Um contrato ainda em negociação pode ser inserido em uma ferramenta de inteligência artificial para revisão. Um desenvolvedor pode compartilhar parte do código-fonte para identificar uma falha. Uma equipe comercial pode enviar uma proposta completa para tornar o texto mais persuasivo.

Em todos esses casos, a intenção é legítima: ganhar produtividade.

O risco surge quando a empresa não consegue determinar quais informações foram enviadas, para qual aplicação, por qual usuário e em que contexto.

A proteção, portanto, não começa no momento em que alguém faz o upload de um arquivo. Começa antes, com a definição dos dados que não podem sair do ambiente corporativo e dos controles necessários para impedir esse compartilhamento.

Defina quais informações nunca podem ser enviadas para uma IA pública

Informação confidencial é uma classificação ampla demais para orientar decisões no dia a dia.

O colaborador precisa saber se pode inserir um trecho de contrato, uma planilha financeira, uma base de clientes ou parte do código de uma aplicação. 

Sem critérios objetivos, essa avaliação passa a ser feita individualmente e, muitas vezes, durante a execução de uma tarefa urgente.

A empresa deve transformar o conceito de confidencialidade em categorias claras, como:

• dados pessoais e informações de clientes;
• credenciais, chaves e informações de acesso;
• contratos e documentos jurídicos;
• propostas comerciais e condições de negociação;
• demonstrativos e projeções financeiras;
• código-fonte e documentação técnica;
• propriedade intelectual;
• planos estratégicos, roadmaps e informações ainda não divulgadas.

Essa classificação permite associar cada categoria a uma regra. Algumas informações podem ser utilizadas apenas em aplicações corporativas aprovadas. 

Outras devem ser anonimizadas antes do envio. Determinados conteúdos não devem ser compartilhados com nenhuma ferramenta externa.

Sem essa etapa, a empresa tenta controlar aplicações sem ter definido, com precisão, o que pretende proteger.

Avalie cada ferramenta antes de autorizá-la

Tratar todas as soluções de inteligência artificial como equivalentes cria uma política superficial.

As plataformas podem adotar condições diferentes para retenção de dados, uso das informações fornecidas, administração de contas, integração com ambientes corporativos e disponibilidade de registros para auditoria.

A avaliação deve considerar, entre outros pontos:

• onde os dados são processados;
• por quanto tempo podem permanecer armazenados;
• se as informações podem ser utilizadas para aprimorar o serviço;
• quais configurações administrativas estão disponíveis;
• se a empresa consegue controlar usuários, acessos e permissões;
• quais evidências ficam disponíveis em caso de investigação.

O resultado dessa análise deve ser uma relação objetiva de ferramentas autorizadas, restritas e proibidas.

A aprovação também precisa considerar a finalidade. Uma plataforma pode ser adequada para produção de textos genéricos e, ao mesmo tempo, inadequada para analisar documentos jurídicos ou informações financeiras.

A pergunta correta não é apenas se determinada IA pode ser usada. É o que pode ser feito com ela.

Crie regras diferentes para áreas com exposições diferentes

Uma política única para toda a empresa tende a falhar em uma das duas direções: bloqueia atividades legítimas ou permite compartilhamentos excessivos.

O Jurídico, por exemplo, lida com contratos, disputas e informações protegidas por sigilo. Recursos Humanos processa dados pessoais e registros de colaboradores. 

Desenvolvimento trabalha com código-fonte, arquitetura e credenciais técnicas. Marketing pode utilizar IA para criar peças sem precisar expor informações sensíveis.

Essas áreas não apresentam o mesmo risco e não deveriam receber as mesmas permissões.

Uma política contextual pode estabelecer:

• quais ferramentas cada grupo pode acessar;
• quais recursos ficam disponíveis;
• quais tipos de conteúdo podem ser enviados;
• quando a atividade deve ser bloqueada;
• quando uma exceção depende de aprovação;
• quais ações precisam ser registradas.

Essa granularidade reduz a dependência de bloqueios generalizados e mantém o uso da inteligência artificial alinhado às responsabilidades de cada área.

Proteja prompts, arquivos e dados copiados

O controle não pode se limitar ao upload de documentos.

Informações confidenciais também podem sair da empresa por meio de trechos copiados e colados, comandos digitados manualmente, imagens, tabelas, capturas de tela e integrações conectadas a aplicações corporativas.

Um usuário não precisa enviar um contrato completo para expor seu conteúdo. 

Pode inserir apenas uma cláusula que contenha valores, nomes, condições comerciais ou informações sobre uma negociação ainda não concluída.

Da mesma forma, algumas linhas de código podem revelar componentes internos, endereços de infraestrutura, estruturas de autenticação ou características de uma aplicação.

A política precisa acompanhar os diferentes caminhos pelos quais a informação pode chegar à ferramenta de IA. 

Caso contrário, a empresa controla o arquivo, mas deixa o conteúdo desprotegido.

Aplique o controle antes que o compartilhamento seja concluído

Treinamentos ajudam os colaboradores a reconhecer riscos, mas não conseguem impedir todos os erros.

Uma pessoa pode conhecer a política e ainda assim compartilhar um conteúdo sensível por distração, pressa ou interpretação incorreta. 

Quando a proteção depende apenas dessa decisão, o controle acontece tarde demais.

A tecnologia deve atuar no momento da tentativa de acesso ou envio.

Isso pode envolver:

• identificação das aplicações de IA utilizadas;
• políticas por usuário, grupo ou área;
• bloqueio seletivo de ferramentas;
• restrição de uploads e compartilhamentos;
• inspeção de conteúdo;
• alertas diante de comportamentos de risco;
• registro das atividades para auditoria.

O objetivo não é interromper indiscriminadamente o trabalho. É aplicar a resposta adequada ao risco.

