Artigo publicado como integrante do CQC de Inovação e Tecnologia.
Existe um teste simples para saber se a política de segurança da sua empresa funciona: pergunte a qualquer funcionário como ele realmente acessa os sistemas no dia a dia. Se a resposta for diferente do que o manual prescreve, você não tem um problema de disciplina. Tem um problema de design.
Seu risco não é o ataque hacker de cinema, mas a distância entre a política oficial e o comportamento real.
Empresas empilham camadas de controle: senhas impossíveis, autenticações em cascata, bloqueios que impedem o trabalho. E produzem o oposto do que pretendem. Quando o sistema oficial exige mais esforço do que o trabalho em si, as pessoas criam atalhos: WhatsApp para trocar arquivos, senhas no bloco de notas, e-mails pessoais para contornar o firewall. Nenhum relatório de compliance registra esses atalhos. Mas é por eles que trafega a informação real da empresa.
O Relatório de Investigações de Violações de Dados publicado pela Verizon em 2025 confirma: 60% das violações de dados envolvem erro humano. Não porque as pessoas são descuidadas, mas porque o sistema as leva ao descuido. Muralhas não funcionam quando a porta dos fundos está aberta por necessidade operacional. Na literatura de segurança, isso é chamado de risco comportamental, ou seja, quando a própria arquitetura de proteção induz o comportamento que deveria prevenir.
Esse risco escala com a complexidade da operação. No Espírito Santo, PMEs exportadoras de café e granito operam com câmbio, múltiplos fusos e pagamentos internacionais. Fraudes de business email compromise, nas quais criminosos se passam por fornecedores ou executivos para alterar dados bancários, já causaram mais de US$ 55 bilhões em perdas globais desde 2013, segundo o Internet Crime Complaint Center (IC3) do FBI. O criminoso não precisa invadir nenhum sistema. Precisa apenas de um e-mail convincente e de um operador financeiro sobrecarregado demais para desconfiar.
A maioria dos ataques explora pessoas. A maioria das defesas ainda tenta proteger máquinas. Enquanto essa assimetria persistir, cada nova camada de controle produzirá novos atalhos. A pergunta estratégica não é quanto a empresa gasta em segurança, mas quanto do seu investimento em segurança sobrevive ao dia a dia da operação.
