O Custo Real da Impreparação em Incidentes: R$ 6,2 Mi por Ataque no Brasil

TL;DR — Leia em 60 segundos

• O custo médio de um ataque cibernético no Brasil já ultrapassa R$ 6,2 milhões por incidente, segundo relatórios globais adaptados à realidade nacional, e a principal variável que eleva esse valor é a impreparação na resposta.
• Empresas que não possuem plano formal de resposta a incidentes, SOC ativo e testes recorrentes levam mais tempo para detectar e conter ataques, multiplicando prejuízos financeiros, jurídicos e reputacionais.
• A LGPD ampliou o risco financeiro ao impor obrigações de comunicação e sanções administrativas, tornando a resposta técnica inseparável da governança e do compliance.
• Preparação não é ferramenta isolada, é processo contínuo: envolve diagnóstico, arquitetura de segurança, monitoramento 24x7, simulações e melhoria constante.
• A diferença entre perder dados e preservar a continuidade do negócio está na maturidade do plano de resposta antes do incidente acontecer.

O que é Impreparação para Resposta a Incidentes e por que é crítico em 2026

Impreparação para resposta a incidentes é a ausência de processos estruturados, equipes treinadas, tecnologia adequada e governança definida para lidar com eventos de segurança da informação. Não se trata apenas de não ter um antivírus ou firewall atualizado. Trata-se da inexistência de um plano formal que estabeleça quem faz o quê quando ocorre um vazamento, ransomware, invasão de e-mail corporativo, sequestro de dados, comprometimento de credenciais ou exploração de vulnerabilidades críticas. Em 2026, esse cenário é especialmente crítico no Brasil, onde a digitalização acelerada das empresas não foi acompanhada, na mesma proporção, por maturidade em segurança cibernética.

O custo médio de um incidente no Brasil já ultrapassa R$ 6,2 milhões por ataque, considerando despesas com resposta técnica, paralisação operacional, perda de receita, honorários jurídicos, multas regulatórias, indenizações, comunicação de crise e impacto reputacional. Relatórios internacionais como o Cost of a Data Breach Report, quando contextualizados para o mercado brasileiro, mostram que empresas que levam mais de 200 dias para identificar e conter um ataque acumulam prejuízos significativamente maiores. No Brasil, a realidade é ainda mais severa devido à carência de equipes internas especializadas e à dependência de terceiros após o incidente já estar em andamento.

A LGPD transformou o cenário regulatório ao exigir comunicação de incidentes à Autoridade Nacional de Proteção de Dados e aos titulares afetados. Isso elevou o risco jurídico e reputacional. Uma organização despreparada não apenas demora a conter o ataque, mas também falha na coleta de evidências, na preservação de logs e na análise forense adequada. Como consequência, enfrenta dificuldades para comprovar diligência, o que pode agravar penalidades. Em muitos casos, o problema não é a invasão em si, mas a incapacidade de demonstrar que existia governança e controle.

Em 2026, o ambiente de ameaças está mais complexo. Ransomware como serviço, ataques à cadeia de suprimentos, exploração de vulnerabilidades zero day e engenharia social baseada em inteligência artificial elevaram o nível de sofisticação dos criminosos. Enquanto isso, muitas empresas brasileiras ainda operam sem um plano de resposta formalizado, sem testes de mesa, sem simulações de crise e sem integração entre TI, jurídico, comunicação e diretoria. Impreparação não é ausência de tecnologia apenas. É falha estratégica. E essa falha custa milhões.

Como funciona na prática: Anatomia completa

A impreparação se revela no momento em que o incidente ocorre. Um colaborador clica em um link malicioso e instala um ransomware. O time de TI percebe que arquivos estão criptografados, mas não sabe qual procedimento seguir. Não há fluxo de escalonamento definido. Não existe playbook documentado. O backup não foi testado recentemente. O jurídico não é acionado a tempo. A comunicação interna gera pânico. A diretoria descobre o incidente por meio de rumores. Esse cenário é mais comum do que se imagina.

Na prática, a anatomia de um incidente em empresa despreparada segue um padrão previsível. Primeiro, ocorre a intrusão inicial, muitas vezes por phishing ou credenciais vazadas. Em seguida, há movimentação lateral dentro da rede, com coleta de dados sensíveis. Depois, o atacante executa a fase de impacto, seja criptografando dados, exfiltrando informações ou interrompendo serviços críticos. A ausência de monitoramento contínuo faz com que o tempo de permanência do invasor seja longo. Quando finalmente descoberto, o dano já é amplo.