Uma ação pode ser permitida, registrada, alertada, condicionada a uma regra adicional ou bloqueada. Essa capacidade de diferenciação transforma a política em um controle operacional.

Registre o uso para corrigir falhas e investigar incidentes

Sem registros, a empresa não consegue comprovar que as políticas foram aplicadas nem reconstruir o que aconteceu em uma possível exposição.

Logs de acesso e atividade ajudam a responder perguntas essenciais:

• qual ferramenta foi utilizada;
• qual usuário realizou a ação;
• quando o evento ocorreu;
• qual política foi acionada;
• se o envio foi permitido ou bloqueado;
• quais áreas concentram os comportamentos de maior risco.

Essas informações também permitem ajustar a governança.

Se uma equipe recorre repetidamente a uma plataforma não autorizada, o problema pode indicar falta de orientação, ausência de uma alternativa corporativa ou uma necessidade operacional ainda não contemplada pela TI.

O monitoramento, nesse caso, não serve apenas para identificar violações. Ele revela onde a política precisa evoluir.

Evite que a produtividade crie um novo canal de saída de dados

As empresas investiram durante anos em controles para impedir invasões, proteger endpoints e restringir acessos indevidos.

A inteligência artificial acrescentou outra frente ao problema: informações podem deixar o ambiente corporativo por meio de ações legítimas executadas por usuários autorizados.

Isso muda a lógica da proteção.

Não basta verificar quem tem acesso aos dados. É necessário controlar o que essa pessoa pode fazer com eles ao utilizar serviços externos.

Classificar informações, avaliar ferramentas, aplicar políticas contextuais, inspecionar compartilhamentos e manter registros são etapas de uma mesma estratégia. 

Quando funcionam em conjunto, permitem usar inteligência artificial sem transformar cada prompt em uma possível saída não monitorada de dados.

Conheça a tecnologia Penso com Fortinet no Fortinet Cybersecurity Summit Brasil 2026

A Penso estará no Fortinet Cybersecurity Summit Brasil 2026 para demonstrar como ampliar a visibilidade sobre o uso de inteligência artificial, aplicar políticas conforme o contexto e reduzir o risco de compartilhamento indevido de informações corporativas.

Visite o estande da Penso e conheça, na prática, como estruturar controles para proteger dados sem impedir o uso produtivo da IA.

Transamérica Expo Center
11 de agosto de 2026
São Paulo | SP

Penso, a gente resolve.

The post Como evitar que informações confidenciais sejam enviadas para ferramentas de IA appeared first on Penso Tecnologia.

A adoção da inteligência artificial traz uma questão prática para as lideranças de TI: como reduzir riscos sem impedir o uso de recursos que já fazem parte da operação?

O bloqueio continua relevante em determinados contextos, mas perde eficácia quando aplicado como resposta única. Por isso, o desafio passa a ser definir até onde restringir e onde estabelecer controles sobre a forma como a IA é utilizada.

O bloqueio deixou de acompanhar a evolução da IA

Durante muito tempo, restringir uma tecnologia significava impedir o acesso a aplicações ou endereços específicos por meio das políticas de segurança.

Esse modelo perde alcance quando funcionalidades de IA passam a ser incorporadas às soluções que os usuários já acessam no trabalho.

Bloquear um conjunto conhecido de plataformas não impede, por exemplo, que recursos de geração, resumo, análise ou automação continuem disponíveis em aplicações corporativas, extensões de navegador e serviços em nuvem.

A discussão, portanto, não pode se limitar a uma lista de ferramentas permitidas ou proibidas. 

A TI precisa considerar quais funcionalidades estão ativas, quem pode utilizá-las e como elas interagem com os dados da empresa.

Restrições generalizadas podem deslocar o risco

Impedir o acesso às ferramentas mais conhecidas não significa que os colaboradores deixarão de recorrer à inteligência artificial.

Quando não encontram alternativas corporativas ou diretrizes claras, os usuários podem utilizar contas pessoais, dispositivos particulares e serviços que não passaram pela avaliação da TI.

Esse movimento amplia a Shadow AI e reduz a capacidade da organização de acompanhar quais aplicações são acessadas e quais informações são inseridas nelas.

O bloqueio continua sendo necessário em situações incompatíveis com as políticas internas ou com o nível de risco aceito pela empresa. 

O problema está em adotá-lo como única resposta para um uso que já se distribui por diferentes camadas do ambiente corporativo.

Controlar o uso permite aplicar políticas conforme o risco

Uma estratégia de controle estabelece critérios para o uso de ferramentas e funcionalidades de IA de acordo com o perfil dos usuários, a finalidade da atividade, os tipos de dados envolvidos e as exigências de segurança e compliance da organização.

Determinados recursos podem ser autorizados para grupos específicos, enquanto outros permanecem restritos. 

O envio de informações sensíveis pode exigir controles adicionais, e atividades relevantes devem ser registradas para apoiar auditorias e investigações.

Com isso, a empresa deixa de aplicar uma regra única a todos os usos e passa a adotar políticas compatíveis com o nível de risco de cada situação.

Tecnologia Penso com Fortinet: solução baseada em governança

A tecnologia Penso com Fortinet permite substituir restrições isoladas por uma estratégia estruturada de governança para o uso da inteligência artificial.

Com visibilidade sobre o ambiente, a empresa pode identificar aplicações que utilizam recursos de IA, definir políticas para usuários e grupos e aplicar controles de acordo com seus requisitos de segurança, compliance e proteção de dados.

Em vez de tratar todas as ferramentas da mesma forma, a organização passa a administrar seu uso conforme o contexto e o nível de risco de cada aplicação.

Essa abordagem também contribui para a proteção de dados corporativos ao reduzir a exposição de informações sensíveis em serviços capazes de processá-las e armazená-las fora do ambiente controlado pela empresa.

