Existe uma ideia tão enraizada em segurança que quase ninguém questiona: quanto mais, melhor. Mais senhas, mais bloqueios, mais camadas, mais regras. No fundo, a gente trata segurança como sal grosso, se um pouco protege, muito protege mais. Só que essa conta está errada, e agora não sou só eu dizendo isso.
Em agosto de 2026, a NIST, o instituto de padrões dos Estados Unidos e uma das principais referências mundiais em cibersegurança, publicou um documento propondo uma abordagem chamada Human-Centered Cybersecurity, cibersegurança centrada no ser humano. E uma das afirmações mais desconfortáveis dele é justamente esta: mais segurança nem sempre é melhor. Às vezes, o excesso de proteção é o próprio problema.
A conta que ninguém faz
Toda medida de segurança tem um preço que raramente entra na planilha. Não o preço da ferramenta, mas o preço humano: o tempo, o esforço e a paciência que ela consome das pessoas.
Uma senha trocada a cada 30 dias, uma verificação em cinco etapas para abrir um arquivo simples, um bloqueio que trava o trabalho no meio da tarde. Cada uma dessas coisas, isoladamente, parece razoável. Somadas, elas criam o que a NIST chama de fadiga de segurança, o cansaço acumulado de quem precisa lidar com fricção o dia inteiro só para conseguir trabalhar. E gente cansada não fica mais segura. Fica mais descuidada.
O documento é direto ao apontar que processos vistos como difíceis de usar, disruptivos ou irrelevantes acabam minando a produtividade, o engajamento e o bem-estar das pessoas. Ou seja, a segurança mal calibrada não protege o trabalho. Ela atrapalha o trabalho, e ainda por cima empurra as pessoas para o pior caminho possível.
O efeito gambiarra
Aqui está a ironia cruel do excesso. Quando a segurança fica insuportável, as pessoas não desistem de trabalhar. Elas desistem da segurança.
É o funcionário que anota todas as senhas complexas num post-it colado no monitor, porque decorar virou impossível. É quem encaminha um arquivo para o e-mail pessoal só para conseguir mexer nele em casa, driblando o bloqueio corporativo. É quem descobre um atalho não autorizado porque o caminho oficial é lento demais. Nenhuma dessas pessoas é mal-intencionada. Todas estão apenas tentando fazer o próprio trabalho, apesar da segurança, e não com ela.
O resultado é perverso: a organização achava que estava mais protegida por ter mais camadas, mas na prática empurrou os funcionários para soluções improvisadas que abrem brechas muito piores do que as que tentava fechar. Trancou a porta da frente com cinco cadeados e, sem querer, fez todo mundo começar a deixar a janela dos fundos aberta.
O burnout de quem defende
Existe ainda uma vítima menos óbvia do excesso, e ela está do outro lado, entre os próprios profissionais de segurança.
A NIST chama atenção para um problema que o mercado prefere ignorar: o estresse e o esgotamento de quem trabalha com cibersegurança. Diante de ameaças constantes, pressão sem trégua e complexidade crescente, esses profissionais adoecem. O documento aponta que o burnout afeta o estado cognitivo, a saúde e o desempenho dessas pessoas, o que acaba minando a produtividade, a estabilidade da equipe e a própria resiliência da organização.
Pense no que isso significa. A linha de frente da sua defesa é composta por gente. Se essa gente está exausta, sua defesa está exausta. Empilhar mais ferramentas e mais alertas sobre uma equipe no limite não aumenta a proteção, aumenta a chance de que algo importante passe despercebido no meio do cansaço.
Isso também vale para a sua vida pessoal
O excesso de segurança não é um problema só das empresas. Ele mora no seu bolso também.
Talvez você já tenha desistido de uma compra porque o site pedia cadastros e confirmações demais. Ou tenha desativado uma proteção do celular porque ela te atrapalhava toda hora. Ou reutilizado a mesma senha em vários lugares, não por preguiça, mas porque criar e lembrar de uma senha diferente para cada um dos seus quarenta aplicativos é humanamente inviável.
Percebe? Quando a segurança ignora o limite humano, o ser humano contorna a segurança. A culpa não é sua por reutilizar senha. É do sistema que exigiu de você uma memória de computador. A saída inteligente não é se esforçar mais para aguentar o insuportável, é adotar ferramentas que tornam o seguro também fácil, como um bom gerenciador de senhas, que faz o trabalho pesado por você.
O ponto de equilíbrio
Nada disso é um convite para baixar a guarda. Segurança continua sendo essencial, e o recado não é “proteja menos”. É “proteja melhor”. Existe uma diferença enorme entre as duas coisas.
Proteger melhor significa perguntar, antes de adicionar mais uma camada: isso realmente reduz risco, ou só transfere o peso para o ser humano? Significa medir o atrito que cada regra cria, e não só a ameaça que ela combate.
A melhor segurança não é a mais rígida. É a mais sustentável, aquela que as pessoas conseguem carregar todos os dias sem largar no meio do caminho.
O recado que fica
Durante muito tempo, medir segurança foi contar camadas. Quanto mais controles, mais protegido você se sentia. A NIST está ajudando a virar essa lógica, mostrando, com a autoridade de quem escreve os padrões do setor, que proteção que ignora o ser humano acaba se voltando contra ele, e contra a própria organização.
Segurança boa não é a que impede as pessoas de trabalhar. É a que as deixa trabalhar em segurança. E toda vez que uma regra transforma alguém competente num contorcionista de gambiarras, não foi a pessoa que falhou. Foi a segurança que exagerou.
Fica a pergunta, para a sua empresa e para o seu bolso: as suas proteções estão facilitando o caminho seguro, ou empurrando você para o atalho perigoso?
Fonte: NIST, Human-Centered Cybersecurity, Guidelines and Resources (Concept Paper), agosto de 2026.
