Proposta de segurança: como separar risco real de catálogo

Toda proposta de segurança chega com a mesma temperatura. O e-mail tem um estudo anexado, o slide tem um mapa de ataques em tempo real, e a conversa começa com um caso recente de uma empresa parecida com a sua que parou por três dias.

Nada disso é mentira. É esse o detalhe que torna a situação difícil: o risco descrito costuma ser real, a estatística costuma existir, e o caso citado aconteceu mesmo. O problema não está na veracidade. Está na ordenação.

A tese em uma frase: nenhum fornecedor vende a camada que você não compra dele, então toda proposta chega com o catálogo dele no lugar da sua matriz de risco — e a urgência que ela transmite é uma propriedade do produto, não do seu ambiente.

Por que a urgência é sempre do fornecedor

Vale começar tirando a má-fé da mesa, porque ela atrapalha o raciocínio.

Quem vende mitigação de DDoS apresenta indisponibilidade como risco principal. Quem vende SOC apresenta a falta de monitoramento como lacuna crítica. Quem vende conscientização mostra que o usuário é o elo mais fraco. Os três estão dizendo algo verdadeiro, e nenhum dos três vai apresentar a camada que ele não fatura.

Isso não é desonestidade. É o catálogo falando, e o catálogo é sempre uma lente parcial. O erro do comprador é confundir a lente com o mapa.

Some a isso o tamanho do mercado. A Gartner projetou o gasto global com segurança da informação em US$ 213 bilhões em 2025, com estimativa de alta de 12,5% em 2026 (Gartner, julho/2025). Uma indústria desse tamanho tem muita gente competente sendo paga para tornar cada categoria urgente. E funciona.

As cinco técnicas que aparecem em quase toda proposta de segurança

Não são golpes. São padrões de apresentação, e reconhecê-los muda a conversa de tom.

1. Estatística sem denominador. "Ataques a empresas do seu setor cresceram 300%." Sobre que base? Três casos viraram nove? Em que país, em que porte, medido por quem? Número sem denominador não é dado, é adjetivo.

2. O custo global usado como custo local. Números de violação em relatórios internacionais descrevem, na maioria, empresas grandes. Servem para dimensionar ordem de grandeza — e não descrevem o prejuízo provável de uma PME brasileira. No próprio orçamento de segurança eu uso esse tipo de número, e declaro a limitação junto.

3. A avaliação gratuita que nunca volta vazia. Varredura sempre acha coisa, e coisa achada sempre pode ser classificada como crítica. O relatório não é falso; ele é enviesado por formato, porque foi produzido por quem vende a correção.

4. A conformidade citada de memória. "A LGPD exige isso." Quase nunca exige. A lei fala em medidas adequadas, não em produtos. Peça o artigo. Quem estiver certo mostra a referência em dez segundos — e vale conferir no guia de LGPD para PMEs o que de fato é obrigação.

5. O prazo comercial vestido de prazo de risco. O desconto vence sexta. A ameaça não sabe disso. Quando as duas urgências chegam na mesma frase, só uma delas é sobre segurança.

O que perguntar numa proposta de segurança

A tabela abaixo é a que eu levaria impressa para a reunião. A coluna da direita é o que separa fornecedor que estudou o seu ambiente de fornecedor que trouxe o material padrão.

A quarta pergunta do diagrama — o que muda se eu comprar daqui a seis meses? — é a mais desconfortável e a mais reveladora. Se a resposta honesta for "quase nada", você acabou de descobrir a prioridade real daquele item. Se for "nesse período você fica exposto a X, que já aconteceu duas vezes com clientes deste porte", você tem uma justificativa de compra.

Os três achados que quase sempre são verdadeiros

Ceticismo sem contrapartida vira desculpa para não fazer nada. Então vale registrar o outro lado: existem três achados que aparecem em quase toda avaliação e que, na minha experiência, quase sempre procedem.

• O backup que ninguém restaurou. Existe rotina, existe relatório verde, e ninguém testou a volta. É o achado mais comum e o mais caro.
• O MFA incompleto. Está ativo no e-mail e falta no acesso remoto, no painel do provedor de nuvem ou naquele sistema legado que "não suporta".
• O ativo exposto esquecido. Um ambiente de homologação, uma câmera, um roteador de filial, um sistema de um projeto que acabou — tudo com endereço público e sem dono.

Quando uma proposta de segurança aponta um desses, ela não está fabricando urgência: está descrevendo o que costuma estar quebrado. A diferença é que os três se resolvem com processo e configuração, não necessariamente com a licença que veio anexada.

A parte que é culpa do comprador

Fica fácil culpar o mercado, e uma parte relevante do problema é nossa.

Quando a empresa pede proposta sem dizer o que quer, cada fornecedor responde ao próprio catálogo — e as propostas chegam incomparáveis por construção. Não é que o comprador escolheu mal; é que ele não criou condição de escolha. Depois, na reunião de decisão, compara-se preço de coisas diferentes, o que é a pior forma possível de decidir segurança.

O antídoto é chato e funciona: escrever antes o que precisa ser atendido, mandar o mesmo texto para todo mundo e comparar respostas à mesma pergunta. O blog tem os dois lados desse processo em como fazer um termo de referência e como comparar propostas de fornecedores.

Vale acrescentar uma linha que quase nunca entra: o que acontece no dia ruim. Prazo de atendimento, contato nomeado e obrigação de cooperar com os outros fornecedores — o assunto de incidente com múltiplos fornecedores.

Quando o medo está certo

Aqui entra a ressalva que impede este texto de virar cinismo, e ela é importante.

A Sophos mediu, entre organizações atacadas por ransomware, que 40% disseram que o atacante aproveitou uma brecha de segurança que elas não sabiam que existia (State of Ransomware 2025). Isso diz duas coisas ao mesmo tempo.

A primeira é a favor do ceticismo: a brecha que derruba a empresa costuma ser a que ninguém estava vendendo, porque ninguém sabia dela. Comprar a categoria da moda não cobre o desconhecido.

A segunda é contra: desconhecimento é o argumento mais forte que um fornecedor tem, e ele é legítimo. Se você não tem inventário, não tem gestão de vulnerabilidade e não sabe o que está exposto, o vendedor sabe mais do seu ambiente do que você — e a assimetria é real, não retórica.

Por isso a resposta madura a uma proposta de segurança não é recusar. É entrar na conversa com o próprio mapa: inventário do que existe, o que já está coberto, o que ficou de fora por decisão consciente. Com mapa, a proposta vira insumo. Sem mapa, ela vira o mapa.

O ponto que fica

Vendedor de segurança não precisa mentir para distorcer a sua fila. Basta apresentar, com competência e dados corretos, o pedaço do risco que ele resolve — e é exatamente isso que ele vai fazer, porque é o trabalho dele.

O sinal mais confiável continua sendo o mais simples: proposta que trata tudo como igualmente urgente não foi escrita para você, porque prioridade é, por definição, o que fica de fora. E a pergunta de verificação, para a próxima reunião: se eu adiar isto seis meses, o que exatamente muda no meu risco?

Se ninguém na sala souber responder — nem o fornecedor, nem você —, o problema não é a proposta. É que ainda não existe uma fila para ela entrar.