Artigo

Ana Raquel Aires Montenegro; Elizeu Bandeira De Lima

DOI: 10.22167/2675-6528-202601603

Artigo derivado de Trabalho de Conclusão de Curso (TCC), com conteúdo baseado no trabalho original do aluno e adaptado ao formato editorial da Revista E&S com apoio da ferramenta ResumeAI, solução de inteligência artificial desenvolvida pelo Instituto Pecege para síntese e organização textual.

Resumo

A crescente digitalização dos processos organizacionais ampliou a exposição a riscos cibernéticos, tornando a segurança da informação um componente estratégico. Este estudo teve como objetivo avaliar como a ausência de uma governança integrada em segurança da informação compromete a gestão de riscos cibernéticos. Para isso, aplicou-se um questionário online semiestruturado a 107 especialistas, e os dados foram submetidos a análises descritiva e de conteúdo. Os resultados revelaram que a fragmentação da governança se manifestou principalmente pela falta de clareza de papéis e responsabilidades, duplicidade de controles e aplicação desigual de políticas. Na gestão de riscos, identificaram-se entraves como a priorização divergente entre áreas, a dificuldade em consolidar uma visão única e lacunas na cobertura de ameaças, além de planos de ação inconsistentes e respostas a incidentes lentas. Os impactos mais citados incluíram incidentes de segurança e vazamentos de dados, interrupções de serviços essenciais e aumento dos custos de segurança. Concluiu-se que a governança integrada é crucial para mitigar esses problemas, recomendando-se a formalização de responsabilidades, a padronização de políticas e processos, o fortalecimento do patrocínio da alta direção e a adoção de uma plataforma integrada de gestão de riscos, controles e incidentes, alinhada a frameworks reconhecidos.

Palavras-chave: Conformidade; Controles de segurança; Gestão de riscos; Governança de TI; Resiliência cibernética.

1. Introdução

A crescente digitalização dos processos organizacionais, impulsionada pela adoção de novas tecnologias e pela interconexão global, tem ampliado significativamente a superfície de exposição a riscos cibernéticos. Neste cenário em constante evolução, a segurança da informação transcende o aspecto técnico e se estabelece como um componente estratégico fundamental para a sustentabilidade e a resiliência institucional. Nesse contexto, a governança de segurança da informação emerge como um mecanismo essencial para garantir que os controles de proteção estejam alinhados aos objetivos organizacionais, promovendo uma gestão eficaz dos riscos associados ao ambiente digital (Hintzbergen, 2022).

Entretanto, observa-se que muitas organizações, tanto públicas quanto privadas, enfrentam desafios estruturais complexos na implementação de uma governança integrada de segurança da informação. A ausência de uma estrutura unificada e coesa frequentemente resulta na fragmentação e sobreposição de controles de segurança. Tal desarticulação compromete a eficácia das medidas adotadas, gera redundâncias operacionais desnecessárias e dificulta a identificação e mitigação proativa de vulnerabilidades (Oliveira, 2023; Reis, 2024). Essa desorganização não apenas eleva os custos operacionais, mas também expõe as instituições a riscos cibernéticos mais complexos e persistentes, com potenciais impactos severos.

Segundo estudo de Oliveira (2023), a governança de segurança da informação deve ser compreendida como um conjunto de práticas, políticas e estruturas que orientam e monitoram a gestão da segurança, promovendo coerência e alinhamento entre os diversos setores da organização. A falta dessa coerência e integração, como demonstrado por Martins (2022), pode levar à adoção de controles duplicados, incompatíveis ou desatualizados. Isso, por sua vez, dificulta a resposta eficiente a incidentes de segurança e compromete a resiliência organizacional como um todo.

Além disso, a literatura especializada aponta que frameworks reconhecidos internacionalmente, como ISO/IEC 27001, NIST Cybersecurity Framework e COBIT, embora ofereçam diretrizes robustas para a construção de uma governança eficaz, podem ter sua aplicação comprometida. Sua implementação fragmentada ou parcial pode gerar lacunas significativas na proteção da informação e na gestão dos riscos (Quincozes, 2023). O mapeamento sistemático realizado por autores como Oliveira e Silva (2022) evidencia que a maturidade da governança em segurança da informação ainda é incipiente em diversas instituições brasileiras, especialmente no setor público, onde a complexidade regulatória e a multiplicidade de atores podem agravar a desarticulação.

Diante desse cenário complexo, a presente pesquisa se propõe a investigar a problemática central de como a fragmentação e a sobreposição de controles de segurança, diretamente decorrentes da ausência de uma governança integrada, afetam a capacidade das organizações de identificar, mitigar e responder aos riscos cibernéticos de forma eficiente. A relevância do estudo reside na necessidade premente de compreender os impactos multifacetados dessa desarticulação sobre a eficácia da proteção organizacional. Ao aprofundar essa compreensão, a pesquisa contribui significativamente para o aprimoramento das práticas de gestão de risco e para a consolidação de modelos de governança mais coesos, eficientes e resilientes, essenciais para o ambiente digital contemporâneo.

Assim, este estudo tem como objetivo investigar como a fragmentação e a sobreposição de controles de segurança, decorrentes da ausência de uma governança integrada, afetam a capacidade das organizações de identificar, mitigar e responder aos riscos cibernéticos de forma eficiente.

