Por Rodrigo Gazola, CEO da ADDEE.
Outubro é o Mês de Conscientização da Cibersegurança e, diante dos números recentes do Brasil, é difícil tratar o tema como uma preocupação restrita às equipes de tecnologia. Somente no primeiro semestre de 2026, o país registrou 249,3 bilhões de tentativas de ataques e atividades cibernéticas maliciosas, segundo levantamento do FortiGuard Labs, da Fortinet. Entre elas, foram identificadas 9 bilhões de varreduras ativas em busca de possíveis vulnerabilidades, volume 44% superior ao observado durante todo o ano de 2025.
É importante colocar esses números em perspectiva. Não estamos falando de 249,3 bilhões de empresas efetivamente invadidas. O indicador reúne tentativas de ataque e diferentes tipos de atividades maliciosas detectadas. Ainda assim, sua dimensão mostra a intensidade com que sistemas conectados são continuamente testados e procurados por agentes maliciosos.
O próprio CERT.br acompanha e notifica organizações brasileiras sobre dispositivos que mantêm serviços potencialmente vulneráveis expostos à internet. Em 2026, sua base inclui vulnerabilidades associadas a tecnologias amplamente utilizadas em ambientes corporativos, como Microsoft SharePoint, VMware, Cisco, Palo Alto e outras. O CERT.br ressalta que essas notificações indicam exposição potencial e não significam que todos os equipamentos estejam efetivamente vulneráveis.
Diante desse cenário, a discussão sobre cibersegurança precisa amadurecer. Durante muito tempo, boa parte da atenção esteve concentrada em impedir que um ataque acontecesse. Essa continua sendo uma frente indispensável, mas a pergunta que considero mais importante hoje é outra: se o ataque for bem-sucedido, quanto tempo a empresa levará para voltar a funcionar?
Os dados da Pesquisa ADDEE 2025 – Diagnóstico do Mercado MSP no Brasil ajudam a mostrar essa diferença entre possuir tecnologia e comprovar que ela funciona quando é necessária. Entre os prestadores de serviços gerenciados de TI ouvidos pela pesquisa, 99% utilizam soluções profissionais de backup. É um índice de adoção muito alto e mostra que a importância da proteção dos dados já está disseminada no mercado.
Quando observamos os testes de restauração, porém, aparece outro cenário. Apenas 26% afirmam realizá-los mensalmente e 32%, trimestralmente. Outros 28% testam a recuperação somente uma vez por ano e 14% nunca realizam esse procedimento. Esse é um ponto fundamental. Ter backup e conseguir recuperar uma empresa são coisas diferentes. Uma cópia pode existir e estar incompleta. Pode ter sido comprometida. Pode levar muito mais tempo para ser restaurada do que a operação suporta. Ou pode simplesmente não contemplar todos os ambientes que a organização imaginava estarem protegidos.
O Microsoft 365 é um bom exemplo. Na mesma pesquisa, 85% dos MSPs afirmaram comercializar backup para a plataforma. Entre os que trabalham com Microsoft 365, porém, 56% têm menos de 70% da base coberta por backup. Isso mostra que disponibilidade de tecnologia não significa necessariamente cobertura completa.
Por isso, o debate sobre cibersegurança precisa caminhar cada vez mais para o conceito de continuidade do negócio. Segurança não deveria ser medida apenas pelo número de ferramentas instaladas, mas também pela capacidade de detectar um problema, conter seus efeitos e restaurar aquilo que é necessário para a empresa continuar funcionando.
Há ainda uma questão de organização interna. A pesquisa identificou que 49% dos MSPs não possuem um plano formal de resposta a incidentes e 62% não mantêm documentação centralizada. São lacunas que podem parecer administrativas até o momento em que surge uma crise. Quando um ambiente fica indisponível, saber quem deve agir, quais sistemas têm prioridade e onde estão as informações necessárias pode determinar o tempo de recuperação.
Isso se torna ainda mais relevante diante da mudança na dinâmica dos ataques. As 9 bilhões de varreduras ativas identificadas pelo FortiGuard Labs no Brasil no primeiro semestre mostram uma atividade intensa de reconhecimento, na qual possíveis vulnerabilidades são procuradas antes das etapas posteriores de um ataque. Não existe setor imune a essa realidade. Uma indústria depende de tecnologia para produzir. Um varejista depende dela para vender e receber. Escritórios precisam acessar sistemas e documentos. Empresas de logística utilizam tecnologia para movimentar mercadorias. Hospitais, escolas e prestadores de serviços também mantêm processos essenciais em ambientes digitais.
Quando a tecnologia para, em muitos casos o próprio negócio para junto. É por isso que o Mês de Conscientização da Cibersegurança deveria ser aproveitado menos para repetir alertas genéricos e mais para testar a capacidade real das organizações. A empresa possui autenticação multifator nas contas críticas? Os acessos são revisados? Os sistemas estão atualizados? Existem backups protegidos? A restauração é testada regularmente? Há um plano de resposta? As pessoas sabem o que fazer diante de um incidente?
E talvez a pergunta mais reveladora seja muito simples: quando foi a última vez que a empresa simulou a recuperação de sua operação? Se a resposta não estiver clara, existe um risco que nenhuma quantidade de ferramentas, isoladamente, consegue resolver.
Os dados mostram que o mercado brasileiro avançou bastante na adoção de tecnologias de proteção. O próximo passo é transformar essa infraestrutura em resiliência operacional. Não basta acreditar que o backup funciona, que o plano está correto ou que os sistemas estão protegidos. É preciso testar. Em cibersegurança, preparação não é aquilo que uma empresa diz que conseguiria fazer durante uma crise. É aquilo que ela já comprovou que consegue fazer antes que a crise aconteça.
