Como será o papel do CISO em 2029: estratégia, inteligência artificial e gestão de riscos
Até 2029, o Chief Information Security Officer (CISO) deverá ocupar uma posição muito mais abrangente dentro das organizações. O profissional, que historicamente esteve associado à proteção de redes, sistemas e dados, tende a participar diretamente de decisões sobre negócios, inovação, inteligência artificial e riscos corporativos.
A mudança representa uma nova etapa na evolução da função, criada em meados da década de 1990. Durante anos, o CISO foi visto como o responsável por impedir projetos considerados perigosos e, muitas vezes, acabou conhecido como o líder do “departamento do não”. Com o amadurecimento da segurança digital, esse perfil vem sendo substituído por uma atuação mais consultiva: em vez de bloquear iniciativas, o executivo passa a mostrar como elas podem ser implementadas com segurança.
Wolfgang Goerlich, CISO do setor público e integrante do corpo docente da IANS Research, avalia que os líderes de segurança terão papel decisivo na definição de quanto risco tecnológico uma empresa está disposta a aceitar. Isso inclui orientar a adoção de ferramentas de inteligência artificial, serviços em nuvem, automação e plataformas de terceiros.
A tendência também é destacada em um relatório da KPMG de 2026. A análise aponta que a expansão das plataformas digitais, da IA e dos ecossistemas de fornecedores está redefinindo as responsabilidades do CISO. A proteção técnica continua essencial, mas deixa de ser o único foco. O executivo passa a responder por riscos capazes de afetar a continuidade operacional, a reputação, as finanças e a estratégia da companhia.
Da defesa técnica à liderança empresarial
O CISO de 2029 precisará traduzir ameaças digitais em consequências compreensíveis para diretores e conselhos de administração. Em vez de apresentar apenas vulnerabilidades, incidentes ou indicadores técnicos, deverá explicar como determinado risco pode afetar receitas, operações, contratos, privacidade e objetivos de crescimento.
Essa capacidade de comunicação será tão importante quanto o conhecimento de tecnologia. O líder de segurança precisará dialogar com áreas como finanças, jurídico, recursos humanos, marketing, operações e desenvolvimento de produtos. A segurança será incorporada ao planejamento das iniciativas desde o início, e não apenas revisada quando um projeto estiver prestes a ser lançado.
Goerlich afirma que essa transformação já está em andamento. Em sua experiência recente, recebeu a missão de estruturar uma equipe de inovação reunindo profissionais de arquitetura, engenharia e segurança. A participação desses especialistas na liderança dos projetos pode acelerar a inovação, pois reduz retrabalho e permite identificar riscos antes que eles se tornem obstáculos.
Diana Kelley, CISO da Noma Security, observa movimento semelhante. Na avaliação dela, os CISOs estão deixando de atuar apenas como responsáveis por defesa e conformidade para se tornarem facilitadores da estratégia empresarial. O objetivo passa a ser aumentar a resiliência da organização e permitir que ela responda melhor a crises, mudanças regulatórias e novas ameaças.
Mais responsabilidade sobre riscos
Até 2029, parte dos CISOs poderá assumir uma visão mais ampla de risco corporativo, incluindo aspectos que não se limitam à segurança da informação. Entre eles estão riscos relacionados a fornecedores, privacidade, continuidade de negócios, infraestrutura crítica, reputação e dependência tecnológica.
Essa evolução, porém, não ocorrerá de maneira igual em todas as empresas. Algumas continuarão mantendo um CISO altamente técnico, concentrado em operações de segurança, resposta a incidentes e arquitetura de proteção. Outras poderão transformar o cargo em uma função executiva com influência sobre toda a estratégia de riscos.
Edna Conway, ex-CSO e ex-chief security and risk officer da infraestrutura do Azure, defende justamente essa ampliação de perspectiva. Para ela, o líder de segurança precisa compreender o risco empresarial como um conjunto integrado, e não tratar cada ameaça digital de forma isolada. Nessa estrutura, cargos como chief security and trust officer ou chief security and risk officer podem ganhar espaço, embora ainda não seja possível afirmar que essa mudança estará consolidada até 2029.
O impacto da inteligência artificial
A inteligência artificial será um dos principais fatores de transformação do trabalho do CISO. Empresas utilizarão IA para automatizar processos, analisar dados, criar produtos e apoiar decisões. Ao mesmo tempo, criminosos poderão empregar as mesmas tecnologias para desenvolver ataques mais rápidos, convincentes e difíceis de detectar.