Empresas preparadas possuem quatro pilares fundamentais: detecção, contenção, erradicação e recuperação. Já empresas despreparadas confundem resposta com improviso. A falta de registros centralizados, como logs em SIEM, impede análise forense eficaz. A inexistência de um SOC 24x7 faz com que alertas sejam ignorados fora do horário comercial. A ausência de segmentação de rede facilita a propagação do ataque. O que poderia ser um incidente isolado se transforma em crise corporativa.

Outro elemento crítico é a comunicação. Em empresas sem plano de resposta, não há definição clara de porta-voz, nem alinhamento com assessoria de imprensa. Informações desencontradas circulam internamente. Clientes recebem versões diferentes do ocorrido. Isso amplia o dano reputacional. A impreparação técnica evolui para crise institucional.

Tempo de detecção e impacto financeiro

O tempo médio para identificar um incidente é um dos principais fatores de custo. Estudos globais indicam que empresas que detectam ataques em menos de 200 dias reduzem significativamente o impacto financeiro. No Brasil, onde muitas organizações não possuem monitoramento contínuo, esse tempo pode ser ainda maior. Cada dia adicional representa mais dados comprometidos, mais sistemas afetados e maior potencial de extorsão.

Empresas com SOC estruturado conseguem reduzir drasticamente o tempo de detecção. Alertas são analisados em tempo real, indicadores de comprometimento são correlacionados e ações de contenção são iniciadas rapidamente. Já organizações sem essa estrutura dependem de relatos de usuários ou de impactos visíveis, como indisponibilidade de sistemas. Nesse estágio, o ataque já avançou.

O impacto financeiro cresce exponencialmente porque inclui não apenas o custo técnico, mas também interrupção de operações. Indústrias param linhas de produção. Hospitais cancelam procedimentos. Empresas de logística atrasam entregas. O custo do downtime pode superar o custo da própria resposta técnica.

Governança e responsabilidade executiva

Impreparação também é falha de governança. Conselhos e diretorias que tratam segurança como despesa e não como investimento estratégico assumem riscos significativos. Em 2026, a responsabilidade executiva está cada vez mais associada à maturidade cibernética. Investidores, parceiros e seguradoras avaliam o nível de preparo antes de firmar contratos.

A inexistência de um plano de resposta aprovado pela alta gestão demonstra ausência de comprometimento institucional. Seguradoras de risco cibernético exigem evidências de controles e simulações. Sem isso, prêmios sobem ou cobertura é negada. O impacto financeiro começa antes mesmo do incidente.

Governança adequada envolve definição de papéis, orçamento específico, métricas de desempenho e relatórios periódicos ao board. Impreparação significa ausência desses elementos, deixando a empresa vulnerável não apenas tecnicamente, mas estrategicamente.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

A implementação profissional começa com diagnóstico profundo do ambiente. É impossível construir resposta eficaz sem compreender ativos, fluxos de dados e vulnerabilidades existentes. O diagnóstico inclui inventário completo de ativos, identificação de sistemas críticos, análise de riscos e avaliação de maturidade em segurança.

Nessa fase, realiza-se levantamento de políticas existentes, contratos com fornecedores, nível de conformidade com LGPD e análise de controles técnicos já implementados. Muitas empresas descobrem que não possuem visibilidade total sobre seus próprios ativos. Servidores esquecidos, sistemas legados e integrações externas ampliam superfície de ataque.

Também é fundamental mapear dependências de negócio. Quais sistemas são essenciais para continuidade operacional? Qual o impacto financeiro por hora de indisponibilidade? Sem essa clareza, não é possível priorizar esforços de resposta.

Por fim, o diagnóstico deve incluir testes técnicos, como varredura de vulnerabilidades e simulações controladas. Esse retrato inicial orienta todas as fases seguintes.

Fase 2: Planejamento e arquitetura

Com base no diagnóstico, desenvolve-se o plano formal de resposta a incidentes. Esse documento define classificação de incidentes, fluxos de escalonamento, responsabilidades, comunicação interna e externa, critérios de acionamento de fornecedores e procedimentos de preservação de evidências.

