O setor financeiro global enfrenta uma crise sem precedentes na segurança digital, onde pagar o resgate de dados sequestrados virou a regra, não a exceção. Nos últimos 12 meses, 79% das instituições financeiras que sofreram ataques cibernéticos optaram por pagar os criminosos para recuperar seus sistemas. O dado alarmante faz parte de um novo estudo da Cohesity, empresa líder em segurança de dados com Inteligência Artificial, que ouviu 390 tomadores de decisão de TI e segurança em grandes corporações da América do Sul, América do Norte, Europa e Ásia.

O levantamento traça um diagnóstico severo sobre a vulnerabilidade do mercado: 77% das empresas financeiras globais já foram vítimas de cibercriminosos, sendo que mais da metade (57%) foi alvo de investidas apenas no último ano. O impacto financeiro e reputacional é quase inevitável, com 87% das organizações registrando perdas diretas de receita e 93% enfrentando severas consequências regulatórias ou legais após as invasões.

Apesar do cenário de terra arrasada, a pesquisa revela uma desconexão preocupante entre a realidade dos ataques e a percepção de segurança das lideranças. O cenário atual exige uma mudança profunda de postura, já que as ameaças deixaram de ser eventos isolados para se tornarem uma constante no ambiente digital, com frequência e sofisticação cada vez maiores.

• Confiança em alta: Mesmo com uma em cada quatro empresas sendo atacada repetidamente, 46% dos entrevistados afirmam ter total confiança em suas estratégias de resiliência.
• O fator IA: A Inteligência Artificial surge como a grande aposta de defesa para 39% dos executivos, que acreditam que a tecnologia assumirá um papel central na detecção de ameaças e na tomada de decisões autônomas, otimizando a eficiência das equipes internas e do SOC (Security Operations Center) na resposta a incidentes.

A Estratégia da Sobrevivência: Organização Mínima Viável (MVC)

Diante do consenso de que é praticamente impossível blindar as empresas contra todos os tipos de ameaças, o mercado financeiro passou a adotar uma nova filosofia de sobrevivência: o conceito de Minimum Viable Company (MVC), ou Organização Mínima Viável.

Em vez de gastar energia e tempo tentando reerguer toda a infraestrutura tecnológica de uma só vez após um apagão cibernético, o foco da estratégia MVC muda drasticamente. A prioridade máxima passa a ser a recuperação estritamente essencial. O objetivo é colocar de pé a menor versão funcional possível da empresa, garantindo que o negócio continue operando (mesmo que de forma limitada ou sob condições degradadas) até que a crise seja totalmente controlada.

Medidas Práticas: O Caminho para a Resiliência

Para enfrentar o aumento dessas ameaças, viabilizar a estratégia de MVC e reduzir vulnerabilidades críticas, a Clavis Segurança da Informação destaca medidas prioritárias, com foco no SOC, voltadas à proteção e rápida recuperação do ambiente digital corporativo:

Treinamento de Colaboradores: A capacitação contínua transforma o elo mais fraco em defesa activa, reduzindo drasticamente a eficácia de ataques de phishing e engenharia social.

Controle de Identidade: A adoção de Autenticação Multifator (MFA) é a barreira mais eficiente para impedir que credenciais roubadas permitam o acesso indevido a dados sensíveis.

Monitoramento e Auditoria: O acompanhamento em tempo real permite detectar anomalias rapidamente, enquanto auditorias frequentes corrigem vulnerabilidades antes que sejam exploradas por criminosos.

Automação de Segurança: O uso de ferramentas automatizadas acelera a resposta a incidentes e reduz a janela de exposição de falhas críticas, que pode superar 55 dias.

Backup e Recuperação: Manter cópias de segurança isoladas e planos de recuperação testados garante a continuidade do negócio e protege a empresa contra extorsões digitais.

A segurança de redes corporativas consolida-se como um pilar indispensável para a estabilidade e o crescimento sustentável no mercado brasileiro. Com ameaças cada vez mais ágeis e onerosas, investir em um ecossistema que integre soluções tecnológicas, processos automatizados e conscientização humana deixa de ser uma demanda técnica para se tornar um diferencial competitivo estratégico.

Dois acontecimentos recentes acenderam um alerta global sobre a evolução das fraudes digitais e a profissionalização do crime cibernético. De um lado, pesquisadores da Cybernews identificaram uma base exposta contendo aproximadamente 24 bilhões de registros de credenciais, incluindo e-mails, nomes de usuário, senhas em texto claro e URLs de acesso. De outro, o governo da Índia bloqueou temporariamente o Telegram após suspeitas de que grupos organizados estariam utilizando a plataforma para tentar fraudar candidatos do NEET 2026, principal exame nacional de admissão para cursos de medicina do país. Para a LC SEC, consultoria especializada em cibersegurança e compliance, os dois episódios evidenciam a crescente profissionalização do crime digital.

Segundo informações divulgadas pela Cybernews, a base reúne dados provenientes de diferentes fontes, incluindo infostealers, compilações de vazamentos anteriores e outras exposições digitais acumuladas ao longo dos anos. Embora ainda não seja possível determinar quantos registros são duplicados ou quantas pessoas únicas foram afetadas, a consolidação desse volume de informações em um único conjunto amplia significativamente o potencial para ataques de tomada de contas, fraudes financeiras e invasões corporativas.

Na Índia, o caso envolvendo o Telegram também chamou a atenção pela escala da operação, pois, segundo informações divulgadas pela Reuters, o bloqueio temporário da plataforma ocorreu após autoridades apontarem que grupos organizados teriam utilizado o aplicativo para coordenar tentativas de fraude relacionadas ao exame NEET 2026. O episódio ganhou repercussão nacional após o cancelamento dos resultados de cerca de 2,3 milhões de estudantes em meio a investigações sobre possível vazamento de questões e irregularidades no processo seletivo.

Embora distintos, os dois casos compartilham um elemento importante: a utilização de plataformas digitais como parte da infraestrutura que sustenta operações criminosas. Ao rastrear a origem dos dados presentes na base identificada pela Cybernews, os pesquisadores encontraram 36 fontes distintas de informação. Segundo a investigação, grande parte delas estaria associada a canais do Telegram utilizados para compartilhamento de credenciais roubadas, dados obtidos em violações de segurança e materiais relacionados a atividades ilícitas.

“O aspecto mais relevante desses casos é que eles mostram como o crime digital funciona atualmente. Não estamos falando apenas de vazamentos ou de uma plataforma específica, mas de um ecossistema onde dados roubados são coletados, organizados, compartilhados e utilizados por diferentes grupos criminosos. O Telegram aparece nesse contexto como um dos canais identificados para circulação dessas informações, evidenciando como plataformas digitais podem ser incorporadas à cadeia operacional das fraudes”, afirma Luiz Cláudio, CEO e fundador da LC SEC.

O cenário acompanha uma tendência observada globalmente pelo relatório Microsoft Digital Defense de 2025, que aponta que mais de 97% dos ataques contra identidade são baseados em senhas e que esse tipo de ameaça cresceu 32% no primeiro semestre de 2025. O relatório também destaca que mecanismos de autenticação multifator resistentes a phishing são capazes de bloquear mais de 99% desses ataques.

