Quando uma empresa pensa em segurança, é comum que as primeiras preocupações estejam relacionadas a furtos, invasões ou danos ao patrimônio. No entanto, Ernesto Kenji Igarashi, especialista em segurança institucional e proteção de autoridades, atua em um campo no qual a análise precisa considerar também ameaças menos aparentes, capazes de afetar informações, pessoas, operações e decisões.
Leia mais a seguir!
Quais riscos costumam passar despercebidos?
Um dos problemas da análise de segurança é concentrar atenção apenas nos eventos mais conhecidos. Uma empresa pode, por exemplo, investir em proteção física e não avaliar adequadamente quem possui acesso a informações sensíveis, sistemas, instalações ou processos críticos. A vulnerabilidade, nesse caso, pode estar justamente em uma área que não costuma ser associada diretamente à segurança.
Outro ponto envolve os chamados riscos de terceiros. Fornecedores, prestadores de serviço e parceiros podem ter acesso a sistemas, dados ou estruturas importantes para o funcionamento da organização. O NIST recomenda que esses relacionamentos sejam considerados nas avaliações de risco, incluindo fornecedores e prestadores externos que possam afetar operações e ativos.
Essa realidade amplia o trabalho de prevenção. Para Ernesto Kenji Igarashi, a segurança institucional exige observar não apenas aquilo que está dentro dos limites físicos de uma organização, mas também as relações e dependências que podem ampliar sua exposição. Quanto maior a interconexão, maior a necessidade de compreender onde estão os pontos vulneráveis. Essa visão permite identificar fragilidades que poderiam passar despercebidas em uma análise restrita aos ambientes internos.
Como pessoas e processos podem gerar vulnerabilidades?
Nem todo risco depende de uma ação externa. Procedimentos mal definidos, comunicação inadequada, acessos concedidos sem critérios claros e desconhecimento das responsabilidades podem criar condições para incidentes. Em situações de pressão, essas fragilidades tendem a aparecer com maior intensidade porque as equipes precisam decidir rapidamente. Por isso, identificar falhas internas antes que sejam colocadas à prova também faz parte de uma estratégia consistente de prevenção.
Segundo Ernesto Kenji Igarashi, a própria estrutura de uma organização também pode produzir riscos. Quando uma atividade essencial depende de uma única pessoa, fornecedor, sistema ou local, uma interrupção pode provocar efeitos que ultrapassam o setor diretamente afetado. A análise de riscos, portanto, precisa considerar as dependências e possíveis consequências para as funções essenciais. Quanto maior essa concentração, maior pode ser o impacto de uma falha inesperada sobre a continuidade das operações.
Por que a cadeia de fornecedores também merece atenção?
A dependência de fornecedores pode criar riscos que não aparecem em uma avaliação limitada aos ambientes internos. Uma falha em um serviço contratado, por exemplo, pode interromper uma atividade essencial ou comprometer informações utilizadas pela empresa. O NIST trata a gestão de riscos da cadeia de suprimentos como parte da estratégia de segurança, considerando diferentes etapas, desde a aquisição até a manutenção de produtos e serviços. Por isso, a relação com terceiros também precisa fazer parte do planejamento de segurança da organização.
De acordo com Ernesto Kenji Igarashi, isso significa que conhecer um fornecedor apenas pelo preço ou pela capacidade de entrega pode ser insuficiente. Também é necessário avaliar sua criticidade, o nível de acesso que possui e quais consequências poderiam surgir caso seu serviço fosse interrompido ou comprometido. Essa avaliação permite identificar previamente quais relações externas poderiam afetar atividades consideradas essenciais.
Essa análise ajuda a compreender uma característica importante dos riscos corporativos: uma ameaça pode começar fora da organização e produzir efeitos dentro dela. Igarashi acompanha um segmento no qual essa visão integrada é especialmente relevante, porque a segurança institucional depende da compreensão do ambiente completo em que determinada operação acontece. Considerar essas conexões amplia a capacidade de prevenção e ajuda a preparar respostas para diferentes cenários.