A arquitetura tecnológica também é definida nessa fase. Implementação de SIEM, EDR, segmentação de rede, backups imutáveis e políticas de controle de acesso fazem parte do desenho estrutural. Cada tecnologia deve estar alinhada ao plano de resposta.

Planejamento inclui criação de playbooks específicos para cenários como ransomware, vazamento de dados pessoais, comprometimento de e-mail corporativo e ataque DDoS. Esses playbooks reduzem improviso e aceleram decisões.

Além disso, a empresa deve integrar jurídico e compliance ao processo. A LGPD exige avaliação rápida sobre necessidade de comunicação à autoridade. Sem alinhamento prévio, a resposta fica comprometida.

Fase 3: Implementação e testes

Após planejamento, inicia-se implementação técnica e organizacional. Ferramentas são configuradas, integrações são realizadas e equipes são treinadas. Treinamento não é evento único, mas processo contínuo.

Testes são etapa crítica. Simulações de mesa, exercícios de resposta e testes de restauração de backup garantem que o plano funcione na prática. Muitas empresas descobrem falhas apenas durante simulações, o que evita prejuízos reais.

Também é necessário validar comunicação. Quem informa clientes? Quem responde à imprensa? Quem interage com a autoridade reguladora? Testes devem incluir esses cenários.

Sem testes recorrentes, o plano se torna documento estático. Implementação profissional exige validação prática.

Fase 4: Monitoramento contínuo

Segurança é processo contínuo. Monitoramento 24x7 garante detecção rápida de anomalias. Indicadores de comprometimento devem ser constantemente atualizados. Inteligência de ameaças ajuda a antecipar riscos emergentes.

Relatórios periódicos à diretoria mantêm o tema na agenda estratégica. Métricas como tempo médio de detecção e tempo médio de resposta indicam maturidade.

Melhoria contínua é fundamental. Cada incidente, mesmo que pequeno, deve gerar lições aprendidas. Ajustes no plano fortalecem a organização.

Erros críticos e como evitá-los

Um erro recorrente é acreditar que antivírus resolve tudo. Segurança moderna exige abordagem multicamadas. Outro erro é não testar backups. Muitas empresas descobrem que o backup não funciona apenas durante o ataque.

Ignorar treinamento de colaboradores também é falha grave. Engenharia social continua sendo principal vetor de ataque. Sem capacitação, tecnologia perde eficácia.

Outro erro é não envolver alta gestão. Sem patrocínio executivo, orçamento é limitado e prioridades são desviadas.

Subestimar comunicação é falha estratégica. Crises mal gerenciadas geram danos reputacionais maiores que o incidente técnico.

Não documentar procedimentos compromete continuidade. Improvisação aumenta tempo de resposta.

Ignorar fornecedores é risco. Cadeia de suprimentos pode ser vetor de ataque.

Não manter logs adequados impede investigação forense.

Acreditar que empresa pequena não é alvo é erro perigoso. Criminosos buscam vulnerabilidades, não tamanho.

Ferramentas e tecnologias essenciais

Ferramenta | Função | Benefício principal SIEM | Correlação de logs | Visibilidade centralizada EDR | Detecção em endpoints | Resposta rápida a ameaças Firewall NGFW | Controle de tráfego | Bloqueio de ataques externos Backup imutável | Recuperação segura | Proteção contra ransomware SOAR | Automação de resposta | Redução de tempo de contenção Plataforma de Threat Intelligence | Inteligência de ameaças | Antecipação de riscos

SIEM permite correlação avançada de eventos e identificação de padrões suspeitos. EDR atua diretamente nos endpoints, isolando máquinas comprometidas. Firewalls de próxima geração analisam tráfego em profundidade. Backups imutáveis garantem restauração confiável. SOAR automatiza tarefas repetitivas, reduzindo tempo de resposta. Threat intelligence fornece contexto estratégico.

Checklist completo de implementação

Prioridade alta inclui inventário de ativos, implementação de backups testados, criação de plano formal de resposta, contratação de SOC 24x7 e treinamento inicial de colaboradores.

Prioridade média envolve testes de simulação, implementação de SIEM e EDR, segmentação de rede, políticas de controle de acesso e revisão contratual com fornecedores.

Prioridade contínua inclui monitoramento 24x7, atualização de playbooks, auditorias periódicas, relatórios executivos, revisão de políticas e melhoria contínua baseada em lições aprendidas.