Na avaliação do especialista, o foco das organizações não deve estar apenas na proteção de sistemas, mas também na gestão da identidade digital. “Quando credenciais comprometidas passam a circular livremente, os criminosos conseguem assumir contas legítimas, acessar ambientes corporativos e utilizar essas informações para ataques mais sofisticados. A identidade digital se tornou um dos ativos mais valiosos e mais visados do ambiente corporativo”, explica Luiz Claudio.

Diante desse cenário, a LC SEC recomenda que empresas revisem suas políticas de autenticação, ampliem o uso de autenticação multifator (MFA), fortaleçam processos de validação de identidade e monitorem continuamente credenciais expostas. A adoção de estratégias de Threat Intelligence, avaliações periódicas de acessos privilegiados e programas permanentes de conscientização também são medidas importantes para reduzir riscos e antecipar movimentos de grupos criminosos.

O Fim da Separação que Nunca Deveria ter Existido 

Durante anos, as organizações brasileiras trataram de cibersegurança e proteção de dados como disciplinas distintas. De um lado, times de TI preocupados com firewalls, detecção de intrusões e resposta a incidentes. Do outro, áreas jurídicas e de compliance debruçadas sobre contratos, políticas de privacidade e adequação à Lei Geral de Proteção de Dados, a LGPD. Havia pouca conversa entre esses dois mundos, e quando havia, costumava acontecer tarde demais, ou seja, no meio de uma crise. Essa separação nunca fez sentido do ponto de vista técnico. Um ataque de ransomware representa, ao mesmo tempo, uma falha de segurança e uma potencial violação de dados pessoais com prazo de notificação de três dias úteis à Agência Nacional de Proteção de Dados. Um bucket de armazenamento em nuvem mal configurado é tanto um problema de infraestrutura quanto uma exposição de dados de clientes com consequências regulatórias sérias. Uma credencial comprometida é um vetor de ataque e, dependendo dos sistemas que ela protege, o início de um incidente com impacto direto sobre titulares de dados.

Em 2026, com a ANPD consolidada como agência reguladora plena, com um Mapa de Temas Prioritários publicado e com fiscalizações ativas em curso, a tolerância com essa divisão acabou. As organizações que ainda operam com silos entre segurança da informação e privacidade de dados estão, silenciosamente, acumulando risco técnico, regulatório e reputacional. Este artigo discute por que essa integração não é apenas desejável, mas necessária, e o que ela significa, na prática, para quem trabalha na linha de frente da defesa cibernética.

Segurança da Informação e LGPD: Onde as Obrigações se Encontram 

A LGPD não é uma lei que existe à margem da cibersegurança. Ela é, em grande medida, uma lei que pressupõe a cibersegurança como condição mínima de cumprimento. Seu artigo 46 exige que os agentes de tratamento, os  controladores e operadores, adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento. O artigo 6º vai além, estabelecendo o princípio da prevenção: não basta reagir a incidentes; é preciso antecipar riscos e agir antes que o dano ocorra. Traduzindo isso para a linguagem técnica, gestão de vulnerabilidades, controle de acesso com princípio do menor privilégio, criptografia de dados em repouso e em trânsito, monitoramento contínuo de ambientes, planos estruturados de resposta a incidentes e segmentação de redes,  todos esses controles que qualquer profissional de segurança reconhece como fundamentais são, ao mesmo tempo, obrigações implícitas da LGPD. Não são apenas boas práticas de engenharia. São exigências legais. 

Esse alinhamento tem uma consequência importante, o programa de segurança da informação de uma organização não pode mais ser avaliado apenas pela sua eficácia técnica. Ele precisa ser avaliado também pela sua capacidade de proteger especificamente dados pessoais, de detectar incidentes que os envolvem, de responder dentro dos prazos exigidos pela lei e de produzir a documentação necessária para demonstrar conformidade perante a autoridade regulatória. 

O Cenário de Ameaças de 2026 e Seus Impactos Sobre a Privacidade 

O cenário de ameaças em 2026 amplia, e muito, os desafios de proteger dados pessoais. A inteligência artificial, que transformou processos em praticamente todos os setores, também transformou a cibercriminalidade. Ataques de phishing gerados por IA são hoje altamente personalizados, utilizando dados pessoais extraídos de vazamentos anteriores e de redes sociais para criar mensagens convincentes que imitam o estilo de comunicação de pessoas reais. Deepfakes de áudio e vídeo são utilizados em ataques de engenharia social que exploram a confiança em identidades conhecidas. 

O ransomware evoluiu de uma ameaça de bloqueio de sistemas para um modelo de negócio criminoso sofisticado. Grupos especializados retiram dados antes de criptografá-los, usando como mecanismo de pressão adicional para o pagamento do resgate  a chamada dupla extorsão. Para uma organização sujeita à LGPD, isso significa que mesmo que ela consiga restaurar seus sistemas a partir de backups, os dados pessoais de seus clientes, funcionários ou pacientes podem já estar nas mãos de criminosos, o que configura um incidente com obrigação de notificação. 

A velocidade de exploração de vulnerabilidades também atingiu níveis que tornam os ciclos tradicionais de gestão de patches insuficientes. O que em 2020 levava cerca de dois anos para ser explorado após a divulgação pública, hoje leva poucos dias. Sistemas que processam dados pessoais sensíveis  como dados de saúde e  biométricos, precisam de ciclos de remediação muito mais ágeis do que os que a maioria das organizações adota. 

Soma-se a isso o fenômeno da shadow AI: funcionários que inserem documentos com dados pessoais em ferramentas de inteligência artificial externas, sem autorização e sem que o time de TI tenha ciência. Cada documento enviado a um serviço não aprovado é uma potencial transferência não autorizada de dados pessoais, um risco tanto de segurança quanto de conformidade com a LGPD que não pode mais ser ignorado. 

A Nova Fase da ANPD: Fiscalização Ativa e Sanções Reais 

A transformação da ANPD em agência reguladora plena, em setembro de 2025, marcou o encerramento do período de tolerância que caracterizou os primeiros anos da LGPD. Com autonomia funcional, técnica, decisória, administrativa e financeira, a agência passou a atuar com mais incisividade e sinalizou essa mudança de forma clara com a publicação do Mapa de Temas Prioritários para 2026 e 2027. 

Os focos prioritários de fiscalização incluem incidentes de segurança, dados biométricos, dados financeiros, dados de saúde, tratamento de dados de crianças e adolescentes e uso de inteligência artificial no tratamento de dados pessoais. Organizações que atuam nesses segmentos ou que tratam essas categorias de dados têm chances concretas de ser alvo de ações fiscalizatórias nos próximos meses.

As sanções disponíveis à ANPD não são simbólicas. Multas de até 2% do faturamento da organização, limitadas a R$ 50 milhões por infração, publicização das penalidades aplicadas, bloqueio de dados e suspensão de operações de tratamento são instrumentos que podem causar danos financeiros e reputacionais de grande magnitude. Há, no entanto, fatores que a agência considera ao dosar as sanções entre eles, a demonstração de boa-fé, a existência de programas de governança e compliance, a adoção de medidas corretivas imediatas e o histórico de investimento em segurança da informação. 

