A cibersegurança em clima de tempestade perfeita

A cibersegurança deixou de ser um tema técnico, restrito às áreas de TI, para se tornar um risco estrutural de negócios — com impacto direto sobre estratégia, continuidade operacional, reputação e valor de mercado. À medida que empresas, governos e infraestruturas críticas se tornam cada vez mais digitais, conectadas e dependentes de software, o ambiente de ameaças evolui em velocidade superior à capacidade tradicional de defesa das organizações.

Para Fábio Maia, líder de engenharia de sistemas no CESAR e pesquisador-chefe do Centro Integrado de Segurança em Sistemas Avançados (CISSA), Centro de Competência Embrapii em cibersegurança operado pelo CESAR, o que se desenha para os próximos anos é uma verdadeira “tempestade perfeita”. Ela resulta da combinação entre a industrialização de ataques baseados em Inteligência Artificial, a explosão das superfícies de ataque provocada pela digitalização acelerada, um déficit global e persistente de profissionais em cibersegurança e a perspectiva concreta de ruptura dos modelos atuais de criptografia com o avanço da computação quântica. Isoladamente, cada um desses fatores já seria desafiador. Juntos, criam um cenário de pressão contínua sobre empresas e instituições ao longo de toda a próxima década.

A assimetria histórica da segurança digital tende a se aprofundar. Cibercriminosos precisam explorar apenas uma falha; empresas e governos precisam identificar todas as potenciais brechas para se proteger. A IA, como “ferramenta do crime” reduz drasticamente a barreira de entrada para ataques sofisticados, enquanto a digitalização de cadeias produtivas, sistemas industriais e infraestruturas críticas amplia exponencialmente os pontos de vulnerabilidade. Ao mesmo tempo, diz Fabio, a escassez de talentos limita a capacidade de resposta das organizações, e a transição para criptografia pós-quântica exigirá anos de planejamento, inventário e migração de sistemas legados.

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Ao cadastrar-se você declara que está de acordo
com nossos Termos de Uso e Privacidade.

Cadastrar

Na América Latina, esse cenário é agravado por um histórico de complacência institucional. Por décadas, a região esteve fora do centro das disputas geopolíticas globais, o que se refletiu em menor prioridade dada à proteção cibernética de infraestruturas estratégicas. Hoje, com a crescente interconexão entre tecnologia da informação (TI) e tecnologia da operação (TO) — especialmente em setores como energia, saneamento, telecomunicações e óleo e gás —, esse déficit de preparo se transforma em risco real, alerta Fábio. Mesmo sem protagonismo geopolítico, a região pode se tornar alvo ou dano colateral em disputas globais cada vez mais digitais.

É nesse ambiente de complexidade crescente que o CISSA se apresenta como um pilar estratégico para o desenvolvimento da soberania tecnológica no Brasil. Credenciado em 2024 pela Embrapii (Empresa Brasileira de Pesquisa e Inovação Industrial), o CISSA nasce com uma proposta clara: conectar a produção científica da academia à pesquisa aplicada com foco em maturidade tecnológica, oferecendo soluções de ponta para desafios que precisam estar no radar das empresas, e que tendem a se intensificar ao longo da década.

Diferentemente da pesquisa acadêmica tradicional, focada em publicações, ou dos projetos sob demanda de um único cliente, o CISSA opera em um modelo híbrido. Seu foco está no avanço real de tecnologias de segurança até níveis de prontidão que permitam aplicação prática, sem perder o rigor científico. A agenda de pesquisa em cibersegurança é holística, orientada por problemas estruturais que afetam setores inteiros — como identidade digital, criptografia pós-quântica, arquitetura de confiança zero, inteligência de ameaças e segurança centrada no fator humano.