Conheça essa abordagem no Fortinet Cybersecurity Summit Brasil 2026

Quer entender na prática como administrar o uso da inteligência artificial sem depender apenas de bloqueios?

Visite o estande da Penso no Fortinet Cybersecurity Summit Brasil 2026 e conheça como a tecnologia Penso com Fortinet apoia a aplicação de políticas, a proteção de dados e o controle da IA no ambiente corporativo.

Penso no Fortinet Cybersecurity Summit Brasil 2026

Data: 11 de agosto de 2026
Horário: das 8h às 18h
Local: Transamérica Expo Center — São Paulo/SP

Penso, a gente resolve!

The post Bloquear IA ou Controlar seu Uso? A Escolha Inteligente para Empresas appeared first on Penso Tecnologia.

A adoção de novas tecnologias costumava seguir um caminho previsível, com avaliação, aprovação e implantação conduzidas pela empresa.

Com a inteligência artificial, essa lógica mudou.

Recursos de IA passaram a surgir dentro de softwares já utilizados e em aplicações acessíveis diretamente pelo navegador, sem depender de um projeto formal ou da participação da TI.

Com isso, a empresa pode conhecer as ferramentas que aprovou, mas ainda assim, desconhecer parte relevante das soluções que estão em uso.

A inteligência artificial deixou de ser uma aplicação isolada

No início da adoção corporativa, a inteligência artificial estava concentrada em plataformas específicas e, por isso, era mais fácil de identificar.

Esse cenário mudou à medida que funcionalidades generativas foram incorporadas a sistemas de produtividade, colaboração, desenvolvimento e gestão já presentes nas empresas.

A IA deixou de entrar no ambiente apenas como uma nova ferramenta e passou a aparecer em atualizações, integrações e recursos disponibilizados dentro de soluções conhecidas.

Por isso, acompanhar somente a contratação de softwares já não é suficiente para saber onde a tecnologia está sendo utilizada.

As ferramentas mais conhecidas mostram apenas parte do cenário

ChatGPT, Copilot, Claude, Gemini e DeepSeek concentram grande parte da atenção quando o assunto é inteligência artificial generativa.

Entretanto, limitar a análise a essas plataformas produz uma visão incompleta.

O ecossistema também inclui serviços especializados e funcionalidades incorporadas a aplicações corporativas que já possuem acesso autorizado aos usuários e, em determinados casos, aos dados da organização.

Muitas vezes, esses recursos chegam ao ambiente sem se apresentar como uma nova tecnologia. 

Passam a fazer parte de ferramentas conhecidas e podem ser utilizados sem um processo específico de implantação.

A dificuldade está justamente na forma como a IA se distribui pela operação, tornando menos evidente a diferença entre o ambiente aprovado pela empresa e aquele que efetivamente está em uso.

O uso pode começar antes mesmo da avaliação da empresa

A adoção de inteligência artificial costuma surgir de necessidades concretas das áreas da empresa, que encontram nessas ferramentas formas mais rápidas de executar determinadas atividades.

Quando o acesso é simples e o resultado imediato, o uso pode começar antes que a organização tenha avaliado os riscos envolvidos ou estabelecido critérios para sua utilização.

Esse movimento também ocorre quando plataformas já aprovadas recebem novas funcionalidades de IA. 

Nesse caso, a tecnologia avança sem depender de uma decisão centralizada e pode chegar a diferentes áreas antes de entrar no campo de visão da TI.

É nesse espaço entre o uso real e o ambiente conhecido pela empresa que surge a Shadow AI: a utilização de inteligência artificial sem homologação, diretrizes claras ou acompanhamento das áreas responsáveis por tecnologia, segurança, privacidade e compliance.

Conhecer o ambiente passou a ser o primeiro desafio

Antes de discutir quais ferramentas devem ser permitidas, restringidas ou bloqueadas, a empresa precisa compreender a extensão real do uso de inteligência artificial.

Sem visibilidade suficiente, a organização corre o risco de definir controles com base em um retrato incompleto do ambiente. 

As medidas adotadas podem alcançar as plataformas já conhecidas, mas perder efetividade à medida que novos recursos são incorporados a outros serviços e o ecossistema de IA continua evoluindo.

Identificar onde a tecnologia está presente tornou-se, portanto, a base para qualquer decisão posterior.

É a partir desse conhecimento que a empresa consegue avaliar quais usos exigem atenção, quais dados podem estar expostos e onde será necessário estabelecer regras específicas.

Uma avaliação pontual não acompanha um ambiente em transformação

A inteligência artificial continuará avançando tanto por meio de novas aplicações quanto pela transformação das plataformas já presentes nas empresas.

Por esse motivo, inventários estáticos e verificações realizadas apenas no momento da contratação de um software tendem a perder validade. 

O ambiente pode mudar entre uma avaliação e outra sem produzir sinais evidentes de que uma nova capacidade entrou em operação.

Essa dinâmica amplia um desafio já presente na construção da resiliência cibernética: a capacidade de acompanhar a evolução da tecnologia e das ameaças precisa avançar no mesmo ritmo das mudanças ocorridas dentro da operação.

A pergunta já não é se os profissionais utilizam inteligência artificial, mas sim: até onde seu uso está limitado?

Da descoberta à governança do uso corporativo de IA

A rápida evolução da inteligência artificial apresenta desafios que começam na identificação das ferramentas utilizadas e avançam para a proteção de informações confidenciais, a aplicação de controles, a adequação à LGPD e a definição de políticas corporativas.

Nas próximas publicações, vamos trazer outros pontos importantes sobre o uso de IA em ambientes corporativos.

E no dia 11 de agosto, durante o Fortinet Cybersecurity Summit Brasil 2026, mostraremos na prática as soluções capazes de identificar, controlar e governar o uso corporativo de inteligência artificial.

Visite o estande da Penso e descubra como transformar um ambiente sem visibilidade em uma operação segura e confiável. 