John White, field CISO da Torq, acredita que as equipes de segurança terão de operar em uma velocidade muito maior. Agentes de IA poderão executar tarefas como triagem de alertas, investigação inicial, busca por comportamentos suspeitos e aplicação de respostas padronizadas. Os profissionais humanos ficarão responsáveis por supervisionar os modelos, validar decisões e atuar em situações complexas.
O CISO não precisará programar todos os sistemas de IA nem operar diretamente cada ferramenta. No entanto, deverá entender como os modelos são treinados, quais dados utilizam, que permissões possuem e de que maneira podem falhar. Também precisará avaliar riscos como vazamento de informações, decisões enviesadas, uso indevido de dados e manipulação de modelos.
Diana Kelley ressalta que o conhecimento técnico continuará necessário para questionar arquiteturas e avaliar a implementação de novas tecnologias. O líder de segurança terá de verificar se aplicações baseadas em IA estão sendo governadas, monitoradas e protegidas durante todo o ciclo de vida.
Dois caminhos para a liderança de segurança
Uma possibilidade é que grandes organizações passem a adotar dois executivos com responsabilidades complementares. Um deles ficaria concentrado nas defesas tecnológicas, na operação do centro de segurança, na engenharia e na resposta a incidentes. O outro assumiria o gerenciamento de riscos, a resiliência, a conformidade e a relação com a alta administração.
Esse modelo poderia aliviar a sobrecarga atualmente concentrada em um único CISO. Com a expansão da superfície de ataque e a quantidade crescente de regulamentações, torna-se cada vez mais difícil equilibrar tarefas operacionais e decisões estratégicas.
A divisão também permitiria que cada líder desenvolvesse competências específicas. Enquanto um profissional cuidaria da eficiência e da maturidade técnica da defesa, o outro avaliaria impactos empresariais, prioridades de investimento e tolerância ao risco.
Um ambiente mais instável
Ali Waezzadah, CISO da iCOUNTER, destaca que a velocidade das mudanças em infraestrutura de TI, geopolítica, economia, regulamentação e estratégias empresariais tornou o cenário de segurança mais dinâmico. As empresas adotam tecnologias em ciclos cada vez menores, enquanto os invasores adaptam suas técnicas continuamente.
Nesse contexto, o CISO precisará desenvolver capacidade de adaptação. Planos rígidos e avaliações anuais de risco serão insuficientes para lidar com alterações que acontecem em semanas ou até dias. A gestão de segurança deverá utilizar indicadores contínuos, simulações, testes frequentes e revisões permanentes de controles.
Também será importante acompanhar riscos associados a fornecedores e parceiros. A dependência de serviços externos, APIs, plataformas em nuvem e componentes de código aberto aumenta a eficiência, mas cria novas possibilidades de interrupção e exposição. O CISO deverá participar da seleção, avaliação e monitoramento desses terceiros.
Novas competências para o CISO
O profissional que ocupar essa posição em 2029 precisará combinar domínio técnico com habilidades de liderança. Entre as competências mais valorizadas estarão comunicação executiva, negociação, análise financeira, gestão de crises, compreensão regulatória e capacidade de priorizar investimentos.
A formação das equipes também mudará. Além de especialistas em redes e infraestrutura, serão necessários profissionais com conhecimentos em ciência de dados, engenharia de software, privacidade, inteligência artificial, identidade digital e segurança de produtos.
Outro desafio será lidar com a escassez de talentos. A automação poderá assumir atividades repetitivas, mas não eliminará a necessidade de especialistas capazes de analisar contextos e tomar decisões. O CISO terá de criar ambientes de trabalho mais atrativos, investir em capacitação e estabelecer processos que reduzam a dependência de poucos profissionais.
Segurança como vantagem competitiva
A principal mudança até 2029 será a percepção de que segurança não representa apenas custo ou obrigação regulatória. Quando integrada à estratégia, ela pode ajudar a empresa a lançar produtos com mais confiança, conquistar clientes, responder rapidamente a incidentes e demonstrar maior credibilidade ao mercado.
O CISO do futuro deverá mostrar esse valor por meio de métricas relacionadas ao negócio. Em vez de medir somente quantidade de alertas ou vulnerabilidades corrigidas, será necessário avaliar tempo de recuperação, redução de perdas, continuidade dos serviços, proteção de dados críticos e capacidade de sustentar novas iniciativas.
A função continuará variando conforme o porte, o setor e o nível de maturidade de cada organização. Ainda assim, a direção é clara: até 2029, o CISO deverá ser menos um guardião isolado da tecnologia e mais um líder responsável por ajudar a empresa a inovar, crescer e assumir riscos de forma consciente.