vCISO: o que é e quando contratar um CISO virtual

O e-mail chegou numa terça: o maior cliente da empresa, uma multinacional, mandou um questionário de segurança com 180 perguntas e prazo de quinze dias. Pergunta 4: "Quem é o responsável formal pela segurança da informação e a quem ele reporta?". O gerente de TI e o diretor financeiro leram juntos e perceberam que não havia resposta.

A TI cuidava bem da infraestrutura, mas ninguém tinha a tarefa que um vCISO (CISO virtual) cumpre em tempo parcial: decidir quanto risco a empresa aceita, em que ordem gastar e o que contar para a diretoria.

Um vCISO compra para a empresa média a função de governança de segurança, que é a parte que mais falta, por uma fração do custo de um executivo em tempo integral. Ele não opera nada e não assume o risco no lugar da diretoria: a utilidade dele está em fazer alguém ser dono do risco.

O que é um vCISO e por que a empresa média precisa de um

CISO é o executivo que responde pela segurança da informação: define estratégia, mede risco, propõe orçamento e presta contas à diretoria ou ao conselho. Em empresa grande é um cargo com equipe. Na empresa média, com 200 a 2.000 funcionários, o cargo raramente existe, e a função acaba espalhada entre o gerente de TI, o jurídico e quem estiver mais perto do problema.

O vCISO ocupa esse espaço em dedicação parcial, como autônomo ou alocado por uma empresa de serviços, com agenda fixa e entregáveis combinados.

A escassez de profissionais pesa nessa conta. O Cybersecurity Workforce Study 2025 da ISC2 ouviu 16.029 profissionais: 59% apontam necessidades críticas ou significativas de competências na equipe, contra 44% no ano anterior. Avaliação de risco (29%) e governança, risco e conformidade (27%) aparecem entre as lacunas mais citadas, exatamente o que esse profissional oferece. E 88% relataram ao menos uma consequência de segurança significativa causada por falta de competência.

O mesmo diagnóstico aparece no NIST CSF 2.0, publicado em fevereiro de 2024, que criou a função Govern (Governar) e a colocou no centro das outras cinco. Ela cobre contexto organizacional, estratégia de gestão de risco, papéis e responsabilidades, política, supervisão e risco da cadeia de fornecimento. Já detalhei a estrutura em NIST CSF 2.0. A empresa média costuma ter algo em Proteger e Detectar, funções que se compram como ferramenta. O Govern fica vazio porque depende de alguém que o exerça.

O que o CISO virtual faz

O escopo varia por contrato, mas um serviço completo cobre estes blocos:

• Estratégia e roadmap. Diagnóstico de maturidade contra um framework (NIST CSF, ISO 27001), lista priorizada de lacunas e um plano de 12 a 24 meses com dono e data em cada item.
• Gestão de risco. Registro de riscos com probabilidade, impacto, dono e decisão (tratar, aceitar, transferir, evitar). A coluna que importa é a do dono: risco sem nome ao lado fica sem gestão.
• Políticas. Política de segurança, classificação da informação, controle de acesso, resposta a incidentes, uso aceitável e, hoje, política de uso de IA. Aprovadas pela diretoria e revisadas.
• Priorização de orçamento. Dizer o que comprar primeiro, o que adiar e o que não comprar. Escrevi sobre essa ordem em orçamento de segurança.
• Relato à diretoria e ao conselho. Relatório periódico curto, em linguagem de negócio, sobre os riscos principais e o andamento do roadmap.
• Questionários de clientes e due diligence. Responder com consistência, montar uma base de respostas reaproveitável e evitar que o comercial prometa controles que a empresa não tem.
• Apoio em incidente. Coordenar as decisões da crise (comunicação, jurídico, seguradora, ANPD) com base num plano de resposta a incidentes.
• Conformidade. Confrontar LGPD, ISO 27001 ou NIST CSF com a realidade da empresa e conduzir a adequação junto com o encarregado de dados.

O que o CISO virtual não faz

Essa é a maior fonte de frustração nos contratos que vejo.

Ele não opera SOC. Monitorar alerta 24 horas e conter máquina comprometida exige equipe e turno, seja interna, seja um SOC como serviço. Ele define o que precisa ser monitorado, cobra o nível de serviço e lê o relatório.

Ele não substitui a equipe técnica. Quem aplica patch, configura MFA e revisa permissão continua sendo a TI ou o fornecedor gerenciado.

Ele não transfere a responsabilidade legal. A LGPD põe a obrigação de reparar danos sobre o controlador e o operador (art. 42), e a decisão de aceitar um risco é da administração. O profissional recomenda e registra; a diretoria decide, assina e fica sabendo o que aceitou.

Modelos de contratação

Horas por mês. Um pacote fixo, por exemplo 16, 24 ou 40 horas mensais. Serve a quem já tem alguma estrutura. O risco é o banco de horas virar reunião, por isso o contrato precisa listar o que sai a cada mês.

Retainer. Valor mensal fixo atrelado a um escopo de responsabilidades, com disponibilidade para demandas não previstas, como um questionário urgente ou um incidente. É o formato mais próximo de ter um CISO de fato.

