A sequência de incidentes de segurança do último mês, apelidada de “Black October”, mostrou na prática o custo de descobrir uma falha tarde. Duas vulnerabilidades críticas no PHP, linguagem usada por cerca de 70% dos sites, permitem que um invasor execute código em servidores sem precisar de login. Governos de vários países tiraram sites do ar por precaução, e tentativas de exploração foram registradas quatro dias antes de a correção ser publicada. No mesmo período, um grupo usou ferramentas de inteligência artificial para invadir mais de 2 mil ambientes corporativos em nuvem, chegando em alguns casos a acesso administrativo em menos de três horas.
Quando uma falha como essas aparece, ela chega à área financeira como uma conta que ninguém provisionou: multa, resposta emergencial, contratos em renegociação, apólice de seguro reavaliada. O desvio quase sempre começou meses antes, e é esse intervalo que transforma um ajuste de baixo custo em impacto no resultado. Para a Claranet, provedora global de serviços de tecnologia com expertise em Cloud, AI, Data e Cybersecurity, o avanço da inteligência artificial e do multicloud tornou insuficiente o compliance baseado em verificações periódicas.
Para Valéria Vilalobo, CFO da Claranet no Brasil, o tema precisa ser tratado como gestão de risco financeiro, e não como assunto exclusivo de tecnologia: qual é a exposição da companhia, quanto ela custa a cada mês de atraso e quanto se gasta hoje para reduzi-la.
“Uma falha de compliance não corrigida é um passivo contingente que ninguém está acompanhando. Enquanto ela está aberta, a exposição cresce, e a empresa só enxerga o valor quando ele vira multa, ressarcimento ou perda de contrato. Descobrir isso durante uma auditoria ou um ataque significa pagar o preço cheio, sem ter tido a chance de decidir quanto investir para evitá-lo”, afirma a executiva.
Com o uso de IA, o intervalo entre a descoberta de uma falha e sua exploração em larga escala caiu de semanas para horas, e a empresa que só revisa seus controles na auditoria anual descobre o problema junto com o atacante, ou depois dele. Monitoramento contínuo e preventivo significa enxergar a exposição antes que ela vire incidente. Na prática, envolve um inventário sempre atualizado de sistemas, versões e fornecedores, varredura permanente de vulnerabilidades e configurações, acompanhamento de alertas de ameaças para agir antes mesmo da correção oficial e uma equipe de detecção e resposta ativa 24 horas. No caso do PHP, quem tinha essa estrutura soube em minutos quais servidores eram afetados e pôde aplicar proteções ou isolar apenas esses sistemas. Quem não tinha precisou primeiro descobrir onde estava exposto e, muitas vezes, tirar tudo do ar, com receita e atendimento interrompidos.
A conta de descobrir tarde vai muito além da multa. A LGPD prevê sanções de até 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração, mas um incidente também exige resposta emergencial, comunicação à ANPD e aos titulares, perícia e ressarcimento a clientes. No relatório Cost of a Data Breach, da IBM, de 2026, o custo médio de uma violação de dados no Brasil chegou a R$ 7,44 milhões. Somam-se penalidades contratuais, prêmios mais altos no seguro cibernético e lacunas de controle que viram ajuste de preço em operações de crédito ou M&A.
Do ponto de vista financeiro, o monitoramento contínuo troca um custo variável, de cauda longa e difícil de orçar por uma despesa recorrente, com escopo, indicadores e níveis de serviço definidos, que pode ser comparada ao risco que reduz. A auditoria também fica mais barata, porque passa a confirmar evidências coletadas ao longo do ano. Valéria recomenda que a área financeira acompanhe quanto tempo a empresa leva para detectar um desvio, qual a parcela dos controles com evidência atualizada e quanto do orçamento de compliance vai para correção emergencial. Se a maior parte do gasto for reativa, o problema já é de gestão de capital.
Poucas empresas conseguem manter sozinhas uma estrutura de monitoramento ativa 24 horas, com especialistas e ferramentas atualizados. Para a maioria, contratar esse serviço de um parceiro especializado tende a ser mais eficiente do que montá-lo internamente, e a decisão deve ser tomada em conjunto por tecnologia e finanças, com base na exposição que se quer reduzir.
“A pergunta deixou de ser quando será a próxima auditoria. O que importa é quanto tempo a empresa consegue ficar sem saber que existe um risco, e quanto ela pagaria para ter descoberto antes. Monitoramento contínuo, automação e evidências atualizadas transformam compliance em gestão preventiva, e prevenir costuma custar menos do que remediar”, conclui a CFO.