O investimento em cibersegurança empresarial deixou de ser uma preocupação exclusiva das empresas de tecnologia. O Grupo Protege, tradicionalmente associado à segurança física e ao transporte de valores, investiu R$ 2,7 milhões em um projeto para reforçar a proteção digital de uma operação que funciona 24 horas por dia, reúne mais de 12 mil colaboradores e inclui também uma fintech.
A iniciativa mostra como o conceito de segurança mudou. Afinal, uma organização pode manter cofres, veículos e instalações protegidos e, ainda assim, permanecer vulnerável por meio de sistemas, credenciais, aplicações, dispositivos e dados.
Segundo Ivan Burti, gerente de Segurança da Informação do Grupo Protege, a continuidade dos negócios depende diretamente da qualidade e da agilidade da proteção digital. Entre as ameaças consideradas pela empresa estão ransomware, vazamento de dados e tentativas de transferências indevidas de valores.
Portanto, o investimento em cibersegurança empresarial precisa ser compreendido cada vez mais como uma decisão de continuidade do negócio, e não apenas como uma despesa da área de TI.
Por que o investimento em cibersegurança empresarial se tornou estratégico?
A transformação digital ampliou a quantidade de sistemas essenciais para o funcionamento das empresas.
E-mails, sistemas financeiros, armazenamento em nuvem, ferramentas de gestão, VPN, dispositivos móveis e plataformas de comunicação fazem parte da operação diária.
Consequentemente, quando criminosos comprometem uma dessas estruturas, o impacto pode ultrapassar o ambiente virtual.
Um ataque pode interromper serviços, bloquear sistemas, roubar informações, comprometer credenciais ou até permitir tentativas de fraude financeira.
No caso do Grupo Protege, esse cenário ganha importância adicional porque a companhia trabalha justamente com operações relacionadas à segurança e movimentação de valores.
Assim, proteger o ambiente digital passou a complementar a própria proteção física.
O que é Zero Trust?
Um dos principais elementos do projeto anunciado pelo Grupo Protege é a adoção de uma arquitetura Zero Trust, expressão que pode ser traduzida como “Confiança Zero”.
Entretanto, Zero Trust não significa desconfiar permanentemente dos funcionários.
O conceito parte de outra lógica: nenhum usuário, equipamento ou conexão deve receber confiança automática apenas porque está dentro da rede da organização.
O NIST, referência internacional em padrões de cibersegurança, define Zero Trust como uma abordagem que desloca a segurança do perímetro tradicional da rede para usuários, dispositivos, ativos e recursos. Nesse modelo, autenticação e autorização acontecem antes do estabelecimento do acesso ao recurso empresarial.
Em termos simples, a lógica deixa de ser:
“Está dentro da rede, portanto é confiável.”
E passa a ser:
“Quem está solicitando o acesso, qual dispositivo está sendo utilizado, qual recurso será acessado e esse acesso realmente deve ser permitido?”
Essa mudança reduz a confiança implícita e fortalece o controle de acesso.
Como Zero Trust ajuda quando uma senha é roubada?
Imagine que um criminoso obtenha a senha de um funcionário por meio de phishing ou engenharia social.
Em uma estrutura baseada exclusivamente em usuário e senha, aquela credencial pode abrir portas importantes.
Contudo, uma arquitetura mais madura pode verificar também o dispositivo, o contexto da conexão, a identidade, o nível de privilégio e o recurso solicitado.
Além disso, a empresa pode combinar Zero Trust com autenticação multifator, monitoramento e privilégio mínimo.
Dessa forma, possuir a senha deixa de representar automaticamente autorização para acessar toda a infraestrutura.
Esse exemplo demonstra por que o investimento em cibersegurança empresarial não deve se limitar à compra de antivírus ou firewall. Ele precisa envolver identidade, processos, arquitetura e monitoramento.
