Guerra cibernética, sanções e soberania – Quando a geopolítica se torna uma falha de segurança

Vimos hackers patrocinados por governos desativarem redes elétricas para mergulhar cidades na escuridão, paralisarem redes hospitalares com ransomware (chegando a causar atrasos nos atendimentos que colocam vidas em risco ) e sequestrarem veículos de comunicação para espalhar propaganda e desinformação. Uma análise recente da UE constatou que quase 66% dos ataques DDoS (Negação de Serviço) registrados entre 2022 e 2023 foram motivados por questões políticas – muitas vezes como retaliações ou sanções em disputas internacionais.

Em essência, o ciberespaço tornou-se um novo campo de batalha onde os interesses nacionais se chocam sem levar em conta fronteiras. Essa convergência entre geopolítica e segurança de TI levanta uma questão urgente para todas as organizações: qual é o nível de resiliência geopolítica da sua TI? Se um conflito eclodir ou sanções atingirem um fornecedor, suas operações comerciais resistirão ao impacto? 

Por que a geopolítica é agora uma questão de TI 

As tensões políticas não são apenas motivo de preocupação para os diplomatas; agora, elas afetam diretamente as redes e os dados das empresas.  

Um conceito fundamental é a soberania digital: controlar seus próprios dados e sua infraestrutura de tecnologia para que não fiquem vulneráveis à interferência estrangeira. A soberania de dados significa que os dados estão sujeitos às leis do país onde estão armazenados. Se os dados de seus clientes ou cargas de trabalho críticas estiverem em servidores em outro país, eles estarão sob a jurisdição desse país e poderão ser expostos ou restringidos devido a ações geopolíticas.  

Por exemplo, os formuladores de políticas europeus têm se mostrado cada vez mais inquietos com a forte dependência de provedores de nuvem e tecnologia sediados nos Estados Unidos, temendo que isso ameace a independência digital da Europa. Da mesma forma, muitos países temem que a dependência de fornecedores estrangeiros de telecomunicações ou hardware (sejam eles americanos, chineses ou de outros países) possa se tornar um risco estratégico caso as relações internacionais se deteriorem. Essas preocupações estão impulsionando apelos por um maior controle local sobre dados e tecnologia — essencialmente, não coloque todos os seus ovos de TI na cesta de outra pessoa. Até mesmo Jensen Huang, fundador da Nvidia, afirmou durante a Vivatech 2025: “Você não pode se dar ao luxo de terceirizar sua inteligência”.  

A geopolítica também expõe as vulnerabilidades da cadeia de suprimentos global no setor de TI. As empresas modernas dependem de uma complexa rede de software, hardware e serviços em nuvem provenientes de todo o mundo. Se um elo dessa cadeia for comprometido — seja por um ataque apoiado por um Estado ou por uma proibição de exportação —, isso pode causar uma interrupção em cadeia em nível global. 

Uma retrospectiva 

O notório ataque cibernético NotPetya de 2017 é um exemplo claro: tratou-se de um ataque com malware militar russo direcionado à Ucrânia que ultrapassou seu alvo inicial e paralisou empresas em todo o mundo, desde hospitais nos EUA até uma gigante do transporte marítimo e uma empresa farmacêutica, causando mais de US$ 10 bilhões em prejuízos globalmente. O que começou como uma guerra cibernética local rapidamente se tornou, nas palavras de uma autoridade norte-americana, “o equivalente a usar uma bomba nuclear para alcançar uma pequena vitória tática”, ilustrando como um ataque motivado por questões políticas pode, inadvertidamente, devastar empresas comuns em todos os continentes. 

Mesmo em tempos de paz, as organizações estão percebendo essa tendência: quase 60% das empresas afirmam que sua estratégia de segurança cibernética agora é influenciada por tensões geopolíticas, e 16% chegaram a trocar de fornecedores ou parceiros de tecnologia em resposta a isso (por exemplo, evitando softwares de determinados países ou diversificando os provedores de nuvem). Relatórios sobre ameaças também mostram que o volume geral de ataques cibernéticos está aumentando em meio à instabilidade global – em 2024, ocorreram 3.541 incidentes graves em todo o mundo, um aumento de 27,4% em relação ao ano anterior.  

