês de risco: atualmente, 82% dos líderes de fraude no Brasil declaram estar muito preocupados com o aumento na velocidade da atividade fraudulenta, um índice superior aos 76% registrados na média global.

Deepfakes e novas vulnerabilidades

A inteligência artificial transformou-se rapidamente em uma arma de engenharia social nas mãos de organizações criminosas, desafiando as defesas tradicionais das instituições brasileiras. Essa nova realidade é evidente no avanço dos ataques baseados em deepfakes, já observados por quase dois terços (63%) dos executivos no Brasil nos últimos 12 meses, um índice significativamente superior à média global de 50%. Na prática, a tecnologia não está criando golpes inteiramente novos, mas tornando as táticas existentes muito mais críveis em um mercado onde o Pix, o WhatsApp, o mobile banking e o comércio em redes sociais estão profundamente enraizados no cotidiano.

Um dos reflexos disso no dia a dia do ecossistema nacional são os golpes de emergência familiar por chamadas ou mensagens no WhatsApp, em que criminosos utilizam áudios gerados por IA para imitar a voz de filhos ou cônjuges simulando uma urgência e solicitando transferências Pix imediatas. Da mesma forma, os criminosos clonam a voz de gerentes ou utilizam áudio e vídeo alterados por IA em falsas chamadas de suporte bancário; a vítima é induzida a acreditar que sua conta está sob ataque e acaba convencida a transferir fundos para uma suposta ‘conta segura’ ou a instalar softwares de acesso remoto.

Paralelamente, o país enfrenta sérias dificuldades para barrar golpes de falsificação de identidade (impersonation), com 60% dos tomadores de decisão locais classificando como muito ou extremamente difíceis de reconhecer. E, olhando para o futuro, a preocupação com a próxima onda de ataques é um consenso: para 90% dos profissionais brasileiros entrevistados, a IA Agêntica pode se tornar a maior vulnerabilidade explorável pelo crime organizado no próximo ano. E, além de tudo, 83% apontam que será extremamente desafiador mitigar o problema e distinguir ações legítimas assistidas por IA de atividades maliciosas ou manipuladas.

“A grande virada de chave tecnológica que estamos presenciando reside na evolução dos agentes de IA tradicionais para a chamada IA Agêntica. Enquanto um agente comum executa de forma rígida uma única tarefa programada, a IA Agêntica possui autonomia para traçar caminhos alternativos e contornar barreiras até atingir seu objetivo”, afirma Diego Baldin, diretor de Global Advisory da BioCatch para a América Latina.

“Quando essa tecnologia é capturada pelo crime organizado, passamos a lidar com sistemas automatizados capazes de conduzir interações complexas de engenharia social, persuadindo uma vítima até que ela esteja totalmente convencida, para só então repassar o ataque para um operador humano, que  conclui o golpe. Esse ecossistema não apenas automatiza o roubo de dados, mas é inteligente o suficiente para filtrar e priorizar as informações mais valiosas, conectar-se a outras ferramentas maliciosas e aprender com os próprios erros em tempo real. Se o algoritmo encontra um bloqueio de segurança, ele recalcula a rota autonomamente até conseguir violar o sistema.”

A urgência da inteligência interbancária

Diante de um cenário em que a autenticação tradicional perde eficácia contra a persuasão digital e a tecnologia avançada, a alta liderança bancária do país aponta o compartilhamento de dados em rede como uma das principais soluções.

A grande maioria dos executivos brasileiros (88%) acredita que o compartilhamento de inteligência entre bancos teria um impacto positivo significativo na capacidade de conter fraudes e crimes financeiros. Indo além, 89% afirmam que obter inteligência em tempo real sobre a conta destinatária envolvida em uma transação seria o divisor de águas para identificar e conter golpes financeiros antes que o dinheiro seja pulverizado.

Curiosamente, a pesquisa também revelou uma característica cultural do mercado nacional: os líderes bancários brasileiros são significativamente menos propensos do que seus pares internacionais a afirmar que suas instituições investem em prevenção de fraudes para evitar a perda de clientes (churn). Apenas 23% dos executivos no Brasil citam a perda de clientes como motivo para investimentos na área, contra 39% globalmente. O foco do país está direcionado firmemente no combate à sofisticação tática do crime e na proteção sistêmica do fluxo financeiro.

