Ser CISO pode parecer uma batalha impossível de vencer.
Hoje em dia, os CISOs são chamados a ajudar a empresa a compreender os riscos cibernéticos, a implementar controlos adequados à sua propensão ao risco e a garantir que esta consiga resistir ou recuperar rapidamente de situações difíceis, continuando ao mesmo tempo a alcançar os resultados empresariais exigidos. E, tal como já referi anteriormente, têm de o fazer num mundo em que os ciberataques só precisam de acertar uma vez, enquanto se espera que os defensores acertem sempre.
Esta é uma luta desigual. Mas é também a realidade.
O novo documentário sobre cibersegurança da Semperis, «Midnight in the War Room», estreará na Black Hat USA a 5 de agosto de 2026. O filme aborda uma questão que muitos de nós temos vindo a tentar defender há anos: a cibersegurança não é um esforço técnico. É uma questão de resiliência empresarial, uma questão de liderança e, em muitos setores, uma questão social.
É essa a verdade que o livro «Midnight in the War Room» aborda. Com demasiada frequência, a cibersegurança continua a ser discutida como se fosse uma questão que se insere exclusivamente no âmbito do departamento de TI. Na minha experiência, isso é um erro.
Os CISOs estão na linha da frente da guerra cibernética
Um ciberataque grave transforma-se rapidamente numa crise empresarial. Afeta as operações, as comunicações, as questões jurídicas, as finanças, a cadeia de abastecimento, a confiança dos clientes e, em alguns setores, até mesmo a segurança e o bem-estar público. É também uma crise pessoal para aqueles que se encontram na linha da frente do que pode parecer um ataque incessante. Não só os CISOs enfrentam frequentemente ataques que podem resultar em verdadeiras catástrofes humanas — como no caso do ransomware que ameaça paralisar as operações hospitalares ou dos ciberataques lançados no âmbito de conflitos globais —, como os atacantes começaram a recorrer a ameaças de violência física contra os líderes e o pessoal de cibersegurança.
Consciente destes desafios, a Semperis não quis limitar-se a analisar os desafios técnicos do malware ou das intrusões cibernéticas. Queríamos dar voz aos líderes e às equipas que têm de manter as organizações a funcionar, mesmo sob a maior pressão possível.
O que é a resiliência cibernética?
A resiliência cibernética é sinónimo de resiliência empresarial . No panorama digital atual, o domínio cibernético é, muitas vezes, apenas o gatilho para um acontecimento mais abrangente com impacto nos negócios. Essa distinção é importante.
O livro «Midnight in the War Room» dá especial ênfase ao impacto emocional e psicológico da defesa cibernética, especialmente para os CISOs responsáveis pela proteção de infraestruturas críticas e serviços essenciais. Penso que isso está absolutamente correto.
A função moderna do CISO é mais abrangente do que muitos fora da profissão imaginam. Exige fluência técnica, mas também discernimento, diplomacia, gestão de crises cibernéticas, liderança na resposta a incidentes e a capacidade de explicar os riscos cibernéticos numa linguagem que permita aos conselhos de administração e às equipas executivas tomar medidas concretas. Exige que os líderes tenham em conta interrupções prolongadas, perturbações operacionais transfronteiriças, a fragilidade da cadeia de abastecimento e a resiliência humana necessária para gerir um incidente que pode durar dias ou semanas, e não apenas horas.
Estima-se que o cibercrime custe 10,5 biliões de dólares anualmente. Existem 3,5 milhões de vagas por preencher na área da cibersegurança e o tempo médio de permanência no cargo de CISO é inferior a 11 meses. Não se trata apenas de temas de discussão. Descrevem um ambiente em que os defensores estão sob pressão constante.
Como observou o General (na reserva) David Petraeus: «Todos os dias, há uma guerra a decorrer no ciberespaço.»
A verdadeira resiliência cibernética exige mais do que apenas prevenção
A comunidade de cibersegurança sabe que todas as organizações devem agora adotar uma postura de «presumir que houve uma violação» no que diz respeito às ameaças cibernéticas. A resiliência cibernética não se mede apenas pela capacidade de prevenir ataques. A questão mais importante é saber se é possível recuperar a atividade da empresa rapidamente e com integridade após um incidente cibernético.
Isto é especialmente verdade no domínio da segurança de identidade.
Os adversários são constantemente atraídos para os sistemas de identidade, pois é aí que conseguem causar o maior impacto possível. Na maioria das organizações, a identidade é a força vital do ecossistema digital, e o Active Directory continua a ser o núcleo desse ambiente. Se não for possível confiar nessa base ou restaurá-la rapidamente, não se pode afirmar, com credibilidade, que se é resiliente.
Segurança da identidade, resiliência operacional e as decisões mais difíceis numa crise cibernética
Uma liderança forte na área da cibersegurança não se resume apenas à resposta técnica. Numa verdadeira crise cibernética, as decisões mais difíceis são, muitas vezes, decisões empresariais.
