Atrasos jurídicos prolongam falhas e favorecem cibercriminosos

O tempo entre a descoberta de uma falha e sua correção determina a eficácia da segurança da informação. Processos contratuais e análise jurídica arrastam respostas e ampliam o risco para empresas.

Por Bruno Telles e Caio Telles

Há uma métrica que resume quase tudo na gestão da segurança da informação: o intervalo entre o surgimento de uma falha e a sua correção. Todo o resto é consequência desse tempo — e o cibercriminoso precisa apenas dele. Quem atua na defesa aprendeu a reduzir esse prazo com tecnologia, processos e monitoramento contínuo. Pouco se discute, contudo, que parte relevante desse tempo se perde depois das etapas técnicas, na fase de análise contratual e jurídica.

O roteiro se repete. A liderança de segurança avalia, por exemplo, um programa de bug bounty, vê valor, aprova e defende internamente. O processo segue para compras e, em paralelo, para o jurídico. Surgem então perguntas sobre quem vai testar o ambiente, o que acontece se dados pessoais forem acessados, responsabilidades em caso de vazamento, vínculo contratual e obrigações perante a ANPD. Essas questões são legítimas; o problema é que o Brasil não tem uma resposta pronta, e uma negociação que deveria durar dias acaba consumindo meses.

O país não é desprovido de leis sobre o tema. O Código Penal tipifica a invasão de sistema sem autorização; a LGPD obriga a proteger dados e a comunicar incidentes; o Banco Central exige política de segurança cibernética e gestão de vulnerabilidades para quem opera no sistema financeiro; a regulação sobre prestadoras de serviços de ativos virtuais seguiu caminho semelhante. Todas essas normas falam da empresa. Nenhuma fala do pesquisador.

No ordenamento atual, o pesquisador existe por eliminação: é o que sobra do crime quando houve autorização prévia. Isso é insuficiente para sustentar a relação da qual depende boa parte da capacidade defensiva das organizações. Apesar disso, o próprio governo já registrou intenção: a Estratégia Nacional de Cibersegurança, publicada em 2025, lista entre suas ações a divulgação de vulnerabilidades de forma coordenada. Está lá, em decreto. Não existe, porém, o instrumento que transforme essa diretriz em prática segura para quem reporta e para quem recebe.

Projetos em discussão no Congresso avançam na governança e nas obrigações dos setores regulados, mas permanecem silenciosos sobre quem encontra a falha. Outros países já trataram do tema: na Bélgica, desde 2023, quem reporta vulnerabilidade segundo o procedimento da autoridade nacional está protegido mesmo sem contrato com a empresa testada; na Europa, a divulgação coordenada virou obrigação; e nos Estados Unidos o Departamento de Justiça orientou procuradores a não denunciar pesquisa de segurança feita de boa-fé.

Na ausência de regra pública, o preenchimento do vácuo tem sido privado: plataformas homologadas e contratos específicos criam um remendo funcional — definindo escopo, regras de engajamento, safe harbor contratual, obrigação de sigilo, prazos entre descoberta e divulgação, identificação e qualificação dos pesquisadores e trilha de auditoria. Esse arranjo funciona, e instituições como bancos, operadoras e varejistas mantém programas há anos sem conflitos jurídicos relevantes. O problema é a escala: cada nova empresa reinicia a discussão e estende ciclos que deveriam ser curtos. Mesmo com legislação específica, o desafio continuará sendo cultural, porque o reflexo do jurídico é eliminar risco, enquanto a segurança trabalha para administrar e priorizar risco.

Gostou? Compartilhe com quem precisa saber: