‹ Voltar

Quando a cibersegurança deixa de ser um tema de TI e passa a ser um problema de gestão pública

 

 

 

Não quero ser o cavaleiroo do apocalipse, mas ...talvez esteja na hora de falarmos seriamente sobre segurança.

E não estou falando apenas de segurança pública, nem apenas de segurança da informação. Estou falando também de segurança do cidadão e, no caso da Saúde, de segurança do paciente.

Porque quando um ataque cibernético atinge uma prefeitura, o problema raramente termina na área de tecnologia. Ele chega ao financeiro, "passeia" pela operação, visita outros setores e serviços públicos e, por fim, alcança o cidadão, podendo resultar em golpes ou impactar diretamente sua vida por meio do atendimento em Saúde.

Uma busca simples nas notícias das últimas semanas revela um cenário que merece atenção.

1) A Secretaria de Estado de Saúde de Mato Grosso (SES-MT) teve cerca de 200 terabytes de arquivos comprometidos em um ataque cibernético. Segundo informações divulgadas pela imprensa, os criminosos exigiram US$ 500 mil em bitcoins e alegaram que a divulgação dos dados poderia gerar prejuízos milionários.

A pergunta que fica não é se pagou ou não pagou. A reflexão mais importante é:

Quanto custa não ter uma estratégia de backup, recuperação e continuidade de negócios adequadamente estruturada, testada e executada?

2) Em Bariri, um ataque resultou na perda de aproximadamente R$ 135 mil das contas da prefeitura.

3) Em Contagem, serviços municipais permaneceram indisponíveis por quase uma semana após um incidente cibernético, afetando diretamente a prestação de serviços à população.

4) Em Caçu, criminosos desviaram mais de R$ 3 milhões após comprometerem contas ligadas à administração municipal.

5) Em Jaraguá do Sul, a tentativa de fraude alcançou cerca de R$ 40 milhões. Graças à atuação rápida das equipes responsáveis, cerca de 70% desse valor foi bloqueado antes da efetivação do prejuízo.

Sob outra perspectiva, isso significa que uma resposta rápida a incidentes pode representar a diferença entre perder milhões ou preservar recursos públicos essenciais.

E aqui está o ponto mais importante: esses casos não falam apenas sobre tecnologia. Eles falam sobre governança, controles, processos, monitoramento, validação, planos de contingência, análise e tratamento de riscos.

Enquanto isso, muitas vezes nos deparamos com alguns contrastes: de um lado, grandes eventos de inovação e iniciativas que projetam um futuro de cidades inteligentes e hospitais inteligentes.

Do outro, vulnerabilidades básicas que permanecem sem tratamento adequado.

O Flipper Zero foi proibido, mas basta conversar com especialistas para entender que existem diversas outras ferramentas capazes de produzir resultados semelhantes. E issonão é um risco às propostas "smart" ?

O que faltou?

Uma análise mais profunda, acompanhada de gestão, tratamento e monitoramento contínuo dos riscos.

Toda nova tecnologia traz novas oportunidades, mas também novas preocupações.

Estamos vivenciando, em uma velocidade cada vez maior, aquilo que há poucos anos chamávamos de mundo VUCA e de organizações bimodais. Adaptar-se deixou de ser diferencial e passou a ser uma necessidade.

Privacidade, cibersegurança e governança não são mais um desejo e tampouco podem ser encaradas como metas de longo prazo.

Precisam fazer parte do presente, da transformação e das decisões tomadas hoje.

Mais do que custo, devem ser vistas como investimento para construir soluções robustas, resilientes e capazes de gerar valor para toda a população.

E isso se torna ainda mais necessário antes de avançarmos em iniciativas de integração e interoperabilidade entre órgãos, organizações, setores públicos e privados.

A boa notícia é que não precisamos começar do zero.

Existem referências consolidadas para apoiar essa jornada, como a ISO 27001 para gestão da segurança da informação, a ISO 27701 para privacidade, a ISO 27799 voltada especificamente para ambientes de Saúde, a ISO 27005 para gestão de riscos, a família ISO 38500 para governança de tecnologia e a série ISO 20000 para gestão de serviços, entre inúmeras outras.

Recursos existem, boas práticas também e ferramentas estão amplamente disponíveis no mercado.

O verdadeiro desafio está em compreender os riscos, desenvolver maturidade e transformar segurança em cultura organizacional.

Porque, no final, talvez o maior risco cibernético da sua organização não seja a próxima ameaça externa, mas a falsa sensação de que esse problema ainda pertence apenas à área de TI.