Um órgão público pode ter política, comitê, plano e indicador e, ainda assim, não ser ciber-resiliente. A maturidade que realmente reduz incidentes está na cultura: nas decisões da liderança, no comportamento das pessoas e na forma como a organização aprende com falhas. Este texto propõe tratar a cultura como medida de maturidade e mostra por que o Estado brasileiro ainda está longe de poder se declarar ciber-resiliente.

1. Motivação: quando o papel deixa de proteger

Duas evidências recentes apontam na mesma direção. A primeira vem de um estudo publicado em outubro de 2026 no British Journal of Management. Com 9.606 observações de empresas norte-americanas entre 2006 e 2023, ele mostra que a digitalização eleva a probabilidade de incidentes sobretudo por suas dimensões organizacionais, e não pelas tecnológicas (SIHVONEN, 2026).

O mesmo estudo traz o dado mais relevante para este debate. Mecanismos externos de verificação perdem força conforme a digitalização avança: o efeito protetor dos auditores especializados cai de 20,5 para 8,1 pontos percentuais, e o da divulgação formal de cibersegurança também se esvai. Já a presença de experiência em tecnologia no conselho e na diretoria se mantém e até cresce, de 14,0 para 16,9 pontos percentuais.

A segunda evidência é brasileira. Ao monitorar as medidas de cibersegurança dos órgãos federais, o Tribunal de Contas da União (TCU) registrou dificuldade para comprovar os controles declarados, porque a avaliação se apoia em autodeclarações nem sempre acompanhadas de evidências (BRASIL, [2026]).

Na prática, isso significa que o indicador documental mede o que a organização diz que faz. A cultura mede o que ela faz quando ninguém está auditando.

2. Conceitos: maturidade declarada e maturidade vivida

Maturidade declarada é o que a organização consegue provar em documento. Maturidade vivida é o que ela faz de forma repetida, sob pressão e sem supervisão. As duas são necessárias, mas só a segunda produz resiliência.

Uma analogia ajuda. Uma escola pode ter plano de evacuação aprovado, sinalização e extintores dentro da validade. A maturidade real só aparece no simulado: quantos minutos levam para esvaziar o prédio, quem assume a coordenação e quantos alunos sabem para onde ir. O plano é condição; o simulado é evidência.

Três referências sustentam essa distinção:

• Cultura de cibersegurança (ENISA). A agência europeia define cultura de cibersegurança como o conjunto de conhecimentos, crenças, percepções, atitudes, normas e valores das pessoas sobre o tema e o modo como isso se manifesta no comportamento. Propõe ainda um ciclo de implementação com medição de impacto (ENISA, 2017; ENISA, 2019).
• Níveis de implementação do NIST CSF 2.0. Os quatro níveis (Parcial, Informado por Riscos, Repetível e Adaptativo) descrevem o rigor da governança e da gestão de riscos. No nível Adaptativo, a gestão de risco cibernético está incorporada à cultura da organização e evolui com as lições aprendidas. A função Governar, criada na versão 2.0, coloca a liderança no centro (NIST, 2024).
• Modelo de maturidade para nações (CMM/Oxford). O modelo usado por BID e OEA para avaliar países tem uma dimensão própria de “cultura e sociedade”, separada de políticas, normas e tecnologia. A cultura é tratada como capacidade nacional, e não como anexo da conscientização.

Na prática, isso significa que um órgão só chega ao nível mais alto quando a segurança deixa de ser tarefa da área de TI e passa a influenciar a forma como o órgão decide, contrata, digitaliza e reage.

3. Como o Brasil mede hoje

O Brasil mede bem a existência de controles e mede pouco o comportamento. Os dois instrumentos principais são federais e se apoiam, em boa parte, no que os próprios órgãos informam.

Tabela 1 – Instrumentos de medição de maturidade em uso no Brasil

Fonte: elaboração do autor com base na Portaria SGD/MGI nº 9.511/2025 (PPSI 2.0), nos Acórdãos TCU nº 1.768/2022 e nº 2.387/2024 e no portal de fiscalizações de segurança da informação do TCU.

As fiscalizações temáticas são o ponto mais próximo de uma medida de cultura. A de phishing, por exemplo, observa o que as pessoas fazem diante de um ataque simulado, e não o que a política diz que deveriam fazer.

Na prática, não há para Estados e Municípios um instrumento nacional equivalente ao PPSI. Tribunais de Contas estaduais começaram diagnósticos coordenados, mas cada ente ainda mede com critérios próprios, o que dificulta comparar a maturidade do Estado brasileiro como um todo.

4. O que os números revelam

Os diagnósticos convergem: a maioria dos órgãos está nos níveis iniciais, e a explicação recorrente não é falta de documento, é falta de liderança, de gente e de prática.

Tabela 2 – Diagnósticos de maturidade no setor público brasileiro

Fonte: elaboração do autor com base em Brasil (2024a; 2024b; [2026]), Banco Interamericano de Desenvolvimento (2025) e LGPD na administração pública ([s.d.]).

Na prática, isso significa que, mesmo no governo federal, que tem o programa mais estruturado, o órgão típico ainda não domina as medidas mais simples. Nos estados, boa parte ainda não tem sequer a política que serviria de ponto de partida.

5. Indicadores de cultura: o que o documento não mostra

Cada indicador clássico tem um par comportamental que revela se a prática existe. A tabela a seguir propõe esses pares e a evidência que permite verificá-los sem depender de autodeclaração.

Tabela 3 – Indicadores documentais e indicadores culturais

Fonte: elaboração do autor.

Na prática, isso significa trocar a pergunta “temos o controle?” por “o controle funcionou na última vez em que foi exigido?”. Os indicadores da coluna cultural não substituem os documentais; eles mostram se os documentais têm efeito.

6. A trajetória difícil: por que ainda não se pode falar em Estado ciber-resiliente

Ciber-resiliência é a capacidade de antecipar, resistir, recuperar e se adaptar. Exige prova de recuperação, e não apenas de prevenção. Por esse critério, seis lacunas separam o Estado brasileiro dessa condição.

1. A liderança ainda delega o risco. O TCU precisou recomendar que a alta administração lidere explicitamente a gestão de riscos cibernéticos. O estudo de Sihvonen indica que a experiência em tecnologia na cúpula é justamente o mecanismo de governança que mantém o efeito protetor quando a digitalização cresce.
2. A medição depende do que o órgão declara. Sem evidência independente, o indicador tende a refletir o esforço de preenchimento, e não a prática. É o mesmo limite que o estudo encontrou na divulgação formal de cibersegurança.
3. A cultura não se forma sem continuidade de pessoas. Falta e rotatividade de profissionais, apontadas pelo TCU, fazem o conhecimento sair com quem sai. Cultura é hábito repetido; equipe que se renova o tempo todo não acumula hábito.
4. A maturidade é desigual entre os entes. O PPSI alcança o governo federal. Nos estados, 58% não tinham política vigente em 2024, e a Estratégia Nacional de Governo Digital (ENGD) depende de adesão voluntária. Como os serviços públicos compartilham plataformas, fornecedores e dados, o elo mais fraco define a resiliência do conjunto.
5. A segurança ainda é terceirizada no plano da responsabilidade. Quando a empresa estadual de TI ou o fornecedor concentra a gestão de incidentes, o órgão tende a ver a segurança como serviço contratado, e não como dever próprio. A coordenação de ecossistema foi a segunda dimensão que mais elevou o risco no estudo de Sihvonen (6,0 pontos percentuais).
6. A digitalização corre mais rápido que a maturidade. A ENGD e a Estratégia Federal de Governo Digital (EFGD) ampliam serviços, integrações e uso de dados e IA. Se a cultura não acompanha esse ritmo, cada nova integração adiciona exposição sem capacidade correspondente de resposta.

Há sinais de avanço. A Estratégia Nacional de Cibersegurança, E-Ciber (Decreto nº 12.573/2025, art. 10, II), prevê um modelo nacional de maturidade em cibersegurança, e a ENGD tem como objetivo ampliar a resiliência e a maturidade das estruturas tecnológicas do governo. O desafio é que esse modelo nacional meça comportamento e capacidade de recuperação, e não apenas conformidade documental.

7. Um modelo de maturidade cultural e o roteiro para chegar lá

A proposta é complementar o PPSI e os modelos existentes com quatro estágios definidos por comportamento observável. O estágio é o que a organização demonstra, e não o que declara. Trata-se de proposta autoral, inspirada nos níveis do NIST CSF 2.0 e no ciclo da ENISA.

Tabela 4 – Estágios de maturidade cultural em cibersegurança

Fonte: elaboração do autor, com inspiração em NIST (2024) e ENISA (2017).

O último sinal de passagem é o mais revelador. Uma cultura só está madura quando sobrevive à troca do dirigente e da equipe técnica, algo raro no setor público brasileiro.

Um roteiro de 12 a 24 meses para um órgão estadual pode seguir esta ordem:

1. Diagnóstico duplo. Avaliar os controles pelo framework de referência (PPSI 2.0, NIST CSF 2.0 ou Controles CIS) e, em paralelo, medir os indicadores comportamentais da seção 5 com evidência, não com questionário.
2. Patrocínio formal. Registrar em ato que a alta administração responde pela gestão do risco cibernético, com pauta periódica e aceite formal de riscos residuais.
3. Segurança na origem das decisões. Exigir análise de risco cibernético no planejamento de cada projeto digital, contratação de TIC e uso de IA, antes da aprovação.
4. Exercícios com quem decide. Realizar ao menos um exercício de mesa por ano com dirigentes, comunicação e jurídico, e acompanhar a implementação das lições aprendidas.
5. Cultura de relato. Medir relato, e não só clique, nas campanhas de phishing; proteger quem relata de boa-fé; divulgar casos internos de forma educativa.
6. Continuidade de pessoas. Tratar a retenção da equipe de segurança como risco institucional, com sucessão e documentação de conhecimento crítico.
7. Terceiros sob gestão. Incluir itens de segurança na fiscalização contratual de fornecedores críticos e testar o plano de saída.
8. Prestar contas com evidência. Reportar à liderança e aos órgãos de controle indicadores comportamentais com tendência, acompanhados da evidência que os sustenta.

8. Conclusão

O Brasil construiu, entre 2023 e 2026, uma arquitetura normativa consistente: Política Nacional de Cibersegurança (PNCiber), E-Ciber, ENGD, EFGD e PPSI 2.0. O que ainda falta não é mais papel. Falta demonstrar, com evidência, que dirigentes decidem considerando o risco, que servidores relatam e reagem, e que os serviços voltam a funcionar no tempo previsto depois de um ataque.

Enquanto a maturidade for medida principalmente por autodeclaração e documento, o país conhecerá o tamanho de sua conformidade, mas não o de sua resiliência. Medir a cultura é mais trabalhoso, mas é o único caminho para que “ciber-resiliente” deixe de ser uma meta de estratégia e passe a ser uma condição verificável do Estado.

Referências

BANCO INTERAMERICANO DE DESENVOLVIMENTO. Cibersegurança nos estados brasileiros. Autoras: Beatriz Lanza e Lilian Gibson Santos. Washington, DC: BID, maio 2025. Disponível em: https://publications.iadb.org/pt/ciberseguranca-nos-estados-brasileiros. Acesso em: 8 nov. 2026.

BRASIL. Decreto nº 11.856, de 26 de dezembro de 2023. Institui a Política Nacional de Cibersegurança e o Comitê Nacional de Cibersegurança. Diário Oficial da União: seção 1, Brasília, DF, 27 dez. 2023. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2023/Decreto/D11856.htm. Acesso em: 8 nov. 2026.

BRASIL. Decreto nº 12.069, de 21 de junho de 2024. Dispõe sobre a Estratégia Nacional de Governo Digital e a Rede Nacional de Governo Digital – Rede Gov.br e institui a Estratégia Nacional de Governo Digital para o período de 2024 a 2027. Diário Oficial da União: seção 1, Brasília, DF, 24 jun. 2024. Disponível em: https://www.planalto.gov.br/CCIVIL_03/_Ato2023-2026/2024/Decreto/D12069.htm. Acesso em: 8 nov. 2026.

BRASIL. Decreto nº 12.573, de 4 de agosto de 2025. Institui a Estratégia Nacional de Cibersegurança. Diário Oficial da União: seção 1, Brasília, DF, 5 ago. 2025. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2025/decreto/D12573.htm. Acesso em: 8 nov. 2026.

BRASIL. Ministério da Gestão e da Inovação em Serviços Públicos. Secretaria de Governo Digital. Portaria SGD/MGI nº 9.511, de 28 de outubro de 2025. Institui o Programa de Privacidade e Segurança da Informação no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional. Disponível em: https://www.gov.br/governodigital/pt-br/privacidade-e-seguranca. Acesso em: 8 nov. 2026.

BRASIL. Tribunal de Contas da União. Acórdão nº 1.768/2022 – Plenário. Acompanhamento de controles críticos de segurança cibernética. Relator: Ministro Vital do Rêgo. Processo TC 036.301/2021-3. Brasília, DF: TCU, 2022. Disponível em: https://portal.tcu.gov.br/data/files/E8/F0/BD/72/7D8A2810B4FE0FF7E18818A8/Ficha%20Sintese%20-%205%20Controles%20de%20Seguranca%20Cibernetica.pdf. Acesso em: 8 nov. 2026.

BRASIL. Tribunal de Contas da União. Acórdão nº 2.387/2024 – Plenário. Auditoria operacional nos controles de cibersegurança e segurança da informação das organizações do Sisp. Relator: Ministro Augusto Nardes. Processo TC 010.390/2024-3. Sessão de 6 nov. 2024. Brasília, DF: TCU, 2024a. Disponível em: https://portal.tcu.gov.br/imprensa/noticias/organizacoes-publicas-de-tecnologia-da-informacao-nao-estao-protegidas-contra-ataques-ciberneticos. Acesso em: 8 nov. 2026.

BRASIL. Tribunal de Contas da União. Acórdão nº 2.430/2024 – Plenário. Auditoria na Política Nacional de Cibersegurança. Relator: Ministro Benjamin Zymler. Processo TC 010.387/2024-2. Sessão de 13 nov. 2024. Brasília, DF: TCU, 2024b. Disponível em: https://portal.tcu.gov.br/imprensa/noticias/auditoria-constata-falta-de-entidade-responsavel-pela-seguranca-cibernetica-nacional. Acesso em: 8 nov. 2026.

BRASIL. Tribunal de Contas da União. TCU monitora medidas de segurança cibernética em órgãos federais. Brasília, DF: TCU, [2026]. Disponível em: https://portal.tcu.gov.br/imprensa/noticias/tcu-monitora-medidas-de-seguranca-cibernetica-em-orgaos-federais. Acesso em: 8 nov. 2026.

EUROPEAN UNION AGENCY FOR NETWORK AND INFORMATION SECURITY (ENISA). Cyber security culture in organisations. Heraklion: ENISA, 2017. DOI: 10.2824/10543. Disponível em: https://www.enisa.europa.eu/publications/cyber-security-culture-in-organisations. Acesso em: 8 nov. 2026.

EUROPEAN UNION AGENCY FOR NETWORK AND INFORMATION SECURITY (ENISA). Cybersecurity culture guidelines: behavioural aspects of cybersecurity. Heraklion: ENISA, 2019. DOI: 10.2824/324042. Disponível em: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity. Acesso em: 8 nov. 2026.

LGPD NA ADMINISTRAÇÃO pública: o que revelam as auditorias. Migalhas, [s.d.]. Disponível em: https://www.migalhas.com.br/depeso/464436/lgpd-na-administracao-publica-o-que-revelam-as-auditorias. Acesso em: 8 nov. 2026.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). The NIST Cybersecurity Framework (CSF) 2.0. Gaithersburg: NIST, 2024. (NIST CSWP 29). DOI: 10.6028/NIST.CSWP.29. Disponível em: https://doi.org/10.6028/NIST.CSWP.29. Acesso em: 8 nov. 2026.

SIHVONEN, Jukka. Digitalization and cybersecurity: firm-level evidence. British Journal of Management, 2026. DOI: 10.1111/1467-8551.70119. Disponível em: https://doi.org/10.1111/1467-8551.70119. Acesso em: 8 nov. 2026.

Sinopse: Por que a falha que tirou do ar sites de governos em três continentes deveria mudar a forma como o setor público brasileiro compra, constrói e aposenta sistemas.

Na quarta-feira, 21 de outubro de 2026, a Anatel suspendeu o acesso externo ao SEI. O TRF1 fez o mesmo, e a Justiça Federal da 4ª Região interrompeu sistemas digitais. Na Holanda, saíram do ar o portal do governo, o Porto de Roterdã e hospitais. Nenhum desses órgãos tinha sido invadido. Desligaram por precaução, porque não conseguiam saber, com a rapidez necessária, se estavam expostos.

A causa foi o PHP2Shell com duas falhas críticas no interpretador do PHP (CVE-2026-109618 e CVE-2026-109619, nota 9,2 no CVSS v4.0). O PHP está presente em cerca de 70% dos sites cuja tecnologia de servidor é identificável. As falhas permitem executar código no servidor sem login e, em algumas configurações, antes que a aplicação rode uma única linha. Todas as versões desde a 5.4, de 2012, são afetadas.

Os detalhes vazaram um dia antes da correção, e as tentativas de exploração, aceleradas por IA, começaram horas depois da publicação. O episódio foi tratado como emergência técnica. Quem trabalha com governança deveria observa-lo como um teste de estresse não programado da gestão de ativos, da arquitetura e da responsabilidade sobre dados de cidadãos. O que já sabemos é que muitos órgãos não passaram nesse teste.

O problema não é o PHP

O projeto PHP corrigiu as falhas em 21 de outubro para as quatro versões suportadas, da 8.2 à 8.5. O problema está no que não tem como ser corrigido, pois temos sistemas rodando versões que o projeto abandonou há anos e a tempos a substituição é indicada. Portanto, seria cômodo culpar a linguagem, mas seria muito errado.

Os números das varreduras públicas são duros. Uma simples contagem no Shodan feita em 20 de outubro encontrou cerca de 884 mil servidores expostos à internet com versões do PHP fora de suporte. Isso é 59% de todos os servidores que revelam a versão. Cerca de 371 mil rodam PHP 5.6 ou 7.2, para os quais não existe correção oficial alguma. Na web como um todo, a W3Techs registrava em agosto que 37,5% dos sites em PHP ainda usavam gerações encerradas.

