Artigo de Max Mayorga, Vice-Presidente Regional para a América Latina na Ivanti
Um CIO do setor público enfrenta uma realidade que um CISO corporativo não vivencia da mesma forma: quando um sistema fica indisponível, não é apenas uma operação que é interrompida, mas um direito do cidadão, como uma consulta médica, uma declaração de impostos, um processo judicial ou o pagamento de um benefício social. Por isso, no setor público, a cibersegurança deixou de ser apenas uma questão de infraestrutura para se tornar um tema de continuidade dos serviços essenciais e de prestação de contas.
O Global Threat Landscape Report 2026, da Fortinet, registrou 753,8 bilhões de tentativas de ataques cibernéticos no Brasil somente em 2025, sendo 198 bilhões concentrados no mês de outubro, e coloca governo, educação e energia entre os setores mais visados. Um número dessa magnitude pode levar gestores públicos a buscar soluções de forma precipitada. No entanto, uma tentativa detectada por um sensor não representa uma invasão e muito menos um serviço interrompido: grande parte desse volume corresponde a varreduras automatizadas e tráfego residual que jamais alcança sistemas críticos. O verdadeiro desafio do Estado não é quantos alertas recebe, mas identificar quais representam um risco real.
O State of Cybersecurity Trends Report 2026, da Ivanti, baseado em pesquisa com mais de 1.200 profissionais de cibersegurança, mostra que 63% consideram o ransomware uma ameaça alta ou crítica para 2026, embora apenas 30% se sintam muito preparados para enfrentá-lo. Nesse contexto, 54% das organizações afirmam que considerariam pagar um resgate após um ataque bem-sucedido. No setor público, esse cenário é ainda mais preocupante: um ataque pode não apenas interromper serviços críticos, mas também expor dados biométricos, de saúde e fiscais de milhões de cidadãos.
Da contagem de patches à gestão baseada em risco
Nesse contexto, a Gestão de Vulnerabilidades Baseada em Risco (RBVM), abordagem amplamente recomendada por referências como o NIST Cybersecurity Framework 2.0 e a CISA, deixa de ser uma boa prática para se tornar uma necessidade. Priorizar vulnerabilidades de acordo com a criticidade do ativo, a probabilidade de exploração e o impacto potencial sobre os dados dos cidadãos permite concentrar recursos naquilo que realmente importa.
O marco regulatório brasileiro já segue essa direção. A Instrução Normativa GSI/PR nº 3/2021 estabelece processos obrigatórios para o mapeamento de ativos de informação e para a gestão de riscos de segurança da informação na administração pública federal, determinando que os ativos sejam classificados conforme sua criticidade e que as ações de tratamento sejam priorizadas de acordo com esses riscos. Essa evolução acompanha uma tendência observada em regulamentações internacionais, como o Digital Operational Resilience Act (DORA) e a Diretiva NIS2 da União Europeia.
Isso também exige uma mudança na forma de medir resultados. Contar patches aplicados mede atividade, mas não necessariamente reduz risco. Um órgão público pode manter milhares de sistemas atualizados e, ainda assim, deixar exposto justamente o ativo mais crítico. Por isso, os reguladores buscam indicadores que demonstrem resiliência e capacidade de resposta, e não apenas volume de trabalho.
Fechar essa lacuna com equipes reduzidas e orçamentos limitados exige maior nível de automação — estratégia também recomendada por organismos como o NIST e a CISA para ampliar a capacidade operacional das equipes de segurança. Automatizar não significa perder o controle, mas liberar as equipes de tarefas repetitivas para que possam se concentrar nas decisões que realmente exigem julgamento, responder rapidamente aos incidentes e gerar evidências de conformidade sem intervenção manual.
A pergunta não é quantas vulnerabilidades foram corrigidas, mas se os serviços públicos críticos permaneceram disponíveis, seguros e resilientes quando os cidadãos mais dependeram deles.
