Nenhuma empresa está imune a disrupções. Toda ela pode experimentar eventos que causam paradas, vazamentos e perdas financeiras, especialmente se considerarmos os últimos dois anos. Mas por que algumas empresas têm, apesar disso, mais capacidade de recuperação do que outras? Elas são maduras no que se chama resiliência cibernética.
O conceito de resiliência cibernética foi consolidado em 2024, no white paper Unpacking Cyber Resilience, publicado em 2024 pelo WEF em parceria com a Universidade de Oxford. Ele define cyber resilience como:
A capacidade da organização de minimizar o impacto de incidentes cibernéticos significativos sobre suas metas e objetivos primários. Isso envolve proteger não só a infraestrutura tecnológica, mas também receita, reputação, serviços essenciais e a confiança de clientes e stakeholders.
Em 2025, o WEF aprofundou essa visão no Cyber Resilience Compass – Journeys Towards Resilience.
O mais interessante é que esse documento sistematizou a resiliência em sete domínios práticos, não do nada, mas de práticas que organizações maduras já estão fazendo em cada domínio.
Neste artigo, vou compartilhar mais de cada um deles abaixo.
7 domínios da resiliência cibernética do WEF e como trabalhá-los
A ideia do WEF é forncedor um mapa que as empresas podem usar para:
- diagnosticar em quais domínios estão mais frágeis;
- priorizar investimentos e iniciativas que trazem impacto real na resiliência;
- aprender com erros e acertos de pares, evitando começar do zero;
- alinhar liderança, negócio e tecnologia em torno de uma narrativa comum de resiliência.
1. Liderança
Trata de como as lideranças, não apenas o CISO, definem objetivos, tomam decisões e direcionam esforços em cyber resilience de maneira coordenada com outras prioridades estratégicas.
O WEF destaca que líderes avançados:
- Identificam joias da coroa: mapeiam ativos, processos e produtos valiosos, quantificando riscos.
- Definem e assumem o apetite de risco: validam qual nível de risco é aceitável para equilibrar crescimento com estabilidade operacional, e comunicam esses parâmetros para orientar decisões de negócio e de tecnologia.
- Tornam resiliência um valor organizacional: reforçam continuamente a importância da resiliência cibernética, conectando o tema a resultados e comportamento esperado de todos, não só da TI.
- Engajam ativamente com o CISO: participam de tabletop exercises e colocam o tema em discussões estratégicas e orçamentárias, permitindo decisões informadas sobre onde investir.
2. Governança, risco e compliance
O GRC cobre a forma como a organização estrutura responsabilidade, apetite a risco e conformidade para lidar com risco cibernético como risco de negócio, não apenas risco técnico.
Práticas de linha de frente
- Perfis de risco distribuídos: donos de risco nas áreas (não só TI) constroem perfis de risco cibernético para seus escopos, identificando vulnerabilidades, impactos e controles.
- Cadeias claras de responsabilidade: a alta liderança estabelece estruturas de ownership e cadeia de comando para decisões em crises, com papéis e responsabilidades bem definidos e revisados periodicamente.
- Monitoramento regulatório ativo: jurídico, compliance e segurança acompanham mudanças em normas e regulamentos para adequar-se antes de penalizações.
- Uso estratégico de cyber insurance: CISOs e área de receita/finanças tratam seguro cibernético como ferramenta de gestão de risco financeiro, não substituto de controles, ajustando coberturas e requisitos de acordo com apetite de risco.
3. Pessoas e cultura
Abrange como a organização atrai, desenvolve e retém talentos, cria consciência e constrói uma cultura em que as pessoas se sintam responsáveis e seguras para falar sobre erros e incidentes.
Práticas de linha de frente
- Estratégias robustas de talento: CIOs/CISOs e RH planejam aquisição, formação e retenção de talentos com base em competências necessárias, incluindo parcerias com universidades, bootcamps e programas de mentoria.
- Treinamento contextualizado: times de segurança desenham trilhas de treinamento adaptadas a funções e áreas, conectando ameaças e riscos à realidade de cada unidade, não só campanhas gerais de boas práticas.
- Cultura de segurança psicológica: líderes e CISOs incentivam a comunicação aberta, o reporte precoce de erros/incidentes e evitam a cultura de punição, para que problemas apareçam antes de virarem crises.
- Linguagem comum de risco: criação de taxonomia simples e comum de cyber e risco, usada em treinamentos, processos de risco e comunicação, para reduzir atrito entre áreas técnicas e de negócio.
4. Processos de negócio
Este domínio trata do desenho e adaptações pelas quais processos críticos devem passar para que permaneçam operacionais mesmo sob incidentes severos.
Práticas de linha de frente
- Priorização e tierização de serviços: liderança identifica e classifica serviços de negócio mais críticos, revisando essa priorização periodicamente em função de mudanças estratégicas.
