Cibersegurança não é delegação
Por The Shift
A transformação digital das empresas criou um novo tipo de risco corporativo, que não aparece apenas nos servidores ou nas redes. Aparece na própria estrutura de decisão das organizações, quando conselhos de administração tratam segurança cibernética como checklist regulatório ou como problema técnico. Só que essa é uma ameaça estratégica. Os boards mais preparados entendem que governar segurança significa governar risco, liderança e resiliência.
A maioria dos conselhos hoje compreende que um grande ataque cibernético pode ser devastador para a organização. Uma violação pode paralisar operações, destruir reputações, comprometer dados sensíveis e afetar diretamente receitas e valor de mercado. Não por acaso, o relatório anual de crimes do FBI mostrou que as perdas globais associadas ao cibercrime cresceram 33% em um único ano, atingindo US$ 20,87 bilhões com a participação de chatbots e uso de IA para fraudes.
Acontece que muitos boards continuam tratando a segurança cibernética de forma reativa e superficial. Em muitos casos, a segurança aparece na pauta apenas quando ocorre um incidente relevante ou quando surgem novas exigências regulatórias. Isso cria uma ilusão de controle, como apontam Jeffrey Proudfoot e Stuart Madnick, ligados ao MIT Sloan. Após entrevistar mais de 75 diretores e executivos ligados a conselhos, eles concluíram que, quando se trata de cibersegurança, a maturidade de governança evolui lentamente.
Outro levantamento citado em debates sobre governança digital mostra o mesmo padrão: 94% dos boards dizem estar confiantes em sua postura de segurança, mesmo diante de um cenário de ataques cada vez mais frequentes e sofisticados. Essa discrepância entre percepção e realidade ajuda a explicar por que tantas organizações continuam sendo surpreendidas por incidentes.
O primeiro problema: a falta de expertise em cibersegurança
A maioria dos boards foi historicamente formada por executivos com experiência em áreas como Finanças, Direito ou Gestão Corporativa. Isso faz sentido sob a ótica tradicional de governança, mas cria lacunas quando o assunto é tecnologia. O estudo “Cyber warrior or Cyber Washing? Examining the Expertise of Board Members Serving on Cybersecurity Committees” analisou 239 membros de comitês de cibersegurança em 62 empresas. O resultado foi revelador:
- 1 diretor possuía formação formal em Cibersegurança
- 5 tinham certificações na área
- 16 possuíam experiência prática relevante em segurança digital
Ou seja: mesmo em comitês dedicados ao tema, o conhecimento técnico costuma ser limitado. Isso ajuda a explicar por que muitos conselhos acreditam que a solução seria simplesmente adicionar um especialista em segurança ao board.
Mas a pesquisa sugere que essa abordagem pode ser insuficiente. O motivo é simples: o cenário de ameaças evolui rápido demais. Mesmo especialistas encontram dificuldade para acompanhar a velocidade das mudanças tecnológicas.
Um diretor entrevistado no estudo resume o desafio: “Eu sou ‘o cara de tecnologia e cibersegurança’ em vários conselhos. Mesmo trabalhando no Vale do Silício e conhecendo tecnologia, tenho dificuldade para acompanhar a velocidade dessas mudanças.”
O problema não é apenas a falta de especialistas, é a forma como os conselhos entendem seu próprio papel.
Para saber como os conselhos podem ajudar a construir resiliência digital nas empresas, leia o artigo completo na The Shift.
Conteúdo originalmente produzido e publicado por The Shift. Reprodução autorizada exclusivamente para a Abranet. A reprodução por terceiros, parcial ou integral, não é permitida sem autorização.