Penso, a gente resolve.

The post Quem está usando IA na sua empresa sem que você saiba? appeared first on Penso Tecnologia.

No artigo “Empresa brasileira é eleita a principal parceira Zimbra das Américas em premiação global na Espanha”, destaca-se o reconhecimento da Penso Tecnologia como BSP of the Year 2025 durante o Zimbra Global Partner Summit, em Barcelona. A premiação consagra a empresa como a parceira de maior relevância nas Américas, evidenciando sua capacidade de comercializar, entregar e sustentar serviços de e-mail e colaboração corporativa com alto volume e consistência operacional, competindo em padrão global de qualidade.

Para sustentar essa operação de excelência, a empresa enfatiza a importância de aliar uma infraestrutura própria e robusta a um suporte altamente especializado no Brasil, gerenciando milhões de caixas postais com segurança e disponibilidade contínua. Além disso, reforça que a gestão eficiente de comunicações corporativas exige monitoramento constante e aderência a rígidas normas de soberania de dados. O artigo conclui que o reconhecimento internacional da Penso Tecnologia reafirma a força e a maturidade da tecnologia brasileira para proteger e impulsionar os processos críticos de negócios em todo o continente.

Confira a matéria completa em:

The post Empresa brasileira é eleita a principal parceira Zimbra das Américas em premiação global na Espanha appeared first on Penso Tecnologia.

No artigo “Brasil registra aumento de 25% nos ataques de ransomware e empresas enfrentam lacunas críticas em planos de recuperação”, Erik de Lopes Morais, COO da Penso Tecnologia, discute como a ausência de planos de recuperação estruturados deixa as empresas brasileiras vulneráveis diante do crescimento dos ataques de ransomware. Ele destaca que grande parte das organizações não tem clareza sobre o tempo necessário para retomar suas operações após um incidente, e que vulnerabilidades básicas, como a falta de autenticação multifator nas nuvens, potencializam ainda mais os danos causados por esses ataques.

Para combater essas ameaças, Erik enfatiza a necessidade de estabelecer métricas claras, como o RTO (Tempo Objetivo de Recuperação) e o RPO (Ponto Objetivo de Recuperação), que devem ser alinhadas à realidade operacional de cada negócio e não tratadas como um exercício burocrático. Além disso, ele reforça que as empresas devem entender que a resiliência cibernética vai muito além de possuir um simples backup, exigindo a capacidade de voltar a operar rapidamente e sem comprometer a integridade dos dados. O artigo conclui que a preparação estratégica para o pós-ataque é fundamental para evitar que incidentes se transformem em crises prolongadas e destrutivas.

Confira a matéria completa em:

The post Brasil registra aumento de 25% nos ataques de ransomware e empresas enfrentam lacunas críticas em planos de recuperação appeared first on Penso Tecnologia.

No artigo “Funcionários usam ChatGPT sem autorização e expõem empresas a vazamento silencioso de dados, alerta especialista”, Erik de Lopes Morais, COO da Penso Tecnologia, discute como o uso indiscriminado de ferramentas de Inteligência Artificial generativa, conhecido como “shadow AI”, tem criado uma porta de saída invisível para dados corporativos sensíveis. Ele destaca que muitos profissionais adotam essas ferramentas sem o conhecimento ou a autorização da área de TI, copiando e colando informações confidenciais diretamente em chatbots públicos, o que amplia significativamente o risco regulatório e de vazamento de dados das empresas.

Para combater essas ameaças, Erik enfatiza a necessidade de implementar governança e políticas corporativas claras sobre o uso de inteligência artificial no ambiente de trabalho. Além disso, ele reforça que as empresas devem educar seus colaboradores sobre os riscos de expor dados sensíveis em plataformas públicas e buscar soluções de segurança que monitorem a transferência de informações. O artigo conclui que a tecnologia deve ser usada como aliada, mas sua adoção exige controle e conscientização para evitar que o avanço tecnológico comprometa a privacidade e a segurança das organizações.

Confira a matéria completa em:

The post Funcionários usam ChatGPT sem autorização e expõem empresas a vazamento silencioso de dados, alerta especialista. appeared first on Penso Tecnologia.

Esse movimento trouxe um novo desafio para as equipes de Tecnologia e Segurança: como evitar que informações estratégicas sejam compartilhadas com ferramentas de IA sem comprometer a produtividade dos colaboradores.

A resposta mais comum ainda é bloquear o acesso a essas plataformas. Na prática, porém, essa estratégia costuma produzir o efeito contrário.

O problema não é a IA, mas a falta de visibilidade

Quando uma ferramenta ajuda um profissional a economizar horas de trabalho, dificilmente ela deixa de ser utilizada apenas porque foi bloqueada na rede corporativa.

O que normalmente acontece é a migração para aplicações menos conhecidas, dispositivos pessoais ou novas plataformas que passam despercebidas pela área de TI. Esse comportamento, conhecido como Shadow AI, faz com que a empresa perca completamente a visibilidade sobre quais ferramentas estão sendo utilizadas e, principalmente, quais informações estão sendo compartilhadas.

O risco deixa de ser apenas tecnológico. Um colaborador pode inserir em um prompt contratos, propostas comerciais, dados financeiros, informações de clientes ou documentos confidenciais acreditando que está apenas acelerando uma tarefa do dia a dia.

Sem políticas de governança, esses dados podem sair do ambiente corporativo sem qualquer controle.

Segurança e produtividade não precisam competir

Assim como aconteceu com a computação em nuvem e com o trabalho remoto, tentar impedir o uso de uma tecnologia amplamente adotada costuma ser menos eficiente do que aprender a utilizá-la de forma segura.

Em vez de bloquear indiscriminadamente todas as aplicações de IA, empresas mais maduras estão investindo em visibilidade e governança.