Casos reais e estudos de caso

Um hospital brasileiro sofreu ransomware que paralisou atendimentos por dias. A ausência de backup testado ampliou impacto. O custo ultrapassou milhões em receita perdida e danos reputacionais.

Uma indústria teve dados exfiltrados por meses sem detecção. Sem SIEM, logs não foram analisados. A multa e perda de contratos superaram o investimento que seria necessário para prevenção.

Uma empresa de varejo reagiu rapidamente graças a plano estruturado e SOC ativo. Conseguiu conter ataque em horas, reduzindo drasticamente impacto financeiro.

Como a Decripte Resolve Impreparação para Resposta a Incidentes: Serviços e Diferenciais

A Decripte atua com SOC 24x7, resposta a incidentes, pentest e adequação à LGPD. Nosso modelo integra tecnologia, processo e pessoas, garantindo maturidade real.

Com monitoramento contínuo, detectamos ameaças antes que se tornem crises. Nosso time de resposta atua rapidamente na contenção e investigação.

Oferecemos testes de intrusão para identificar vulnerabilidades antes que criminosos explorem. Atuamos também em compliance, alinhando segurança à LGPD.

Acesse https://decripte.com.br/intelligence-center e realize diagnóstico gratuito.

Passo 1: Faça diagnóstico gratuito no Intelligence Center. Passo 2: Participe de reunião de alinhamento estratégica. Passo 3: Ative o serviço adequado ao seu perfil.

Perguntas frequentes (FAQ)

1. O que é resposta a incidentes?

Resposta a incidentes é o conjunto estruturado de processos e ações destinados a identificar, conter, erradicar e recuperar sistemas após um evento de segurança.

2. Quanto custa um ataque no Brasil?

O custo médio supera R$ 6,2 milhões, considerando impacto técnico, jurídico e reputacional.

3. Toda empresa precisa de plano formal?

Sim, independentemente do porte, pois ameaças atingem todos os segmentos.

4. O que é SOC 24x7?

É um centro de operações de segurança que monitora ambientes continuamente.

5. LGPD exige comunicação de incidentes?

Sim, quando há risco ou dano relevante aos titulares.

6. Backup resolve ransomware?

Backup é essencial, mas deve ser testado e protegido contra alteração.

7. Quanto tempo leva implementar?

Depende do porte, mas pode variar de semanas a meses.

8. Pequenas empresas são alvo?

Sim, muitas vezes por terem menos proteção.

9. O que é playbook de incidente?

Documento com passo a passo para cenários específicos.

10. Seguro cibernético substitui prevenção?

Não, seguradoras exigem controles mínimos.

11. Treinamento reduz riscos?

Sim, reduz sucesso de engenharia social.

12. Como começar?

Iniciando diagnóstico gratuito no Intelligence Center.

Comece agora — diagnóstico gratuito em 5 minutos

A impreparação custa milhões. Não espere o incidente acontecer para agir.

Acesse https://decripte.com.br/intelligence-center e descubra seu nível de exposição.

Conheça também nossos /planos e explore conteúdos no /artigos para fortalecer sua estratégia.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

A análise dos incidentes que compõem a média de R$ 6,2 milhões por ataque no Brasil revela padrões claros alinhados ao framework MITRE ATT&CK. O vetor inicial mais recorrente continua sendo phishing direcionado (T1566.001 – Spearphishing Attachment), frequentemente combinado com exploração de credenciais válidas (T1078). Campanhas recentes utilizam anexos HTML smuggling e arquivos ISO/IMG para contornar gateways de e-mail tradicionais. Após a execução inicial, loaders como QakBot, IcedID ou Bumblebee são utilizados para estabelecer persistência e preparar o ambiente para ransomware.

Outro vetor predominante é a exploração de serviços expostos à internet (T1190 – Exploit Public-Facing Application). Vulnerabilidades em VPNs, appliances de borda e aplicações web (incluindo falhas como SQLi e RCE em frameworks desatualizados) continuam sendo portas de entrada críticas. Observa-se forte correlação entre ausência de patch management estruturado e comprometimento inicial em menos de 72 horas após divulgação pública de CVEs críticas.

Na fase de pós-exploração, técnicas de Privilege Escalation (T1068) e Credential Dumping (T1003) são amplamente empregadas. Ferramentas como Mimikatz, LSASS dumping via comsvcs.dll e abuso de DCSync (T1003.006) permitem movimentação lateral rápida (T1021 – Remote Services). Em ambientes híbridos, o abuso de tokens OAuth e sincronização inadequada entre AD on-premises e Azure AD ampliam significativamente o raio de impacto.

