Resiliência Cibernética: o que muda quando você assume que o ataque é inevitável?

Ao longo dos últimos anos, em muitos projetos que acompanhei, percebi um
padrão curioso: quase toda empresa diz levar segurança a sério, mas poucas
realmente trabalham com a ideia de que o ataque é uma questão de quando, não
de se. E é exatamente aí que começa a diferença entre falar de segurança e
construir resiliência cibernética.

Quando eu entro em uma empresa logo após um incidente, quase sempre ouço
alguma variação de:
“Mas a gente tinha firewall”,
“Mas o antivírus estava atualizado”,
“Mas realizamos um pentest há pouco tempo”.

A lógica é a mesma: se eu comprei tecnologia e passei em checklist, então eu
deveria estar protegido. Só que o jogo mudou. A superfície de ataque cresceu, a
complexidade aumentou, e o fator humano continua sendo um dos elos mais
frágeis. Nesse cenário, acreditar em proteção absoluta é viver em negação.

Quando a empresa assume que o ataque é inevitável, a conversa muda de eixo.
Em vez de “como evitar qualquer incidente”, a pergunta passa a ser:

“Quando algo acontecer, quanto tempo levamos para perceber, responder e voltar
a operar?”

É aqui que entra a resiliência cibernética como estratégia de negócio, não só
como tema de TI.

Do ponto de vista de gestão, essa mudança de mentalidade tira a segurança do
lugar de “custo obrigatório” e coloca no centro da continuidade. Uma parada de
sistemas de algumas horas pode significar perda de faturamento, impacto em
contratos, danos à imagem e, em alguns setores, risco à vida. Não é exagero.
Quando você conecta isso com o conselho e a diretoria, a pauta deixa de ser
“mais uma demanda do pessoal de TI” e vira discussão sobre sustentabilidade do
negócio.

Na prática, o que eu vejo nas empresas mais resilientes não é ausência de falhas,
e sim preparação para reagir melhor. Elas:

• Aceitam que não vão ver tudo, mas tratam visibilidade e monitoramento
  como prioridade, não como item opcional da arquitetura.
• Trabalham com identidade e privilégio como pilar central: quem pode o
  quê, a partir de onde, com qual nível de controle.
• Levam backup e recuperação a sério, com testes periódicos, cenários
  simulados e preocupação com imutabilidade – não é só “tem backup”, é
  “consigo voltar em quanto tempo e até onde?”.
• Investem em processo e gente: playbooks, exercícios de mesa, definição
  clara de papéis em incidente. E, talvez o mais importante, dão espaço para
  aprender com o erro sem transformar tudo em caça às bruxas.

Algo que se repete em muitos projetos que acompanho é o seguinte: a ficha só cai
depois do primeiro susto. Após um ataque de ransomware, por exemplo, fica
muito mais fácil falar de segmentação, de revisão de privilégios, de SIEM bem
configurado, de backup imutável. Mas o ideal é que essa conversa aconteça
antes. Resiliência não se improvisa em meio ao incêndio.

Tem também um componente humano forte nessa história. Em vários incidentes
que acompanhei, a primeira reação é a negação: “deve ser só um problema no
servidor”, “reinicia que volta”. Depois vem a corrida desenfreada atrás de
culpados. Esse ciclo consome energia, gera medo e, muitas vezes, atrasa
justamente o que mais importa: entender o que aconteceu, conter o dano e
começar a recuperar o ambiente com o máximo de lucidez possível.

Quando a organização já trabalha com a ideia de ataque inevitável, esses
momentos são vividos de outro jeito. O time sabe a quem reportar, o gestor sabe
quais decisões precisa tomar, a diretoria entende que comunicação transparente
é melhor do que tentar esconder o problema. Não fica leve, mas fica menos
caótico.

Se eu pudesse resumir o primeiro passo rumo à resiliência cibernética, seria
assim:
pare de buscar garantia de que “nada vai acontecer” e comece a construir a
capacidade de seguir em frente apesar do que inevitavelmente vai acontecer
em algum momento.

Na prática, isso significa olhar para o seu ambiente hoje e se fazer algumas
perguntas incômodas:

• Se alguém sequestrar meus dados hoje, o que eu perco nas próximas 24,
  48, 72 horas?
• Em quanto tempo eu percebo que algo anormal está acontecendo?
• Quem decide o quê em um cenário de crise? Isso está combinado ou cada
  incidente é uma novela nova?
• Meu backup é, de fato, restaurável? Quando foi a última vez que eu testei
  isso de ponta a ponta?

Resiliência cibernética começa na mente antes de chegar na arquitetura. Quando
você aceita que o ataque é inevitável, deixa de gastar energia tentando manter a
ilusão de invulnerabilidade e passa a investir em algo muito mais valioso: a
capacidade de cair, levantar e continuar operando.

É aí que, na minha experiência, as empresas deixam de ser apenas “usuárias de
tecnologia de segurança” e começam a ser, de fato, organizações resilientes