2. Material e Métodos

A pesquisa foi delineada como um estudo de natureza aplicada, adotando abordagem qualitativa e exploratória-descritiva para investigar a problemática central. O delineamento metodológico consistiu em um Estudo Exploratório de Percepção de Especialistas, empregando um questionário semiestruturado. Este desenho, caracterizado como survey qualitativo com suporte de estatística descritiva, permitiu aprofundar a compreensão sobre os impactos da ausência de governança integrada na gestão de riscos cibernéticos, conforme o objetivo proposto.

O objeto de estudo concentrou-se na percepção e experiência de profissionais especializados em segurança da informação e gestão de riscos cibernéticos. Atuantes em organizações públicas e privadas, a pesquisa buscou compreender os impactos da ausência de governança integrada na gestão de riscos. O foco recaiu sobre as consequências da fragmentação e sobreposição de controles de segurança, analisando sua influência na capacidade organizacional de identificar, analisar, avaliar, tratar e monitorar riscos. A coleta de dados ocorreu entre 05 e 20 de março de 2026.

A população de interesse foi composta por especialistas em segurança da informação e gestão de riscos cibernéticos. Para a seleção dos participantes, empregou-se a técnica de amostragem por Bola de Neve (Snowball Sampling), um método não probabilístico adequado para acessar populações de difícil alcance ou com características específicas. Os participantes iniciais foram contatados por meio da rede do pesquisador e indicaram outros profissionais com o perfil desejado. O tamanho final da amostra, que totalizou 107 respondentes válidos, foi determinado pelo critério de saturação teórica, buscando a recorrência e convergência das percepções.

O instrumento de coleta de dados consistiu em um questionário online semiestruturado, autoaplicável e anônimo, desenvolvido e disponibilizado em plataforma digital. Este questionário combinou questões fechadas, de múltipla escolha, para padronização das respostas e identificação de tendências e padrões. Incluiu também questões abertas, de natureza dissertativa, que permitiram o aprofundamento das experiências e percepções dos especialistas, possibilitando a coleta de dados qualitativos ricos para análise.

Os procedimentos de coleta de dados foram iniciados com a aplicação do questionário online. Antes de responder, cada participante foi submetido a um Termo de Consentimento Livre e Esclarecido (TCLE), que detalhava os objetivos do estudo, assegurava o anonimato absoluto e informava sobre o tratamento dos dados em conformidade com a Lei Geral de Proteção de Dados (LGPD). A estrutura do instrumento de pesquisa, que guiou a coleta, é visualmente sintetizada na Figura 1.

Figura 1. Estrutura do Instrumento de Pesquisa

Fonte: Questionário Online utilizado para coletar dados da pesquisa

A Figura 1 ilustra a organização temática do questionário, abrangendo desde informações demográficas até questões sobre manifestações da ausência de governança, dificuldades na gestão de riscos, impactos críticos, elementos essenciais e benefícios esperados. Essa estrutura garantiu a abrangência necessária para abordar os múltiplos aspectos da governança de segurança da informação e seus efeitos na gestão de riscos cibernéticos, orientando a coleta de dados de forma sistemática.

Após a coleta, os dados foram submetidos a duas abordagens de análise complementares. A Análise Quantitativa Básica foi aplicada às respostas de múltipla escolha, tabuladas e analisadas por estatística descritiva (frequências e percentuais), para identificar tendências e prevalência das percepções. A Análise de Conteúdo Qualitativa, conforme Bardin (2011), foi utilizada para as questões dissertativas, envolvendo pré-análise, exploração do material (codificação, classificação, categorização e criação de categorias temáticas emergentes) e tratamento dos resultados, com inferência e interpretação crítica. A integração analítica entre as abordagens conferiu maior validade e profundidade.

O estudo foi conduzido com rigorosos preceitos éticos, garantindo o anonimato absoluto dos participantes e das organizações. Todos os especialistas foram informados sobre os objetivos da pesquisa, a natureza voluntária da participação e a confidencialidade dos dados, fornecendo consentimento explícito. A dispensa de submissão ao Comitê de Ética em Pesquisa (CEP) foi confirmada pelo Formulário de Direcionamento Ético (FDE). Limitações incluem a predominância de respondentes brasileiros e do setor público (82,5%), o viés de autorrelato e o corte temporal da coleta de dados em março de 2026.

3. Resultados e Discussão

Os resultados da pesquisa exploratória, realizada com especialistas em Segurança da Informação, Governança de TI e Gestão de Riscos Cibernéticos, confirmaram a hipótese central do estudo. A ausência de uma governança integrada em segurança da informação fragmenta a gestão de riscos cibernéticos, resultando em impactos operacionais, financeiros e reputacionais significativos. A coleta de dados foi realizada por meio de um questionário online autoaplicável, distribuído entre 5 e 20 de março de 2026, com uma base limpa de 107 respondentes válidos, garantindo rigor ético e metodológico. O instrumento de pesquisa obteve uma média de 4,51 em uma escala de 1 a 5, indicando alta aceitabilidade e engajamento dos participantes.

O perfil dos respondentes revelou uma predominância de profissionais diretamente envolvidos com o tema central da pesquisa. A maioria atuava em Segurança da Informação (62,7%), com participação complementar de Governança de TI (10,8%) e áreas correlatas como Gestão de Riscos, Auditoria e Compliance/Projetos/Perícia (26,5%). Essa composição permitiu capturar percepções abrangentes, tanto da operação de controles quanto das funções de coordenação e conformidade, contribuindo para a robustez das evidências levantadas no estudo.