O setor público aparece com clareza onde há dados. Em poucas horas, usando ferramentas abertas, o Centro Nacional de Resposta a Incidentes da Colômbia, encontrou servidores de domínios .gov.co com versões do PHP de mais de 15 anos. No Brasil, a evidência está na própria reação, sistemas como SEI, eproc e outros, que rodam sobre PHP, foram suspensos justamente por causa dessa dependência.

Em gestão, podemos chamar isso de dívida técnica. Ao contrário da dívida financeira, ela não aparece no balanço. Acumula juros em silêncio até que alguém a cobre de uma vez. Esta cobrança ficou mais rápida. A Wiz encontrou a primeira dessas falhas em 19 de agosto, com ferramentas próprias e modelos de IA de fronteira, e o defeito estava no código havia mais de uma década. O que antes exigia meses de pesquisa especializada passa a levar dias. Sistemas legados, que contavam com a obscuridade como proteção, perderam essa camada de segurança.

Dados de cidadãos não aceitam “sistema antigo” como justificativa

O Governo é o maior controlador de dados pessoais do país. Um processo administrativo pode conter CPF, endereço, laudos de perícia médica, informações fiscais, dados de crianças e registros disciplinares. Boa parte são dados pessoais sensíveis, conforme o art. 5º, II, da LGPD.

A lei não permite tratar a obsolescência como problema exclusivo da TI. Três dispositivos merecem leitura atenta de qualquer dirigente público:

• Art. 6º, VII e VIII: segurança e prevenção são princípios da lei, não recomendações.
• Art. 46: o controlador deve adotar medidas técnicas e administrativas aptas a proteger os dados. O §2º exige que essas medidas sejam observadas desde a concepção do produto ou serviço até a sua execução. Basicamente, trata-se do privacy by design escrito na lei.
• Art. 49: os sistemas usados no tratamento devem ser estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.

Um sistema que depende de um runtime sem suporte, para o qual uma falha crítica conhecida não terá correção, dificilmente atende ao art. 49. Mantê-lo em produção, tratando dados sensíveis e exposto à internet, deixa de ser uma limitação técnica. Passa a ser uma decisão de risco, e toda decisão de risco tem um responsável.

Há um ponto que costuma passar despercebido. Para órgãos públicos, a LGPD não prevê multa, mas prevê publicização da infração, bloqueio e eliminação dos dados (art. 52, §3º). Bloquear os dados de um sistema que sustenta um serviço público equivale, na prática, a interromper o serviço. Somam-se a isso o dever de comunicar incidentes à ANPD e aos titulares (art. 48 e Resolução CD/ANPD nº 15/2024) e a responsabilização de gestores perante os órgãos de controle.

Secure by Design: a segurança é responsabilidade de quem constrói

O conceito ganhou força em 2023, quando a CISA, agência de cibersegurança dos EUA, e parceiros de vários países publicaram os princípios de Secure by Design. A ideia central é simples, que o ônus da segurança não pode ficar com quem usa o sistema, na verdade deve ser assumido por quem o projeta, constrói e mantém. Os princípios são três, e cada um tem uma tradução direta para o setor público:

1. Assumir os resultados de segurança do cliente. No Estado, o cliente final é o cidadão, cujo dado está no sistema e que não tem como escolher outro fornecedor.
2. Transparência radical e responsabilização. Saber e informar quais componentes existem, quais vulnerabilidades conhecidas carregam e como estão sendo tratadas.
3. Liderança a partir do topo. Segurança como objetivo institucional, com patrocínio da alta direção, e não como tarefa delegada à equipe de infraestrutura.

O PHP2Shell traz uma lição técnica que reforça essa agenda. As falhas são de segurança de memória, como use-after-free, no interpretador, que é escrito em C. A aplicação em PHP pode ter sido escrita com todo o cuidado e, mesmo assim, herdar a vulnerabilidade do runtime. Não por acaso, a própria CISA vem pedindo aos fabricantes roteiros de migração para linguagens com segurança de memória.

Para o gestor público, a consequência prática é que o runtime, o sistema operacional e as bibliotecas fazem parte do sistema. Precisam estar no inventário, no contrato e no planejamento de ciclo de vida.

No Estado, Secure by Design começa na contratação. A segurança precisa entrar no estudo técnico preliminar e no termo de referência das contratações regidas pela Lei 14.133/2021, como requisito verificável. Não como cláusula genérica de “atender às boas práticas”, mas com exigências concretas:

• componentes em versões suportadas durante toda a vigência do contrato;
• prazo máximo para aplicar correções críticas;
• entrega de lista de componentes de software (SBOM) a cada versão;
• configurações seguras por padrão;
• testes de segurança antes de cada liberação.

Desenvolvimento seguro é processo, não ferramenta

Utilizar um testador de vulnerabilidades não é ter desenvolvimento seguro. O que muda o resultado é um ciclo de vida em que a segurança tem etapas, responsáveis e evidências. Não faltam referências para estruturar isso:

O que essas referências têm em comum, e que o PHP2Shell deixou exposto, é a gestão de dependências. Um sistema não é apenas o código contratado. É também o runtime, o servidor web, o sistema operacional e dezenas de bibliotecas. Sem uma lista de componentes (SBOM) e sem acompanhar o fim de vida de cada um, o órgão só descobre que está exposto quando o CERT publica o alerta.

O próximo fim de vida já tem data. O PHP 8.2, uma das versões corrigidas agora, perde o suporte em 31 de dezembro de 2026. Quem atualizou às pressas para a 8.2 está a pouco mais de dois meses de voltar ao mesmo lugar.

Atualizar, encapsular ou substituir

Nem todo sistema legado precisa ser reescrito, e nem todo pode esperar. A decisão deve considerar dois eixos: a criticidade dos dados e do serviço que o sistema sustenta, e a viabilidade de mantê-lo em uma base suportada. Sistemas que tratam dados sensíveis e não têm caminho de atualização são a prioridade de substituição. Os demais seguem para atualização ou encapsulamento, sempre com prazo.

• Alta criticidade com atualização viável. A decisão deve ser atualizar já. Migrar runtime e aplicação para versões suportadas, com testes de regressão e janela planejada. É o caminho de menor custo e deve ser a prioridade imediata.
• Alta criticidade com atualização inviável. A decisão é substituir. Um sistema que trata dados sensíveis e não tem como ser atualizado é o candidato prioritário à troca, com plano, prazo e orçamento. Até lá, fica encapsulado.
• Baixa criticidade com a atualização viável. Planejar para atualizar no ciclo regular, dentro da gestão de mudanças e com monitoramento do fim de vida.
• Baixa criticidade, atualização inviável. Propor para encapsular ou desativar. Retirar da internet, colocar atrás de VPN ou WAF, restringir acesso e registrar a exceção com dono e prazo. Muitas vezes, a melhor resposta é simplesmente “desligar”.

Em qualquer quadrante, aceitar o risco só é legítimo como decisão formal da alta direção, com prazo de validade. Nunca por omissão.

A agenda do CISO público

O PHP2Shell vai sair do noticiário, mas a dívida técnica continua. Proponho uma agenda em três horizontes, que pode ser adaptada ao porte e à maturidade de cada órgão.

1) Próximos 90 dias

1. Inventariar todos os ativos que executam PHP e outros runtimes, inclusive sistemas de terceiros, hospedagem contratada e equipamentos, com versão e grau de exposição.
2. Confirmar que as correções do PHP2Shell foram aplicadas e procurar indícios de comprometimento a partir de 20 de outubro, quando os detalhes vazaram.
3. Classificar cada sistema nos quatro caminhos acima e registrar os riscos aceitos, com responsável e prazo.
4. Cruzar o inventário com o encarregado de dados para identificar quais sistemas legados tratam dados sensíveis.

2) Em 12 meses

1. Aprovar uma política de ciclo de vida de componentes: nenhum sistema em produção com runtime fora de suporte sem exceção formal.
2. Padronizar cláusulas de segurança nos termos de referência: versões suportadas, prazo para correções críticas, SBOM e testes.
3. Fazer o diagnóstico de maturidade com o OWASP SAMM e fixar metas anuais.
4. Levar indicadores à alta direção: percentual de sistemas em versões suportadas, tempo médio para corrigir vulnerabilidades críticas e exceções vencidas.

3) Em 36 meses

1. Executar o plano de substituição dos sistemas críticos sem caminho de atualização, com recursos previstos no planejamento orçamentário.
2. Incorporar o desenvolvimento seguro, alinhado ao SSDF, a todas as contratações e equipes internas.
3. Exercitar periodicamente o cenário de “falha crítica pública sem correção disponível”, com critérios pré-aprovados para tirar serviços do ar.

O preço de esperar

O PHP2Shell levou dois meses entre a descoberta e a correção. O próximo pode ser descoberto em dias e explorado em horas, porque as mesmas ferramentas de IA usadas pelos pesquisadores também estão ao alcance dos atacantes. A janela entre a divulgação e o ataque está encolhendo, e os sistemas legados estão do lado errado dela.

Os órgãos que tiraram sites do ar fizeram a escolha certa naquele momento. Mas desligar porque não se sabe o que está exposto é sintoma de falha de governança, e não sinal de prudência. O cidadão que entrega seus dados ao Estado não pode trocar de fornecedor, e isso torna a obrigação do poder público maior, não menor.

Atualizar ou substituir sistemas legados custa caro e não rende inauguração. Mas custa menos do que explicar à ANPD, ao Tribunal de Contas e à sociedade por que um dado sensível vazou por uma falha que tinha data de validade conhecida.

Referências

• Wiz Research – PHP2Shell
• Google Cloud – Responding to core PHP vulnerabilities
• The Hacker News – PHP Issues Emergency Patches
• Greenbone – PHP2Shell e versões fora de suporte
• CybelAngel – exposição por versão
• IONIX – versões afetadas e fim de vida do PHP 8.2
• W3Techs – uso do PHP por versão
• Impacto TIC – alerta do Colcert
• Canaltech – Anatel e tribunais suspendem sistemas
• The Next Web – governos europeus tiram sites do ar
• Lei nº 13.709/2018 (LGPD)
• CISA – Secure by Design
• NIST SP 800-218 – Secure Software Development Framework
• OWASP SAMM

Sinopse

A proteção de infraestruturas críticas depende de muito mais do que criptografar dados e impedir acessos não autorizados. Em ambientes industriais, uma comunicação que não chega ao destino, um comando que sofre atraso ou um equipamento de rede comprometido podem interferir diretamente na operação de bombas, válvulas, sistemas de distribuição elétrica e outros processos físicos.

Motivação

A crescente integração entre redes industriais, sistemas corporativos e serviços em nuvem amplia essas dependências e introduz novos desafios para a segurança cibernética. O problema não está apenas em quem consegue entrar em um sistema, mas também em quem pode interferir nas comunicações das quais esse sistema depende para funcionar.

Uma pesquisa divulgada pelo Homeland Security Newswire, em 16 de outubro de 2026, ilustra esse cenário ao descrever uma técnica denominada ICS-Sniper, direcionada às comunicações de sistemas industriais. O estudo oferece uma oportunidade para discutir os limites dos controles tradicionais e a importância de integrar arquitetura segura, inteligência de ameaças e resiliência operacional.

A superfície de ataque não termina no perímetro da planta

Sistemas de controle industrial, conhecidos como ICS (Industrial Control Systems), são utilizados para monitorar e controlar processos físicos. Entre eles estão os sistemas SCADA (Supervisory Control and Data Acquisition), além dos sistemas aplicados em controladores lógicos programáveis (PLC), unidades terminais remotas (RTU) e interfaces homem-máquina (HMI).

Esses componentes desempenham funções diferentes, mas dependem da troca confiável e tempestiva de informações. Sensores fornecem dados sobre o processo, controladores executam lógicas de operação e sistemas de supervisão permitem que operadores acompanhem condições e intervenham quando necessário.

Historicamente, muitos ambientes industriais foram projetados para operar de maneira isolada. A necessidade de integração com sistemas corporativos, acesso remoto, manutenção especializada e serviços em nuvem ampliou a conectividade e, consequentemente, a superfície de ataque. Essa transformação não significa que a conectividade deva ser eliminada. Ela exige que cada conexão seja compreendida, justificada, monitorada e protegida de acordo com o risco operacional.

Um roteador, um gateway industrial ou um equipamento utilizado para conectar uma planta a um serviço externo pode representar um ponto relevante nessa arquitetura. Com esse componente comprometido, o impacto não precisa se limitar ao equipamento, pois pode alcançar as comunicações necessárias ao funcionamento de processos físicos. A segurança industrial, portanto, precisa considerar não apenas os ativos finais, mas também os caminhos pelos quais circulam os dados e os comandos que sustentam a operação.

ICS-Sniper: quando o tráfego criptografado se torna um ponto de exploração

A notícia publicada pelo Homeland Security Newswire apresenta uma técnica de ataque chamada ICS-Sniper, associada à possibilidade de interferir seletivamente nas comunicações entre instalações industriais e sistemas de monitoramento ou controle conectados à nuvem. O cenário descrito depende do comprometimento prévio de um roteador situado no caminho da comunicação. A partir desse ponto, o atacante pode observar características do tráfego, como o tamanho dos pacotes e os momentos em que são transmitidos, mesmo quando o conteúdo está criptografado.

Essas características podem revelar padrões de comunicação. Quando determinadas mensagens aparecem de maneira previsível, torna-se possível tentar identificá-las por seus padrões externos e interferir seletivamente em sua entrega. O aspecto relevante é que esse tipo de ataque não exige necessariamente a quebra da criptografia. O objetivo é interferir na disponibilidade da comunicação, e não, obrigatoriamente, ler ou modificar o conteúdo protegido.

Segundo o artigo, testes laboratoriais com modelos de sistemas de tratamento de água demonstraram efeitos operacionais associados à interrupção de comunicações, incluindo atraso no início do bombeamento de água tratada e prolongamento do estado de abertura de uma válvula simulada. Esses resultados devem ser interpretados com precisão. Trata-se de efeitos demonstrados experimentalmente, não de evidência de que a mesma técnica tenha sido utilizada contra uma instalação real. A possibilidade de reproduzir consequências semelhantes depende da arquitetura, dos protocolos, das salvaguardas existentes e das características do processo industrial.

Ainda assim, a pesquisa evidencia um problema importante, pois proteger o conteúdo de uma mensagem não garante que ela chegará ao destino no momento necessário.

Do pacote de rede ao impacto físico

Em ambientes industriais, a relação entre comunicação digital e processo físico é direta. Uma mensagem pode carregar uma medição, uma solicitação de atuação, uma atualização de estado ou uma informação necessária à coordenação de diferentes componentes. A perda ou o atraso dessas mensagens pode produzir efeitos distintos, conforme o processo envolvido. Uma estação de tratamento pode perder temporariamente a capacidade de acompanhar determinadas variáveis. Um sistema de bombeamento pode operar com informações desatualizadas. Em instalações elétricas, a perda de comunicação entre equipamentos pode comprometer funções de supervisão e coordenação. Esses efeitos não são automáticos. Sistemas industriais bem projetados possuem alarmes, intertravamentos, proteções independentes e mecanismos de operação segura. O impacto depende da função afetada, do tempo de indisponibilidade, das dependências entre componentes e da capacidade de resposta do sistema.

Para a análise de riscos, é útil representar a possível cadeia de consequências:

1. Equipamento de comunicação comprometida
2. Interferência no Fluxo de Mensagens
3. perda de informação ou coordenação
4. alteração das condições operacionais
5. possível impacto sobre o serviço.

Essa cadeia é um modelo de análise, não uma sequência inevitável. Seu valor está em ajudar a identificar onde uma falha cibernética pode atravessar a fronteira entre o ambiente digital e o processo físico.

Por essa razão, a avaliação de segurança precisa incluir consequências operacionais, e não apenas a quantidade de dados expostos ou o número de sistemas acessados.

Modelo Purdue e ISA/IEC 62443

Uma das referências utilizadas para compreender a organização de redes industriais é o modelo Purdue, associado à arquitetura de referência de sistemas de produção. Ele representa diferentes níveis funcionais, desde os dispositivos de campo e controladores até a supervisão, as operações industriais e os sistemas corporativos.

Em arquiteturas atuais, uma zona desmilitarizada industrial, ou DMZ industrial, pode ajudar a intermediar a troca de informações entre o ambiente industrial e as redes corporativas ou externas. Essa separação reduz a necessidade de conexões diretas e permite aplicar controles específicos a cada fluxo. Entretanto, a simples existência de uma DMZ não garante segurança. Regras de comunicação inadequadas, equipamentos vulneráveis e acessos administrativos excessivos podem preservar caminhos de ataque.

A ISA/IEC 62443 complementa essa abordagem ao estabelecer princípios e requisitos para a segurança de sistemas de automação e controle industrial. Entre seus conceitos estão a avaliação de riscos, a definição de zonas e condutos e a aplicação de requisitos de segurança compatíveis com as necessidades de cada ambiente. Na prática, algumas medidas merecem atenção:

• Identificar e documentar os equipamentos que conectam a planta a redes externas e serviços em nuvem.
• Restringir comunicações aos fluxos efetivamente necessários para a operação.
• Proteger interfaces administrativas e acessos remotos com autenticação forte, privilégios mínimos e registros de atividade.
• Monitorar alterações de configuração, atualizações de firmware e comportamentos anormais nos equipamentos de rede.
• Avaliar caminhos alternativos de comunicação e os riscos introduzidos por mecanismos de redundância.

A arquitetura deve ser analisada de ponta a ponta. Segmentar a rede reduz a exposição e limita a propagação de incidentes, mas precisa ser combinado com monitoramento, gestão de vulnerabilidades e mecanismos de continuidade operacional.

Inteligência de Ameaças Cibernéticas

A Inteligência de Ameaças Cibernéticas (CTI) contribui para transformar informações sobre técnicas, vulnerabilidades e comportamentos adversários em decisões defensivas. No contexto industrial, isso exige compreender as características dos equipamentos, os protocolos utilizados, as dependências entre sistemas e as consequências que uma interrupção pode produzir.

O MITRE ATT&CK for ICS oferece uma base para organizar táticas e técnicas associadas a ambientes de controle industrial. Sua matriz inclui comportamentos relacionados ao bloqueio de comunicações, à perda de disponibilidade e à interferência no controle de processos. Essa referência pode apoiar a construção de hipóteses de investigação e a identificação de lacunas de detecção. Entretanto, a associação de um incidente a uma técnica específica exige evidências. Uma falha de comunicação, isoladamente, não comprova a presença de um adversário.

