O orçamento de cibersegurança ainda está desconectado da inteligência de ameaças

A inteligência que orienta a operação de segurança ainda pouco orienta o orçamento. Segundo o 2026 SANS SOC Survey Insights, 74% dos líderes de cibersegurança aplicam Cyber Threat Intelligence, ou CTI, às operações de segurança e às atividades de Threat Hunting. No entanto, apenas 26% utilizam essa mesma inteligência para orientar decisões de orçamento e priorização de investimentos.

Na prática, isso significa que conseguimos usar informações sobre ameaças para decidir o que investigar, quais comportamentos priorizar e onde concentrar os esforços de análise, mas ainda temos dificuldade de levar esse conhecimento para outra pergunta igualmente importante: onde faz sentido alocar o próximo investimento em cibersegurança?

Já acompanhei uma organização que gastava cerca de 4 milhões de reais por ano somente com soluções de segurança. O valor, isoladamente, não diz muita coisa. Para uma grande empresa, pode ser absolutamente compatível com o tamanho e a complexidade da operação. O problema naquele caso era outro. Havia duas ferramentas cumprindo praticamente a mesma função em determinadas linhas de defesa.

Em outra situação, durante o assessment de uma solução já contratada, descobrimos que boa parte das capacidades disponíveis sequer estava configurada. A empresa tinha comprado a tecnologia, mas não estava extraindo dela toda a capacidade do que havia adquirido.

Esses exemplos mostram por que discutir orçamento de cibersegurança apenas pelo tamanho do investimento pode levar a conclusões erradas. A pergunta deveria começar antes: qual serviço essa tecnologia/solução efetivamente entrega e qual visibilidade ela acrescenta à operação?

Leia mais: Parceria entre WDC Networks e Qualcomm leva IA na borda ao mercado brasileiro

Comprar novas tecnologias é mais simples do que revisar o que já existe?

Muitas vezes, surge uma nova ameaça, uma falha é identificada em uma auditoria ou a operação encontra um ponto cego, e a reação mais imediata é buscar uma nova solução. É uma decisão concreta, facilmente demonstrável e, muitas vezes, mais palatável internamente do que revisar arquitetura, integrações, configurações e processos existentes. O resultado pode ser um ambiente cada vez mais caro sem que isso represente, necessariamente, uma evolução proporcional na capacidade de proteção.

Uma pesquisa do Gartner com 162 grandes empresas mostrou que as organizações utilizam, em média, 45 ferramentas de cibersegurança. O número, por si só, também não determina se uma empresa possui ferramentas demais. Ambientes diferentes exigem arquiteturas diferentes. O problema começa quando não conseguimos explicar com clareza por que cada uma delas existe, a qual risco ou necessidade responde, quais capacidades estão sendo efetivamente utilizadas e onde começam as sobreposições.

A inteligência precisa chegar ao orçamento

É justamente aí que inteligência de ameaças e decisão de investimento deveriam se encontrar.

A CTI ajuda uma organização a entender quais adversários, técnicas e comportamentos são relevantes para seu ambiente. Se essa informação já é usada para orientar o Threat Hunting e a operação cotidiana do SOC, faz pouco sentido que ela deixe de influenciar justamente a definição do orçamento.

Um investimento deveria conseguir responder a um risco, uma exposição ou uma necessidade concreta. Isso não significa que cada ferramenta precise estar associada a uma ameaça específica, nem que seja possível prever tudo o que um atacante fará. Significa ter evidências suficientes para explicar por que determinada capacidade merece receber recursos antes de outra.

Essa mudança exige inverter uma lógica ainda comum. Em vez de começar a discussão pensando em qual ferramenta comprar ou qual categoria tecnológica precisa receber mais orçamento, a empresa deveria começar pela exposição.

Quais riscos realmente importam para esta organização? Quais capacidades já possuímos para enfrentá-los? Elas estão configuradas? Estão integradas? Funcionam como deveriam? Existe uma lacuna real que justifique um novo investimento?

Só depois disso deveríamos chegar à ferramenta.

Quando essa análise não acontece, é fácil perpetuar investimentos simplesmente porque eles já fazem parte da arquitetura ou do orçamento. Uma solução é renovada porque sempre foi renovada. Outra é adicionada para resolver uma necessidade específica, mesmo que uma tecnologia já contratada pudesse oferecer a mesma capacidade. Aos poucos, a operação acumula produtos sem revisar com a mesma frequência o valor que cada um continua entregando.

O próximo investimento pode ser humano

Existe ainda outra assimetria relevante. O SANS aponta o capital humano como a principal restrição ao financiamento das prioridades de cibersegurança. Orçamentos destinados à tecnologia frequentemente avançam com mais facilidade do que aprovações para novas contratações.

Isso cria um cenário curioso. Podemos adicionar capacidade tecnológica à operação sem necessariamente adicionar pessoas com tempo, conhecimento e contexto suficientes para implantá-la, configurá-la, integrá-la e utilizá-la adequadamente.

Uma ferramenta não implementa sozinha a estratégia para a qual foi comprada.

Em muitos ambientes, portanto, talvez o próximo investimento necessário não seja outra licença. Pode ser capacitação, integração entre soluções já existentes, revisão de regras, melhoria de processos, automação ou profissionais capazes de extrair mais valor das capacidades que a organização já possui.

Isso exige uma visão de portfólio. Investimentos anteriores não deveriam permanecer intocados simplesmente porque já fazem parte do orçamento. As ameaças mudam, a arquitetura muda, o negócio muda e as próprias soluções evoluem. Uma ferramenta que fazia sentido há três anos pode hoje ter uma função coberta por outra plataforma. Da mesma forma, uma capacidade que não parecia prioritária anteriormente pode se tornar crítica diante de uma mudança no cenário de ameaças.

A inteligência produzida pelo SOC oferece sinais para fazer essa revisão continuamente.

Por isso, acredito que um SOC mais estratégico não deve entregar apenas alertas, investigações e indicadores operacionais. Ele também precisa produzir contexto para a gestão. A inteligência que mostra quais ameaças estão ganhando relevância ou quais técnicas representam maior exposição para a organização pode ajudar a definir não apenas o que a equipe deve investigar amanhã, mas o que a empresa deveria financiar no próximo ciclo de investimento.

O desafio não é deixar de investir em tecnologia. Muito menos reduzir orçamento indiscriminadamente. É conseguir demonstrar por que estamos investindo em determinada capacidade e qual risco esperamos ajudar a reduzir com ela.

Se a inteligência de ameaças já nos ajuda a decidir onde olhar, ela também deveria nos ajudar a decidir onde investir.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!