Em relação à experiência profissional, observou-se uma distribuição heterogênea, com uma concentração significativa de profissionais com mais de dez anos de atuação (50,5%). Especificamente, 19,6% possuíam entre 11 e 15 anos de experiência, e 17,5% tinham mais de 15 anos. Os participantes com até dez anos de experiência somavam 49,4%, sendo 27,8% com menos de três anos, 21,6% com três a cinco anos e 13,4% com seis a dez anos. Essa diversidade de senioridade enriqueceu as percepções, combinando visões de profissionais em diferentes estágios de carreira, incluindo aqueles mais expostos a falhas de coordenação e efeitos sistêmicos em incidentes.

A análise do tipo de organização dos respondentes indicou uma forte concentração no setor público (82,5%), com menor participação do setor privado (11,3%) e de profissionais com atuação em ambos (6,2%). Essa distribuição sugere que os resultados refletem, em grande medida, a realidade das organizações públicas, onde a governança é frequentemente influenciada por normativos complexos, estruturas formais e múltiplos atores institucionais. Embora os achados sejam relevantes para desafios de coordenação e padronização, a generalização para contextos predominantemente privados deve ser feita com cautela. Análise Descritiva das Questões Fechadas

A análise descritiva das questões fechadas do questionário revelou padrões de recorrência em diversas dimensões da governança de segurança da informação. O instrumento foi estruturado em blocos temáticos que abordavam manifestações da ausência de governança unificada, dificuldades na identificação e priorização de riscos, efeitos no tratamento e monitoramento, impactos operacionais, financeiros e reputacionais, além de elementos essenciais e benefícios associados à governança integrada. Essa organização permitiu uma discussão focada nos achados mais prevalentes e relevantes para o objetivo da pesquisa. Manifestações da Ausência de Governança Unificada

A ausência de governança unificada manifestou-se principalmente pela falta de clareza sobre papéis e responsabilidades, apontada por 20,3% dos respondentes. Esse achado corrobora a literatura que descreve a governança de segurança como um conjunto de práticas e estruturas que orientam a gestão, e sua ausência gera desarticulação entre setores (Oliveira, 2023). A duplicidade de esforços ou controles redundantes foi mencionada por 16,1% dos participantes, indicando que, sem um modelo integrado, diferentes áreas implementam controles paralelos, consumindo recursos que poderiam ser direcionados a lacunas reais de cobertura, conforme Martins (2022).

Outras manifestações significativas incluíram políticas de segurança aplicadas de forma desigual (12,1%), silos de informação e baixa coordenação entre equipes (11,9%), e burocracia excessiva para aprovação de ações (8,5%). A predominância da falta de clareza sobre papéis e responsabilidades sugere que a fragmentação da governança afeta o mecanismo central de coordenação, gerando decisões não rastreáveis e execução inconsistente de controles. Essa condição compromete todo o ciclo de gestão de riscos cibernéticos, desde a identificação até o monitoramento, e alinha-se com as exigências da ISO/IEC 27001:2022 e do NIST CSF 2.0 na função Govern, que enfatizam a definição clara de responsabilidades. Dificuldades na Identificação, Análise e Priorização de Riscos

As dificuldades na gestão de riscos cibernéticos, decorrentes da governança fragmentada, foram evidentes nas etapas iniciais do processo. A priorização divergente entre áreas foi citada por 17% dos respondentes, enquanto a dificuldade em formar uma visão única dos riscos foi mencionada por 16%. Esses dados indicam que o problema não reside na ausência de riscos percebidos, mas na incapacidade de hierarquizá-los e tratá-los de forma consistente entre as diferentes unidades organizacionais. Lacunas na cobertura de ameaças (14%), falta de métricas ou critérios comuns de avaliação (12%) e identificação tardia de vulnerabilidades (10%) também foram apontadas como entraves.

A priorização divergente e a dificuldade em consolidar uma visão única dos riscos demonstram que, sem uma governança integrada, cada unidade opera com critérios próprios de severidade e urgência, resultando em um portfólio de riscos incoerente. Isso dificulta decisões corporativas sobre quais riscos devem ser aceitos, mitigados ou transferidos, como destacado por Quincozes (2023) ao mencionar a falta de apetite de risco corporativo compartilhado. A fragmentação impede que a organização funcione como um sistema único de gestão de riscos, aumentando a probabilidade de decisões subótimas e atrasos na mitigação, o que é consistente com a ISO/IEC 27005:2022 e a ISO 31000:2018. Efeitos no Tratamento e Monitoramento de Riscos

No tratamento e monitoramento de riscos, a fragmentação da governança se traduziu em falhas de execução e coordenação. Planos de ação inconsistentes ou sem acompanhamento central foram apontados por 17% dos especialistas, e respostas a incidentes lentas ou descoordenadas também foram citadas por 17%. Esses resultados indicam que a ausência de governança integrada não apenas dificulta a identificação do risco, mas também a execução eficaz de seu tratamento. A dificuldade em atribuir responsáveis pelas remediações (15%) reforça uma lacuna de accountability, onde a falta de clareza de papéis e autoridade decisória prolonga a janela de exposição a incidentes.

A baixa correlação entre alertas e eventos de segurança (10%) e a implementação de soluções duplicadas ou desalinhadas (10%) complementam o cenário de ineficácia. Sem um centro de responsabilização e acompanhamento, o tratamento se fragmenta em iniciativas locais sem prioridade corporativa, com baixa rastreabilidade de status e resultados. Do ponto de vista prático, essa desarticulação tende a elevar o impacto e a duração dos incidentes, aumentando custos e riscos de não conformidade. Os achados dialogam com a função Respond do NIST CSF e com a abordagem PDCA da ISO/IEC 27001, que pressupõe monitoramento e ações corretivas centralmente verificáveis. Impactos Críticos Observados

Os especialistas associaram a fragmentação da governança a impactos de alta materialidade, convertendo a falha de coordenação em segurança da informação em risco operacional, reputacional e financeiro. Incidentes significativos ou vazamento de dados foram o impacto mais citado (18%), seguido pela interrupção de serviços essenciais (17%) e aumento dos custos de segurança (15%). A concentração dessas respostas evidencia que a governança fragmentada atua como um amplificador sistêmico de risco, reduzindo a capacidade organizacional de prevenir, detectar e responder de modo coordenado a eventos cibernéticos.