Nesta entrevista, Fabio Maia analisa por que a cibersegurança precisa, definitivamente, ocupar um lugar central na agenda estratégica das empresas. Mais do que reagir a incidentes, o desafio da próxima década será antecipar riscos, reduzir assimetrias e construir resiliência em um ambiente onde confiar, por padrão, deixou de ser uma opção. Confira

Uma pergunta básica para situar o leitor: como o CISSA entra em 2026 e quais são suas prioridades?

2026 é um ano de consolidação para o CISSA. Fomos oficialmente escolhidos pela Embrapii no final de 2024 e dedicamos 2025 à estruturação interna. Por ser um modelo híbrido, o CISSA inaugura um perfil novo dentro do CESAR, que sempre fez P&D, mas em formatos diferentes. De um lado, havia a pesquisa acadêmica mais tradicional, ligada à escola — com graduação, mestrado em Ciência da Computação e doutorado em Engenharia de Software — voltada à produção científica. De outro lado, havia projetos de pesquisa aplicada contratados por clientes, para solucionar problemas específicos, que eram executados e que transferiam a propriedade intelectual, na maioria das vezes, para o cliente.

O CISSA nasce como um híbrido desses dois modelos. Ele não se dedica à pesquisa puramente acadêmica, voltada apenas à publicação de papers, e seus projetos visam resolver problemas que afetam setores inteiros e que podem beneficiar múltiplos atores. Nesse contexto, seguimos o modelo de maturidade tecnológica da Embrapii, baseado nos Technology Readiness Levels (TRLs). Enquanto um paper acadêmico normalmente está nos níveis iniciais — TRL 1 ou 2 —, o CISSA trabalha para levar as tecnologias até, no máximo, o TRL 6, ou seja, já com validação em ambiente relevante.

Em 2026, nosso foco é consolidar essa estrutura. Hoje já temos mais de 50 pesquisadores envolvidos no CISSA e a expectativa é chegar ao final de 2026 com cerca de 100 pesquisadores. Esse número inclui pesquisadores residentes do CESAR, alunos de mestrado e doutorado, pós-doutorandos e pesquisadores de outras instituições com as quais estabelecemos parcerias. A ideia é que esse grupo esteja envolvido em cerca de dez projetos simultâneos. Hoje temos cinco projetos em andamento e devemos abrir pelo menos mais cinco ao longo de 2026.

Quais são hoje as principais linhas de pesquisa do CISSA?

Trabalhamos hoje com algumas grandes linhas que cobrem os principais domínios da segurança cibernética, embora elas não tenham fronteiras rígidas — há muitas áreas cinzentas entre elas.

Uma das linhas é Inteligência de Ameaças, ou Cyber Threat Intelligence (CTI). Ela envolve desde a antecipação de ameaças emergentes — analisando dados de mercado, comunidades especializadas, fóruns e até a dark web — até a detecção e resposta a ataques dentro das próprias organizações. Essa linha cobre previsão, detecção e resposta.

Outra linha central é a de gestão de identidades e controle de acesso, o que chamamos de Identity and Access Management (IAM). Aqui entram questões como garantir que credenciais que deveriam ter sido revogadas não permaneçam ativas, assegurar que os privilégios concedidos estejam corretos, evitar sequestro de credenciais com uso de múltiplos fatores de autenticação, entre outros desafios.

Temos também a linha de segurança de infraestrutura e nuvem. Nela entram projetos de criptografia, incluindo iniciativas em parceria com a Universidade Federal de Campina Grande e outros grupos, para o desenvolvimento de algoritmos de criptografia resistentes à computação quântica.

Ainda nessa linha, pesquisamos arquiteturas de confiança zero (Zero Trust). A ideia central é abandonar o conceito da segurança por perímetro — onde o que está “dentro” é confiável e o que está “fora” não é — e tratar a identidade como o novo perímetro. Todo ator, humano ou máquina, precisa se autenticar continuamente. Não há confiança por padrão, mesmo para entidades internas. O comportamento é monitorado e, diante de qualquer anomalia, novas autenticações podem ser exigidas. É uma abordagem baseada na premissa de que não se pode confiar cegamente em nenhum acesso, independentemente da sua origem.

