TL;DR — Leia em 60 segundos
- Até 15 por cento do valuation de uma empresa pode ser impactado por riscos cibernéticos não identificados durante a due diligence em M&A.
- Vulnerabilidades ocultas, passivos regulatórios e incidentes não reportados distorcem múltiplos de EBITDA e aumentam drasticamente o risco pós-aquisição.
- Em 2026, ataques sofisticados, exigências da LGPD e pressão de investidores tornaram a due diligence de segurança um fator crítico de governança.
- Empresas que estruturam um processo técnico, jurídico e operacional reduzem perdas financeiras, aceleram integração e preservam reputação.
- Ignorar segurança em M&A não é economia: é transferir um passivo invisível para o balanço do comprador.
O que é Due Diligence de Segurança em M&A e por que é crítico em 2026
Due diligence de segurança em M&A é o processo estruturado de avaliação de riscos cibernéticos, maturidade de controles de segurança da informação, exposição regulatória e histórico de incidentes de uma empresa-alvo antes da concretização de uma fusão ou aquisição. Trata-se de uma camada técnica e estratégica que complementa a tradicional auditoria financeira, contábil, jurídica e trabalhista. Em 2026, essa dimensão deixou de ser acessória e passou a ser determinante na formação de preço, definição de cláusulas contratuais e estruturação de garantias.
O mercado global de M&A movimenta trilhões de dólares por ano, e o Brasil mantém posição relevante na América Latina, com operações recorrentes nos setores de tecnologia, saúde, agronegócio, fintechs e infraestrutura. Ao mesmo tempo, o país figura entre os principais alvos de ataques cibernéticos do mundo. Relatórios internacionais indicam que o Brasil permanece consistentemente entre os cinco países mais afetados por ransomware. Isso significa que, estatisticamente, uma empresa brasileira em processo de venda tem probabilidade significativa de já ter sido comprometida ou estar vulnerável a incidentes críticos.
O impacto financeiro direto de um incidente pode incluir pagamento de resgates, interrupção de operações, perda de receita e custos de resposta. Entretanto, o impacto indireto é ainda mais relevante para M&A: multas regulatórias, especialmente sob a Lei Geral de Proteção de Dados, ações judiciais coletivas, perda de clientes estratégicos e necessidade de investimentos emergenciais em infraestrutura de segurança. Esses fatores alteram projeções de fluxo de caixa e podem reduzir significativamente o valuation. Estudos internacionais apontam que até 15 por cento do valor de uma transação pode ser ajustado após a identificação de riscos cibernéticos materiais.
Em 2026, investidores institucionais, fundos de private equity e conselhos de administração exigem evidências concretas de maturidade cibernética. A ausência de um processo estruturado de due diligence de segurança pode configurar falha de governança. Além disso, seguradoras que oferecem cyber insurance passaram a exigir avaliações prévias detalhadas. Portanto, não se trata apenas de evitar ataques, mas de proteger o racional econômico da operação, reduzir contingências futuras e garantir que o preço pago reflita a realidade tecnológica da empresa-alvo.
Como funciona na prática: Anatomia completa
A due diligence de segurança começa com a definição de escopo, alinhada à natureza da transação. Em aquisições totais, o foco é amplo e inclui toda a infraestrutura tecnológica, ativos de informação, contratos com fornecedores críticos, políticas internas e cultura organizacional. Em aquisições parciais ou carve-outs, a análise precisa identificar claramente quais ativos e sistemas serão transferidos e quais dependências permanecerão com a empresa vendedora.
O processo envolve coleta estruturada de informações por meio de questionários técnicos, entrevistas com lideranças de TI e segurança, revisão documental e análise de evidências. Diferentemente de uma simples auditoria documental, a due diligence moderna inclui testes técnicos, como varreduras de vulnerabilidades externas, análise de superfície de ataque e avaliação de configurações em nuvem. Em operações mais críticas, pode incluir testes de intrusão controlados e revisão de código seguro.
Outro componente essencial é a análise de incidentes passados. Muitas empresas minimizam ou omitem eventos de segurança, classificando-os como problemas operacionais. Entretanto, para fins de M&A, é fundamental avaliar se houve vazamento de dados pessoais, comprometimento de propriedade intelectual ou pagamento de resgates. A falta de registro formal de incidentes já é, por si só, um indicativo de baixa maturidade.
