“Na banca e nas utilities estamos ao nível do melhor que se faz no mundo”

Num momento em que a cibersegurança deixou de ser um tema exclusivo das equipas técnicas para passar a ocupar espaço nas reuniões de administração, as empresas portuguesas enfrentam um novo nível de exigência. Ataques mais sofisticados, pressão regulatória crescente e uma escassez estrutural de talento obrigam os decisores a olhar para a segurança como parte integrante da estratégia de negócio.

É neste contexto que a Minsait reforça a sua presença no mercado nacional e prepara a participação no Portugal Digital Cyber eXperience, a 4 de março, onde estará em debate o momento decisivo que o setor atravessa.

À frente da área de cibersegurança em Portugal está António Ribeiro, Head of Cybersecurity da Minsait, com mais de duas décadas de experiência. Nesta conversa, fala sobre maturidade do mercado, pressão regulatória, indústria, talento e o desafio maior: transformar “bits e bytes” em linguagem de gestão.

Depois de mais de 20 anos no setor, o que o motivou a aceitar este desafio na Minsait?

Há dois fatores principais. Primeiro, a proximidade ao mercado. Muitas multinacionais têm o centro de decisão fora da Península Ibérica, o que dificulta a adaptação das soluções à realidade portuguesa. Na Minsait temos escala ibérica, mas com capacidade local de decisão e execução.

Depois, a combinação entre serviços e produto próprio. Não somos apenas integradores de soluções de terceiros. Desenvolvemos tecnologia própria e isso obriga-nos a estar permanentemente na linha da frente.

A sua formação cruza tecnologia e gestão. Isso faz diferença na abordagem aos clientes?

Faz toda a diferença. O grande desafio da cibersegurança não é técnico, é estratégico. É traduzir bits e bytes em euros.

O que interessa ao conselho de administração não é a firewall que foi instalada. É saber que risco foi mitigado, qual o impacto financeiro evitado e como é que isso protege o negócio. A tecnologia é um meio. O objetivo é reduzir risco e garantir continuidade operacional.

Quais são as prioridades estratégicas da Minsait em cibersegurança para Portugal?

O mercado de segurança está muito fragmentado. Não existe um único fornecedor líder em todas as áreas. O nosso papel é integrar essas várias peças e transformá-las numa estratégia coerente de gestão de risco.

Queremos ser uma referência na capacidade de combinar tecnologia, serviços geridos e visão estratégica. Temos cerca de dois mil profissionais dedicados à segurança no grupo, o que nos dá escala e capacidade de entrega.

O crescimento passa sobretudo por serviços geridos?

Claramente. Para a maioria das organizações, montar internamente uma operação de cibersegurança robusta é extremamente difícil. Não há recursos suficientes e os que existem são caros.

Com exceção de setores como banca ou utilities, que são altamente regulados, a maioria das empresas não consegue estruturar internamente esse modelo. A nossa proposta é simples: nós tratamos da segurança, os clientes focam-se no seu negócio.

Como avalia a maturidade das empresas portuguesas?

Depende muito do setor. Na banca e nas utilities estamos ao nível do melhor que se faz no mundo.

Nas PME, a realidade é diferente. Existe maior consciencialização do que há alguns anos, mas o investimento nem sempre acompanha essa consciência. A segurança continua a ser vista muitas vezes como custo e não como vantagem competitiva.

A indústria é um caso particular?

Sem dúvida. No lado OT, que controla a produção, existem sistemas antigos, dificuldade de atualização e pouca visibilidade sobre o que está ligado à rede.

Muitas vezes coloca-se uma firewall entre IT e OT e acredita-se que o problema está resolvido. Mas é no OT que entra o dinheiro. Se a produção parar uma semana, o impacto financeiro pode ser enorme.

Regulamentos como o NIS2 ou o DORA estão a mudar comportamentos?

Estão a aumentar a atenção, mas ainda são muitas vezes encarados como obrigação legal.

O NIS2 Directive, o DORA e o Regulamento Geral sobre a Proteção de Dados trouxeram foco, mas enquanto a segurança for vista apenas como cumprimento regulatório, o impacto será limitado.

A segurança tem de ser entendida como fator de confiança e reputação.

A escassez de talento continua a ser um problema estrutural?

Sim. É um tema recorrente há anos. Apostamos na requalificação de perfis e na formação interna, mas isso não chega.

Por isso estamos também a investir fortemente na automatização e no uso de inteligência artificial, sobretudo nas tarefas repetitivas de deteção e resposta a incidentes. Não conseguimos acompanhar o volume de ameaças apenas com pessoas.

A inteligência artificial é risco ou oportunidade?

É claramente uma oportunidade, mas exige governação.

Os clientes querem usar IA, mas não querem que informação sensível seja exposta inadvertidamente. O primeiro passo é definir regras claras de utilização e controlo.

O que vão apresentar no Portugal Digital Cyber eXperience?

Vamos apresentar a plataforma IndraMind.

O objetivo é correlacionar grandes volumes de eventos provenientes de diferentes fontes e extrair inteligência útil. Um evento isolado pode não significar nada, mas quando correlacionado pode revelar um padrão de ataque ou uma ameaça sistémica.

É uma abordagem pensada tanto para o contexto civil como militar, porque no ciberespaço essa fronteira é cada vez mais ténue. E há também uma dimensão estratégica: reforçar a autonomia tecnológica europeia na área da cibersegurança.

Quer deixar uma mensagem aos decisores portugueses?

A cibersegurança não é apenas um custo. É um elemento de resiliência e pode ser uma vantagem competitiva.

Num mercado cada vez mais exposto e regulado, quem conseguir demonstrar capacidade de prevenir, responder e recuperar de incidentes estará um passo à frente.