Segundo os dados, 71% das organizações inquiridas afirmam que a sua exposição ao risco cibernético permaneceu inalterada ou aumentou, mesmo com orçamentos de segurança em crescimento constante. Um paradoxo que denuncia fragilidades não necessariamente tecnológicas, mas estratégicas.
“O problema está no foco, não na tecnologia”, resume com clareza Sumedh Thakar, CEO da Qualys. “Os conselhos de administração já não querem dashboards; querem respostas claras. Precisam de saber que risco está a ser mitigado, onde, e com que impacto. Se não souberem quais são os ativos críticos para o negócio ou que vulnerabilidades afetam os serviços chave, os investimentos continuarão a não dar retorno”.
Maturidade em construção
Há, no entanto, sinais encorajadores de que as empresas estão a avançar na formalização da gestão de risco. Cerca de 49% já implementaram programas estruturados, e 43% fizeram-no nos últimos dois anos, o que revela um mercado em aceleração. Ainda assim, mais de metade (51%) refere que o risco está a aumentar, enquanto apenas 6% reportam uma diminuição.
Uma das explicações para esta disparidade pode estar na gestão de ativos, identificada como um pilar da resiliência cibernética. Embora 83% das empresas realizem inventários regulares, apenas 13% o fazem de forma contínua — uma lacuna crítica num mundo de ameaças em tempo real. Quase metade (47%) continua a depender de processos manuais, e mais de 40% reconhecem que inventários incompletos são um obstáculo importante à mitigação de riscos.
Métricas, sim — mas nem sempre as certas
Na análise de risco, 68% das empresas já conjugam inteligência de ameaças com estimativas de perda para definir prioridades. No entanto, uma parte não negligenciável (cerca de 20%) continua a confiar exclusivamente em métricas técnicas, como a pontuação CVSS, que embora úteis, não capturam o impacto financeiro ou operacional das vulnerabilidades.
Este desalinhamento técnico-estratégico é talvez mais evidente na comunicação com os conselhos de administração. Se é verdade que 97% das organizações comunicam os resultados de risco à gestão de topo, menos de metade (42%) inclui riscos quantificados nos relatórios, e apenas 35% apresenta estimativas do custo potencial para o negócio.
Risco traduzido em valor: o desafio do alinhamento
No coração desta disfunção está o descompasso entre as políticas de cibersegurança e as prioridades empresariais. O relatório é claro: não faltam ferramentas tecnológicas, mas falta capacidade para integrar o risco digital na linguagem dos negócios.
O estudo recomenda uma evolução para cenários de risco traduzidos em termos financeiros, que permitam aos decisores perceber, de forma concreta, o retorno dos investimentos e os impactos potenciais de uma falha. Só assim será possível ultrapassar o ruído técnico e tomar decisões alinhadas com a criação de valor.
Num mundo onde a superfície de ataque cresce mais depressa do que os orçamentos, e onde os conselhos de administração se tornam cada vez mais interventivos no domínio da cibersegurança, a clareza, a automatização e o alinhamento estratégico surgem como as novas moedas de confiança. O risco digital já não é apenas um problema dos CISOs (sigla em inglês) — é uma questão de liderança.