A etapa final consiste na consolidação dos achados em um relatório executivo, com classificação de riscos por criticidade, estimativa de impacto financeiro e recomendações práticas. Esse relatório subsidia negociações de preço, criação de cláusulas de indenização, retenção de parte do valor em escrow e definição de planos de integração pós-aquisição.
Avaliação de maturidade e governança
A maturidade é analisada com base em frameworks reconhecidos, como ISO 27001, NIST Cybersecurity Framework e CIS Controls. O objetivo não é apenas verificar se há políticas documentadas, mas se os controles são efetivamente implementados e monitorados. Muitas empresas possuem políticas formais que não são aplicadas na prática, o que cria falsa sensação de segurança.
Análise técnica de infraestrutura e nuvem
A avaliação técnica envolve identificação de ativos expostos à internet, configuração de firewalls, segmentação de rede, gestão de identidades e permissões, além de revisão de ambientes em nuvem. Em 2026, a maioria das empresas opera em ambientes híbridos, o que aumenta a complexidade e a superfície de ataque.
Riscos regulatórios e LGPD
A conformidade com a LGPD é elemento central. Avalia-se a existência de inventário de dados pessoais, bases legais para tratamento, políticas de retenção e resposta a titulares. Multas podem chegar a percentuais relevantes do faturamento, impactando diretamente projeções financeiras.
Passo a passo: Implementação profissional
Fase 1: Diagnóstico e mapeamento
A primeira fase envolve identificação completa dos ativos de informação e sistemas críticos. Sem visibilidade, não há avaliação consistente. O mapeamento inclui servidores, estações, aplicações, bases de dados, integrações com terceiros e ambientes em nuvem. Essa etapa requer colaboração intensa entre equipes técnicas e liderança executiva.
Também é fundamental classificar os dados conforme criticidade. Informações financeiras, dados pessoais sensíveis e propriedade intelectual exigem tratamento diferenciado. A ausência de classificação indica risco elevado de exposição inadvertida.
Por fim, realiza-se levantamento do histórico de incidentes e da estrutura organizacional de segurança. Empresas sem equipe dedicada ou com alta rotatividade na área tendem a apresentar fragilidades estruturais.
Fase 2: Planejamento e arquitetura
Com base no diagnóstico, define-se o plano de avaliação técnica detalhada. Isso inclui seleção de ferramentas, definição de testes e cronograma alinhado à janela da transação. O planejamento deve considerar confidencialidade, evitando impactos operacionais que possam prejudicar a negociação.
Também se define metodologia de classificação de riscos, associando probabilidade e impacto financeiro. Essa abordagem facilita a tradução de achados técnicos em linguagem compreensível para investidores e conselhos.
Além disso, estabelece-se estratégia de comunicação com as partes envolvidas, garantindo que descobertas críticas sejam tratadas com prioridade e sigilo.
Fase 3: Implementação e testes
Nesta etapa são executadas varreduras de vulnerabilidade, análises de configuração e testes de intrusão autorizados. A execução deve ser documentada com evidências técnicas robustas, capazes de sustentar decisões contratuais.
Os resultados são analisados para identificar vulnerabilidades críticas, como sistemas desatualizados, credenciais expostas ou ausência de autenticação multifator. Cada achado é contextualizado com possível impacto financeiro.
Também se avaliam controles de detecção e resposta, verificando se a empresa possui capacidade real de identificar e conter ataques.
Fase 4: Monitoramento contínuo
Mesmo após a assinatura do contrato, o risco não desaparece. A integração tecnológica pode introduzir novas vulnerabilidades. Portanto, recomenda-se monitoramento contínuo, especialmente nos primeiros meses pós-aquisição.
A implementação de um SOC 24x7 é prática recomendada para empresas adquirentes que absorvem estruturas tecnológicas complexas. O monitoramento contínuo reduz o risco de incidentes que poderiam comprometer o sucesso da integração.
Além disso, revisões periódicas de conformidade e testes de segurança devem ser incorporados ao plano estratégico da nova organização.
Erros críticos e como evitá-los
Um dos erros mais comuns é tratar segurança como item secundário, realizando apenas questionários superficiais. Sem validação técnica, respostas podem mascarar vulnerabilidades graves. Outro erro é confiar exclusivamente em certificações, assumindo que um selo formal garante proteção efetiva.