“A IA já está redefinindo a velocidade e a sofisticação das ameaças no Brasil, permitindo que criminosos escalem ataques de engenharia social com o uso de deepfakes em um ritmo muito superior à média global”, conta Baldin.

“O dado mais revelador é que no ecossistema brasileiro, ao contrário do mercado global, a liderança local investe em prevenção a fraudes motivada pela blindagem financeira imediata. Em um ambiente hiperconectado e de transações instantâneas, a urgência financeira e operacional parece ter prioridade, ao conter o vazamento monetário e a velocidade do crime. Para vencer essa corrida, o setor precisa ir além das checagens estáticas de identidade: o futuro depende do entendimento contínuo e em tempo real do comportamento e da intenção do usuário, combinado com uma rede de inteligência interbancária que neutralize as contas de laranjas usadas para lavar o produto das fraudes.”

Acesse a pesquisa completa aqui.

A instabilidade no cenário internacional impulsionou 66% das organizações globais a reestruturarem suas defesas digitais em resposta à volatilidade geopolítica. Os dados são do estudo Global Cybersecurity Outlook 2026, realizado pelo Fórum Econômico Mundial em parceria com a Accenture e líderes do setor, que destaca ainda que 94% dos líderes entrevistados identificam a IA como a principal força a remodelar o risco cibernético no próximo ano, elevando o potencial de ataques voltados à espionagem e à interrupção de infraestruturas críticas.

Embora a influência geopolítica nas decisões de segurança digital apresente oscilações, o tema permanece central na agenda estratégica. Na prática, esse cenário acelera a necessidade de integrar a cibersegurança às decisões de infraestrutura e continuidade operacional, especialmente em setores críticos e altamente digitalizados.

Para  Rafael Dantas, Head de Cibersegurança da TLD, empresa brasileira especializada em tecnologia, a digitalização acelerada, especialmente no setor público, trouxe ganhos expressivos de eficiência, mas também reforça a necessidade de reforçar a segurança para possíveis ataques em sistemas e dados estratégicos. “A cibersegurança não pode mais ser vista apenas como um suporte técnico; ela deve integrar a arquitetura das infraestruturas tecnológicas para assegurar a continuidade de serviços essenciais e a soberania digital das instituições”, comenta.

Nesse contexto, falhas de proteção podem gerar impactos sistêmicos, desde a interrupção de serviços públicos essenciais até o vazamento de dados sensíveis de milhões de cidadãos. Especialistas reforçam que a salvaguarda dessas estruturas deve ser tratada como um pilar fundamental da infraestrutura nacional.

Os dados reforçam a relevância do tema. De acordo com dados do relatório do Cenário Global de Ameaças de 2026 da Fortinet® (NASDAQ: FTNT), líder global em cibersegurança que impulsiona a convergência entre redes e segurança, o Brasil concentrou 753,8 bilhões de tentativas de ataques ao longo de 2025, revelando que o cibercrime funciona como um sistema, com hackers criminosos atuando em todo o ciclo de vida do ataque e finalizando com agentes ocultos.

O volume coloca o Brasil entre os países mais visados da América Latina, evidenciando que a ameaça é também local e crescente. Setores como financeiro, governo e saúde seguem como os principais alvos, dada a criticidade dos dados que concentram e a dependência de sistemas digitais para a operação de serviços essenciais.

A combinação entre tensões geopolíticas, adoção acelerada de IA e lacunas de maturidade em segurança cria um ambiente de risco multidimensional, que exige das organizações uma postura cada vez mais proativa e estratégica.

“Enquanto as ameaças evoluem com o apoio de inteligência artificial e financiamento estruturado, muitas organizações ainda reagem de forma reativa. O momento exige uma mudança de mentalidade: cibersegurança precisa estar na mesa das lideranças executivas, com orçamento, governança e visão de longo prazo como vantagem competitiva e requisito de soberania”, conclui.