A organização não falha apenas em um controle específico, mas em orquestrar controles e decisões ao longo do tempo, o que aumenta a probabilidade e a severidade dos eventos. O aumento dos custos de segurança (15%) sugere que parte do gasto está capturada por redundâncias, como controles duplicados e retrabalho, e não necessariamente por um aumento real de cobertura, validando análises de ROI de governança integrada (Hintzbergen et al., 2022). Iniciativas de integração, como comitês ativos, políticas únicas e plataformas de acompanhamento, têm potencial para reduzir simultaneamente risco e custo, endereçando a causa da governança e não apenas os sintomas. Elementos Essenciais para Construir Governança Integrada

Quando questionados sobre as soluções, os especialistas priorizaram componentes estruturantes de governança que convergem com o diagnóstico de fragmentação. Papéis e responsabilidades bem definidos foram considerados essenciais por 20% dos respondentes, seguidos por políticas e processos padronizados (17%). Uma plataforma unificada de gestão de risco, incidentes e controles (12%), comunicação e colaboração entre áreas (12%), e engajamento constante da alta direção (11%) também foram destacados como elementos cruciais para a construção de uma governança integrada.

O ranking desses elementos reforça que a principal lacuna percebida é de governança estrutural e de coordenação, e não de ausência de controles isolados. A definição clara de papéis e responsabilidades é uma pré-condição para eliminar a fragmentação, pois sem ownership claro, os controles são implementados de forma desigual, a priorização conflita e o tratamento perde acompanhamento. Políticas e processos padronizados indicam uma lacuna de uniformidade normativa, enfraquecendo a capacidade de demonstrar conformidade e medir efetividade. A demanda por plataforma unificada sugere a necessidade de infraestrutura de visibilidade e rastreabilidade para riscos, controles e incidentes.

Em termos de alinhamento com frameworks, os achados são aderentes à ISO/IEC 27001, que trata responsabilidades e políticas como requisitos organizacionais do SGSI, e ao NIST CSF 2.0, que posiciona a função Govern como sustentadora das demais funções (Identify, Protect, Detect, Respond e Recover). A implicação prática é que a solução deve combinar estrutura (comitê e RACI), normalização (política e processos) e integração operacional (ferramenta/processo único), sob patrocínio contínuo da alta direção, para garantir a eficácia da governança de segurança da informação. Benefícios Esperados da Governança Integrada

Os benefícios esperados da governança integrada, conforme a percepção dos especialistas, concentram-se na redução da exposição a riscos (17%), decisões mais rápidas e baseadas em dados (16%), e maior resiliência e rapidez na recuperação (16%). Esses resultados reforçam a tese de que a governança integrada atua como um acelerador da efetividade do ciclo de risco. A ênfase na redução da exposição a riscos sugere que a integração elimina pontos cegos e reduz redundâncias que consomem recursos sem aumentar a proteção, enquanto decisões mais rápidas e maior resiliência indicam ganhos tanto preventivos quanto de comando e controle durante eventos.

A otimização de custos e recursos, mencionada por 14% dos respondentes, fecha a lógica causal identificada nas análises anteriores: ao reduzir duplicidade e retrabalho, a governança integrada libera capacidade para tratar riscos prioritários. A melhor conformidade regulatória foi citada por 9% dos participantes. Em termos de frameworks, os resultados são coerentes com o objetivo de um SGSI (ISO/IEC 27001) de sustentar decisões baseadas em evidências (medição, auditoria, melhoria) e com a ISO 31000, que enfatiza a integração do risco aos processos organizacionais para uma gestão mais eficiente e eficaz. Reorganização Conceitual – Análise Qualitativa

A análise de conteúdo das respostas dissertativas, conforme proposto por Bardin (2011), permitiu identificar categorias temáticas emergentes, que foram trianguladas com os dados quantitativos e ancoradas no referencial teórico. Essa abordagem qualitativa aprofundou a compreensão das causas da fragmentação, dos impactos na gestão de riscos, do papel da cultura organizacional e da alta direção, dos impactos na inovação, e das recomendações estruturadas para construir uma governança integrada. Causas da Fragmentação: Falta de Clareza de Papéis e Silos

O núcleo temático da fragmentação revelou que a ausência de definição clara de responsabilidades gera fragmentação operacional e estrutural, manifestada em silos e duplicidade. Oliveira (2023) descreve a governança como um conjunto de práticas, políticas e estruturas que orientam e monitoram a gestão, sendo sua fragmentação responsável pela desarticulação. Os silos refletem estruturas organizacionais verticalizadas, onde cada departamento opera de forma independente, sem integração horizontal, fenômeno denominado “governança em ilhas” por Martins (2022), comprometendo a eficácia coletiva.

