Nos últimos dois anos, as empresas brasileiras intensificaram seu processo de transformação digital, adotando soluções como cloud computing, Inteligência Artificial (IA) e automação para ganhar eficiência e agilidade. A questão é que, ao incorporar essas novas tecnologias, as empresas também passam a lidar com novas vulnerabilidades. Nos últimos trimestres, o Brasil presenciou um aumento expressivo nos incidentes cibernéticos. Um relatório publicado pela Check Point Research mostrou que, no 3º trimestre de 2024, as empresas brasileiras sofreram em média 2.766 ataques semanais cada – um salto de 95% em relação ao mesmo período de 2023.

Essa disparada de ataques revela a disparidade entre inovação e segurança. Muitas empresas aceleraram projetos digitais em nuvem durante a pandemia e pós-pandemia, porém nem todas reforçaram suas defesas no mesmo ritmo. Como resultado, 83% das grandes empresas sofreram pelo menos um ataque cibernético sério em 2023, ocasionando paradas não planejadas, perdas financeiras e vazamento de dados.

Para além do reforço das defesas corporativas, ainda estamos longe de ter, também, processos de governança maduros. Dados apontam que o número de organizações no Brasil sem governança de dados pode chegar a 80%.

Inovação versus segurança: estamos ampliando nossa vulnerabilidade?

Mesmo que os investimentos em cibersegurança e estruturação da governança seguem sendo tímidos, a corrida pela inovação registrou um aumento dos orçamentos de TI no último ano: de 2023 para 2024, o mercado brasileiro de TI cresceu 13,9%, superando a média global e alcançando US$ 58,6 bilhões. As prioridades de investimento incluíram modernização de infraestrutura de nuvem, digitalização de processos de negócio, e adoção de IA generativa.

Setores tradicionais, como o bancário, lideram os investimentos em inovação – bancos e fintechs investem pesado em cloud e IA para oferecer mobile banking e pagamentos digitais. Em geral, as empresas brasileiras destinaram cerca de 9,4% de sua receita em 2023 e 2024 para Tecnologia da Informação e Comunicação (TIC). A Fundação Getúlio Vargas (FGV) estima que esse percentual suba para 11% nos próximos dois ou três anos, conforme as organizações continuem investindo em inovação e modernização.

Por outro lado, o país se tornou o segundo país mais atacado do mundo em crimes cibernéticos, com mais de 700 milhões de investidas em 12 meses (1.379 ataques por minuto!). Somente em 2024, houve 356 bilhões de tentativas de ataques cibernéticos no território brasileiro, um cenário alarmante, e que se repete em todo o mundo.

Globalmente, houve um recorde de ataques – mais de 75% de aumento em 2024, fenômeno atribuído em parte ao uso de IA por cibercriminosos para automatizar e tornar as investidas mais sofisticadas. Phishing personalizado em massa, malwares adaptativos e DDoS mais potentes são exemplos de ameaças potencializadas por inteligência artificial maliciosa.

As vulnerabilidades também crescem sob novas formas: um estudo aponta que 57% das empresas brasileiras já utilizam IA para gerar código de software, a terceira maior taxa do mundo. Paradoxalmente, 44% dessas organizações têm código gerado por IA como principal preocupação de segurança, temendo falhas inesperadas ou brechas introduzidas pela geração autônoma de software. As APIs – essenciais para integrar sistemas e aplicativos – são outro ponto cego: mais da metade (52%) das empresas no Brasil enxerga riscos elevados em APIs expostas. Em suma, ao mesmo tempo em que amplificam a inovação, iniciativas como DevOps ágil, migração maciça para a nuvem, uso extensivo de dispositivos conectados e desenvolvimento orientado por IA ampliam os vetores de ataque e a complexidade de proteger os ambientes.

O problema é que a inovação não caminha, necessariamente, de mãos dadas com o aumento da segurança digital. Mesmo que muitas empresas estejam mais inovadoras em cibersegurança, e aumentando seu arsenal de soluções para defesa, o estágio ainda é inicial. No ano passado, o Markets, Innovation & Technology Institute (MiTi) e a Security Design Lab (SDL) divulgaram uma pesquisa setorial de cibersegurança, que avaliou a maturidade de 181 empresas brasileiras. O estudo apontou que, apesar de melhorias, o nível médio de maturidade em cibersegurança ficou em 53%, ainda mediano – embora seja um avanço em relação aos 49% do ano anterior.

Esse número indica que boa parte das empresas ainda está abaixo das melhores práticas recomendadas. Por exemplo, 53% das empresas autenticam sistemas críticos apenas com login e senha, um método ultrapassado, enquanto 24% não possuem orçamento dedicado à segurança cibernética e 27% não realizam testes de penetração regularmente. Esses números mostram que, embora os investimentos estejam crescendo, ainda há lacunas importantes a serem preenchidas em termos de política, cultura e governança.