Vocês estão trazendo discussões de cibersegurança centradas no fator humano, como compartilhamento de informações sobre ameaças, detecção de comportamentos de insiders. O elo humano continua sendo o mais fraco?

Sim, continua sendo. Ainda temos um índice muito alto de comportamentos negligentes ou desatentos, e isso é difícil de corrigir. Mesmo profissionais experientes, eventualmente, baixam a guarda: clicam em links indevidos, tomam decisões precipitadas em contextos de estresse ou pressão.

Por isso, uma linha importante de pesquisa do CISSA é justamente como ajudar o usuário, para que a segurança não dependa exclusivamente de um comportamento hiper-vigilante. Chamamos essa linha de Aspectos Legais, Éticos e Comportamentais (ALEC), ligada ao conceito de usable security.

A ideia é reduzir a carga cognitiva sobre o usuário e tornar os sistemas mais proativos: alertar sobre situações suspeitas, identificar padrões semelhantes a golpes conhecidos e apoiar o usuário antes que o erro aconteça. Segurança precisa ser mais amigável e menos friccional.

Ao mesmo tempo, também precisamos falar de insiders, que são colaborações internas com adversários externos, seja por suborno, coerção, ameaça ou outras motivações.

Criptografia pós-quântica e vulnerabilidades ligadas à IA aparecem como duas grandes frentes de risco. Elas deveriam ser prioridade das empresas em 2026?

Na verdade, estamos diante de uma convergência de fatores que formam uma espécie de tempestade perfeita e sinalizam um cenário extremamente desafiador para a próxima década.

O primeiro fator é a industrialização de ataques com uso de IA, inclusive ataques autônomos. Isso reduz drasticamente a barreira de entrada para ataques sofisticados. Antes, esse nível de sofisticação estava restrito a Estados-nação e grandes organizações. Com IA, atores com menos recursos e menos especialização passam a ter acesso a essas capacidades. Inicialmente, a IA, no caso da segurança, tende a beneficiar mais os atacantes do que os defensores. A IA tem enorme potencial para a defesa, mas essa aplicação leva mais tempo para amadurecer.

O segundo fator é a explosão da superfície de ataque, causada pela digitalização crescente de processos, negócios e infraestrutura. O terceiro é o déficit global de profissionais em segurança cibernética — alguns estudos falam em cerca de cinco milhões de vagas abertas no mundo.

Por fim, há a ameaça da quebra da criptografia de chave pública com a computação quântica. A migração para criptografia pós-quântica não é simples nem rápida. Muitas empresas sequer sabem onde usam criptografia hoje; será preciso mapear, planejar e substituir ao longo de anos.

Um relatório recente de cibersegurança do World Economic Forum mostra que o nível de confiança das pessoas sobre a capacidade dos países da América Latina se protegerem de ameaças contra suas infraestruturas críticas é baixíssimo (13%), e o nível de desconfiança (49%) é o mais alto de todas as regiões do planeta. Isso é percepção ou realidade?

É percepção, mas não totalmente dissociada da realidade. Historicamente, a América Latina sempre foi um “backwater” geopolítico — uma região periférica, fora do centro das grandes disputas globais. Isso gerou complacência institucional.

Por muito tempo, nossas infraestruturas não se percebiam como alvos estratégicos. Mas o cenário mudou. A crescente digitalização das infraestruturas críticas (energia, saneamento, óleo/gás) e a interconexão entre Tecnologia da Informação (TI) e Tecnologia da Operação (TO) aumentam exponencialmente a superfície de ataque, não apenas por interesses políticos, mas também por motivos financeiros (ex: manipulação de mercado). Mesmo que não sejamos protagonistas, podemos nos tornar dano colateral em disputas entre grandes potências.