Também é recorrente ignorar riscos de terceiros, como fornecedores de tecnologia e parceiros logísticos. A cadeia de suprimentos pode ser vetor de ataque indireto. Subestimar a integração pós-aquisição é outro problema: sistemas distintos, quando conectados, ampliam a superfície de ataque.
A falta de envolvimento do conselho e da alta gestão compromete a priorização de investimentos corretivos. Além disso, não estimar impacto financeiro de vulnerabilidades impede ajustes adequados no valuation. Outro erro crítico é não prever cláusulas contratuais específicas para riscos cibernéticos identificados.
Ferramentas e tecnologias essenciais
Ferramenta | Finalidade | Aplicação em M&A Plataformas de varredura de vulnerabilidades | Identificação de falhas técnicas | Avaliação rápida de exposição externa Soluções de EDR | Detecção e resposta em endpoints | Verificação de comprometimentos ativos Ferramentas de gestão de identidade | Controle de acessos e privilégios | Avaliação de risco interno Plataformas de DLP | Proteção contra vazamento de dados | Análise de exposição de dados sensíveis Soluções de SIEM | Correlação de eventos e monitoramento | Avaliação de capacidade de detecção
Cada tecnologia deve ser analisada não apenas pela presença, mas pela efetividade de configuração e monitoramento contínuo.
Checklist completo de implementação
Prioridade alta inclui mapeamento completo de ativos, análise de vulnerabilidades críticas, revisão de acessos privilegiados, verificação de backups e testes de restauração, análise de conformidade com LGPD e revisão de contratos com fornecedores críticos.
Prioridade média envolve revisão de políticas internas, treinamento de colaboradores, implementação de autenticação multifator e segmentação de rede.
Prioridade contínua contempla monitoramento 24x7, testes periódicos de intrusão, revisão de indicadores de risco e atualização constante de patches de segurança.
Casos reais e estudos de caso
Em uma aquisição no setor de saúde, a empresa compradora identificou, durante due diligence técnica aprofundada, que a empresa-alvo armazenava dados sensíveis de pacientes sem criptografia adequada. A correção exigiu investimento imediato significativo, resultando em renegociação de preço.
Em outro caso no setor financeiro, um fundo de investimento descobriu, após aquisição, que a empresa havia sofrido ataque de ransomware não reportado. O incidente gerou perda de contratos estratégicos e ações judiciais, reduzindo drasticamente o retorno esperado.
Já em uma operação de tecnologia, a realização de due diligence robusta permitiu identificar riscos antecipadamente, ajustar valuation e estruturar plano de integração seguro, garantindo continuidade operacional e confiança de investidores.
Como a Decripte Resolve Due Diligence de Segurança em M&A: Serviços e Diferenciais
A Decripte atua com abordagem integrada que combina SOC 24x7, resposta a incidentes, testes de intrusão e avaliação de conformidade com LGPD. Nossa metodologia traduz riscos técnicos em impacto financeiro claro para investidores e conselhos.
O SOC 24x7 garante monitoramento contínuo durante e após a transação, reduzindo risco de incidentes críticos. A equipe de resposta a incidentes atua rapidamente em caso de comprometimento identificado durante a due diligence.
Os serviços de pentest e análise de superfície de ataque oferecem visão realista da exposição externa. Já a frente de compliance assegura aderência regulatória e documentação adequada para investidores.
Mini tutorial em 3 passos: primeiro, realize um diagnóstico gratuito no Intelligence Center. Segundo, participe de reunião de alinhamento com nossos especialistas. Terceiro, ative o serviço adequado ao porte e complexidade da operação.
Comece Agora Gratuitamente — Acesse o Intelligence Center da Decripte em https://decripte.com.br/intelligence-center e receba um diagnóstico de exposição da sua empresa em menos de 5 minutos. Sem custo, sem compromisso.
Perguntas frequentes (FAQ)
1. O que é due diligence de segurança em M&A?
É o processo de avaliação estruturada dos riscos cibernéticos de uma empresa-alvo antes da conclusão de uma fusão ou aquisição, com objetivo de identificar vulnerabilidades técnicas, riscos regulatórios e impactos financeiros potenciais.
2. Quanto do valuation pode ser afetado por riscos cibernéticos?
Estudos indicam que até 15 por cento do valor pode ser ajustado após identificação de riscos materiais, especialmente quando envolvem dados sensíveis ou multas regulatórias.
