As empresas e os particulares produzem a cada dia um volume crescente de dados digitais. O quadro regulatório europeu se tornou mais denso: ao RGPD se somam agora o NIS2 para os setores críticos, o DORA para as finanças e o AI Act para os sistemas de inteligência artificial, com cronogramas de aplicação escalonados. Nesse contexto, a segurança dos dados não se resume mais a um antivírus ou a uma senha robusta. Ela envolve escolhas de arquitetura, governança e verificação contínua.
Backups alvo de atacantes: um ponto cego das estratégias de proteção
A maioria dos guias de cibersegurança recomenda fazer backups regulares de seus arquivos. Este conselho continua válido, mas oculta um problema mais recente. Os retornos de campo mostram que as infraestruturas de backup agora são um alvo prioritário para os atacantes. O objetivo não é mais apenas criptografar os arquivos ativos, mas também neutralizar as cópias de segurança, tornando qualquer recuperação impossível sem o pagamento de um resgate.
Essa evolução muda o jogo para as equipes de TI. Ter um backup não é mais suficiente se ele for acessível a partir da mesma rede que os sistemas de produção. A imutabilidade das cópias (impossibilidade de modificá-las após a gravação) e seu isolamento físico ou lógico tornam-se critérios de escolha para qualquer solução de armazenamento. Também é recomendado testar regularmente a restauração efetiva dos dados, pois um backup que não se restaura não é um backup.
Para aprofundar essas questões, as informações de segurança no Open Syd detalham várias abordagens adaptadas para empresas e freelancers.
Cadena de suprimentos digital e riscos relacionados a prestadores de serviços
As regulamentações recentes, com o NIS2 à frente, ampliam o escopo de responsabilidade muito além do sistema de informação interno. A avaliação dos riscos relacionados a fornecedores e subcontratados agora faz parte das obrigações para as entidades envolvidas. Um prestador de serviços em nuvem mal protegido, uma ferramenta SaaS que armazena dados pessoais sem criptografia adequada, um acesso de terceiros não revogado após o término de um contrato: tantas falhas que as soluções digitais devem cobrir.
Na prática, isso implica várias verificações antes de confiar dados a um terceiro:
- Examinar as certificações de segurança do prestador (ISO 27001, qualificação SecNumCloud ou equivalente) e verificar seu escopo exato.
- Contratualizar as obrigações de notificação em caso de incidente, com prazos precisos e compromissos de transparência.
- Prever um mecanismo de reversibilidade: poder recuperar a totalidade de seus dados em um formato utilizável se o prestador alterar suas condições ou encerrar suas atividades.
- Auditar os acessos de terceiros regularmente, removendo aqueles que não são mais justificados.
Os retornos de campo divergem sobre a capacidade real das PME de realizar essas auditorias de maneira sistemática. O custo e a complexidade continuam sendo obstáculos, o que leva algumas estruturas a mutualizar essas avaliações por meio de associações setoriais.
Conformidade regulatória: RGPD, NIS2, DORA e AI Act na prática
A sobreposição dos textos europeus cria uma dificuldade concreta para as empresas: cada regulamentação cobre um escopo diferente, com obrigações que se sobrepõem parcialmente. O RGPD regula o tratamento de dados pessoais. O NIS2 impõe medidas de cibersegurança às entidades chamadas “importantes”. O DORA visa especificamente a resiliência digital do setor financeiro. O AI Act adiciona restrições para sistemas de inteligência artificial de alto risco.
Para uma empresa que utiliza uma ferramenta de IA que trata dados pessoais em um setor coberto pelo NIS2, esses três textos se aplicam simultaneamente. As soluções digitais de conformidade tentam automatizar parte desse trabalho: mapeamento dos tratamentos, registro das atividades, detecção de desvios. Os dados disponíveis ainda não permitem medir a eficácia real dessas ferramentas a longo prazo, mas sua adoção avança nas organizações de médio porte.
O que muda com o AI Act para a proteção de dados
O AI Act introduz uma classificação dos sistemas de IA por nível de risco. Os sistemas de alto risco (recrutamento automatizado, scoring bancário, vigilância inteligente) devem cumprir requisitos de transparência, rastreabilidade e governança dos dados de treinamento. Um modelo de IA treinado com dados enviesados ou mal protegidos expõe a empresa a sanções sob o AI Act e o RGPD simultaneamente.
A CNIL publicou diretrizes sobre a articulação entre IA e proteção de dados pessoais, especialmente para sistemas chamados “agentes” (IA autônoma capaz de ações em cadeia). Essas precisões são recentes e sua tradução operacional ainda precisa ser construída para muitas organizações.
Soluções digitais de detecção e resposta a ameaças
As ferramentas de detecção evoluíram além da análise de assinaturas conhecidas. As soluções do tipo EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) correlacionam eventos em várias camadas do sistema de informação: estações de trabalho, e-mail, rede, nuvem. A detecção agora se baseia na análise comportamental, o que permite identificar ameaças inéditas que não correspondem a nenhuma assinatura registrada.
Por outro lado, essas soluções geram um volume de alertas que as equipes precisam filtrar. Sem um processo de qualificação claro, o risco é sobrecarregar os analistas com falsos positivos ou, inversamente, deixar passar um incidente real perdido na massa. A automação da triagem (por meio de regras ou IA) ajuda, mas não elimina a necessidade de expertise humana para decisões críticas.
A escolha de uma solução de segurança não é feita com base em uma lista de funcionalidades. Ela depende do tamanho da organização, da sensibilidade dos dados tratados, do quadro regulatório aplicável e da capacidade real das equipes de utilizar a ferramenta no dia a dia. Uma ferramenta sofisticada mal configurada protege menos do que uma ferramenta simples bem mantida. É nesse ponto que a maioria dos incidentes encontra sua origem, muito mais do que em uma falha tecnológica espetacular.
