Bruno Telles e Caio Telles abordam a crítica situação da segurança da informação no Brasil, onde a insegurança jurídica se traduz em insegurança da informação. A métrica central para a gestão de segurança não é o número de ferramentas ou a equipe, mas sim o intervalo entre a descoberta de uma falha e sua correção. Este tempo é crucial, pois é nesse intervalo que os cibercriminosos atuam.
O processo de contratação para corrigir vulnerabilidades, que deveria ser rápido, pode levar até 45 dias, resultando em vulnerabilidades expostas de março a junho antes da correção. A liderança de segurança, ao identificar a necessidade de um programa de bug bounty, enfrenta uma série de questionamentos do departamento jurídico, que muitas vezes não possui respostas claras devido à ambiguidade das leis brasileiras.
O que existe, o que falta
O Brasil conta com um Código Penal que considera a invasão de sistemas sem autorização como crime e a LGPD, que exige a proteção de dados e a notificação de incidentes. Além disso, o Banco Central exige políticas de segurança cibernética. No entanto, não há uma legislação específica que proteja os pesquisadores de segurança que reportam vulnerabilidades, o que limita a capacidade defensiva das organizações.
A Estratégia Nacional de Cibersegurança, publicada em 2025, menciona a divulgação coordenada de vulnerabilidades, mas não estabelece um mecanismo seguro para quem reporta ou para quem recebe essas informações. Em contraste, a Bélgica já protege quem reporta vulnerabilidades desde 2023, e outros países, como os Estados Unidos, têm orientações que evitam a penalização de pesquisas de segurança de boa-fé.
O contrato como remendo que funciona
Na falta de uma regulamentação pública, surgem soluções privadas, como plataformas homologadas que estabelecem regras para proteger tanto os pesquisadores quanto as empresas. Entretanto, essa abordagem não é escalável, pois cada nova empresa reinicia o processo de convencimento do jurídico, levando a um ciclo de discussões que se estende por semanas.
A cultura organizacional também desempenha um papel crucial. O jurídico tende a eliminar riscos, enquanto a segurança busca administrar e priorizar esses riscos. Essa diferença de abordagem pode criar tensões, especialmente quando o jurídico é chamado a validar decisões que não ajudou a construir.
Opinião
A falta de um diálogo eficaz entre as áreas jurídica e de segurança pode levar a consequências graves na proteção de dados. É essencial que as organizações integrem essas conversas desde o início dos projetos para mitigar riscos e garantir uma resposta rápida a vulnerabilidades.