Isso significa que ter um programa de segurança estruturado, documentado e auditável não é apenas uma questão técnica, podemos afirma que é um ativo regulatório. Organizações que conseguem apresentar à ANPD evidências concretas de controles implementados, treinamentos realizados, processos documentados e investimento consistente em segurança estão em posição significativamente melhor do que aquelas que apenas alegam ter boas práticas sem provas.

Integração na Prática: O que Precisa Mudar 

Falar em integração entre cibersegurança e privacidade é fácil. O desafio está em operacionalizar essa integração no dia a dia das organizações. Alguns passos são fundamentais. O primeiro é garantir que o plano de resposta a incidentes inclua, explicitamente, uma etapa de avaliação de impacto sobre dados pessoais. Toda vez que um incidente de segurança é detectado, a pergunta “dados pessoais foram expostos ou comprometidos?” precisa ser respondida de forma estruturada, com critérios documentados, e não como uma reflexão improvisada. O prazo de três dias úteis para notificação à ANPD é curto demais para que essa avaliação seja feita sem processo prévio. 

O segundo é construir uma tríade operacional entre o DPO (Encarregado de Proteção de Dados), o time de segurança e a equipe jurídica. Esses três papéis precisam se comunicar regularmente, compartilhar informações sobre riscos identificados, colaborar na resposta a incidentes e alinhar políticas, não somente em momentos de crise, mas de forma contínua e estruturada. O DPO precisa do suporte técnico do time de TI para entender a natureza e o escopo dos incidentes; o time de TI precisa do DPO e do jurídico para interpretar os requisitos legais, avaliar responsabilidades e tomar decisões informadas sobre notificação à ANPD e comunicação aos titulares; e o jurídico precisa tanto do DPO quanto do time de segurança para embasar contratos com operadores, responder a eventuais processos administrativos e garantir que as evidências técnicas estejam adequadamente documentadas. Quando esses três elos funcionam de forma integrada, a organização consegue responder a um incidente com agilidade, coerência e segurança jurídica  em vez de improvisar sob pressão dentro de um prazo de três dias úteis.  

O terceiro é tratar a documentação como parte do trabalho técnico, não como burocracia paralela. Logs de acesso, registros de varreduras de vulnerabilidade, relatórios de pentest, políticas atualizadas, atas de treinamentos, tudo isso é evidência de conformidade. Em uma fiscalização ou em um processo administrativo sancionador, a capacidade de apresentar essas evidências pode ser a diferença entre uma advertência e uma multa significativa. 

Segurança e Privacidade Como Alicerce do Negócio Digital

Chegamos a um ponto no qual cibersegurança e privacidade de dados não podem mais ser geridas como disciplinas separadas, com orçamentos separados, equipes que raramente conversam e estratégias que raramente se encontram. Elas são, fundamentalmente, duas expressões do mesmo compromisso: proteger as informações que as pessoas confiam às organizações.

Para os profissionais técnicos de segurança, isso representa uma ampliação do escopo de responsabilidade, mas também uma oportunidade. A LGPD oferece argumentos regulatórios poderosos para justificar investimentos em controles técnicos que antes eram difíceis de aprovar. A fiscalização ativa da ANPD transforma a conversa sobre segurança da informação em uma conversa sobre risco de negócio, que a liderança executiva entende e prioriza de forma diferente. 

As organizações que construírem uma postura integrada onde segurança técnica e conformidade regulatória se reforçam mutuamente, onde o time de TI, jurídico e o DPO trabalham em conjunto, onde a documentação é tratada como evidência e não como formalidade, estarão não apenas mais protegidas contra ataques e sanções. Estarão construindo a confiança digital que, em 2026, será um diferencial competitivo real. 

Cibersegurança e privacidade, juntas, não são custo operacional. São o alicerce de qualquer negócio que pretende operar com resiliência, credibilidade e sustentabilidade no mundo digital.

Autora: Mayara Barbosa | Abril de 2026

A segurança da informação raramente falha primeiro no código ou mesmo no hardware. Falhas reais costumam nascer antes, no acesso físico, nos limites mal definidos e na ausência de monitoramento com propósito. Os controles físicos previstos na ISO 27001 não tratam apenas de muros ou câmeras. Eles revelam maturidade institucional, responsabilidade decisória e o compromisso concreto com a proteção de dados pessoais e sensíveis sob custódia do Estado.

A segurança física ocupa um lugar curioso na gestão pública. Estruturas visíveis, investimentos tangíveis e resultados aparentemente simples convivem com uma percepção equivocada de que esses controles pertencem a um domínio operacional secundário. O Anexo A da ISO/IEC 27001 desmonta essa leitura ao tratar o perímetro físico e o monitoramento como extensões diretas da governança da informação.

Os controles de perímetro previstos na norma tratam da definição clara de fronteiras físicas, do uso de barreiras apropriadas, da segregação de áreas sensíveis e do controle rigoroso de pontos de entrada e saída. Edifícios administrativos, salas técnicas, arquivos físicos e ambientes compartilhados passam a ser compreendidos como zonas de risco distintas, cada uma exigindo níveis próprios de proteção e autorização. A ausência dessa diferenciação transforma qualquer espaço institucional em território neutro, onde responsabilidades se diluem.

A gestão de acessos físicos torna-se particularmente sensível em estruturas governamentais marcadas por alta circulação de servidores, prestadores de serviço e visitantes. Crachás, registros de entrada, acompanhamento de terceiros e revisões periódicas de autorizações deixam de ser formalidades administrativas e passam a representar controles que protegem processos, sistemas e dados pessoais. A lógica é simples e desconfortável. Onde o limite físico é frágil, a cadeia de custódia da informação também é.

O controle de monitoramento físico amplia essa discussão. Sistemas de vigilância não existem para registrar o passado, mas para reduzir a incerteza no presente. Câmeras, alarmes e sensores produzem valor apenas quando integrados a processos claros de resposta, análise e responsabilização. Ambientes monitorados sem critérios definidos acumulam imagens, mas não produzem segurança.

A abordagem proposta pelo NIST Cybersecurity Framework reforça essa visão ao tratar proteção e detecção como funções complementares. Atividades alinhadas às categorias de Protective Technology e Anomalies and Events contribuem diretamente para o tema físico. Controles eficazes pressupõem visibilidade sobre comportamentos fora do padrão, correlação entre eventos físicos e digitais e capacidade institucional de resposta coordenada. Monitoramento sem interpretação estratégica produz apenas ruído.

A proteção de dados pessoais encontra no ambiente físico seu primeiro campo de aplicação. Princípios consagrados pela LGPD, como segurança, prevenção e responsabilização, manifestam-se de forma concreta no controle de acessos a locais onde dados são coletados, armazenados ou manipulados fisicamente. Salas com prontuários, estações de trabalho compartilhadas, impressoras e arquivos físicos representam pontos críticos frequentemente subestimados.

