A segurança cibernética não depende só de tecnologia. Para Cristiano Buss, CEO da Teletex, o comportamento das pessoas é uma parte da proteção que nenhuma plataforma resolve sozinha. Segundo ele, uma cultura de segurança faz diferença no dia a dia das empresas.

Tecnologia não resolve o fator humano

Segundo o autor, a segurança cibernética foi tratada por muito tempo como assunto essencialmente tecnológico. As empresas compraram ferramentas, criaram políticas, aumentaram controles e sofisticaram processos. Ele afirma que tudo isso segue indispensável.

Há sempre alguém abrindo um e-mail inseguro, compartilhando informação sem saber a procedência ou baixando um sistema sem autorização. Para o autor, é no dia a dia apressado, cheio de pequenas escolhas, que a cultura de segurança faz diferença.

Por que o funcionário não deve ser visto como elo fraco

Buss critica a tendência de transformar o funcionário no elo fraco. Em vez de perguntar apenas “quem errou?”, defende que a empresa também pergunte “por que isso aconteceu?”. Ele sugere questões como:

• a pessoa sabia identificar o risco?
• a regra estava clara?
• o processo seguro era tão complicado que levou a um atalho?
• havia pressão para entregar algo rapidamente?

Para o autor, essas perguntas são desconfortáveis, mas mais úteis para reduzir riscos. Ele afirma que isso não elimina a responsabilidade individual, mas ajuda a entender o contexto e a criar mecanismos de prevenção mais efetivos.

O que dizem as pesquisas do Gartner

Um dado do Gartner ajuda a dimensionar o problema. Segundo a consultoria, 41% dos funcionários admitem ter ignorado deliberadamente orientações de cibersegurança de suas organizações nos últimos 12 meses. O instituto chama a atenção para o papel da pressão no ambiente de trabalho e defende uma mudança de abordagem. Para o Gartner, mais do que conscientizar, é preciso criar hábitos seguros.

Na avaliação de Buss, quando quase metade das pessoas contorna uma regra, pode haver também um problema no desenho dos processos. Ele aponta ainda a forma como a segurança dialoga com a realidade de quem executa o trabalho.

Outra pesquisa do Gartner mostra que mais de 57% dos funcionários pesquisados usam contas pessoais de IA generativa em atividades profissionais. Além disso, 33% reconheceram inserir informações sensíveis em ferramentas não aprovadas. Para o autor, proibir sem explicar dificilmente será suficiente.

Treinamento e papel da liderança

Para Buss, o treinamento não pode ser um curso obrigatório anual, encerrado com um questionário respondido às pressas. A segurança deve fazer parte das conversas da empresa. Isso inclui explicar por que cada regra existe, trazer situações reais, simular ataques, conversar sobre erros e atualizar as equipes.

O autor também vê responsabilidade da liderança. Segundo ele, não adianta o CEO falar sobre segurança em uma apresentação e depois pedir que alguém burle um procedimento por causa de uma entrega urgente.

“Cultura é aquilo que a liderança tolera, pratica e reconhece quando ninguém está fazendo uma apresentação sobre cultura”, afirma Buss.

Ele defende que a segurança apareça nas decisões do negócio, inclusive quando seguir o caminho correto exige alguns minutos a mais ou dizer não a uma solução aparentemente mais fácil.

Admitir erros rapidamente

Para o autor, as pessoas precisam se sentir seguras para admitir um erro. Ele cita o caso de um funcionário que percebe ter clicado em um link suspeito. A empresa deve preferir que ele avise a equipe de segurança imediatamente, e não que passe meia hora temendo uma repreensão do gestor.

Em um incidente cibernético, alguns minutos podem fazer grande diferença, afirma. Segundo Buss, uma cultura baseada apenas em punição pode produzir silêncio. Ele diz que criar responsabilidade não significa eliminar consequências, mas construir um ambiente em que comunicar rapidamente um problema seja visto como parte da solução.

Tecnologia mais complexa e foco nas pessoas

O autor afirma que a própria tecnologia está mais complexa. Ele cita inteligência artificial, automação, ambientes híbridos e a aproximação entre TI e tecnologia operacional. Para ele, esses fatores ampliam as possibilidades das empresas e trazem novas responsabilidades.

No contato com clientes, a Teletex percebe que a segurança aparece cada vez mais cedo nas conversas sobre adoção de IA. Antes de discutir o que a tecnologia pode fazer, surge a preocupação sobre como usá-la sem expor dados e processos.

Segundo Buss, ferramentas podem analisar milhões de eventos em tempo real, mas ainda serão necessárias pessoas preparadas para interpretar contextos, tomar decisões e entender as consequências.

Ele afirma que construir uma cultura de segurança não significa transformar todos em especialistas. Significa criar uma organização em que as pessoas entendam que proteger informações, sistemas e clientes também é parte do trabalho. Elas também precisam ter conhecimento e confiança para agir quando algo parecer errado.

“Talvez a empresa mais segura não seja aquela em que ninguém comete erros, e sim aquela em que todos sabem o que fazer quando eles acontecem”, conclui Buss.