Cibersegurança não é despesa. É estratégia de crescimento.

À medida que operações, receitas, inovação e relacionamento com clientes se tornam digitais, o orçamento de segurança deixa de financiar apenas proteção. Ele passa a sustentar resiliência, confiança e a própria capacidade de crescimento da empresa.

Durante muitos anos, a discussão sobre orçamento de cibersegurança dentro das empresas começava quase sempre pela mesma pergunta: quanto precisamos gastar para reduzir o risco de um ataque?

A pergunta continua válida. Mas já não é suficiente.

À medida que operações, produtos, relacionamentos com clientes, cadeias de fornecedores, inteligência artificial, infraestrutura em nuvem e processos críticos se tornam cada vez mais digitais, a segurança deixa de proteger apenas servidores, redes e dados. Ela passa a proteger a própria capacidade da organização de operar, inovar e crescer.

Essa mudança já pode ser percebida no volume de investimentos. A Gartner estima que os gastos mundiais com segurança da informação chegarão a aproximadamente US$ 244 bilhões em 2026, crescimento de 11,6% em moeda constante. Segundo a empresa, organizações estão ampliando investimentos para enfrentar ameaças, aumentar resiliência, obter benefícios da IA aplicada à segurança e proteger a própria utilização corporativa da inteligência artificial. (Gartner)

A questão para CISOs, CIOs, CFOs e conselhos de administração, portanto, começa a mudar.

Em vez de perguntar apenas “quanto custa proteger a empresa?”, talvez seja necessário acrescentar outra pergunta: Quanto do crescimento da empresa depende de conseguirmos operar digitalmente com segurança?

A segurança deixou de proteger apenas a TI

Durante décadas, segurança da informação foi tratada predominantemente como uma disciplina técnica. O orçamento financiava firewalls, antivírus, controles de acesso, backups, monitoramento, testes de vulnerabilidade e outras tecnologias necessárias para proteger a infraestrutura.

Esse modelo fazia sentido quando boa parte da tecnologia corporativa estava concentrada dentro do próprio perímetro da organização.

Esse perímetro praticamente desapareceu.

Hoje, uma empresa pode executar aplicações em múltiplas nuvens, utilizar dezenas ou centenas de serviços SaaS, disponibilizar APIs para parceiros, permitir trabalho remoto, integrar fornecedores diretamente aos seus processos e incorporar modelos de inteligência artificial a atividades que vão do atendimento ao cliente ao desenvolvimento de software.

O World Economic Forum resume bem essa transformação ao observar que, em 2026, a cibersegurança deixou de ser uma função técnica de bastidores para se tornar uma preocupação estratégica central para empresas, governos e sociedades. (World Economic Forum)

Consequentemente, segurança não pode mais ser compreendida simplesmente como uma camada adicionada à infraestrutura tecnológica.

Ela se tornou parte da infraestrutura necessária para executar a estratégia empresarial.

Uma empresa que pretende acelerar sua adoção de cloud precisa administrar identidades, configurações, workloads, dados, APIs e privilégios. Uma organização que pretende utilizar IA generativa precisa estabelecer governança sobre dados, modelos, aplicações, agentes e integrações. Uma companhia que deseja ampliar seu ecossistema de fornecedores precisa administrar acessos de terceiros e riscos de supply chain.

Em todos esses casos, segurança não aparece apenas depois da transformação.

Ela é uma das condições para que essa transformação aconteça de maneira sustentável.

O orçamento está mudando porque o negócio mudou

Essa talvez seja a principal mudança conceitual que precisa chegar aos executivos.

Historicamente, grande parte do business case de segurança foi construída a partir da perda evitada.

Investe-se para evitar ransomware, indisponibilidade, vazamento de informações, fraude, sanções regulatórias, perda de propriedade intelectual ou danos à reputação.

Esse raciocínio continua correto. Prevenir e reduzir perdas permanece uma das principais funções da cibersegurança.

Mas existe outro lado da equação.

Determinados investimentos também podem habilitar negócios que seriam inviáveis, lentos ou excessivamente arriscados sem controles adequados.

Imagine uma organização que pretende disponibilizar uma nova plataforma digital para clientes. O business case pode considerar desenvolvimento, infraestrutura, marketing, operação e expectativa de receita.

Mas essa plataforma dependerá de autenticação, autorização, proteção de APIs, desenvolvimento seguro, monitoramento, gestão de vulnerabilidades, prevenção de fraude e resposta a incidentes.

Sem essas capacidades, o risco pode tornar o projeto inviável ou obrigar a empresa a aceitar uma exposição incompatível com seus objetivos.