O Fim da Separação que Nunca Deveria ter Existido 

Durante anos, as organizações brasileiras trataram de cibersegurança e proteção de dados como disciplinas distintas. De um lado, times de TI preocupados com firewalls, detecção de intrusões e resposta a incidentes. Do outro, áreas jurídicas e de compliance debruçadas sobre contratos, políticas de privacidade e adequação à Lei Geral de Proteção de Dados, a LGPD. Havia pouca conversa entre esses dois mundos, e quando havia, costumava acontecer tarde demais, ou seja, no meio de uma crise. Essa separação nunca fez sentido do ponto de vista técnico. Um ataque de ransomware representa, ao mesmo tempo, uma falha de segurança e uma potencial violação de dados pessoais com prazo de notificação de três dias úteis à Agência Nacional de Proteção de Dados. Um bucket de armazenamento em nuvem mal configurado é tanto um problema de infraestrutura quanto uma exposição de dados de clientes com consequências regulatórias sérias. Uma credencial comprometida é um vetor de ataque e, dependendo dos sistemas que ela protege, o início de um incidente com impacto direto sobre titulares de dados.

Em 2026, com a ANPD consolidada como agência reguladora plena, com um Mapa de Temas Prioritários publicado e com fiscalizações ativas em curso, a tolerância com essa divisão acabou. As organizações que ainda operam com silos entre segurança da informação e privacidade de dados estão, silenciosamente, acumulando risco técnico, regulatório e reputacional. Este artigo discute por que essa integração não é apenas desejável, mas necessária, e o que ela significa, na prática, para quem trabalha na linha de frente da defesa cibernética.

Segurança da Informação e LGPD: Onde as Obrigações se Encontram 

A LGPD não é uma lei que existe à margem da cibersegurança. Ela é, em grande medida, uma lei que pressupõe a cibersegurança como condição mínima de cumprimento. Seu artigo 46 exige que os agentes de tratamento, os  controladores e operadores, adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento. O artigo 6º vai além, estabelecendo o princípio da prevenção: não basta reagir a incidentes; é preciso antecipar riscos e agir antes que o dano ocorra. Traduzindo isso para a linguagem técnica, gestão de vulnerabilidades, controle de acesso com princípio do menor privilégio, criptografia de dados em repouso e em trânsito, monitoramento contínuo de ambientes, planos estruturados de resposta a incidentes e segmentação de redes,  todos esses controles que qualquer profissional de segurança reconhece como fundamentais são, ao mesmo tempo, obrigações implícitas da LGPD. Não são apenas boas práticas de engenharia. São exigências legais. 

Esse alinhamento tem uma consequência importante, o programa de segurança da informação de uma organização não pode mais ser avaliado apenas pela sua eficácia técnica. Ele precisa ser avaliado também pela sua capacidade de proteger especificamente dados pessoais, de detectar incidentes que os envolvem, de responder dentro dos prazos exigidos pela lei e de produzir a documentação necessária para demonstrar conformidade perante a autoridade regulatória. 

O Cenário de Ameaças de 2026 e Seus Impactos Sobre a Privacidade 

O cenário de ameaças em 2026 amplia, e muito, os desafios de proteger dados pessoais. A inteligência artificial, que transformou processos em praticamente todos os setores, também transformou a cibercriminalidade. Ataques de phishing gerados por IA são hoje altamente personalizados, utilizando dados pessoais extraídos de vazamentos anteriores e de redes sociais para criar mensagens convincentes que imitam o estilo de comunicação de pessoas reais. Deepfakes de áudio e vídeo são utilizados em ataques de engenharia social que exploram a confiança em identidades conhecidas. 

O ransomware evoluiu de uma ameaça de bloqueio de sistemas para um modelo de negócio criminoso sofisticado. Grupos especializados retiram dados antes de criptografá-los, usando como mecanismo de pressão adicional para o pagamento do resgate  a chamada dupla extorsão. Para uma organização sujeita à LGPD, isso significa que mesmo que ela consiga restaurar seus sistemas a partir de backups, os dados pessoais de seus clientes, funcionários ou pacientes podem já estar nas mãos de criminosos, o que configura um incidente com obrigação de notificação. 

A velocidade de exploração de vulnerabilidades também atingiu níveis que tornam os ciclos tradicionais de gestão de patches insuficientes. O que em 2020 levava cerca de dois anos para ser explorado após a divulgação pública, hoje leva poucos dias. Sistemas que processam dados pessoais sensíveis  como dados de saúde e  biométricos, precisam de ciclos de remediação muito mais ágeis do que os que a maioria das organizações adota. 

Soma-se a isso o fenômeno da shadow AI: funcionários que inserem documentos com dados pessoais em ferramentas de inteligência artificial externas, sem autorização e sem que o time de TI tenha ciência. Cada documento enviado a um serviço não aprovado é uma potencial transferência não autorizada de dados pessoais, um risco tanto de segurança quanto de conformidade com a LGPD que não pode mais ser ignorado. 

