A percepção de vulnerabilidade no ambiente corporativo brasileiro passou por uma transformação decisiva no último ciclo de gestão cibernética. O risco que mais tira o sono dos diretores de segurança da informação (CISOs) já não se limita à ação direta de grupos hackers externos, mas concentra-se nas falhas e condutas internas. É o que revela a edição 2026 do relatório Voice of the CISO, conduzido pela empresa de cibersegurança Proofpoint e divulgado no final de setembro.
De acordo com o levantamento, 72% dos CISOs brasileiros apontam o comportamento dos próprios funcionários como a principal vulnerabilidade de suas organizações. Ao mesmo tempo, o temor de ataques externos severos sofreu uma queda acentuada: a fatia de executivos que acreditavam que sua organização sofreria uma invasão relevante nos próximos doze meses recuou de 86% em 2025 para 54% em 2026. A perda material de dados corporativos reportada também acompanhou essa trajetória de recuo, caindo de 85% para 53% das empresas entrevistadas.
O gargalo crítico do desligamento de colaboradores
Apesar da aparente retração nos ataques convencionais em massa, o estudo identificou um indicador alarmante sobre o vazamento de informações confidenciais: entre as companhias brasileiras que registraram perda tangível de dados no último período, 94% afirmaram que funcionários em processo de desligamento tiveram envolvimento direto no problema.
Esse cenário reflete falhas recorrentes no processo de offboarding e no gerenciamento de identidades e acessos (IAM). Quando contratos de trabalho chegam ao fim sem a devida revogação imediata de privilégios ou sem monitoramento preventivo contra exfiltração, ex-funcionários frequentemente copiam bases de clientes, segredos industriais, credenciais ou históricos de desenvolvimento para repositórios pessoais na nuvem ou dispositivos externos.
Para Marcos Nehme, diretor-geral da Proofpoint no Brasil, a dinâmica confirma uma mudança estrutural nas defesas empresariais. Conforme avaliou o executivo na apresentação do relatório, o perímetro de segurança moderno deixou de ser puramente tecnológico ou de rede e tornou-se essencialmente humano, exigindo que as salvaguardas acompanhem a jornada dos usuários e os fluxos reais de informação.
IA generativa se consolida como nova fonte de tensão corporativa
Outro vetor que acelerou a preocupação das lideranças de tecnologia é a consolidação das ferramentas de inteligência artificial generativa na rotina de trabalho. O percentual de CISOs no Brasil que enxergam esses modelos como um risco direto à segurança da organização saltou 12 pontos percentuais em relação ao ano anterior, atingindo 77% dos entrevistados.
A inquietação corporativa com a IA ocorre principalmente por meio de práticas conhecidas como shadow AI — quando equipes operacionais alimentam chatbots, copilotos de código e plataformas generativas públicas com dados estratégicos, linhas de programação proprietárias, planilhas financeiras ou dados pessoais de consumidores, sem homologação ou governança pela área técnica.
Além do risco de exposição involuntária de segredos comerciais nos servidores de terceiros, a automação com IA generativa vem sendo explorada por atacantes para sofisticar engenharia social, criando e-mails de spear-phishing contextualizados em português impecável, dificultando a triagem por filtros analíticos convencionais.
O que as empresas precisam ajustar na gestão de riscos
O diagnóstico apresentado pela pesquisa reforça que o endurecimento de firewalls e antivírus corporativos não é suficiente se as práticas de governança interna permanecerem estáticas. Especialistas apontam medidas práticas que precisam ser integradas à rotina das equipes de segurança e recursos humanos:
- Governança automatizada de desligamento: revogação sistêmica e sincronizada de permissões no exato momento da notificação de rescisão contratual, bloqueando o acesso a diretórios em nuvem, e-mails e plataformas colaborativas;
- Controle de vazamento de dados (DLP): aplicação de políticas ativas de prevenção contra perda de dados em terminais (endpoints), impedindo a exportação em massa de arquivos para mídias removíveis ou contas pessoais;
- Diretrizes claras para ferramentas de IA: estabelecimento de regras transparentes sobre quais plataformas de inteligência artificial são homologadas para uso corporativo e quais dados sensíveis nunca devem ser inseridos em prompts externos;
- Cultura e treinamento contínuo: superação dos treinamentos anuais genéricos em favor de simulações periódicas e orientações práticas voltadas a riscos reais do dia a dia, como identificação de comunicações fraudulentas e proteção de senhas.
Metodologia do estudo
O levantamento Voice of the CISO 2026 ouviu 1.600 diretores de segurança da informação em 16 países, contemplando uma amostra de 100 líderes de cibersegurança em atividade em grandes e médias organizações no Brasil. A pesquisa analisou percepções de ameaças, prontidão defensiva, maturidade de governança e os principais desafios humanos associados à transformação digital.
Proofpoint / Relatório Voice of the CISO 2026