A boa prática em proteção de dados exige coerência entre políticas declaradas e controles reais. Ambientes fisicamente desprotegidos tornam irrelevantes políticas de privacidade bem redigidas. A autoridade reguladora deixa claro, por meio de orientações e decisões, que a expectativa de segurança inclui medidas físicas e administrativas proporcionais ao risco. A omissão nesse campo caracteriza falha estrutural, não incidente isolado.

O perímetro físico também funciona como instrumento pedagógico. Barreiras, zonas restritas e monitoramento comunicam regras de convivência institucional. Organizações maduras utilizam esses controles para reforçar a noção de responsabilidade individual e coletiva. Ambientes onde tudo é acessível a todos transmitem uma mensagem inequívoca de informalidade excessiva, incompatível com a custódia de dados sensíveis e informações estratégicas.

A maturidade institucional se revela quando mudanças organizacionais incorporam automaticamente revisões de controles físicos. Reformas, transferências de unidades, criação de novos serviços e adoção de tecnologias exigem reavaliação do perímetro e do monitoramento. A segurança deixa de reagir a problemas e passa a acompanhar decisões. Esse alinhamento representa um dos sinais mais claros de governança efetiva.

Os controles físicos previstos na ISO 27001 não operam à margem da estratégia. Eles a sustentam. Perímetro e monitoramento revelam como uma organização decide, delega e responde. No contexto público, essa clareza protege dados pessoais, fortalece a confiança institucional e reduz riscos que nenhum controle lógico consegue compensar sozinho.

Referências

• ISO/IEC 27001:2022 Information Security Management Systems
• ISO/IEC 27002:2022 Information Security Controls
• NIST Cybersecurity Framework Functions Protect and Detect
• Princípios da Lei Geral de Proteção de Dados aplicáveis à segurança organizacional

A ISO/IEC 27001 organiza a gestão, mas são os controles previstos que revelam a maturidade real. No conjunto voltado a Pessoas, o tema deixa de ser técnico e passa a ser comportamental. Treinamento, conscientização e responsabilização não sustentam a segurança. Eles a definem.

A estrutura da ISO 27001 oferece coerência metodológica e previsibilidade formal. Ainda assim, a efetividade desse arranjo só se manifesta quando os controles previstos passam a incidir sobre decisões cotidianas, muitas vezes tomadas sob pressão e com informação incompleta.

O eixo de Pessoas evidencia esse ponto com mais clareza do que qualquer outro. A ausência de alinhamento comportamental compromete qualquer arquitetura técnica, por mais sofisticada que seja. Rotinas administrativas consolidadas, atalhos operacionais e práticas informais acabam funcionando como variáveis ocultas que tensionam a aplicação dos controles.

Entre os principais controles relacionados a esse eixo, a triagem antes da admissão introduz o primeiro filtro de risco ao exigir verificação da confiabilidade de indivíduos antes da concessão de acessos. A relação entre confiança e acesso deixa de ser presumida e passa a ser condicionada.

Os termos e condições de emprego estabelecem, desde o início, obrigações explícitas de segurança da informação. Essa formalização reduz ambiguidades frequentes em estruturas complexas, nas quais responsabilidades difusas tendem a diluir a percepção de risco.

A conscientização, educação e treinamento em segurança da informação ocupa posição central nesse conjunto. A exigência de capacitação contínua, alinhada às funções exercidas, diferencia iniciativas meramente formais de processos capazes de influenciar comportamento. Treinamentos episódicos produzem registro. Processos contínuos produzem padrão de decisão.

O processo disciplinar complementa esse ciclo ao vincular desvios a consequências previsíveis. A existência desse mecanismo reforça a credibilidade das políticas estabelecidas, ao transformar orientação em expectativa concreta de conduta.

A gestão do ciclo funcional é reforçada pelo controle de responsabilidades após desligamento ou mudança de função, que assegura a revogação de acessos e a manutenção de deveres de confidencialidade. Momentos de transição concentram riscos silenciosos, muitas vezes invisíveis até a ocorrência de incidentes.

A esses elementos somam-se controles como papéis e responsabilidades em segurança da informação, que estabelecem com precisão quem decide, quem executa e quem responde em cada situação. A ausência dessa definição, comum em estruturas mais tradicionais, tende a gerar zonas cinzentas onde o risco se acumula sem responsável claro. A formalização dessas atribuições não apenas organiza a operação, mas reduz o tempo de resposta em cenários de pressão, nos quais a indefinição sobre responsabilidade costuma ampliar o impacto de falhas iniciais.

Nesse mesmo eixo, os controles de contato com autoridades e contato com grupos de interesse estruturam a dimensão externa da segurança. Incidentes relevantes raramente permanecem restritos ao ambiente interno. Órgãos de controle, entidades reguladoras e outras instituições passam a integrar o ciclo de resposta. A existência prévia de canais definidos, pontos focais estabelecidos e fluxos de comunicação conhecidos evita improvisações que ampliam impactos institucionais. A comunicação, nesse contexto, deixa de ser reativa e passa a ser componente estruturado da resposta.

O controle de relato de eventos e fraquezas de segurança da informação acrescenta uma dimensão crítica: a capacidade de antecipação. A identificação precoce de vulnerabilidades depende de um ambiente onde o relato seja esperado e tratado como insumo de melhoria. Estruturas onde o erro é ocultado tendem a acumular fragilidades até o ponto de ruptura. Estruturas que incentivam o relato ampliam sua capacidade de ajuste contínuo.

A articulação desses controles desloca a segurança de um modelo centralizado para uma lógica distribuída. A responsabilidade deixa de estar concentrada em uma unidade específica e passa a integrar o funcionamento institucional como um todo. Esse arranjo amplia a sensibilidade organizacional ao risco e reduz a dependência de respostas isoladas.

Referenciais do NIST reforçam essa leitura ao posicionar o fator humano como componente permanente da superfície de risco. Diretrizes da ANPD ampliam as consequências dessas falhas, ao conectá-las à proteção de dados pessoais e à responsabilização institucional.

No contexto público, a densidade desse cenário é ampliada. A atuação individual se conecta diretamente à função estatal, e cada interação com a informação carrega implicações que ultrapassam o ambiente interno. A segurança, nesse contexto, se integra ao próprio exercício da atividade administrativa.

A efetividade dos controles relacionados a Pessoas depende de sua incorporação ao funcionamento real da organização. Ambientes que tratam treinamento como formalidade, responsabilização como exceção e comunicação como reação tendem a reproduzir vulnerabilidades de forma contínua. Estruturas que alinham expectativa, prática e consequência constroem previsibilidade comportamental e maior estabilidade operacional. Esse alinhamento sustenta simultaneamente três dimensões. A cultura se torna operacional, ao orientar decisões concretas. A accountability se materializa, ao vincular condutas a responsabilidades definidas. A capacidade de resposta se fortalece, ao reduzir incertezas em momentos críticos.

A segurança da informação, nesse estágio, deixa de depender exclusivamente de controles técnicos. A organização passa a operar com maior resiliência, mesmo diante de falhas humanas inevitáveis. Esse é o ponto em que gestão, responsabilidade e adaptação deixam de ser conceitos isolados e passam a constituir um único sistema funcional.