A Nova Fase da ANPD: Fiscalização Ativa e Sanções Reais 

A transformação da ANPD em agência reguladora plena, em setembro de 2025, marcou o encerramento do período de tolerância que caracterizou os primeiros anos da LGPD. Com autonomia funcional, técnica, decisória, administrativa e financeira, a agência passou a atuar com mais incisividade e sinalizou essa mudança de forma clara com a publicação do Mapa de Temas Prioritários para 2026 e 2027. 

Os focos prioritários de fiscalização incluem incidentes de segurança, dados biométricos, dados financeiros, dados de saúde, tratamento de dados de crianças e adolescentes e uso de inteligência artificial no tratamento de dados pessoais. Organizações que atuam nesses segmentos ou que tratam essas categorias de dados têm chances concretas de ser alvo de ações fiscalizatórias nos próximos meses.

As sanções disponíveis à ANPD não são simbólicas. Multas de até 2% do faturamento da organização, limitadas a R$ 50 milhões por infração, publicização das penalidades aplicadas, bloqueio de dados e suspensão de operações de tratamento são instrumentos que podem causar danos financeiros e reputacionais de grande magnitude. Há, no entanto, fatores que a agência considera ao dosar as sanções entre eles, a demonstração de boa-fé, a existência de programas de governança e compliance, a adoção de medidas corretivas imediatas e o histórico de investimento em segurança da informação. 

Isso significa que ter um programa de segurança estruturado, documentado e auditável não é apenas uma questão técnica, podemos afirma que é um ativo regulatório. Organizações que conseguem apresentar à ANPD evidências concretas de controles implementados, treinamentos realizados, processos documentados e investimento consistente em segurança estão em posição significativamente melhor do que aquelas que apenas alegam ter boas práticas sem provas.

Integração na Prática: O que Precisa Mudar 

Falar em integração entre cibersegurança e privacidade é fácil. O desafio está em operacionalizar essa integração no dia a dia das organizações. Alguns passos são fundamentais. O primeiro é garantir que o plano de resposta a incidentes inclua, explicitamente, uma etapa de avaliação de impacto sobre dados pessoais. Toda vez que um incidente de segurança é detectado, a pergunta “dados pessoais foram expostos ou comprometidos?” precisa ser respondida de forma estruturada, com critérios documentados, e não como uma reflexão improvisada. O prazo de três dias úteis para notificação à ANPD é curto demais para que essa avaliação seja feita sem processo prévio. 

O segundo é construir uma tríade operacional entre o DPO (Encarregado de Proteção de Dados), o time de segurança e a equipe jurídica. Esses três papéis precisam se comunicar regularmente, compartilhar informações sobre riscos identificados, colaborar na resposta a incidentes e alinhar políticas, não somente em momentos de crise, mas de forma contínua e estruturada. O DPO precisa do suporte técnico do time de TI para entender a natureza e o escopo dos incidentes; o time de TI precisa do DPO e do jurídico para interpretar os requisitos legais, avaliar responsabilidades e tomar decisões informadas sobre notificação à ANPD e comunicação aos titulares; e o jurídico precisa tanto do DPO quanto do time de segurança para embasar contratos com operadores, responder a eventuais processos administrativos e garantir que as evidências técnicas estejam adequadamente documentadas. Quando esses três elos funcionam de forma integrada, a organização consegue responder a um incidente com agilidade, coerência e segurança jurídica  em vez de improvisar sob pressão dentro de um prazo de três dias úteis.  

O terceiro é tratar a documentação como parte do trabalho técnico, não como burocracia paralela. Logs de acesso, registros de varreduras de vulnerabilidade, relatórios de pentest, políticas atualizadas, atas de treinamentos, tudo isso é evidência de conformidade. Em uma fiscalização ou em um processo administrativo sancionador, a capacidade de apresentar essas evidências pode ser a diferença entre uma advertência e uma multa significativa. 

Segurança e Privacidade Como Alicerce do Negócio Digital

Chegamos a um ponto no qual cibersegurança e privacidade de dados não podem mais ser geridas como disciplinas separadas, com orçamentos separados, equipes que raramente conversam e estratégias que raramente se encontram. Elas são, fundamentalmente, duas expressões do mesmo compromisso: proteger as informações que as pessoas confiam às organizações.