Para investigar situações suspeitas, a CTI pode orientar a correlação de diferentes fontes de informação:

• Registros de roteadores, firewalls e gateways industriais.
• Alterações de configuração e sessões administrativas não habituais.
• Perdas, atrasos ou interrupções de pacotes fora dos padrões operacionais.
• Alarmes de processo e divergências entre comandos enviados e estados observados.
• Eventos de autenticação e atividades incomuns em acessos remotos.
• Informações sobre vulnerabilidades conhecidas dos equipamentos envolvidos.

A análise precisa distinguir fatos confirmados, hipóteses e lacunas de informação. Essa disciplina evita conclusões precipitadas e ajuda a direcionar a coleta de evidências para as questões mais relevantes.

Outro ponto importante é a relação entre segurança cibernética e engenharia de controle. Uma anomalia de rede pode ter origem em uma falha técnica, uma mudança operacional legítima ou uma ação maliciosa. A investigação deve considerar essas possibilidades antes de atribuir a causa do evento.

Resiliência operacional: detectar, conter e continuar operando

A proteção de infraestruturas críticas precisa ir além da prevenção. Mesmo com controles adequados, falhas de equipamentos, erros de configuração e incidentes cibernéticos podem ocorrer. A capacidade de manter condições seguras e recuperar os serviços deve fazer parte do planejamento.

Quatro frentes ajudam a estruturar essa capacidade.

• Prevenção. Manter inventários atualizados, avaliar vulnerabilidades, reduzir conexões desnecessárias e proteger os equipamentos que transportam comunicações operacionais. A gestão de riscos deve considerar tanto os ativos industriais quanto os componentes de rede e os serviços externos dos quais dependem.
• Detecção. Estabelecer uma linha de base do comportamento normal das comunicações e correlacionar dados de rede com eventos do processo. A detecção de atrasos, perdas seletivas de mensagens e divergências entre comandos e estados físicos pode ajudar a identificar incidentes que não seriam percebidos por ferramentas tradicionais de segurança de TI.
• Contenção. Definir procedimentos para isolar componentes comprometidos sem provocar riscos adicionais ao processo. A decisão de interromper uma conexão industrial precisa considerar as consequências para a segurança física, a continuidade do serviço e os mecanismos de proteção existentes.
• Continuidade e recuperação. Testar procedimentos de operação local, redundância, restauração de configurações e recuperação de equipamentos. Os testes devem verificar se as alternativas de contingência realmente mantêm o processo em condições seguras e se a retomada da conectividade não reintroduz o problema.

Essas medidas precisam ser desenvolvidas em conjunto por profissionais de segurança cibernética, engenharia, operação e gestão de riscos. Em ambientes industriais, uma resposta tecnicamente correta do ponto de vista da rede pode ser inadequada se desconsiderar os requisitos do processo físico.

O contexto brasileiro

No Brasil, a proteção de infraestruturas críticas deve ser analisada à luz da Política Nacional de Segurança de Infraestruturas Críticas, da Estratégia Nacional de Segurança de Infraestruturas Críticas e dos instrumentos aplicáveis a cada setor.

No setor elétrico, a Resolução Normativa ANEEL nº 964/2021 constitui uma referência regulatória de segurança cibernética para os agentes abrangidos por suas disposições. Sua aplicação deve ser examinada em conjunto com os requisitos e procedimentos vigentes do setor.

Para sistemas de água e saneamento, as referências técnicas internacionais, como os materiais da Agência de Proteção Ambiental dos Estados Unidos (EPA), podem apoiar avaliações de risco, preparação para incidentes e planejamento de recuperação. Sua utilização no Brasil deve respeitar as características regulatórias e operacionais locais. A adoção de referências internacionais não substitui a análise das obrigações nacionais. Ela oferece, contudo, uma base técnica para identificar boas práticas e estruturar controles compatíveis com o risco.

O desafio é integrar governança, engenharia e segurança cibernética em um modelo de proteção que considere a continuidade dos serviços essenciais como um objetivo operacional.

Conclusão

A pesquisa sobre o ICS-Sniper chama atenção para uma dimensão frequentemente subestimada da segurança industrial: a possibilidade de interferir em comunicações sem necessariamente quebrar a criptografia ou comprometer diretamente os controladores.

O caso reforça que a segurança de infraestruturas críticas depende de múltiplas camadas de proteção. Criptografia, segmentação, segurança dos equipamentos de rede, monitoramento comportamental e mecanismos de continuidade possuem funções complementares. Nenhum desses controles, isoladamente, assegura a disponibilidade de um processo industrial. A proteção precisa considerar os caminhos de comunicação, as dependências tecnológicas e as consequências físicas que uma falha pode produzir.

Nesse cenário, a CTI oferece uma contribuição importante ao conectar pesquisas, vulnerabilidades, técnicas adversárias e evidências operacionais. Seu valor está em apoiar decisões fundamentadas, priorizar riscos e orientar a investigação antes que uma anomalia se transforme em uma interrupção relevante.

A questão estratégica não é apenas saber se os dados estão protegidos durante a transmissão. É também verificar se os sistemas conseguem reconhecer uma comunicação comprometida, responder com segurança e preservar a continuidade das operações.

Em infraestruturas críticas, a segurança cibernética precisa proteger não apenas a informação que circula, mas também a capacidade de manter os serviços essenciais funcionando de maneira segura e confiável.

Referências

1. Homeland Security Newswire. Researchers uncover new cyber threat to water and energy networks. 16 out. 2026.
2. National Institute of Standards and Technology (NIST). Guide to Operational Technology (OT) Security. Special Publication 800-82, Revision 3, setembro de 2023.
3. International Society of Automation (ISA) / International Electrotechnical Commission (IEC). Série ISA/IEC 62443 — Security for Industrial Automation and Control Systems.
4. MITRE. ATT&CK for Industrial Control Systems. Base de conhecimento sobre táticas e técnicas de adversários em ambientes industriais.
5. U.S. Environmental Protection Agency (EPA). Cybersecurity for the Water Sector. Orientações para avaliação de riscos, preparação e resposta a incidentes em sistemas de água e saneamento.
6. Brasil. Decreto nº 9.573, de 22 de novembro de 2018. Política Nacional de Segurança de Infraestruturas Críticas.
7. Brasil. Decreto nº 10.569, de 9 de dezembro de 2020. Estratégia Nacional de Segurança de Infraestruturas Críticas.
8. Brasil. Decreto nº 11.200, de 15 de setembro de 2022. Plano Nacional de Segurança de Infraestruturas Críticas.
9. Agência Nacional de Energia Elétrica (ANEEL). Resolução Normativa nº 964, de 14 de dezembro de 2021. Política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.

Sinopse: A fiscalização da ANPD, a proteção de crianças e adolescentes e o uso da inteligência artificial exigem dos órgãos estaduais uma gestão de dados capaz de proteger direitos, fundamentar decisões administrativas e demonstrar o cumprimento da legislação.

A proteção de dados pessoais ocupa um espaço cada vez mais relevante na gestão pública. O Mapa de Temas Prioritários da Autoridade Nacional de Proteção de Dados (ANPD) para o biênio 2026–2027 aponta quatro áreas de atenção:

• os direitos dos titulares;
• a proteção de crianças e adolescentes no ambiente digital;
• o tratamento de dados pelo Poder Público; e
• o uso da inteligência artificial e de tecnologias emergentes.

Esses temas têm implicações diretas para a Administração Pública estadual. Além de cumprir a Lei Geral de Proteção de Dados Pessoais (LGPD), os órgãos precisam conciliar a proteção dos cidadãos com as suas competências legais, a transparência administrativa, a continuidade dos serviços e a responsabilidade pelo uso dos recursos públicos.

Nesse cenário, a publicação de políticas e normas internas, embora necessária, não resolve todos os problemas. A Administração precisa demonstrar como as regras são aplicadas no cotidiano, quem responde por cada atividade e quais controles existem para evitar irregularidades. Essa comprovação depende de processos bem definidos, registros confiáveis e responsabilidades distribuídas de acordo com as atribuições de cada área. Algumas prioridades merecem atenção dos gestores estaduais:

• o atendimento aos direitos dos titulares;
• a proteção de crianças e adolescentes; e
• a governança da inteligência artificial.

O tratamento de dados pelo Poder Público deve ser considerado em todas elas, pois envolve questões jurídicas, administrativas e tecnológicas que não podem ser resolvidas isoladamente.

1. Direitos dos titulares: atendimento organizado e responsabilidades definidas

Os artigos 18 e 19 da LGPD estabelecem direitos dos titulares e regras para o atendimento de determinadas solicitações. Na Administração Pública estadual, o cumprimento dessas obrigações pode ser trabalhoso. As informações estão distribuídas entre sistemas legados, bases de dados independentes e diferentes unidades administrativas. Em alguns casos, o atendimento também depende de informações mantidas por outros órgãos ou mesmo empresas contratadas.

Por esse motivo, um endereço eletrônico ou um canal de atendimento, por si só, não garante o cumprimento da lei. O órgão precisa de um procedimento que permita registrar cada solicitação, identificar os dados envolvidos, encaminhar a demanda às unidades responsáveis e acompanhar os prazos até a conclusão.

O encarregado pelo tratamento de dados pessoais ou os pontos focais dos órgãos tem papel importante nessa articulação, especialmente na orientação das unidades e no acompanhamento das medidas necessárias. Sua atuação, contudo, não substitui as responsabilidades das áreas que coletam, utilizam, armazenam ou compartilham as informações. A participação da tecnologia da informação, da segurança da informação, das áreas finalísticas e da assessoria jurídica também deve ocorrer conforme a natureza de cada demanda.

Os próprios registros de atendimento podem servir como evidência de conformidade. Datas de recebimento e resposta, encaminhamentos, justificativas e comunicações com os titulares permitem verificar se os procedimentos foram observados e identificar eventuais falhas. Indicadores como o percentual de solicitações atendidas no prazo, o tempo médio de resposta e o volume de demandas pendentes ajudam a avaliar os resultados e a localizar pontos de atraso. O desafio está em assegurar que qualquer cidadão consiga exercer seus direitos por meio de um processo institucional confiável, mesmo quando as informações estão distribuídas entre diferentes unidades e sistemas.

2. Crianças e adolescentes: proteção incorporada aos serviços digitais

Serviços estaduais de educação, saúde, assistência social, segurança pública e inclusão podem tratar dados pessoais de crianças e adolescentes em diferentes etapas do atendimento. A proteção desses dados exige atenção às características dos titulares, às finalidades do tratamento e às consequências de eventual exposição ou utilização inadequada das informações.

O artigo 14 da LGPD determina que o tratamento de dados pessoais de crianças e adolescentes observe seu melhor interesse. A Lei nº 15.211/2025, conhecida como ECA Digital, também estabelece medidas de proteção de crianças e adolescentes no ambiente digital. A aplicação dessas regras deve considerar as características de cada serviço e as disposições legais pertinentes.

Na Administração Pública, a análise não pode se limitar à existência de uma autorização dos responsáveis. CAbe a verificação da competência legal do órgão, a finalidade do tratamento, a base legal aplicável e as exigências específicas de proteção dos menores. O consentimento dos pais ou responsáveis legais não é uma exigência exigível para todas as operações, pois sua necessidade depende das circunstâncias e do enquadramento jurídico de cada caso.

A proteção precisa fazer parte do planejamento dos serviços, desde a concepção de uma nova solução até a revisão de plataformas já utilizadas. A coleta deve se restringir aos dados necessários para a finalidade prevista. Os acessos precisam ser compatíveis com as atribuições dos usuários, e os compartilhamentos devem ter justificativa e controles adequados.

Os contratos com fornecedores de tecnologia merecem atenção especial. Plataformas educacionais, aplicativos, sistemas de atendimento e serviços terceirizados podem envolver diferentes agentes no tratamento das informações. O órgão precisa conhecer as responsabilidades de cada parte, as condições de acesso aos dados, as medidas de segurança e os procedimentos previstos para incidentes.

A documentação dessas decisões permite demonstrar como os riscos foram avaliados e quais medidas foram adotadas. Registros das bases legais, avaliações de risco, controles de acesso e justificativas para o compartilhamento devem acompanhar a gestão do serviço.

A proteção de crianças e adolescentes, portanto, não deve ficar restrita a avisos de privacidade ou documentos contratuais. Ela precisa orientar as decisões administrativas e técnicas que determinam como os serviços públicos digitais funcionam.

3. Inteligência artificial: controle sobre o uso de dados e as decisões automatizadas

A inteligência artificial oferece oportunidades para melhorar a análise de informações, reduzir tarefas repetitivas e ampliar a capacidade de atendimento dos órgãos públicos. Ao mesmo tempo, seu uso pode gerar problemas relacionados à discriminação, à falta de transparência, à utilização inadequada de dados pessoais e à dificuldade de contestar decisões que afetem os cidadãos.

O risco aumenta quando essas ferramentas influenciam a concessão de benefícios, a definição de prioridades de atendimento, as atividades de fiscalização ou outras decisões com consequências relevantes para as pessoas. Nessas situações, a Administração pública precisa compreender como a tecnologia é utilizada, quais informações alimentam os sistemas e quais efeitos podem decorrer de seus resultados.

A LGPD oferece referências importantes para esse controle. O artigo 11 disciplina o tratamento de dados pessoais sensíveis. O artigo 20 trata do direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses dos titulares. O artigo 38 permite que a ANPD determine a elaboração de relatório de impacto à proteção de dados pessoais.

A adoção de inteligência artificial pelos órgãos estaduais deve ser acompanhada de regras claras sobre finalidade, responsabilidade, acesso às informações e supervisão. Também é necessário manter registros que permitam compreender as decisões relevantes, avaliar os resultados e apurar eventuais falhas.

Um inventário das aplicações de inteligência artificial utilizadas pela instituição pode organizar esse trabalho. O levantamento deve identificar as ferramentas em uso, as áreas responsáveis, os dados tratados, as finalidades e os possíveis impactos sobre os cidadãos. Com essas informações, o órgão consegue estabelecer prioridades, avaliar riscos e definir os controles necessários para cada aplicação.

A avaliação de impacto antes da implantação também pode ajudar a prevenir problemas, principalmente nos sistemas com maior potencial de afetar direitos. Essa medida deve ser adotada conforme o risco e o enquadramento jurídico da operação, sem pressupor que toda aplicação de inteligência artificial esteja automaticamente sujeita à elaboração de relatório de impacto.

Outro ponto de atenção está no uso cotidiano de ferramentas de inteligência artificial generativa pelos servidores. O envio de documentos administrativos, dados pessoais ou informações protegidas por sigilo a plataformas externas pode criar riscos que nem sempre são percebidos pelo usuário. Orientações internas, critérios de uso e medidas técnicas de proteção precisam considerar essa realidade.

A governança da inteligência artificial não depende apenas da escolha de ferramentas seguras. Ela exige que a instituição conheça as aplicações utilizadas, estabeleça limites para seu uso e mantenha condições de verificar os resultados e responder por suas decisões.

Da conformidade à capacidade de demonstrar resultados

As três prioridades apresentam um desafio comum, que é fazer com que a proteção de dados seja parte efetiva da gestão pública, em vez de permanecer restrita a normas e documentos institucionais. Essa mudança exige a participação da alta administração, da Comissão de Proteção de dados ou , em sua ausência, do encarregado pelo tratamento de dados pessoais, das áreas de tecnologia e segurança da informação, das unidades finalísticas, da assessoria jurídica, da gestão contratual e do controle interno. Cada área deve contribuir dentro de suas competências, com responsabilidades definidas e mecanismos de articulação que evitem lacunas na execução dos controles.

Um diagnóstico institucional pode identificar o que já está funcionando e quais medidas ainda precisam ser adotadas. O levantamento deve abranger processos administrativos, sistemas próprios, soluções contratadas, serviços em nuvem e compartilhamentos de dados com outras instituições. A partir desse quadro, será possível estabelecer prioridades, designar responsáveis, definir prazos e acompanhar a execução das medidas corretivas.

A quantidade de políticas publicadas não é suficiente para avaliar a maturidade de uma instituição. O aspecto mais relevante é a capacidade de demonstrar que os procedimentos funcionam, que os riscos são tratados de maneira adequada e que as decisões administrativas respeitam os direitos dos cidadãos.

A preparação pdeve partir dessa perspectiva. A proteção de dados pessoais precisa integrar a governança, a gestão de riscos e o planejamento dos serviços estaduais. Com responsabilidades bem distribuídas, controles verificáveis e registros consistentes, para que a Administração Pública esteja mais preparada para responder às exigências legais e de fiscalização, além de fortalecer a confiança da sociedade nos serviços que presta.

Neste trabalho iremos discutir sobre como vulnerabilidades, identidade, confiança, supply chain e inteligência artificial estão convergindo para produzir operações cibernéticas mais rápidas e complexas.

Iniciamos com a afirmação de que a análise convencional de vulnerabilidades frequentemente termina no momento em que identifica a falha. No entanto, a análise de ameaças precisa começar justamente neste momento.

Vamos pensar o óbvio: Uma vulnerabilidade crítica pode permitir execução remota. Um bypass de autenticação pode permitir acesso a um sistema. Uma leitura arbitrária de arquivos pode expor informações sensíveis. Mas nenhuma dessas situações, isoladamente, descreve toda a capacidade operacional que pode ser obtida por um adversário.Portanto, a pergunta relevante para o time de CTI não é apenas:

“Qual vulnerabilidade foi identificada?”

A questão deve ser:

“O que um adversário consegue fazer com esse acesso?”

Essa mudança de perspectiva ajuda a explicar uma série de incidentes recentes. Em vez de eventos isolados, eles podem ser observados como partes de uma mesma cadeia:

Initial Access → Execution → Credential Access → Privilege Escalation → Persistence → Discovery → Lateral Movement → Collection → Exfiltration/Impact.

O ponto central é que o acesso inicial raramente representa o objetivo final.

Vamos agora considerar o recente caso do GitLab CVE-2026-85706. A falha é uma vulnerabilidade de path traversal não autenticada, classificada como CVSS 10.0. A exploração permite ao atacante fornecer um caminho arbitrário para que o servidor GitLab leia um arquivo no próprio sistema. A documentação da plataforma deixa uma distinção importante: o servidor pode ler o arquivo durante a exploração, mas isso não significa automaticamente que o conteúdo tenha sido efetivamente entregue ao atacante. É necessário investigar os indicadores apropriados para determinar eventual exfiltração.

