Projeto em discussão no Congresso deixa claro que proteger dados e sistemas é responsabilidade das organizações, enquanto a ciberdefesa permanece como atribuição do Estado. Especialistas alertam: segurança deixou de ser checklist e passou a exigir monitoramento contínuo
O avanço do Projeto de Lei nº 4.752/2025, que cria o Marco Legal da Cibersegurança, está promovendo uma mudança importante na forma como empresas, governo e sociedade encaram a segurança digital. Mais do que estabelecer novas diretrizes para prevenção e resposta a ataques cibernéticos, o texto deixa mais clara uma distinção que, até hoje, costuma ser confundida: cibersegurança e ciberdefesa não são a mesma coisa.
Embora pareçam conceitos semelhantes, eles possuem responsabilidades distintas. Enquanto a ciberdefesa está relacionada à proteção da soberania nacional, das capacidades militares e das infraestruturas críticas sob coordenação do Estado, a cibersegurança diz respeito à proteção dos ativos digitais das organizações, da continuidade dos negócios e da gestão permanente dos riscos cibernéticos.
Para Carlos Alberto Costa, CEO da JC2Sec, compreender essa diferença é fundamental para que as empresas deixem de esperar que o governo resolva um problema que, na maior parte das vezes, começa dentro de seus próprios ambientes.
“A ciberdefesa está relacionada à proteção da soberania nacional, das capacidades militares e da atuação do Estado diante de ameaças estratégicas. Já a cibersegurança trata da proteção dos ativos digitais das organizações, da continuidade dos negócios e da gestão dos riscos cibernéticos. Para as empresas, isso significa compreender que a responsabilidade pela proteção de seus ambientes, dados e operações é essencialmente delas.”
Essa visão converge com a defendida por Marta Schuh, diretora de Seguros Cibernéticos e Tecnológicos da Howden Brasil e autora de parecer técnico apresentado durante audiência pública realizada recentemente no Senado Federal sobre o Marco Legal.
Segundo ela, a diferenciação entre os conceitos se tornou necessária porque os ataques atuais extrapolam cada vez mais os limites das organizações.
“A cibersegurança precisa fazer parte da estratégia de qualquer organização. Ela envolve prevenção, gestão de riscos e capacidade de resposta. Já a ciberdefesa é uma responsabilidade do Estado, que deve coordenar ações para proteger infraestruturas críticas e atuar quando um incidente extrapola os limites de uma empresa e passa a representar riscos para serviços essenciais ou para a população”, destaca Marta.
A segurança deixou de ser responsabilidade exclusiva da TI
Se antes ataques cibernéticos eram vistos como um problema do departamento de tecnologia, o novo Marco Legal reforça que eles passam a integrar definitivamente a agenda da alta administração.
Para Carlos Alberto Costa, essa talvez seja a principal mudança trazida pela proposta.
“A principal mudança é de postura. A empresa deixa de enxergar a segurança como um tema exclusivamente tecnológico e passa a tratá-la como um risco de negócio. Isso envolve estabelecer governança, definir responsabilidades, conhecer seus ativos críticos, monitorar continuamente seus ambientes, preparar planos de resposta a incidentes e investir de forma contínua na redução de riscos, explica o CEO da JC2Sec.
Na prática, isso significa que diretores, conselhos de administração e executivos passam a ter papel cada vez mais relevante na definição da estratégia de proteção digital, deixando de delegar integralmente essa responsabilidade à equipe técnica.
Marta Schuh reforça que muitas organizações ainda tratam a segurança digital apenas como um centro de custos.
“Muitas organizações ainda enxergam a cibersegurança como um custo e acreditam que não serão vítimas. O primeiro passo é tratar o risco cibernético como um risco operacional, entender quais processos dependem dos sistemas digitais, avaliar o nível de maturidade da organização e investir em medidas capazes de aumentar sua resiliência.”
Checklists já não acompanham a velocidade dos ataques
Outro ponto destacado pelos especialistas é que os modelos tradicionais de segurança deixaram de acompanhar a velocidade das ameaças atuais.