O primeiro passo é descobrir quais ferramentas estão sendo utilizadas pelos colaboradores. Depois, entender quais áreas fazem maior uso dessas soluções e quais delas representam riscos para o negócio.

Com essas informações, torna-se possível criar políticas inteligentes, permitindo o uso de aplicações aprovadas e restringindo apenas situações que envolvam informações sensíveis, dados pessoais ou propriedade intelectual.

Essa abordagem reduz o risco sem impedir que as equipes aproveitem os ganhos de produtividade proporcionados pela inteligência artificial.

O controle precisa acompanhar a velocidade da IA

Novas ferramentas de IA surgem praticamente todos os dias. Muitas delas são incorporadas a navegadores, plataformas SaaS e aplicações corporativas sem que os usuários sequer percebam.

Por isso, manter listas de bloqueio já não é suficiente.

As organizações precisam acompanhar continuamente o uso dessas aplicações, identificar novos serviços, entender o comportamento dos usuários e aplicar políticas de acordo com o contexto de cada operação.

Mais do que controlar o acesso, o objetivo passa a ser proteger os dados.

É justamente essa a proposta do Penso FG AI Control. A solução permite descobrir quais ferramentas de IA estão sendo utilizadas na empresa, identificar aplicações não autorizadas, analisar o comportamento dos usuários e estabelecer políticas para reduzir o risco de vazamento de informações sem comprometer a produtividade.

A inteligência artificial continuará evoluindo e fazendo parte da rotina corporativa. A diferença estará nas empresas que conseguirem adotar essa tecnologia com segurança, governança e visibilidade, transformando um novo risco em uma vantagem competitiva.

The post Bloquear a IA resolve o problema do vazamento de dados? appeared first on Penso Tecnologia.

O backup passou a ocupar uma posição prioritária na estratégia do ransomware. Ao comprometer as cópias, o invasor reduz as alternativas de recuperação e aumenta a pressão sobre a empresa.

O Veeam 2024 Ransomware Trends Report mostra a dimensão desse cenário: em 96% dos ataques analisados, os repositórios de backup foram visados. Em 76% dos casos, ao menos parte deles foi comprometida.

O impacto apareceu diretamente na recuperação. Em média, apenas 57% dos dados afetados foram restaurados, o que significa que 43% permaneceram indisponíveis.

A sequência confirma uma mudança importante no comportamento dos ataques. Em muitos incidentes, o criminoso procura reduzir a capacidade de reação da vítima, localizando, apagando ou comprometendo as cópias que poderiam restabelecer a operação.

Os números expõem uma diferença fundamental: armazenar cópias não significa possuir uma estratégia capaz de reconstruir a operação.

Por que o backup passou a fazer parte do ataque

O backup representa uma das principais alternativas para que uma organização retome suas atividades sem depender dos criminosos.

Por essa razão, tornou-se um alvo estratégico.

Depois de obter acesso inicial ao ambiente, o atacante pode explorar credenciais comprometidas, privilégios excessivos e conexões entre sistemas para ampliar seu alcance.

Durante essa movimentação, pode procurar identificar:

• servidores e plataformas de backup;
• consoles de administração;
• contas com privilégios elevados;
• repositórios locais e em nuvem;
• políticas de retenção;
• mecanismos de replicação;
• cópias disponíveis para restauração.

Ao localizar essas estruturas, o invasor pode tentar apagar arquivos, alterar configurações, desabilitar tarefas, comprometer credenciais administrativas ou criptografar as próprias cópias.

Em muitos ataques, a criptografia dos sistemas produtivos ocorre depois que o criminoso já tentou reduzir a capacidade de recuperação da organização.

Nesse cenário, a empresa não enfrenta apenas a indisponibilidade dos sistemas. Ela também pode perder parte dos recursos necessários para restaurá-los.

96%: a recuperação entrou definitivamente na rota do ransomware

O relatório de 2024 foi elaborado a partir das respostas de 1.200 profissionais de organizações que sofreram ao menos um ataque cibernético bem-sucedido em 2023. 

Entre os participantes estavam executivos, profissionais de segurança da informação e administradores de backup.

Em 96% dos incidentes analisados, os atacantes tentaram atingir os repositórios de backup.

O dado demonstra que o comprometimento dessas estruturas deixou de ser uma ocorrência periférica ou excepcional e passou a fazer parte da dinâmica recorrente do ransomware.

A lógica é direta: quanto menor a capacidade de restauração da vítima, maior o poder de pressão dos criminosos.

Por isso, uma estratégia de proteção não pode tratar o backup como um componente isolado, mantido apenas para atender a rotinas operacionais, retenção de arquivos ou recuperação de exclusões acidentais.

Ele precisa ser protegido como infraestrutura crítica.

76%: na maioria dos casos, o invasor consegue avançar

A tentativa de comprometer o backup teve êxito em 76% dos ataques avaliados pela Veeam.

Esse resultado pode estar relacionado a arquiteturas nas quais produção e recuperação permanecem excessivamente conectadas.

Quando os dois ambientes compartilham credenciais, diretórios, privilégios administrativos ou caminhos de acesso, uma identidade comprometida pode permitir que o atacante avance sobre ambos.

A cópia existe, mas continua ao alcance do invasor.

Entre as fragilidades que ampliam essa exposição estão:

• contas administrativas utilizadas em diferentes ambientes;
• servidores de backup integrados ao mesmo domínio da produção;
• ausência de autenticação multifator;
• permissões excessivas;
• repositórios continuamente acessíveis;
• falta de segregação de rede;
• políticas de retenção que podem ser alteradas ou excluídas;
• ausência de monitoramento de atividades suspeitas.

Nesse cenário, o backup pode funcionar corretamente durante meses e, ainda assim, não estar preparado para resistir a um ataque direcionado.

A empresa mantém cópias, mas elas continuam vulneráveis ao mesmo comprometimento que atingiu o restante da infraestrutura.

