{"id":691,"date":"2026-09-17T09:35:34","date_gmt":"2026-09-17T12:35:34","guid":{"rendered":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/?p=691"},"modified":"2026-09-17T09:35:36","modified_gmt":"2026-09-17T12:35:36","slug":"seguranca-cibernetica-falta-de-articulacao-institucional-impacta-capacidade-de-resposta-a-incidentes","status":"publish","type":"post","link":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/2026\/09\/17\/seguranca-cibernetica-falta-de-articulacao-institucional-impacta-capacidade-de-resposta-a-incidentes","title":{"rendered":"Seguran\u00e7a Cibern\u00e9tica: Falta de articula\u00e7\u00e3o institucional impacta capacidade de resposta a incidentes"},"content":{"rendered":"\n

Por Adriana Prado<\/strong> (Diretora executiva – FTI Consulting)<\/p>\n

\u00a0<\/p>\n

O ano era 2020. Rec\u00e9m-implementada no Brasil, a Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais (LGPD) dominava as discuss\u00f5es sobre seguran\u00e7a da informa\u00e7\u00e3o no pa\u00eds. Foi quando comecei a\u00a0 analisar mais fortemente a incoer\u00eancia entre discurso e pr\u00e1tica na postura das empresas brasileiras em rela\u00e7\u00e3o a incidentes envolvendo dados pessoais. Embora o dano \u00e0 imagem j\u00e1 fosse reconhecido como um dos principais impactos de vazamentos e outras situa\u00e7\u00f5es cr\u00edticas, raramente se via o aspecto reputacional sendo devidamente considerado nos processos de prepara\u00e7\u00e3o para crises dessa natureza. Corta para 2026. Hoje, mais de meia d\u00e9cada depois, trago estudos recentes para corroborar a constata\u00e7\u00e3o de que aquela contradi\u00e7\u00e3o se mant\u00e9m. E pior, ela se aplica a um cen\u00e1rio mais amplo, da seguran\u00e7a cibern\u00e9tica.<\/p>\n

Realizada pelo MiTi – Markets Innovation & Technology Institute, a 3\u00aa edi\u00e7\u00e3o da Pesquisa Setorial em Ciberseguran\u00e7a, Intelig\u00eancia Artificial e Governan\u00e7a de Dados, de 2025, escancara a situa\u00e7\u00e3o: ainda que 72% das empresas participantes considerem o impacto reputacional de um incidente cibern\u00e9tico mais cr\u00edtico do que o financeiro, s\u00f3 19% tem planos formais de Comunica\u00e7\u00e3o para tais crises.<\/p>\n

Al\u00e9m disso, com base em minha experi\u00eancia na prepara\u00e7\u00e3o e resposta a incidentes cibern\u00e9ticos junto a empresas de diversos setores, noto tamb\u00e9m uma confus\u00e3o conceitual que agrava o cen\u00e1rio: quando CISOs, CIOs, DPOs e outros profissionais mais diretamente envolvidos com temas de seguran\u00e7a cibern\u00e9tica falam em \u201ccomunica\u00e7\u00e3o\u201d, eles comumente est\u00e3o se referindo a assessoria de imprensa, \u201credes sociais\u201d e\/ou marketing. \u201cAh, SE tivermos um incidente que se torne p\u00fablico, a nossa \u00e1rea de comunica\u00e7\u00e3o vai acabar sendo envolvida\u201d, dizem. Isso at\u00e9 \u00e9 verdade. No entanto, como as organiza\u00e7\u00f5es, em geral, dividem as responsabilidades de Comunica\u00e7\u00e3o (assim mesmo, com C mai\u00fasculo, enquanto disciplina que impacta todo o neg\u00f3cio) entre diversos departamentos (assuntos regulat\u00f3rios, jur\u00eddico, RH, comercial, rela\u00e7\u00f5es com investidores, sustentabilidade etc), a equipe de comunica\u00e7\u00e3o acaba mesmo cuidando \u201cs\u00f3\u201d da rela\u00e7\u00e3o com parte dos stakeholders<\/em> cr\u00edticos da companhia. E \u00e9 a\u00ed que mora o perigo.<\/p>\n

