A segurança da informação refere-se ao conjunto de medidas técnicas e organizacionais destinadas a proteger os sistemas, redes e dados contra acessos não autorizados, modificações ou destruições. Em 2024, essa disciplina não é mais responsabilidade exclusiva do serviço técnico: regulamentações europeias recentes a tornam uma obrigação de governança que envolve diretamente os dirigentes.
Diretiva NIS2 e regulamento DORA: o quadro regulatório que muda o jogo
Dois textos europeus redefinem as obrigações das organizações em matéria de cibersegurança. A diretiva NIS2 deve ser transposta pelos Estados membros até 17 de outubro de 2024. Ela amplia consideravelmente o escopo das entidades afetadas, impõe uma gestão formalizada de riscos, a notificação de incidentes significativos e uma responsabilidade aumentada dos dirigentes.
Na França, a transposição ainda não estava concluída em outubro de 2026. Esse atraso legislativo coloca as empresas francesas em uma zona de incerteza jurídica, enquanto outros países europeus já adaptaram sua legislação nacional.
O regulamento DORA, por sua vez, aplica-se desde 17 de janeiro de 2025. Ele visa especificamente o setor financeiro: bancos, seguradoras, empresas de investimento, operadores de pagamentos e prestadores de serviços em criptoativos. O DORA abrange a gestão de riscos de TI, testes de resiliência, notificação de incidentes e monitoramento de prestadores de serviços tecnológicos críticos.
Esses dois textos compartilham um ponto em comum: a proteção de dados não é mais uma recomendação técnica, é uma obrigação legal acompanhada de sanções. Toda organização que trata informações sensíveis (dados de clientes, dados financeiros, dados de saúde) deve formalizar sua estratégia de cibersegurança ou se expor a consequências regulatórias.
Riscos relacionados a prestadores terceiros: uma falha subestimada em segurança da informação
Um aspecto que os artigos generalistas raramente abordam diz respeito à gestão das dependências de fornecedores. Uma empresa pode aplicar medidas de segurança rigorosas internamente enquanto permanece vulnerável através de seus prestadores tecnológicos. Aprofundar a segurança da informação com Viruslab permite entender melhor como esses riscos se estruturam e como antecipá-los.
O regulamento DORA impõe às entidades financeiras a manutenção de um registro estruturado de seus contratos de serviços de TI. Essa exigência revela um princípio aplicável muito além das finanças: toda organização depende de softwares, provedores de hospedagem, soluções em nuvem ou prestadores de manutenção cuja comprometimento pode resultar em vazamento de dados.
Concretamente, mapear seus prestadores implica responder a várias perguntas:
- Quais fornecedores têm acesso aos dados sensíveis da organização, e com qual nível de privilégio?
- Os contratos preveem cláusulas de notificação em caso de incidente de segurança no prestador?
- Auditorias ou testes de resiliência são realizados regularmente sobre os serviços externalizados?
Essa abordagem transforma a segurança da informação: ela não se limita mais a proteger um perímetro interno, mas integra toda a cadeia de valor digital.
Ciberataques e proteção de dados: o que a ameaça implica tecnicamente
Os ataques de ransomware continuam a ser o vetor de ameaça mais visível. O princípio é conhecido: um software malicioso criptografa os arquivos de um sistema e exige um resgate para devolvê-los. O que mudou é a sofisticação dos métodos de acesso inicial.
A engenharia social continua a ser o principal ponto de entrada das compromissos. Um e-mail de phishing bem elaborado é suficiente para obter credenciais válidas. A partir daí, o atacante se move lateralmente na rede, eleva seus privilégios e acessa os dados mais sensíveis antes de acionar a criptografia.
Três medidas técnicas reduzem significativamente essa superfície de ataque:
- A autenticação multifator em todas as contas com privilégios, que bloqueia a maioria dos acessos obtidos por roubo de credenciais.
- A segmentação de rede, que limita a capacidade de um atacante de se mover de um sistema para outro após uma primeira intrusão.
- A gestão de permissões segundo o princípio do menor privilégio: cada usuário acessa apenas os recursos estritamente necessários para sua função.
Essas medidas não são novas. Sua eficácia depende de sua aplicação real, não de sua existência em um documento de política interna.
Responsabilidade dos dirigentes: a segurança da informação torna-se um assunto de governança
A NIS2 introduz uma mudança de paradigma para as organizações afetadas. Os dirigentes podem ser responsabilizados pessoalmente em caso de descumprimento das obrigações de gestão de riscos. A diretiva prevê que os órgãos de direção aprovem as medidas de segurança e supervisionem sua implementação.
Não é mais um assunto delegado ao responsável de TI. A conformidade exige que os tomadores de decisão compreendam os riscos cibernéticos aos quais sua organização está exposta, que validem os orçamentos correspondentes e que se certifiquem de que as equipes estão treinadas.
Para as empresas francesas, o atraso na transposição da NIS2 não significa que essas obrigações sejam adiadas. A diretiva estabelece um quadro que as jurisdições nacionais devem integrar, e as organizações que antecipam essa conformidade evitam o risco de uma recuperação apressada uma vez que o texto seja adotado.
A proteção de dados em 2024, portanto, repousa sobre três pilares que se reforçam mutuamente: medidas técnicas aplicadas rigorosamente, uma gestão contratual dos prestadores e uma implicação documentada da direção. A ausência de um único desses pilares fragiliza todo o dispositivo, independentemente do tamanho da organização.