Referências

• ISO/IEC 27001
• ISO/IEC 27002
• NIST – Cybersecurity Framework
• ANPD – Diretrizes e LGPD

Quando tratamos de Governo, fica evidente que existe uma clara necessidade que o mesmo seja uma referência em maturidade na área de segurança da informação, particularmente por ser o guardião dos dados mais sensíveis de um país. No Brasil, observa-se que a maior parte dos órgãos públicos trata a ISO 27001 como um exercício documental. O erro começa exatamente onde deveria haver mais maturidade: o Anexo A. Na versão 2022 da ISO, os controles organizacionais deixam de operar como checklist e passam a atuar como mecanismo de transformação institucional. Quando bem aplicados, deixam de ser “segurança da informação” e passam a estruturar governança, moldar decisões, reduzir improviso e criar capacidade real de resposta.

Um equívoco recorrente no setor público envolve a crença de que a ISO/IEC 27001 é, antes de tudo, uma norma de tecnologia. A natureza da norma, no entanto, é de gestão, utilizando a segurança como vetor estruturante. O Anexo A, especialmente no domínio organizacional, representa o ponto em que essa intenção passa a influenciar a realidade institucional. A versão atual reorganiza os controles. A fragmentação anterior cede espaço a uma lógica integrada, com noventa e três controles distribuídos em quatro temas. O conjunto organizacional concentra o núcleo dessa transformação. Neste domínio, o foco não reside em ferramentas, mas em decisões.

Incialmente vamos tratar da nossas Políticas, que costumam ser tratadas como peças decorativas. Normalmente, As políticas são documentos extensos, formalmente aprovados e muito raramente revisitados. A presença de controles como Information security policy, Organization of information security, Information security roles and responsibilities e Segregation of duties redefine esse papel. Esses elementos funcionam como contratos internos de comportamento, reduzindo ambiguidade e estabelecendo limites claros de atuação. Esta lógica converge com abordagens como as do NIST, nas quais governança clara e responsabilidade definida são pré-condições para qualquer maturidade em segurança.

Outro eixo relevante envolve Identity management e Access control sob uma perspectiva organizacional. O problema, nesse contexto, raramente é técnico. A raiz costuma ser cultural. Perfis excessivos, acessos acumulados e permissões não revisadas refletem ausência de processo. Controles como User access management, Review of user access rights e Authentication information operam como mecanismos de disciplina institucional, estabelecendo critérios objetivos para concessão, revisão e revogação de acessos. Este movimento desloca a segurança do campo da tecnologia para o campo da gestão. O impacto desse deslocamento torna-se estrutural.

No campo de recursos humanos, controles como Screening, Terms and conditions of employment, Information security awareness, education and training e Responsibilities after termination or change of employment ampliam o escopo da segurança. A lógica deixa de ser pontual e passa a ser contínua. A segurança passa a ser comportamento reiterado, não evento isolado.

Outros controles organizacionais reforçam essa arquitetura. Information classification e Labelling of information estruturam o tratamento da informação desde a origem. Acceptable use of information and other associated assets estabelece limites claros de uso. Supplier relationships e Information security in supplier relationships ampliam a governança para além das fronteiras institucionais. Contact with authorities e Contact with special interest groups inserem a organização em um universo mais amplo de resposta e coordenação.

A dimensão cultural permanece como ponto sensível. Cultura institucional não se impõe por norma. A construção ocorre por repetição, coerência e exemplo. A ausência de alinhamento entre discurso e prática compromete a efetividade de qualquer controle.

Uma dimensão menos visível, porém estratégica, emerge desse conjunto. A previsibilidade operacional. Ambientes previsíveis reduzem improviso, facilitam auditorias e permitem respostas mais coordenadas a incidentes. Controles como Information security incident management responsibilities and procedures e Information security during disruption reforçam essa capacidade de resposta estruturada.

A relação com a LGPD surge como consequência natural desse arranjo. Papéis definidos, decisões rastreáveis, acessos controlados e fornecedores governados reduzem o risco regulatório antes mesmo da materialização de incidentes. Nesse contexto, o Programa de Privacidade e Segurança da Informação do MGI (PPSI) atua como um framework estruturante para o governo federal, organizando diretrizes, papéis e práticas que dialogam diretamente com os controles organizacionais da ISO 27001. A incorporação de referências como o CIS Controls, utilizada no âmbito do PPSI, reforça essa lógica ao traduzir princípios de segurança em práticas operacionais mais tangíveis, sem romper a coerência de gestão.

Uma camada adicional emerge dessa convergência. Accountability institucional. Estruturas como o PPSI não apenas orientam a implementação, mas criam base para responsabilização objetiva, algo cada vez mais observado por instâncias de controle. Decisão registrada, papel definido e processo formalizado deixam de ser apenas boa prática e passam a ser evidência.

As Diretrizes federais, frameworks estruturantes e boas práticas internacionais passam, assim, a operar de forma alinhada. Segurança como sistema de gestão, não como ferramenta isolada. Sistemas de gestão, por definição, moldam comportamento ao longo do tempo. Infere-se que o Anexo A da ISO 27001 atua como mecanismo de redução de improviso administrativo. A organização passa a operar de forma mais consistente, mesmo que não seja perfeita, será mais previsível. Podemos inferir que a previsibilidade, em ambientes complexos, representa capacidade institucional.

Os controles organizacionais da ISO 27001 não devem ser tratados como checklist de conformidade. A finalidade real consiste em alterar a forma como a instituição decide, reage e se adapta. A incorporação efetiva desses controles transforma segurança em elemento estruturante da governança. Comportamento alinhado, redução de ruído decisório e maior capacidade de resposta passam a compor o funcionamento institucional. No setor público, onde a complexidade é inerente, esse movimento representa mais do que melhoria incremental. Trata-se de consolidação de capacidade institucional.

Referências Bibliográficas

• ISO/IEC 27001:2022 — Information Security Management Systems
• ISO/IEC 27002:2022 — Information Security Controls
• NIST Cybersecurity Framework (CSF)
• CIS Controls v8
• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados (LGPD)
• Programa de Privacidade e Segurança da Informação (PPSI) — Ministério da Gestão e da Inovação
• Normativos e diretrizes de segurança da informação aplicáveis à administração pública

A maioria das iniciativas de segurança no setor público não fracassa por falta de norma, mas por excesso de ritual vazio. O ciclo PDCA, que sustenta a ISO/IEC 27001, não opera como um fluxo técnico isolado; funciona como um padrão de comportamento organizacional. Sem cultura, transforma-se em formalidade. Quando internalizado, torna-se escala.

Existe uma diferença sutil e decisiva entre adotar um modelo e operar dentro dele. No papel, o ciclo PDCA apresenta clareza quase didática: planejamento, execução, verificação e ação. Quatro movimentos, todos aparentemente controláveis e auditáveis. Na prática, o ciclo não se comporta como uma sequência previsível de etapas. Funciona como um sistema vivo, no qual cada decisão altera o estado do todo e retroalimenta o próximo movimento. Nesse ponto, surgem as dificuldades recorrentes no setor público.