Essa distinção é particularmente importante para CTI. Portanto, o analista não deve saltar diretamente de:

“Existe uma vulnerabilidade crítica”

para:

“Os segredos foram comprometidos.”

O raciocínio precisa seguir a cadeia:

Vulnerabilidade → leitura de arquivo → possível exposição de segredo → investigação de exfiltração → acesso subsequente.

O que interessa, portanto, é a capacidade potencial e a capacidade efetivamente observada.

A arquitetura do ativo modifica a análise sobre o acesso indevido. Esse entendimento pode ser aplicado ao Cisco Identity Services Engine. Em 16 de setembro de 2026, a Cisco publicou o alerta sobre a CVE-2026-76460, uma vulnerabilidade crítica que permite a um atacante remoto e não autenticado contornar a autenticação por meio de uma API do ISE. A fabricante classificou a falha com CVSS 10.0 e informou que não existem soluções alternativas, posteriormente, a exploração passou a ser tratada como ativa. Aqui cabe uma observação importante, o dado importante para CTI não é somente a pontuação de severidade, mas o papel do ativo e o impacto de seu comprometimento. O ISE não é simplesmente mais um servidor exposto. Ele integra mecanismos relacionados a identidade e controle de acesso.

Assim, a análise precisa considerar:

Qual ativo foi comprometido?

Que confiança esse ativo concentra?

Que identidades, políticas ou recursos dependem dele?

Que posição ele ocupa na arquitetura?

Uma mesma técnica de exploração pode produzir consequências muito diferentes dependendo do “ponto” em que ocorre.

Prosseguindo em nossa análise, historicamente, a defesa concentrou grande parte da atenção no host: proteger o computador, o servidor e a estação de trabalho. Essa visão continua válida, mas é atualmente considerada insuficiente. O atacante moderno também busca:

• credenciais;
• tokens de sessão;
• chaves de API;
• autorizações OAuth;
• credenciais privilegiadas;
• identidades federadas;
• mecanismos de autenticação persistente.

A razão é simples, a identidade tornou-se um ativo operacional, pois, depois que uma identidade legítima é obtida, o adversário pode deixar de depender exclusivamente da exploração técnica. Ele passa a operar dentro do ambiente por meio de mecanismos que o próprio ambiente reconhece como legítimos. A pergunta de CTI muda então de:

“Qual máquina foi comprometida?”

para:

“Qual identidade passou a ser controlada e o que ela pode fazer?”

Esse entendimento é essencial para interpretar ataques modernos.

A confiança pode ser explorada em diferentes camadas.

• Human Trust: O atacante convence uma pessoa a executar uma ação. O ClickFix é um exemplo direto. O CTIR Gov descreveu campanhas nas quais páginas aparentam apresentar CAPTCHA, erro ou atualização e orientam a vítima a abrir o “Executar” do Windows e colar um comando que inicia um processo malicioso.
• Brand Trust: A marca ou plataforma conhecida funciona como elemento de credibilidade. A vítima reconhece o nome e reduz sua desconfiança.
• Software Trust: Plugins, extensões, bibliotecas e componentes utilizados por aplicações legítimas podem ampliar a superfície de ataque.
• Identity Trust: OAuth, SSO, sessões e tokens permitem que uma ação aparentemente legítima seja realizada dentro de uma relação de confiança previamente estabelecida.
• Infrastructure Trust: Serviços legítimos, APIs, cloud e infraestrutura corporativa podem ser utilizados depois que o adversário consegue adquirir uma identidade ou acesso válido.

A consequência é uma superfície de ataque que já não pode ser descrita apenas como “Internet exposta”. A confiança transformou-se em superfície de ataque. Ela inclui relações de confiança. O conceito de attack chaining ajuda a interpretar esses eventos. Em vez de:

CVE → ataque

temos:

Exploit → acesso → descoberta → segredo → identidade → privilégio → persistência → movimento → impacto.

A campanha contra PaperCut é particularmente relevante nesse contexto, pois segundo a GreyNoise, um adversário utilizou centenas de agentes de IA para desenvolver, testar e executar ataques contra instalações vulneráveis do PaperCut NG/MF. A campanha comprometeu pelo menos 440 instâncias associadas a 395 organizações em 48 países. Os agentes foram utilizados em diferentes etapas da operação, desde a preparação do exploit até a expansão em escala.

Em alguns casos observados pela pesquisa, o intervalo entre o acesso inicial e a obtenção de privilégios elevados foi de poucos minutos. Em um dos casos divulgados, uma organização teria passado do acesso inicial a domínio administrativo em sete minutos. Isso muda a relevância operacional da vulnerabilidade. com o Attack chaining, a unidade de análise passa a ser a cadeia e, não apenas, a existência de um exploit para uma CVE. Sendo que a velocidade com que esse exploit pode ser transformado em uma operação faz toda a diferença.

Durante muito tempo, o modelo mental de uma operação cibernética podia ser representado como:

Reconhecimento → desenvolvimento → teste → exploração → persistência.

A automação altera esse intervalo, pois um conjunto de agentes pode executar tarefas paralelas:

Reconhecimento

↓

geração e adaptação

↓

teste

↓

execução

↓

nova tentativa

↓

escala

O caso PaperCut é relevante justamente porque a pesquisa da GreyNoise descreve agentes sendo utilizados em paralelo para construção de exploits, preparação de alvos e operações de comprometimento. A consequência para a defesa é direta, pois o tempo entre descoberta e exploração pode diminuir. Isso pressiona processos defensivos tradicionalmente baseados em ciclos mais longos de identificação, avaliação e correção. Nesse momento precisamos entender que o Agentic AI não é simplesmente “mais uma ferramenta”.

Inicialmente, torna-se necessário distinguir alguns níveis.

• AI-assisted: O humano decide e a IA auxilia.
• AI-augmented: A IA executa partes da operação.
• AI-orchestrated: A IA coordena diferentes ferramentas e fluxos.

Quando falamos da Agentic AI, o sistema recebe um objetivo e executa uma sequência de ações com menor intervenção humana. Essa diferença é relevante porque a unidade operacional deixa de ser uma única tarefa. O agente pode observar um resultado, interpretar a falha, alterar a estratégia e tentar novamente. Esse comportamento iterativo que aproxima o uso de IA de um componente operacional. No caso PaperCut, a GreyNoise relatou o emprego de centenas de agentes e fluxos paralelos para escalar o comprometimento.

O debate, portanto, não deveria ser reduzido a “IA usada por criminosos”. A pergunta mais útil é:

Quais etapas da cadeia passaram a ser automatizáveis?

Não podemos subestimar a relevância do Supply chain e sua quebra de confiança, pois a mesma lógica anterior aparece quando analisamos software de terceiros. Um componente pode ser legítimo, atualizado e amplamente utilizado. Ainda assim, sua posição dentro da arquitetura pode transformá-lo em um ponto de concentração de risco. A cadeia pode ser representada assim:

Fornecedor → software → biblioteca → plugin → dependência → aplicação → organização.

Quanto mais autonomia o componente possui e quanto maiores forem suas permissões, maior pode ser a consequência da quebra dessa relação de confiança. Essa discussão ganha relevância adicional com agentes de IA, porque um plugin ou extensão utilizado por um agente pode adquirir capacidade muito maior do que teria quando empregado como simples componente passivo. Por isso, supply chain deve ser analisada não apenas como procedência do código, mas como:

“O que este componente consegue fazer dentro do ambiente?”

Existe ainda uma consequência mais ampla. O acesso digital pode alcançar processos físicos. Em 2026, autoridades norte-americanas alertaram para ataques contra controladores lógicos programáveis expostos à Internet no setor de água e saneamento, associados a interrupções ou degradações operacionais. Aqui a cadeia ganha outra dimensão:

IT → identidade → gerenciamento → OT → processo físico.

Isso demonstra por que CTI não deve avaliar uma ameaça apenas pelo sistema diretamente comprometido, necessitamos perguntar:

qual processo depende desse sistema?

Um ataque contra um servidor pode ser um incidente de TI. Um ataque contra um sistema que controla um processo operacional pode transformar o mesmo evento em um problema de continuidade, segurança ou comprometer uma infraestrutura crítica.

A nossa análise até aqui aponta para mudanças na forma como se trabalha a inteligência de ameaças cibernéticas. Esse cenário sugere uma mudança de foco.

De:

Qual CVE apareceu hoje?

Para:

Qual capacidade operacional essa ameaça pode obter?

Uma matriz de análise pode começar assim:

Esse modelo também ajuda a separar fatos de hipóteses.

• Uma vulnerabilidade pode existir sem exploração.
• Uma exploração pode ocorrer sem exfiltração comprovada.
• Uma credencial pode ser obtida sem privilégio administrativo.
• Um acesso privilegiado pode não resultar em impacto.

Para CTI, essas diferenças são decisivas.

Os casos analisados apontam para uma arquitetura conceitual mais ampla:

Vulnerabilidade

↓

Execução / acesso

↓

Segredo

↓

Identidade

↓

Privilégio

↓

Persistência

↓

Movimentação

↓

Infraestrutura

↓

Automação / IA

↓

Impacto

Mas duas forças atravessam toda a cadeia:

• Confiança; e
• Automação.

A confiança permite entrar, permanecer ou parecer legítimo. A automação permite repetir, acelerar e ampliar. Essa combinação merece atenção.

A partir do tratado até aqui, podemos inferir que a existência de uma vulnerabilidade crítica continua sendo um indicador relevante, mas ela representa apenas uma parte da anatomia em análise. O verdadeiro valor analítico está em compreender a transformação:

falha → acesso → segredo → identidade → privilégio → capacidade operacional → impacto.

A campanha contra PaperCut mostra como a automação pode acelerar essa transformação em escala. O caso Cisco demonstra que uma falha em um componente relacionado à identidade pode ampliar a importância estratégica do acesso. O GitLab mostra por que a análise precisa distinguir leitura potencial de exfiltração efetivamente comprovada. O ClickFix demonstra que a confiança humana pode substituir mecanismos técnicos tradicionais de entrada. Por fim, os incidentes em ambientes OT mostram que a cadeia pode terminar muito além da máquina originalmente comprometida. Por isso, o indicador mais importante de uma ameaça não é necessariamente a existência de uma vulnerabilidade crítica, podemos afirmar que é a combinação entre acesso, identidade, privilégio, confiança, persistência, automação e velocidade operacional.

A defesa precisa acompanhar a cadeia, não apenas o evento. Fiquem seguros e sejam analíticos quando se tratar de olhar com olhos de inteligência.

A atualização crítica da Oracle de julho de 2026 chamou a atenção da comunidade de segurança não apenas pelo número recorde de 1.449 correções, mas pelo que esse volume representa: a Inteligência Artificial está mudando a forma como vulnerabilidades são descobertas. Ao mesmo tempo em que fortalece a defesa, ela também cria novos desafios para as equipes de segurança, que precisam decidir rapidamente quais riscos tratar primeiro.

Durante muitos anos, a gestão de vulnerabilidades era vista como um processo relativamente previsível. Os fabricantes publicavam seus boletins de segurança, as equipes avaliavam o impacto, planejavam uma janela de manutenção e aplicavam as correções conforme a criticidade dos ativos.

Todavia, esse modelo está mudando. Em julho de 2026, o Critical Patch Update (CPU) da Oracle trouxe absurdos 1.449 novos patches distribuídos por centenas de produtos, incluindo Oracle Database, Fusion Middleware, E-Business Suite e diversos componentes de infraestrutura. O volume impressiona, mas o verdadeiro recado está por trás desses números: a descoberta de vulnerabilidades está entrando em uma nova era impulsionada pela Inteligência Artificial.

Para quem atua como CISO, gestor de risco ou analista de cibersegurança, essa mudança merece atenção. A IA deixou de ser apenas uma ferramenta para responder incidentes ou auxiliar na análise de logs. Hoje ela já participa da identificação automática de falhas de programação, revisa grandes volumes de código e ajuda pesquisadores a localizar vulnerabilidades que poderiam permanecer invisíveis durante anos. Trabalhos acadêmicos recentes e iniciativas como o DARPA AI Cyber Challenge demonstram que agentes inteligentes já conseguem apoiar a descoberta e validação de vulnerabilidades em escala cada vez maior.

Esse avanço poderia representar uma excelente notícia para quem desenvolve software, mas existe outro lado dessa história, pois quando um fornecedor publica milhares de correções simultaneamente, ele também divulga, de forma indireta, informações suficientes para que pesquisadores, e também criminosos, iniciem processos de engenharia reversa dos patches. Com apoio de IA, esse trabalho tende a ser muito mais rápido do que no passado. Além disso, indica falhas no desenvolvimento das soluções, o que gera questionamentos se os grandes desenvolvedores realmente aplicam as melhores práticas de desenvolvimento seguro e Secure by Desing.

A janela de exposição (window of exposure) surge enquanto a organização ainda está avaliando impactos, negociando períodos de manutenção ou aguardando homologações. Durante isso,  atacantes podem utilizar ferramentas automatizadas para comparar versões corrigidas e identificar exatamente qual vulnerabilidade foi eliminada. Em muitos casos, isso acelera a criação de exploits conhecidos como “1-day”, desenvolvidos logo após a publicação oficial do patch. O problema, portanto, já não é apenas descobrir vulnerabilidades, mas também o quanto conseguiremos decidir sobre quais delas realmente colocam o negócio em risco e priorizar a implementação de suas correções.

No cenário descrito, onde centenas ou milhares de correções são divulgadas simultaneamente, tentar aplicar tudo imediatamente deixa de ser uma estratégia realista. Surge um fenômeno conhecido entre equipes de segurança como patch fatigue, ou fadiga de patches: excesso de demandas, filas crescentes, recursos limitados e dificuldade para estabelecer prioridades. A pergunta deixa de ser:

“Quantos patches precisamos instalar?”

E passa a ser:

“Quais patches reduzem o maior risco para a organização?”

Essa mudança exige uma gestão muito mais orientada por inteligência do que por volume. Uma priorização madura considera diversos fatores simultaneamente:

• o ativo está exposto à Internet?
• existe exploração ativa conhecida?
• há vulnerabilidades catalogadas pela CISA como exploradas em ambiente real?
• o impacto para o negócio é elevado?
• existe exploração pública ou PoC disponível?
• qual a facilidade de exploração indicada pelo CVSS e por outras métricas contextuais.

Nenhuma dessas perguntas pode ser respondida apenas olhando a pontuação CVSS. Nesse momento entram em cena, o uso de Threat Intelligence, ASM e inventário de ativos, pois a gestão contínua de exposição passa a fazer parte da análise e solução.

Outro ponto importante é compreender que a IA democratiza capacidades. Se ela permite que fabricantes encontrem vulnerabilidades mais rapidamente, também reduz barreiras para pesquisadores independentes e, infelizmente, para agentes maliciosos. A comunidade de segurança já discute esse novo equilíbrio, observando que ferramentas baseadas em LLMs podem acelerar tanto a identificação quanto a correção de falhas, enquanto também aumentam o volume de análises e pesquisas sobre vulnerabilidades recém-divulgadas.

Ao chegar neste ponto da análise, podemos afirmar que o tratado não significa que a Inteligência Artificial seja um problema. Naverdade, muito pelo contrário, ela tende a se tornar um dos principais aliados dos programas modernos de Vulnerability Management. Apenas como exemplo, a IA possibilita termos modelos capazes de correlacionar CVEs, inventários, inteligência de ameaças, exposição externa e criticidade dos ativos, que poderão auxiliar equipes a decidir, em minutos, aquilo que hoje leva dias ou semanas para ser analisado manualmente.

Talvez essa seja a principal lição deixada pelo Oracle CPU de julho de 2026. O recorde de 1.449 patches não representa necessariamente que o software esteja menos seguro. Pode significar exatamente o contrário, que estamos entrando em uma fase em que as vulnerabilidades serão descobertas em uma velocidade sem precedentes graças à automação e à Inteligência Artificial. O verdadeiro diferencial competitivo não será a capacidade de instalar milhares de correções, mas de identificar rapidamente quais delas representam risco real para o negócio e agir antes que adversários façam o mesmo.

No entanto, cabe sempre reforçar que a segurança cibernética continuará sendo uma disputa entre velocidade, inteligência e capacidade de adaptação.

Infere-se, portanto, que o cenário da cibersegurança está passando por uma transformação significativa. A Inteligência Artificial deixou de ser uma promessa e passou a integrar o ciclo completo da gestão de vulnerabilidades, desde a identificação de falhas até a priorização das correções. Essa evolução amplia a capacidade de defesa das organizações, mas também acelera a atuação de agentes maliciosos que utilizam as mesmas tecnologias para reduzir o tempo entre a divulgação de uma vulnerabilidade e sua exploração.

Nesse contexto, a maturidade de um programa de segurança não será medida apenas pela quantidade de patches aplicados, mas pela capacidade de combinar inteligência de ameaças, conhecimento do ambiente, automação e gestão de riscos para tomar decisões rápidas e assertivas.

Mais do que acompanhar a evolução tecnológica, CISOs e analistas precisam desenvolver processos que permitam transformar informação em ação. A Inteligência Artificial deve ser encarada como um multiplicador de capacidades humanas, potencializando a experiência, o pensamento crítico e a capacidade de tomada de decisão.

A velocidade com que vulnerabilidades são descobertas continuará aumentando. O diferencial das organizações resilientes será sua capacidade de correlacionar inteligência, contexto e automação para reduzir a janela de exposição e responder aos riscos de forma eficiente.

Fiquem seguros e utilizem a Inteligência Artificial para evoluir suas técnicas de defesa. A tecnologia continuará evoluindo, e as organizações que aprenderem a utilizá-la de forma estratégica estarão mais preparadas para enfrentar os desafios da segurança cibernética.

As referências abaixo serviram como base técnica e conceitual para a elaboração deste artigo e são recomendadas para aprofundamento do tema.