43%: ter backup não garantiu que os dados voltassem

O impacto aparece com clareza no resultado da recuperação.

Segundo a Veeam, 41% dos dados das organizações foram afetados durante os ataques estudados. Desse volume, somente 57% foram recuperados, em média. Os 43% restantes não voltaram.

Esse resultado pode envolver diferentes fatores:

• destruição ou alteração das cópias;
• ausência de pontos de restauração íntegros;
• backups contaminados;
• falhas não identificadas antes do incidente;
• tempos de recuperação incompatíveis com as necessidades do negócio;
• falta de capacidade ou infraestrutura para restaurar os ambientes;
• processos de recuperação nunca testados em escala real.

O relatório também aponta que quase dois terços das organizações estavam sob risco de reintroduzir a ameaça durante a restauração. 

A pressão para retomar rapidamente os serviços pode levar as equipes a reduzir etapas de quarentena, análise e verificação dos dados antes de recolocá-los em produção.

Recuperar não significa apenas copiar arquivos de volta.

É necessário identificar um ponto confiável, validar sua integridade e reconstruir os sistemas sem reintroduzir o ransomware no ambiente.

Backup, recuperação e Disaster Recovery não são a mesma coisa

Os três conceitos fazem parte da continuidade operacional, mas cumprem funções diferentes.

Backup

É a criação e a retenção de cópias dos dados. Permite recuperar arquivos, bancos de dados, aplicações ou sistemas após exclusões, falhas, corrupção ou ataques.

A existência dessas cópias, porém, não comprova que elas estejam protegidas contra alteração, exclusão ou criptografia maliciosa.

Soluções de Backup em Nuvem podem ampliar a proteção ao manter cópias fora da infraestrutura principal, desde que sejam acompanhadas de controles adequados de acesso, retenção e imutabilidade.

Recuperação

É o processo de localizar uma cópia confiável e restaurar os dados ou sistemas afetados.

Esse processo depende da integridade dos backups, da disponibilidade de infraestrutura e da existência de procedimentos conhecidos e testados.

A recuperação com Veeam na nuvem permite restaurar desde arquivos específicos até aplicações e workloads completos, conforme a extensão do incidente e as prioridades da empresa.

Disaster Recovery

É a estratégia organizada para restabelecer aplicações, servidores, conexões e dependências necessárias à operação.

O Disaster Recovery define prioridades, responsabilidades, ordem de retomada, infraestrutura alternativa e objetivos como RTO e RPO.

Uma empresa pode possuir backups e, ainda assim, não ter condições de recuperar toda a operação no tempo exigido pelo negócio.

Pagar o resgate não substitui uma estratégia de recuperação

Quando o backup é comprometido, a empresa pode ficar mais vulnerável à exigência de pagamento.

Ainda assim, o resgate não oferece garantia de recuperação.

No relatório de 2024, 81% das organizações pesquisadas pagaram para encerrar o ataque ou tentar recuperar seus dados. 

Entre elas, uma em cada três continuou sem conseguir restaurar as informações mesmo após o pagamento.

A edição seguinte do estudo reforçou o problema. 

O relatório de 2025 apontou que 89% das organizações tiveram seus repositórios de backup visados e que 69% daquelas que pagaram o resgate sofreram um novo ataque posteriormente.

Pagar pode financiar o grupo criminoso sem assegurar:

• a entrega de uma chave funcional;
• a recuperação integral dos dados;
• a remoção de acessos persistentes;
• a exclusão das informações exfiltradas;
• a interrupção de novas tentativas de extorsão;
• a proteção contra um segundo ataque.

A decisão também não elimina os custos de investigação, interrupção operacional, reconstrução dos ambientes, perda de produtividade, comunicação de crise e possíveis impactos jurídicos ou regulatórios.

A resposta mais consistente está em reduzir a dependência do atacante antes que o incidente aconteça.

O que é um backup imutável

Um backup imutável é uma cópia protegida contra alteração ou exclusão durante um período previamente estabelecido.

Mesmo que um invasor consiga acessar parte do ambiente ou comprometer uma conta administrativa, os arquivos protegidos pela imutabilidade não podem ser modificados ou apagados antes do fim da retenção definida.

A tecnologia pode ser implementada por meio de repositórios Linux protegidos, armazenamento de objetos com Object Lock, soluções WORM e estruturas em nuvem.

A imutabilidade cria uma barreira importante contra:

• exclusão maliciosa;
• criptografia das cópias;
• alteração indevida da retenção;
• sabotagem interna;
• erros administrativos;
• comprometimento de contas privilegiadas.

Seu papel é preservar cópias que possam servir como pontos confiáveis de restauração, mesmo quando outras camadas da infraestrutura já foram afetadas.

A arquitetura de backup imutável com Penso S3 Storage utiliza políticas que impedem a modificação ou a exclusão das cópias durante o período definido.

Isso não significa, porém, que toda cópia imutável esteja automaticamente limpa ou pronta para uso. A integridade dos dados e a capacidade de restauração precisam ser verificadas por processos adicionais.

Imutabilidade isolada não resolve tudo

A imutabilidade é uma camada essencial, mas precisa integrar uma arquitetura mais ampla de resiliência.

Uma estratégia madura deve combinar:

Segregação de identidades

As contas utilizadas na produção não devem conceder acesso automático à estrutura de backup.

Credenciais exclusivas, autenticação multifator e privilégio mínimo ajudam a limitar a movimentação do atacante.

Separação entre produção e recuperação

O ambiente de backup precisa reduzir dependências em relação à infraestrutura produtiva.

Isso pode envolver segmentação de rede, isolamento lógico, repositórios protegidos e componentes fora do domínio principal.

Cópias protegidas e distribuídas

Manter cópias em tecnologias e locais distintos reduz a possibilidade de que um único comprometimento alcance todos os pontos de recuperação.