A fase de planejamento raramente sofre por ausência de método. Referenciais abundam. A ISO/IEC 27001 estrutura o raciocínio com rigor, enquanto o NIST oferece modelos operacionais consistentes para identificação e tratamento de riscos. Soma-se a isso a produção normativa e orientativa do Ministério da Gestão e da Inovação, que busca traduzir essas diretrizes para a realidade administrativa brasileira. Mesmo assim, planos tecnicamente consistentes coexistem com incidentes previsíveis. A origem do problema não reside no desenho, mas na suposição de que o desenho, por si só, resolve.

No setor público, o planejamento frequentemente se converte em artefato estático. Documentos passam a responder mais à lógica de auditoria do que à dinâmica operacional. Um plano sem atualização contínua perde a capacidade de orientar decisões e passa a ocupar apenas espaço institucional. A execução, por sua vez, revela outro padrão. Controles são implementados, porém de forma fragmentada. Políticas isoladas, ferramentas desconectadas e contratos que atendem parcialmente às necessidades compõem um cenário sem integração.

O resultado não chega a ser ausência de ação, mas ausência de evolução. A execução sem alinhamento não produz aprendizado, ela apenas consome recursos. A etapa de verificação costuma reforçar uma sensação de controle. Auditorias internas acontecem, relatórios circulam e indicadores são apresentados. A estrutura formal permanece preservada. Uma questão, entretanto, permanece pouco explorada, os pontos de atenção identificados produzem mudança de comportamento ou apenas registro formal?

Quando a verificação assume caráter meramente validatório, em vez de funcionar como mecanismo de confronto com a realidade, o ciclo perde consistência, ainda que continue ativo na forma.

A etapa de ação concentra o ponto mais sensível de todo o processo. Ajustes estruturais exigem reconhecimento explícito de falhas. No ambiente público, tal reconhecimento frequentemente é percebido como exposição institucional, não como sinal de maturidade. Surge, então, um incentivo implícito à correção mínima necessária para atender ciclos futuros de verificação, sem revisão sistêmica. O movimento persiste, mas sem tração real.

A leitura do PDCA como metodologia revela, nesse contexto, uma limitação conceitual. Um conjunto de etapas não captura a dimensão comportamental exigida. Um padrão organizacional, por outro lado, pressupõe disciplina, coerência e disposição para ajuste contínuo. Sem esses elementos, qualquer alinhamento com a ISO/IEC 27001 ou com os referenciais do NIST assume caráter superficial, restrito à conformidade aparente.

A internalização efetiva do ciclo altera essa dinâmica de forma estrutural. Ambientes organizacionais que operam sob lógica contínua de aprendizado passam a tratar o erro como insumo, não como exceção. Auditorias deixam de representar eventos isolados e passam a integrar a rotina. A conformidade emerge como consequência natural de processos consistentes.

No setor público, esse deslocamento produz um efeito adicional relevante. Redução da dependência de indivíduos específicos e fortalecimento de sistemas institucionais capazes de sustentar desempenho ao longo do tempo. Neste estágio, frameworks internacionais e adaptações nacionais deixam de ser exigências externas e passam a funcionar como linguagem comum de gestão.

O ciclo PDCA assume, assim, uma função mais profunda. Estrutura invisível, porém essencial, que conecta decisões, práticas e aprendizado organizacional. A transformação institucional ocorre no momento em que o PDCA deixa de ser percebido como sequência de etapas e passa a operar como reflexo organizacional. Planejamento, execução, verificação e ação incorporados à rotina criam um ambiente onde a maturidade não depende de iniciativas isoladas, mas de consistência sistêmica. No setor público, esse movimento representa menos uma escolha estratégica e mais uma condição para sustentabilidade operacional em larga escala.

Referências Bibliográficas:

• ISO/IEC 27001
• NIST – Cybersecurity Framework (CSF)
• Ministério da Gestão e da Inovação – Programa de Privacidade e Segurança da Informação e frameworks associados
• Lei Geral de Proteção de Dados

A resiliência tecnológica não nasce de ferramentas, mas de decisões. Em órgãos estaduais, a matriz de riscos constitui o ponto onde Segurança da Informação e Segurança Cibernética deixam o campo técnico e passam a orientar a leitura de ativos críticos, exposições relevantes e escolhas institucionais que sustentam a continuidade das políticas públicas.

Muito se fala em resiliência tecnológica, mas pouco se discute onde ela realmente começa. O ponto de partida não está em firewalls, SOC ou planos de resposta a incidentes. A origem está na capacidade do órgão de reconhecer quais ativos digitais sustentam sua missão institucional, quais ameaças os pressionam e quais fragilidades ampliam essa exposição. Nesse cenário, a matriz de riscos deixa de ser um artefato metodológico e passa a ocupar posição central na estratégia institucional.

Alguns instrumentos organizam informação, enquanto outros organizam escolhas. A matriz de riscos pertence ao segundo grupo. No contexto de um governo estadual, essas escolhas raramente são neutras. Sistemas que viabilizam políticas públicas, bases de dados que concentram informações sensíveis e infraestruturas tecnológicas que garantem atendimento contínuo ao cidadão compõem um conjunto de ativos cujo comprometimento raramente é aceitável. A ausência dessa identificação clara costuma empurrar decisões críticas para o improviso.

A lógica proposta pelo NIST estrutura essa leitura de forma objetiva. O foco inicial recai sobre a missão e, a partir dela, sobre os ativos que a sustentam. Serviços digitais essenciais, plataformas transversais, informações classificadas e dados pessoais tornam-se o centro da análise. A partir desse mapeamento, ameaças passam a ser percebidas de forma concreta, como indisponibilidade prolongada, acesso não autorizado, dependência excessiva de fornecedores ou falhas recorrentes de integração entre sistemas.

A experiência prática no setor público reforça esse ponto. Projetos tecnológicos mal contratados aumentam a vulnerabilidade operacional ao longo do tempo. Obras entregues sem integração digital adequada expõem fragilidades que se manifestam apenas na operação. Sistemas implantados com atraso prolongam o uso de soluções legadas conhecidamente frágeis. Em todos esses casos, o risco não nasce do ataque, mas da combinação entre um ativo crítico, uma ameaça previsível e uma vulnerabilidade previamente ignorada.

Uma matriz de riscos madura torna esse encadeamento visível. O instrumento explicita, por exemplo, que determinado sistema é essencial para a política pública ou atividade essencial, que a dependência de um único fornecedor representa uma ameaça relevante e que a ausência de requisitos mínimos de segurança no contrato amplia a vulnerabilidade. Esse registro desloca o debate do campo técnico para o campo da decisão executiva.

Sob a ótica da LGPD, essa leitura se aprofunda. Bases de dados pessoais passam a ser tratadas como ativos estratégicos. Vazamento, indisponibilidade ou perda de integridade deixam de ser eventos tecnológicos e passam a ser riscos institucionais. Ambientes improvisados, integrações frágeis e soluções temporárias ampliam a superfície de ataque e expõem vulnerabilidades difíceis de justificar posteriormente. A matriz de riscos conecta essas escolhas à responsabilidade do órgão antes que o incidente aconteça.

