A adoção da segurança começa na administração, não no helpdesk

O setor dos MSP começou finalmente a falar de adoção. A conversa gira em torno de licenças Copilot, pontuações de sensibilização e estruturas de Teams, tudo sobre utilizadores finais. A conversa mais difícil, a que mais importa, ainda não começou a sério: será que as pessoas pessoalmente responsáveis pelo ciber-risco compreendem realmente os dashboards que o seu MSP lhes mostra?

Essa questão voltou a surgir em várias conversas recentes com clientes, em diversas sessões com parceiros, e mais uma vez durante um episódio recente do MSP Late Night, onde a adoção foi, finalmente, o tema central. As vozes à volta da mesa foram incisivas sobre o Copilot, sobre a formação de sensibilização e sobre o fosso entre vender uma licença e mudar comportamentos. Mas a discussão manteve-se quase inteiramente no utilizador final. Na segurança da informação e na conformidade, onde a NIS2 tornou agora os administradores pessoalmente responsáveis, o maior ponto cego fica um andar acima.

A adoção não é apenas um problema do utilizador final

Quando os MSP falam de adoção, tendem a querer dizer o mesmo que os fornecedores de produtividade querem dizer. As pessoas estão a usar a ferramenta? Estão a dar prompts ao Copilot? Estão a concluir o módulo de sensibilização? Estão a clicar nos botões certos no sistema certo?

Essas perguntas importam. Mas na segurança e na conformidade, há uma segunda questão de adoção que quase nunca é feita. Será que o executivo que aprovou o contrato compreende o que a ferramenta lhe está a dizer? Será que o administrador pessoalmente responsável pelo resultado lê o dashboard? Será que a equipa de gestão que detém o risco de negócio orienta a organização com base nos números que ele produz?

Se não o fizerem, o dashboard não está adotado. Está pago. Isso é uma coisa diferente.

Como sabe um administrador se o seu MSP o está realmente a proteger?

Esta é a pergunta que os proprietários, administradores e membros do conselho digitam nas barras de pesquisa e fazem aos seus consultores de confiança. É também a pergunta que os MSP estão menos bem preparados para responder numa linguagem acessível à administração.

O Global Cybersecurity Outlook 2026 do World Economic Forum, publicado em janeiro de 2026 com a Accenture e construído a partir das respostas de 804 líderes seniores de 92 países, capta o fosso em dois números. Entre as organizações que o WEF classifica como altamente resilientes, noventa e nove por cento reportam envolvimento da administração na cibersegurança. Encorajador à primeira vista. Lê mais abaixo no mesmo relatório e apenas cinquenta e dois por cento dessas mesmas organizações dizem que os seus administradores recebem efetivamente atualizações regulares de cibersegurança. “Envolvimento sem informação não é o mesmo que supervisão.”

O mesmo inquérito é direto quanto a um segundo ponto: aquilo que preocupa o CEO e aquilo que preocupa o CISO já não coincidem. Os CEO colocam a fraude viabilizada por meios cibernéticos e o phishing no topo das suas preocupações; os CISO ainda classificam o ransomware em primeiro lugar. Estão a olhar para o mesmo panorama de ameaças e a tirar conclusões diferentes, porque estão a ler dashboards diferentes em vocabulários diferentes.

Para um administrador, a pergunta “estou protegido?” não pode ser respondida apontando para um Secure Score, uma percentagem de conformidade ou um mapa de calor codificado por cores. Só pode ser respondida por alguém disposto a traduzir a pontuação nas consequências para o negócio: receita em risco, contratos em risco, responsabilidade pessoal em risco.

Um dashboard não é uma estratégia

Entra na organização de média dimensão típica que usa um MSP para segurança e conformidade, e vais encontrar dashboards. Microsoft Secure Score. Uma contagem de vulnerabilidades de um scanner. Uma percentagem de prontidão para a ISO 27001. Uma autoavaliação de NIS2. Uma consola Defender ou EDR. Por vezes uma vista personalizada do próprio MSP.

O que normalmente não vais encontrar é uma resposta curta à pergunta: “O que é que tudo isto significa para o nosso negócio neste trimestre?”

O Defenders Survey 2025 da Trend Micro, que inquiriu mais de três mil profissionais de cibersegurança, expôs o ponto com clareza. Apenas cerca de trinta por cento dos inquiridos disseram que a sua organização tem “um modelo estruturado e contínuo para comunicar sobre eventos de segurança com os stakeholders”. O relatório concluiu que gerir o ciber-risco ao nível executivo “exige tradução: exprimir os riscos em termos de negócio em vez de termos técnicos”.

Os dashboards existem, os dados existem, as ferramentas funcionam. O estrangulamento é a camada de tradução. E a camada de tradução é, quase por definição, o papel de quem quer que se sente entre a tecnologia e a administração. Para a maioria das organizações de média dimensão, isso é o MSP.

Hans ten Hove, presença habitual na mesa do MSP Late Night, resumiu-o sem rodeios numa publicação no LinkedIn em neerlandês: “uma solução não adotada, escreveu, é simplesmente uma fatura cara com um dashboard anexado”. Essa é a frase que vale a pena ter em mente sempre que um novo dashboard de conformidade é implementado.

O que mudou a NIS2 discretamente sobre a responsabilidade da administração?

A discussão seria teórica não fosse a mudança legal que agora chegou firmemente.