3. A LGPD impacta M&A?
Sim. A existência de passivos relacionados a dados pessoais pode gerar multas e ações judiciais que afetam diretamente o valor da transação.
4. É necessário realizar testes técnicos?
Sim. Questionários não são suficientes. Testes técnicos identificam vulnerabilidades reais e comprometimentos ativos.
5. O que acontece se um incidente for descoberto após a aquisição?
Pode haver renegociação contratual, acionamento de cláusulas de indenização ou absorção integral do prejuízo pelo comprador.
6. Pequenas empresas precisam de due diligence?
Sim. Startups e PMEs também armazenam dados críticos e podem representar risco relevante.
7. Quanto tempo leva o processo?
Depende da complexidade, mas pode variar de algumas semanas a poucos meses.
8. Quem deve conduzir a avaliação?
Especialistas independentes com experiência técnica e visão estratégica de negócios.
9. SOC 24x7 é necessário?
Para operações críticas ou empresas com alta exposição, é altamente recomendado.
10. Como estimar impacto financeiro de vulnerabilidades?
Por meio de análise de probabilidade, impacto regulatório, custo de remediação e perda potencial de receita.
11. Seguro cibernético substitui due diligence?
Não. Seguros exigem avaliação prévia e não cobrem todos os danos reputacionais.
12. Onde obter diagnóstico inicial?
No Intelligence Center da Decripte, disponível em /intelligence-center.
Comece agora — diagnóstico gratuito em 5 minutos
A segurança da informação não pode ser tratada como detalhe secundário em M&A. Cada vulnerabilidade ignorada representa risco direto ao capital investido e à reputação da organização.
Acesse agora o Intelligence Center da Decripte em https://decripte.com.br/intelligence-center e obtenha um diagnóstico inicial gratuito. Conheça também nossos planos completos em /planos e aprofunde seu conhecimento em nosso portal em /artigos.
O custo invisível da negligência pode chegar a 15 por cento do valuation. O investimento em due diligence de segurança é a diferença entre uma aquisição estratégica e um passivo oculto no balanço.
Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK
Em processos de M&A, a superfície de ataque combinada entre adquirente e alvo frequentemente revela vetores alinhados às táticas Initial Access (TA0001) e Execution (TA0002) da matriz MITRE ATT&CK. Campanhas de spear phishing attachment (T1566.001) continuam sendo a principal porta de entrada, especialmente quando organizações-alvo possuem baixo nível de maturidade em segurança de e-mail (SPF, DKIM e DMARC mal configurados). Uma vez obtido o acesso inicial, adversários frequentemente exploram Valid Accounts (T1078), utilizando credenciais legítimas vazadas em data breaches anteriores, muitas vezes não detectadas durante a due diligence.
Na fase de Persistence (TA0003), observa-se a criação de Scheduled Tasks (T1053.005), manipulação de Registry Run Keys/Startup Folder (T1547.001) e implantação de Web Shells (T1505.003) em ambientes expostos. Em contextos de M&A, ambientes legados e aplicações não documentadas ampliam a probabilidade de persistências invisíveis. A falta de inventário atualizado facilita a permanência silenciosa por meses, impactando diretamente o valuation ao introduzir passivos cibernéticos não provisionados.
A tática de Privilege Escalation (TA0004) é frequentemente realizada via exploração de vulnerabilidades conhecidas (T1068), como falhas em controladores de domínio desatualizados ou servidores expostos sem patches críticos. Ataques como Kerberoasting (T1558.003) e Pass-the-Hash (T1550.002) permitem movimentação lateral eficiente, comprometendo rapidamente ambientes híbridos. Em uma transação de aquisição, isso significa que o risco pode transcender a empresa-alvo e contaminar a infraestrutura do comprador.
Durante Defense Evasion (TA0005), técnicas como Obfuscated/Compressed Files and Information (T1027) e desativação de logs (T1562.002) são comuns. A ausência de monitoramento centralizado via SIEM ou EDR reduz drasticamente a capacidade de detectar essas ações. Empresas em estágio pré-M&A frequentemente operam com controles fragmentados, criando lacunas significativas na visibilidade.
