O valor quantificado da segurança cibernética: principais insights para CEOs e gestores de riscos cibernéticos do Relatório sobre o estado da gestão de riscos cibernéticos em 2025

No ambiente empresarial dinâmico de hoje, a cibersegurança já não é apenas uma função técnica; é um fator crítico para a resiliência empresarial e a vantagem competitiva. O Relatório sobre o estado da gestão de riscos cibernéticos em 2025 apresenta uma análise baseada em dados sobre como as organizações líderes estão a evoluir os seus programas de riscos cibernéticos para atender às crescentes exigências comerciais, regulatórias e operacionais. Com base numa pesquisa global com 402 líderes e profissionais de riscos cibernéticos, este relatório oferece insights cruciais para a liderança executiva e os gestores de riscos cibernéticos sobre como transformar a gestão de riscos de segurança cibernética (CRM) de uma lista de verificação de conformidade num ativo estratégico.

2025 State of Cyber Risk Management Report

Para o CEO: Transformando o risco cibernético em resiliência empresarial

Como CEO, é responsável pela gestão de riscos empresariais, e os riscos cibernéticos são cada vez mais importantes nesse contexto. Este relatório destaca que o CRM está a impulsionar resultados comerciais tangíveis, incluindo um melhor alinhamento com o negócio, maior redução de riscos e otimização dos gastos com segurança cibernética.

Veja o que as organizações mais maduras estão a fazer de diferente e como isso afeta diretamente os seus resultados financeiros:

• Abordagem proativa e alinhada aos negócios: As organizações com programas de CRM altamente maduros são significativamente mais propensas a ter tolerâncias ao risco aprovadas pela diretoria, quantificar o risco em termos financeiros, incorporar o CRM em todas as funções de negócios e manter uma postura proativa de segurança cibernética. Isso significa antecipar ameaças e mitigar vulnerabilidades antes que elas se manifestem, em vez de apenas reagir a incidentes.

• O poder da quantificação (FAIR e CRQ): O relatório revela que a Análise de Fatores de Risco da Informação (FAIR) e a quantificação do risco cibernético (CRQ) estão a ganhar rapidamente impulso. Quase 45% das organizações utilizam ou planeiam utilizar a FAIR e, entre as que a adotaram, 90% relatam sucesso. As organizações que obtêm muito sucesso com a FAIR relatam melhores resultados comerciais, incluindo maior redução de riscos (54% contra 40% no geral), maior credibilidade da equipa de cibersegurança (77% contra 56% no geral) e otimização dos gastos com cibersegurança (65% contra 58% no geral). Quantificar o risco cibernético em termos monetários traduz o jargão técnico em linguagem comercial significativa, o que é crucial para decisões estratégicas informadas e supervisão ao nível da administração.

• Automatização e IA impulsionam escala e impacto: 72% das organizações automatizaram total ou parcialmente os seus sistemas de CRM, e 48% estão a utilizar IA para CRM. Não se trata apenas de eficiência; tanto a automatização do CRM quanto o uso de IA estão fortemente correlacionados com maior maturidade e melhores resultados comerciais. Por exemplo, organizações com alta automatização relatam melhor redução de riscos, gastos otimizados e maior escalabilidade para gestão de riscos de terceiros.

• Os dados são a força vital: programas de CRM eficazes reduzem a incerteza ao basear as decisões em inputs mensuráveis, utilizando uma gama diversificada de fontes de dados de ferramentas de cibersegurança comumente implementadas, como dados de segurança de terminais (78%), inteligência contra ameaças cibernéticas (77%) e resultados de auditorias de conformidade (76%). A operacionalização desses dados fornece uma imagem mais clara e defensável da exposição ao risco da sua organização.

• Integração com Gestão de Risco Empresarial (ERM): O risco cibernético não está mais isolado. Quase todos os inquiridos comunicam os riscos cibernéticos à ERM, e 38% comunicam e gerem os riscos cibernéticos em conjunto com os riscos empresariais. Essa convergência permite priorizar os investimentos em segurança cibernética com base no impacto geral da empresa, alinhando as metas de segurança com a estratégia de negócios e facilitando a supervisão dos riscos tecnológicos pelo conselho de administração.

• Embora os líderes executivos focados em tecnologia (CTOs, CISOs, CIOs, CROs) sejam os principais consumidores de informações sobre riscos cibernéticos, atualmente os conselhos de administração consomem essas informações em menos da metade das organizações participantes. Isso destaca uma oportunidade importante para aumentar ainda mais o envolvimento do conselho de administração por meio da quantificação financeira.