A Itália, por exemplo, tornou-se um epicentro: sofreu 10% de todos os ataques cibernéticos globais em 2024 e foi alvo de cerca de 80 ataques motivados por questões geopolíticas (29% dos incidentes desse tipo em todo o mundo) somente naquele ano.  

Conclusão 

A geopolítica tornou-se uma questão de TI porque nações adversárias podem recorrer — e de fato recorrerão — a meios digitais para exercer pressão. Seja por meio de espionagem, sabotagem ou campanhas de influência, as empresas podem acabar sendo atingidas no fogo cruzado, especialmente se seus dados, fornecedores ou infraestrutura estiverem vinculados a uma região em turbulência.  

Cientes disso, as empresas devem avaliar sua exposição ao risco geopolítico: quais leis nacionais regem seus dados? Quais fornecedores podem ser afetados por sanções? Um conflito distante poderia paralisar seus sistemas críticos? Essas questões agora fazem parte da agenda de todos os CIOs e CISOs. 

O que a regulamentação exige atualmente 

Os governos em todo o mundo não estão de braços cruzados. Impulsionados por incidentes de grande repercussão e ameaças cada vez mais graves, novas regulamentações estão entrando em vigor para garantir a segurança cibernética e a resiliência, com sanções realmente severas. Em particular, a União Europeia introduziu várias regras importantes destinadas a reforçar as defesas em meio aos riscos geopolíticos. Entre os principais exemplos, destacam-se: 

Diretiva NIS2 

Uma atualização da diretiva da UE sobre Segurança de Redes e Informações, a NIS2, amplia drasticamente o escopo das obrigações em matéria de segurança cibernética. Agora, ela abrange uma ampla gama de entidades “essenciais” e “importantes” em diversos setores (energia, saúde, transporte, setor bancário, tecnologia, setor público e outros). As empresas abrangidas pela diretiva devem implementar medidas rigorosas de gestão de riscos e comunicar incidentes cibernéticos significativos dentro de prazos rigorosos (em alguns casos, em até 24 horas para a notificação inicial). 

A NIS2 também impõe responsabilidade aos altos escalões: a diretoria da empresa pode ser responsabilizada pelo descumprimento das obrigações de segurança. É importante ressaltar que o descumprimento acarretará multas pesadas de até € 10 milhões ou 2% do faturamento global (o que for maior) para entidades essenciais.  

Em resumo, a NIS2 obriga as organizações a reforçarem sua postura de segurança cibernética (desde controles técnicos até a supervisão por parte do conselho administrativo) ou a enfrentarem consequências punitivas. O objetivo é estabelecer um padrão mínimo de resiliência em toda a UE, reconhecendo que um único ponto fraco pode colocar em risco toda a rede. 

DORA (Lei de Resiliência das Operações Digitais) 

Com vigência a partir de janeiro de 2025 na UE, a DORA é um regulamento voltado para a resiliência do setor financeiro. Bancos, seguradoras, empresas de investimento e até mesmo provedores críticos de TIC que prestam serviços a essas entidades estão todos abrangidos. A DORA exige que essas entidades possuam planos robustos de continuidade de negócios e recuperação de desastres, realizem testes de estresse digitais regulares e gerenciem de perto os riscos decorrentes de provedores de tecnologia terceirizados. 

A supervisão regulatória será reforçada: por exemplo, provedores de nuvem ou de software considerados “críticos” para os bancos poderão estar sujeitos à supervisão direta das autoridades europeias. As penalidades previstas na DORA também são significativas, e os Estados-membros da UE devem impor penalidades “eficazes, proporcionadas e dissuasivas” em caso de violações. Isso pode incluir multas administrativas, ordens de correção e até mesmo sanções pessoais contra gestores, de forma semelhante à NIS2. 

Vale destacar que os fornecedores essenciais de TIC que descumprirem os requisitos da DORA poderão estar sujeitos a multas diárias de até 1% do faturamento médio diário mundial até que os problemas sejam resolvidos. 

Lei da UE sobre IA 

Embora não seja uma lei estritamente voltada para a segurança, a futura Lei de Inteligência Artificial aborda questões de soberania e segurança. Essa legislação histórica da União Europeia (com previsão de conclusão em 2024) regulamentará os sistemas de IA, especialmente os usos de “alto risco” (como a IA em infraestruturas críticas, na área da saúde ou na aplicação da lei). As empresas que utilizarem essa IA terão que realizar avaliações de risco, garantir a supervisão humana e ser capazes de explicar e controlar as decisões de suas IA.  