Nesse cenário, segurança não está simplesmente protegendo uma aplicação.

Está ajudando a tornar possível o modelo de negócio que depende dela.

O mesmo raciocínio se aplica a cloud, trabalho remoto, integrações B2B, Internet das Coisas (IoT), APIs, plataformas digitais e, cada vez mais, inteligência artificial.

A inteligência artificial tornou essa relação ainda mais evidente

Poucas tecnologias demonstram tão claramente a relação entre inovação e segurança quanto a IA.

Empresas estão pressionadas a utilizar inteligência artificial para aumentar produtividade, automatizar processos, desenvolver produtos, acelerar programação, analisar grandes volumes de informação e criar novas experiências para clientes.

Mas a velocidade dessa adoção também cria novas superfícies de risco.

O Global Cybersecurity Outlook 2026, do World Economic Forum, mostra que 94% dos respondentes esperam que a IA seja o principal fator de transformação da cibersegurança. O percentual de organizações que possuem processos para avaliar a segurança das ferramentas de IA quase dobrou: passou de 37% em 2025 para 64% em 2026. Além disso, 87% dos participantes identificaram vulnerabilidades relacionadas à IA como o risco cibernético que mais rapidamente cresceu durante 2025. (World Economic Forum)

Os números revelam uma mudança interessante.

O investimento em AI Security não precisa ser interpretado como uma tentativa de impedir a utilização da inteligência artificial.

Em uma organização madura, ocorre justamente o contrário.

Segurança pode funcionar como mecanismo para acelerar a adoção responsável da IA.

Governança, classificação de dados, Identity and Access Management (IAM), Data Loss Prevention (DLP), monitoramento, segurança de aplicações, avaliação de modelos e controles sobre agentes podem permitir que a organização utilize IA em processos que seriam considerados excessivamente arriscados sem essas salvaguardas.

Nesse cenário, o orçamento de segurança começa a financiar não apenas proteção.

Começa a financiar capacidade de inovação com risco controlado.

O custo dos incidentes continua justificando investimentos

A visão estratégica de segurança não elimina sua função mais tradicional: reduzir perdas.

E os números continuam relevantes.

O Cost of a Data Breach Report 2026, produzido pela IBM em parceria com o Ponemon Institute, aponta que o custo médio global de uma violação de dados chegou a US$ 4,99 milhões, crescimento de 12% em relação ao ano anterior. O estudo também identificou aumento de 56% nos ataques impulsionados por IA. (IBM)

Há outro dado particularmente interessante para decisões de investimento: organizações com uso extensivo de IA e automação nas operações de segurança apresentaram uma economia média de aproximadamente US$ 1,93 milhão no custo das violações, quando comparadas às organizações que não utilizavam essas tecnologias. (IBM)

Isso não significa que adquirir uma ferramenta baseada em inteligência artificial produzirá automaticamente determinado retorno financeiro. Seria incorreto transformar uma associação estatística observada em pesquisa em promessa de ROI.

Mas os resultados ajudam a demonstrar algo importante: capacidade de detectar, responder e conter incidentes possui consequências econômicas mensuráveis.

É exatamente nesse ponto que a discussão sobre orçamento começa a amadurecer.

De centro de custo para proteção de valor

Segurança dificilmente aparecerá em um demonstrativo financeiro como a área diretamente responsável por determinado volume de vendas.

Isso, porém, não significa que ela esteja desconectada da geração de valor.

Considere uma plataforma digital que movimenta milhões de reais por dia.

O sistema comercial gera receita. O aplicativo gera receita. O e-commerce gera receita.

Mas identidade, segurança de aplicações, proteção de APIs, monitoramento, gestão de vulnerabilidades, resposta a incidentes e resiliência são alguns dos mecanismos que permitem que esses canais permaneçam disponíveis e confiáveis.

O valor econômico da segurança, portanto, frequentemente aparece de maneira indireta.

Ela protege receita existente, reduz probabilidade de interrupção, preserva confiança, protege propriedade intelectual e permite que novas iniciativas digitais sejam executadas dentro de níveis aceitáveis de risco.

Essa distinção é importante porque segurança não deveria simplesmente declarar que “gera receita” quando não existe uma relação econômica demonstrável.

O argumento executivo mais consistente é outro: cibersegurança protege valor, reduz volatilidade operacional e pode habilitar a criação de novo valor.

Segurança também pode remover barreiras comerciais

Existe outro aspecto frequentemente subestimado nas discussões sobre orçamento: a segurança pode influenciar diretamente a capacidade comercial da organização.

