Orçamento de segurança: em que ordem gastar o primeiro real

Chega o momento em que a mesa tem seis propostas e orçamento para duas. Proteção de identidade, endpoint, backup, monitoramento, mitigação de DDoS e treinamento de pessoas. Todas defensáveis, todas apresentadas como urgentes, cada uma com um caso assustador anexado.

O problema de montar um orçamento de segurança nesse cenário não é falta de informação. É que a informação disponível é toda do mesmo tipo: cada camada, olhada isoladamente, parece indispensável. E é mesmo — o que muda entre elas não é a importância, é a consequência de não ter.

A tese em uma frase: a ordem de compra não sai da gravidade da ameaça, sai do custo de recuperação se aquela camada falhar — por isso identidade e backup vêm antes de monitoramento e DDoS, mesmo quando o ataque do noticiário é o outro.

A pergunta que ordena o orçamento de segurança

Existe uma pergunta única que resolve quase toda a discussão de prioridade, e ela não é sobre ameaça: se esta camada falhar hoje, quanto tempo até eu voltar a operar, e quanto custa esse tempo?

Faça essa pergunta nas seis linhas da proposta e a fila se ordena sozinha. Sem MFA, uma credencial vazada dá acesso imediato e o tempo de recuperação depende de descobrir o que foi feito com ela — pode ser semanas. Sem backup restaurável, o tempo de recuperação de um ransomware é indefinido, e "indefinido" é o eufemismo de empresas que não voltaram. Sem monitoramento, você demora mais para saber; sem mitigação de DDoS, você fica fora do ar por horas. Todas são ruins. Só as duas primeiras são terminais.

Dois números dão escala a isso, e são de fontes independentes.

O relatório da IBM com o Ponemon mediu o custo médio de uma violação no Brasil em R$ 7,19 milhões em 2025, alta de 6,5% sobre os R$ 6,75 milhões de 2024. O phishing lidera as causas iniciais, com 18% dos casos (IBM Brasil, julho/2025). É um número de empresa grande: serve como teto, não como previsão para uma PME. O que ele mostra bem é a proporção — nenhuma linha do orçamento de segurança discutida nessa mesa chega perto disso.

O segundo é mais desconfortável. A State of Ransomware 2025 da Sophos ouviu 3.400 organizações atacadas, em 17 países. Apenas 54% conseguiram restaurar os dados a partir de backup — o menor percentual em seis anos. Quase metade preferiu pagar o resgate, e o custo médio de recuperação ficou em US$ 1,53 milhão.

Leia essa estatística devagar, porque ela não diz o que parece. Não é que metade das empresas não tinha backup. É que metade tinha alguma coisa chamada backup que não funcionou na hora. Fora de escopo, criptografado junto, sem ninguém que soubesse restaurar, ou lento demais para a urgência.

A ordem que costuma funcionar no orçamento de segurança

Nenhuma ordem serve para todo mundo, e a tabela abaixo é um ponto de partida honesto, não um decreto. A coluna que mais importa é a última: o gatilho que autoriza subir para a camada seguinte. Sem ele, a discussão vira preferência pessoal.

Treinamento não está na tabela de propósito: ele atravessa todas as linhas, e volto a isso adiante.

Sobre as camadas 1 e 2 o blog já tem material que não vou repetir aqui: o que é MFA e backup 3-2-1. O ponto que interessa ao orçamento de segurança é outro: são as duas camadas com a melhor relação entre custo e dano evitado que existem.

A pesquisa da Microsoft quantificou bem o lado da identidade. MFA reduziu em 99,22% o risco de comprometimento de conta na população estudada — e em 98,56% mesmo nos casos em que a senha já havia vazado (Microsoft Research).

Onde o dado contraria a intuição

Uma nuance que mudou nos últimos dois anos e que altera a terceira posição da fila.

