Nos últimos dois anos, as empresas brasileiras intensificaram seu processo de transformação digital, adotando soluções como cloud computing, Inteligência Artificial (IA) e automação para ganhar eficiência e agilidade. A questão é que, ao incorporar essas novas tecnologias, as empresas também passam a lidar com novas vulnerabilidades. Nos últimos trimestres, o Brasil presenciou um aumento expressivo nos incidentes cibernéticos. Um relatório publicado pela Check Point Research mostrou que, no 3º trimestre de 2024, as empresas brasileiras sofreram em média 2.766 ataques semanais cada – um salto de 95% em relação ao mesmo período de 2023.

Essa disparada de ataques revela a disparidade entre inovação e segurança. Muitas empresas aceleraram projetos digitais em nuvem durante a pandemia e pós-pandemia, porém nem todas reforçaram suas defesas no mesmo ritmo. Como resultado, 83% das grandes empresas sofreram pelo menos um ataque cibernético sério em 2023, ocasionando paradas não planejadas, perdas financeiras e vazamento de dados.

Para além do reforço das defesas corporativas, ainda estamos longe de ter, também, processos de governança maduros. Dados apontam que o número de organizações no Brasil sem governança de dados pode chegar a 80%.

Inovação versus segurança: estamos ampliando nossa vulnerabilidade?

Mesmo que os investimentos em cibersegurança e estruturação da governança seguem sendo tímidos, a corrida pela inovação registrou um aumento dos orçamentos de TI no último ano: de 2023 para 2024, o mercado brasileiro de TI cresceu 13,9%, superando a média global e alcançando US$ 58,6 bilhões. As prioridades de investimento incluíram modernização de infraestrutura de nuvem, digitalização de processos de negócio, e adoção de IA generativa.

Setores tradicionais, como o bancário, lideram os investimentos em inovação – bancos e fintechs investem pesado em cloud e IA para oferecer mobile banking e pagamentos digitais. Em geral, as empresas brasileiras destinaram cerca de 9,4% de sua receita em 2023 e 2024 para Tecnologia da Informação e Comunicação (TIC). A Fundação Getúlio Vargas (FGV) estima que esse percentual suba para 11% nos próximos dois ou três anos, conforme as organizações continuem investindo em inovação e modernização.

Por outro lado, o país se tornou o segundo país mais atacado do mundo em crimes cibernéticos, com mais de 700 milhões de investidas em 12 meses (1.379 ataques por minuto!). Somente em 2024, houve 356 bilhões de tentativas de ataques cibernéticos no território brasileiro, um cenário alarmante, e que se repete em todo o mundo.

Globalmente, houve um recorde de ataques – mais de 75% de aumento em 2024, fenômeno atribuído em parte ao uso de IA por cibercriminosos para automatizar e tornar as investidas mais sofisticadas. Phishing personalizado em massa, malwares adaptativos e DDoS mais potentes são exemplos de ameaças potencializadas por inteligência artificial maliciosa.

As vulnerabilidades também crescem sob novas formas: um estudo aponta que 57% das empresas brasileiras já utilizam IA para gerar código de software, a terceira maior taxa do mundo. Paradoxalmente, 44% dessas organizações têm código gerado por IA como principal preocupação de segurança, temendo falhas inesperadas ou brechas introduzidas pela geração autônoma de software. As APIs – essenciais para integrar sistemas e aplicativos – são outro ponto cego: mais da metade (52%) das empresas no Brasil enxerga riscos elevados em APIs expostas. Em suma, ao mesmo tempo em que amplificam a inovação, iniciativas como DevOps ágil, migração maciça para a nuvem, uso extensivo de dispositivos conectados e desenvolvimento orientado por IA ampliam os vetores de ataque e a complexidade de proteger os ambientes.

O problema é que a inovação não caminha, necessariamente, de mãos dadas com o aumento da segurança digital. Mesmo que muitas empresas estejam mais inovadoras em cibersegurança, e aumentando seu arsenal de soluções para defesa, o estágio ainda é inicial. No ano passado, o Markets, Innovation & Technology Institute (MiTi) e a Security Design Lab (SDL) divulgaram uma pesquisa setorial de cibersegurança, que avaliou a maturidade de 181 empresas brasileiras. O estudo apontou que, apesar de melhorias, o nível médio de maturidade em cibersegurança ficou em 53%, ainda mediano – embora seja um avanço em relação aos 49% do ano anterior.

Esse número indica que boa parte das empresas ainda está abaixo das melhores práticas recomendadas. Por exemplo, 53% das empresas autenticam sistemas críticos apenas com login e senha, um método ultrapassado, enquanto 24% não possuem orçamento dedicado à segurança cibernética e 27% não realizam testes de penetração regularmente. Esses números mostram que, embora os investimentos estejam crescendo, ainda há lacunas importantes a serem preenchidas em termos de política, cultura e governança.

Governança: junto à inovação, pode aumentar a resiliência cibernética

Existe uma correlação clara entre a maturidade de governança e compliance e a capacidade da empresa de resistir a incidentes cibernéticos ou conduzir inovações com sucesso. Os dados sugerem que organizações com boas práticas de GRC (Governança, Riscos e Compliance) sofrem menos impactos e obtêm melhores resultados em seus projetos de transformação digital.

Por exemplo, a mesma pesquisa realizada pelo MiTi e pela SDL também trouxe o dado de que 38% das empresas não têm um plano de resposta a incidentes e 46% não têm um plano de recuperação de desastres. Esses números são preocupantes, pois a ausência de planos de contingência efetivos tende a prolongar e agravar os danos quando um ataque ocorre.

