Por Daniel Tieppo, especialista em cibersegurança e diretor executivo da Hexa Security.

Boa parte das empresas brasileiras trata cibersegurança como uma lista de compras: firewall, antivírus, backup, autenticação multifator. O problema é que nenhuma dessas ferramentas responde a uma pergunta anterior e mais importante, que é onde exatamente estão as vulnerabilidades daquela organização específica. Sem essa resposta, o investimento em proteção vira um exercício de tentativa e erro, caro e frequentemente ineficaz.

Os números confirmam esse descompasso. Segundo o Cybersecurity Readiness Index 2025, da Cisco, apenas 5% das empresas brasileiras atingiram o patamar considerado maduro em cibersegurança, o mesmo percentual registrado na edição anterior do estudo. Não houve avanço. As organizações seguem comprando tecnologia sem antes mapear onde ela precisa ser aplicada com mais urgência.

O dado incomoda menos pelo valor em si e mais pelo que ele revela. O mercado aumentou gastos em segurança nos últimos anos, mas essa curva de investimento não se traduziu em curva equivalente de maturidade, o que só acontece quando o dinheiro entra no lugar errado do processo: na compra de tecnologia antes do mapeamento de risco que deveria orientar essa compra.

O exemplo mais claro dessa desconexão está nas empresas de capital aberto, que, em tese, reúnem as melhores condições para fazer esse dever de casa. Um levantamento da Abrasca com o Security Design Lab atribuiu nota média de 4,9, numa escala de 0 a 10, à maturidade em cibersegurança das companhias listadas na B3.

Se organizações com orçamento robusto e obrigações regulatórias rigorosas ainda tiram nota mediana, o problema não é falta de recurso. É a ausência de um processo estruturado que diga a essas empresas, com precisão, onde elas estão vulneráveis antes de decidirem onde investir.

Diagnóstico é dado, não intuição

Esse processo estruturado não se resume a uma prática isolada. Ele combina diferentes frentes de diagnóstico, cada uma respondendo a uma parte do problema: o risk assessment, que mapeia e prioriza riscos a partir do contexto real do negócio; o ASM (Attack Surface Management), que monitora de forma contínua tudo o que está exposto na internet e pode virar porta de entrada; e o teste de invasão, ou pentest, que simula um ataque real para revelar falhas antes que um criminoso as explore.

Um levantamento recente da Pesquisa de Maturidade da Indústria em Cibersegurança mostrou que apenas 11,6% das empresas realizam pentest com regularidade, enquanto 63,3% simplesmente não o fazem — um retrato que tende a se repetir quando se olha para as demais práticas de diagnóstico.

O motivo não costuma ser resistência a essas práticas, e sim a crença de que a tecnologia já instalada dá conta do trabalho sozinha. Essa crença é o verdadeiro ponto cego do setor.

Um firewall bem configurado impede acessos não autorizados que ele reconhece como ameaça, mas não avalia se uma senha fraca de um fornecedor terceirizado abre uma porta lateral para o sistema, ou se um processo de concessão de acesso ficou desatualizado depois da saída de um funcionário.

Esse tipo de falha só aparece quando alguém testa ativamente a estrutura, não quando alguém presume que ela está protegida porque o produto certo foi comprado. O diagnóstico é o que diferencia gasto de investimento: sem ele, a empresa paga por segurança sem necessariamente comprar redução de risco.

O tempo perdido tem preço

Se o diagnóstico já é raro na etapa de prevenção, sua falta fica ainda mais evidente quando um ataque de fato acontece. O Cost of a Data Breach Report 2025, da IBM, mostra que o ciclo médio entre identificação e contenção de uma violação de dados foi de 241 dias em 2025, o menor patamar em nove anos e, ainda assim, quase oito meses de exposição.

Esse número existe porque a maioria das empresas não tem um retrato atualizado do que é “normal” dentro da própria rede. Sem esse parâmetro, não há como distinguir uma atividade legítima de uma anomalia, e o ataque segue circulando disfarçado de rotina. O impacto financeiro dessa demora confirma a lógica: segundo o mesmo relatório, empresas que contêm um incidente em até 200 dias registram custo médio de US$ 3,87 milhões, contra US$ 5,01 milhões nas que ultrapassam esse prazo.

O tripé que sustenta a decisão

No fundo, todas essas práticas de diagnóstico convergem para o mesmo objetivo, que pode ser resumido em três pilares. O primeiro é a visibilidade: saber, a qualquer momento, o que está acontecendo dentro do ambiente digital da empresa. O segundo é a observabilidade: entender por que e como aquilo está acontecendo, o que permite distinguir uma anomalia real de um ruído qualquer. O terceiro é a governança: transformar esse entendimento em processo, com responsáveis, critérios e continuidade — o que garante que a segurança se mantenha ao longo do tempo, e não apenas no dia em que a ferramenta foi instalada.

É esse tripé que deveria orientar qualquer decisão de investimento. Sem visibilidade, a empresa não sabe o que precisa proteger. Sem observabilidade, não consegue interpretar o que vê. E, sem governança, mesmo enxergando e entendendo os riscos, não sustenta a resposta a eles no tempo. Com essa base estabelecida, a escolha de quais serviços e ferramentas adotar deixa de ser tentativa e erro e passa a ser consequência direta do diagnóstico.

A diferença não nasce de uma tecnologia mais cara, nasce da capacidade de enxergar o problema mais cedo. E enxergar cedo é, por definição, uma função de diagnóstico contínuo — sustentado por visibilidade, observabilidade e governança —, não de uma ferramenta isolada.

O diagnóstico deveria ser processo e não um evento isolado. Uma avaliação de risco feita há dois anos descreve uma empresa que já não existe mais, com fornecedores diferentes, funcionários diferentes e superfície de ataque diferente. O mercado brasileiro amadureceu na hora de comprar tecnologia de segurança, mas segue tratando o mapeamento de risco como etapa dispensável, quando, na verdade, é ela que determina se o resto do investimento vai proteger o que precisa ser protegido.

Toda estratégia de cibersegurança que funciona começa pela mesma pergunta, que é conhecer com precisão os próprios riscos antes de tentar resolvê-los.