Empresas que fornecem serviços para grandes corporações conhecem bem esse cenário.

Antes de contratar um fornecedor, clientes podem exigir questionários de segurança, avaliações de risco, políticas, evidências de controles, autenticação multifator, gestão de vulnerabilidades, testes de intrusão, requisitos de privacidade, continuidade de negócios, segurança de fornecedores e comprovação de práticas de governança.

Dependendo do mercado e da natureza do serviço, certificações, regulamentações e frameworks reconhecidos também podem participar do processo de due diligence.

Nesse contexto, maturidade de segurança deixa de representar apenas proteção interna.

Ela pode se transformar em uma credencial comercial.

Isso não significa que uma certificação ou determinada tecnologia garanta a conquista de um contrato. Mas, em alguns mercados, a ausência de controles adequados pode impedir que uma empresa seja homologada como fornecedora ou avance em uma negociação.

Nesse caso, o investimento em segurança deixa de estar associado exclusivamente ao cálculo de perda evitada.

Ele também pode proteger o pipeline comercial e reduzir atritos para fazer negócios.

Resiliência tornou-se uma variável econômica

Outro conceito precisa entrar definitivamente na discussão orçamentária: cyber resilience.

Prevenir todos os incidentes é uma expectativa irrealista.

Organizações precisam desenvolver capacidade para identificar ataques, limitar seus impactos, manter processos críticos e restaurar operações quando controles preventivos falharem.

Uma empresa pode possuir dezenas de tecnologias de segurança e continuar pouco resiliente.

Se um ransomware interromper a produção durante duas semanas, se um ataque contra a infraestrutura de identidade bloquear operações, se os backups não puderem ser restaurados dentro do tempo necessário ou se a indisponibilidade de um fornecedor crítico paralisar a empresa, o problema rapidamente deixa de pertencer ao SOC ou ao departamento de TI.

Transforma-se em risco financeiro, operacional e estratégico.

O World Economic Forum considera o fortalecimento da resiliência cibernética uma necessidade econômica e social diante de um cenário marcado por IA, instabilidade geopolítica, interdependência tecnológica e diferenças crescentes de capacidade entre organizações. (World Economic Forum)

Por isso, orçamento de cibersegurança precisa ser analisado também sob a perspectiva de continuidade e recuperação.

Não basta perguntar se a empresa consegue impedir um ataque.

É necessário saber quanto tempo ela consegue continuar operando quando a prevenção falha.

Quanto uma empresa deveria investir em cibersegurança?

Essa é uma das perguntas mais frequentes — e também uma das mais perigosas quando respondida apenas com benchmarking.

Não existe um percentual universal de faturamento ou do orçamento de TI capaz de determinar quanto uma organização deveria investir em segurança.

Duas empresas com receitas semelhantes podem possuir exposições completamente diferentes.

Uma instituição financeira digital, uma indústria com ambientes OT, uma empresa SaaS e uma consultoria profissional possuem superfícies de ataque, dependências tecnológicas, obrigações regulatórias e impactos potenciais distintos.

Benchmarking pode ser útil como referência comparativa. Mas não deveria substituir uma análise de risco.

A pergunta mais útil deixa de ser: “Quanto empresas do nosso tamanho gastam?”

E passa a ser: “Quais riscos podem impedir nossos objetivos estratégicos e quais capacidades precisamos financiar para mantê-los dentro da tolerância definida pela organização?”

Essa mudança aproxima definitivamente a cibersegurança de Enterprise Risk Management (ERM), governança corporativa e planejamento estratégico.

O orçamento precisa seguir o valor — e não as ferramentas

Um dos problemas recorrentes na elaboração do orçamento é começar a discussão pela tecnologia.

Qual SIEM comprar? Qual EDR renovar? Precisamos de XDR? PAM? CNAPP? SASE? Uma nova plataforma de gestão de vulnerabilidades?

Todas essas tecnologias podem ser necessárias. Mas a discussão deveria começar antes.

Quais processos geram receita?

Quais sistemas sustentam esses processos?

Quais informações possuem maior impacto financeiro, regulatório ou competitivo?

Quais identidades possuem privilégios capazes de comprometer ambientes críticos?

Quais terceiros representam dependências operacionais relevantes?

Quanto tempo os principais processos podem permanecer indisponíveis?

Quais cenários de ataque produziriam maior impacto?

Quais novas iniciativas estratégicas estão ampliando a superfície de risco?

Somente depois dessas respostas deveria começar a discussão sobre quais capacidades, processos e tecnologias precisam ser financiados.

Essa inversão modifica profundamente a lógica orçamentária.