Por projeto. Escopo fechado: adequação à ISO 27001, preparação para uma auditoria de cliente, montagem do programa de governança. Quando o projeto acaba, ninguém fica com a manutenção, e política sem dono envelhece rápido.

Na minha experiência, o arranjo mais saudável para a empresa média é um retainer com carga maior nos primeiros seis meses e menor depois, quando o trabalho vira acompanhamento.

CISO interno x vCISO x consultoria pontual

Para muitas empresas o vCISO é a escolha certa por anos, e a transição para um CISO interno acontece quando o volume de decisões passa a ocupar uma pessoa inteira.

Sinais de que a empresa precisa de um CISO virtual

• Cliente grande mandou questionário de segurança e ninguém sabe quem responde, ou cada área responde uma coisa.
• Ninguém é dono do risco. Pergunte quem decidiu que o risco de ransomware no ERP é aceitável. Se a resposta é silêncio, o risco foi aceito por omissão.
• Houve incidente recente e a análise posterior terminou em compra de ferramenta, sem mudança de processo.
• O orçamento de segurança existe, mas sem prioridade. Cada fornecedor que aparece vende o próprio produto como urgente, e a empresa compra pela ordem de chegada.
• A IA entrou sem política. Times usando assistentes com dados de cliente, um projeto de agente em piloto e nenhuma regra sobre o que pode ou não pode.

CISO virtual num projeto de IA no atendimento

O caso que mais aparece agora é o agente de IA que responde cliente, consulta pedido e às vezes executa ação, sem ninguém decidindo quanto risco cabe ali. Escrevi sobre os riscos técnicos em segurança de IA no atendimento; aqui o assunto é a governança.

Definir o apetite a risco

Antes de qualquer configuração, a diretoria precisa responder por escrito: o agente pode ver dado pessoal? Pode ver dado financeiro? Que tipo de erro é tolerável (uma resposta imprecisa sobre prazo de entrega) e que tipo não é (informar o saldo de um cliente para outro)? O profissional conduz essa conversa e transforma as respostas em critérios verificáveis.

Escrever a política de IA

A política define quais dados entram no modelo, onde o fornecedor os processa e guarda, quem aprova novas integrações e como se registra o que o agente fez. Sem ela, cada nova conexão aos dados da empresa vira decisão isolada de quem estiver no projeto.

Fixar critérios de ação autônoma

Consultar status de pedido sem humano no meio é aceitável para quase todo mundo. Cancelar pedido, emitir reembolso ou alterar cadastro já pede regra: limite de valor, confirmação do cliente por um segundo fator, revisão humana acima de um teto. A injeção de prompt é o motivo concreto: se um texto do próprio cliente pode mudar o comportamento do agente, toda ação autônoma precisa de um limite aceito antes pela diretoria.

O CISO virtual também define o que monitorar depois do lançamento, porque um agente que erra sem gerar alerta é o cenário que descrevi em agente de IA com falha silenciosa.

Como avaliar um vCISO

Entregáveis com data. Peça na proposta o que estará pronto em 30, 90 e 180 dias: diagnóstico, registro de riscos, políticas, roadmap aprovado, primeiro relatório à diretoria. Proposta que fala só em "acompanhamento estratégico" não dá para cobrar.

Métricas que a diretoria entende. Percentual do roadmap concluído, riscos altos com dono e prazo, tempo médio para responder questionário de cliente, cobertura de MFA nas contas privilegiadas.

Independência de fornecedor de produto. É o critério que mais pesa, e digo isso trabalhando no mercado de segurança: um vCISO remunerado pela venda de ferramentas tende a montar o roadmap sobre o catálogo de quem o paga. Pergunte por escrito se ele recebe comissão ou margem de algum fabricante, e exija pelo menos uma alternativa comparada em toda recomendação de compra.

Postura em incidente. Pergunte como ele atuou no último incidente que acompanhou e quanto tempo levou para estar na chamada.

Por onde começar

1. Escreva as cinco perguntas sem resposta. Quem é dono do risco de segurança? Qual o nosso maior risco hoje? Quanto gastamos e em quê? O que fazemos se formos atacados amanhã? Quem responde o questionário do cliente? Essa lista vira o escopo inicial.
2. Peça um diagnóstico de 30 a 60 dias com entregável fechado: maturidade contra o NIST CSF 2.0 e um registro de riscos inicial.
3. Converta em retainer só depois do diagnóstico, com entregáveis mensais e trimestrais definidos em contrato.
4. Coloque o CISO virtual na pauta da diretoria desde o primeiro trimestre. Se ele só conversa com a TI, a empresa contratou um consultor técnico.
5. Formalize a cláusula de independência: declaração de vínculos comerciais com fabricantes e recomendações de compra com alternativas.

Quem decide

O vCISO preenche o vazio de decisão que fazia cada problema de segurança cair no colo de quem estava mais perto. O resultado aparece quando a diretoria vê o risco numa página, escolhe o que aceitar e assina.

No questionário de 180 perguntas, a pergunta 4 tem resposta fácil depois que alguém ocupa a função. As outras 179 só terão resposta boa se essa pessoa tiver passado os meses anteriores levando a diretoria a decidir, risco por risco.