Nos últimos dois anos, as empresas brasileiras intensificaram seu processo de transformação digital, adotando soluções como cloud computing, Inteligência Artificial (IA) e automação para ganhar eficiência e agilidade. A questão é que, ao incorporar essas novas tecnologias, as empresas também passam a lidar com novas vulnerabilidades. Nos últimos trimestres, o Brasil presenciou um aumento expressivo nos incidentes cibernéticos. Um relatório publicado pela Check Point Research mostrou que, no 3º trimestre de 2024, as empresas brasileiras sofreram em média 2.766 ataques semanais cada – um salto de 95% em relação ao mesmo período de 2023.

Essa disparada de ataques revela a disparidade entre inovação e segurança. Muitas empresas aceleraram projetos digitais em nuvem durante a pandemia e pós-pandemia, porém nem todas reforçaram suas defesas no mesmo ritmo. Como resultado, 83% das grandes empresas sofreram pelo menos um ataque cibernético sério em 2023, ocasionando paradas não planejadas, perdas financeiras e vazamento de dados.

Para além do reforço das defesas corporativas, ainda estamos longe de ter, também, processos de governança maduros. Dados apontam que o número de organizações no Brasil sem governança de dados pode chegar a 80%.

Inovação versus segurança: estamos ampliando nossa vulnerabilidade?

Mesmo que os investimentos em cibersegurança e estruturação da governança seguem sendo tímidos, a corrida pela inovação registrou um aumento dos orçamentos de TI no último ano: de 2023 para 2024, o mercado brasileiro de TI cresceu 13,9%, superando a média global e alcançando US$ 58,6 bilhões. As prioridades de investimento incluíram modernização de infraestrutura de nuvem, digitalização de processos de negócio, e adoção de IA generativa.

Setores tradicionais, como o bancário, lideram os investimentos em inovação – bancos e fintechs investem pesado em cloud e IA para oferecer mobile banking e pagamentos digitais. Em geral, as empresas brasileiras destinaram cerca de 9,4% de sua receita em 2023 e 2024 para Tecnologia da Informação e Comunicação (TIC). A Fundação Getúlio Vargas (FGV) estima que esse percentual suba para 11% nos próximos dois ou três anos, conforme as organizações continuem investindo em inovação e modernização.

Por outro lado, o país se tornou o segundo país mais atacado do mundo em crimes cibernéticos, com mais de 700 milhões de investidas em 12 meses (1.379 ataques por minuto!). Somente em 2024, houve 356 bilhões de tentativas de ataques cibernéticos no território brasileiro, um cenário alarmante, e que se repete em todo o mundo.

Globalmente, houve um recorde de ataques – mais de 75% de aumento em 2024, fenômeno atribuído em parte ao uso de IA por cibercriminosos para automatizar e tornar as investidas mais sofisticadas. Phishing personalizado em massa, malwares adaptativos e DDoS mais potentes são exemplos de ameaças potencializadas por inteligência artificial maliciosa.

As vulnerabilidades também crescem sob novas formas: um estudo aponta que 57% das empresas brasileiras já utilizam IA para gerar código de software, a terceira maior taxa do mundo. Paradoxalmente, 44% dessas organizações têm código gerado por IA como principal preocupação de segurança, temendo falhas inesperadas ou brechas introduzidas pela geração autônoma de software. As APIs – essenciais para integrar sistemas e aplicativos – são outro ponto cego: mais da metade (52%) das empresas no Brasil enxerga riscos elevados em APIs expostas. Em suma, ao mesmo tempo em que amplificam a inovação, iniciativas como DevOps ágil, migração maciça para a nuvem, uso extensivo de dispositivos conectados e desenvolvimento orientado por IA ampliam os vetores de ataque e a complexidade de proteger os ambientes.

O problema é que a inovação não caminha, necessariamente, de mãos dadas com o aumento da segurança digital. Mesmo que muitas empresas estejam mais inovadoras em cibersegurança, e aumentando seu arsenal de soluções para defesa, o estágio ainda é inicial. No ano passado, o Markets, Innovation & Technology Institute (MiTi) e a Security Design Lab (SDL) divulgaram uma pesquisa setorial de cibersegurança, que avaliou a maturidade de 181 empresas brasileiras. O estudo apontou que, apesar de melhorias, o nível médio de maturidade em cibersegurança ficou em 53%, ainda mediano – embora seja um avanço em relação aos 49% do ano anterior.

Esse número indica que boa parte das empresas ainda está abaixo das melhores práticas recomendadas. Por exemplo, 53% das empresas autenticam sistemas críticos apenas com login e senha, um método ultrapassado, enquanto 24% não possuem orçamento dedicado à segurança cibernética e 27% não realizam testes de penetração regularmente. Esses números mostram que, embora os investimentos estejam crescendo, ainda há lacunas importantes a serem preenchidas em termos de política, cultura e governança.

Governança: junto à inovação, pode aumentar a resiliência cibernética

Existe uma correlação clara entre a maturidade de governança e compliance e a capacidade da empresa de resistir a incidentes cibernéticos ou conduzir inovações com sucesso. Os dados sugerem que organizações com boas práticas de GRC (Governança, Riscos e Compliance) sofrem menos impactos e obtêm melhores resultados em seus projetos de transformação digital.

Por exemplo, a mesma pesquisa realizada pelo MiTi e pela SDL também trouxe o dado de que 38% das empresas não têm um plano de resposta a incidentes e 46% não têm um plano de recuperação de desastres. Esses números são preocupantes, pois a ausência de planos de contingência efetivos tende a prolongar e agravar os danos quando um ataque ocorre.