Por que isso é importante para a geopolítica? Porque a Lei de IA também reflete o esforço da Europa em busca da soberania digital, reduzindo a dependência descontrolada de tecnologias de IA estrangeiras e impedindo o uso indevido (inclusive por regimes autoritários ou para fins maliciosos). A lei prevê penalidades severas em caso de descumprimento. Por exemplo, o uso de sistemas de IA proibidos ou a violação dos requisitos de dados podem acarretar multas de até €30–35 milhões ou 6–7% do faturamento anual global, o que é ainda mais severo do que as multas do GDPR.  

Esses altos riscos ressaltam a intenção de estabelecer um padrão global para uma IA confiável. As empresas de todo o mundo que operam na Europa (ou atendem a clientes europeus) precisarão, na prática, cumprir essas regras, o que está impulsionando investimentos em conformidade e gestão de riscos relacionados à IA.  

Regulamentações fora da UE 

Em todo o mundo, medidas semelhantes estão em andamento, desde o fortalecimento, pelos EUA, das regras de segurança cibernética para infraestruturas críticas até a aplicação, por países como a China, de leis rigorosas de localização de dados e de avaliação de segurança. O resultado para as empresas é um desafio crescente em termos de conformidade: é preciso não apenas se defender contra ameaças, mas também navegar por um labirinto em constante evolução de regulamentações de segurança cibernética. A falha em cumprir qualquer uma dessas exigências pode resultar em violações devastadoras e penalidades regulatórias.  

O trio formado pela NIS2, pela DORA e pela Lei de IA exemplifica a nova era da segurança orientada pela conformidade, na qual os governos estão incentivando ativamente as organizações a alcançarem maior resiliência e punindo aquelas que não cumprem os requisitos. Para as empresas, isso significa investir em governança, processos de notificação e controles agora, em vez de correr atrás das soluções após um incidente ou uma multa. (Por exemplo, de acordo com a NIS2, você precisará de fluxos de trabalho para notificar um incidente em até 24 horas — algo difícil de improvisar na hora.) Antecipar-se a essas regulamentações pode se tornar uma vantagem competitiva, comprovando aos clientes e parceiros que você leva a segurança a sério em um mundo turbulento. 

Estratégias de resiliência para empresas 

Diante desse entrelaçamento entre riscos cibernéticos e geopolíticos, o que as empresas podem fazer? O objetivo é desenvolver resiliência. Isso vai além da segurança cibernética básica e abrange uma continuidade de negócios robusta e decisões flexíveis em relação à arquitetura. Aqui estão as principais estratégias a serem consideradas: 

• Adote uma infraestrutura multicloud e distribuída: não coloque todo o seu negócio nas mãos de um único provedor de nuvem ou data center. Ao distribuir as cargas de trabalho por várias plataformas de nuvem ou hospedá-las em vários data centers (e, idealmente, em regiões diferentes), você reduz significativamente a chance de que um único incidente o deixe completamente fora do ar. Uma estratégia multicloud bem implementada pode garantir que, mesmo que um provedor sofra uma interrupção ou seja alvo de um ataque, seus serviços continuem ativos em outros locais. 
• Diversificar fornecedores e cadeias de suprimentos: assim como investidores prudentes diversificam suas carteiras, empresas resilientes diversificam seus fornecedores de tecnologia. Depender excessivamente de um único fornecedor de software, fabricante de hardware ou operadora de telecomunicações pode ser perigoso caso esse fornecedor se envolva em um conflito geopolítico ou enfrente sanções. Ao utilizar uma combinação de fornecedores (e garantir que nenhum componente crítico seja adquirido exclusivamente de uma região de alto risco), você mitiga a exposição.  
• Invista no planejamento de continuidade: as defesas tecnológicas por si só não são suficientes; as organizações precisam de planos robustos de continuidade de negócios (BC) e recuperação de desastres que levem em conta cenários de guerra cibernética e perturbações geopolíticas. Um plano de BC deve responder à pergunta: “Se X deixar de funcionar, como continuaremos operando?” – seja X um data center, um serviço em nuvem ou uma rota de abastecimento. Certifique-se de que esses planos abranjam casos extremos, como interrupções prolongadas da internet, ransomware que paralisam sistemas ou a impossibilidade de entrar em contato com funcionários-chave. 