Esse achado se alinha com frameworks reconhecidos, como a Seção 5.1 (Liderança e Compromisso) da ISO/IEC 27001:2022, que exige que as lideranças estabeleçam papéis, responsabilidades e autoridades de forma clara para evitar ambiguidades. A função Govern do NIST CSF 2.0 também destaca a necessidade de uma estrutura de governança que defina papéis e responsabilidades, permitindo a coordenação entre funções. Além disso, o Controle 1.1 do CIS Controls v8, que estabelece o inventário autorizado e não autorizado de hardware, pressupõe uma responsabilidade clara por ativo, reforçando a importância da definição de papéis para uma governança eficaz. Impactos na Gestão de Riscos: Visão Fragmentada, Resposta Lenta

A fragmentação impede a identificação precisa, a análise holística e a resposta coordenada a riscos, gerando incidentes significativos. Reis (2024) documenta que a resposta a incidentes em órgãos federais é frequentemente lenta devido à falta de coordenação, aumentando os danos. A priorização divergente reflete o “apetite de risco desalinhado” entre as áreas, conforme descrito pela ISO 31000:2018 como causa de decisões subótimas. Uma visão fragmentada impede a identificação de relacionamentos de riscos, como uma vulnerabilidade em um sistema que afeta outro, tornando-os invisíveis se monitorados isoladamente.

Esses impactos se alinham com a Seção 5.2 (Avaliação de Riscos) da ISO/IEC 27005:2022, que prescreve um processo sistemático para identificar, analisar e avaliar riscos, requerendo uma visão integrada. A função Identify do NIST CSF 2.0 exige a manutenção de um inventário de ativos críticos e seus relacionamentos, o que é inviável em ambientes fragmentados. A ISO 31000:2018, na Seção 5.1, enfatiza a integração do gerenciamento de risco em todos os processos da organização, reforçando a necessidade de uma abordagem unificada para mitigar os impactos negativos da fragmentação na gestão de riscos. Papel Central da Cultura Organizacional e Engajamento de Alta Direção

Os achados qualitativos confirmam que a governança não é apenas uma questão técnica, mas também de transformação cultural e de liderança. Sem um compromisso visível da liderança e uma cultura orientada a risco, mesmo as políticas escritas falham em ter impacto prático. A expressão “tone at the top”, utilizada em Compliance e documentada por Hintzbergen et al. (2022), indica que, sem o engajamento da alta direção, políticas e processos tornam-se letra morta. Os respondentes citaram repetidamente que a segurança é vista como “despesa” ou “trava burocrática” quando a liderança não investe credibilidade no tema.

Esse núcleo temático se alinha com diversos frameworks. A ISO/IEC 38507:2021 (Governance of IT – Guidance for Members of the Board) estabelece que conselheiros e executivos devem demonstrar compromisso com a segurança como imperativo de negócio. A função Govern do NIST CSF 2.0, como primeira função, enfatiza que uma “governança eficaz começa com visão executiva clara”. O Controle 2 (Asset Management) do CIS Controls v8 e todos os controles pressupõem uma liderança comprometida com a implementação. A ISO 31000:2018 ressalta que um “gerenciamento de risco eficaz requer cultura de risco incorporada em todos os níveis”, evidenciando a importância da cultura organizacional e do engajamento da alta direção para o sucesso da governança de segurança da informação. Impactos na Inovação: Shadow IT, Lentidão, Riscos Descontrolados

A ausência de governança integrada transforma a inovação tecnológica, como cloud, inteligência artificial e integrações, em um campo de riscos descontrolados. O fenômeno de Shadow IT, que é a adoção de tecnologias sem aprovação centralizada, é bem documentado em organizações com governança fraca, conforme relatórios do Gartner e estudos acadêmicos. Os respondentes citaram que tecnologias como cloud, inteligência artificial e integrações requerem uma visão holística de riscos, como confidencialidade de dados em nuvem, explicabilidade de inteligência artificial e tratamento da LGPD, o que é impossível em ambientes de silos. Isso gera retrabalho, regressões de segurança e custos adicionais.

O alinhamento com frameworks é evidente. A ISO/IEC 27032:2023 (Guidelines for Cybersecurity in Critical Information Infrastructure) enfatiza a necessidade de integração em inovações, especialmente em ambientes críticos. A ISO/IEC 27701:2019 (Privacy Information Management) requer governança integrada para o tratamento de dados pessoais em contextos de inovação digital. Além disso, a ISO/IEC 42001:2023 (AI Risk Management) estabelece que a governança de inteligência artificial exige integração com segurança da informação, privacidade e conformidade. O NIST AI Risk Management Framework (2023) pressupõe uma estrutura de governança integrada desde o conceito até a operação de sistemas de inteligência artificial, reforçando a necessidade de uma abordagem unificada para gerenciar os riscos da inovação. Recomendações Estruturadas para Construir Governança Integrada

Os especialistas converteram a análise dos problemas em recomendações práticas, focando em estrutura, processos, tecnologia e cultura. As recomendações convergiram para um modelo integrado em quatro pilares: Governança (estrutura), Riscos (processos), Conformidade (frameworks) e Pessoas (cultura). Foi unânime a percepção de que não existe uma solução isolada capaz de resolver todos os desafios, e a implementação exige uma abordagem holística, como preconizado na ISO 27001 com sua abordagem de ciclo Plan-Do-Check-Act. Essa visão integrada é fundamental para construir uma governança de segurança da informação eficaz e resiliente. Triangulação de Dados Quantitativos, Qualitativos e Referencial Teórico

A pesquisa confirma a hipótese central de que a ausência de governança integrada em segurança da informação fragmenta a gestão de riscos cibernéticos, gerando impactos operacionais, financeiros e reputacionais significativos. Os achados se decompõem em três linhas de evidência. A primeira linha, manifestações estruturais, indica que a falta de papéis claros (20,3%) é a raiz de silos, desarticulação e duplicidade, com forte correlação com narrativas de respondentes que mencionam “falta de clareza” ou “silos”. A causa raiz é a ausência de um modelo de governança formal que defina autoridades, responsabilidades e fluxos decisórios.

