Nos últimos dois anos, as empresas brasileiras intensificaram seu processo de transformação digital, adotando soluções como cloud computing, Inteligência Artificial (IA) e automação para ganhar eficiência e agilidade. A questão é que, ao incorporar essas novas tecnologias, as empresas também passam a lidar com novas vulnerabilidades. Nos últimos trimestres, o Brasil presenciou um aumento expressivo nos incidentes cibernéticos. Um relatório publicado pela Check Point Research mostrou que, no 3º trimestre de 2024, as empresas brasileiras sofreram em média 2.766 ataques semanais cada – um salto de 95% em relação ao mesmo período de 2023.

Essa disparada de ataques revela a disparidade entre inovação e segurança. Muitas empresas aceleraram projetos digitais em nuvem durante a pandemia e pós-pandemia, porém nem todas reforçaram suas defesas no mesmo ritmo. Como resultado, 83% das grandes empresas sofreram pelo menos um ataque cibernético sério em 2023, ocasionando paradas não planejadas, perdas financeiras e vazamento de dados.

Para além do reforço das defesas corporativas, ainda estamos longe de ter, também, processos de governança maduros. Dados apontam que o número de organizações no Brasil sem governança de dados pode chegar a 80%.

Inovação versus segurança: estamos ampliando nossa vulnerabilidade?

Mesmo que os investimentos em cibersegurança e estruturação da governança seguem sendo tímidos, a corrida pela inovação registrou um aumento dos orçamentos de TI no último ano: de 2023 para 2024, o mercado brasileiro de TI cresceu 13,9%, superando a média global e alcançando US$ 58,6 bilhões. As prioridades de investimento incluíram modernização de infraestrutura de nuvem, digitalização de processos de negócio, e adoção de IA generativa.

Setores tradicionais, como o bancário, lideram os investimentos em inovação – bancos e fintechs investem pesado em cloud e IA para oferecer mobile banking e pagamentos digitais. Em geral, as empresas brasileiras destinaram cerca de 9,4% de sua receita em 2023 e 2024 para Tecnologia da Informação e Comunicação (TIC). A Fundação Getúlio Vargas (FGV) estima que esse percentual suba para 11% nos próximos dois ou três anos, conforme as organizações continuem investindo em inovação e modernização.

Por outro lado, o país se tornou o segundo país mais atacado do mundo em crimes cibernéticos, com mais de 700 milhões de investidas em 12 meses (1.379 ataques por minuto!). Somente em 2024, houve 356 bilhões de tentativas de ataques cibernéticos no território brasileiro, um cenário alarmante, e que se repete em todo o mundo.

Globalmente, houve um recorde de ataques – mais de 75% de aumento em 2024, fenômeno atribuído em parte ao uso de IA por cibercriminosos para automatizar e tornar as investidas mais sofisticadas. Phishing personalizado em massa, malwares adaptativos e DDoS mais potentes são exemplos de ameaças potencializadas por inteligência artificial maliciosa.

As vulnerabilidades também crescem sob novas formas: um estudo aponta que 57% das empresas brasileiras já utilizam IA para gerar código de software, a terceira maior taxa do mundo. Paradoxalmente, 44% dessas organizações têm código gerado por IA como principal preocupação de segurança, temendo falhas inesperadas ou brechas introduzidas pela geração autônoma de software. As APIs – essenciais para integrar sistemas e aplicativos – são outro ponto cego: mais da metade (52%) das empresas no Brasil enxerga riscos elevados em APIs expostas. Em suma, ao mesmo tempo em que amplificam a inovação, iniciativas como DevOps ágil, migração maciça para a nuvem, uso extensivo de dispositivos conectados e desenvolvimento orientado por IA ampliam os vetores de ataque e a complexidade de proteger os ambientes.

O problema é que a inovação não caminha, necessariamente, de mãos dadas com o aumento da segurança digital. Mesmo que muitas empresas estejam mais inovadoras em cibersegurança, e aumentando seu arsenal de soluções para defesa, o estágio ainda é inicial. No ano passado, o Markets, Innovation & Technology Institute (MiTi) e a Security Design Lab (SDL) divulgaram uma pesquisa setorial de cibersegurança, que avaliou a maturidade de 181 empresas brasileiras. O estudo apontou que, apesar de melhorias, o nível médio de maturidade em cibersegurança ficou em 53%, ainda mediano – embora seja um avanço em relação aos 49% do ano anterior.

Esse número indica que boa parte das empresas ainda está abaixo das melhores práticas recomendadas. Por exemplo, 53% das empresas autenticam sistemas críticos apenas com login e senha, um método ultrapassado, enquanto 24% não possuem orçamento dedicado à segurança cibernética e 27% não realizam testes de penetração regularmente. Esses números mostram que, embora os investimentos estejam crescendo, ainda há lacunas importantes a serem preenchidas em termos de política, cultura e governança.

Governança: junto à inovação, pode aumentar a resiliência cibernética

Existe uma correlação clara entre a maturidade de governança e compliance e a capacidade da empresa de resistir a incidentes cibernéticos ou conduzir inovações com sucesso. Os dados sugerem que organizações com boas práticas de GRC (Governança, Riscos e Compliance) sofrem menos impactos e obtêm melhores resultados em seus projetos de transformação digital.

Por exemplo, a mesma pesquisa realizada pelo MiTi e pela SDL também trouxe o dado de que 38% das empresas não têm um plano de resposta a incidentes e 46% não têm um plano de recuperação de desastres. Esses números são preocupantes, pois a ausência de planos de contingência efetivos tende a prolongar e agravar os danos quando um ataque ocorre.