Em contraste, empresas que antecipam riscos e investem em segurança colhem benefícios tangíveis. Um estudo global da PwC destaca que somente 5% das empresas realmente colocam a segurança no centro de sua inovação, integrando o trabalho do CISO desde o início dos projetos. E justamente essas empresas registraram menos violações de dados e, mesmo quando atacadas, sofrem incidentes de menor custo.

Ou seja, inserir governança e segurança desde a concepção de novas iniciativas de TI aumenta a probabilidade de que novos projetos serão colocados em operação sem aumentar a superfície de ataque digital e sem deixar as empresas ainda mais vulneráveis. Sem governança, iniciativas de big data, inteligência artificial ou transformação digital correm risco de falhar ou de gerar consequências indesejadas (como uso indevido de informações ou sistemas frágeis).

Empresas com governança mais madura têm maior facilidade em cumprir requisitos de clientes e reguladores, o que habilita participação em novos mercados e parcerias de inovação. Por outro lado, a falta de compliance pode travar projetos – imagine desenvolver uma solução inovadora que lida com dados pessoais sem atender à LGPD: o projeto enfrentará entraves jurídicos e reputacionais. Portanto, estruturas sólidas de compliance e segurança aumentam a confiança de stakeholders e permitem que a inovação floresça de forma responsável e resiliente.

Em suma, governança e segurança não são antagônicas à inovação – pelo contrário, funcionam como alicerce para a inovação sustentável. Empresas que estruturam comitês, políticas e planos de resposta sofrem menos com imprevistos cibernéticos e conseguem se concentrar em crescer o negócio. Já aquelas que negligenciam esses elementos estratégicos acabam mais expostas a interrupções, perdas financeiras e necessidade de remediações de emergência, o que invariavelmente atrasa ou redireciona investimentos que poderiam ir para a inovação. Os números confirmam: maturidade em governança, compliance e segurança andam de mãos dadas com maior resiliência e sucesso nos empreendimentos tecnológicos. As empresas que conseguirem alinhar essas frentes deverão não apenas se proteger melhor contra incidentes, mas também conquistar vantagem competitiva ao inovar com confiança e sustentabilidade no mercado brasileiro cada vez mais digital.

La incorporación de criterios ESG (Ambiental, Social y Gobernanza) en los pasos de diligencia debida El análisis de riesgos (investigación y análisis exhaustivos realizados antes de completar fusiones, adquisiciones, asociaciones o inversiones) es una práctica relativamente reciente. Sin embargo, ha ganado terreno en los últimos años, lo que refleja la creciente preocupación del mercado por los riesgos no financieros que impactan directamente la reputación, la sostenibilidad y el valor a largo plazo de las empresas.

EL diligencia debida ESG surgió como una evolución de los criterios tradicionales diligencia debida Aspectos legales, contables, laborales, fiscales y financieros. Se basa en la presión de inversores, consumidores y organismos reguladores, que consideran los factores ambientales, sociales y de gobernanza como criterios esenciales para evaluar riesgos y oportunidades. Por lo tanto, la adopción de esta práctica refleja un cambio de paradigma: el desempeño ESG se entiende no solo como una ventaja competitiva, sino como un requisito para la continuidad del negocio.

En la práctica, el proceso incluye evaluar si la empresa cumple con la legislación ambiental y adopta prácticas sostenibles; verificar las condiciones laborales, la diversidad y los derechos humanos en la cadena de producción; y analizar las estructuras de gobernanza, la transparencia, la ética y la lucha contra la corrupción. El objetivo es garantizar que la empresa sea responsable y resiliente, protegiendo al inversor de responsabilidades ocultas.

El primer paso para lograrlo diligencia debida ESG implica planificación y definición del alcance. Esto implica identificar los objetivos de la empresa. diligencia debidaDefinir los criterios ESG relevantes según el sector, la región y el tamaño de la empresa; y designar a los miembros del equipo responsables de realizar el trabajo. Este equipo puede estar compuesto por empleados internos o profesionales vinculados a una consultoría especializada.

Posteriormente, se debe recopilar información, solicitando documentos e informes relacionados con políticas ambientales (licencias, uso de recursos, emisiones, residuos, gestión de riesgos ambientales, etc.), políticas sociales (prácticas laborales, diversidad, salud, seguridad y relaciones con las comunidades) y políticas de gobernanza (estructura de control, ética, cumplimiento, transparencia y anticorrupción). Con todo esto en mente, es importante hablar con los líderes de la empresa responsables de las áreas ESG y de riesgo y, de ser posible, realizar visitas técnicas. in loco para verificar prácticas y estructuras físicas.

Tras evaluar el cumplimiento de las leyes y regulaciones, la alineación con estándares internacionales (como GRI, SASB, TCFD y OCDE) y la identificación de riesgos potenciales (bajos, medios o altos), así como oportunidades de mejora, se debe elaborar un informe detallado. Además de toda la información recopilada, este debe incluir recomendaciones, como posibles medidas correctivas, e indicar cláusulas contractuales o garantías (si corresponde a una transacción corporativa).

Para concluir, es posible establecer mecanismos de seguimiento y monitoreo de la evolución ESG dentro de la empresa, con la posible realización de auditorías periódicas o KPIs (siglas de Indicadores clave de rendimiento o Indicadores clave de rendimiento) sostenible. Todo el proceso contribuye a la toma de decisiones más informadas, asertivas y sostenibles, mitigando los riesgos legales, financieros y reputacionales.