A segunda linha de evidência, impactos no ciclo de risco, aponta que a priorização divergente (16,8%), a visão fragmentada (16,0%) e as lacunas de cobertura (14,0%) interrompem a identificação de riscos. Planos inconsistentes (17,4%), respostas lentas (16,5%) e a falha na atribuição de responsáveis (14,9%) comprometem o tratamento e monitoramento. Como resultado observado, verificaram-se vazamentos (17,5%), interrupções (16,6%) e custos elevados (15,4%). Essa cadeia causal demonstra que a fragmentação leva a uma visão incompleta de riscos, decisões subótimas, incidentes, danos e problemas de conformidade.

A terceira linha de evidência, soluções identificadas, destaca que papéis bem definidos (19,6%), políticas padronizadas (16,8%) e uma plataforma unificada (12,0%) são pilares essenciais. O engajamento da alta direção (10,7%) e uma cultura orientada a risco são habilitadores críticos. Frameworks como ISO 27001/27002, NIST CSF, CIS Controls, ISO 31000, ISO 27701 e ISO 42001 são adotáveis. Os benefícios antecipados incluem redução de risco (17,1%), decisões rápidas (16,1%), conformidade (8,9%) e custo otimizado (13,7%), reforçando a importância de uma abordagem integrada para a gestão da segurança da informação. Alinhamento com Literatura e Frameworks

O mapeamento dos achados da pesquisa com os requisitos e controles da ISO/IEC 27001 e 27002 revelou uma forte correspondência. A falta de papéis e responsabilidades, identificada em 20,3% das manifestações, alinha-se diretamente com a Seção 5.1 (Liderança) da ISO 27001 e o controle A.5.1 (Papéis e Responsabilidades) da ISO 27002. As políticas desiguais e fragmentadas, com 12,1% das manifestações, correspondem à Seção 5.2 (Política) da ISO 27001 e ao controle A.5.2 (Política de Segurança) da ISO 27002, indicando a necessidade de uma política de segurança unificada e comunicada a todas as áreas.

Figura 2. Correspondência entre achados da pesquisa e requisitos/controles ISO/IEC 27001 e 27002

Fonte: Elaboração própria, com base em ISO/IEC 27001:2022 e ISO/IEC 27002:2022, a partir de dados originais da pesquisa (2026)

Os planos inconsistentes e o acompanhamento fraco, que representaram 17,4% dos efeitos observados, relacionam-se com a Seção 8.1 (Operação) da ISO 27001 e o controle A.8.1 (Implementação de Controles) da ISO 27002. A falta de métricas e critérios comuns, identificada em 12,1% das dificuldades, corresponde à Seção 9.1 (Avaliação) da ISO 27001 e ao controle A.9.1 (Monitoramento de Conformidade) da ISO 27002. Essas correspondências sugerem que a implementação de uma matriz de papéis RACI, uma política de segurança unificada, planos de implementação com métricas e KPIs de conformidade são recomendações alinhadas aos frameworks para mitigar a fragmentação.

O NIST Cybersecurity Framework 2.0, com sua função “Govern” (nova em 2024), oferece uma abordagem funcional para a governança cibernética. O mapeamento dos eixos da pesquisa com as funções e resultados esperados do NIST CSF 2.0 demonstra que os papéis bem definidos (19,6%) se alinham com o GV.1.1 (Estabelecer estrutura de governança). A gestão de riscos integrada, com a dificuldade de visão única dos riscos (16,0%), corresponde ao GV.3.1 (Risco integrado a planejamento estratégico) e ID.1.1 (Inventário de ativos), enfatizando a necessidade de um registro de riscos unificado e a participação de todas as áreas.

Figura 3. Correspondência entre eixos da pesquisa e funções/resultados do NIST Cybersecurity Framework 2.0

Fonte: Dados originais da pesquisa (2026); NIST (2024)

A resposta coordenada a incidentes, com planos inconsistentes (17,4%), alinha-se com o RS.1.1 (Plano de resposta a incidentes com papéis) da função Respond. A melhor conformidade (8,9%) corresponde ao GV.4.1 (Conformidade com políticas internas e externas) da função Govern. As recomendações alinhadas ao NIST incluem a criação de um comitê de governança cibernética multidisciplinar, o alinhamento dos investimentos de segurança às prioridades corporativas, a adoção de um processo de identificação de riscos com participação de todas as áreas (Risk Register unificado) e a auditoria semestral da aderência a políticas.

Os CIS Controls v8 fornecem uma lista priorizada de 18 controles essenciais, com ênfase em governança centralizada. A Figura 4 relaciona os principais achados da pesquisa aos controles do CIS Controls v8. As lacunas de cobertura (14,0%) se alinham com o C1 (Inventory of Enterprise Assets), enquanto a duplicidade de controles (16,1%) e a visão fragmentada de ativos se conectam ao C2 (Inventory and Control of Enterprise Software). Os incidentes (17,5%) e a duplicidade de controles se relacionam com o C3 (Data Protection), e os vazamentos de dados (10,2%) e a identificação tardia se ligam ao C4 (Secure Configuration of Enterprise Assets).