A empresa deixa de perguntar quais ferramentas de segurança precisa comprar e começa a perguntar quais capacidades precisa desenvolver para proteger seus objetivos.

Mais orçamento não significa necessariamente mais segurança

Existe ainda um ponto que merece atenção especial de CFOs, CIOs e CISOs.

Mais investimento não significa automaticamente maior maturidade.

Ambientes corporativos frequentemente acumulam tecnologias sobrepostas, licenças subutilizadas, milhares de alertas sem tratamento, produtos mal integrados e controles implantados sem processos operacionais maduros.

É possível aumentar o orçamento e continuar aumentando a exposição.

Um orçamento estratégico precisa avaliar não apenas aquisição, mas principalmente efetividade.

Isso envolve pessoas, processos, tecnologia, arquitetura, governança, integração, métricas e capacidade operacional.

Em determinados cenários, consolidar ferramentas, automatizar atividades, melhorar arquitetura, capacitar equipes ou corrigir processos pode produzir mais redução de risco do que simplesmente adquirir outra plataforma.

O objetivo não deveria ser maximizar o gasto em segurança.

Deveria ser maximizar a redução de risco e a capacidade de negócio obtidas com os recursos disponíveis.

O CFO precisa entrar na conversa — e o CISO precisa falar a linguagem do negócio

Essa mudança exige também uma transformação na maneira como segurança é apresentada à alta administração.

CVE, EDR, XDR, SIEM, PAM, Zero Trust, CNAPP ou CSPM são termos importantes para profissionais da área, mas raramente constituem a melhor linguagem para justificar investimentos perante CFOs, CEOs ou conselhos.

Executivos precisam compreender consequências.

Quanto tempo a operação pode permanecer indisponível?

Qual receita depende daquele processo?

Quanto custaria recuperá-lo?

Quantos clientes seriam afetados?

Existe exposição regulatória?

Um incidente poderia comprometer uma aquisição, contrato ou lançamento estratégico?

Qual cenário de ameaça está sendo mitigado pelo investimento?

Qual redução de exposição é esperada?

É nessa tradução que o CISO deixa de atuar exclusivamente como especialista técnico e assume um papel cada vez mais próximo de gestor de risco empresarial.

Ao mesmo tempo, o CFO precisa compreender que analisar segurança exclusivamente pelo custo anual também pode produzir decisões economicamente ruins.

O ROI da cibersegurança precisa ser analisado de outra forma

Calcular retorno sobre investimento em segurança é mais complexo do que calcular o ROI de uma iniciativa comercial.

Grande parte do benefício está associada a eventos que não aconteceram e cuja probabilidade não pode ser determinada com precisão absoluta.

Por isso, métricas simplistas podem ser perigosas.

Modelos quantitativos de risco, análise de cenários, Annualized Loss Expectancy (ALE) e abordagens como FAIR podem contribuir para transformar cenários técnicos em estimativas financeiras mais compreensíveis para executivos.

Mas a análise econômica pode ir além da perda evitada.

Uma avaliação mais madura pode considerar quatro dimensões:

Redução de risco: qual exposição financeira, operacional, regulatória ou reputacional o investimento pretende diminuir?

Resiliência: quanto esse investimento pode reduzir o impacto ou o tempo de recuperação de um incidente?

Eficiência: o controle reduz esforço operacional, automatiza atividades, consolida tecnologias ou melhora produtividade?

Habilitação de negócios: o investimento permite que a empresa utilize novas tecnologias, conquiste clientes, entre em mercados, realize integrações ou desenvolva produtos que exigem determinado nível de confiança?

Essa última dimensão talvez seja justamente aquela que historicamente recebeu menos atenção.

Segurança como acelerador, não como departamento do “não”

Existe um velho estereótipo corporativo segundo o qual a área de segurança é responsável por impedir iniciativas consideradas arriscadas.

Esse modelo é incompatível com organizações digitais modernas.

Uma função de segurança madura não deveria simplesmente responder:

“Não podemos utilizar essa tecnologia.”

Deveria ser capaz de responder:

“Podemos utilizá-la, desde que essas condições de segurança e risco sejam atendidas.”

A diferença parece pequena, mas representa uma transformação profunda.

No primeiro modelo, segurança funciona como barreira.

No segundo, funciona como guardrail: estabelece limites e condições que permitem que a organização avance sem abandonar controle e governança.

É exatamente por isso que conceitos como Secure by Design, DevSecOps, Zero Trust, Security by Design e governança de IA ganharam importância.