Monitoramento contínuo

Alterações de configuração, falhas em tarefas, exclusões inesperadas, mudanças de retenção e acessos anômalos devem gerar alertas e investigação.

Testes recorrentes de restauração

Um backup concluído com sucesso não comprova que a aplicação poderá ser reconstruída.

Os testes precisam validar dados, dependências, ordem de recuperação, infraestrutura, RTO, RPO e capacidade operacional.

A realização de testes recorrentes de Disaster Recovery permite identificar falhas no plano antes que a empresa precise executá-lo durante uma crise real.

Recuperação limpa

Antes de restaurar sistemas, é necessário verificar os pontos de recuperação, identificar sinais de comprometimento e reduzir o risco de que arquivos contaminados retornem ao ambiente.

Backup comum e backup resiliente: qual é a diferença?

O backup comum costuma ser avaliado pela existência da cópia e pela conclusão das tarefas programadas.

O backup resiliente considera também a proteção das cópias, a segregação dos ambientes e a capacidade de sustentar a reconstrução da operação.

Na prática, essa diferença aparece em perguntas objetivas:

• O invasor consegue apagar as cópias usando uma credencial administrativa comprometida?
• O servidor de backup está conectado ao mesmo domínio da produção?
• Existem cópias imutáveis?
• Há segregação de acessos?
• Os pontos de restauração são verificados contra ameaças?
• A empresa conhece a ordem de recuperação dos sistemas?
• RTO e RPO estão definidos conforme o impacto para o negócio?
• A restauração completa já foi testada?
• Existe infraestrutura disponível para executar a recuperação?
• As equipes sabem como agir sob pressão?

Se essas respostas não estiverem claras, o ambiente pode manter cópias sem possuir uma capacidade de recuperação devidamente validada.

A abordagem da Penso para proteger a capacidade de recuperar

A Penso estrutura ambientes de proteção e recuperação com tecnologia Veeam, combinando recursos técnicos, governança e operação especializada.

A arquitetura pode contemplar:

• Backup em Nuvem;
• repositórios imutáveis;
• segregação de acessos e credenciais;
• proteção de workloads físicos, virtuais e em nuvem;
• monitoramento contínuo;
• políticas de retenção alinhadas ao negócio;
• Disaster Recovery as a Service;
• testes recorrentes de restauração;
• definição e validação de RTO e RPO;
• suporte especializado durante incidentes.

A combinação dessas camadas ajuda a preservar as cópias, limitar o alcance de identidades comprometidas e ampliar a visibilidade sobre comportamentos anormais.

Os testes permitem avaliar, na prática, se os dados, os processos e a infraestrutura disponíveis conseguem atender às necessidades de recuperação da operação.

Essa abordagem reduz riscos, diminui a dependência do pagamento de resgate e aumenta a previsibilidade da retomada.

A segurança do backup aparece quando tudo o mais falha

Os dados da Veeam mostram que os repositórios de backup passaram a ocupar uma posição central na estratégia dos operadores de ransomware.

O ataque procura interromper a empresa e, ao mesmo tempo, comprometer os recursos que poderiam sustentar seu retorno.

Por isso, a pergunta deixou de ser se existem cópias armazenadas.

A questão decisiva é se elas permanecerão protegidas, acessíveis e confiáveis depois que credenciais, servidores e sistemas críticos forem comprometidos.

Sua empresa conseguiria recuperar a operação se o ransomware também alcançasse os backups?

Converse com os especialistas da Penso e avalie a capacidade real de recuperação do seu ambiente.

Penso, a gente resolve.

The post A Ilusão do Backup Comum: Por Que o Ransomware Ataca a Capacidade de Recuperação appeared first on Penso Tecnologia.

Em 17 de julho de 2026, o Brasil realiza a primeira edição do Dia Nacional da Proteção de Dados.

Instituída pela Lei nº 15.254, de 6 de novembro de 2025, a data passa a ser observada anualmente e acrescenta um novo marco à trajetória da privacidade e da proteção de dados pessoais no país.

Sua criação amplia a visibilidade de um tema que avançou de forma significativa nas últimas décadas e hoje envolve direitos individuais, responsabilidades corporativas, segurança da informação e continuidade operacional.

Esse percurso não começou com a Lei Geral de Proteção de Dados Pessoais, a LGPD. Ele foi construído gradualmente, acompanhando a digitalização das relações, o crescimento do volume de informações armazenadas e a dependência cada vez maior das empresas em relação aos dados.

1988: a privacidade entra na Constituição Federal

A Constituição Federal de 1988 estabeleceu uma das primeiras bases jurídicas relevantes para a futura proteção de dados no Brasil.

O texto constitucional tornou invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas. Também resguardou o sigilo da correspondência e das comunicações, incluindo as comunicações de dados.

Naquele momento, o uso massivo da internet, da computação em nuvem e das plataformas digitais ainda não fazia parte da realidade das empresas e da sociedade.

Mesmo assim, a Constituição estabeleceu garantias que mais tarde sustentariam discussões sobre privacidade, acesso a informações e responsabilidade no tratamento de dados.

2014: o Marco Civil estabelece regras para o ambiente digital

Com a expansão da internet, tornou-se necessário criar direitos, deveres e responsabilidades específicos para as relações digitais.

Em 2014, o Marco Civil da Internet estabeleceu princípios, garantias, direitos e deveres para o uso da internet no Brasil.

A legislação passou a disciplinar temas como privacidade, proteção de registros e dados pessoais, sigilo das comunicações e responsabilidades dos provedores no ambiente digital.

O Marco Civil representou uma mudança importante ao estabelecer parâmetros próprios para as relações mantidas pela internet e tornar mais claras as garantias relacionadas à privacidade e à proteção de dados.