Figura 4. Correspondência entre achados da pesquisa e controles do CIS Controls v8

Fonte: Dados originais da pesquisa (2026); CIS (2024)

A identificação tardia de vulnerabilidades (12,1%) e a falta de critérios se conectam ao C5 (Access Control), e as respostas lentas (16,5%) se alinham com o C6 (Incident Response Management). A priorização dos CIS Controls (IG1 – Implementação Rápida) sugere a implementação dos controles C1-C6 em 6-12 meses, com ferramental integrado de gestão (CMDB + SOAR + SIEM), o estabelecimento de papéis por meio de matriz RACI e a medição do progresso via CIS Controls Self-Assessment. Essa abordagem visa fortalecer a governança centralizada e aprimorar a capacidade de resposta a incidentes.

A ISO 31000:2018 estabelece um processo sistemático de identificação, análise, avaliação, tratamento e monitoramento de riscos, pressupondo uma estrutura integrada. A priorização divergente (16,8%) viola o Princípio 2 (“Integrado”) da ISO 31000, e a falta de visão única (16,0%) viola o Processo 4 (“Análise de Risco”). As respostas lentas (16,5%) violam o Processo 5 (“Tratamento de Risco”). As recomendações alinhadas à ISO 31000 incluem a adoção de um Comitê de Risco multidisciplinar, a criação de um Risk Register integrado, a execução de Risk Assessment anual com metodologia unificada e a implementação de Key Risk Indicators (KRI) compartilhados com escalação automática.

A ISO/IEC 27701:2019, com a entrada em vigor da LGPD e GDPR, destaca a privacidade como dimensão crítica de governança, estendendo a ISO 27001 com controles de privacidade. Os achados da pesquisa, como Shadow IT em cloud (Eixo 4) que cria riscos de vazamento de dados pessoais, e a falta de integração entre segurança e privacidade que viola requisitos da LGPD, conectam-se a este framework. A implementação alinhada à ISO/IEC 27701 inclui integrar um Privacy Officer na estrutura de governança, executar Data Mapping centralizado, implementar Data Subject Rights e auditar a conformidade da LGPD em cloud providers.

A ISO/IEC 42001:2023, emergente em 2023, estabelece a governança de riscos de inteligência artificial, essencial para a inovação segura mencionada no Eixo 4. O uso de inteligência artificial sem critérios claros (Eixo 4) viola os princípios de AI governance, e o Shadow IT em inteligência artificial resulta na falta de governança integrada. A implementação alinhada à ISO/IEC 42001 inclui a criação de um AI Governance Committee com representantes técnicos, éticos e de compliance, a documentação de um AI Risk Register (incluindo viés, explicabilidade e autossuficiência), a implementação de Model Card para cada inteligência artificial em produção e a auditoria de conformidade regulatória. Recomendações Estruturadas: Roadmap Prático

Com base nos achados e frameworks, propõe-se um roadmap de implementação em três fases para construir uma governança integrada. A Fase 1, Fundação (0-6 meses), tem como objetivo estabelecer estrutura e papéis claros. As atividades incluem criar um Comitê de Governança de SI, documentar uma matriz RACI para 100% dos processos, consolidar uma política unificada, mapear 100% dos ativos críticos em um CMDB e estabelecer um Risk Register ativo com mais de 20 riscos. Os investimentos típicos para esta fase envolvem consultoria, ferramental GRC básico e capacitação do comitê.

Figura 5. Roadmap de implementação — Fase 1: Fundação (0–6 meses)

Fonte: Elaboração própria, a partir de dados originais da pesquisa; ISO/IEC 27001:2022; ISO/IEC 27002:2022; ISO 31000:2018; CIS (2024)

A Fase 2, Operacionalização (6-12 meses), visa implementar processos de ciclo de risco integrados. As atividades incluem realizar um Risk Assessment unificado (2 ciclos/ano), implementar um Data Protection Framework (100% dos dados classificados), estabelecer um Incident Response Integrado com SLA menor que 4 horas para P1, implementar uma Platform GRC Integrada com alertas correlacionados e promover Treinamento Corporativo para 100% dos colaboradores (1x/ano). Os investimentos típicos para esta fase envolvem ferramental GRC/SIEM/SOAR, consultoria especializada e treinamento massivo.

Figura 6. Roadmap de implementação — Fase 2: Operacionalização (6–12 meses)

Fonte: Elaboração própria, com base nos dados originais da pesquisa e em ISO/IEC 27001:2022, ISO/IEC 27002:2022, ISO 31000:2018, ISO/IEC 27701:2019 e CIS (2024)

A Fase 3, Consolidação (12-24 meses), foca na integração contínua, melhoria e conformidade. As atividades incluem implementar AI Risk Governance com um IA Risk Register ativo, realizar Auditoria Integrada (menos de 5 gaps críticos), fazer um Assessment NIST CSF (score maior ou igual a 3 – Managed), otimizar custos (redução de 20% no ROI) e elaborar um Relatório Anual para o Conselho. Os investimentos típicos para esta fase envolvem manutenção de ferramental, auditorias externas e consultoria contínua, visando a sustentabilidade e aprimoramento da governança de segurança da informação.

