Toda empresa madura em tecnologia tem, no papel, uma política de segurança da informação. Tem processo de gestão de fornecedores. Tem checklist de conformidade. O problema é que ter uma política e vivê-la são coisas muito diferentes — e é exatamente nessa distância entre o documento e a prática que os incidentes mais caros costumam nascer.

Governança de TI é, na definição mais simples, o conjunto de práticas que garante que a tecnologia esteja alinhada à estratégia do negócio, em conformidade com a regulação e protegida contra riscos. Não é um departamento, não é uma ferramenta, não é um certificado na parede. É a forma como a organização efetivamente toma decisões sobre tecnologia, todos os dias.

E é justamente aí que os dados mais recentes ligam um alerta.

Quando a política existe, mas não é seguida

O Relatório Danresa de julho de 2026 trouxe um dado que deveria incomodar qualquer líder de TI: o aumento de incidentes de segurança no Brasil não vem, majoritariamente, de ataques sofisticados de grupos especializados. Vem de falhas operacionais evitáveis — credenciais expostas, patches que não foram aplicados no prazo, configurações básicas deixadas de lado.

Isso não é uma crise de tecnologia. É uma crise de disciplina. As políticas de patch management e de gestão de credenciais já existem na maioria das empresas médias e grandes. O que falta é a aderência operacional a elas: alguém que cobre, que audite, que feche o ciclo entre “está escrito no documento” e “está implementado no ambiente”.

Terceiros: o elo que ninguém está medindo bem

Se a gestão interna já tem lacunas, a gestão de terceiros está em situação ainda mais delicada. A pesquisa global de TPRM (Third-Party Risk Management) da KPMG, divulgada em julho de 2026, mostra que apenas 18% dos programas de gestão de risco de terceiros estão totalmente integrados ao gerenciamento de riscos corporativos (ERM). Ou seja: para a grande maioria das empresas, o risco trazido por fornecedores, parceiros e prestadores de serviço vive numa espécie de ilha, desconectado da visão de risco do negócio como um todo.

Mais grave ainda: apenas 15% dos líderes confiam plenamente nos dados que sustentam seus próprios programas de TPRM. Isso significa que, mesmo quando existe um processo formal de avaliação de fornecedores, boa parte das decisões está sendo tomada sobre uma base de informação em que os próprios responsáveis não confiam totalmente.

Na prática, isso transforma fornecedores em pontos de falha silenciosos. Um parceiro com acesso a dados sensíveis, mas fora do radar do ERM, pode ser exatamente a porta de entrada de um incidente que a empresa nunca viu chegar — porque, tecnicamente, “não era um risco monitorado”.

Frameworks ajudam, mas não substituem cultura

Normas como ISO 27001, NIST Cybersecurity Framework e COBIT existem justamente para dar estrutura a esse tipo de problema. Elas oferecem diretrizes claras sobre como mapear riscos, classificar ativos, definir controles e auditar fornecedores. São, sem dúvida, ferramentas poderosas.

Mas um framework no papel não protege ninguém. Ele só é eficaz quando existe disciplina operacional e cultural para sustentá-lo: gente responsável por revisar, prazos definidos para correção, indicadores acompanhados de verdade e consequência para o não cumprimento. Uma empresa pode ser certificada ISO 27001 e ainda assim sofrer um incidente por credencial exposta — porque a certificação atesta o desenho do processo, não garante que ele seja seguido no dia a dia.

O estudo ABES/IDC de 2026 reforça esse ponto por outro ângulo: segurança se tornou a principal prioridade estratégica da TI brasileira, impulsionada pela LGPD e pela adoção acelerada de IA generativa. E é justamente essa adoção de IA, muitas vezes feita por fora dos canais oficiais de TI, que está criando um novo risco: a “Shadow AI” — ferramentas de inteligência artificial usadas por equipes sem aprovação, sem revisão de dados e sem qualquer controle de governança. É a mesma lógica do Shadow IT de sempre, só que com um potencial de exposição de dados muito maior.

O que fazer na prática

Fechar essa lacuna entre política e prática não exige reinventar a governança — exige disciplina de execução. Alguns passos que fazem diferença real:

Auditorias periódicas e não apenas documentais: verificar se os patches realmente foram aplicados, se as credenciais realmente foram revogadas, não apenas se o processo “existe no papel”.
Integração de dados confiáveis entre TI e gestão de riscos corporativos: sair da ilha do TPRM isolado e conectar os riscos de terceiros à visão de risco do negócio como um todo.
Autenticação multifator como padrão, não como exceção: especialmente para acessos privilegiados e para fornecedores com acesso a sistemas críticos.
Monitoramento contínuo da cadeia de suprimentos digital: acompanhar não só a contratação inicial do fornecedor, mas o comportamento dele ao longo do tempo.
Políticas claras de uso de IA generativa, com canais oficiais e revisão de dados, para evitar que a inovação vire uma porta aberta sem controle.

Governança é cultura, não só tecnologia

O ponto central que esses três levantamentos revelam, cada um a partir de um ângulo diferente, é o mesmo: a tecnologia de segurança disponível hoje já é suficientemente boa. O que falta, na maioria dos casos, é a disciplina organizacional para aplicá-la de forma consistente.

Governança de TI eficaz não é sobre ter a política mais completa ou o framework mais robusto no papel. É sobre construir uma cultura em que política, prática e responsabilidade caminham juntas — em que gestão de terceiros não é uma formalidade contratual, mas parte real da estratégia de risco da empresa.

Nesse cenário, a aderência séria a frameworks e políticas bem implementadas deixa de ser apenas uma exigência regulatória e se torna um diferencial competitivo. É o que permite inovar com segurança — inclusive na adoção de IA — e é o que sustenta a confiança de clientes e parceiros em um mercado onde o custo de um incidente evitável já não cabe mais no orçamento de ninguém.