2018: a LGPD define responsabilidades sobre dados pessoais

Aprovada em 2018 e em vigor desde 2020, a LGPD estabeleceu um novo patamar para a proteção de dados pessoais no país.

A legislação definiu regras para operações como coleta, acesso, armazenamento, compartilhamento, alteração e eliminação de informações relacionadas a pessoas naturais identificadas ou identificáveis.

A lei se aplica tanto a organizações privadas quanto a instituições públicas e tem como objetivo proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade.

Com a LGPD, empresas e instituições passaram a ter responsabilidades mais claras sobre todo o ciclo de tratamento dos dados pessoais.

Isso inclui compreender:

• Quais informações são coletadas;
• Por que elas são necessárias;
• Quem pode acessá-las;
• Com quais terceiros são compartilhadas;
• Por quanto tempo devem ser mantidas;
• Como serão protegidas e eliminadas.

A proteção de dados deixou de estar concentrada apenas nos departamentos jurídico e de tecnologia. 

Ela passou a exigir participação de diferentes áreas, definição de processos e decisões permanentes sobre governança.

Para aprofundar essa relação entre legislação e tecnologia, veja também como funcionam a LGPD e a segurança de dados.

2022: a proteção de dados pessoais torna-se um direito fundamental

Em fevereiro de 2022, a Emenda Constitucional nº 115 incluiu expressamente a proteção de dados pessoais entre os direitos e garantias fundamentais previstos na Constituição Federal.

A emenda também atribuiu à União a competência privativa para legislar sobre proteção e tratamento de dados pessoais.

Esse reconhecimento fortaleceu a posição da proteção de dados no ordenamento jurídico brasileiro e ampliou sua relevância para empresas, instituições e poder público.

Para as organizações, o avanço reforçou a necessidade de demonstrar responsabilidade, transparência e controle sobre os dados pessoais presentes em seus ambientes.

2026: o Dia Nacional da Proteção de Dados entra no calendário brasileiro

A primeira edição do Dia Nacional da Proteção de Dados acrescenta um novo marco a essa trajetória.

A data pode ampliar a discussão sobre como informações são coletadas, utilizadas, armazenadas, compartilhadas e protegidas em uma sociedade altamente dependente de serviços digitais.

Também oferece uma oportunidade para que as empresas revisem o nível de maturidade de suas práticas:

• A organização sabe exatamente onde estão seus dados críticos? 
• Consegue identificar quem possui acesso a eles? 
• Mantém cópias protegidas e recuperáveis? 
• Está preparada para agir diante de uma exposição, alteração indevida, exclusão ou indisponibilidade?

Essas respostas mostram se a proteção de dados já funciona na operação ou permanece restrita a políticas formais.

A proteção precisa funcionar na operação

A legislação relacionada à privacidade trata especificamente da proteção de dados pessoais. 

Entretanto, a estrutura tecnológica que permite cumprir essa responsabilidade também protege informações corporativas, financeiras, operacionais e estratégicas.

Por isso, governança e segurança precisam atuar de forma integrada.

Controle de acesso, autenticação, criptografia, monitoramento, gestão de vulnerabilidades e resposta a incidentes ajudam a reduzir as possibilidades de acesso indevido e comprometimento dos ambientes.

Backup e recuperação acrescentam outra camada essencial: a capacidade de restaurar informações diante de exclusões acidentais, ataques cibernéticos, falhas de infraestrutura ou corrupção de dados.

Nesse contexto, uma arquitetura de backup imutável reduz o risco de que as cópias de segurança sejam alteradas ou excluídas durante um ataque.

Sem essas medidas, a empresa pode possuir políticas e procedimentos documentados, mas continuar vulnerável quando ocorre um incidente real.

Proteger dados exige conhecer todo o ciclo da informação

Os riscos não surgem apenas quando um banco de dados é atacado.

Eles podem aparecer em diferentes etapas:

• Na coleta excessiva de informações;
• Na concessão de acessos incompatíveis com a função do usuário;
• No compartilhamento sem controle com fornecedores;
• No armazenamento por períodos desnecessários;
• No uso de plataformas externas sem avaliação;
• Na ausência de monitoramento;
• Na incapacidade de recuperar dados comprometidos.

Uma estrutura consistente precisa combinar pessoas, processos e tecnologia.

Também deve considerar que a proteção não termina quando uma informação é armazenada. O controle precisa acompanhá-la durante todo o seu ciclo de vida, do recebimento à eliminação segura.

Recuperar dados não encerra a resposta a um incidente

Diante de uma falha ou ataque, a empresa precisa identificar o alcance do comprometimento, conter o incidente, preservar evidências e recuperar informações e sistemas dentro de prazos compatíveis com a operação.

O backup protege cópias dos dados, mas a retomada coordenada de sistemas críticos depende de uma estratégia de Disaster Recovery.

Essa preparação envolve definir prioridades, responsabilidades, tempos de recuperação e dependências entre os ambientes. Também requer testes capazes de demonstrar se os procedimentos funcionam em condições reais.

A continuidade de negócios começa antes da crise, com decisões tomadas quando a operação ainda está estável e existe tempo para corrigir vulnerabilidades.

O próximo avanço precisa acontecer dentro das empresas

A criação do Dia Nacional da Proteção de Dados amplia a atenção sobre uma trajetória construída ao longo de décadas.

Para as empresas, esse marco reforça uma responsabilidade concreta: transformar requisitos legais e políticas internas em controles que funcionem diante de falhas, ataques e tentativas de acesso indevido.

A Penso apoia essa preparação por meio de soluções de cybersegurança, backup em nuvem, backup imutável e DRaaS.

Fale com nosso time de especialistas e conheça soluções para proteger dados, reduzir riscos e fortalecer a continuidade da sua empresa.

Penso, a gente resolve.

The post Dia Nacional da Proteção de Dados: os Avanços que Transformaram o Tema no Brasil appeared first on Penso Tecnologia.