Maturidade cibernética cai à medida que empresas ampliam visibilidade sobre riscos
Maior visibilidade dos ambientes revela lacunas antes desconhecidas e reforça a necessidade de testar controles e planos de resposta
A percepção sobre a maturidade cibernética das empresas está mudando à medida que as organizações ampliam a visibilidade sobre seus próprios ambientes. Um levantamento da Fortinet mostra que 49% das organizações se classificavam no nível mais avançado de maturidade em 2025, percentual que caiu 17% na edição seguinte. No mesmo período, porém, a visibilidade sobre os ambientes praticamente triplicou, indicando que parte da queda pode estar relacionada à capacidade maior de identificar riscos e lacunas que antes não eram percebidos.
Para a Redbelt Security, consultoria brasileira especializada em segurança da informação, o movimento mostra uma mudança na forma como as empresas avaliam sua própria maturidade. A existência de ferramentas, controles e processos documentados deixou de ser suficiente para determinar se uma organização está preparada para enfrentar um incidente.
“Quando a visibilidade aumenta, a empresa passa a enxergar riscos que já estavam ali, mas que antes não eram identificados. Isso pode fazer a percepção de maturidade cair, embora represente uma evolução na capacidade de entender o próprio ambiente”, afirma Eduardo Lopes, CEO da Redbelt Security.
Outro levantamento, realizado pelo SANS com 600 líderes de segurança, reforça a distância entre ter um processo formalizado e estar preparado para colocá-lo em prática. Segundo a pesquisa, 99% das organizações possuem um plano de resposta a incidentes, mas 73% acreditam que ele não funcionaria tão bem caso precisasse ser acionado. Apenas 32% consideram os exercícios de simulação, como tabletop, uma prática crucial.
Na avaliação da Redbelt Security, os números expõem uma fragilidade comum, empresas que possuem planos de resposta, recuperação de desastre e continuidade documentados, mas não submetem esses processos a situações que permitam identificar falhas.
“Existem duas formas de colocar a maturidade à prova, realizar um teste ou enfrentar um incidente real. A segunda alternativa costuma ser muito mais cara para descobrir que o processo não funciona. O teste permite encontrar as falhas antes que elas afetem a operação”, explica Eduardo Lopes.
A diferença entre possuir um mecanismo de segurança e comprovar sua efetividade aparece em processos considerados básicos dentro das organizações. Um backup, por exemplo, pode ser executado regularmente e ainda assim falhar no momento da restauração. O mesmo vale para planos de disaster recovery, gestão de acessos e resposta a incidentes.
Em um ambiente de recuperação de desastre, por exemplo, não basta comprovar que o ambiente alternativo pode ser acionado. É necessário verificar também se a operação consegue retornar ao ambiente original. Na gestão de identidades e acessos, o processo pode funcionar adequadamente durante admissões e desligamentos, mas deixar permissões antigas associadas a profissionais que mudaram de função.
A mudança na percepção de maturidade também está relacionada à evolução das ferramentas de segurança. A ampliação da capacidade de monitorar ativos, identificar comportamentos suspeitos e acompanhar ambientes antes pouco visíveis fez com que áreas como tecnologia operacional (OT) entrassem de forma mais consistente no radar das equipes de segurança.
Em setores industriais, o desafio é ainda maior pela presença de sistemas legados e equipamentos que não suportam os mesmos mecanismos de proteção utilizados em ambientes tradicionais de TI. A implementação de segurança precisa considerar as particularidades da operação para não comprometer processos produtivos.
A evolução da maturidade também aparece na forma como a segurança é discutida dentro das empresas. O tema deixou de ficar restrito a indicadores técnicos e passou a ser relacionado a riscos operacionais, receita, continuidade e eficiência.
“O CISO precisa conseguir traduzir um risco técnico para uma consequência de negócio. Saber quantas vulnerabilidades existem é importante, mas entender quais delas podem interromper uma operação, comprometer uma fonte de receita ou gerar um impacto financeiro muda a qualidade da decisão”, finaliza Eduardo Lopes.
Sobre a Redbelt Security
Fundada em 2009, a Redbelt Security é uma consultoria especializada em Segurança da Informação. A marca atua com Serviços Gerenciados de Segurança (MSS), Security Operations Center (SOC), Offensive Security, Threat Intelligence, Governança, Riscos & Compliance (GRC), e suporte especializado no gerenciamento de ambientes de TI e ações preventivas contra novas ameaças, contando com uma equipe altamente especializada e certificada. Para mais informações, acesse: https://www.redbelt.com.br/