Max Mayorga (*)
Um CIO do setor público enfrenta uma realidade que um CISO corporativo não vivencia da mesma forma: quando um sistema fica indisponível, não é apenas uma operação que é interrompida, mas um direito do cidadão, como uma consulta médica, uma declaração de impostos, um processo judicial ou o pagamento de um benefício social. Por isso, no setor público, a cibersegurança deixou de ser apenas uma questão de infraestrutura para se tornar um tema de continuidade dos serviços essenciais e de prestação de contas.
O Global Threat Landscape Report 2026, da Fortinet, registrou 753,8 bilhões de tentativas de ataques cibernéticos no Brasil somente em 2025, sendo 198 bilhões concentrados no mês de outubro, e coloca governo, educação e energia entre os setores mais visados. Um número dessa magnitude pode levar gestores públicos a buscar soluções de forma precipitada. No entanto, uma tentativa detectada por um sensor não representa uma invasão e muito menos um serviço interrompido. Grande parte desse volume corresponde a varreduras automatizadas e tráfego residual que jamais alcança sistemas críticos. O verdadeiro desafio do Estado não é quantos alertas recebe, mas identificar quais representam um risco real.
O State of Cybersecurity Trends Report 2026, da Ivanti, baseado em uma pesquisa com mais de 1.200 profissionais de cibersegurança, mostra que 63% consideram o ransomware uma ameaça alta ou crítica para 2026, embora apenas 30% se sintam muito preparados para enfrentá-lo. Nesse contexto, 54% das organizações afirmam que considerariam pagar um resgate após um ataque bem-sucedido. No setor público, esse cenário é ainda mais preocupante. Um ataque pode não apenas interromper serviços críticos, mas também expor dados biométricos, de saúde e fiscais de milhões de cidadãos. As consequências vão além do impacto operacional e das possíveis sanções regulatórias: a confiança da população nas instituições públicas também fica comprometida.
Nesse contexto, a Gestão de Vulnerabilidades Baseada em Risco (RBVM), abordagem amplamente recomendada por referências como o NIST Cybersecurity Framework 2.0 e a CISA, deixa de ser uma boa prática para se tornar uma necessidade. Priorizar vulnerabilidades de acordo com a criticidade do ativo, a probabilidade de exploração e o impacto potencial sobre os dados dos cidadãos permite concentrar recursos naquilo que realmente importa. Tratar todas as vulnerabilidades com o mesmo nível de urgência consome tempo e equipes que deveriam estar protegendo os sistemas mais críticos.
O marco regulatório brasileiro já segue essa direção. A Instrução Normativa GSI/PR nº 3/2021 estabelece processos obrigatórios para o mapeamento de ativos de informação e para a gestão de riscos de segurança da informação na administração pública federal. A norma determina que os ativos sejam classificados conforme sua criticidade, que seus riscos sejam avaliados e que as ações de tratamento sejam priorizadas de acordo com esses riscos. Assim, uma abordagem baseada em risco deixa de ser apenas uma boa prática de mercado para integrar as exigências regulatórias aplicáveis ao setor público federal. Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, arts. 3º (I e II), 4º, 9º (I e VI), 14 e 15.
Mais do que atender a uma exigência normativa, esse modelo exige que a alta administração participe ativamente da governança da segurança da informação e da continuidade dos serviços públicos. O desafio, porém, já não está em definir regras, mas em transformar essas diretrizes em uma capacidade operacional capaz de identificar, priorizar e responder continuamente aos riscos mais críticos. Essa evolução acompanha uma tendência observada em regulamentações internacionais, como o Digital Operational Resilience Act (DORA) e a Diretiva NIS2 da União Europeia, que reforçam uma gestão baseada em risco e uma maior responsabilidade da liderança sobre a resiliência cibernética. (Fonte: Decreto nº 9.637/2018, art. 17; Decreto nº 12.572/2025; Regulamento (UE) 2022/2554 – DORA; Diretiva (UE) 2022/2555 – NIS2.)
Isso também exige uma mudança na forma de medir resultados.
Contar patches aplicados mede atividade, mas não necessariamente reduz risco. Referencias como o NIST Cybersecurity Framework 2.0 reforçam que a priorização deve considerar o contexto, a criticidade dos ativos e a probabilidade de exploração das vulnerabilidades. Um órgão público pode manter milhares de sistemas atualizados e, ainda assim, deixar exposto justamente o ativo mais crítico. Por isso, os reguladores buscam indicadores que demonstrem resiliência e capacidade de resposta, e não apenas volume de trabalho.
Fechar essa lacuna com equipes reduzidas e orçamentos limitados —exige maior nível de automação, estratégia também recomendada por organismos como o NIST e a CISA para ampliar a capacidade operacional das equipes de segurança. E automatizar não significa perder o controle, mas liberar as equipes de tarefas repetitivas para que possam concentrar seus esforços nas decisões que realmente exigem julgamento, responder rapidamente aos incidentes, isolar dispositivos comprometidos e gerar evidências de conformidade sem intervenção manual. Nada disso é possível sem dados confiáveis. O Estado não pode proteger aquilo que não consegue enxergar, e a visibilidade sobre endpoints, ativos e identidades tornou-se um requisito para priorizar com inteligência.
A pergunta não é quantas vulnerabilidades foram corrigidas, mas se os serviços públicos críticos permaneceram disponíveis, seguros e resilientes quando os cidadãos mais dependeram deles.
(*) Vice-Presidente Regional para a América Latina na Ivanti.