Em muitos casos, os incidentes cibern\u00e9ticos repercutem negativamente entre diversos stakeholders<\/em> cr\u00edticos para as empresas, mas n\u00e3o chegam \u00e0 imprensa ou \u00e0s redes sociais. Isso quer dizer que n\u00e3o houve um dano reputacional? N\u00e3o mesmo! Como bem define o Gloss\u00e1rio de Crise do Observat\u00f3rio Brasileiro de Comunica\u00e7\u00e3o de Crise, a \u201cReputa\u00e7\u00e3o\u201d \u00e9 \u201c(…) baseada em percep\u00e7\u00f5es, opini\u00f5es e julgamentos dos grupos de relacionamento de uma organiza\u00e7\u00e3o sobre o quanto ela \u00e9 capaz de honrar e cumprir as promessas que faz\u201d. No fim das contas, \u00e9 a base das tantas rela\u00e7\u00f5es que permitem que a empresa exista. Tomemos como exemplo uma ind\u00fastria B2B. Um incidente gera uma disrup\u00e7\u00e3o operacional importante, afetando clientes, funcion\u00e1rios, fornecedores e parceiros comerciais, entre outros p\u00fablicos. Nada sai no jornal, mas a empresa precisa renegociar prazos, acalmar preocupa\u00e7\u00f5es e at\u00e9 convencer a emissora de certificado de qualidade de que tudo est\u00e1 sob controle. J\u00e1 vi acontecer. Mais de uma vez.<\/p>\n

O que a empresa vai dizer sobre o ocorrido para esses stakeholders<\/em> pode n\u00e3o ser uma tarefa direta da \u00e1rea de comunica\u00e7\u00e3o, mas \u00e9 uma atividade de Comunica\u00e7\u00e3o. Manter a consist\u00eancia na narrativa talvez seja a li\u00e7\u00e3o n\u00famero 1 de qualquer manual de crise, mas, na pr\u00e1tica, raramente \u00e9 o que acontece quando um risco cibern\u00e9tico se materializa. Como a responsabilidade pelo relacionamento com os diferentes p\u00fablicos de interesse muitas vezes \u201cmora\u201d em diversas \u00e1reas da empresa, alcan\u00e7ar esse alinhamento \u00e9 desafiador porque, em suma, falta articula\u00e7\u00e3o e alinhamento institucional em rela\u00e7\u00e3o ao tema \u201cseguran\u00e7a cibern\u00e9tica\u201d.<\/p>\n

Como todo desafio, isso tamb\u00e9m representa uma oportunidade para os profissionais de Comunica\u00e7\u00e3o, que podem favorecer o di\u00e1logo entre as diferentes \u00e1reas da companhia sobre o impacto reputacional de crises de origem cibern\u00e9tica \u2013 que t\u00eam as suas especificidades e ainda s\u00e3o um terreno novo para muita gente.<\/p>\n

\u00c9 comum, por exemplo, que uma empresa s\u00f3 descubra estar sob ataque quando o impacto j\u00e1 \u00e9 vis\u00edvel de alguma forma. Os criminosos (seja de dentro ou de fora da organiza\u00e7\u00e3o) em geral passam um bom tempo se familiarizando e se movimentando nos ambientes virtuais de suas v\u00edtimas antes de \u201coficializarem\u201d a invas\u00e3o. A organiza\u00e7\u00e3o pode realmente n\u00e3o ter ideia de que algo errado se passa at\u00e9 ser informada por um p\u00fablico externo (como imprensa, os pr\u00f3prios hackers<\/em>, clientes, parceiros comerciais e empresas que monitoram amea\u00e7as), o que j\u00e1 de in\u00edcio pode passar uma impress\u00e3o de inefici\u00eancia ou at\u00e9 de opacidade.<\/p>\n

Isso se relaciona com outra especificidade das crises cibern\u00e9ticas: os atores que normalmente as provocam n\u00e3o apenas aperfei\u00e7oam suas t\u00e1ticas continuamente, incluindo press\u00e3o cont\u00ednua por meio de atividades de Comunica\u00e7\u00e3o, como reagem aos esfor\u00e7os das empresas atacadas em tempo real. Ou seja, o cen\u00e1rio pode mudar a qualquer momento \u2013 e surpreender. Um exemplo: em novembro de 2023, ao perceberem que a empresa de tecnologia americana MeridianLink (\u00e0 \u00e9poca listada na Bolsa de Valores de Nova York) estava ignorando suas tentativas de negocia\u00e7\u00e3o de resgate, o grupo hacker<\/em> ALPHV\/BlackCat denunciou (de forma at\u00e9 ent\u00e3o in\u00e9dita) a pr\u00f3pria v\u00edtima \u00e0 Comiss\u00e3o de Valores Mobili\u00e1rios (SEC) dos Estados Unidos por violar a lei ao n\u00e3o reportar um ataque \u201cmaterial\u201d no prazo legal de quatro dias \u00fateis.<\/p>\n

