O setor público do Reino Unido atingiu um ponto de inflexão em sua ciber-resiliência. Com a posse de um novo primeiro-ministro e mudanças significativas na estrutura governamental, incluindo o desmantelamento do DSIT — departamento central para políticas digitais, de tecnologia e cibernéticas — as responsabilidades estão sendo redistribuídas. Essa reconfiguração cria um novo cenário para os líderes do setor público navegar.

Por anos, a cibersegurança foi tratada como uma disciplina operacional especializada, essencial, mas delegada a equipes técnicas. Esse modelo não é mais sustentável. A pressão agora vem de três frentes simultâneas: políticas que elevam as expectativas para conselhos e líderes seniores; reformas organizacionais que remodelam a conexão entre serviços, sistemas e fornecedores; e a mudança tecnológica, do cloud e trabalho híbrido à inteligência artificial (IA), que expande tanto oportunidades quanto exposições. Essas forças combinadas significam que a ciber-resiliência não pode mais ficar abaixo do nível do conselho.

Serviços públicos, desde saúde e benefícios até transporte, educação, governo local e resposta a emergências, são hoje tão dependentes digitalmente que um incidente cibernético não é apenas uma interrupção de TI. Torna-se um risco à confiança pública, à segurança e à continuidade do próprio governo. A história recente demonstra as consequências práticas. O ataque de ransomware de 2024 à Synnovis, um provedor de serviços de patologia para partes do NHS, reduziu drasticamente a capacidade de processamento de exames e causou interrupções significativas, afetando milhares de agendamentos.

Resiliência Cibernética: Uma Nova Obrigação de Liderança Moldada por Políticas

A direção do governo e do National Cyber Security Centre (NCSC) é clara. O Cyber Resilience Pledge incentiva as organizações a tornarem a cibersegurança uma responsabilidade de conselho, aderirem ao NCSC Early Warning e adotarem uma abordagem baseada em risco para o Cyber Essentials em suas cadeias de suprimentos. O Cyber Governance Code of Practice do NCSC reforça que o risco cibernético deve ser governado como qualquer outro risco material da organização. Adicionalmente, o Cyber Security and Resilience Bill ampliará as expectativas para serviços essenciais e digitais, fortalecendo o reporte de incidentes e incluindo mais fornecedores críticos.

Isso é crucial, pois a escala e o impacto das ameaças cibernéticas contra o Reino Unido estão em acentuado crescimento. O NCSC lidou com 204 incidentes cibernéticos de significância nacional no ano até setembro de 2025, um aumento expressivo em relação aos 89 do ano anterior. Isso significa que o Reino Unido está experimentando, em média, quatro ataques cibernéticos de significância nacional por semana. A política, portanto, alterou a pergunta feita nos conselhos: em vez de apenas questionar o investimento em ferramentas de segurança, os líderes devem agora indagar se a organização pode provar resiliência, evidenciar responsabilidade e continuar entregando serviços críticos sob pressão.

Reorganização Organizacional e Riscos Ocultos na Cibersegurança

A segunda força motriz é a mudança organizacional. A reorganização do governo local está redesenhando estruturas e responsabilidades na Inglaterra. A renacionalização de ferrovias e outras mudanças na propriedade pública alteram quem gerencia e protege dados e sistemas críticos. Prioridades e modelos de entrega também evoluem sob um novo primeiro-ministro, com a desmontagem do DSIT e a realocação de funções como transformação digital e adoção de IA para diferentes departamentos. Cada uma dessas transições cria potenciais lacunas: sistemas precisam ser integrados, privilégios de acesso reavaliados, dados movidos entre equipes e contratos redefinidos. Durante períodos de mudança, a superfície de ataque se expande e a responsabilidade pode se tornar turva.

Por isso, a ciber-resiliência deve ser incorporada à reforma do setor público desde o início. A questão não é apenas como reestruturar serviços eficientemente, mas como garantir que os cidadãos continuem acessando esses serviços de forma segura durante a transição. Reorganização sem resiliência representa um risco público. A complexidade de sistemas interconectados e a necessidade de redefinir responsabilidades em meio a reestruturações exigem atenção redobrada para evitar que a segurança seja negligenciada em nome da eficiência.

Mudança Tecnológica e a Necessidade de Garantia Contínua

A terceira força é a mudança tecnológica. O trabalho no setor público agora ocorre em ambientes híbridos, plataformas de nuvem, ecossistemas de parceiros e cadeias de suprimentos complexas. Modelos de segurança tradicionais, construídos para um mundo mais estável com redes fixas e limites organizacionais claros, não são mais adequados. A IA acelera essa urgência. Embora já utilizada para aumentar a produtividade e analisar informações, a falta de governança pode levar as organizações a perderem o controle sobre quais ferramentas estão sendo usadas e quais dados elas acessam, expondo informações sensíveis. A IA sombra não é um risco futuro, mas um desafio de governança presente.

A resiliência neste ambiente requer garantia contínua. O acesso não deve ser concedido apenas por estar em uma rede confiável; cada solicitação deve ser verificada com base em identidade, contexto, postura do dispositivo e risco. Os usuários devem ter apenas o acesso necessário, quando necessário. Aplicações devem ser protegidas contra exposição desnecessária, e dados segmentados para que um comprometimento em uma área não se espalhe automaticamente pela organização. A adoção de novas tecnologias, como a IA, exige um framework robusto de governança para mitigar riscos antes que se tornem incontroláveis.

O que os Conselhos do Setor Público Devem Fazer Agora

Tornar a ciber-resiliência uma prioridade de conselho não exige que todos os diretores se tornem especialistas técnicos. Requer que líderes seniores possuam governança, evidências e responsabilidade adequadas para responder às forças que remodelam o risco. Isso começa tratando a ciber-resiliência como um item permanente na pauta do conselho, diretamente ligado à continuidade dos serviços, confiança do cidadão e entrega de reformas. Os conselhos precisam entender quais serviços críticos dependem de quais sistemas, fornecedores e conjuntos de dados, onde existem pontos únicos de falha e como interrupções em uma parte do ecossistema podem afetar o acesso dos cidadãos a serviços essenciais.

A garantia da cadeia de suprimentos deve ser parte integrante dessa conversa. A resiliência não pode parar na fronteira de um único departamento, pois os serviços públicos são entregues por ecossistemas. O Cyber Essentials, verificações de fornecedores, obrigações contratuais e expectativas claras de reporte de incidentes devem ser incorporados à aquisição e gestão de contratos. Paralelamente, os órgãos públicos precisam migrar de confiança implícita baseada em redes para verificação contínua baseada em identidade e contexto. A adoção de IA deve ser governada antes de escalar, garantindo que a inovação não crie rotas não gerenciadas para informações sensíveis.

A resiliência é agora um teste à liderança do setor público. O ambiente político do Reino Unido mudou, as organizações públicas estão mudando e a tecnologia evolui ainda mais rapidamente. Gerenciar essa complexidade exige incorporar a ciber-resiliência na governança, transformação e entrega dos serviços públicos. O setor público não pode se dar ao luxo de tratar a resiliência como algo a ser adaptado posteriormente; deve ser projetada desde o início, medida em nível de liderança e testada continuamente. A ciber-resiliência não é apenas sobre proteger sistemas, mas sobre proteger a capacidade do público de confiar no governo em tempos de mudança simultânea de políticas, organizações e tecnologia, tornando-a, por definição, uma prioridade de conselho.

Com reportagem de Brazil Valley

Source · The Register