- Quem tem autoridade delegada para agir?
- Que serviços empresariais têm prioridade?
- Quando é que comunica com as entidades reguladoras, os colaboradores, os fornecedores, os clientes ou os acionistas?
- Durante quanto tempo é que a empresa consegue suportar a indisponibilidade dos sistemas essenciais?
- Quais são as implicações legais, em termos de reputação, operacionais e de segurança da estratégia de resposta que escolher?
Estas questões estão no cerne da resiliência operacional.
Nos exercícios simulados, tenho constatado frequentemente que as organizações tendem instintivamente a centrar-se nas discussões sobre tecnologia, negligenciando as dimensões humanas, jurídicas e de reputação. No entanto, a tecnologia só é eficaz na medida em que o processo e as pessoas que a gerem o permitirem.
Na era da proliferação da IA, pode ser fácil perder de vista esse aspeto. No entanto, no fundo, uma liderança forte em cibersegurança tem a ver com as pessoas.
Como afirmou Jen Easterly: «Para derrotar os ciberataques maliciosos que ameaçam o nosso modo de vida, não basta apenas tecnologia concebida para ser segura; é necessária a criatividade e a curiosidade da mente humana. Essas qualidades capacitam os defensores a superar os adversários em termos de estratégia e manobras, e é uma honra fazer parte do Midnight in the War Room para promover essa missão.»
Os melhores líderes em cibersegurança criam espaço para perspetivas diversas, garantem que a voz mais discreta na sala seja ouvida e mantêm as equipas concentradas na continuidade das atividades da empresa, enquanto os responsáveis pela resposta técnica fazem o que têm de fazer.
Vozes reais, desafios reais
«Midnight in the War Room» reúne mais de 50 especialistas, incluindo CISOs, hackers reformados, líderes militares e de segurança nacional, psicólogos especializados em cibersegurança, jornalistas e vítimas. Entre os nomes mais conhecidos encontram-se:
- Chris Inglis
- Jen Easterly
- General (aposentado) David Petraeus
- Marcus Hutchins
- Professora Mary Aiken
O elenco mais alargado inclui Marene Allison, Krista Arndt, Alan Berry, Roger Brotz, Grace Cassy e Chase Cunningham, entre outros.
A diversidade de pontos de vista apresentados no filme é importante. A resiliência cibernética não é da competência exclusiva de uma única função. Exige a perspetiva de profissionais, decisores políticos, investigadores e líderes que compreendam como a pressão cibernética influencia a tomada de decisões no mundo real.
Chris Inglis foi direto ao ponto: «A maior ameaça que enfrentamos não é apenas a sofisticação dos ciberataques perpetrados por Estados-nação, é a complacência. A resiliência constrói-se quando nos recusamos a aceitar as defesas atuais como suficientes e nos preparamos para as batalhas que ainda estão por vir.»
As pessoas que estão por trás da luta pela resiliência
Os líderes em cibersegurança estão a operar num ambiente caracterizado por uma complexidade crescente das ameaças, orçamentos mais restritos, escassez persistente de competências e uma dependência digital cada vez maior. Neste contexto, as organizações precisam de ter uma visão muito mais clara do que a verdadeira resiliência cibernética exige.
Não basta partir do princípio de que a tecnologia estará disponível quando for necessária. Não basta partir do princípio de que os canais de comunicação habituais continuarão a funcionar durante uma crise cibernética. Não basta partir do princípio de que o problema é da responsabilidade de outra pessoa.
Os líderes devem ser capazes de explicar os riscos cibernéticos em termos empresariais, definir os serviços críticos, estabelecer prioridades na recuperação, dotar os responsáveis pela resposta das competências adequadas e garantir que a organização tenha simulado o impensável, em vez de se limitar a documentá-lo.
Qualquer responsável pela resposta a incidentes reconhecerá a veracidade da afirmação de Marcus Hutchins: «No fim de contas, tudo se resume a isto: estava a pessoa certa no lugar certo, na altura certa?»
Se o livro «Midnight in the War Room» ajudar mais equipas executivas a compreender isso, terá cumprido o seu objetivo.
Junta-te à Sala de Operações
Não creio que os responsáveis pela segurança precisem de mais um relato sensacionalista sobre os riscos cibernéticos. O que eles precisam é de uma compreensão pública mais clara e honesta do que o trabalho realmente envolve e dos desafios que enfrentam todos os dias.
Pronto para entrar na «War Room»? Se vai participar na Black Hat USA no próximo mês, junte-se à Semperis na estreiade «Midnight in the War Room», no dia 5 de agosto. Fique também atento às simulações de mesa «Enter the War Room», centradas nos setores da saúde, infraestruturas críticas e retalho, organizadas em parceria com a WWT e disponíveis no Business Hall. Entretanto, pode ver o trailer do documentário aqui. Depois, participe na conversa no Instagram ou no LinkedIn.