Governança: junto à inovação, pode aumentar a resiliência cibernética

Existe uma correlação clara entre a maturidade de governança e compliance e a capacidade da empresa de resistir a incidentes cibernéticos ou conduzir inovações com sucesso. Os dados sugerem que organizações com boas práticas de GRC (Governança, Riscos e Compliance) sofrem menos impactos e obtêm melhores resultados em seus projetos de transformação digital.

Por exemplo, a mesma pesquisa realizada pelo MiTi e pela SDL também trouxe o dado de que 38% das empresas não têm um plano de resposta a incidentes e 46% não têm um plano de recuperação de desastres. Esses números são preocupantes, pois a ausência de planos de contingência efetivos tende a prolongar e agravar os danos quando um ataque ocorre.

Em contraste, empresas que antecipam riscos e investem em segurança colhem benefícios tangíveis. Um estudo global da PwC destaca que somente 5% das empresas realmente colocam a segurança no centro de sua inovação, integrando o trabalho do CISO desde o início dos projetos. E justamente essas empresas registraram menos violações de dados e, mesmo quando atacadas, sofrem incidentes de menor custo.

Ou seja, inserir governança e segurança desde a concepção de novas iniciativas de TI aumenta a probabilidade de que novos projetos serão colocados em operação sem aumentar a superfície de ataque digital e sem deixar as empresas ainda mais vulneráveis. Sem governança, iniciativas de big data, inteligência artificial ou transformação digital correm risco de falhar ou de gerar consequências indesejadas (como uso indevido de informações ou sistemas frágeis).

Empresas com governança mais madura têm maior facilidade em cumprir requisitos de clientes e reguladores, o que habilita participação em novos mercados e parcerias de inovação. Por outro lado, a falta de compliance pode travar projetos – imagine desenvolver uma solução inovadora que lida com dados pessoais sem atender à LGPD: o projeto enfrentará entraves jurídicos e reputacionais. Portanto, estruturas sólidas de compliance e segurança aumentam a confiança de stakeholders e permitem que a inovação floresça de forma responsável e resiliente.

Em suma, governança e segurança não são antagônicas à inovação – pelo contrário, funcionam como alicerce para a inovação sustentável. Empresas que estruturam comitês, políticas e planos de resposta sofrem menos com imprevistos cibernéticos e conseguem se concentrar em crescer o negócio. Já aquelas que negligenciam esses elementos estratégicos acabam mais expostas a interrupções, perdas financeiras e necessidade de remediações de emergência, o que invariavelmente atrasa ou redireciona investimentos que poderiam ir para a inovação. Os números confirmam: maturidade em governança, compliance e segurança andam de mãos dadas com maior resiliência e sucesso nos empreendimentos tecnológicos. As empresas que conseguirem alinhar essas frentes deverão não apenas se proteger melhor contra incidentes, mas também conquistar vantagem competitiva ao inovar com confiança e sustentabilidade no mercado brasileiro cada vez mais digital.

The incorporation of ESG criteria (Environmental, Social and Governance) in the stages of due diligence ''investigation and in-depth analysis done before mergers, acquisitions, partnerships or investments are implemented 'is a relatively recent practice.However, it has gained ground slightly in recent years, reflecting the growing market concern with non-financial risks that directly impact the reputation, sustainability and long-term value of companies.

A due diligence ESG emerged as an evolution of traditional due diligence legal, accounting, labor, tax and financial. It is based on the pressures exerted by investors, consumers and regulatory bodies, which consider environmental, social and governance factors as essential criteria in the assessment of risks and opportunities. Thus, the adoption of the practice reflects a paradigm shift: ESG performance has come to be understood not only as a competitive advantage, but as a requirement for business perpetuity.

In practice, the process includes assessing whether the company respects environmental laws and adopts sustainable practices; verifying working conditions, diversity and human rights in the production chain; and analyzing governance structures, transparency, ethics and anti-corruption.

The first step towards achieving due diligence ESG is planning and scope definition.This means identifying the objectives of the due diligence; define relevant ESG criteria according to the sector, region and size of the company; and establish who are the members of the team responsible for carrying out the work. This can be composed of internal employees and also professionals linked to a specialized consultancy.

Subsequently, information should be collected, and documents and reports related to environmental policies (licenses, use of resources, emissions, waste, environmental risk management, etc.), social (labor practices, diversity, health, safety and relationship with communities) and governance (control structure, ethics, etc compliance, transparency and anti-corruption). With all this in hand, it is important to talk to company leaders who are responsible for ESG and risk areas and, if possible, carry out technical visits in loco for verification of physical practices and structures.

After assessing compliance with laws and regulations, alignment with international standards (such as GRI, SASB, TCFD and OECD) and identifying potential risks (low, medium, high) as well as opportunities for improvement & compliance, a detailed report should be initiated. In addition to all information collected, recommendations should be suggested, such as possible corrective measures; and contractual clauses or guarantees should be indicated (if applicable a corporate transaction).

To conclude, it is possible to establish mechanisms for monitoring and monitoring ESG evolution within the company, with possible periodic audits or KPIs (acronym for Key Performance Indicators or Key Performance Indicators) sustainable. The whole process contributes to the decisions made are more informed, assertive and sustainable, with mitigation of legal, financial and reputational risks.