- Design para suportar o pior cenário: processos são construídos com a suposição de que falhas ocorrerão, incluindo redundâncias, separação de funções e caminhos alternativos de operação em modo degradado.
- Governança de dados orientada a impacto: DPOs, CISOs e donos de processo revisam práticas de coleta, retenção e acesso a dados para reduzir o volume de informação em risco e limitar impacto em caso de vazamento ou corrupção.
- Revisão contínua de processos: processos são ajustados com base em incidentes passados, mudanças regulatórias, evolução da infraestrutura digital e novas dependências de cadeia de suprimentos.
Os especialistas reconhecem que esse nível de robustez tem custo e deve ser calibrado ao contexto (regulação, criticidade, apetite de risco). Mas deve haver clareza sobre isso.
5. Sistemas técnicos
Aborda como a organização projeta, implementa e opera TI, OT, cloud e ferramentas de segurança, com foco em prevenir, detectar e limitar impactos.
Práticas de linha de frente
- Alinhamento TI–negócio: CISOs trabalham para que equipes técnicas entendam claramente quais serviços e ativos são mais críticos para o negócio, priorizando a proteção deles.
- Uso intensivo de dados: times técnicos usam dados (telemetria, analytics, IA) para detectar anomalias cedo, investigar com mais precisão e evitar que problemas pequenos escalem para eventos sistêmicos.
- Controles e contingências técnicos básicos bem implementados: segmentação e segregação de redes, MFA, backups seguros/imutáveis, gestão de logs, threat intelligence e higiene cibernética consistente são reforçados como base.
- Avaliação de ferramentas por resultados, não por moda: CISOs e times avaliam se ferramentas realmente entregam os resultados desejados e revisitam o stack periodicamente.
6. Gestão de crises
Cobre tudo que a organização usa para responder e se recuperar de incidentes e crises, incluindo times, planos, infraestrutura alternativa e comunicação.
Práticas de linha de frente
- Times de crise multidisciplinares e treinados: CISOs e a alta liderança formam equipes de resposta que incluem executivos e especialistas (TI, operações, jurídico, PR, etc.) e treinam esses times com exercícios regulares.
- Planos vivos de continuidade, recuperação e resposta: donos de processo mantêm planos atualizados, testados e ajustados ao contexto, com processos consistentes e padrões compartilhados entre unidades.
- Protocolos de decisão claros: liderança define como decisões são escaladas, quais ações podem ser tomadas automaticamente quando certos limiares de risco são atingidos e como empoderar times locais para agir rápido.
- Infraestrutura preparada para incidentes graves: criação de vaults para dados críticos, redes verdes de recuperação, canais de comunicação alternativos out-of-band e outros mecanismos para operar mesmo sem parte da TI principal.
- Estratégias de comunicação externa: PR, jurídico e CISO planejam com antecedência narrativas, stakeholders-chave e frameworks de mensagem para responder rapidamente a incidentes e combater desinformação.
7. Engajamento do ecossistema
Trata de como a organização se relaciona com seu ecossistema, o que envolve cadeia de suprimentos, clientes, concorrentes, reguladores, CERTs e ISACs, para fortalecer a resiliência cibernética a nível coletivo, não só individual.
O WEF enfatiza que, embora cada organização possa avançar individualmente, a resiliência cibernética depende de ações colaborativas.
Práticas de linha de frente
- Mapeamento de dependências e pontos únicos de falha: CISOs e áreas de negócio mapeiam dependências upstream e downstream, entendendo que um mesmo fornecedor pode ocupar múltiplos papéis e ser fonte de risco sistêmico.
- Avaliação e mitigação conjunta de risco de terceiros: uso de metodologias consistentes de avaliação de postura de segurança de terceiros, contratos com requisitos claros e colaboração ativa para elevar a capacidade de resposta dos parceiros.
- Playbooks que ultrapassam o limite da empresa: desenvolvimento de playbooks de resposta que envolvem fornecedores e parceiros, com exercícios conjuntos e canais de contato pré-estabelecidos antes de uma crise.
- Participação em redes de compartilhamento de informação: engajamento em ISACs, CERTs e fóruns setoriais para trocar inteligência de ameaças, vulnerabilidades e práticas, reduzindo risco sistêmico.
- Diálogo com reguladores: CISOs e jurídico acompanham e influenciam discussões regulatórias e de política pública, buscando coerência entre jurisdições e incentivos reais à resiliência.
Ambiente cibernético resiliente, negócios resilientes
Risco cibernético é risco de negócio. E as empresas mais resilientes a nível cibernético vão ter mais confiança, mais sustentabilidade e, acima de tudo, aptidão para o crescimento.
A resiliência cibernética, no entanto, é uma jornada que requer a atuação em inúmeras frentes: CISO, lideranças, colaboradores, terceiros e reguladores.
Conte com a experiência de quem já atua nesse patamar. Fale conosco!