Para os profissionais técnicos de segurança, isso representa uma ampliação do escopo de responsabilidade, mas também uma oportunidade. A LGPD oferece argumentos regulatórios poderosos para justificar investimentos em controles técnicos que antes eram difíceis de aprovar. A fiscalização ativa da ANPD transforma a conversa sobre segurança da informação em uma conversa sobre risco de negócio, que a liderança executiva entende e prioriza de forma diferente. 

As organizações que construírem uma postura integrada onde segurança técnica e conformidade regulatória se reforçam mutuamente, onde o time de TI, jurídico e o DPO trabalham em conjunto, onde a documentação é tratada como evidência e não como formalidade, estarão não apenas mais protegidas contra ataques e sanções. Estarão construindo a confiança digital que, em 2026, será um diferencial competitivo real. 

Cibersegurança e privacidade, juntas, não são custo operacional. São o alicerce de qualquer negócio que pretende operar com resiliência, credibilidade e sustentabilidade no mundo digital.

Autora: Mayara Barbosa | Abril de 2026

Quando tratamos de Governo, fica evidente que existe uma clara necessidade que o mesmo seja uma referência em maturidade na área de segurança da informação, particularmente por ser o guardião dos dados mais sensíveis de um país. No Brasil, observa-se que a maior parte dos órgãos públicos trata a ISO 27001 como um exercício documental. O erro começa exatamente onde deveria haver mais maturidade: o Anexo A. Na versão 2022 da ISO, os controles organizacionais deixam de operar como checklist e passam a atuar como mecanismo de transformação institucional. Quando bem aplicados, deixam de ser “segurança da informação” e passam a estruturar governança, moldar decisões, reduzir improviso e criar capacidade real de resposta.

Um equívoco recorrente no setor público envolve a crença de que a ISO/IEC 27001 é, antes de tudo, uma norma de tecnologia. A natureza da norma, no entanto, é de gestão, utilizando a segurança como vetor estruturante. O Anexo A, especialmente no domínio organizacional, representa o ponto em que essa intenção passa a influenciar a realidade institucional. A versão atual reorganiza os controles. A fragmentação anterior cede espaço a uma lógica integrada, com noventa e três controles distribuídos em quatro temas. O conjunto organizacional concentra o núcleo dessa transformação. Neste domínio, o foco não reside em ferramentas, mas em decisões.

Incialmente vamos tratar da nossas Políticas, que costumam ser tratadas como peças decorativas. Normalmente, As políticas são documentos extensos, formalmente aprovados e muito raramente revisitados. A presença de controles como Information security policy, Organization of information security, Information security roles and responsibilities e Segregation of duties redefine esse papel. Esses elementos funcionam como contratos internos de comportamento, reduzindo ambiguidade e estabelecendo limites claros de atuação. Esta lógica converge com abordagens como as do NIST, nas quais governança clara e responsabilidade definida são pré-condições para qualquer maturidade em segurança.

Outro eixo relevante envolve Identity management e Access control sob uma perspectiva organizacional. O problema, nesse contexto, raramente é técnico. A raiz costuma ser cultural. Perfis excessivos, acessos acumulados e permissões não revisadas refletem ausência de processo. Controles como User access management, Review of user access rights e Authentication information operam como mecanismos de disciplina institucional, estabelecendo critérios objetivos para concessão, revisão e revogação de acessos. Este movimento desloca a segurança do campo da tecnologia para o campo da gestão. O impacto desse deslocamento torna-se estrutural.

No campo de recursos humanos, controles como Screening, Terms and conditions of employment, Information security awareness, education and training e Responsibilities after termination or change of employment ampliam o escopo da segurança. A lógica deixa de ser pontual e passa a ser contínua. A segurança passa a ser comportamento reiterado, não evento isolado.

Outros controles organizacionais reforçam essa arquitetura. Information classification e Labelling of information estruturam o tratamento da informação desde a origem. Acceptable use of information and other associated assets estabelece limites claros de uso. Supplier relationships e Information security in supplier relationships ampliam a governança para além das fronteiras institucionais. Contact with authorities e Contact with special interest groups inserem a organização em um universo mais amplo de resposta e coordenação.

A dimensão cultural permanece como ponto sensível. Cultura institucional não se impõe por norma. A construção ocorre por repetição, coerência e exemplo. A ausência de alinhamento entre discurso e prática compromete a efetividade de qualquer controle.

