©2026 MIT Sloan Management Review Brasil. Todos os direitos reservados. A reprodução, total ou parcial, é proibida sem a autorização prévia e expressa do CNEX.

Governança digital

A nova fronteira da segurança cibernética: da TI à sala do conselho

Na era dos ataques sofisticados, a segurança da informação saiu do domínio técnico. Proteger dados, reputação e valor de mercado é uma tarefa crítica do board

Claudia Muchaluat

25 de julho de 2025 e atualizado em 28 de julho de 2025

6 min de leitura

A segurança da informação deixou de ser um tema exclusivo da TI. Por décadas, a proteção digital foi tratada como uma responsabilidade técnica e restrita ao escopo da área de tecnologia, mas nos últimos anos esse jogo vem mudando. O aumento expressivo dos ataques — com prejuízos financeiros bilionários, danos reputacionais severos e impactos operacionais relevantes — fez com que o tema ganhasse protagonismo nas agendas estratégicas das organizações.

A dimensão do problema é clara: segundo o relatório Global Risks Report 2025, do World Economic Forum, a ciberespionagem e a guerra cibernética já ocupam a quinta posição entre os maiores riscos globais. Em um cenário cada vez mais interconectado, as ameaças atingem diversas esferas e envolvem aspectos financeiros, reputacionais e operacionais, fazendo com que o tema entre no rol de assuntos prioritários na pauta dos conselhos de administração.

Os dados da pesquisa CIO Report 2025 da Logicalis deixam claro a razão dessa virada. De acordo com o estudo, que ouviu cerca de mil líderes de TI em todo o mundo, 88% das organizações sofreram incidentes de segurança nos últimos 12 meses, sendo que 43% delas enfrentaram múltiplos ataques. Diante desse cenário, 96% dos entrevistados reconhecem a necessidade de melhorar a cobertura de segurança.

O que os números revelam é que, mesmo com orçamentos robustos, ainda é preciso reforçar os mecanismos de proteção, fragilizados, muitas vezes, por estratégias fragmentadas. E isso reforça a urgência do comprometimento da liderança executiva.

Ainda de acordo com um levantamento da PwC, apenas 46% dos CISOs (chief information security officers) estão envolvidos em relatórios e reuniões regulares com o conselho de administração. Fica evidente, portanto, a necessidade de uma maior conexão entre a percepção de risco e a governança corporativa.

Em um cenário cada vez mais interconectado, as ameaças atingem diversas esferas e envolvem aspectos financeiros, reputacionais e operacionais

Por que o board precisa se envolver?

A cibersegurança deixou de ser uma questão puramente técnica para se tornar um imperativo estratégico. O envolvimento do board é essencial por pelo menos quatro razões principais:

• Risco sistêmico e impacto financeiro: violações de segurança podem gerar prejuízos bilionários, afetar cadeias de suprimento globais e comprometer a continuidade dos negócios.
• Responsabilidade fiduciária e regulatória: conselheiros têm a obrigação de proteger os ativos da empresa — e isso inclui dados, propriedade intelectual e infraestrutura digital.
• Reputação e confiança de stakeholders: incidentes de segurança afetam diretamente a confiança de clientes, investidores e parceiros.
• Transformação digital e inovação segura: o board precisa garantir que a inovação tecnológica venha acompanhada de uma arquitetura de segurança robusta.

Antecipar é melhor que remediar 

Para exercer um papel ativo e estratégico, os conselheiros devem ir além de relatórios técnicos e fazer perguntas que revelem a maturidade da organização em segurança digital. Algumas perguntas-chave incluem:

• Quais são os principais riscos cibernéticos que enfrentamos hoje e nos próximos 12 a 24 meses — e como eles se conectam aos nossos objetivos estratégicos (inclui entendimento dos ativos mais críticos, das ameaças mais relevantes para esses ativos, e do apetite ao risco)? 
• Qual é o nosso nível de prontidão para responder a um incidente crítico? Temos um plano testado e atualizado?
• Estamos investindo o suficiente — e de forma inteligente — em segurança cibernética? Como nossos recursos se comparam com benchmarks do setor?
• Como garantimos que nossa cultura organizacional promove a cibersegurança em todos os níveis?
• Como avaliamos e monitoramos continuamente a eficácia do nosso programa de cibersegurança? Como estamos medindo a eficácia de nossos controles de segurança? Quais KPIs e métricas são usados?

Se, ao refletir sobre essas perguntas, você identificou lacunas preocupantes, é sinal de que sua organização precisa agir. O primeiro passo é trazer o tema para o centro das discussões estratégicas. Isso significa promover um diagnóstico realista da maturidade em cibersegurança, identificar os ativos mais críticos, envolver as áreas de risco, compliance e TI, e construir um plano de ação com base em prioridades claras e metas factíveis. Esse movimento não deve ser isolado, nem eventual — exige coordenação, suporte executivo e comprometimento de todo o board.

Cibersegurança não é apenas sobre tecnologia — é sobre liderança, preparo e responsabilidade, isto é, governança contínua. Liderar em cibersegurança significa antecipar, não apenas reagir. É preciso estratégia, métricas, cultura e governança. Também é essencial buscar apoio técnico qualificado, adotar frameworks de cibersegurança de referência, estabelecer KPIs que sejam acompanhados com a mesma atenção dada aos indicadores financeiros e incorporar o tema à cultura organizacional.

Esse movimento, quando liderado pelo board, abre caminho para uma inovação mais segura e uma relação de confiança mais sólida com o ecossistema. Só assim, as empresas estarão preparadas para enfrentar um cenário de ameaças cada vez mais sofisticadas, com resiliência e integridade.