Porque ainda temos esse complicador: no Brasil e no mundo, j\u00e1 h\u00e1 diversos requisitos de notifica\u00e7\u00e3o em vigor, dependendo do pa\u00eds onde a empresa opera, se tem a\u00e7\u00f5es negociadas na bolsa de valores ou n\u00e3o, da ind\u00fastria da qual faz parte ou da natureza do incidente (e.g. se envolve dados pessoais ou n\u00e3o etc). E a tend\u00eancia \u00e9 que o marco regulat\u00f3rio se torne ainda mais estrito. Ainda que, em v\u00e1rios casos, a necessidade seja de notificar \u201capenas\u201d o regulador, isso impacta a narrativa sobre o incidente e imp\u00f5e riscos de exposi\u00e7\u00e3o.\u00a0\u00a0\u00a0<\/p>\n

Al\u00e9m disso, investiga\u00e7\u00f5es de incidentes cibern\u00e9ticos levam tempo e n\u00e3o h\u00e1 garantia de que chegar\u00e3o a uma conclus\u00e3o. Lidar com story gaps <\/em>\u00e9 desafiador em qualquer crise, mas empresas afetadas por incidentes cibern\u00e9ticos podem, por algum tempo, n\u00e3o ter mesmo absolutamente nada concreto a informar sobre o caso \u2013 nem nunca serem capazes de apresentar uma explica\u00e7\u00e3o completa para o que aconteceu.<\/p>\n

Como profissionais da \u00e1rea, j\u00e1 sabemos que a maneira como uma organiza\u00e7\u00e3o responde a uma crise pode importar mais do que a crise em si. Mas o duradouro impacto reputacional gerado por incidentes cibern\u00e9ticos de grandes propor\u00e7\u00f5es precisa entrar na pauta das lideran\u00e7as, nos setores p\u00fablico e privado. Como disciplina que perpassa todos os setores das organiza\u00e7\u00f5es, nosso papel \u00e9 fundamental.<\/p>\n

2026 ser\u00e1 o terceiro ano que participo do Guardi\u00e3o Cibern\u00e9tico, simula\u00e7\u00e3o de crise cibern\u00e9tica organizada anualmente pelo Comando de Defesa Cibern\u00e9tica (ComDCiber) do Ex\u00e9rcito Brasileiro para as empresas operadoras de infraestruturas cr\u00edticas. Falar sobre Comunica\u00e7\u00e3o com abordagem focada em n\u00e3o-comunicadores tem dado certo. Uma boa resposta come\u00e7a com prepara\u00e7\u00e3o e com uma perspectiva multidisciplinar. Seguran\u00e7a cibern\u00e9tica n\u00e3o se constr\u00f3i em silos, mas em conjunto. Vamos facilitar esse movimento.<\/p>\n

\u00a0<\/p>\n

____<\/p>\n

Artigos assinados expressam a opini\u00e3o de seus autores<\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Por Adriana Prado (Diretora executiva – FTI Consulting) \u00a0 O ano era 2020. Rec\u00e9m-implementada no Brasil, a Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais (LGPD) dominava as discuss\u00f5es sobre seguran\u00e7a da informa\u00e7\u00e3o no pa\u00eds. Foi quando comecei a\u00a0 analisar mais fortemente a incoer\u00eancia entre discurso e pr\u00e1tica na postura das empresas brasileiras em rela\u00e7\u00e3o a […]<\/p>\n","protected":false},"author":315,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[22],"tags":[23],"class_list":["post-691","post","type-post","status-publish","format-standard","hentry","category-artigos","tag-artigo"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/posts\/691","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/users\/315"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/comments?post=691"}],"version-history":[{"count":0,"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/posts\/691\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/media?parent=691"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/categories?post=691"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ufsm.br\/projetos\/institucional\/observatorio-crise\/wp-json\/wp\/v2\/tags?post=691"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}