Seu backup pode salvar a empresa, mas não seus segredos

Imagine chegar à empresa em uma segunda-feira e descobrir que informações confidenciais de clientes, contratos e documentos estratégicos foram roubados. A equipe de tecnologia conseguiu conter o ataque. Os sistemas continuam disponíveis, os backups estão íntegros e a operação não precisou ser interrompida. Sob a perspectiva tecnológica, a situação parece controlada.

Poucas horas depois, porém, os criminosos exigem pagamento para não divulgar as informações. Clientes começam a solicitar esclarecimentos. Parceiros questionam a segurança das informações compartilhadas. O departamento jurídico precisa avaliar responsabilidades. A diretoria financeira tenta dimensionar possíveis perdas, enquanto a liderança precisa decidir como conduzir a comunicação.

A organização continua funcionando, mas sua capacidade de preservar a confiança de quem depende dela passa a ser questionada. Recuperar sistemas é diferente de recuperar as condições que sustentam um negócio, e talvez essa diferença ainda não esteja recebendo a atenção necessária nas discussões sobre resiliência empresarial.

A ameaça não precisa interromper sua operação para comprometer seu negócio

Durante muitos anos, o ransomware foi associado principalmente à indisponibilidade de sistemas. Criminosos comprometiam ambientes, criptografavam informações e exigiam pagamento para permitir sua recuperação. As organizações responderam investindo em backups, redundância, planos de continuidade e capacidade de restauração. Essa evolução foi necessária e continua sendo um componente indispensável de uma estratégia de cibersegurança.

Mas a extorsão cibernética não depende mais exclusivamente da interrupção tecnológica. Em determinados ataques, o objetivo principal é obter informações confidenciais e utilizar a ameaça de divulgação como instrumento de pressão. A extração de dados pode ocorrer isoladamente ou em conjunto com a criptografia de sistemas.

No dia 7 de outubro de 2026, a Polícia Federal anunciou a Operação Insidioso, relacionada à investigação de um ataque cibernético no qual dados sensíveis foram extraídos e posteriormente utilizados para exigir pagamento da vítima. O episódio brasileiro ilustra uma realidade que merece atenção especial da liderança. Uma organização pode recuperar o acesso às suas informações sem conseguir recuperar o controle sobre quem possui cópias delas.

Um backup pode restaurar um banco de dados, recuperar um servidor ou permitir a retomada de processos críticos. Mas não pode retirar informações confidenciais das mãos de alguém que já conseguiu copiá-las. Essa distinção parece simples quando observada tecnicamente. Suas consequências, entretanto, são profundamente empresariais.

O impacto de um incidente depende do tempo em que a organização permanece indisponível, do valor das informações comprometidas, das relações que elas representam e das responsabilidades que sua exposição pode produzir. Uma empresa pode recuperar completamente sua infraestrutura e continuar enfrentando uma crise que ainda está longe de terminar.

Os dois relógios de uma crise cibernética

Existe uma maneira de compreender essa diferença que considero especialmente relevante para conselhos de administração e lideranças executivas. Quando uma organização sofre um incidente cibernético significativo, dois relógios começam a funcionar.

O primeiro é o relógio operacional. Ele mede o tempo necessário para identificar e conter o incidente, recuperar ambientes, restaurar processos e permitir que a empresa retome suas atividades. É a dimensão mais conhecida da continuidade de negócios. Nela estão os objetivos de tempo de recuperação, a tolerância à perda de dados e os indicadores de disponibilidade dos serviços essenciais.

O segundo é o relógio empresarial. Esse relógio acompanha as consequências que podem permanecer mesmo depois que a infraestrutura tecnológica esteja completamente recuperada. Ele envolve investigações, avaliações jurídicas, possíveis responsabilidades contratuais, exposição financeira, relacionamento com clientes, questionamentos de parceiros e repercussões sobre a reputação da organização.

Os dois relógios não avançam necessariamente na mesma velocidade. Uma empresa pode recuperar seus sistemas em algumas horas e continuar administrando as consequências do incidente por meses. Em outros casos, a interrupção operacional pode representar o principal impacto, mesmo sem exposição de informações confidenciais.

A confidencialidade não é sempre mais importante do que a disponibilidade. Cada organização possui dependências, características e riscos próprios. Essas dimensões exigem capacidades distintas de proteção, resposta e recuperação, e a conclusão de uma nem sempre encerra a outra.

Esse é um problema relevante porque boa parte das discussões executivas sobre resiliência ainda privilegia indicadores relacionados à continuidade operacional. Quanto tempo precisamos para restaurar os sistemas? Qual é a nossa capacidade de recuperação? Quanto tempo a empresa consegue permanecer indisponível?

São perguntas necessárias. Mas deixam uma lacuna importante quando não são acompanhadas de outra preocupação: quais consequências permaneceriam afetando nosso negócio mesmo depois que todos os sistemas voltassem a funcionar? A resposta exige uma compreensão mais ampla do que significa estar preparado para uma crise cibernética.

O prejuízo que não aparece nos indicadores de tecnologia

Imagine uma indústria que tenha projetos, especificações técnicas e condições comerciais confidenciais expostos. Mesmo que a produção continue funcionando normalmente, o conhecimento obtido por terceiros pode comprometer negociações, revelar estratégias ou reduzir vantagens competitivas construídas durante anos.

Agora considere uma instituição de saúde que tenha informações sensíveis de pacientes comprometidas. A recuperação dos sistemas é fundamental, mas nem sempre encerra suas responsabilidades. Dependendo das circunstâncias, a organização poderá precisar conduzir avaliações legais, realizar comunicações obrigatórias, responder a questionamentos e demonstrar quais medidas foram adotadas.