O projeto também prevê inspeção de tráfego criptografado
Segundo a reportagem da Veja Negócios, a infraestrutura adotada pelo Grupo Protege prevê bloqueio de sites considerados de risco, inspeção de tráfego criptografado e mecanismos voltados à prevenção do compartilhamento indevido de informações sensíveis. O projeto envolve a AK Networks e tecnologia da Zscaler.
A inspeção de tráfego criptografado merece atenção porque grande parte das comunicações atuais utiliza HTTPS e TLS.
Essa criptografia protege a privacidade das informações durante o transporte. Entretanto, criminosos também podem utilizar conexões criptografadas para esconder malware, comandos maliciosos ou exfiltração de dados.
Por isso, determinadas soluções corporativas inspecionam o conteúdo de conexões criptografadas conforme políticas previamente estabelecidas.
A própria documentação técnica da Zscaler informa que a inspeção TLS pode apoiar mecanismos contra malware, perda de dados e intrusões. Entretanto, a empresa também reconhece que aspectos jurídicos, regulatórios e de privacidade precisam ser considerados durante a implementação.
Portanto, tecnologia e governança precisam caminhar juntas.
O que é DLP e como ele protege dados da empresa?
Outro conceito importante nesse tipo de projeto é o DLP, ou Data Loss Prevention.
Essas soluções procuram identificar e controlar a saída de informações sensíveis.
Por exemplo, uma política pode monitorar:
- dados pessoais;
- informações financeiras;
- documentos confidenciais;
- bases de clientes;
- números de documentos;
- arquivos estratégicos;
- informações protegidas por políticas internas.
Dependendo da configuração, a solução pode alertar, registrar ou bloquear determinada transação.
A Zscaler informa que seus mecanismos de DLP conseguem detectar determinados tipos de informação e permitir ou bloquear transações conforme as políticas definidas pela organização.
Assim, a segurança da informação não precisa observar apenas quem tenta entrar na empresa.
Ela também deve controlar como dados importantes podem sair.
Ransomware e vazamento de dados continuam entre os riscos
O Grupo Protege também colocou ransomware e vazamento de dados entre os riscos considerados no projeto.
Durante muito tempo, o ransomware ficou conhecido principalmente pela criptografia de arquivos seguida de cobrança para recuperação.
Entretanto, muitos grupos criminosos passaram a combinar criptografia com roubo prévio das informações.
Nesse cenário, a empresa pode restaurar seus servidores usando backups e, ainda assim, enfrentar extorsão porque os criminosos possuem cópias dos dados.
Por isso, backup continua essencial, mas não resolve sozinho todos os impactos de um incidente.
Além disso, um vazamento pode desencadear consequências jurídicas e regulatórias.
Cibersegurança também é uma obrigação relacionada à LGPD
Quando a infraestrutura empresarial trata dados pessoais, a discussão também alcança a Lei Geral de Proteção de Dados.
O artigo 46 da LGPD determina que agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
Além disso, a Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidentes de segurança que possam gerar risco ou dano relevante aos titulares.
Atualmente, quando o incidente se enquadra nos critérios previstos pela regulamentação, o controlador deve comunicar a ANPD e os titulares no prazo de três dias úteis, ressalvada a existência de prazo específico em outra legislação.
A regulamentação considera especialmente situações que envolvem dados sensíveis, financeiros, de autenticação, informações de crianças e adolescentes ou tratamento em larga escala.
Portanto, segurança cibernética também integra a governança de proteção de dados.
Investimento em cibersegurança empresarial também pode reduzir custos?
Sim, dependendo da forma como o projeto é estruturado.
No caso do Grupo Protege, existe um dado particularmente interessante.
Mesmo antes da conclusão da implantação, a companhia calcula ter obtido aproximadamente R$ 600 mil em ganhos com redução de licenças e substituição de tecnologias anteriores.
Além disso, a empresa estima alcançar R$ 1,5 milhão em economia acumulada até o encerramento do projeto.