Uma dimensão menos visível, porém estratégica, emerge desse conjunto. A previsibilidade operacional. Ambientes previsíveis reduzem improviso, facilitam auditorias e permitem respostas mais coordenadas a incidentes. Controles como Information security incident management responsibilities and procedures e Information security during disruption reforçam essa capacidade de resposta estruturada.

A relação com a LGPD surge como consequência natural desse arranjo. Papéis definidos, decisões rastreáveis, acessos controlados e fornecedores governados reduzem o risco regulatório antes mesmo da materialização de incidentes. Nesse contexto, o Programa de Privacidade e Segurança da Informação do MGI (PPSI) atua como um framework estruturante para o governo federal, organizando diretrizes, papéis e práticas que dialogam diretamente com os controles organizacionais da ISO 27001. A incorporação de referências como o CIS Controls, utilizada no âmbito do PPSI, reforça essa lógica ao traduzir princípios de segurança em práticas operacionais mais tangíveis, sem romper a coerência de gestão.

Uma camada adicional emerge dessa convergência. Accountability institucional. Estruturas como o PPSI não apenas orientam a implementação, mas criam base para responsabilização objetiva, algo cada vez mais observado por instâncias de controle. Decisão registrada, papel definido e processo formalizado deixam de ser apenas boa prática e passam a ser evidência.

As Diretrizes federais, frameworks estruturantes e boas práticas internacionais passam, assim, a operar de forma alinhada. Segurança como sistema de gestão, não como ferramenta isolada. Sistemas de gestão, por definição, moldam comportamento ao longo do tempo. Infere-se que o Anexo A da ISO 27001 atua como mecanismo de redução de improviso administrativo. A organização passa a operar de forma mais consistente, mesmo que não seja perfeita, será mais previsível. Podemos inferir que a previsibilidade, em ambientes complexos, representa capacidade institucional.

Os controles organizacionais da ISO 27001 não devem ser tratados como checklist de conformidade. A finalidade real consiste em alterar a forma como a instituição decide, reage e se adapta. A incorporação efetiva desses controles transforma segurança em elemento estruturante da governança. Comportamento alinhado, redução de ruído decisório e maior capacidade de resposta passam a compor o funcionamento institucional. No setor público, onde a complexidade é inerente, esse movimento representa mais do que melhoria incremental. Trata-se de consolidação de capacidade institucional.

Referências Bibliográficas

• ISO/IEC 27001:2022 — Information Security Management Systems
• ISO/IEC 27002:2022 — Information Security Controls
• NIST Cybersecurity Framework (CSF)
• CIS Controls v8
• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados (LGPD)
• Programa de Privacidade e Segurança da Informação (PPSI) — Ministério da Gestão e da Inovação
• Normativos e diretrizes de segurança da informação aplicáveis à administração pública

A maioria das iniciativas de segurança no setor público não fracassa por falta de norma, mas por excesso de ritual vazio. O ciclo PDCA, que sustenta a ISO/IEC 27001, não opera como um fluxo técnico isolado; funciona como um padrão de comportamento organizacional. Sem cultura, transforma-se em formalidade. Quando internalizado, torna-se escala.

Existe uma diferença sutil e decisiva entre adotar um modelo e operar dentro dele. No papel, o ciclo PDCA apresenta clareza quase didática: planejamento, execução, verificação e ação. Quatro movimentos, todos aparentemente controláveis e auditáveis. Na prática, o ciclo não se comporta como uma sequência previsível de etapas. Funciona como um sistema vivo, no qual cada decisão altera o estado do todo e retroalimenta o próximo movimento. Nesse ponto, surgem as dificuldades recorrentes no setor público.

A fase de planejamento raramente sofre por ausência de método. Referenciais abundam. A ISO/IEC 27001 estrutura o raciocínio com rigor, enquanto o NIST oferece modelos operacionais consistentes para identificação e tratamento de riscos. Soma-se a isso a produção normativa e orientativa do Ministério da Gestão e da Inovação, que busca traduzir essas diretrizes para a realidade administrativa brasileira. Mesmo assim, planos tecnicamente consistentes coexistem com incidentes previsíveis. A origem do problema não reside no desenho, mas na suposição de que o desenho, por si só, resolve.

