Insegurança jurídica também é insegurança da informação

A gestão da segurança da informação em empresas brasileiras enfrenta um desafio que transcende a tecnologia e o tamanho das equipes: a insegurança jurídica. Especialistas apontam que o tempo entre a identificação de uma falha e sua correção é a métrica mais crucial para a segurança cibernética. Contudo, uma parcela significativa desse intervalo não se perde em etapas técnicas, mas sim nos trâmites legais, transformando um processo ágil em uma maratona burocrática. Essa lentidão beneficia diretamente cibercriminosos, que não precisam de nada além de uma brecha prolongada para atuar.

O problema se manifesta quando iniciativas como programas de bug bounty, essenciais para a detecção proativa de vulnerabilidades, chegam ao departamento jurídico. Apesar da aprovação e defesa pela liderança de segurança e compras, surgem questionamentos legítimos sobre quem testa o ambiente, a proteção de dados pessoais, a responsabilidade em caso de vazamento e a exposição da empresa perante órgãos como a ANPD. O cerne da questão não está nas perguntas em si, mas na ausência de respostas jurídicas claras e padronizadas no Brasil, transformando negociações que deveriam ser rápidas em processos de meses.

O Vácuo Legal Brasileiro e a Lacuna na Proteção

Diferente do que se pode pensar, o Brasil não carece de leis que tangenciam o tema. O Código Penal criminaliza a invasão de sistemas, a LGPD exige proteção de dados, e o Banco Central impõe políticas de segurança cibernética no setor financeiro. A própria Estratégia Nacional de Cibersegurança, publicada em decreto em 2025, prevê a divulgação coordenada de vulnerabilidades. No entanto, o que falta é um instrumento legal que materialize essas intenções em práticas seguras para quem reporta e para quem recebe as informações sobre falhas. Projetos em discussão no Congresso focam na governança e obrigações de setores regulados, mas permanecem omissos quanto ao pesquisador de segurança que encontra a falha.

Soluções Internacionais e o Contraste Nacional

Enquanto o Brasil ainda busca um caminho, outros países já estabeleceram marcos legais robustos para endereçar essa questão. Na Bélgica, desde 2023, pesquisadores que reportam vulnerabilidades conforme os procedimentos da autoridade nacional estão protegidos legalmente, mesmo sem contrato formal com a empresa testada. A Europa, por sua vez, transformou a divulgação coordenada em uma obrigação. Nos Estados Unidos, o Departamento de Justiça orientou promotores a não denunciar pesquisas de segurança realizadas de boa-fé. Essas abordagens partilham o entendimento de que a ambiguidade jurídica não impede a descoberta de falhas, mas sim determina a quem essas falhas serão comunicadas, influenciando negativamente a segurança coletiva.

A Construção Privada e a Barreira Cultural

Na ausência de uma regra pública clara, o mercado tem preenchido o vácuo com construções privadas, como as plataformas homologadas de bug bounty. Essas plataformas estabelecem regras detalhadas, como escopo delimitado, acordos de não divulgação e rastreabilidade de acessos, garantindo segurança às partes envolvidas. Bancos, operadoras e varejistas brasileiros já utilizam esses modelos com sucesso há anos, sem conflitos jurídicos relevantes. Contudo, essa solução não é escalável: cada empresa precisa reiniciar o processo do zero, convencendo o jurídico e gerando ciclos de semanas. Essa ineficiência reflete uma barreira cultural, onde a visão do jurídico de eliminar riscos choca-se com a premissa da segurança de administrá-los. Integrar o jurídico desde as fases iniciais do projeto, tratando o canal de recebimento de vulnerabilidades com a mesma importância de um canal de denúncias, seria um passo fundamental para reduzir a exposição e fortalecer a cibersegurança nacional.

Com informações de Canaltech.