Esse resultado contraria uma visão ainda comum dentro de algumas organizações: a ideia de que segurança representa somente custo.
Um investimento em cibersegurança empresarial bem planejado também pode eliminar ferramentas redundantes, simplificar infraestrutura, melhorar controles e reduzir despesas operacionais.
Consequentemente, a pergunta da direção não deveria ser apenas:
“Quanto custa implementar segurança?”
Também deveria incluir:
“Quanto custaria interromper nossa operação por causa de um ataque?”
Zero Trust substitui firewall, VPN e antivírus?
Não.
Zero Trust representa uma estratégia arquitetural. Portanto, não funciona como produto único capaz de substituir todos os controles existentes.
Firewall, proteção de endpoint, EDR, autenticação multifator, DLP, IDS/IPS, gestão de vulnerabilidades, logs e monitoramento possuem funções diferentes.
Da mesma maneira, uma VPN ainda pode fazer sentido em diversos cenários.
Entretanto, a arquitetura moderna reduz a ideia de que simplesmente conectar-se à rede corporativa significa receber confiança ampla.
O objetivo passa a ser conceder somente o acesso necessário e verificar continuamente as condições daquele acesso.
O que outras empresas podem aprender com o Grupo Protege?
O caso não significa que toda empresa precise investir R$ 2,7 milhões.
Cada organização possui tamanho, infraestrutura, exposição e nível de risco diferentes.
No entanto, algumas perguntas servem para empresas de qualquer porte:
- Quem consegue acessar os sistemas críticos?
- A organização utiliza autenticação multifator?
- Existem privilégios excessivos?
- A empresa monitora tentativas de acesso suspeitas?
- Existem mecanismos contra vazamento de dados?
- Os dispositivos corporativos recebem proteção adequada?
- A empresa consegue detectar uma credencial comprometida?
- Os backups são testados?
- Existe plano de resposta a incidentes?
- Os logs permitem reconstruir o que aconteceu durante um ataque?
Se boa parte dessas respostas for desconhecida, existe uma fragilidade que ultrapassa a tecnologia.
Existe um problema de governança.
Cibersegurança passou a fazer parte da continuidade do negócio
O caso do Grupo Protege representa uma mudança importante na forma como organizações tradicionais enxergam a segurança.
Uma empresa reconhecida por proteger valores fisicamente passou a investir milhões para proteger também identidades, sistemas, conexões e informações.
Isso acontece porque o patrimônio empresarial não está apenas em cofres, prédios ou contas bancárias.
Ele também está nos dados, nas credenciais, nos sistemas e na capacidade de continuar operando depois de um incidente.
Por isso, o investimento em cibersegurança empresarial deixou de ser assunto restrito ao departamento de tecnologia.
Ele passou a integrar estratégia, governança, proteção de dados e continuidade do negócio.
A segurança física protege aquilo que podemos tocar. A cibersegurança precisa proteger aquilo que mantém a empresa funcionando.
A M A Segurança Digital atua com palestras, capacitação, análise preventiva, perícia digital e orientação em segurança da informação para empresas e profissionais.
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Advogado e Formado em Segurança Pública, é Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.
Fontes consultadas
A Veja Negócios detalhou o investimento de R$ 2,7 milhões do Grupo Protege, a arquitetura Zero Trust, os riscos considerados e a economia estimada com a modernização.
O NIST apresenta a definição técnica de Zero Trust e explica a mudança de uma segurança baseada no perímetro para um modelo concentrado em identidades, dispositivos, ativos e recursos.
A documentação técnica da Zscaler explica inspeção TLS e mecanismos de DLP, incluindo monitoramento e bloqueio de informações sensíveis conforme políticas organizacionais.
A ANPD regulamenta a comunicação de incidentes de segurança envolvendo dados pessoais e estabelece os critérios e prazos aplicáveis aos controladores.