Cibersegurança: por que uma palestra por ano não resolve o risco humano?

Passei parte da minha carreira como CIO de bancos e, durante anos, estive do outro lado do balcão, como responsável por ambientes em que segurança não era apenas uma preocupação da área de Tecnologia da Informação, mas uma condição para o funcionamento do negócio. Essa experiência me ensinou algo que continua válido mesmo com toda a evolução da cibersegurança: podemos aumentar as barreiras tecnológicas, mas sempre haverá uma variável mais difícil de controlar: as pessoas.

Leia também: IA já chegou a 66% dos pequenos negócios, mas uso na gestão financeira é limitado

Isso não significa responsabilizar o funcionário por todo incidente de segurança. Significa reconhecer que parte importante da proteção depende de decisões cotidianas: clicar ou não em um link, compartilhar uma informação, instalar uma aplicação, conceder um acesso ou utilizar uma ferramenta sem conhecer os riscos envolvidos.

A inteligência artificial tornou esse problema ainda mais complexo. Hoje, um profissional pode expor informações confidenciais sem instalar qualquer software ou perceber que está criando uma vulnerabilidade. Basta copiar um contrato, uma base de clientes, um trecho de código ou informações financeiras e inseri-los em uma ferramenta pública de IA para tentar ganhar produtividade.

Esse fenômeno está relacionado ao chamado Shadow AI, caracterizado pelo uso de ferramentas de inteligência artificial sem aprovação, políticas ou governança da organização. Na prática, é uma nova versão de um problema conhecido pelas áreas de segurança: a tecnologia começa a ser utilizada antes que a empresa consiga estabelecer os controles necessários para seu uso.

Dados da Check Point Research ajudam a dimensionar essa realidade. Em janeiro de 2026, um em cada 30 prompts enviados a ferramentas de IA generativa a partir de redes corporativas apresentava alto risco de exposição de dados sensíveis. O problema foi identificado em 93% das organizações que utilizavam regularmente essas ferramentas.

O desafio se torna ainda maior quando consideramos o cenário brasileiro. No mesmo período, organizações no país registraram uma média de 3.685 ataques cibernéticos por semana, crescimento de 55% em relação ao ano anterior e volume superior à média global, de 2.090 ataques semanais.

Temos, portanto, uma combinação delicada: mais tentativas de ataque, ambientes tecnológicos cada vez mais complexos e funcionários adotando novas ferramentas em uma velocidade maior do que muitas políticas corporativas conseguem acompanhar.

É justamente por isso que tenho ressalvas quando a conscientização em cibersegurança é tratada como uma ação pontual. Programas de conscientização precisam ser contínuos porque o risco também é contínuo: funcionários entram e saem, novas ferramentas são incorporadas à rotina e as técnicas utilizadas pelos atacantes mudam constantemente.

Uma palestra anual pode cumprir uma obrigação interna, mas dificilmente modifica comportamentos de forma permanente. A segurança precisa acompanhar a rotina das pessoas por meio de diferentes iniciativas, como conteúdos curtos, campanhas, simulações de phishing e treinamentos direcionados.

Também não faz sentido oferecer exatamente o mesmo treinamento para toda a organização. Quem trabalha com finanças está exposto a riscos diferentes de quem atua em Recursos Humanos, desenvolvimento de software, compras ou atendimento ao cliente. A conscientização tende a ser mais efetiva quando está relacionada às situações que cada profissional realmente encontra em seu trabalho.

Mas treinamento, sozinho, também não é uma solução definitiva.

Empresas possuem sistemas, processos, pessoas, níveis de maturidade, exposição e capacidade de investimento muito diferentes. Essa realidade fica ainda mais evidente quando saímos do universo das maiores corporações.

Grandes organizações conseguem manter estruturas robustas, equipes numerosas e projetos extensos de segurança. Empresas médias e organizações inseridas em cadeias críticas enfrentam muitas vezes ameaças semelhantes, mas não dispõem dos mesmos recursos financeiros ou humanos.

Nesses casos, tentar reproduzir toda a estrutura de segurança de uma grande corporação pode não ser viável. A discussão precisa começar pela identificação dos riscos que realmente importam para cada negócio.

Em vez de começar pela compra de mais uma ferramenta, uma estratégia de cibersegurança deveria partir do diagnóstico. Isso significa identificar os ativos e dados mais críticos, entender quem possui acesso a eles, avaliar comportamentos e processos, verificar como novas tecnologias, incluindo a inteligência artificial, estão sendo utilizadas e analisar o nível de maturidade da organização.

A partir desse diagnóstico, torna-se possível transformar uma lista praticamente infinita de ameaças em prioridades, identificando quais vulnerabilidades representam maior impacto para o negócio e combinando controles tecnológicos, revisão de processos, políticas de acesso, monitoramento e programas contínuos de conscientização.

Essa abordagem é particularmente importante para empresas que não possuem orçamento ou equipes suficientes para atuar em dezenas de frentes simultaneamente. Segurança não significa necessariamente investir mais, mas compreender melhor onde investir.

Uma organização pode descobrir, por exemplo, que sua maior exposição não está na ausência de uma nova tecnologia, mas em privilégios excessivos, processos mal definidos, uso não governado de IA ou falta de conscientização de determinados grupos de funcionários.

Reduzir o risco humano em cibersegurança, portanto, começa por entender onde pessoas, processos e tecnologia se encontram e quais fragilidades surgem dessa relação. Depois disso, é possível definir controles proporcionais ao risco e à realidade de cada organização.

Ferramentas são indispensáveis, mas não substituem diagnóstico, governança e cultura de segurança.

Depois de acompanhar esse desafio tanto como executivo responsável por ambientes críticos quanto hoje do lado de quem ajuda organizações a protegê-los, vejo que a tecnologia continuará avançando, assim como os ataques. O elemento humano permanecerá no centro dessa equação.

O objetivo não deve ser tornar as pessoas infalíveis, mas construir um ambiente capaz de reduzir erros, identificar vulnerabilidades continuamente e concentrar recursos onde eles realmente fazem diferença. Em cibersegurança, não existe solução única. Existe diagnóstico, prioridade e constância

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!