Para evasão de defesas (T1562), agentes maliciosos desabilitam EDRs, alteram políticas de logging e utilizam living-off-the-land binaries (LOLBins), como PowerShell, WMI e PsExec. O uso de PowerShell obfuscado (T1059.001) com base64 encoding ainda é altamente prevalente. A criptografia de tráfego C2 via HTTPS e DNS tunneling (T1071) dificulta detecção baseada apenas em inspeção superficial.

Na fase final, ataques de ransomware executam Impact (T1486 – Data Encrypted for Impact) combinados com exfiltração prévia (T1041). A dupla extorsão tornou-se padrão operacional: dados sensíveis são extraídos para infraestrutura em nuvem pública antes da criptografia, aumentando pressão regulatória e reputacional. Organizações sem segmentação de rede adequada permitem que o atacante comprometa backups online, elevando drasticamente o custo de recuperação.

Indicadores de Comprometimento e Detecção

Indicadores de Comprometimento (IOCs) eficazes devem abranger múltiplas camadas: endpoints, rede, identidade e cloud. Hashes de arquivos maliciosos (SHA-256), domínios recém-criados (DGA-like patterns) e IPs associados a bulletproof hosting são apenas o ponto inicial. IOCs comportamentais — como criação suspeita de tarefas agendadas (schtasks.exe) ou execução anômala de rundll32 — possuem maior valor de longo prazo.

No contexto de SIEM, regras devem correlacionar eventos de autenticação anômalos (ex.: múltiplas falhas seguidas de sucesso fora do horário comercial) com criação de novos administradores de domínio. Casos de uso baseados em UEBA (User and Entity Behavior Analytics) aumentam a capacidade de identificar abuso de credenciais válidas. Logs críticos incluem: Event ID 4624/4625 (logon), 4672 (privilégios especiais) e 4688 (process creation).

Regras YARA podem detectar padrões específicos de ransomware e loaders. Exemplos incluem identificação de strings relacionadas a extensões de arquivos criptografados, mutexes conhecidos e padrões de packers comuns. A combinação de YARA em endpoints com sandboxing automatizado reduz o tempo de análise de artefatos suspeitos.

A detecção deve evoluir de IOCs estáticos para IOAs (Indicators of Attack). Por exemplo, sequência de eventos envolvendo: download via PowerShell + execução de binário temporário + conexão externa persistente. Essa abordagem baseada em comportamento reduz dependência de assinaturas e aumenta resiliência contra variantes customizadas.

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O primeiro trimestre deve concentrar-se em assessment técnico e organizacional. Isso inclui análise de maturidade (baseada em NIST CSF ou ISO 27001), varredura de vulnerabilidades interna e externa e teste de intrusão controlado. A meta é estabelecer baseline claro de exposição e tempo médio de detecção (MTTD).

Simultaneamente, deve-se mapear ativos críticos e fluxos de dados sensíveis. Muitas organizações não possuem inventário atualizado, o que inviabiliza resposta eficaz. A métrica de sucesso aqui é alcançar 95% de visibilidade sobre ativos de TI e shadow IT identificado.

Por fim, conduzir simulação de incidente (tabletop exercise) com liderança executiva. Avaliar tempo de tomada de decisão e clareza de papéis. Métrica-chave: definição formal de RACI para incidentes e aprovação de orçamento estruturado de resposta.

Fase 2: Fundação (Meses 4-6)

Implementar controles fundamentais: MFA obrigatório para acessos privilegiados, segmentação de rede e política robusta de backup offline (3-2-1). A meta é reduzir superfície de ataque explorável em pelo menos 40%.

Implantar ou otimizar SIEM com casos de uso prioritários baseados nas TTPs identificadas. Integrar logs de AD, firewall, EDR e aplicações críticas. Métrica de sucesso: cobertura de logging superior a 85% dos ativos críticos.

Estabelecer processo formal de patch management com SLA definido (ex.: correção de vulnerabilidades críticas em até 7 dias). Indicador-chave: redução do backlog de vulnerabilidades críticas em 60% até o final da fase.