Em contraste, empresas que antecipam riscos e investem em segurança colhem benefícios tangíveis. Um estudo global da PwC destaca que somente 5% das empresas realmente colocam a segurança no centro de sua inovação, integrando o trabalho do CISO desde o início dos projetos. E justamente essas empresas registraram menos violações de dados e, mesmo quando atacadas, sofrem incidentes de menor custo.

Ou seja, inserir governança e segurança desde a concepção de novas iniciativas de TI aumenta a probabilidade de que novos projetos serão colocados em operação sem aumentar a superfície de ataque digital e sem deixar as empresas ainda mais vulneráveis. Sem governança, iniciativas de big data, inteligência artificial ou transformação digital correm risco de falhar ou de gerar consequências indesejadas (como uso indevido de informações ou sistemas frágeis).

Empresas com governança mais madura têm maior facilidade em cumprir requisitos de clientes e reguladores, o que habilita participação em novos mercados e parcerias de inovação. Por outro lado, a falta de compliance pode travar projetos – imagine desenvolver uma solução inovadora que lida com dados pessoais sem atender à LGPD: o projeto enfrentará entraves jurídicos e reputacionais. Portanto, estruturas sólidas de compliance e segurança aumentam a confiança de stakeholders e permitem que a inovação floresça de forma responsável e resiliente.

Em suma, governança e segurança não são antagônicas à inovação – pelo contrário, funcionam como alicerce para a inovação sustentável. Empresas que estruturam comitês, políticas e planos de resposta sofrem menos com imprevistos cibernéticos e conseguem se concentrar em crescer o negócio. Já aquelas que negligenciam esses elementos estratégicos acabam mais expostas a interrupções, perdas financeiras e necessidade de remediações de emergência, o que invariavelmente atrasa ou redireciona investimentos que poderiam ir para a inovação. Os números confirmam: maturidade em governança, compliance e segurança andam de mãos dadas com maior resiliência e sucesso nos empreendimentos tecnológicos. As empresas que conseguirem alinhar essas frentes deverão não apenas se proteger melhor contra incidentes, mas também conquistar vantagem competitiva ao inovar com confiança e sustentabilidade no mercado brasileiro cada vez mais digital.

La incorporación de criterios ESG (Ambiental, Social y Gobernanza) en las etapas de diligencia debida La investigación y el análisis en profundidad realizados antes de que se implementen fusiones, adquisiciones, asociaciones o inversiones es una práctica relativamente reciente. Sin embargo, ha ganado ligeramente terreno en los últimos años, lo que refleja la creciente preocupación del mercado por los riesgos no financieros que impactan directamente la reputación, la sostenibilidad y el valor a largo plazo de las empresas.

A diligencia debida ESG surgió como una evolución de lo tradicional diligencia debida jurídico, contable, laboral, fiscal y financiero. Se basa en las presiones ejercidas por inversores, consumidores y organismos reguladores, que consideran los factores ambientales, sociales y de gobernanza como criterios esenciales en la evaluación de riesgos y oportunidades. Así, la adopción de la práctica refleja un cambio de paradigma: el desempeño ESG ha llegado a entenderse no sólo como una ventaja competitiva, sino como un requisito para la perpetuidad empresarial.

En la práctica, el proceso incluye evaluar si la empresa respeta las leyes ambientales y adopta prácticas sustentables; verificar las condiciones de trabajo, la diversidad y los derechos humanos en la cadena productiva; y analizar estructuras de gobernanza, transparencia, ética y anticorrupción.

El primer paso hacia el logro diligencia debida ESG es planificación y definición de alcance. Esto significa identificar los objetivos del diligencia debida; definir criterios ESG relevantes según el sector, región y tamaño de la empresa; y establecer quiénes son los miembros del equipo responsable de realizar el trabajo. Puede estar compuesto por empleados internos y también por profesionales vinculados a una consultoría especializada.

Posteriormente se deberá recolectar información, y documentos e informes relacionados con políticas ambientales (licencias, uso de recursos, emisiones, residuos, gestión de riesgos ambientales, etc.), sociales (prácticas laborales, diversidad, salud, seguridad y relación con las comunidades) y de gobernanza. (estructura de control, ética, etc cumplimiento, transparencia y anticorrupción). Con todo esto en la mano, es importante hablar con los líderes de las empresas responsables de ESG y áreas de riesgo y, si es posible, realizar visitas técnicas in loco para verificación de prácticas y estructuras físicas.

Después de evaluar el cumplimiento de las leyes y regulaciones, la alineación con los estándares internacionales (como GRI, SASB, TCFD y OCDE) e identificar riesgos potenciales (bajos, medios, altos), así como oportunidades de mejora y cumplimiento, se debe iniciar un informe detallado. Además de toda la información recopilada, se deben sugerir recomendaciones, como posibles medidas correctivas; y se deben indicar cláusulas o garantías contractuales (si corresponde una transacción corporativa).

Para concluir, es posible establecer mecanismos de seguimiento y seguimiento de la evolución de los ESG dentro de la empresa, con posibles auditorías periódicas o KPI (acrónimo de Indicadores clave de desempeño o Indicadores clave de desempeño) sostenible. Todo el proceso contribuye a que las decisiones tomadas sean más informadas, asertivas y sostenibles, con mitigación de riesgos legales, financieros y reputacionales.