Oracle Corporation. Critical Patch Update Advisory – July 2026. Disponível em: https://www.oracle.com/security-alerts/cpujul2026.html

Oracle Corporation. Oracle Security Alerts. Disponível em: https://www.oracle.com/security-alerts/

Cybersecurity and Infrastructure Security Agency (CISA). Known Exploited Vulnerabilities (KEV) Catalog. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

DARPA AI Cyber Challenge (AIxCC). Competição sobre Inteligência Artificial aplicada à descoberta e correção automatizada de vulnerabilidades. Disponível em: https://aicyberchallenge.com/semifinal-competition/

The Hacker News. Google’s AI Tool Big Sleep Finds Zero-Day Vulnerability in SQLite. Disponível em: https://thehackernews.com/2024/11/googles-ai-tool-big-sleep-finds-zero.html

CSO Online. Oracle’s July Update Fixes Ten Critical Vulnerabilities in Fusion Middleware. Disponível em: https://www.csoonline.com/article/4200184/oracles-july-update-fixes-ten-10-0-vulnerabilities-in-fusion-middleware.html

GitHub Security Advisories. Base pública de avisos de segurança e vulnerabilidades. Disponível em: https://github.com/advisories

National Vulnerability Database (NVD) – NIST. Base oficial de vulnerabilidades e métricas CVSS. Disponível em: https://nvd.nist.gov/

FIRST – Forum of Incident Response and Security Teams. Common Vulnerability Scoring System (CVSS). Disponível em: https://www.first.org/cvss/

Nota: As análises e reflexões apresentadas neste artigo foram elaboradas a partir de informações públicas disponíveis nas referências acima e representam uma interpretação técnica do autor sobre as tendências relacionadas à gestão de vulnerabilidades, Inteligência Artificial aplicada à cibersegurança e gerenciamento de riscos.

Um disparo indevido no sistema Defesa Civil Alerta expôs a superfície de ataque de uma infraestrutura crítica baseada em redes móveis 4G e 5G, Cell Broadcast e integrações entre governo e operadoras. Este artigo analisa o incidente sob a ótica de arquitetura provável desse sistema, segurança cibernética e telecomunicações.

Na madrugada de sábado, um disparo indevido do sistema Defesa Civil Alerta provocou o envio de mensagens de emergência para diversas regiões do Brasil, sem que houvesse um evento emergencial real correspondente. Segundo nota oficial, a plataforma foi retirada do ar após a identificação de um acesso não autorizado e a Polícia Federal foi acionada para investigação. Embora o episódio tenha sido inicialmente tratado como “possível invasão cibernética”, a análise técnica exige uma leitura mais ampla: trata-se de um sistema altamente distribuído, dependente de múltiplas camadas de infraestrutura, desde aplicações governamentais até redes móveis 4G e 5G operadas por “telecoms”.

O Defesa Civil Alerta é baseado no conceito de Cell Broadcast Service (CBS), padronizado em redes móveis LTE e 5G. Diferente de SMS tradicional, que é ponto a ponto, o Cell Broadcast funciona como um broadcast geográfico, pois a mensagem é injetada na rede da operadora e distribuída para todos os dispositivos conectados a células específicas da antena. Isso reduz latência e garante entrega mesmo em cenários de congestionamento.

Do ponto de vista de arquitetura, o fluxo típico envolve:

• Interface de autorização e gestão de alertas (IDAP ou equivalente institucional)
• Sistema central de decisão da Defesa Civil
• Gateways de integração com operadoras móveis
• Infraestrutura de rede 4G/5G (eNodeB/gNodeB)
• Camada de broadcast para dispositivos finais

Essa cadeia cria uma superfície de ataque ampla e distribuída, onde a segurança não depende de um único ponto, mas da coerência entre autenticação, autorização e integração entre sistemas heterogêneos. Podemos observar que, segundo documentação oficial de concepção de sistemas de alerta, esses sistemas são estruturados em quatro pilares: monitoramento de risco, análise, decisão e comunicação de alerta. O incidente em questão afeta diretamente o último pilar, que é a comunicação, mas pode ter origem em qualquer ponto anterior, incluindo a camada a integração com operadoras.

A nota oficial indica que o sistema foi “acionado remotamente por alguém não autorizado”, o que sugere uma quebra de controle de acesso lógico. Em arquiteturas modernas, isso pode ocorrer por diferentes vetores:

• Credenciais comprometidas em sistemas administrativos
• Token de API exposto ou mal protegido
• Falha em autenticação entre sistemas federados
• Exploração de vulnerabilidade em interface web ou middleware
• Má configuração em gateways de integração com operadoras

Um ponto crítico aqui é que sistemas como o IDAP e plataformas de alerta não operam isoladamente: eles são integrados a múltiplos serviços e dependem de autenticação forte entre domínios administrativos diferentes. Qualquer falha nesse encadeamento pode permitir a emissão indevida de alertas válidos do ponto de vista técnico da rede, mas inválidos do ponto de vista de governança.

Outro aspecto relevante é o papel das redes 4G e 5G. O Cell Broadcast é implementado diretamente na camada de controle da rede móvel, o que significa que, uma vez autorizado o envio, a distribuição é extremamente eficiente e praticamente imune a congestionamentos. No entanto, essa eficiência também implica um risco: a mensagem não passa por validações individuais em cada dispositivo. Ou seja, o controle precisa ser rigorosamente feito na origem. Em termos de segurança, isso caracteriza um modelo de alto impacto e baixa granularidade de controle no endpoint, o que reforça a necessidade de proteção forte na camada de backend.

A presença de um alerta classificado como “Alerta Extremo” com conteúdo fora do padrão esperado, incluindo termos não técnicos como “misantropia”, indica possível comprometimento não apenas do canal de envio, mas também da integridade do payload da mensagem. Isso sugere que o atacante teve capacidade de manipular o conteúdo estruturado do alerta, e não apenas acioná-lo.

Nesse contexto, a análise forense digital torna-se essencial. A perícia normalmente se concentra em:

• Logs de autenticação (quem acessou o sistema e quando)
• Trilha de auditoria de ações administrativas
• Integridade de APIs e tokens de sessão
• Eventual movimentação lateral dentro de redes governamentais
• Correlação com acessos externos via VPNs ou redes administrativas

A retirada imediata do sistema do ar indica uma ação de contenção, típica de resposta a incidentes de alta severidade. Em sistemas críticos, essa decisão é tomada para preservar evidências, impedir novos disparos e reduzir impacto operacional enquanto a integridade do ambiente é verificada.

Do ponto de vista de projeto de sistemas críticos, o incidente evidencia um ponto estrutural a ser destacada, que sistemas de alerta precisam ser desenhados sob o princípio de fail-safe control, onde qualquer comportamento fora do padrão esperado deve resultar em bloqueio automático de emissão, e não em execução.

Além disso, há uma dimensão de confiança pública. Sistemas de alerta via celular funcionam como mecanismos de alta credibilidade. Uma vez acionados incorretamente, há um risco de degradação de confiança. Este fenômeno, conhecido como alert fatigue, representa a situação onde usuários passam a ignorar notificações devido a falsos positivos.

O episódio também evidencia a complexidade da integração entre governo e operadoras de telecomunicações. Redes 4G e 5G operam com múltiplos nós distribuídos e virtualização de funções de rede (NFV), o que amplia a superfície de ataque quando há integração com sistemas externos. Embora o Cell Broadcast seja robusto do ponto de vista de entrega, ele depende criticamente da integridade da camada de sinalização e dos gateways de controle.

Em síntese, o incidente no Defesa Civil Alerta não deve ser interpretado apenas como um evento isolado de invasão, mas como um caso clássico de falha potencial em um sistema complexo com impacto nacional, onde segurança não depende apenas de software, mas da interação entre redes móveis, governança institucional e controles de acesso rigorosos.

A resposta das autoridades, que realizaram a remoção do sistema do ar e acionamento da Polícia Federal, segue o protocolo esperado em incidentes dessa natureza. O desafio agora é estrutural: reforçar autenticação, segmentação de rede, auditoria contínua e mecanismos de validação dupla antes da emissão de qualquer alerta crítico.

No final, o caso reforça uma verdade central da cibersegurança moderna, quanto mais crítico o sistema, menor pode ser a tolerância a falhas de autorização, porque o impacto não é digital, é diretamente na sociedade.

O Fim da Separação que Nunca Deveria ter Existido 

Durante anos, as organizações brasileiras trataram de cibersegurança e proteção de dados como disciplinas distintas. De um lado, times de TI preocupados com firewalls, detecção de intrusões e resposta a incidentes. Do outro, áreas jurídicas e de compliance debruçadas sobre contratos, políticas de privacidade e adequação à Lei Geral de Proteção de Dados, a LGPD. Havia pouca conversa entre esses dois mundos, e quando havia, costumava acontecer tarde demais, ou seja, no meio de uma crise. Essa separação nunca fez sentido do ponto de vista técnico. Um ataque de ransomware representa, ao mesmo tempo, uma falha de segurança e uma potencial violação de dados pessoais com prazo de notificação de três dias úteis à Agência Nacional de Proteção de Dados. Um bucket de armazenamento em nuvem mal configurado é tanto um problema de infraestrutura quanto uma exposição de dados de clientes com consequências regulatórias sérias. Uma credencial comprometida é um vetor de ataque e, dependendo dos sistemas que ela protege, o início de um incidente com impacto direto sobre titulares de dados.

Em 2026, com a ANPD consolidada como agência reguladora plena, com um Mapa de Temas Prioritários publicado e com fiscalizações ativas em curso, a tolerância com essa divisão acabou. As organizações que ainda operam com silos entre segurança da informação e privacidade de dados estão, silenciosamente, acumulando risco técnico, regulatório e reputacional. Este artigo discute por que essa integração não é apenas desejável, mas necessária, e o que ela significa, na prática, para quem trabalha na linha de frente da defesa cibernética.

Segurança da Informação e LGPD: Onde as Obrigações se Encontram 

A LGPD não é uma lei que existe à margem da cibersegurança. Ela é, em grande medida, uma lei que pressupõe a cibersegurança como condição mínima de cumprimento. Seu artigo 46 exige que os agentes de tratamento, os  controladores e operadores, adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento. O artigo 6º vai além, estabelecendo o princípio da prevenção: não basta reagir a incidentes; é preciso antecipar riscos e agir antes que o dano ocorra. Traduzindo isso para a linguagem técnica, gestão de vulnerabilidades, controle de acesso com princípio do menor privilégio, criptografia de dados em repouso e em trânsito, monitoramento contínuo de ambientes, planos estruturados de resposta a incidentes e segmentação de redes,  todos esses controles que qualquer profissional de segurança reconhece como fundamentais são, ao mesmo tempo, obrigações implícitas da LGPD. Não são apenas boas práticas de engenharia. São exigências legais. 

Esse alinhamento tem uma consequência importante, o programa de segurança da informação de uma organização não pode mais ser avaliado apenas pela sua eficácia técnica. Ele precisa ser avaliado também pela sua capacidade de proteger especificamente dados pessoais, de detectar incidentes que os envolvem, de responder dentro dos prazos exigidos pela lei e de produzir a documentação necessária para demonstrar conformidade perante a autoridade regulatória. 

O Cenário de Ameaças de 2026 e Seus Impactos Sobre a Privacidade 

O cenário de ameaças em 2026 amplia, e muito, os desafios de proteger dados pessoais. A inteligência artificial, que transformou processos em praticamente todos os setores, também transformou a cibercriminalidade. Ataques de phishing gerados por IA são hoje altamente personalizados, utilizando dados pessoais extraídos de vazamentos anteriores e de redes sociais para criar mensagens convincentes que imitam o estilo de comunicação de pessoas reais. Deepfakes de áudio e vídeo são utilizados em ataques de engenharia social que exploram a confiança em identidades conhecidas. 

O ransomware evoluiu de uma ameaça de bloqueio de sistemas para um modelo de negócio criminoso sofisticado. Grupos especializados retiram dados antes de criptografá-los, usando como mecanismo de pressão adicional para o pagamento do resgate  a chamada dupla extorsão. Para uma organização sujeita à LGPD, isso significa que mesmo que ela consiga restaurar seus sistemas a partir de backups, os dados pessoais de seus clientes, funcionários ou pacientes podem já estar nas mãos de criminosos, o que configura um incidente com obrigação de notificação. 

A velocidade de exploração de vulnerabilidades também atingiu níveis que tornam os ciclos tradicionais de gestão de patches insuficientes. O que em 2020 levava cerca de dois anos para ser explorado após a divulgação pública, hoje leva poucos dias. Sistemas que processam dados pessoais sensíveis  como dados de saúde e  biométricos, precisam de ciclos de remediação muito mais ágeis do que os que a maioria das organizações adota. 

Soma-se a isso o fenômeno da shadow AI: funcionários que inserem documentos com dados pessoais em ferramentas de inteligência artificial externas, sem autorização e sem que o time de TI tenha ciência. Cada documento enviado a um serviço não aprovado é uma potencial transferência não autorizada de dados pessoais, um risco tanto de segurança quanto de conformidade com a LGPD que não pode mais ser ignorado. 

A Nova Fase da ANPD: Fiscalização Ativa e Sanções Reais 

A transformação da ANPD em agência reguladora plena, em setembro de 2025, marcou o encerramento do período de tolerância que caracterizou os primeiros anos da LGPD. Com autonomia funcional, técnica, decisória, administrativa e financeira, a agência passou a atuar com mais incisividade e sinalizou essa mudança de forma clara com a publicação do Mapa de Temas Prioritários para 2026 e 2027. 

Os focos prioritários de fiscalização incluem incidentes de segurança, dados biométricos, dados financeiros, dados de saúde, tratamento de dados de crianças e adolescentes e uso de inteligência artificial no tratamento de dados pessoais. Organizações que atuam nesses segmentos ou que tratam essas categorias de dados têm chances concretas de ser alvo de ações fiscalizatórias nos próximos meses.

As sanções disponíveis à ANPD não são simbólicas. Multas de até 2% do faturamento da organização, limitadas a R$ 50 milhões por infração, publicização das penalidades aplicadas, bloqueio de dados e suspensão de operações de tratamento são instrumentos que podem causar danos financeiros e reputacionais de grande magnitude. Há, no entanto, fatores que a agência considera ao dosar as sanções entre eles, a demonstração de boa-fé, a existência de programas de governança e compliance, a adoção de medidas corretivas imediatas e o histórico de investimento em segurança da informação. 

Isso significa que ter um programa de segurança estruturado, documentado e auditável não é apenas uma questão técnica, podemos afirma que é um ativo regulatório. Organizações que conseguem apresentar à ANPD evidências concretas de controles implementados, treinamentos realizados, processos documentados e investimento consistente em segurança estão em posição significativamente melhor do que aquelas que apenas alegam ter boas práticas sem provas.

Integração na Prática: O que Precisa Mudar 

Falar em integração entre cibersegurança e privacidade é fácil. O desafio está em operacionalizar essa integração no dia a dia das organizações. Alguns passos são fundamentais. O primeiro é garantir que o plano de resposta a incidentes inclua, explicitamente, uma etapa de avaliação de impacto sobre dados pessoais. Toda vez que um incidente de segurança é detectado, a pergunta “dados pessoais foram expostos ou comprometidos?” precisa ser respondida de forma estruturada, com critérios documentados, e não como uma reflexão improvisada. O prazo de três dias úteis para notificação à ANPD é curto demais para que essa avaliação seja feita sem processo prévio. 

O segundo é construir uma tríade operacional entre o DPO (Encarregado de Proteção de Dados), o time de segurança e a equipe jurídica. Esses três papéis precisam se comunicar regularmente, compartilhar informações sobre riscos identificados, colaborar na resposta a incidentes e alinhar políticas, não somente em momentos de crise, mas de forma contínua e estruturada. O DPO precisa do suporte técnico do time de TI para entender a natureza e o escopo dos incidentes; o time de TI precisa do DPO e do jurídico para interpretar os requisitos legais, avaliar responsabilidades e tomar decisões informadas sobre notificação à ANPD e comunicação aos titulares; e o jurídico precisa tanto do DPO quanto do time de segurança para embasar contratos com operadores, responder a eventuais processos administrativos e garantir que as evidências técnicas estejam adequadamente documentadas. Quando esses três elos funcionam de forma integrada, a organização consegue responder a um incidente com agilidade, coerência e segurança jurídica  em vez de improvisar sob pressão dentro de um prazo de três dias úteis.  

O terceiro é tratar a documentação como parte do trabalho técnico, não como burocracia paralela. Logs de acesso, registros de varreduras de vulnerabilidade, relatórios de pentest, políticas atualizadas, atas de treinamentos, tudo isso é evidência de conformidade. Em uma fiscalização ou em um processo administrativo sancionador, a capacidade de apresentar essas evidências pode ser a diferença entre uma advertência e uma multa significativa. 

Segurança e Privacidade Como Alicerce do Negócio Digital

Chegamos a um ponto no qual cibersegurança e privacidade de dados não podem mais ser geridas como disciplinas separadas, com orçamentos separados, equipes que raramente conversam e estratégias que raramente se encontram. Elas são, fundamentalmente, duas expressões do mesmo compromisso: proteger as informações que as pessoas confiam às organizações.

Para os profissionais técnicos de segurança, isso representa uma ampliação do escopo de responsabilidade, mas também uma oportunidade. A LGPD oferece argumentos regulatórios poderosos para justificar investimentos em controles técnicos que antes eram difíceis de aprovar. A fiscalização ativa da ANPD transforma a conversa sobre segurança da informação em uma conversa sobre risco de negócio, que a liderança executiva entende e prioriza de forma diferente. 

As organizações que construírem uma postura integrada onde segurança técnica e conformidade regulatória se reforçam mutuamente, onde o time de TI, jurídico e o DPO trabalham em conjunto, onde a documentação é tratada como evidência e não como formalidade, estarão não apenas mais protegidas contra ataques e sanções. Estarão construindo a confiança digital que, em 2026, será um diferencial competitivo real. 

Cibersegurança e privacidade, juntas, não são custo operacional. São o alicerce de qualquer negócio que pretende operar com resiliência, credibilidade e sustentabilidade no mundo digital.

Autora: Mayara Barbosa | Abril de 2026

A segurança da informação raramente falha primeiro no código ou mesmo no hardware. Falhas reais costumam nascer antes, no acesso físico, nos limites mal definidos e na ausência de monitoramento com propósito. Os controles físicos previstos na ISO 27001 não tratam apenas de muros ou câmeras. Eles revelam maturidade institucional, responsabilidade decisória e o compromisso concreto com a proteção de dados pessoais e sensíveis sob custódia do Estado.

A segurança física ocupa um lugar curioso na gestão pública. Estruturas visíveis, investimentos tangíveis e resultados aparentemente simples convivem com uma percepção equivocada de que esses controles pertencem a um domínio operacional secundário. O Anexo A da ISO/IEC 27001 desmonta essa leitura ao tratar o perímetro físico e o monitoramento como extensões diretas da governança da informação.