O aspecto cultural também se impõe. Organizações que não distinguem claramente ativos, ameaças e vulnerabilidades tendem a tratar Segurança da Informação como tema abstrato. Instituições que estruturam essa leitura criam responsabilidade compartilhada. A matriz de riscos contribui para esse amadurecimento ao transformar conceitos técnicos em linguagem compreensível para a alta gestão, vinculando risco à decisão.

Nesse ambiente, o papel do Tribunal de Contas do Estado ganha contornos claros. O controle externo observa se ativos críticos foram identificados, se ameaças plausíveis foram consideradas e se vulnerabilidades conhecidas foram tratadas de forma proporcional. Uma matriz consistente demonstra método, intencionalidade e governança. A rastreabilidade decisória passa a ser consequência natural desse processo.

Algum desconforto e, até mesmo conflitos, são inevitáveis. Uma matriz construída com honestidade revela que nem todos os ativos receberão o mesmo nível de proteção e que algumas vulnerabilidades permanecerão abertas por limitações reais. A questão central deixa de ser a eliminação total do risco e passa a ser a consciência sobre onde ele está, por que existe e qual nível de exposição foi deliberadamente aceito.

Esse movimento produz efeito cultural duradouro. As áreas técnicas deixam de falar sozinhas. O jurídico compreende a materialidade do risco. A gestão passa a decidir a partir da missão e não apenas da urgência. A Segurança da Informação deixa de ser periférica e passa a estruturar prioridades. A resiliência deixa de ser reação e se consolida como escolha.

No contexto de um governo estadual ou municipal, marcado por dependência crescente de tecnologia, pressão pública e fiscalização permanente, a resiliência não se confunde com robustez absoluta. O conceito se traduz na capacidade institucional de reconhecer seus ativos, compreender suas exposições e decidir melhor antes que a crise imponha a decisão.

O posicionamento da matriz de riscos no centro da estratégia exige três compromissos claros: a identificação explícita de ativos críticos, a avaliação consciente de ameaças e vulnerabilidades e o tratamento da Segurança da Informação como decisão de alto nível. O resultado não é apenas maturidade técnica, mas maturidade institucional orientada à continuidade do serviço público.

Referências

• NIST Risk Management Framework (RMF) – SP 800 Series
• Lei Geral de Proteção de Dados Pessoais – Lei nº 13.709/2018
• Diretrizes de Gestão de Riscos e Governança do TCU
• Boas Práticas de Controle Interno e Gestão de Riscos no Setor Público

O avanço das fraudes digitais, especialmente as associadas ao roubo de cookies e sequestro de sessões, tem pressionado os modelos tradicionais de autenticação. Durante anos, a autenticação multifator (MFA) combinando senhas com SMS, tokens ou aplicativos autenticadores foi considerada suficiente para garantir acesso seguro. Contudo, o cenário de ameaças mudou de maneira radical. A explosão de malwares infostealers, ataques adversary-in-the-middle (AiTM), botnets e técnicas avançadas de phishing expôs uma fragilidade e mostrou que o MFA tradicional valida apenas o momento inicial do acesso, mas não protege a sessão ativa. Assim, quando um cookie é roubado, o invasor pode assumir a conta sem repetir o processo de login, explorando um ponto cego crítico para os métodos de autenticação clássicos.

Nesse contexto, a biometria comportamental surge como uma resposta altamente eficaz. Ao contrário dos fatores convencionais, que se baseiam no que o usuário sabe ou possui, ela se fundamenta em como o usuário se comporta. Ritmo de digitação, microvariações neuromusculares, padrões de movimentação do mouse, cadência de navegação e até pequenas rotinas motoras tornam-se sinais computáveis de identidade. A singularidade desses padrões cria um fator comportamental extremamente difícil de reproduzir, mesmo por atacantes humanos assistidos por IA ou bots avançados. Ao ser incorporada às plataformas modernas de IAM (Identity and Access Management), essa abordagem transforma a autenticação de um evento isolado para um processo contínuo.

O usuário não prova quem é apenas no login, ele confirma sua identidade a cada interação, de forma invisível e sem fricção. Quando ocorre qualquer mudança significativa no padrão comportamental, seja brusca ou mesmo sutil, o sistema reage com adaptações dinâmicas. Pequenas variações podem solicitar um desafio adicional, desvios maiores podem restringir ações críticas, e anomalias graves levam ao encerramento imediato da sessão. Esse monitoramento contínuo elimina precisamente o ponto cego explorado pelo roubo de sessões.

O setor financeiro, constantemente pressionado pelo dilema entre elevar a segurança e preservar uma experiência positiva do cliente, encontra aqui uma solução equilibrada. A biometria comportamental opera de maneira “invisível” e elimina dependências excessivas de desafios explícitos, reduzindo atritos e aumentando a resiliência contra fraudes baseadas em credenciais legítimas. Mesmo que um invasor possua senha, código MFA e cookie válido, ele não consegue replicar com precisão o comportamento cognitivo e motor do usuário real. Isso reduz de forma substancial tanto a eficácia do roubo de sessão quanto o sucesso de ataques que dependem de engenharia social.

Essa transformação também afeta a maneira como o MFA é compreendido. Ele não está sendo substituído, o que está contecendo na verdade é que ele está evoluindo para um modelo adaptativo, contextual e comportamental, no qual a confiança é recalculada continuamente, não apenas no instante do login. O MFA deixa de ser uma barreira estática e passa a integrar uma arquitetura de risco dinâmica, capaz de responder em tempo real ao comportamento do usuário e ao contexto da interação.

Do ponto de vista operacional, a biometria comportamental também reforça mecanismos de detecção de bots. Enquanto é relativamente fácil para um bot inserir códigos MFA ou repetir ações mecânicas, replicar comportamentos é praticamente impossível, pois trata-se de ações, muitas vezes involuntärias, neuromusculares, padrões motores consistentes ou a “assinatura digital” que caracteriza um ser humano. Isso amplia a capacidade de defesa contra fraude automatizada e ataques em escala.

Plataformas modernas já incorporam essa visão, como Microsoft Entra ID, Okta Adaptive MFA, BioCatch, LexisNexis Behavioral Biometrics e soluções avançadas de risco que utilizam sinais de identidade baseados em IA. Esses sistemas combinam análise comportamental, machine learning e detecção contínua de anomalias para identificar substituição de identidade, uso indevido de credenciais e tentativas de viver dentro da sessão comprometida.

A tendência é inexorável, as organizações que enxergam a autenticação apenas como um ponto de verificação isolado estarão cada vez mais expostas a riscos sofisticados. Por outro lado, aquelas que integram sinais comportamentais ao seu IAM estarão melhor preparadas para enfrentar a nova geração de fraudes digitais, onde o roubo de identidade tornou-se silencioso, persistente e altamente automatizado. A biometria comportamental não apenas reforça a segurança, mas redefine a própria noção de identidade digital ao transformar cada ação do usuário em uma confirmação de legitimidade.

