O governo britânico oficializou nesta terça-feira o novo Pacto de Resiliência Cibernética, uma iniciativa desenhada para elevar a segurança digital ao patamar de prioridade estratégica nas salas de conselho. Sob a liderança da secretária de tecnologia Liz Kendall, o programa angariou 60 adesões iniciais, estabelecendo diretrizes como a adoção do serviço de alerta precoce do Centro Nacional de Cibersegurança e o incentivo à certificação de fornecedores. A tese central, segundo o governo, é que a cibersegurança deixou de ser um problema técnico restrito ao departamento de TI para se tornar um imperativo de continuidade de negócios, especialmente diante da sofisticação de ataques impulsionados por inteligência artificial.

A presença da Marks & Spencer entre os signatários é vista como um movimento de reparação de imagem, dado que a varejista enfrentou um dos incidentes de segurança mais notórios do mercado britânico no último ano. Contudo, a lista de participantes também trouxe surpresas. A Capita, que acumula incidentes de segurança recentes — incluindo uma multa do órgão regulador ICO por um ataque de ransomware que expôs dados de 6 milhões de registros —, figura entre os parceiros de lançamento. A inclusão de nomes com históricos problemáticos sugere que o pacto opera mais como um selo de intenções do que como uma métrica rigorosa de competência técnica.

A falha na adesão de grandes players

O caráter voluntário do pacto cria uma dinâmica curiosa no mercado britânico. A ausência de empresas como Co-op, Harrods e Jaguar Land Rover é tão reveladora quanto a presença dos signatários. A Jaguar Land Rover, especificamente, passou por um período de recuperação prolongado após um ataque cibernético, recebendo inclusive aportes governamentais para blindar sua cadeia de suprimentos. O fato de esses nomes não figurarem na lista oficial levanta dúvidas sobre a eficácia da iniciativa como uma ferramenta de padronização de segurança corporativa.

Se o objetivo do governo é criar uma cultura de responsabilidade, a ausência de grandes players que já sofreram incidentes críticos sugere que o incentivo político pode não ser suficiente para mobilizar o setor privado. A falta de mecanismos de fiscalização ou enforcement transforma o pacto em uma vitrine de relações públicas, onde a decisão de assinar ou não parece baseada em cálculos de reputação, e não necessariamente em uma mudança estrutural na postura de cibersegurança das companhias.

O papel da governança corporativa

A exigência de que a cibersegurança seja tratada como responsabilidade de nível de conselho é o ponto mais ambicioso da proposta. Historicamente, a governança digital tem sido tratada como uma questão operacional, delegada aos CISOs e gerentes de infraestrutura. Ao elevar essa pauta para a diretoria, o governo busca forçar uma mudança na alocação de capital e na priorização de riscos. Contudo, sem métricas claras de desempenho, o risco é que a iniciativa se torne apenas mais uma camada de conformidade burocrática.

A participação de gigantes como a Microsoft, que frequentemente lida com vulnerabilidades em seus próprios produtos, reforça a complexidade do ecossistema. Profissionais de segurança observam que, embora o engajamento seja positivo, a dependência de plataformas cujas falhas geram trabalho constante para as equipes de TI cria um paradoxo. O pacto, portanto, reflete a tensão entre a necessidade de uma defesa coordenada e a realidade fragmentada das operações corporativas modernas.

Implicações para o ecossistema

Para reguladores, o desafio reside em equilibrar o incentivo à cooperação com a necessidade de punições para negligências graves. O mercado, por sua vez, observa o movimento com ceticismo, buscando entender se a adesão ao pacto trará benefícios competitivos ou se será apenas um custo operacional adicional. Para o ecossistema brasileiro, que também enfrenta desafios crescentes de regulação de dados e segurança, o modelo britânico serve como um estudo de caso sobre os limites da autorregulação corporativa.

A eficácia dessa iniciativa dependerá da capacidade do governo em manter o interesse das empresas além do anúncio inicial. Se o pacto não evoluir para padrões mais técnicos e auditáveis, corre o risco de ser esquecido à medida que novos incidentes de segurança, inevitavelmente, atingirem tanto signatários quanto não signatários. A resiliência, no fim das contas, é medida pela capacidade de resposta e não pela assinatura de documentos.

Perspectivas de longo prazo

O que permanece incerto é se a pressão governamental será suficiente para alterar o comportamento de empresas que priorizam o lucro imediato em detrimento de investimentos em segurança de longo prazo. A observação dos próximos meses será fundamental para entender se o pacto atrairá mais adesões ou se a lista de signatários permanecerá estagnada.

O mercado aguarda para ver se o governo britânico introduzirá medidas de incentivo fiscal ou outras formas de suporte para as empresas que decidirem implementar as diretrizes com seriedade. A questão central é se o selo de resiliência terá algum valor real para clientes e investidores ou se será apenas um exercício de relações públicas.

Com reportagem de Brazil Valley

Source · The Register