Em contraste, empresas que antecipam riscos e investem em segurança colhem benefícios tangíveis. Um estudo global da PwC destaca que somente 5% das empresas realmente colocam a segurança no centro de sua inovação, integrando o trabalho do CISO desde o início dos projetos. E justamente essas empresas registraram menos violações de dados e, mesmo quando atacadas, sofrem incidentes de menor custo.

Ou seja, inserir governança e segurança desde a concepção de novas iniciativas de TI aumenta a probabilidade de que novos projetos serão colocados em operação sem aumentar a superfície de ataque digital e sem deixar as empresas ainda mais vulneráveis. Sem governança, iniciativas de big data, inteligência artificial ou transformação digital correm risco de falhar ou de gerar consequências indesejadas (como uso indevido de informações ou sistemas frágeis).

Empresas com governança mais madura têm maior facilidade em cumprir requisitos de clientes e reguladores, o que habilita participação em novos mercados e parcerias de inovação. Por outro lado, a falta de compliance pode travar projetos – imagine desenvolver uma solução inovadora que lida com dados pessoais sem atender à LGPD: o projeto enfrentará entraves jurídicos e reputacionais. Portanto, estruturas sólidas de compliance e segurança aumentam a confiança de stakeholders e permitem que a inovação floresça de forma responsável e resiliente.

Em suma, governança e segurança não são antagônicas à inovação – pelo contrário, funcionam como alicerce para a inovação sustentável. Empresas que estruturam comitês, políticas e planos de resposta sofrem menos com imprevistos cibernéticos e conseguem se concentrar em crescer o negócio. Já aquelas que negligenciam esses elementos estratégicos acabam mais expostas a interrupções, perdas financeiras e necessidade de remediações de emergência, o que invariavelmente atrasa ou redireciona investimentos que poderiam ir para a inovação. Os números confirmam: maturidade em governança, compliance e segurança andam de mãos dadas com maior resiliência e sucesso nos empreendimentos tecnológicos. As empresas que conseguirem alinhar essas frentes deverão não apenas se proteger melhor contra incidentes, mas também conquistar vantagem competitiva ao inovar com confiança e sustentabilidade no mercado brasileiro cada vez mais digital.

A incorporação de critérios ESG (Environmental, Social and Governance) nas etapas de due diligence – investigação e análise aprofundada feita antes da concretização de fusões, aquisições, parcerias ou investimentos – é uma prática relativamente recente. Porém, tem ganhado espaço de forma ligeira nos últimos anos, refletindo a crescente preocupação do mercado com riscos não financeiros que impactam diretamente reputação, sustentabilidade e valor de longo prazo das empresas.

A due diligence ESG surgiu como uma evolução da tradicional due diligence jurídica, contábil, trabalhista, fiscal e financeira. Ela tem como base as pressões exercidas por investidores, consumidores e órgãos reguladores, que consideram fatores ambientais, sociais e de governança como critérios essenciais na avaliação de riscos e oportunidades. Assim, a adoção da prática reflete uma mudança de paradigma: o desempenho ESG passou a ser entendido não apenas como vantagem competitiva, mas como exigência para a perpetuidade dos negócios.

Na prática, o processo inclui avaliar se a empresa respeita leis ambientais e adota práticas sustentáveis; verificar condições de trabalho, diversidade e direitos humanos na cadeia produtiva; e analisar estruturas de governança, transparência, ética e combate à corrupção. O objetivo é garantir que o negócio seja responsável e resiliente, protegendo o investidor contra passivos ocultos.

O primeiro passo para realização de due diligence ESG é planejamento e definição de escopo. Isto significa identificar os objetivos da due diligence; definir critérios ESG relevantes conforme o setor, região e porte da empresa; e estabelecer quem são os integrantes da equipe responsável pela realização do trabalho. Esta pode ser composta por colaboradores internos e também por profissionais ligados à uma consultoria especializada.

Posteriormente, deve-se fazer uma coleta de informações, sendo solicitados documentos e relatórios relacionados a políticas ambientais (licenças, uso de recursos, emissões, resíduos, gestão de riscos ambientais, etc), sociais (práticas trabalhistas, diversidade, saúde, segurança e relacionamento com comunidades) e de governança (estrutura de controle, ética, compliance, transparência e anticorrupção). Com tudo isso em mãos, é importante conversar com as lideranças da empresa que sejam responsáveis por ESG e áreas de risco e, se possível, realizar visitas técnicas in loco para verificação de práticas e estruturas físicas.

Após avaliação da conformidade com leis e regulamentos, alinhamento com padrões internacionais (como GRI, SASB, TCFD e OCDE) e identificação de riscos potenciais (baixo, médio, alto) – assim como de oportunidades de melhorias – deve-se dar início à elaboração de um relatório detalhado. Nele, além de todas as informações coletadas, devem ser sugeridas recomendações, como possíveis medidas corretivas; e indicadas cláusulas contratuais ou garantias (se for o caso de uma operação societária).

Para concluir, pode-se estabelecer mecanismos de monitoramento e acompanhamento da evolução ESG dentro da empresa, com possível realização de auditorias periódicas ou KPIs (sigla para Key Performance Indicators ou Indicadores-Chave de Desempenho) sustentáveis. Todo o processo contribui para que as decisões tomadas seja mais informadas, assertivas e sustentáveis, com mitigação de riscos legais, financeiros e reputacionais.