Para o gestor de riscos cibernéticos: estratégias práticas para aumentar o valor

Como gestor de riscos cibernéticos, a sua função está a evoluir para além dos controlos técnicos, tornando-se uma disciplina estratégica que impulsiona o desempenho empresarial. O relatório confirma que a procura por CRM está a crescer internamente, com quase todos (95%) os inquiridos a relatarem um aumento da procura interna, especialmente em organizações com elevada maturidade em CRM.

Veja como melhorar o seu programa de CRM e oferecer o máximo valor:

• Priorize resultados alinhados aos negócios: concentre-se em resultados que tenham impacto nos negócios, como impacto financeiro, gestão de custos, redução de riscos e conformidade. Lembre-se de que o CRM é uma disciplina estratégica que apoia o desempenho e a resiliência dos negócios, não apenas um processo técnico.

• Defenda o FAIR e a quantificação de riscos cibernéticos (CRQ): a adoção do FAIR pode levar a resultados significativamente melhores, incluindo maior credibilidade da equipa, otimização de gastos e maior redução de riscos. Essa mudança para enquadrar financeiramente o risco cibernético é fundamental para comunicar-se de forma eficaz com a liderança executiva.

• Abrace a automação: os seus sistemas de CRM devem ser automatizados. A maioria das organizações (72%) já alcançou sistemas de CRM total ou parcialmente automatizados. Essa automação está fortemente correlacionada com maior maturidade do CRM e melhores resultados, demonstrando sua necessidade para acompanhar as demandas dos negócios. Soluções especializadas de CRQ são cada vez mais preferidas em relação às plataformas GRC de uso geral para essa finalidade.

• Integre todas as operações: O CRM já não se limita às equipas de segurança. Integre-o com diversas funções comerciais e de TI, incluindo gestão de ativos de TI (96%), gestão de serviços de TI (95%), finanças e contabilidade (81%) e jurídico e conformidade (77%). Embora a integração com o desenvolvimento de produtos, a cadeia de abastecimento e os RH ainda esteja a surgir, estas áreas representam oportunidades significativas para melhorar a gestão de riscos.

• Aproveite a IA estrategicamente: Quase metade das organizações (48%) já está a utilizar IA para CRM, e muitas outras estão a experimentar ou a planear a adoção. A IA pode apoiar capacidades subjacentes, como deteção de ameaças, resposta a incidentes, análise de malware e gestão de vulnerabilidades. Também é cada vez mais utilizada para a gestão de riscos de terceiros, processando dados não estruturados para preencher modelos CRQ. A adoção da IA está fortemente correlacionada com uma maior maturidade do CRM e uma postura de cibersegurança mais proativa.

• Enfrentar os desafios organizacionais: Os desafios mais comuns não são técnicos, mas organizacionais: comunicação deficiente entre departamentos (37%), resistência de colegas e partes interessadas (34%) e falta de compromisso ou priorização da direção (33%). Concentrar-se em melhorar a comunicação, garantir o apoio da direção e promover a colaboração entre departamentos pode trazer benefícios significativos.

• Fortalecer a gestão de riscos de terceiros: Todas as organizações pesquisadas estendem seus programas de CRM aos processos de risco de terceiros. Embora a maturidade nessa área seja geralmente menor do que no CRM interno, os benefícios são claros, incluindo melhor alinhamento entre compras, segurança e jurídico, e maior visibilidade das dependências críticas de terceiros.

O futuro da gestão de riscos cibernéticos: um imperativo estratégico

O Relatório sobre o estado da gestão de riscos cibernéticos em 2025 indica claramente que a CRM está a amadurecer e a tornar-se uma disciplina que capacita as organizações a navegar pela incerteza com confiança. Essa evolução é impulsionada por tendências poderosas: crescente demanda interna, expansão da adoção do FAIR e da quantificação, institucionalização da automação e da IA, integração mais profunda na governança empresarial e pressão regulatória acelerada.

Ao adotar a quantificação, a automação e os dados, a sua organização estará melhor posicionada para reduzir a incerteza, permitir decisões mais inteligentes e construir confiança digital. Essa mudança da conformidade para a vantagem estratégica não é apenas uma aspiração; é a realidade das organizações líderes atualmente.

Baixe hoje mesmo a sua cópia do relatório.