Cibersegurança e o Limite das Palestras Anuais na Mitigação do Risco Humano

Desafios da cibersegurança: o papel crucial das pessoas na proteção dos dados

Passei parte da minha carreira como CIO de bancos, onde a segurança era uma condição essencial para o funcionamento do negócio. Essa vivência destacou que, apesar do avanço das barreiras tecnológicas, a variável mais difícil de controlar é o comportamento humano.

Não se trata de responsabilizar os funcionários por incidentes de segurança, mas de reconhecer que decisões cotidianas, como clicar em links ou compartilhar informações, são fundamentais para a proteção dos dados.

A inteligência artificial complicou ainda mais essa questão. Profissionais podem expor informações confidenciais sem perceber, apenas ao copiar dados e inseri-los em ferramentas de IA públicas em busca de maior produtividade.

Esse fenômeno é conhecido como Shadow AI, que refere-se ao uso de ferramentas de inteligência artificial sem a devida aprovação ou governança. Isso representa um desafio, pois a tecnologia é utilizada antes que a empresa estabeleça controles adequados.

Estatísticas recentes mostram que, em janeiro de 2026, um em cada 30 prompts enviados a ferramentas de IA generativa a partir de redes corporativas apresentava alto risco de exposição de dados sensíveis. A maioria das organizações que utilizam essas ferramentas enfrenta esse problema.

No Brasil, o cenário é ainda mais alarmante. Organizações registraram uma média de 3.685 ataques cibernéticos por semana, um aumento de 55% em relação ao ano anterior, superando a média global de 2.090 ataques semanais.

Assim, temos uma combinação delicada: mais tentativas de ataque, ambientes tecnológicos complexos e colaboradores adotando novas ferramentas mais rapidamente do que as políticas corporativas conseguem acompanhar.

Por isso, a conscientização em cibersegurança não pode ser uma ação pontual. Programas de conscientização devem ser contínuos, pois o risco é constante: novos funcionários entram, novas ferramentas são adotadas e as táticas dos atacantes evoluem.

Uma palestra anual pode ser insuficiente para mudar comportamentos de forma duradoura. A segurança deve ser integrada ao cotidiano dos colaboradores, por meio de conteúdos curtos, campanhas, simulações de phishing e treinamentos específicos.

Além disso, não faz sentido aplicar o mesmo treinamento a todos os colaboradores. Profissionais de diferentes áreas enfrentam riscos distintos, e a conscientização é mais eficaz quando se relaciona às situações específicas do trabalho de cada um.

No entanto, o treinamento isolado não é uma solução definitiva.

Empresas têm diferentes sistemas, processos, níveis de maturidade e capacidades de investimento. Essa diversidade é ainda mais evidente fora do contexto das grandes corporações.

Grandes organizações conseguem manter estruturas robustas e equipes extensas, enquanto empresas menores enfrentam ameaças semelhantes, mas carecem de recursos financeiros e humanos adequados.

Portanto, tentar replicar a estrutura de segurança de uma grande corporação pode não ser viável. A discussão deve começar pela identificação dos riscos relevantes para cada negócio.

Em vez de adquirir mais ferramentas, uma estratégia de cibersegurança deve iniciar com um diagnóstico. Isso envolve identificar os ativos e dados críticos, entender quem tem acesso a eles, avaliar comportamentos e processos, e analisar como novas tecnologias estão sendo utilizadas.

Com esse diagnóstico, é possível priorizar as ameaças, identificando quais vulnerabilidades têm maior impacto e combinando controles tecnológicos, revisão de processos e programas contínuos de conscientização.

Essa abordagem é vital para empresas que não têm orçamento ou equipes suficientes para atuar em múltiplas frentes. Segurança não significa apenas investir mais, mas investir de forma mais inteligente.

Uma organização pode descobrir que sua maior exposição não está na falta de tecnologia, mas em privilégios excessivos, processos mal definidos ou na falta de conscientização de determinados grupos de funcionários.

Portanto, reduzir o risco humano em cibersegurança começa por entender onde pessoas, processos e tecnologia se interagem e quais fragilidades surgem dessa relação. A partir disso, é possível estabelecer controles proporcionais ao risco e à realidade de cada organização.

Ferramentas são essenciais, mas não substituem um diagnóstico adequado, governança e uma cultura de segurança sólida.

Após vivenciar esse desafio tanto como executivo quanto como consultor, percebo que a tecnologia e os ataques continuarão a evoluir, e o elemento humano permanecerá central nessa equação.

O objetivo deve ser criar um ambiente que minimize erros, identifique vulnerabilidades continuamente e concentre recursos onde são realmente necessários. Em cibersegurança, não há uma