Figura 7. Roadmap de implementação — Fase 3: Consolidação (12–24 meses)

Fonte: Elaboração própria, com base nos dados originais da pesquisa e em ISO/IEC 27001/27002, ISO 31000, ISO/IEC 27701, ISO/IEC 42001, NIST CSF 2.0 e CIS Controls v8 Benefícios Esperados (Roadmap)

A evolução dos benefícios esperados do roadmap por horizonte temporal demonstra as metas de melhoria contínua. Em 24 meses, espera-se que os Controles Implementados atinjam mais de 90%, o Tempo de Detecção/Resposta seja inferior a 4 horas, a Conformidade com Políticas supere 95% e o ROI do Investimento seja positivo (24,7). O NPS Stakeholder, que mede a satisfação das partes interessadas, projeta-se entre 8 e 9 de 10. Esses indicadores refletem a redução de risco, a agilidade decisória, a resiliência e a otimização de custos, validando a eficácia da governança integrada.

Figura 8. Benefícios esperados do roadmap: metas por horizonte temporal (0, 6, 12 e 24 meses)

Fonte: Elaboração própria, com base nos dados originais da pesquisa; ISO/IEC 27001/27002; ISO 31000; NIST (2024); CIS (2024)

A validação dos benefícios esperados reforça a lógica do roadmap. A redução de risco (17,1% dos respondentes) será medida pela diminuição de incidentes e vulnerabilidades descobertas em tempo. Decisões mais rápidas (16,1%) serão avaliadas pelo tempo de aprovação de mudanças e mitigação de riscos. A conformidade (8,9%) será medida pela aderência à LGPD, ISO 27001 e normativos federais. Por fim, a otimização de custos (13,7%) será verificada pela eliminação de duplicidade, automatização e alocação eficiente de recursos, demonstrando que a governança integrada não apenas melhora a segurança, mas também a eficiência organizacional.

Em síntese, os resultados da pesquisa confirmam que a ausência de uma governança integrada em segurança da informação compromete significativamente a gestão de riscos cibernéticos, manifestando-se em fragmentação de papéis, duplicidade de controles e dificuldades na priorização de riscos. Os impactos observados, como incidentes de segurança e aumento de custos, evidenciam a criticidade do problema. A solução reside na implementação de um roadmap prático, alinhado a frameworks reconhecidos, que estabeleça papéis claros, padronize políticas, integre processos e sistemas, e conte com o engajamento da alta direção, visando a redução da exposição a riscos e o aumento da resiliência organizacional.

4. Conclusão

O presente estudo investigou como a fragmentação e a sobreposição de controles de segurança, resultantes da ausência de uma governança integrada, afetam a capacidade das organizações de identificar, mitigar e responder aos riscos cibernéticos de forma eficiente. Verificou-se que a desarticulação da governança se manifestou principalmente pela falta de clareza de papéis e responsabilidades, pela duplicidade de controles e pela aplicação desigual de políticas de segurança. Na gestão de riscos, identificou-se que a priorização divergente entre áreas e a dificuldade em consolidar uma visão única dos riscos cibernéticos comprometeram a identificação e a análise. Adicionalmente, observou-se que planos de ação inconsistentes e respostas lentas a incidentes foram consequências diretas dessa fragmentação, culminando em impactos críticos como incidentes de segurança, vazamentos de dados, interrupções de serviços essenciais e aumento dos custos de segurança. A pesquisa demonstrou que a governança de segurança da informação não é apenas uma questão técnica, mas um desafio que exige transformação cultural e engajamento da alta direção, sendo a ausência desses elementos um catalisador para riscos descontrolados em inovações tecnológicas.

A principal contribuição do estudo reside na proposição de um roadmap prático de implementação, estruturado em três fases – Fundação, Operacionalização e Consolidação – alinhado a frameworks reconhecidos como ISO/IEC 27001/27002, ISO 31000, NIST CSF 2.0 e CIS Controls v8. Este plano visa formalizar responsabilidades, padronizar políticas e processos, fortalecer o patrocínio da alta direção e integrar plataformas de gestão de riscos, controles e incidentes, com o objetivo de reduzir a exposição a riscos e aumentar a resiliência organizacional. Os benefícios esperados incluem a otimização de custos e recursos, a melhoria da conformidade regulatória e a agilidade nas decisões. Contudo, é importante considerar as limitações da pesquisa, como a predominância de respondentes do setor público e o viés de autorrelato, que sugerem cautela na generalização dos resultados para outros contextos. A implementação do roadmap proposto representa um caminho para mitigar os problemas identificados, promovendo uma gestão de riscos cibernéticos mais coesa e eficaz.

Referências Bibliográficas

BARDIN, L. Análise de conteúdo. São Paulo: Edições 70, 2011. 229 р.

HINTZBERGEN, J.; VERHOEVEN, A.; GENNAT, M. Fundamentos de segurança da informação: com base na ISO 27001 e ISO 27002. São Paulo: Novatec, 2022.

ISO. 31000:2018 – Risk management guidelines. Genebra

ISO/IEC. 27005:2022 – Information security risk management. Genebra: ISO, 2022.

MARTINS, J. Gestão de segurança da informação e cibersegurança nas organizações: sistema e método. 2022.

Oliveira e Silva, 2022 [Referência completa não encontrada no documento original]

OLIVEIRA, T. C. A. Governança em segurança da informação: por que ela é tão importante para os negócios? Advances in Knowledge Representation, v. 4, n. 1, p. 45–58, 2023.

QUINCOZES, V. E. Gestão de riscos em segurança da informação. Indaial: Uniasselvi, 2023.

REIS, J. P. Segurança cibernética: uma abordagem conceitual com elementos de análise de risco. TCC – Escola Superior de Guerra, 2024.

Artigo oriundo de Trabalho de Conclusão de Curso da Especialização em Compliance e ESG do MBA USP/Esalq

Para saber mais sobre o curso, clique aqui e acesse a plataforma MBX Academy