Quanto mais cedo a segurança participa da estratégia e do desenvolvimento de uma iniciativa, maior a possibilidade de incorporar controles à arquitetura em vez de tentar corrigir exposições depois que a tecnologia já estiver implantada.

A discussão precisa chegar ao planejamento estratégico

O Global Cybersecurity Outlook 2026 descreve um ambiente no qual inteligência artificial, tensões geopolíticas, dependências digitais e desigualdade de capacidades estão remodelando o risco cibernético. O próprio relatório foi estruturado para apoiar líderes em decisões relacionadas a estratégia, investimentos empresariais e políticas públicas. (World Economic Forum)

Isso reforça uma conclusão importante.

Orçamento de segurança não deveria ser construído isoladamente pelo departamento de TI algumas semanas antes do fechamento do planejamento anual.

Ele precisa acompanhar as prioridades da organização.

Se a estratégia prevê crescimento por aquisições, segurança precisa considerar due diligence e integração.

Se prevê expansão para cloud, será necessário financiar capacidades de cloud security.

Se prevê adoção intensiva de IA, serão necessários governança, proteção de dados, controles de acesso, segurança de aplicações e avaliação dos novos riscos.

Se prevê internacionalização, requisitos regulatórios e privacidade precisam entrar na equação.

Se prevê crescimento por ecossistemas digitais, riscos de terceiros, identidades e APIs tornam-se mais relevantes.

Em outras palavras: a estratégia empresarial determina a superfície de risco futura. O orçamento de segurança precisa antecipá-la.

Cibersegurança não é despesa. É estratégia de crescimento.

Talvez a principal transformação não esteja acontecendo dentro da área de segurança.

Ela está ocorrendo no próprio modelo empresarial.

Quando dados, identidades, aplicações, APIs, cloud, inteligência artificial e ecossistemas digitais sustentam produtos, receitas, operações e relacionamentos com clientes, proteger esses componentes deixa de ser apenas uma preocupação tecnológica.

Torna-se uma questão de continuidade, confiança e competitividade.

Isso não significa que todo investimento em segurança produza crescimento. Tampouco significa que a área de segurança deva receber orçamento ilimitado.

Significa que a discussão precisa abandonar dois extremos igualmente inadequados: tratar cibersegurança como despesa inevitável ou considerar qualquer aquisição tecnológica como automaticamente estratégica.

Investimento estratégico em cibersegurança é aquele que reduz riscos relevantes, aumenta resiliência e protege ou habilita objetivos concretos do negócio.

Essa talvez seja a principal mudança que CISOs, CIOs, CFOs, CEOs e conselhos precisam incorporar aos próximos ciclos orçamentários.

A pergunta já não é simplesmente quanto dinheiro a empresa está disposta a gastar para evitar um ataque.

A pergunta é maior: quanto da estratégia de crescimento da organização depende da confiança de clientes, parceiros, investidores e colaboradores em sua capacidade de operar digitalmente com segurança?

Quando a resposta é “uma parcela significativa”, cibersegurança deixa definitivamente de ser apenas orçamento de proteção e passa a fazer parte do orçamento de crescimento.

Referências

Gartner — Forecast Analysis: Information Security, Worldwide, 2026
Publicado em 5 de fevereiro de 2026. A Gartner projeta que os gastos mundiais com segurança da informação alcançarão aproximadamente US$ 244 bilhões em 2026, com crescimento de 11,6% em moeda constante, impulsionados pela necessidade de enfrentar ameaças, ampliar resiliência e proteger a utilização de IA.
Consultar a pesquisa da Gartner

World Economic Forum — Global Cybersecurity Outlook 2026
Publicado em 12 de janeiro de 2026 e desenvolvido em colaboração com a Accenture. O relatório analisa inteligência artificial, resiliência, geopolítica, desigualdade cibernética e outros fatores que estão modificando o risco e as decisões estratégicas das organizações.
Consultar o Global Cybersecurity Outlook 2026

World Economic Forum — Global Cybersecurity Outlook 2026: Executive Summary
Apresenta os principais indicadores utilizados neste artigo, incluindo os dados sobre IA como fator de transformação da cibersegurança e o crescimento das avaliações de segurança das ferramentas de IA.
Consultar o Executive Summary

IBM — Cost of a Data Breach Report 2026
Pesquisa global da IBM e do Ponemon Institute. O estudo aponta custo médio global de US$ 4,99 milhões por violação de dados e economia média de US$ 1,93 milhão para organizações com utilização extensiva de IA e automação em segurança em comparação às organizações que não utilizam essas tecnologias.
Consultar o Cost of a Data Breach Report 2026