Ao abrigo do Artigo 20 da Diretiva NIS2, o órgão de gestão de uma entidade essencial ou importante deve aprovar as medidas de gestão de risco de cibersegurança da organização, supervisionar a sua implementação e frequentar formação obrigatória para conseguir avaliar os ciber-riscos. Como a DLA Piper expôs numa análise da diretiva de novembro de 2025, esta responsabilidade não pode ser passada para o departamento de TI nem externalizada a um fornecedor externo. Os Estados-Membros receberam o poder de impor responsabilidade pessoal a administradores individuais e, em casos graves, de suspender um CEO ou representante legal das suas funções.

A revista BSI-Gesetz da Alemanha, que entrou em vigor a 6 de dezembro de 2025, vai ainda mais longe. Torna os órgãos de gestão pessoalmente responsáveis por implementar efetivamente as medidas de ciber-risco, e não meramente por aprová-las. O regulador alemão confirmou que, tendo passado o prazo de registo de 6 de março de 2026, avançou para a aplicação ativa.

Para um MSP, a implicação é mais aguda do que parece à primeira vista. Um administrador pessoalmente responsável pelo ciber-risco e que não consegue, em linguagem simples, explicar o que significa o seu dashboard de conformidade está exposto. Não porque o MSP falhou tecnicamente; porque o fosso de adoção, entre a ferramenta e a pessoa legalmente responsável pelo resultado, nunca foi fechado.

A NIS2 não diz que os MSP têm de se tornar intérpretes de negócio. Mas torna impossível a qualquer membro sério de uma administração manter-se um recetor passivo de um Secure Score que não lê.

De fornecedor de TI a intérprete de negócio

É aqui que o papel do MSP precisa de evoluir, e onde muitos MSP honestamente se sentem mais desconfortáveis. A implementação é terreno bem trilhado. Ciclos de patch, baselines, monitorização, resposta a incidentes, SLA de tickets. O ofício técnico de gerir um parque de TI é genuinamente difícil, e quem o faz bem merece mais crédito do que recebe.

O que o ofício técnico não produz automaticamente é uma conversa em que um administrador compreende, em cinco minutos, contra o que está protegido, contra o que não está protegido, quanto custaria fechar o fosso e o que aconteceria ao negócio se o fosso fosse explorado.

Essa conversa é uma competência diferente. Precisa de alguém que consiga sentar-se entre uma consola do Microsoft Defender e uma demonstração de resultados, e explicar porque é que uma afeta a outra. Precisa de alguém à vontade para dizer: “A tua pontuação de conformidade é de setenta e oito por cento, aqui estão os três controlos em falta, e aqui está o contrato que podes perder se uma auditoria de um cliente os apanhar.” Precisa que o MSP deixe de vender ferramentas e comece a vender clareza.

Alguns MSP nos mercados neerlandês, belga e alemão estão discretamente a construir esta capacidade dentro das suas próprias equipas. A maioria ainda não. Os que o fizerem vão descobrir que as suas conversas de renovação ficam mais curtas e as suas margens melhoram, porque o valor que entregam se torna visível para a pessoa que assina o cheque. Os que não o fizerem serão recordados como o fornecedor cujos dashboards ninguém lia.

Onde é que a Guardian360 se encaixa

Dirijo um ISV que faz um desses dashboards, por isso seria desonesto escrever isto sem abordar o que fazemos e o que não fazemos.

O Lighthouse produz os habituais outputs técnicos que qualquer ferramenta de segurança séria produz: resultados de scan em redes, IP e aplicações web, perspetivas de segurança do Microsoft 365 através da Graph API, constatações de vulnerabilidades e recomendações de conformidade face a mais de quarenta normas e leis. Nada disso é único. Aquilo em que passámos os últimos anos a trabalhar, e o que acreditamos importar mais para a conversa deste artigo, é uma pontuação de risco de negócio que se situa a par das pontuações de risco técnico. O objetivo é simples: dar à administração um número que se liga ao negócio, e não apenas ao ativo.

O Lighthouse pode apoiar a conversa de tradução. Não pode ter a conversa. Esse é o trabalho do parceiro, e é onde dependemos, todos os dias, dos MSP, integradores e consultores que trabalham connosco. As ferramentas fecham parte do fosso de adoção. A relação fecha o resto.

Uma pergunta diferente para fazer na tua próxima revisão com o MSP

Se és administrador, proprietário ou membro do conselho, não precisas de ler os artigos da NIS2 para agir sobre o que eles implicam. Na tua próxima revisão com o teu parceiro de TI, não perguntes o que implementaram este trimestre. Pergunta se tu, a tua equipa de gestão e, idealmente, a tua administração compreendem o que essas implementações significam para o negócio.

Se a resposta demorar mais do que demorou o resumo da implementação, tens a tua constatação.

A adoção da segurança começa na administração, não no helpdesk. O setor dos MSP, o setor de TI mais alargado e os reguladores começaram todos, à sua maneira, a empurrar na mesma direção. Os blogues e podcasts sobre adoção por utilizadores finais são um começo saudável. A próxima conversa, a mais difícil, é sobre as pessoas cujos nomes aparecem no topo do organograma e cujas assinaturas acabam na carta do regulador.

Se essa conversa ainda não aconteceu na tua organização, é a mais útil de agendar.