Todo gestor de segurança conhece a cena. A equipe monta o pedido de orçamento, chega à diretoria falando de ameaça, ferramenta e sigla, e do outro lado da mesa o executivo ouve apenas uma palavra: custo. Estivemos na conferência Gartner Security & Risk Management, em São Paulo, e algumas das palestras tocaram justamente nessa ferida, a comunicação da segurança com a alta liderança. Uma delas trouxe exatamente o que chamou de framework de convencimento para o investimento proativo em segurança. O ponto de partida é desconfortável e certeiro: o problema quase nunca é falta de ameaça real, é falta de tradução do risco para a linguagem que o conselho fala, a do negócio.
O framework se apoia em cinco pilares, e nenhum deles é técnico. O primeiro é traduzir tecnologia em impacto direto ao negócio, ou seja, não “temos uma vulnerabilidade crítica”, e sim “isto pode parar o faturamento por algumas horas”. O segundo é quantificar as consequências financeiras, colocar número na perda esperada em vez de descrever a gravidade em abstrato. O terceiro é relacionar a segurança diretamente com a estratégia corporativa, amarrando cada investimento a um objetivo que a diretoria já persegue. O quarto é criar um modelo de governança contínua, e não reativa, que acompanhe o risco o ano inteiro em vez de correr atrás do prejuízo depois do incidente. E o quinto é construir confiança sólida ao longo do tempo, com métricas consistentes que sustentem a credibilidade da área. O fio condutor é simples: quem leva atividade técnica à mesa, quantos alertas tratou, quantas ferramentas comprou, perde a sala; quem leva risco quantificado e ligado à estratégia conquista o orçamento.
Os números apresentados no evento explicam por que essa tradução virou urgência. Uma grande empresa opera, em média, cerca de dezoito ferramentas de segurança, e ainda assim a maioria dos líderes da área afirma trabalhar com orçamento e equipe abaixo do necessário. Boa parte relata que a restrição de recursos atrasa projetos críticos, aumenta o estresse do time e força contornos manuais, e cerca de quatro em cada dez organizações já consolidam ativamente o portfólio de segurança de dados. No Brasil, o descompasso é ainda mais visível. Há subinvestimento crônico em cibersegurança na América Latina, com países aplicando menos de 1% do PIB no tema, e levantamentos de mercado apontam que a maioria das empresas brasileiras aumentou o orçamento para remediação pós-incidente e pagamentos ligados a ataque. Ou seja, num país que entrou pela primeira vez na lista dos dez mais atacados por ransomware, ainda se gasta mais reagindo ao estrago do que priorizando a prevenção. É exatamente esse ciclo que o framework tenta quebrar.
O que vejo no mercado confirma a tese. As empresas que conseguem verba não são as que têm o pior cenário de ameaça, são as que melhor traduzem esse cenário. Na prática, recomendo quatro movimentos. Transforme cada controle técnico em impacto de negócio antes de apresentá-lo, respondendo o que para de operar se aquilo falhar. Ponha valor financeiro na consequência, porque perda esperada convence mais do que adjetivo. Trate a consolidação de ferramentas não como corte de custo, e sim como forma de liberar um recurso escasso e fechar as brechas que nascem entre produtos que não conversam. E sustente governança contínua, com poucos indicadores estáveis que a diretoria aprenda a acompanhar. Já tratei aqui na coluna da resiliência e do tempo de recuperação, e aquele artigo terminava justamente na mesa do conselho, com a pergunta de em quantas horas a empresa volta a faturar. O framework de convencimento é o método para levar esse tipo de resposta ao board sem se perder no jargão.
Se a sua próxima reunião de orçamento fosse hoje, você levaria à diretoria uma contagem de ferramentas e alertas, ou o risco do negócio traduzido em reais e amarrado à estratégia da empresa? Agradeço por acompanhar mais um artigo do Café com Bytes. Se esse tema fizer sentido para alguém da sua rede, compartilhe e deixe seu comentário.
Rodrigo Rocha
Co-fundador e Head de Soluções de Cibersegurança da Gruppen it Security
Fontes
Gartner, Conferência Security & Risk Management 2026 (São Paulo, 4 e 5 de agosto): apresentações sobre comunicação com a liderança, framework de convencimento e sobrecarga de ferramentas de segurança (material licenciado, sem link).
Orçamentos de cybersecurity em 2026: perspectivas para o Brasil (E-Commerce Brasil)
Métricas de risco cibernético para diretores e CISOs (Segura)
Brasil entra na lista dos 10 países com mais ataques de ransomware (TI Inside)