Os controles de perímetro previstos na norma tratam da definição clara de fronteiras físicas, do uso de barreiras apropriadas, da segregação de áreas sensíveis e do controle rigoroso de pontos de entrada e saída. Edifícios administrativos, salas técnicas, arquivos físicos e ambientes compartilhados passam a ser compreendidos como zonas de risco distintas, cada uma exigindo níveis próprios de proteção e autorização. A ausência dessa diferenciação transforma qualquer espaço institucional em território neutro, onde responsabilidades se diluem.

A gestão de acessos físicos torna-se particularmente sensível em estruturas governamentais marcadas por alta circulação de servidores, prestadores de serviço e visitantes. Crachás, registros de entrada, acompanhamento de terceiros e revisões periódicas de autorizações deixam de ser formalidades administrativas e passam a representar controles que protegem processos, sistemas e dados pessoais. A lógica é simples e desconfortável. Onde o limite físico é frágil, a cadeia de custódia da informação também é.

O controle de monitoramento físico amplia essa discussão. Sistemas de vigilância não existem para registrar o passado, mas para reduzir a incerteza no presente. Câmeras, alarmes e sensores produzem valor apenas quando integrados a processos claros de resposta, análise e responsabilização. Ambientes monitorados sem critérios definidos acumulam imagens, mas não produzem segurança.

A abordagem proposta pelo NIST Cybersecurity Framework reforça essa visão ao tratar proteção e detecção como funções complementares. Atividades alinhadas às categorias de Protective Technology e Anomalies and Events contribuem diretamente para o tema físico. Controles eficazes pressupõem visibilidade sobre comportamentos fora do padrão, correlação entre eventos físicos e digitais e capacidade institucional de resposta coordenada. Monitoramento sem interpretação estratégica produz apenas ruído.

A proteção de dados pessoais encontra no ambiente físico seu primeiro campo de aplicação. Princípios consagrados pela LGPD, como segurança, prevenção e responsabilização, manifestam-se de forma concreta no controle de acessos a locais onde dados são coletados, armazenados ou manipulados fisicamente. Salas com prontuários, estações de trabalho compartilhadas, impressoras e arquivos físicos representam pontos críticos frequentemente subestimados.

A boa prática em proteção de dados exige coerência entre políticas declaradas e controles reais. Ambientes fisicamente desprotegidos tornam irrelevantes políticas de privacidade bem redigidas. A autoridade reguladora deixa claro, por meio de orientações e decisões, que a expectativa de segurança inclui medidas físicas e administrativas proporcionais ao risco. A omissão nesse campo caracteriza falha estrutural, não incidente isolado.

O perímetro físico também funciona como instrumento pedagógico. Barreiras, zonas restritas e monitoramento comunicam regras de convivência institucional. Organizações maduras utilizam esses controles para reforçar a noção de responsabilidade individual e coletiva. Ambientes onde tudo é acessível a todos transmitem uma mensagem inequívoca de informalidade excessiva, incompatível com a custódia de dados sensíveis e informações estratégicas.

A maturidade institucional se revela quando mudanças organizacionais incorporam automaticamente revisões de controles físicos. Reformas, transferências de unidades, criação de novos serviços e adoção de tecnologias exigem reavaliação do perímetro e do monitoramento. A segurança deixa de reagir a problemas e passa a acompanhar decisões. Esse alinhamento representa um dos sinais mais claros de governança efetiva.

Os controles físicos previstos na ISO 27001 não operam à margem da estratégia. Eles a sustentam. Perímetro e monitoramento revelam como uma organização decide, delega e responde. No contexto público, essa clareza protege dados pessoais, fortalece a confiança institucional e reduz riscos que nenhum controle lógico consegue compensar sozinho.

Referências

• ISO/IEC 27001:2022 Information Security Management Systems
• ISO/IEC 27002:2022 Information Security Controls
• NIST Cybersecurity Framework Functions Protect and Detect
• Princípios da Lei Geral de Proteção de Dados aplicáveis à segurança organizacional

A ISO/IEC 27001 organiza a gestão, mas são os controles previstos que revelam a maturidade real. No conjunto voltado a Pessoas, o tema deixa de ser técnico e passa a ser comportamental. Treinamento, conscientização e responsabilização não sustentam a segurança. Eles a definem.

A estrutura da ISO 27001 oferece coerência metodológica e previsibilidade formal. Ainda assim, a efetividade desse arranjo só se manifesta quando os controles previstos passam a incidir sobre decisões cotidianas, muitas vezes tomadas sob pressão e com informação incompleta.

O eixo de Pessoas evidencia esse ponto com mais clareza do que qualquer outro. A ausência de alinhamento comportamental compromete qualquer arquitetura técnica, por mais sofisticada que seja. Rotinas administrativas consolidadas, atalhos operacionais e práticas informais acabam funcionando como variáveis ocultas que tensionam a aplicação dos controles.

Entre os principais controles relacionados a esse eixo, a triagem antes da admissão introduz o primeiro filtro de risco ao exigir verificação da confiabilidade de indivíduos antes da concessão de acessos. A relação entre confiança e acesso deixa de ser presumida e passa a ser condicionada.

Os termos e condições de emprego estabelecem, desde o início, obrigações explícitas de segurança da informação. Essa formalização reduz ambiguidades frequentes em estruturas complexas, nas quais responsabilidades difusas tendem a diluir a percepção de risco.

A conscientização, educação e treinamento em segurança da informação ocupa posição central nesse conjunto. A exigência de capacitação contínua, alinhada às funções exercidas, diferencia iniciativas meramente formais de processos capazes de influenciar comportamento. Treinamentos episódicos produzem registro. Processos contínuos produzem padrão de decisão.

O processo disciplinar complementa esse ciclo ao vincular desvios a consequências previsíveis. A existência desse mecanismo reforça a credibilidade das políticas estabelecidas, ao transformar orientação em expectativa concreta de conduta.

A gestão do ciclo funcional é reforçada pelo controle de responsabilidades após desligamento ou mudança de função, que assegura a revogação de acessos e a manutenção de deveres de confidencialidade. Momentos de transição concentram riscos silenciosos, muitas vezes invisíveis até a ocorrência de incidentes.

A esses elementos somam-se controles como papéis e responsabilidades em segurança da informação, que estabelecem com precisão quem decide, quem executa e quem responde em cada situação. A ausência dessa definição, comum em estruturas mais tradicionais, tende a gerar zonas cinzentas onde o risco se acumula sem responsável claro. A formalização dessas atribuições não apenas organiza a operação, mas reduz o tempo de resposta em cenários de pressão, nos quais a indefinição sobre responsabilidade costuma ampliar o impacto de falhas iniciais.

Nesse mesmo eixo, os controles de contato com autoridades e contato com grupos de interesse estruturam a dimensão externa da segurança. Incidentes relevantes raramente permanecem restritos ao ambiente interno. Órgãos de controle, entidades reguladoras e outras instituições passam a integrar o ciclo de resposta. A existência prévia de canais definidos, pontos focais estabelecidos e fluxos de comunicação conhecidos evita improvisações que ampliam impactos institucionais. A comunicação, nesse contexto, deixa de ser reativa e passa a ser componente estruturado da resposta.

O controle de relato de eventos e fraquezas de segurança da informação acrescenta uma dimensão crítica: a capacidade de antecipação. A identificação precoce de vulnerabilidades depende de um ambiente onde o relato seja esperado e tratado como insumo de melhoria. Estruturas onde o erro é ocultado tendem a acumular fragilidades até o ponto de ruptura. Estruturas que incentivam o relato ampliam sua capacidade de ajuste contínuo.

A articulação desses controles desloca a segurança de um modelo centralizado para uma lógica distribuída. A responsabilidade deixa de estar concentrada em uma unidade específica e passa a integrar o funcionamento institucional como um todo. Esse arranjo amplia a sensibilidade organizacional ao risco e reduz a dependência de respostas isoladas.

Referenciais do NIST reforçam essa leitura ao posicionar o fator humano como componente permanente da superfície de risco. Diretrizes da ANPD ampliam as consequências dessas falhas, ao conectá-las à proteção de dados pessoais e à responsabilização institucional.

No contexto público, a densidade desse cenário é ampliada. A atuação individual se conecta diretamente à função estatal, e cada interação com a informação carrega implicações que ultrapassam o ambiente interno. A segurança, nesse contexto, se integra ao próprio exercício da atividade administrativa.

A efetividade dos controles relacionados a Pessoas depende de sua incorporação ao funcionamento real da organização. Ambientes que tratam treinamento como formalidade, responsabilização como exceção e comunicação como reação tendem a reproduzir vulnerabilidades de forma contínua. Estruturas que alinham expectativa, prática e consequência constroem previsibilidade comportamental e maior estabilidade operacional. Esse alinhamento sustenta simultaneamente três dimensões. A cultura se torna operacional, ao orientar decisões concretas. A accountability se materializa, ao vincular condutas a responsabilidades definidas. A capacidade de resposta se fortalece, ao reduzir incertezas em momentos críticos.

A segurança da informação, nesse estágio, deixa de depender exclusivamente de controles técnicos. A organização passa a operar com maior resiliência, mesmo diante de falhas humanas inevitáveis. Esse é o ponto em que gestão, responsabilidade e adaptação deixam de ser conceitos isolados e passam a constituir um único sistema funcional.

Referências

• ISO/IEC 27001
• ISO/IEC 27002
• NIST – Cybersecurity Framework
• ANPD – Diretrizes e LGPD

Quando tratamos de Governo, fica evidente que existe uma clara necessidade que o mesmo seja uma referência em maturidade na área de segurança da informação, particularmente por ser o guardião dos dados mais sensíveis de um país. No Brasil, observa-se que a maior parte dos órgãos públicos trata a ISO 27001 como um exercício documental. O erro começa exatamente onde deveria haver mais maturidade: o Anexo A. Na versão 2022 da ISO, os controles organizacionais deixam de operar como checklist e passam a atuar como mecanismo de transformação institucional. Quando bem aplicados, deixam de ser “segurança da informação” e passam a estruturar governança, moldar decisões, reduzir improviso e criar capacidade real de resposta.

Um equívoco recorrente no setor público envolve a crença de que a ISO/IEC 27001 é, antes de tudo, uma norma de tecnologia. A natureza da norma, no entanto, é de gestão, utilizando a segurança como vetor estruturante. O Anexo A, especialmente no domínio organizacional, representa o ponto em que essa intenção passa a influenciar a realidade institucional. A versão atual reorganiza os controles. A fragmentação anterior cede espaço a uma lógica integrada, com noventa e três controles distribuídos em quatro temas. O conjunto organizacional concentra o núcleo dessa transformação. Neste domínio, o foco não reside em ferramentas, mas em decisões.

Incialmente vamos tratar da nossas Políticas, que costumam ser tratadas como peças decorativas. Normalmente, As políticas são documentos extensos, formalmente aprovados e muito raramente revisitados. A presença de controles como Information security policy, Organization of information security, Information security roles and responsibilities e Segregation of duties redefine esse papel. Esses elementos funcionam como contratos internos de comportamento, reduzindo ambiguidade e estabelecendo limites claros de atuação. Esta lógica converge com abordagens como as do NIST, nas quais governança clara e responsabilidade definida são pré-condições para qualquer maturidade em segurança.

Outro eixo relevante envolve Identity management e Access control sob uma perspectiva organizacional. O problema, nesse contexto, raramente é técnico. A raiz costuma ser cultural. Perfis excessivos, acessos acumulados e permissões não revisadas refletem ausência de processo. Controles como User access management, Review of user access rights e Authentication information operam como mecanismos de disciplina institucional, estabelecendo critérios objetivos para concessão, revisão e revogação de acessos. Este movimento desloca a segurança do campo da tecnologia para o campo da gestão. O impacto desse deslocamento torna-se estrutural.

No campo de recursos humanos, controles como Screening, Terms and conditions of employment, Information security awareness, education and training e Responsibilities after termination or change of employment ampliam o escopo da segurança. A lógica deixa de ser pontual e passa a ser contínua. A segurança passa a ser comportamento reiterado, não evento isolado.

Outros controles organizacionais reforçam essa arquitetura. Information classification e Labelling of information estruturam o tratamento da informação desde a origem. Acceptable use of information and other associated assets estabelece limites claros de uso. Supplier relationships e Information security in supplier relationships ampliam a governança para além das fronteiras institucionais. Contact with authorities e Contact with special interest groups inserem a organização em um universo mais amplo de resposta e coordenação.

A dimensão cultural permanece como ponto sensível. Cultura institucional não se impõe por norma. A construção ocorre por repetição, coerência e exemplo. A ausência de alinhamento entre discurso e prática compromete a efetividade de qualquer controle.

Uma dimensão menos visível, porém estratégica, emerge desse conjunto. A previsibilidade operacional. Ambientes previsíveis reduzem improviso, facilitam auditorias e permitem respostas mais coordenadas a incidentes. Controles como Information security incident management responsibilities and procedures e Information security during disruption reforçam essa capacidade de resposta estruturada.

A relação com a LGPD surge como consequência natural desse arranjo. Papéis definidos, decisões rastreáveis, acessos controlados e fornecedores governados reduzem o risco regulatório antes mesmo da materialização de incidentes. Nesse contexto, o Programa de Privacidade e Segurança da Informação do MGI (PPSI) atua como um framework estruturante para o governo federal, organizando diretrizes, papéis e práticas que dialogam diretamente com os controles organizacionais da ISO 27001. A incorporação de referências como o CIS Controls, utilizada no âmbito do PPSI, reforça essa lógica ao traduzir princípios de segurança em práticas operacionais mais tangíveis, sem romper a coerência de gestão.

Uma camada adicional emerge dessa convergência. Accountability institucional. Estruturas como o PPSI não apenas orientam a implementação, mas criam base para responsabilização objetiva, algo cada vez mais observado por instâncias de controle. Decisão registrada, papel definido e processo formalizado deixam de ser apenas boa prática e passam a ser evidência.

As Diretrizes federais, frameworks estruturantes e boas práticas internacionais passam, assim, a operar de forma alinhada. Segurança como sistema de gestão, não como ferramenta isolada. Sistemas de gestão, por definição, moldam comportamento ao longo do tempo. Infere-se que o Anexo A da ISO 27001 atua como mecanismo de redução de improviso administrativo. A organização passa a operar de forma mais consistente, mesmo que não seja perfeita, será mais previsível. Podemos inferir que a previsibilidade, em ambientes complexos, representa capacidade institucional.

Os controles organizacionais da ISO 27001 não devem ser tratados como checklist de conformidade. A finalidade real consiste em alterar a forma como a instituição decide, reage e se adapta. A incorporação efetiva desses controles transforma segurança em elemento estruturante da governança. Comportamento alinhado, redução de ruído decisório e maior capacidade de resposta passam a compor o funcionamento institucional. No setor público, onde a complexidade é inerente, esse movimento representa mais do que melhoria incremental. Trata-se de consolidação de capacidade institucional.

Referências Bibliográficas

• ISO/IEC 27001:2022 — Information Security Management Systems
• ISO/IEC 27002:2022 — Information Security Controls
• NIST Cybersecurity Framework (CSF)
• CIS Controls v8
• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados (LGPD)
• Programa de Privacidade e Segurança da Informação (PPSI) — Ministério da Gestão e da Inovação
• Normativos e diretrizes de segurança da informação aplicáveis à administração pública

A maioria das iniciativas de segurança no setor público não fracassa por falta de norma, mas por excesso de ritual vazio. O ciclo PDCA, que sustenta a ISO/IEC 27001, não opera como um fluxo técnico isolado; funciona como um padrão de comportamento organizacional. Sem cultura, transforma-se em formalidade. Quando internalizado, torna-se escala.

Existe uma diferença sutil e decisiva entre adotar um modelo e operar dentro dele. No papel, o ciclo PDCA apresenta clareza quase didática: planejamento, execução, verificação e ação. Quatro movimentos, todos aparentemente controláveis e auditáveis. Na prática, o ciclo não se comporta como uma sequência previsível de etapas. Funciona como um sistema vivo, no qual cada decisão altera o estado do todo e retroalimenta o próximo movimento. Nesse ponto, surgem as dificuldades recorrentes no setor público.

A fase de planejamento raramente sofre por ausência de método. Referenciais abundam. A ISO/IEC 27001 estrutura o raciocínio com rigor, enquanto o NIST oferece modelos operacionais consistentes para identificação e tratamento de riscos. Soma-se a isso a produção normativa e orientativa do Ministério da Gestão e da Inovação, que busca traduzir essas diretrizes para a realidade administrativa brasileira. Mesmo assim, planos tecnicamente consistentes coexistem com incidentes previsíveis. A origem do problema não reside no desenho, mas na suposição de que o desenho, por si só, resolve.

No setor público, o planejamento frequentemente se converte em artefato estático. Documentos passam a responder mais à lógica de auditoria do que à dinâmica operacional. Um plano sem atualização contínua perde a capacidade de orientar decisões e passa a ocupar apenas espaço institucional. A execução, por sua vez, revela outro padrão. Controles são implementados, porém de forma fragmentada. Políticas isoladas, ferramentas desconectadas e contratos que atendem parcialmente às necessidades compõem um cenário sem integração.

O resultado não chega a ser ausência de ação, mas ausência de evolução. A execução sem alinhamento não produz aprendizado, ela apenas consome recursos. A etapa de verificação costuma reforçar uma sensação de controle. Auditorias internas acontecem, relatórios circulam e indicadores são apresentados. A estrutura formal permanece preservada. Uma questão, entretanto, permanece pouco explorada, os pontos de atenção identificados produzem mudança de comportamento ou apenas registro formal?

Quando a verificação assume caráter meramente validatório, em vez de funcionar como mecanismo de confronto com a realidade, o ciclo perde consistência, ainda que continue ativo na forma.

A etapa de ação concentra o ponto mais sensível de todo o processo. Ajustes estruturais exigem reconhecimento explícito de falhas. No ambiente público, tal reconhecimento frequentemente é percebido como exposição institucional, não como sinal de maturidade. Surge, então, um incentivo implícito à correção mínima necessária para atender ciclos futuros de verificação, sem revisão sistêmica. O movimento persiste, mas sem tração real.

A leitura do PDCA como metodologia revela, nesse contexto, uma limitação conceitual. Um conjunto de etapas não captura a dimensão comportamental exigida. Um padrão organizacional, por outro lado, pressupõe disciplina, coerência e disposição para ajuste contínuo. Sem esses elementos, qualquer alinhamento com a ISO/IEC 27001 ou com os referenciais do NIST assume caráter superficial, restrito à conformidade aparente.