Por fim, em Exfiltration (TA0010) e Impact (TA0040), adversários utilizam Exfiltration Over Web Services (T1567.002) e criptografia de dados para ransomware (T1486). Casos recentes demonstram que grupos como LockBit e BlackCat exploram exatamente esse cenário: empresas em processo de aquisição, distraídas por auditorias financeiras, tornam-se alvos prioritários. O impacto direto pode incluir multas regulatórias, perda de propriedade intelectual e redução imediata de até 15% no valuation projetado.
Indicadores de Comprometimento e Detecção
Indicadores de Comprometimento (IOCs) eficazes em contextos de M&A devem abranger múltiplas camadas: rede, endpoint, identidade e nuvem. Exemplos incluem conexões de saída para domínios recém-registrados (<30 dias), tráfego DNS com alta entropia (indicando DNS tunneling), e autenticações bem-sucedidas fora do horário comercial com origem geográfica incomum. A correlação desses eventos em um SIEM pode indicar comprometimento ativo.
Regras em SIEM devem incluir detecção de múltiplas falhas de login seguidas de sucesso (possível brute force), criação inesperada de contas privilegiadas e modificações em políticas de auditoria do Windows. Consultas específicas podem monitorar eventos 4624 e 4672 combinados com elevação de privilégio não autorizada. O uso de User and Entity Behavior Analytics (UEBA) fortalece a identificação de desvios comportamentais.
No nível de arquivo, regras YARA podem identificar padrões de ransomware conhecidos, assinaturas de packers suspeitos ou strings relacionadas a ferramentas ofensivas como Mimikatz. A inspeção de memória também é crucial para detectar cargas maliciosas fileless, frequentemente utilizadas para evitar antivírus tradicionais.
Adicionalmente, a integração com feeds de inteligência de ameaças permite bloqueio proativo de hashes, IPs e domínios associados a campanhas ativas. Contudo, o verdadeiro diferencial está na capacidade de contextualizar IOCs com ativos críticos identificados na due diligence, priorizando alertas que impactem sistemas financeiros, ERPs e repositórios de propriedade intelectual.
Roadmap de Implementação em 12 Meses
Fase 1: Diagnóstico (Meses 1-3)
O primeiro trimestre deve concentrar-se em um cyber risk assessment abrangente, incluindo varreduras de vulnerabilidades internas e externas, análise de maturidade baseada em frameworks como NIST CSF e ISO 27001, além de mapeamento de ativos críticos. Essa etapa identifica lacunas técnicas e processuais que podem afetar o valuation.
Simultaneamente, recomenda-se conduzir penetration tests direcionados a ativos expostos à internet e avaliações de configuração em ambientes de nuvem (AWS, Azure, GCP). O objetivo é identificar riscos exploráveis de curto prazo que representem passivos imediatos.
Métricas de sucesso: inventário de ativos com 95% de cobertura, relatório executivo de riscos priorizados, plano de remediação aprovado pelo board e identificação clara de riscos críticos (CVSS ≥ 8).
Fase 2: Fundação (Meses 4-6)
Nesta fase, a organização deve implementar controles estruturais: EDR em 100% dos endpoints críticos, centralização de logs em SIEM e política robusta de MFA para acessos privilegiados. A segmentação de rede também deve ser iniciada, reduzindo a movimentação lateral.
A formalização de políticas de resposta a incidentes e testes de tabletop exercises com executivos são essenciais. O alinhamento entre TI, jurídico e compliance reduz riscos regulatórios.
Métricas de sucesso: cobertura de logs superior a 90%, redução de vulnerabilidades críticas em 70%, tempo médio de detecção (MTTD) inferior a 24 horas.
Fase 3: Operação (Meses 7-9)
Com a base estabelecida, a prioridade passa a ser monitoramento contínuo e threat hunting proativo. Equipes internas ou MSSPs devem operar 24/7, analisando alertas correlacionados a TTPs relevantes para o setor da empresa.
Testes de intrusão recorrentes e simulações de ransomware ajudam a validar a eficácia dos controles implementados. A maturidade do SOC deve evoluir para incluir playbooks automatizados (SOAR).
Métricas de sucesso: MTTD inferior a 12 horas, MTTR inferior a 48 horas, taxa de falsos positivos reduzida em 30%, exercícios de resposta realizados sem falhas críticas.