Fase 3: Operação (Meses 7-9)

Criar ou amadurecer SOC interno ou híbrido (MSSP). Monitoramento 24x7 passa a ser requisito mínimo. Métrica: redução do MTTD para menos de 24 horas em incidentes de alta severidade.

Implementar playbooks automatizados (SOAR) para contenção inicial, como isolamento automático de endpoint comprometido. Objetivo: reduzir MTTR (Mean Time to Respond) em pelo menos 30%.

Realizar Red Team ou Purple Team exercise para validar eficácia dos controles implantados. Métrica de sucesso: aumento da taxa de detecção de técnicas MITRE críticas acima de 70%.

Fase 4: Otimização (Meses 10-12)

Adotar abordagem de threat hunting proativa baseada em hipóteses. Caças mensais focadas em TTPs relevantes ao setor aumentam maturidade defensiva. Meta: identificar ao menos 2 melhorias estruturais por ciclo de hunting.

Implementar métricas executivas contínuas (KPIs e KRIs), como taxa de cobertura de MFA, tempo médio de aplicação de patches e percentual de ativos com EDR ativo. A meta é consolidar dashboard para o board com atualização trimestral.

Revisar plano de resposta a incidentes com base em lições aprendidas. Conduzir novo exercício executivo e medir evolução. Indicador-chave: redução de 50% no tempo de decisão estratégica comparado ao exercício inicial.

Perguntas Aprofundadas de Executivos Seniores

1. Estamos investindo o suficiente ou apenas gastando mais?

Investimento eficaz em cibersegurança não é medido pelo volume financeiro aplicado, mas pela redução mensurável de risco. Organizações maduras vinculam orçamento a métricas claras como redução de MTTD, MTTR, cobertura de MFA e percentual de ativos monitorados. Se os investimentos não resultam em melhoria objetiva nesses indicadores, trata-se apenas de aumento de custo operacional.

Executivos devem exigir correlação entre gastos e diminuição de exposição financeira estimada. Modelos quantitativos como FAIR permitem traduzir risco cibernético em impacto financeiro esperado. Assim, o investimento deixa de ser percebido como centro de custo e passa a ser instrumento de proteção de EBITDA e valor de mercado.

2. Qual é nosso real tempo de sobrevivência durante um ataque?

A pergunta crítica não é “se” ocorrerá um ataque, mas quanto tempo a organização consegue operar sob comprometimento parcial. Isso envolve resiliência operacional, redundância de sistemas e qualidade de backups. Empresas que testam restauração regularmente conseguem retomar operações críticas em menos de 48 horas.

Sem testes práticos, o plano de continuidade é apenas documentação. Executivos devem exigir evidências objetivas: relatórios de testes de restore, simulações de indisponibilidade e métricas reais de RTO/RPO. A sobrevivência operacional é diferencial competitivo em crises.

3. Estamos preparados para impacto regulatório e reputacional?

No Brasil, a LGPD impõe obrigações claras de notificação e pode gerar sanções financeiras e danos reputacionais severos. A ausência de governança sobre dados sensíveis amplia o risco jurídico pós-incidente. Portanto, preparação envolve integração entre segurança, jurídico e comunicação corporativa.

Empresas maduras possuem plano estruturado de comunicação de crise, com mensagens pré-aprovadas e porta-vozes definidos. O tempo de resposta pública influencia diretamente percepção de mercado e confiança de clientes.

4. Nosso conselho entende o risco cibernético em linguagem de negócio?

A comunicação técnica isolada não engaja o board. É essencial traduzir vulnerabilidades em impacto estratégico: perda de receita, paralisação logística, multas regulatórias e queda de valuation. Dashboards executivos devem focar em tendências e exposição agregada.

Quando o conselho compreende o risco como variável financeira concreta, decisões orçamentárias tornam-se mais racionais e alinhadas à estratégia corporativa.

5. Se sofrermos um ataque amanhã, quem decide pagar ou não o resgate?

A decisão sobre pagamento de resgate não pode ser improvisada sob pressão. Deve existir diretriz prévia aprovada pelo board, considerando aspectos legais, éticos e estratégicos. A ausência de política clara aumenta caos decisório e potencializa danos.

Empresas que discutem previamente cenários de extorsão tomam decisões mais rápidas e alinhadas à governança. Independentemente da posição adotada, a prioridade deve ser reduzir probabilidade de chegar a esse ponto por meio de preparação técnica robusta e resiliência operacional comprovada.