Pelo DBIR 2026 da Verizon, 31% das violações começam por exploração de vulnerabilidade — a primeira vez em 19 anos que esse vetor passa credenciais roubadas como porta de entrada. O relatório atribui parte disso à IA acelerando a exploração, comprimindo para horas a janela entre a divulgação da falha e o ataque.

Isso não derruba identidade da base: credencial continua sendo vetor de primeira grandeza, e MFA continua barato. Mas promove a camada mais chata do orçamento de segurança — atualizar o que está exposto — para antes de qualquer compra de detecção. É a camada que não tem folheto bonito, não tem quadrante de analista e não impressiona em reunião de diretoria. Sobre por onde começar quando a lista de correções é grande demais, o post de gestão de vulnerabilidades trata exatamente disso.

O erro de sequência mais caro

Se eu pudesse eliminar um único padrão de compra, seria este: detecção antes de capacidade de resposta.

Acontece porque é o pedaço que o mercado vende com mais entusiasmo. E porque comprar monitoramento dá a sensação de estar fazendo algo estruturado. O resultado prático é uma empresa que passa a saber, com precisão crescente, o que está acontecendo com ela — sem ter o que fazer a respeito às 3h da manhã.

Alerta que ninguém trata não é meia defesa. É custo recorrente com risco inalterado, e ainda gera registro de que você foi avisado. A ordem correta é ter onde agir — endpoint gerenciado, backup restaurável, identidade controlada — e quem aja. Nem que seja um plano de resposta a incidentes de duas páginas com os telefones certos.

Quando chegar a hora dessa camada, as perguntas de compra estão em MDR, XDR, SIEM ou SOC gerenciado. E vale decidir desde já o que a ferramenta pode desligar sozinha, assunto de contenção automática.

Onde entra o treinamento

Treinamento é a única linha do orçamento que custa tempo em vez de licença, então ela não disputa com as outras — e é por isso que não a coloquei numa posição da fila.

Duas ressalvas honestas, das duas direções. A primeira: treinamento não substitui controle técnico. Se o time clica em phishing, a resposta não é apenas treinar mais. É fazer com que clicar não baste para comprometer a empresa, o que é papel do MFA e do endpoint. A segunda: sem treino, controle técnico é contornado por gente bem-intencionada com pressa.

A métrica que importa é a taxa de reporte, não a taxa de clique. E punir quem cai destrói o canal de reporte, que é o sensor mais barato que qualquer empresa tem. O post sobre phishing desenvolve essa parte.

E quando a urgência vem de fora

Vale um parágrafo sobre o incentivo comercial, porque ele distorce a fila.

Nenhum fornecedor vende a camada que o cliente não compra dele. Quem vende mitigação de DDoS apresenta DDoS como risco principal; quem vende SOC apresenta a falta de monitoramento como lacuna crítica. Não é desonestidade: é o catálogo falando. O sinal de alerta é a proposta que trata seis coisas como igualmente urgentes — porque prioridade é, por definição, o que fica de fora.

Três perguntas devolvem a conversa ao seu ambiente: qual cenário concreto isso evita aqui, qual o impacto em reais se acontecer, e o que muda se eu adiar seis meses. Para estruturar a comparação, como comparar propostas de fornecedores tem o método.

O ponto que fica

Orçamento limitado não é um problema a resolver antes de começar. É a condição normal, e ela obriga a uma clareza que orçamento grande costuma esconder: em segurança, a ordem vale mais que o valor.

Pense em duas empresas. A primeira tem MFA em tudo, backup restaurado no último trimestre e sistemas expostos atualizados. A segunda pulou essas três coisas e assinou um contrato caro de monitoramento. A primeira gastou pouco, na ordem certa. A segunda gastou bem mais para saber, em alta definição, que está exposta.

A pergunta de verificação, para fazer antes da próxima renovação: qual foi a última vez que alguém aqui restaurou um backup de verdade, e quanto tempo levou? Se a resposta for silêncio, o próximo real do orçamento de segurança já tem destino.