Segundo Carlos Alberto Costa, auditorias periódicas continuam sendo importantes, mas representam apenas um retrato momentâneo do ambiente digital.
“O cenário de ameaças muda diariamente. Novas vulnerabilidades surgem constantemente e ataques podem ocorrer em questão de horas. Por isso, cresce a necessidade de monitoramento contínuo, inteligência de ameaças, automação e capacidade permanente de identificar mudanças no ambiente.”
Ele afirma que a velocidade dos ataques exige uma mudança profunda na forma de operar.
“Hoje não é mais suficiente descobrir um problema dias ou semanas depois de ele surgir. As empresas precisam reduzir o tempo entre a identificação de uma ameaça e a resposta. Isso exige monitoramento contínuo, correlação automática de eventos, inteligência artificial para apoiar a priorização de alertas e processos capazes de responder rapidamente aos incidentes.”
Essa visão dialoga diretamente com um dos conceitos mais defendidos atualmente pelos especialistas em segurança: a substituição de avaliações periódicas por monitoramento contínuo da superfície de ataque.
O fornecedor pode ser a porta de entrada do ataque
Outro aspecto que ganha destaque no Marco Legal é a gestão dos riscos relacionados à cadeia de fornecedores.
Ataques recentes demonstraram que criminosos têm explorado empresas terceirizadas, prestadores de serviços e desenvolvedores de software para atingir organizações maiores, muitas vezes altamente protegidas.
“Hoje praticamente toda empresa está conectada a uma cadeia digital. Um fornecedor de software, uma empresa de logística ou um prestador de serviços pode ser utilizado como porta de entrada para atingir organizações maiores. Os ataques à cadeia de suprimentos demonstraram que qualquer empresa pode se tornar um elo vulnerável.”
Segundo Costa, é justamente por isso que o gerenciamento de riscos de terceiros (TPRM) deixou de ser um tema restrito às grandes corporações.
“O projeto dedica uma seção específica à governança de riscos na cadeia de suprimentos. Isso inclui avaliação, monitoramento e mitigação dos riscos relacionados a fornecedores, parceiros tecnológicos e prestadores externos. É exatamente nesse contexto que o gerenciamento de riscos de terceiros se torna estratégico.”
Ele lembra que diversos dos maiores incidentes globais dos últimos anos tiveram origem justamente em fornecedores comprometidos.
“Ter uma boa segurança interna continua sendo essencial, mas já não é suficiente quando a cadeia permanece invisível ou sem monitoramento. O conceito de superfície de ataque precisa incluir tudo aquilo que se conecta à empresa ou pode afetar suas operações.”
Marco Legal cria diretrizes, mas não substitui a preparação
Embora o projeto represente um avanço importante para a governança da segurança digital no país, especialistas alertam que nenhuma legislação, sozinha, impede ataques.
Para Marta Schuh, o texto fortalece a cultura de prevenção e pode estimular a adoção de frameworks de maturidade cibernética, além de reconhecer instrumentos complementares, como o seguro cibernético, para ampliar a resiliência das organizações.
Já para Carlos Alberto Costa, o maior mérito da proposta está em provocar uma mudança cultural.
“O Marco Legal ajuda a comunicar que cibersegurança não é uma ação emergencial realizada depois de um ataque. É um processo permanente de prevenção, preparação, resposta e recuperação. O papel da lei é estabelecer diretrizes e incentivar um nível mínimo de maturidade. A proteção efetiva depende da combinação entre governança, tecnologia, processos bem definidos e pessoas capacitadas.”
Em outras palavras, a legislação estabelece o caminho, mas a resiliência digital continuará sendo construída dentro das empresas. E, diante de um cenário em que ataques evoluem diariamente, a capacidade de monitorar continuamente riscos, fornecedores e ativos digitais tende a ser um dos principais diferenciais entre organizações preparadas e aquelas que ainda enxergam a cibersegurança apenas como uma obrigação regulatória.
