João Miguel MesquitaO setor da cibersegurança vive um dos momentos mais exigentes de que há memória. Entre a pressão regulatória da NIS2, o impacto crescente dos ataques de ransomware e o uso de inteligência artificial por parte dos atacantes, as empresas portuguesas enfrentam um cenário mais complexo e menos tolerante ao erro.
Para perceber como o mercado está a reagir, falámos com Artur Martins, CISO da Logicalis Portugal, que estará presente no evento Portugal Digital Cyber eXperience, a 4 de março, onde se discutirá o momento decisivo que a cibersegurança atravessa.
Como caracteriza o atual panorama da cibersegurança em Portugal?
A cibersegurança é hoje um tema muito mais amplo do que era há cinco ou dez anos. Temos várias frentes em simultâneo.
Neste momento, o grande driver é claramente a diretiva NIS2. Está no dia a dia das médias e grandes empresas. A componente de compliance, ou seja, de conformidade regulamentar, ganhou um peso enorme.
Já vínhamos do RGPD e do Decreto-Lei 65, mas a NIS2 obriga a cobrir ainda mais terreno. E isso acontece num mercado onde é difícil recrutar talento especializado. Resultado: as empresas recorrem cada vez mais a serviços geridos e a SOC (Security Operations Center), que são centros de monitorização e resposta a incidentes 24 horas por dia.
Durante anos disse-se que a cibersegurança era vista como um custo. Hoje já não é bem assim. Com ataques mediáticos em Portugal, redes de telecomunicações desligadas, canais de televisão afetados, ransomware a parar operações inteiras, as empresas perceberam que é uma questão de tempo até serem alvo.
E há outro fator: as coimas. A obrigatoriedade de análises de risco, testes de intrusão, serviços de resposta 24/7. A cibersegurança passou a ser quase como o seguro automóvel. Pode parecer um custo recorrente, mas quando é preciso, faz toda a diferença.
Os clientes procuram-vos mais por medo ou por estratégia?
Hoje há uma consciência clara da necessidade.
Os clientes sentem que têm de fazer mais do que aquilo que já fazem. Querem soluções robustas e resilientes, sobretudo quando desenham novas infraestruturas ou novos serviços digitais.
Depois há a questão da conformidade, naturalmente. Mas há também curiosidade técnica. Empresas mais maduras pedem testes de intrusão para perceber quão fácil seria comprometer os seus sistemas. Já não é apenas reação. É prevenção.
A inteligência artificial está a mudar o jogo?
Está, mas ainda vivemos uma fase de hype. A IA está em todo o lado, do ChatGPT à geração de imagens.
O que vemos é que as empresas procuram defender-se de IA com IA. Querem soluções “powered by AI” que melhorem a taxa de deteção e prevenção.
Os atacantes usam inteligência artificial para criar campanhas mais sofisticadas, phishing mais convincente, malware mais adaptável. Do lado da defesa, a IA ajuda a correlacionar eventos, identificar padrões e reduzir falsos positivos.
Mas não há uma fórmula única. Depende muito do setor e da maturidade da organização. Um operador de energia, com infraestruturas OT (Operational Technology, como sensores industriais), tem necessidades diferentes de uma PME com um parque tecnológico mais simples.
Há setores mais preocupados do que outros?
Neste momento, não vejo uma tendência muito marcada.
Durante anos, banca e seguros lideraram a maturidade em segurança. Hoje a preocupação está mais distribuída. As exigências regulatórias e a pressão da cadeia de fornecimento nivelaram o tema por cima.
A migração para a cloud aumentou o risco?
Numa primeira fase, até aumentou a segurança. Muitos fornecedores cloud têm níveis de proteção superiores aos data centers tradicionais.
O problema veio depois, com a complexidade. Cloud é um ecossistema diferente. Não é o modelo clássico de IT onde se vai ao bastidor mexer no servidor. Exige competências específicas.
Muitas empresas migraram sem ter equipas preparadas ou parceiros especializados. Colocaram serviços online com configurações básicas. Mais tarde perceberam que havia falhas, má configuração ou exposição desnecessária.
Hoje há uma procura muito forte por cloud security. É uma segunda vaga de maturidade.
E o modelo Zero Trust já é uma realidade?
O conceito de Zero Trust, que parte do princípio de que nada deve ser confiado automaticamente dentro ou fora da rede, já existe há muito tempo.
Não foi uma mudança binária. Foi sendo integrado gradualmente nas arquiteturas. Hoje é uma boa prática consolidada. Não é moda. É evolução natural.
Quais são os erros mais comuns ao desenhar a arquitetura de segurança?
O principal erro é envolver a segurança demasiado tarde.
Muitas vezes há uma boa ideia, define-se o time-to-market, define-se o orçamento. Só depois se chama a equipa de segurança. Quando isso acontece, surgem problemas: falta fazer testes de intrusão, é preciso redesenhar componentes, aumentar investimento.
Isto cria tensão interna. A aplicação tem de entrar em produção para a semana, mas ainda não foi testada. Quando é testada, surgem recomendações que implicam voltar atrás.
O conceito de Security by Design existe há anos. Incluir segurança desde o início evita custos e atrasos mais tarde. Ainda é um erro comum no mercado português, mas está a melhorar.
A NIS2 está a mudar mentalidades ou apenas a aumentar burocracia?
Está a mudar mentalidades. Sem dúvida.
Há sempre medo quando entram coimas. Aconteceu com o RGPD, acontece agora com a NIS2. Mas desta vez há um fator adicional: a responsabilização da gestão de topo.
Isso trouxe o tema para a administração.
As empresas começam a perceber que não podem tratar cada regulamento de forma isolada. Precisam de departamentos de compliance estruturados, com centralização de informação. A NIS2 também exige auditoria da cadeia de fornecimento, o que aumenta a pressão transversal.
É burocrático? É. Mas está a elevar o nível de maturidade.
Quando termina o compliance e começa a verdadeira resiliência digital?
Compliance define requisitos. Identifica controlos.
Depois as equipas técnicas implementam esses controlos. Mas não basta aplicar. É preciso testar periodicamente, medir, reportar e otimizar.
Resiliência digital é isso: capacidade de resistir, responder e recuperar. Compliance é o ponto de partida. Não é o fim.
A falta de talento continua a ser um problema crítico?
É um problema global. O chamado skill gap é real.
Há demasiadas tecnologias, demasiadas obrigações regulamentares e uma exigência de monitorização 24×7. Muitas organizações não conseguem, sozinhas, montar equipas com todas as competências necessárias.
O modelo de serviços geridos faz sentido porque ganha escala. Um SOC multi-tenant permite partilhar recursos especializados por vários clientes. Para o cliente, significa acesso a competências que dificilmente conseguiria contratar internamente.
Naturalmente, há a preocupação com a segregação de dados e conflitos de interesse. Isso exige transparência e controlos claros por parte do fornecedor. Mas é um risco gerível.
A presença da Logicalis Portugal no Portugal Digital Cyber eXperience, a 4 de março, surge num momento em que a cibersegurança deixou definitivamente de ser um tema técnico para passar a ser uma questão estratégica de negócio.
Para os decisores de TI e responsáveis de compras tecnológicas, a pergunta já não é se serão alvo de um ataque, mas quando — e quão preparados estarão para lhe responder.