A internalização efetiva do ciclo altera essa dinâmica de forma estrutural. Ambientes organizacionais que operam sob lógica contínua de aprendizado passam a tratar o erro como insumo, não como exceção. Auditorias deixam de representar eventos isolados e passam a integrar a rotina. A conformidade emerge como consequência natural de processos consistentes.

No setor público, esse deslocamento produz um efeito adicional relevante. Redução da dependência de indivíduos específicos e fortalecimento de sistemas institucionais capazes de sustentar desempenho ao longo do tempo. Neste estágio, frameworks internacionais e adaptações nacionais deixam de ser exigências externas e passam a funcionar como linguagem comum de gestão.

O ciclo PDCA assume, assim, uma função mais profunda. Estrutura invisível, porém essencial, que conecta decisões, práticas e aprendizado organizacional. A transformação institucional ocorre no momento em que o PDCA deixa de ser percebido como sequência de etapas e passa a operar como reflexo organizacional. Planejamento, execução, verificação e ação incorporados à rotina criam um ambiente onde a maturidade não depende de iniciativas isoladas, mas de consistência sistêmica. No setor público, esse movimento representa menos uma escolha estratégica e mais uma condição para sustentabilidade operacional em larga escala.

Referências Bibliográficas:

• ISO/IEC 27001
• NIST – Cybersecurity Framework (CSF)
• Ministério da Gestão e da Inovação – Programa de Privacidade e Segurança da Informação e frameworks associados
• Lei Geral de Proteção de Dados

A evolução dos ambientes corporativos impulsionada por cloud computing, mobilidade e modelos híbridos de trabalho tornou obsoleto o paradigma de segurança baseado em perímetro. A premissa de que ativos internos são confiáveis já não se sustenta diante de ameaças cada vez mais sofisticadas, explorando credenciais válidas, movimentos laterais e superfícies de ataque distribuídas.

Nesse cenário, o Zero Trust se consolida como uma arquitetura essencial para organizações que buscam maturidade em segurança. Diferentemente de abordagens tradicionais, o Zero Trust não é uma tecnologia específica, mas um modelo arquitetural que redefine o controle de acesso. Sua base está no princípio de “never trust, always verify”, aplicado de forma contínua e contextual. Isso implica que cada requisição de acesso deve ser autenticada, autorizada e inspecionada com base em múltiplos atributos dinâmicos.

No centro dessa arquitetura está a “identidade como novo perímetro”. Sistemas de gerenciamento de identidade e acesso (IAM) evoluem para suportar autenticação adaptativa, políticas de acesso condicional e análise de risco em tempo real. A confiança passa a ser transitória e granular, baseada não apenas na identidade do usuário, mas também na postura do dispositivo, localização, comportamento e criticidade do recurso solicitado.

Outro elemento estruturante é a “microsegmentação”, que atua diretamente na contenção de ameaças. Ao eliminar a lateralidade implícita entre ativos, a rede deixa de ser um espaço homogêneo e passa a operar como um conjunto de zonas controladas, onde cada fluxo de comunicação é explicitamente permitido. Esse modelo reduz drasticamente o impacto de ataques que dependem de escalonamento interno, como ransomware e APTs (Advanced Persistent Threats). A implementação eficaz de Zero Trust também depende de “telemetria contínua e capacidade analítica avançada”.

Logs, eventos e comportamentos deixam de ser apenas registros operacionais e passam a compor um ecossistema de inteligência de segurança. A correlação desses dados, muitas vezes apoiada por machine learning, permite identificar desvios de comportamento com maior precisão e responder a incidentes em tempo quase real.

No contexto de proteção de dados, o Zero Trust desloca o foco do controle de rede para o controle da informação. Estratégias como classificação de dados, criptografia, Data Loss Prevention (DLP) e controle de acesso baseado em atributos (ABAC) tornam-se fundamentais para garantir que o acesso à informação seja não apenas autenticado, mas também justificado e monitorado.

Um aspecto frequentemente subestimado é a “integração entre domínios de segurança”. Zero Trust exige convergência entre identidade, endpoint, rede e aplicações. Soluções isoladas tendem a gerar lacunas; por outro lado, uma arquitetura integrada permite decisões de acesso mais assertivas, baseadas em contexto unificado. Essa convergência é o que viabiliza a aplicação consistente de políticas e a redução de inconsistências operacionais.

Do ponto de vista de governança, Zero Trust se alinha diretamente a frameworks e padrões de segurança, fortalecendo compliance e gestão de riscos. Mais do que atender requisitos regulatórios, sua adoção contribui para a construção de uma postura de segurança resiliente, orientada à prevenção e à rápida contenção de incidentes. Entretanto, a adoção de Zero Trust deve ser encarada como uma “jornada incremental”, não como uma implementação pontual.

Começa com visibilidade ,saber quem acessa o quê evolui para controle de identidade e acesso, avança para segmentação e, por fim, incorpora automação e resposta adaptativa baseada em risco. Organizações que tentam implementar o modelo de forma abrupta frequentemente enfrentam desafios de complexidade e resistência operacional. Por fim, é importante destacar que Zero Trust não elimina a necessidade de confiança, ele redefine sua construção. A confiança deixa de ser implícita e passa a ser dinâmica, contextual e continuamente validada.

Em um ambiente onde a identidade é explorada como vetor primário de ataque e a infraestrutura é cada vez mais distribuída, o Zero Trust não é apenas uma evolução arquitetural. É uma resposta necessária à complexidade da segurança moderna e um diferencial competitivo para organizações que entendem que proteger dados é, acima de tudo, proteger a confiança.

Autora:
Brigida Miranda
Analista de Segurança Cibernética
Instituto de Defesa Cibernética

A resiliência tecnológica não nasce de ferramentas, mas de decisões. Em órgãos estaduais, a matriz de riscos constitui o ponto onde Segurança da Informação e Segurança Cibernética deixam o campo técnico e passam a orientar a leitura de ativos críticos, exposições relevantes e escolhas institucionais que sustentam a continuidade das políticas públicas.

Muito se fala em resiliência tecnológica, mas pouco se discute onde ela realmente começa. O ponto de partida não está em firewalls, SOC ou planos de resposta a incidentes. A origem está na capacidade do órgão de reconhecer quais ativos digitais sustentam sua missão institucional, quais ameaças os pressionam e quais fragilidades ampliam essa exposição. Nesse cenário, a matriz de riscos deixa de ser um artefato metodológico e passa a ocupar posição central na estratégia institucional.

Alguns instrumentos organizam informação, enquanto outros organizam escolhas. A matriz de riscos pertence ao segundo grupo. No contexto de um governo estadual, essas escolhas raramente são neutras. Sistemas que viabilizam políticas públicas, bases de dados que concentram informações sensíveis e infraestruturas tecnológicas que garantem atendimento contínuo ao cidadão compõem um conjunto de ativos cujo comprometimento raramente é aceitável. A ausência dessa identificação clara costuma empurrar decisões críticas para o improviso.

A lógica proposta pelo NIST estrutura essa leitura de forma objetiva. O foco inicial recai sobre a missão e, a partir dela, sobre os ativos que a sustentam. Serviços digitais essenciais, plataformas transversais, informações classificadas e dados pessoais tornam-se o centro da análise. A partir desse mapeamento, ameaças passam a ser percebidas de forma concreta, como indisponibilidade prolongada, acesso não autorizado, dependência excessiva de fornecedores ou falhas recorrentes de integração entre sistemas.

A experiência prática no setor público reforça esse ponto. Projetos tecnológicos mal contratados aumentam a vulnerabilidade operacional ao longo do tempo. Obras entregues sem integração digital adequada expõem fragilidades que se manifestam apenas na operação. Sistemas implantados com atraso prolongam o uso de soluções legadas conhecidamente frágeis. Em todos esses casos, o risco não nasce do ataque, mas da combinação entre um ativo crítico, uma ameaça previsível e uma vulnerabilidade previamente ignorada.

Uma matriz de riscos madura torna esse encadeamento visível. O instrumento explicita, por exemplo, que determinado sistema é essencial para a política pública ou atividade essencial, que a dependência de um único fornecedor representa uma ameaça relevante e que a ausência de requisitos mínimos de segurança no contrato amplia a vulnerabilidade. Esse registro desloca o debate do campo técnico para o campo da decisão executiva.

Sob a ótica da LGPD, essa leitura se aprofunda. Bases de dados pessoais passam a ser tratadas como ativos estratégicos. Vazamento, indisponibilidade ou perda de integridade deixam de ser eventos tecnológicos e passam a ser riscos institucionais. Ambientes improvisados, integrações frágeis e soluções temporárias ampliam a superfície de ataque e expõem vulnerabilidades difíceis de justificar posteriormente. A matriz de riscos conecta essas escolhas à responsabilidade do órgão antes que o incidente aconteça.

O aspecto cultural também se impõe. Organizações que não distinguem claramente ativos, ameaças e vulnerabilidades tendem a tratar Segurança da Informação como tema abstrato. Instituições que estruturam essa leitura criam responsabilidade compartilhada. A matriz de riscos contribui para esse amadurecimento ao transformar conceitos técnicos em linguagem compreensível para a alta gestão, vinculando risco à decisão.

Nesse ambiente, o papel do Tribunal de Contas do Estado ganha contornos claros. O controle externo observa se ativos críticos foram identificados, se ameaças plausíveis foram consideradas e se vulnerabilidades conhecidas foram tratadas de forma proporcional. Uma matriz consistente demonstra método, intencionalidade e governança. A rastreabilidade decisória passa a ser consequência natural desse processo.

Algum desconforto e, até mesmo conflitos, são inevitáveis. Uma matriz construída com honestidade revela que nem todos os ativos receberão o mesmo nível de proteção e que algumas vulnerabilidades permanecerão abertas por limitações reais. A questão central deixa de ser a eliminação total do risco e passa a ser a consciência sobre onde ele está, por que existe e qual nível de exposição foi deliberadamente aceito.

Esse movimento produz efeito cultural duradouro. As áreas técnicas deixam de falar sozinhas. O jurídico compreende a materialidade do risco. A gestão passa a decidir a partir da missão e não apenas da urgência. A Segurança da Informação deixa de ser periférica e passa a estruturar prioridades. A resiliência deixa de ser reação e se consolida como escolha.

No contexto de um governo estadual ou municipal, marcado por dependência crescente de tecnologia, pressão pública e fiscalização permanente, a resiliência não se confunde com robustez absoluta. O conceito se traduz na capacidade institucional de reconhecer seus ativos, compreender suas exposições e decidir melhor antes que a crise imponha a decisão.

O posicionamento da matriz de riscos no centro da estratégia exige três compromissos claros: a identificação explícita de ativos críticos, a avaliação consciente de ameaças e vulnerabilidades e o tratamento da Segurança da Informação como decisão de alto nível. O resultado não é apenas maturidade técnica, mas maturidade institucional orientada à continuidade do serviço público.

Referências

• NIST Risk Management Framework (RMF) – SP 800 Series
• Lei Geral de Proteção de Dados Pessoais – Lei nº 13.709/2018
• Diretrizes de Gestão de Riscos e Governança do TCU
• Boas Práticas de Controle Interno e Gestão de Riscos no Setor Público

Motivação

O STX RAT representa mais um representante relevante da evolução contínua dos Remote Access Trojans (RATs) baseados em .NET, operando em um ecossistema onde acessibilidade, modularidade e baixo custo de entrada favorecem sua rápida disseminação entre atores de ameaça com diferentes níveis de sofisticação. Para a tomada de decisão de CISOs, o risco não reside apenas nas capacidades técnicas do malware, mas na combinação de três fatores críticos:

• Facilidade de aquisição e operação (commodity malware)
• Capacidade de persistência silenciosa em endpoints corporativos
• Integração com cadeias de ataque maiores (stealers, loaders, ransomware)

O STX RAT não é, isoladamente, uma ferramenta de alta sofisticação. No entanto, seu uso em campanhas oportunistas e sua capacidade de fornecer acesso contínuo ao ambiente comprometido o tornam um multiplicador de risco, frequentemente atuando como estágio intermediário para ataques mais destrutivos. Do ponto de vista de negócio, os principais impactos incluem:

• Exfiltração de dados sensíveis (credenciais, documentos, sessões)
• Comprometimento prolongado sem detecção
• Uso como ponto de apoio para ransomware
• Exposição regulatória (LGPD) e dano reputacional

A Evolução

O STX RAT se insere no ecossistema consolidado de RATs baseados em .NET, ao lado de famílias como AsyncRAT e QuasarRAT. Essas ferramentas compartilham características comuns:

• Código relativamente acessível
• Facilidade de customização
• Interfaces de controle amigáveis
• Distribuição via fóruns underground e canais fechados

Em 2025, cabe destacar que houve uma convergência entre três categorias de malware:

• RATs tradicionais (controle remoto)
• Infostealers (exfiltração rápida de dados)
• Loaders (entrega de payloads adicionais)

O STX RAT acompanha essa tendência ao oferecer:

• Capacidades de coleta de dados
• Execução remota de comandos
• Flexibilidade para integração com outros payloads

O STX segue a tend6encia de Malware-as-a-Service (MaaS), um modelo de negocio criminoso onde deliquentes menos experientes conseguem conduzir campanhas eficazes com baixo investimento técnico.

3. Análise de Kill Chain

3.1 Vetores de entrada

O STX RAT é tipicamente distribuído por meio de vetores amplamente conhecidos, porém ainda eficazes:

• Campanhas de phishing com anexos maliciosos
• Arquivos compactados contendo executáveis disfarçados
• Arquivos ISO, LNK e loaders
• Software pirata, cracks e keygens
• Malvertising

A eficácia desses vetores depende fortemente de engenharia social, frequentemente adaptada ao idioma e contexto regional, além de ser cada vez mais efetiva graças ao uso intensivo de IA.

3.2 Execução inicial

Após o acesso inicial:

• O usuário executa um loader ou dropper
• O payload é descompactado ou injetado em memória
• Pode haver uso de LOLBins (ex.: PowerShell) para execução indireta

3.3 Persistência

O STX RAT estabelece persistência utilizando:

• Chaves de registro (Run/RunOnce)
• Tarefas agendadas
• Cópias em diretórios persistentes do sistema

Essa persistência é projetada para se manter a reinicializações e ofuscar as ações de ferramentas, analistas e .

3.4 Expansão e pós-exploração

Embora não seja um framework completo, que inclua o movimento lateral, o acesso fornecido permite:

• Execução de ferramentas adicionais
• Download de payloads secundários
• Movimentação manual por operadores

4. Arquitetura Técnica do STX RAT

O STX RAT, por suas características de desenvolvimento, possui:

• Portabilidade
• Ofuscação
• Rápido desenvolvimento

4.1. Capacidades principais:

• Keylogging
• Captura de tela
• Gerenciamento de arquivos
• Execução remota de comandos
• Monitoramento do sistema

A comunicação entre cliente e servidor permite controle quase em tempo real.

5. Evasão

O STX RAT emprega técnicas comuns, porém eficazes:

5.1. Ofuscação

• Proteção de strings
• Packing do binário

5.2. Evasão de análise

• Detecção de ambiente virtual
• Delay de execução
• Verificação de sandbox

5.3. Evasão de defesa

• Uso de LOLBins
• Execução em memória (parcial)
• Possível bypass de mecanismos como AMSI

O objetivo não é invisibilidade total, mas reduzir a probabilidade de detecção automática.

6. Comando e Controle (C2)

A comunicação C2 geralmente utiliza:

• HTTP/HTTPS
• Portas customizadas
• Comunicação periódica (beaconing)

6.1. Características:

• Uso de VPS de baixo custo
• Rotação de IPs/domínios
• Infraestrutura descartável

Essa arquitetura favorece:

• Resiliência operacional
• Dificuldade de bloqueio completo

7. Impacto na América Latina

A América Latina apresenta condições favoráveis para disseminação do malware:

• Alta taxa de uso de software não licenciado
• Menor maturidade em segurança em PMEs
• Forte uso e eficácia de engenharia social

Setores frequentemente impactados:

• Financeiro
• Governo
• Pequenas e médias empresas

Campanhas costumam explorar:

• Idioma local (português ou espanhol)
• Temas como boletos, impostos, entregas e serviços bancários são os mais frequentes.

8. Técnicas, Táticas e procedimentos (TTPs)

O comportamento do STX RAT pode ser mapeado em diversas táticas:

a) Initial Access

• Phishing (T1566)

b) Execution

• User Execution (T1204)
• PowerShell (T1059.001)

c) Persistence

• Registry Run Keys (T1547.001)
• Scheduled Tasks (T1053)

d) Defense Evasion

• Obfuscated Files (T1027)
• Virtualization/Sandbox Evasion (T1497)

e) Command & Control

• Application Layer Protocol (T1071)

f) Exfiltration

• Exfiltration Over C2 Channel (T1041)

9. Estratégias de Detecção e Defesa

9.1. Controles técnicos

• EDR/XDR com análise comportamental
• Monitoramento de rede
• Detecção de anomalias

9.2. Hardening

• Bloqueio de macros
• Controle de execução de scripts
• Princípio do menor privilégio

9.3. Conscientização dos Usuários

• Treinamento contínuo contra phishing

Como profissionais e líderes na vanguarda da defesa cibernética, observamos os recentes eventos no Oriente Médio não apenas como uma escalada geopolítica, mas como um estudo de caso em tempo real da nova doutrina de guerra híbrida. A ofensiva conjunta EUA-Israel de 28 de fevereiro de 2026, batizada de Operação Epic Fury (EUA) e Operação Roaring Lion (Israel), foi mais do que uma troca de mísseis; foi uma demonstração da profunda integração entre operações cinéticas e uma sofisticada campanha de ciberguerra. Para C-levels e estrategistas de segurança, a análise desses eventos transcende as manchetes, revelando o novo paradigma de risco e a urgência de uma reavaliação fundamental de nossas posturas de defesa.

A ciberguerra se desenrola nas sombras dos conflitos geopolíticos, um campo de batalha invisível com consequências reais.

O Ecossistema da Ameaça Cibernética Iraniana: Orquestração e Caos

Para compreender a agilidade e a escala da resposta cibernética, é imperativo dissecar o ecossistema de ameaças iraniano. Ele não é monolítico; opera em camadas, combinando a sofisticação de grupos de Ameaça Persistente Avançada (APT) patrocinados pelo Estado com a agilidade caótica de coletivos hacktivistas. Essa estrutura permite ao Irã conduzir uma gama diversificada de operações, desde espionagem de alto nível até ataques disruptivos em massa.

