Cibersegurança também é comunicação: o erro fatal das organizações

Num cenário em que ataques cibernéticos se tornaram rotina — de tribunais a hospitais, de varejistas a plataformas de serviços — ainda persiste uma ilusão perigosa: a de que incidentes digitais são problemas exclusivos da área de TI. Não são. E tratá-los assim tem custado caro à reputação de organizações públicas e privadas.

Nos últimos meses, pelo menos três episódios expuseram fragilidades comuns.

Em um grande hospital, a paralisação de sistemas por um ataque de ransomware levou a cancelamentos imediatos, mas a organização permaneceu quase 24 horas sem qualquer explicação aos pacientes. Nesse intervalo, circularam áudios e prints falsos falando em “perda total de dados”, o que não havia ocorrido. A ausência de posicionamento transformou um incidente técnico em uma crise de confiança.

Em um tribunal, o vazamento inicial ocorreu por canais informais: servidores souberam do ataque por mensagens de WhatsApp antes de qualquer comunicado interno. A falta de alinhamento interno alimentou boatos sobre apagamento de processos, levando advogados a divulgarem informações desencontradas, que a instituição demorou a desmentir.

No caso de uma grande varejista, os criminosos publicaram amostras de dados supostamente roubados, e a empresa levou dias para reconhecer que havia sido atacada. O atraso fez com que influenciadores e perfis de tecnologia se tornassem os principais porta-vozes do episódio, nunca uma boa estratégia para quem tenta conter danos.

Esses exemplos têm algo em comum: a crise reputacional foi maior do que o ataque. Não pela gravidade técnica do incidente, mas pela falha de comunicação nas primeiras horas.

O padrão se repete. Quando o sistema cai, a gestão corre para as equipes técnicas, que trabalham para conter a invasão, restaurar servidores e identificar a origem do ataque. O foco fica restrito ao código, ao firewall, ao backup. Mas enquanto isso, lá fora, cresce uma segunda onda, silenciosa e muito mais destrutiva, que se espalha antes de qualquer nota oficial: a onda das narrativas.

Para o público, a dimensão técnica importa pouco. O que importa é outra coisa: “meus dados vazaram?”, “estou em risco?”, “a empresa sabe o que está fazendo?”. Em crises desse tipo, o ataque dura horas; a perda de confiança, meses.

A lacuna começa justamente no tempo de resposta. Nas primeiras horas de um ataque, há um vácuo de informação que costuma ser preenchido por boatos, versões parciais e suposições compartilhadas em velocidade maior que qualquer perícia digital. A empresa que silencia, ou que fala tarde, perde, de saída, o controle da narrativa.

Outro erro recorrente é a divisão das crises em compartimentos estanques. TI cuida do incidente, jurídico cuida da LGPD, comunicação cuida da imprensa. O resultado é óbvio: versões desalinhadas, notas imprecisas, atrasos de posicionamento e — quando o caso envolve dados sensíveis — desgaste imediato com reguladores. Cibersegurança, no entanto, é um daqueles temas que não admitem silos. A resposta exige integração total.

Um bom protocolo de crise começa antes do ataque. Inclui simulações, fluxos de comunicação, alinhamento entre líderes e porta-vozes definidos. Nas primeiras duas horas, a organização precisa saber quem fala, o que fala e para quem fala. Funcionários devem ser informados antes do público externo. Clientes precisam receber informação objetiva, não dramatizada. Reguladores devem ser comunicados rapidamente, sem subestimar o risco.

O que costuma diferenciar crises bem conduzidas das crises que descarrilam não é a complexidade técnica do ataque — é a clareza da comunicação. Transparência não é sinônimo de exposição total. É sinônimo de precisão. Falar o que se sabe, admitir o que ainda não é possível afirmar e atualizar conforme os fatos avançam cria a sensação mais valiosa em momentos de instabilidade: de que a organização está no comando.

Há um ponto final que as lideranças precisam compreender: ataques cibernéticos são inevitáveis. Não existe blindagem absoluta, e não há empresa grande demais para ser vulnerável. Diante dessa realidade, a pergunta estratégica não é se um ataque ocorrerá. É como a organização reagirá quando isso acontecer.

Nesse contexto, cibersegurança deixou de ser apenas tecnologia. Tornou-se gestão de risco, governança, compliance e, sobretudo, comunicação. Porque, no fim, a crise que começa no sistema termina sempre na opinião pública.

Fonte: Vero Notícias.