Durante muito tempo, o mercado tratava a cibersegurança no Brasil apenas como boas práticas recomendadas. Naquela época, as empresas deixavam essas regras em segundo plano. No entanto, o governo mudou esse cenário ao promulgar o Decreto nº 11.856 em dezembro de 2023. Na prática, esta lei criou a Política Nacional de Cibersegurança, conhecida como PNCiber. Além disso, a norma instituiu o Comitê Nacional de Cibersegurança (CNCiber).
De fato, essa lei sinaliza uma mudança profunda do Estado brasileiro. Por essa razão, o governo passa a tratar a resiliência digital como parte da segurança do país. Consequentemente, a norma gera impactos diretos sobre todos os fornecedores de tecnologia.
Da proteção de dados à resiliência operacional
A Política Nacional de Cibersegurança não substitui a Lei Geral de Proteção de Dados. Na verdade, ela atua de forma complementar à LGPD. Com efeito, a LGPD concentrou o debate na privacidade das informações pessoais. Por outro lado, a nova política foca na resiliência física e lógica dos sistemas computacionais.
Desse modo, a norma amplia o escopo de responsabilidade das empresas. Na prática, os gestores precisam proteger os dados pessoais dos clientes. Além disso, as equipes devem garantir o funcionamento contínuo da infraestrutura de tecnologia. Assim, a TI consegue se recuperar rapidamente após um incidente grave.
Os quatro eixos técnicos de adequação
Para se adequar às diretrizes da PNCiber e aos padrões definidos pelo CNCiber, pequenas e médias empresas precisam estruturar sua infraestrutura em torno de quatro frentes técnicas:
- Monitoramento e resposta contínuos, com adoção de soluções de gestão de eventos de segurança e detecção estendida, capazes de identificar ameaças em tempo real.
- Gestão de riscos na cadeia de suprimentos, especialmente para empresas que prestam serviços a órgãos públicos ou grandes corporações, exigindo auditorias periódicas e testes de segurança.
- Governança e planos de continuidade de negócios, com procedimentos documentados de gestão de incidentes, recuperação de desastres e backups imutáveis, resistentes a ataques de sequestro de dados.
- Adequação a padrões internacionais, como ISO/IEC 27001 e o NIST Cybersecurity Framework, referência para boa parte dos controles recomendados pelo CNCiber.
Cada um desses eixos, isoladamente, já representava boa prática recomendada. Juntos, agora, formam um conjunto de exigências que tende a se tornar padrão mínimo de operação no mercado brasileiro.
Os riscos de ficar de fora da conformidade
A não conformidade com esse novo ecossistema normativo carrega dois tipos de consequência. A primeira é o risco direto de sanções legais e administrativas, à medida que a fiscalização se torna mais estruturada. A segunda, muitas vezes subestimada, é o risco comercial.
Empresas que não conseguem comprovar práticas mínimas de segurança e continuidade correm o risco de ficar de fora de cadeias de suprimento mais reguladas, perdendo contratos com clientes que, por sua vez, também precisam demonstrar conformidade em toda a sua base de fornecedores.
Conformidade como diferencial competitivo
Ao contrário do que se costuma pensar, atender a exigências regulatórias de cibersegurança não deveria ser encarado apenas como custo obrigatório. Empresas que se anteciparam a essas exigências, estruturando monitoramento contínuo, planos de continuidade e backups imutáveis antes de serem obrigadas por lei, já operam com um nível de maturidade que passa a ser argumento comercial diante de clientes mais exigentes.
Nesse sentido, a PNCiber funciona menos como uma imposição isolada e mais como um convite para que as empresas tratem cibersegurança como parte estrutural da estratégia de negócio, e não como item de conformidade a ser resolvido às pressas.
Serviço
FT Consult – soluções em tecnologia para todas as empresas.
Telefone: (11) 4858-4850
E-mail: contato@ftconsult.com.br
Endereço: Itaim Office Tower – Rua Gomes de Carvalho, 1581 – 8° andar