No setor público, o planejamento frequentemente se converte em artefato estático. Documentos passam a responder mais à lógica de auditoria do que à dinâmica operacional. Um plano sem atualização contínua perde a capacidade de orientar decisões e passa a ocupar apenas espaço institucional. A execução, por sua vez, revela outro padrão. Controles são implementados, porém de forma fragmentada. Políticas isoladas, ferramentas desconectadas e contratos que atendem parcialmente às necessidades compõem um cenário sem integração.

O resultado não chega a ser ausência de ação, mas ausência de evolução. A execução sem alinhamento não produz aprendizado, ela apenas consome recursos. A etapa de verificação costuma reforçar uma sensação de controle. Auditorias internas acontecem, relatórios circulam e indicadores são apresentados. A estrutura formal permanece preservada. Uma questão, entretanto, permanece pouco explorada, os pontos de atenção identificados produzem mudança de comportamento ou apenas registro formal?

Quando a verificação assume caráter meramente validatório, em vez de funcionar como mecanismo de confronto com a realidade, o ciclo perde consistência, ainda que continue ativo na forma.

A etapa de ação concentra o ponto mais sensível de todo o processo. Ajustes estruturais exigem reconhecimento explícito de falhas. No ambiente público, tal reconhecimento frequentemente é percebido como exposição institucional, não como sinal de maturidade. Surge, então, um incentivo implícito à correção mínima necessária para atender ciclos futuros de verificação, sem revisão sistêmica. O movimento persiste, mas sem tração real.

A leitura do PDCA como metodologia revela, nesse contexto, uma limitação conceitual. Um conjunto de etapas não captura a dimensão comportamental exigida. Um padrão organizacional, por outro lado, pressupõe disciplina, coerência e disposição para ajuste contínuo. Sem esses elementos, qualquer alinhamento com a ISO/IEC 27001 ou com os referenciais do NIST assume caráter superficial, restrito à conformidade aparente.

A internalização efetiva do ciclo altera essa dinâmica de forma estrutural. Ambientes organizacionais que operam sob lógica contínua de aprendizado passam a tratar o erro como insumo, não como exceção. Auditorias deixam de representar eventos isolados e passam a integrar a rotina. A conformidade emerge como consequência natural de processos consistentes.

No setor público, esse deslocamento produz um efeito adicional relevante. Redução da dependência de indivíduos específicos e fortalecimento de sistemas institucionais capazes de sustentar desempenho ao longo do tempo. Neste estágio, frameworks internacionais e adaptações nacionais deixam de ser exigências externas e passam a funcionar como linguagem comum de gestão.

O ciclo PDCA assume, assim, uma função mais profunda. Estrutura invisível, porém essencial, que conecta decisões, práticas e aprendizado organizacional. A transformação institucional ocorre no momento em que o PDCA deixa de ser percebido como sequência de etapas e passa a operar como reflexo organizacional. Planejamento, execução, verificação e ação incorporados à rotina criam um ambiente onde a maturidade não depende de iniciativas isoladas, mas de consistência sistêmica. No setor público, esse movimento representa menos uma escolha estratégica e mais uma condição para sustentabilidade operacional em larga escala.

Referências Bibliográficas:

• ISO/IEC 27001
• NIST – Cybersecurity Framework (CSF)
• Ministério da Gestão e da Inovação – Programa de Privacidade e Segurança da Informação e frameworks associados
• Lei Geral de Proteção de Dados

A entrada em vigor da Lei 15.211 marca um ponto de inflexão na forma como o Brasil enxerga o ambiente digital. Pela primeira vez, há uma tentativa mais incisiva de estruturar a proteção de crianças e adolescentes em um espaço que, por definição, sempre foi dinâmico, descentralizado e difícil de controlar.

A intenção é legítima. Talvez até tardia. Proteger os mais vulneráveis em um ambiente cada vez mais hostil não é apenas necessário é inevitável e um grande desafio da era moderna cada vez mais conectada. Mas, como em praticamente toda iniciativa que envolve tecnologia e comportamento humano, o problema não está no objetivo mas sim na forma como esse objetivo é operacionalizado. É nesse ponto que a análise precisa sair do campo jurídico e avançar para uma leitura mais profunda, baseada em Segurança, Inteligência e Contrainteligência.