Em uma empresa de serviços, o vazamento de contratos, dados de clientes ou informações estratégicas pode produzir efeitos igualmente relevantes. Renovações contratuais podem se tornar mais difíceis, processos de auditoria podem ser ampliados e oportunidades comerciais podem enfrentar novas exigências.

Nenhuma dessas consequências é automática. Sua ocorrência e sua dimensão dependem das informações envolvidas, das circunstâncias do incidente e da capacidade de resposta da organização. Mas é justamente essa incerteza que precisa ser considerada pela liderança.

Para o CFO, o risco vai além das despesas com investigação e recuperação e envolve possíveis responsabilidades, custos extraordinários e impactos sobre receitas futuras. Para o COO, o problema continua depois que a operação tecnológica é restabelecida. Equipes comerciais, jurídicas, administrativas e de atendimento podem continuar dedicando recursos significativos à administração da crise. Para o CEO, a questão ultrapassa os resultados financeiros imediatos. A confiança conquistada ao longo de anos pode passar a depender da forma como a organização demonstra responsabilidade diante de uma situação adversa.

E, para o conselho de administração, surge uma discussão de governança. A organização realmente conhece suas exposições mais críticas ou continua avaliando sua preparação quase exclusivamente pela capacidade de manter sistemas disponíveis?

O relatório Data Breach Investigations Report 2026, da Verizon, identificou ransomware em 48% das violações de dados analisadas. O estudo também apontou que 69% das organizações vítimas de ransomware, no conjunto considerado para esse indicador, não efetuaram pagamento de resgate.

Esses dados demonstram a relevância persistente da ameaça e ajudam a contextualizar a importância da capacidade de resposta. Não significam, entretanto, que todo ataque envolva roubo de informações ou que a extorsão sem criptografia tenha substituído os métodos tradicionais.

A natureza de um incidente determina consequências diferentes e exige respostas proporcionais. Boa parte desse impacto empresarial não aparece em um painel de disponibilidade.

A maturidade aparece antes da recuperação

Existe uma tendência compreensível de concentrar investimentos nas capacidades mais facilmente demonstráveis. É possível testar um backup, medir o tempo de restauração e acompanhar a disponibilidade de um serviço. Já a proteção da confidencialidade exige uma compreensão mais profunda da própria organização.

Antes de decidir quais controles implementar, a liderança precisa saber quais informações realmente sustentam sua vantagem competitiva, suas obrigações e suas relações de confiança. Isso envolve compreender onde essas informações estão, quem possui acesso, por quanto tempo precisam ser preservadas e quais consequências poderiam surgir caso fossem expostas. Uma empresa que desconhece seus ativos informacionais mais críticos dificilmente conseguirá estabelecer prioridades adequadas de proteção.

A maturidade também depende da capacidade de limitar o alcance de um comprometimento. Privilégios excessivos, informações armazenadas sem necessidade, acessos pouco supervisionados e integrações com terceiros podem ampliar a exposição empresarial. Reduzir essas condições não elimina a possibilidade de um incidente, mas pode diminuir significativamente sua abrangência e suas consequências. Da mesma forma, detectar uma atividade suspeita antes que ela evolua para uma extração significativa de informações pode ser tão importante quanto restaurar sistemas depois de um ataque.

Há ainda uma dimensão frequentemente subestimada. A preparação para uma crise vai além da definição de procedimentos tecnológicos. É necessário estabelecer previamente quem toma decisões, como são avaliadas obrigações legais e contratuais, quais áreas participam da resposta e quais critérios orientam a comunicação com clientes e parceiros. Essas decisões exigem a participação coordenada da tecnologia, segurança, jurídico, finanças, operações e liderança executiva.

Quando essa estrutura não existe, um incidente pode expor fragilidades tecnológicas e dificuldades de governança ao mesmo tempo. E uma crise que já apresenta consequências relevantes pode ser agravada por decisões improvisadas, responsabilidades indefinidas ou informações inconsistentes.

Nenhuma preparação evita todos os ataques. Ela serve para construir uma organização capaz de reduzir sua exposição, responder com competência e administrar as consequências quando algo importante sair do planejado.

Conclusão

Durante muito tempo, uma das perguntas mais importantes da cibersegurança empresarial foi quanto tempo levaríamos para recuperar nossas operações depois de um ataque. Essa pergunta continua indispensável. Mas precisamos reconhecer que a capacidade de recuperar sistemas representa apenas uma parte da resiliência de uma organização.

Informações confidenciais podem ser copiadas sem que a operação seja interrompida. Relacionamentos comerciais podem ser afetados mesmo quando todos os serviços estão disponíveis. Responsabilidades jurídicas e financeiras podem permanecer muito depois do encerramento da resposta técnica.

Os dois relógios de uma crise cibernética mostram que recuperar a tecnologia e administrar suas consequências empresariais são desafios relacionados, mas distintos. Essa compreensão deveria influenciar a maneira como organizações definem prioridades, distribuem recursos e avaliam seus riscos.

O objetivo da cibersegurança inclui garantir que os sistemas voltem a funcionar e preservar as condições que permitem que clientes, parceiros e investidores continuem confiando na organização. Uma empresa resiliente volta a operar e sabe o que precisa preservar para continuar sendo confiável depois de uma crise.

E talvez essa seja a pergunta mais importante para a próxima reunião de liderança: se todos os sistemas da sua empresa fossem recuperados amanhã, mas suas informações estratégicas estivessem nas mãos de criminosos, você consideraria o incidente encerrado?