Por vezes, a segurança mais forte é a que o usuário nem percebe.

Quem não se lembra das fitas cassete e dos CDs pirateados que dominavam as bancas de camelôs? Depois vieram os “gatonets” e, mais recentemente, os streamings ilegais. No ano passado, uma operação do Ministério da Justiça e Segurança Pública retirou 675 sites e 14 aplicativos com conteúdo irregular.

Agora é a vez das deepfakes — vídeos criados por inteligência artificial capazes de reproduzir rostos e vozes com impressionante realismo. O formato muda, mas a lógica é a mesma: cada avanço tecnológico traz novas formas de violação da propriedade intelectual, dos direitos autorais e patrimoniais.

Esse cenário aumenta os desafios para os escritórios de marcas e patentes, responsáveis por providenciar registros e acompanhar no mercado se não há uso indevido da propriedade intelectual (PI) de seus clientes.

“Quando há infrações ao direito de PI, nem sempre é possível solucionar sem a intermediação da Justiça”, explica a advogada Karen Sinnema, sócia do escritório Sinnema Barbosa, especializado em assessoria jurídica em propriedade intelectual.

Segundo ela, o primeiro passo para se proteger é o registro da marca, embora nem sempre isso ocorra, dada a falta de uma cultura consolidada nesse sentido no Brasil. Feito o registro, é preciso um acompanhamento frequente e, não raro, mover ação judicial.

“O registro não é a garantia de que, por si só, o direito de PI será respeitado. Após esse passo, escritórios especializados em propriedade intelectual monitoram constantemente eventual uso indevido da marca por terceiros. Quando identificam alguma irregularidade, acionam o corpo jurídico especializado para adotar as medidas cabíveis, seja para prevenir litígios ou, se necessário, buscar a solução judicial”, afirma a especialista.

A advogada Renata Mendonça Barbosa, também sócia do Sinnema Barbosa, sublinha que uma assessoria jurídica especializada em PI identifica, em cada caso, qual a forma legal e ideal de combater a prática fraudulenta e de buscar indenização pelos danos. É um trabalho e acompanhamento que demandam, às empresas de propriedade intelectual ou industrial, a contratação de serviços de advocacia especializada.

“São processos complexos, do ponto de vista do Direito, que podem reunir dezenas ou centenas de provas e levar anos em tramitação na Justiça, mas que possuem grandes chances de vitória”, argumenta a profissional.

A equipe do escritório Sinnema Barbosa lista cinco passos para proteger marca e propriedade intelectual contra fraudes e pirataria:

• Registrar a marca – é o primeiro passo para garantir exclusividade no uso e proteção legal.
• Monitorar usos indevidos – acompanhar constantemente sites, redes sociais e domínios para identificar apropriações irregulares.
• Contar com assessoria jurídica especializada em PI – profissionais de Direito especializados em propriedade intelectual orientam sobre medidas preventivas e corretivas.
• Agir rapidamente em caso de fraude – notificar e negociar com os autores ou até mesmo acionar a Justiça para evitar maiores danos, sob orientação de advocacia especializada em PI.
• Manter documentação atualizada – guardar registros de uso, contratos e evidências para reforçar sua defesa legal.

As profissionais ressaltam que o Brasil tem registrado um aumento significativo na procura por proteção jurídica em resposta às constantes violações ligadas ao uso indevido de imagem, marcas, patentes e propriedade industrial.

Em 2024, os pedidos de registro de marcas cresceram cerca de 10,3% em relação a 2023, totalizando aproximadamente 444.037 solicitações. Os dados são do Instituto Nacional de Propriedade Intelectual (INPI). Os números seguem uma tendência global: o número de registros de marcas ativos no mundo aumentou cerca de 6,4% em 2023, comparado a 2022.

ALGUMAS SITUAÇÕES RECORRENTES

Segundo Renata Mendonça Barbosa, uma situação cada vez mais comum em tempos de vida digital é a apropriação indevida de domínios de sites e de nomes (as “arrobas”) de perfis em redes sociais como o Instagram. Quando se faz o registro de um nome ou marca, adquire-se exclusividade no direito de uso deste como identificação de perfis e endereços na internet.

A prática tem mostrado, mesmo assim, subterfúgios de fraudadores desses direitos. A utilização do mesmo nome, incluindo apenas um sinal diferente, ou mesmo de nomes parecidos, é comum, o que prejudica o verdadeiro dono da marca.

“Já tivemos clientes que se depararam com oito ‘arrobas’ similares ao nome da empresa, o que estava gerando desvio de acessos da marca verdadeira”, observa Renata. Ela explica que, como o cliente já tinha o registro da marca, foi possível dar respaldo jurídico e fazer valer seu direito, com a retirada dos arrobas que se utilizaram indevidamente de sua marca registrada.

Karen Sinnema cita a ocorrência de casos de registro de direito autoral até sobre o próprio rosto, como forma de proteção contra o uso indevido de imagem. “É uma prática cada vez mais comum entre artistas e personalidades públicas em todo o mundo”, frisa.

A apropriação de patentes de produtos e soluções, e nomes e marcas, prejudica economicamente negócios, bem como identidade e reputação.

Segundo as advogadas do Sinnema Barbosa, existem caminhos estratégicos que os escritórios de marcas e patentes costumam adotar para garantir que o uso e a exclusividade da marca sejam preservados. A seguir, estão listadas cada uma dessas etapas e como a assessoria jurídica atua em cada momento.

1. Monitoramento de uso de marca no INPI

Toda semana, o Instituto Nacional da Propriedade Industrial (INPI) publica a Revista da Propriedade Industrial (RPI), onde constam novos pedidos de registro e decisões administrativas. O monitoramento constante dessa publicação é fundamental para identificar pedidos de registro semelhantes ou usos indevidos de marca. Nessa fase, a assessoria jurídica analisa possíveis riscos e, se necessário, orienta sobre a oposição administrativa ao pedido, evitando que uma marca conflitante seja registrada.

2. Primeira tentativa: acordo amigável

Quando é detectado o uso indevido de uma marca, o primeiro passo recomendado é a notificação extrajudicial. Esse documento formal comunica o infrator e busca uma solução amigável — muitas vezes suficiente para cessar o uso indevido sem precisar recorrer ao Judiciário. A assessoria jurídica redige e envia a notificação de forma estratégica, garantindo clareza, segurança e força jurídica à comunicação.

3. Quando o diálogo não resolve: ação judicial

Se o infrator não interromper o uso indevido, o titular da marca pode recorrer à via judicial. Nessa etapa, a atuação do advogado é essencial para formular o pedido adequado, que pode incluir a abstenção de uso, nulidade de registro indevido e a proteção contra concorrência desleal. O objetivo é fazer cessar a infração e resguardar a exclusividade da marca.

4. Indenizações por danos

Além de impedir o uso indevido, o titular da marca também pode buscar indenizações por danos materiais e morais, caso tenha sofrido prejuízos. A assessoria jurídica é responsável por reunir as provas, quantificar os danos e conduzir a ação de forma a garantir a reparação integral dos prejuízos causados.