Fase 4: Otimização (Meses 10-12)
A etapa final concentra-se em melhoria contínua, integração de inteligência de ameaças estratégica e revisões de arquitetura. Auditorias independentes devem validar o nível de maturidade alcançado.
A organização deve estabelecer KPIs executivos vinculados a risco cibernético, conectando métricas técnicas a indicadores financeiros. Isso permite quantificar a redução de risco no valuation.
Métricas de sucesso: conformidade com framework escolhido acima de 85%, redução comprovada da superfície de ataque, relatórios trimestrais ao board demonstrando tendência de queda no risco residual.
Perguntas Aprofundadas de Executivos Seniores
1. Como quantificar o impacto real do risco cibernético no valuation?
A quantificação do risco cibernético no valuation exige abordagem multidimensional que combine probabilidade de ocorrência, impacto financeiro direto e efeitos reputacionais de longo prazo. Primeiramente, é necessário estimar o custo médio de incidentes no setor específico, incluindo interrupção operacional, multas regulatórias e custos de resposta. Em seguida, deve-se aplicar modelos de Value at Risk (VaR) adaptados para cibersegurança, considerando cenários pessimistas e moderados.
Além disso, investidores devem analisar maturidade de controles internos, cobertura de seguros cibernéticos e histórico de incidentes não divulgados. Uma organização com vulnerabilidades críticas não mitigadas pode exigir provisões financeiras ou cláusulas de indenização no contrato de aquisição. Ao incorporar esses fatores no fluxo de caixa descontado, é possível ajustar o valuation de forma objetiva e defensável perante stakeholders.
2. Como garantir que a integração pós-M&A não amplie a superfície de ataque?
A integração tecnológica é um dos momentos mais críticos. Para evitar ampliação da superfície de ataque, deve-se adotar abordagem faseada, priorizando interconexões seguras com segmentação de rede e autenticação forte. Antes de qualquer integração de diretórios ou sistemas financeiros, é essencial realizar auditoria de credenciais e redefinição de senhas privilegiadas.
Testes de segurança específicos para o ambiente integrado devem ser conduzidos imediatamente após cada etapa de conexão. Além disso, políticas unificadas de patch management e hardening devem ser aplicadas rapidamente à empresa adquirida. Sem esse cuidado, vulnerabilidades preexistentes podem servir como ponte para comprometer toda a organização combinada.
3. Qual o papel do conselho de administração na governança cibernética?
O conselho deve atuar como órgão estratégico, garantindo que riscos cibernéticos sejam tratados com a mesma prioridade que riscos financeiros. Isso inclui exigir relatórios periódicos com métricas claras de risco, aprovar orçamento adequado e validar planos de resposta a incidentes.
Conselheiros também devem assegurar que exista independência na auditoria de segurança, evitando conflitos de interesse. A inclusão de especialistas em tecnologia ou cibersegurança no board aumenta a capacidade de questionamento técnico. Em última instância, a responsabilidade fiduciária do conselho inclui proteger ativos digitais que sustentam o valor da empresa.
4. Como equilibrar velocidade da transação com profundidade da due diligence?
Transações de M&A frequentemente operam sob ضغط prazos agressivos, mas acelerar excessivamente a due diligence de segurança pode gerar passivos ocultos. O equilíbrio ideal envolve priorização baseada em risco: ativos críticos e dados sensíveis devem ser avaliados primeiro.
Ferramentas automatizadas de varredura e análise de configuração podem acelerar o processo sem comprometer profundidade. Além disso, cláusulas contratuais podem prever auditorias complementares pós-fechamento, reduzindo pressão inicial sem ignorar riscos relevantes. A transparência entre as partes é fundamental para evitar surpresas após a assinatura.
5. Como estruturar um programa sustentável de redução de risco a longo prazo?
Sustentabilidade em cibersegurança depende de integração cultural e não apenas tecnológica. É fundamental estabelecer governança clara, com papéis e responsabilidades definidos, orçamento recorrente e indicadores alinhados ao planejamento estratégico.
Treinamentos contínuos para colaboradores reduzem significativamente riscos de phishing e engenharia social. Paralelamente, investimentos em automação e inteligência de ameaças garantem adaptação a cenários dinâmicos. Ao conectar metas de segurança a objetivos de negócio, a organização transforma cibersegurança de centro de custo em habilitador de valor, protegendo o valuation ao longo do tempo.