Ao implementar essas estratégias, as empresas podem reduzir significativamente a “lacuna de segurança” criada pela geopolítica. Não é possível impedir que um Estado-nação lance um ataque cibernético, mas é possível fortalecer seu ambiente de forma que, mesmo que você seja alvo de um ataque ou sofra danos colaterais, consiga se recuperar rapidamente com o mínimo de prejuízo. A resiliência é a nova vantagem competitiva em uma era em que tanto o caos quanto a conformidade estão em ascensão. 

A Getronics como sua rede de segurança 

Desenvolver e manter todas as capacidades mencionadas acima pode ser uma tarefa desafiadora. É aí que entra um parceiro experiente como a Getronics. Com décadas de know-how em segurança cibernética e serviços de TI, a Getronics atua como uma rede de segurança para organizações que enfrentam desafios complexos de segurança. 

Hoje, contamos com uma equipe global de mais de 3.700 profissionais em 20 países, prestando suporte a clientes em mais de 180 países em todo o mundo. Nosso alcance e profundidade nos permitem compreender as nuances locais — desde as regulamentações da União Europeia até os agentes de ameaças regionais — e oferecer cobertura 24 horas por dia, 7 dias por semana, em todo o mundo. 

O que oferecemos 

A Getronics oferece soluções completas de segurança e continuidade, personalizadas para ajudar sua empresa a lidar com riscos geopolíticos e atender às exigências regulatórias. Nossos serviços abrangem desde avaliações abrangentes de risco e consultoria em conformidade até monitoramento de ameaças 24 horas por dia, 7 dias por semana, e resposta rápida a incidentes. Na prática, isso significa que podemos auditar seu ambiente de TI em busca de vulnerabilidades ou questões de soberania, assessorar sobre o cumprimento de leis como a NIS2 ou a DORA e implementar as medidas de proteção necessárias. 

Por meio de nossos serviços de Centro de Operações de Segurança (SOC), oferecemos monitoramento constante do seu ambiente, detectando invasões, identificando ameaças e respondendo imediatamente a incidentes para conter os danos. Também ajudamos a desenvolver e testar planos de continuidade de negócios e recuperação de desastres, garantindo que sua organização esteja preparada para o inesperado. Todos esses serviços são prestados de acordo com as melhores práticas e estruturas do setor (como NIST e ISO 27001) e podem ser adaptados ao seu setor específico e à sua jurisdição. 

Em última análise, uma parceria com a Getronics significa que você ganha uma extensão da sua equipe, capaz de oferecer visão estratégica, capacidade técnica e vigilância 24 horas por dia para proteger seus negócios. Temos orgulho de construir relações de confiança e continuidade de longo prazo com nossos clientes. Em um ambiente onde as ameaças são globais e constantes, contar com um parceiro que já “viu de tudo” pode ser a diferença entre a continuidade normal dos negócios e uma situação de crise. 

Aja agora para fortalecer sua resiliência geopolítica 

Em um mundo onde as ameaças digitais ignoram as fronteiras nacionais, as empresas devem reconhecer que a segurança não se limita às fronteiras do próprio país — e o mesmo vale para a TI. Sua rede, seus dados e seus processos provavelmente se estendem por países e continentes, assim como os riscos. A interseção entre defesa cibernética e geopolítica é hoje uma das maiores lacunas de segurança – mas é uma lacuna que você pode preencher com a abordagem e os parceiros certos. Ao se manter informado, investir em resiliência e aliar-se a especialistas com visão de futuro, você transforma uma vulnerabilidade em potencial em um ponto forte. 

A Getronics convida você a dar o próximo passo para fortalecer sua postura de defesa e continuidade. Considere agendar uma avaliação de segurança completa ou uma revisão da estratégia de continuidade de negócios com nossos especialistas. Ajudaremos você a avaliar o grau de resiliência geopolítica de sua TI, identificar eventuais pontos fracos e desenvolver um plano de ação para reforçar suas defesas de ponta a ponta. 

Entre em contato com a Getronics para agendar uma consulta e garantir que, no que diz respeito à segurança cibernética e à soberania, sua empresa esteja sempre à frente das tendências. Sua continuidade, conformidade e tranquilidade são a nossa missão. Vamos alcançá-las juntos.