Sob a perspectiva da segurança, o movimento parece sólido e robusto. A exigência de verificação de idade tecnologicamente robusta, o fim da autodeclaração e a imposição de mecanismos de controle criam uma camada adicional de proteção. Na superfície, o ambiente se torna mais controlado, mais previsível e, aparentemente, mais seguro. Mas a triste realidade é que segurança isolada é uma ilusão confortável. Quando avançamos para a dimensão da inteligência, a pergunta muda e começa a ganhar proporção.

Deixamos de observar apenas o controle e passamos a analisar o sistema como um todo. O que está sendo construído para sustentar essa nova lógica de proteção?

A resposta é simples e, ao mesmo tempo, preocupante pois de fato oque estamos estruturando é uma infraestrutura de identidade digital em larga escala. Para provar que alguém não é menor de idade, plataformas passam a coletar, validar e, em muitos casos, armazenar dados altamente sensíveis como biometria facial, documentos oficiais e vínculos digitais confiáveis. Esse movimento transforma identidade em ativo central. E todo ativo de alto valor atrai interesse. Os indivíduos maliciosos estão a espreita. É aqui que a análise precisa dar mais um passo, entrando no campo da contrainteligência que é o campo mais negligenciado e, ao mesmo tempo, o mais crítico dessa equação protetiva.

A pergunta deixa de ser “como proteger” e passa a ser: como isso pode ser explorado?

A centralização, ainda que distribuída entre múltiplos fornecedores, cria um cenário extremamente atraente para indivíduos maliciosos. Não estamos mais falando de bases de dados com e-mails e senhas. Estamos falando de identidades validadas, de dados biométricos e de informações que não podem ser alteradas.

Biometria não é senha. Não existe remediação completa após um vazamento. Isso transforma qualquer incidente em um problema permanente. Ao mesmo tempo, a história da segurança da informação mostra um padrão claro onde toda barreira tecnológica gera um incentivo econômico para sua quebra. Sistemas de verificação de idade não eliminam o problema eles o transformam. O que surge, inevitavelmente, é a profissionalização dafraude. Serviços especializados, identidades sintéticas, manipulação de imagem e engenharia social mais sofisticada passam a ocupar o espaço criado por essas novas restrições.

O problema não desaparece. Ele evolui. E enquanto o sistema formal se fortalece, o comportamento humano se adapta. Restrições em ambientes regulados tendem a gerar deslocamento, não eliminação. Jovens impedidos de acessar determinadas plataformas não deixam de consumir conteúdo eles migram e aprendem a atuar como Hackers. Buscam alternativas, utilizam VPNs, entram em ambientes menos regulados, onde o controle é reduzido e os riscos são significativamente maiores.

O efeito é silencioso, mas estratégico e no fim perde-se visibilidade. E, sem visibilidade, perde-se capacidade de proteção real. Concomitante a isso empresas correm para atender às exigências regulatórias impostas sob supervisão da Autoridade Nacional de Proteção de Dados e em consonância com a Lei Geral de Proteção de Dados. No entanto, existe uma distinção fundamental que precisa ser estabelecida: conformidade não é sinônimo de segurança.

Na prática, muitas organizações irão priorizar checklists, integrar soluções de terceiros e buscar adequação rápida apena para estar em conforme. Porém o resultado tende a ser o aumento da complexidade sem o devido aumento de maturidade. E complexidade, quando mal gerida, gera fragilidade.

No fim, a Lei 15.211 não está apenas criando regras de acesso. Ela está redefinindo o eixo da segurança digital no Brasil.

Se antes protegíamos sistemas e, depois, acessos, agora o foco passa a ser a identidade. E identidade é permanente. Esse é o ponto central que precisa ser compreendido pois o desafio não é apenas implementar a lei, mas fazer isso sem criar um ecossistema estruturalmente mais vulnerável do que aquele que se pretende corrigir.

A Lei Felca nasce com um propósito correto. Mas, como toda estrutura que envolve dados em escala, ela carrega riscos que não estão na superfície, e sim nas conexões, nas dependências e nos incentivos que cria. O maior deles talvez seja este: ao tentar proteger uma geração, podemos estar expondo sua identidade de forma irreversível.

Como diria Sherlock Holmes, “nada é mais enganoso do que um fato óbvio”. O fato óbvio é a necessidade de proteger crianças no ambiente digital. O que não é óbvio e precisa ser discutido com seriedade é o custo estrutural dessa proteção.

Autor: Alex Nascimento