O avanço do Marco Legal da Cibersegurança no Senado pode mudar a forma como as empresas brasileiras tratam o risco cibernético. Em um cenário ainda marcado por diferentes níveis de regulação e maturidade entre setores, a proposta busca estabelecer diretrizes nacionais para fortalecer a segurança e a resiliência digital no país. A discussão ocorre ao mesmo tempo em que a inteligência artificial amplia a capacidade de automação de operações criminosas e aumenta a pressão para que organizações fortaleçam seus mecanismos de proteção.
Em tramitação no Senado, o PL 4.752/2025 institui o Marco Legal da Cibersegurança e cria o Programa Nacional de Segurança e Resiliência Digital. A proposta prevê, entre outros pontos, mecanismos para prevenção, mitigação e resposta coordenada a incidentes, além do desenvolvimento de capacidades técnicas e operacionais no país.
Na prática, uma das mudanças esperadas é a criação de parâmetros mais comuns para um cenário hoje fragmentado, no qual alguns setores estão submetidos a exigências específicas de segurança enquanto outros dependem principalmente de boas práticas. Temas como governança, gestão de riscos, reporte de incidentes e resiliência tendem, assim, a ganhar mais espaço na estratégia das organizações.
“O principal avanço é tirar a cibersegurança de uma lógica reativa, em que a empresa age depois do ataque, e levá-la para uma gestão contínua de risco, com prevenção, testes e planos de resposta. A segurança cibernética precisa ser tratada cada vez mais como risco de negócio, e não apenas de tecnologia”, afirma Rodolfo Almeida, diretor executivo de operações (COOO da ViperX, startup de cibersegurança do Grupo Dfense.
A necessidade dessa mudança ganha relevância diante da evolução das próprias ameaças. Um levantamento divulgado pela Anthropic em junho, após a análise de 832 contas banidas por violações relacionadas a atividades cibernéticas, identificou o uso de inteligência artificial em todas as 14 táticas do framework MITRE ATT&CK, referência internacional para mapear as diferentes etapas de um ataque.
O estudo analisou atividades registradas entre março de 2025 e março de 2026 e reuniu 13.873 observações associadas às contas investigadas. Entre os 832 atores analisados, 560 foram associados à técnica de desenvolvimento de malware (T1587.001) com auxílio de IA. Além disso, a proporção de atores classificados pela Anthropic como de risco médio ou superior passou de 33% para 56% entre a primeira e a segunda metade do período analisado.
Desafio será ir além da conformidade
Apesar de a criação de parâmetros nacionais representar um avanço, a implementação será determinante para a efetividade do Marco. Entre os desafios estão definir como será coordenado o reporte de incidentes, como ocorrerá o compartilhamento de informações sobre ameaças entre governo e iniciativa privada e quais níveis mínimos de segurança deverão ser considerados de acordo com o risco e a criticidade de cada organização ou serviço.
Outro ponto é como medir, na prática, a maturidade das organizações. Ter políticas e procedimentos formalizados não significa necessariamente possuir capacidade para responder a um incidente real. Testes, métricas de detecção e resposta e definição clara de responsabilidades são importantes para avaliar se os controles previstos funcionam quando uma ameaça efetivamente ocorre.
“O principal desafio é evitar que a cibersegurança vire apenas um checklist regulatório. Uma empresa pode ter uma política de resposta a incidentes no papel, mas nunca ter testado quanto tempo leva para detectar um ataque, quem toma as decisões ou como o ambiente será isolado. Estar em conformidade não significa necessariamente estar preparado”.
Risco não termina dentro da empresa
A discussão também se estende à cadeia de fornecedores. Mesmo organizações com bons controles podem estar expostas a vulnerabilidades presentes em parceiros, prestadores de serviços, fornecedores e integrações tecnológicas. Por isso, a gestão de riscos cibernéticos precisa considerar não apenas o ambiente interno, mas também os diferentes agentes conectados à operação.
Avaliar terceiros, testar planos de resposta e compreender como um incidente em um fornecedor pode afetar a continuidade dos negócios tornam-se, portanto, elementos importantes para ampliar a resiliência das organizações.
IA aumenta pressão sobre a capacidade de defesa
A inteligência artificial acrescenta uma nova camada a esse desafio. Se a tecnologia permite ampliar a escala de fraudes, ataques de engenharia social, exploração de vulnerabilidades e outras etapas de operações criminosas, ela também pode ser utilizada na defesa para analisar grandes volumes de informações, identificar comportamentos suspeitos e reduzir o tempo de detecção e resposta.
Nesse cenário, princípios como segurança desde a concepção, rastreabilidade, observabilidade e responsabilização tendem a ganhar importância. Em vez de tentar acompanhar individualmente cada nova ferramenta tecnológica, o desafio passa pela criação de princípios e mecanismos capazes de se adaptar à evolução das ameaças.
“A legislação não precisa ser mais rápida que o atacante, mas precisa criar mecanismos para que a defesa consiga se adaptar na mesma velocidade. A regulação define responsabilidades e parâmetros mínimos, enquanto a tecnologia ajuda a prevenir e detectar ameaças. Se uma dessas partes falhar, podemos ter conformidade no papel e vulnerabilidade na prática”.
Ajude o Correio a crescer e a melhorar!