Os principais braços do estado, o Corpo da Guarda Revolucionária Islâmica (IRGC) e o Ministério de Inteligência e Segurança (MOIS), patrocinam diferentes grupos APT [7]. No entanto, a novidade é a formalização da camada hacktivista. Em 28 de fevereiro, foi estabelecida uma “Sala de Operações Eletrônicas” para coordenar uma vasta rede de mais de 60 grupos hacktivistas, incluindo coletivos pró-Rússia, ampliando massivamente o alcance e o volume dos ataques [10].

O ecossistema de ameaças iraniano é uma estrutura complexa e em camadas, combinando APTs patrocinados pelo estado com uma rede descentralizada e agora formalmente coordenada de hacktivistas.

A Anatomia do Ataque Híbrido: Sincronizando Mísseis, Malware e Desinformação

O que torna os eventos de fevereiro e março de 2026 um marco é a sincronização quase perfeita entre as operações militares e cibernéticas. A ofensiva não foi sequencial, mas paralela, com cada domínio amplificando o impacto do outro.

Guerra Psicológica (PSYOPs) 2.0: Além do hackeamento do app BadeSaba [2], uma nova campanha de phishing foi identificada, distribuindo uma versão maliciosa do aplicativo de alerta de mísseis RedAlert. O APK falso entrega um sofisticado malware de vigilância móvel, demonstrando um avanço na capacidade de usar a engenharia social em tempo de guerra para espionagem em massa [10].

A guerra psicológica (PSYOPs) digital evoluiu, utilizando a manipulação da informação e aplicativos falsos como armas para influenciar a percepção e comprometer a segurança em massa.

Ataques à Infraestrutura Crítica com Expansão Geográfica: A ameaça a sistemas SCADA se materializou com ataques reivindicados pelo FAD Team [10]. Mais importante, o escopo geográfico se expandiu. A sabotagem dos sistemas de combustível da Jordânia [10] e a inclusão de Portugal no mapa de risco [11] indicam uma estratégia de visar aliados e rotas logísticas, não apenas o adversário principal.

Ataques a sistemas SCADA representam uma das maiores ameaças da ciberguerra, com o potencial de paralisar infraestruturas críticas e causar danos físicos generalizados, agora com um alcance geográfico expandido.

O Contra-Ataque: Inteligência e Disrupção

Do outro lado do conflito, as operações foram igualmente sofisticadas. A retaliação não se limitou a derrubar sites. Relatórios recentes revelaram uma operação de inteligência de longo prazo por parte de Israel, que envolveu o hackeamento de quase todas as câmeras de trânsito de Teerã e a penetração em redes de telefonia móvel. Esses dados, coletados ao longo de anos, permitiram um mapeamento detalhado da cidade e o rastreamento de figuras de alto escalão, sendo um fator crucial no planejamento da operação militar [12].

Além disso, a ofensiva aliada incluiu um ataque direto ao quartel-general de ciberguerra do Irã em Teerã [13] e a imposição de um blecaute digital que derrubou a conectividade do país para um nível entre 1% e 4% [10]. Este ato teve um impacto estratégico duplo: dificultou a resposta coordenada da população e, crucialmente, degradou o comando e controle (C2) dos grupos APT estatais, forçando-os a operar em “isolamento operacional” e reduzindo sua capacidade de lançar ataques complexos no curto prazo.

O Briefing para o C-Suite: Quantificando o Risco na Nova Realidade

Para os líderes empresariais, a questão fundamental é: qual o impacto financeiro e estratégico de um cenário como este? A resposta vai muito além do custo de um resgate de ransomware. Estamos falando de um risco existencial que afeta todas as faces do negócio.

Relatórios recentes projetam que o custo global do cibercrime atingirá US$ 10,5 trilhões anuais até 2026 [8]. O custo médio de uma única violação de dados já ultrapassa os US$ 4,4 milhões, para setores altamente regulados como saúde e finanças, os custos projetados são ainda maiores [8].

O impacto financeiro dos ciberataques transcende os custos diretos, afetando a reputação, a operação e o valor de mercado das organizações.

Defesa Estratégica na Era da Guerra Híbrida: Rumo à Resiliência Cibernética

Diante de um adversário estatal com recursos e paciência, a prevenção por si só é uma estratégia fadada ao fracasso. A meta deve ser a resiliência cibernética: a capacidade de antecipar, resistir, recuperar e se adaptar a ataques. Para um público sênior, isso se traduz em adotar uma arquitetura de defesa proativa e baseada em inteligência.

Adotar a Arquitetura Zero Trust (ZTA) é primordial. O princípio de “nunca confie, sempre verifique” não é mais um slogan, mas uma necessidade arquitetônica da infraestrutura resiliente. A ZTA remove a confiança implícita e exige verificação contínua de cada usuário e dispositivo, dentro ou fora da rede. Isso mitiga o movimento lateral, que é uma tática chave dos APTs após a violação inicial. A implementação de micro-segmentação e políticas de acesso de privilégio mínimo são componentes críticos aqui que devem ser trabalhados.

A Arquitetura Zero Trust (ZTA) é um modelo de segurança que trata todas as redes e tráfego como potenciais ameaças, exigindo verificação rigorosa em cada ponto de acesso.

A Inteligência de Ameaças (Threat Intelligence) Ativa não é mais um “plus”. As equipes de segurança devem consumir e operacionalizar ativamente a inteligência de ameaças. Isso significa ir além de feeds de IoCs (Indicadores de Comprometimento) e focar nos TTPs dos adversários. Mapear suas defesas contra frameworks como o MITRE ATT&CK® permite uma avaliação realista da sua postura contra grupos específicos como o APT35 ou MuddyWater.

Ter Resiliência da Infraestrutura Crítica (OT Security) para as indústrias, hospitais e afins é uma obrigação quase sempre esquecida. A convergência TI/TO exige uma abordagem unificada de segurança. A segmentação rigorosa entre as redes de TI e TO, o monitoramento contínuo de ambientes industriais com ferramentas especializadas e a implementação de planos de resposta a incidentes específicos para OT são essenciais para evitar que um ataque digital se transforme em um desastre físico.

Conclusão: Do Campo de Batalha para a Sala de Reuniões

Os eventos de fevereiro e março de 2026 são um divisor de águas. Eles provam conclusivamente que a ciberguerra não é um conceito futuro, mas uma ferramenta ativa e integrada de poder estatal. Para os líderes no C-suite, a segurança cibernética deixou de ser uma despesa de TI para se tornar um pilar central da estratégia de negócios e da gestão de riscos. Aqueles que não enxergarem dessa forma estão fadados ao risco de falir o negócio.

A pergunta que todo conselho de administração deveria fazer não é se será alvo, mas quando e quão preparado está para responder. A resiliência de uma organização no século XXI será medida não apenas por sua solidez financeira, mas por sua capacidade de suportar um ataque vindo das sombras. A guerra híbrida chegou, e o campo de batalha se estende do front militar até a sua sala de servidores. Esteja preparado ou enfrentará um cenário de caos que nunca imaginou antes.

Referências

[1] TecMundo. “Hackers pró-Irã se unem e atacam Israel e EUA em ciberguerra”.

[2] CNN Brasil. “Hackers invadem aplicativos e sites iranianos após ataques de EUA e Israel”.

[3] Poder360. “Ataque hacker israelense tira sites de notícias do Irã do ar”.

[4] Brandefense. “Handala: The Rise Of A Decentralized Pro-Palestinian Hacktivist Collective”.

[5] Clavis. “Ameaças a sistemas SCADA: protegendo infraestruturas críticas”.

[6] Grupo Goberna. “La Ciberguerra: El Conflicto Invisible que Redibuja el Mapa del Poder Global”.

[7] Trellix. “The Iranian Cyber Capability”.

[8] IIMA. “Impactos Financeiros de Ciberataques: Perdas Milionárias e Crescimento de Custos em 2025/2026”.

[9] HIMSS. “The Hidden Cost of Healthcare Cyber Attacks”.

[10] Unit 42 – Palo Alto Networks. “Threat Brief: March 2026 Escalation of Cyber Risk Related to Iran”.

[11] Cidadãos pela Cibersegurança. “Ciberguerra em Expansão: Irão Intensifica Operações Digitais e Portugal Entra no Mapa de Risco”.

[12] Financial Times, via UOL. “Câmeras hackeadas ajudaram Israel e EUA a matar líder do Irã”.

[13] Politico. “Israel says it knocked out Iran’s cyber warfare headquarters”.

Por M.Sc. Eng. Perito Peterson Batista
Gerente de Infraestruturas Críticas no IDCiber®
Coordenador Nacional de Cibersegurança ANACO®
Advisory Board Gartner® - Security & Risk Management

A entrada em vigor da Lei 15.211 marca um ponto de inflexão na forma como o Brasil enxerga o ambiente digital. Pela primeira vez, há uma tentativa mais incisiva de estruturar a proteção de crianças e adolescentes em um espaço que, por definição, sempre foi dinâmico, descentralizado e difícil de controlar.

A intenção é legítima. Talvez até tardia. Proteger os mais vulneráveis em um ambiente cada vez mais hostil não é apenas necessário é inevitável e um grande desafio da era moderna cada vez mais conectada. Mas, como em praticamente toda iniciativa que envolve tecnologia e comportamento humano, o problema não está no objetivo mas sim na forma como esse objetivo é operacionalizado. É nesse ponto que a análise precisa sair do campo jurídico e avançar para uma leitura mais profunda, baseada em Segurança, Inteligência e Contrainteligência.

Sob a perspectiva da segurança, o movimento parece sólido e robusto. A exigência de verificação de idade tecnologicamente robusta, o fim da autodeclaração e a imposição de mecanismos de controle criam uma camada adicional de proteção. Na superfície, o ambiente se torna mais controlado, mais previsível e, aparentemente, mais seguro. Mas a triste realidade é que segurança isolada é uma ilusão confortável. Quando avançamos para a dimensão da inteligência, a pergunta muda e começa a ganhar proporção.

Deixamos de observar apenas o controle e passamos a analisar o sistema como um todo. O que está sendo construído para sustentar essa nova lógica de proteção?

A resposta é simples e, ao mesmo tempo, preocupante pois de fato oque estamos estruturando é uma infraestrutura de identidade digital em larga escala. Para provar que alguém não é menor de idade, plataformas passam a coletar, validar e, em muitos casos, armazenar dados altamente sensíveis como biometria facial, documentos oficiais e vínculos digitais confiáveis. Esse movimento transforma identidade em ativo central. E todo ativo de alto valor atrai interesse. Os indivíduos maliciosos estão a espreita. É aqui que a análise precisa dar mais um passo, entrando no campo da contrainteligência que é o campo mais negligenciado e, ao mesmo tempo, o mais crítico dessa equação protetiva.

A pergunta deixa de ser “como proteger” e passa a ser: como isso pode ser explorado?

A centralização, ainda que distribuída entre múltiplos fornecedores, cria um cenário extremamente atraente para indivíduos maliciosos. Não estamos mais falando de bases de dados com e-mails e senhas. Estamos falando de identidades validadas, de dados biométricos e de informações que não podem ser alteradas.

Biometria não é senha. Não existe remediação completa após um vazamento. Isso transforma qualquer incidente em um problema permanente. Ao mesmo tempo, a história da segurança da informação mostra um padrão claro onde toda barreira tecnológica gera um incentivo econômico para sua quebra. Sistemas de verificação de idade não eliminam o problema eles o transformam. O que surge, inevitavelmente, é a profissionalização dafraude. Serviços especializados, identidades sintéticas, manipulação de imagem e engenharia social mais sofisticada passam a ocupar o espaço criado por essas novas restrições.

O problema não desaparece. Ele evolui. E enquanto o sistema formal se fortalece, o comportamento humano se adapta. Restrições em ambientes regulados tendem a gerar deslocamento, não eliminação. Jovens impedidos de acessar determinadas plataformas não deixam de consumir conteúdo eles migram e aprendem a atuar como Hackers. Buscam alternativas, utilizam VPNs, entram em ambientes menos regulados, onde o controle é reduzido e os riscos são significativamente maiores.

O efeito é silencioso, mas estratégico e no fim perde-se visibilidade. E, sem visibilidade, perde-se capacidade de proteção real. Concomitante a isso empresas correm para atender às exigências regulatórias impostas sob supervisão da Autoridade Nacional de Proteção de Dados e em consonância com a Lei Geral de Proteção de Dados. No entanto, existe uma distinção fundamental que precisa ser estabelecida: conformidade não é sinônimo de segurança.

Na prática, muitas organizações irão priorizar checklists, integrar soluções de terceiros e buscar adequação rápida apena para estar em conforme. Porém o resultado tende a ser o aumento da complexidade sem o devido aumento de maturidade. E complexidade, quando mal gerida, gera fragilidade.

No fim, a Lei 15.211 não está apenas criando regras de acesso. Ela está redefinindo o eixo da segurança digital no Brasil.

Se antes protegíamos sistemas e, depois, acessos, agora o foco passa a ser a identidade. E identidade é permanente. Esse é o ponto central que precisa ser compreendido pois o desafio não é apenas implementar a lei, mas fazer isso sem criar um ecossistema estruturalmente mais vulnerável do que aquele que se pretende corrigir.

A Lei Felca nasce com um propósito correto. Mas, como toda estrutura que envolve dados em escala, ela carrega riscos que não estão na superfície, e sim nas conexões, nas dependências e nos incentivos que cria. O maior deles talvez seja este: ao tentar proteger uma geração, podemos estar expondo sua identidade de forma irreversível.

Como diria Sherlock Holmes, “nada é mais enganoso do que um fato óbvio”. O fato óbvio é a necessidade de proteger crianças no ambiente digital. O que não é óbvio e precisa ser discutido com seriedade é o custo estrutural dessa proteção.

Autor: Alex Nascimento

O avanço das fraudes digitais, especialmente as associadas ao roubo de cookies e sequestro de sessões, tem pressionado os modelos tradicionais de autenticação. Durante anos, a autenticação multifator (MFA) combinando senhas com SMS, tokens ou aplicativos autenticadores foi considerada suficiente para garantir acesso seguro. Contudo, o cenário de ameaças mudou de maneira radical. A explosão de malwares infostealers, ataques adversary-in-the-middle (AiTM), botnets e técnicas avançadas de phishing expôs uma fragilidade e mostrou que o MFA tradicional valida apenas o momento inicial do acesso, mas não protege a sessão ativa. Assim, quando um cookie é roubado, o invasor pode assumir a conta sem repetir o processo de login, explorando um ponto cego crítico para os métodos de autenticação clássicos.

Nesse contexto, a biometria comportamental surge como uma resposta altamente eficaz. Ao contrário dos fatores convencionais, que se baseiam no que o usuário sabe ou possui, ela se fundamenta em como o usuário se comporta. Ritmo de digitação, microvariações neuromusculares, padrões de movimentação do mouse, cadência de navegação e até pequenas rotinas motoras tornam-se sinais computáveis de identidade. A singularidade desses padrões cria um fator comportamental extremamente difícil de reproduzir, mesmo por atacantes humanos assistidos por IA ou bots avançados. Ao ser incorporada às plataformas modernas de IAM (Identity and Access Management), essa abordagem transforma a autenticação de um evento isolado para um processo contínuo.

O usuário não prova quem é apenas no login, ele confirma sua identidade a cada interação, de forma invisível e sem fricção. Quando ocorre qualquer mudança significativa no padrão comportamental, seja brusca ou mesmo sutil, o sistema reage com adaptações dinâmicas. Pequenas variações podem solicitar um desafio adicional, desvios maiores podem restringir ações críticas, e anomalias graves levam ao encerramento imediato da sessão. Esse monitoramento contínuo elimina precisamente o ponto cego explorado pelo roubo de sessões.

O setor financeiro, constantemente pressionado pelo dilema entre elevar a segurança e preservar uma experiência positiva do cliente, encontra aqui uma solução equilibrada. A biometria comportamental opera de maneira “invisível” e elimina dependências excessivas de desafios explícitos, reduzindo atritos e aumentando a resiliência contra fraudes baseadas em credenciais legítimas. Mesmo que um invasor possua senha, código MFA e cookie válido, ele não consegue replicar com precisão o comportamento cognitivo e motor do usuário real. Isso reduz de forma substancial tanto a eficácia do roubo de sessão quanto o sucesso de ataques que dependem de engenharia social.

Essa transformação também afeta a maneira como o MFA é compreendido. Ele não está sendo substituído, o que está contecendo na verdade é que ele está evoluindo para um modelo adaptativo, contextual e comportamental, no qual a confiança é recalculada continuamente, não apenas no instante do login. O MFA deixa de ser uma barreira estática e passa a integrar uma arquitetura de risco dinâmica, capaz de responder em tempo real ao comportamento do usuário e ao contexto da interação.

Do ponto de vista operacional, a biometria comportamental também reforça mecanismos de detecção de bots. Enquanto é relativamente fácil para um bot inserir códigos MFA ou repetir ações mecânicas, replicar comportamentos é praticamente impossível, pois trata-se de ações, muitas vezes involuntärias, neuromusculares, padrões motores consistentes ou a “assinatura digital” que caracteriza um ser humano. Isso amplia a capacidade de defesa contra fraude automatizada e ataques em escala.

Plataformas modernas já incorporam essa visão, como Microsoft Entra ID, Okta Adaptive MFA, BioCatch, LexisNexis Behavioral Biometrics e soluções avançadas de risco que utilizam sinais de identidade baseados em IA. Esses sistemas combinam análise comportamental, machine learning e detecção contínua de anomalias para identificar substituição de identidade, uso indevido de credenciais e tentativas de viver dentro da sessão comprometida.

A tendência é inexorável, as organizações que enxergam a autenticação apenas como um ponto de verificação isolado estarão cada vez mais expostas a riscos sofisticados. Por outro lado, aquelas que integram sinais comportamentais ao seu IAM estarão melhor preparadas para enfrentar a nova geração de fraudes digitais, onde o roubo de identidade tornou-se silencioso, persistente e altamente automatizado. A biometria comportamental não apenas reforça a segurança, mas redefine a própria noção de identidade digital ao transformar cada ação do usuário em uma confirmação de legitimidade.

Por vezes, a segurança mais forte é a que o usuário nem percebe.