CEO da Qualys considera o Brasil estratégico e aposta na gestão autônoma de riscos cibernéticos
A digitalização acelerada da economia brasileira, a sofisticação do setor financeiro e o avanço da inteligência artificial fazem do Brasil um mercado prioritário para a cibersegurança. Essa é a avaliação de Sumedh Thakar, presidente e CEO da Qualys, que esteve em São Paulo durante o ROCon LATAM 2026, conferência dedicada a Risk Operations e à redução proativa de riscos digitais.
Para o executivo, o país reúne características importantes para a evolução do setor: empresas com ambientes tecnológicos cada vez mais complexos, forte dependência de serviços digitais e uma necessidade crescente de transformar informações técnicas em decisões capazes de proteger operações, receitas e reputação.
Durante o evento, Thakar detalhou a estratégia da Qualys para deixar de ser associada apenas ao gerenciamento de vulnerabilidades e assumir uma posição mais ampla na administração do risco cibernético. A proposta envolve combinar inventário, inteligência sobre ameaças, validação de exposição, automação e priorização baseada no impacto para o negócio.
Da identificação de falhas à redução efetiva da exposição
A trajetória da Qualys começou com forte atuação em gerenciamento de vulnerabilidades. A empresa esteve entre as pioneiras na adoção do modelo SaaS para descobrir falhas em ambientes corporativos, em uma época na qual o principal desafio era localizar problemas de segurança.
Com o crescimento da superfície de ataque, entretanto, surgiu uma dificuldade ainda maior: identificar uma vulnerabilidade não significa necessariamente conseguir corrigi-la. Organizações passaram a acumular milhares de alertas, enquanto as equipes de segurança precisavam lidar com restrições de tempo, orçamento, pessoal e dependências operacionais.
Essa realidade levou a Qualys a ampliar sua abordagem. O foco deixou de estar apenas na varredura e passou a incluir a avaliação da relevância de cada exposição, a confirmação de sua explorabilidade e a definição da resposta mais adequada.
A quantidade de falhas encontradas, isoladamente, não indica o nível de proteção de uma companhia. O que realmente importa é saber quais vulnerabilidades estão associadas a ativos críticos, quais podem ser exploradas por um invasor e com que rapidez a empresa consegue eliminar ou reduzir o risco.
Automação para acelerar a resposta
Entre as tecnologias apresentadas está o InstaScan, apoiado pelo Agent Insta. A solução foi desenvolvida para relacionar continuamente novos alertas de segurança com dados de inventário, telemetria e inteligência de ameaças. Dessa forma, é possível identificar rapidamente quais sistemas podem estar expostos, sem depender exclusivamente de um novo ciclo completo de scanning.
Outro recurso é o Agent Val, agente de inteligência artificial integrado ao Enterprise TruRisk Management. Com apoio do TruConfirm, a tecnologia busca verificar se uma exposição prioritária é de fato explorável. O processo inclui a validação do risco, a indicação de medidas de correção ou mitigação e uma nova checagem para confirmar se o caminho de ataque foi eliminado.
Esse modelo reduz um dos problemas mais comuns da segurança corporativa: tratar todas as vulnerabilidades como se tivessem o mesmo peso. Uma falha em um servidor isolado não deve receber necessariamente a mesma prioridade que uma exposição semelhante em uma aplicação conectada a dados financeiros ou a processos essenciais.
O papel do Risk Operations Center
A proposta do Risk Operations Center, ou ROC, surge como uma camada complementar ao tradicional Security Operations Center, conhecido como SOC.
O SOC normalmente concentra suas atividades na detecção e resposta a eventos, alertas, incidentes e ameaças. Já o ROC tem como objetivo compreender o risco de forma mais ampla, definir prioridades e atuar antes que uma exposição se transforme em um incidente.
Thakar criticou a fragmentação das informações em diversos painéis. Muitas empresas mantêm uma ferramenta para identidade, outra para nuvem, uma terceira para endpoints e outras plataformas para aplicações, vulnerabilidades e ativos de rede. Esse cenário pode gerar o chamado “turismo de dashboards”: profissionais percorrem diferentes telas, mas ainda têm dificuldade para determinar qual problema exige ação imediata.
Um modelo centralizado deve reunir esses dados e traduzi-los em uma visão operacional. Em vez de apresentar somente listas de vulnerabilidades, a plataforma precisa mostrar quais ativos estão envolvidos, qual é o impacto potencial, se existe evidência de exploração e qual área deve agir.
Brasil como laboratório de inovação em segurança
Na avaliação do CEO, o Brasil apresenta condições favoráveis para a adoção de ferramentas avançadas de gestão de risco. O país possui um sistema financeiro digitalizado, empresas com operações distribuídas em nuvem e uma crescente dependência de aplicações conectadas.
Além disso, a pressão regulatória e a necessidade de proteger dados pessoais aumentaram a importância da governança de segurança. Organizações brasileiras precisam demonstrar não apenas que possuem controles, mas também que conseguem identificar riscos, priorizá-los e comprovar a execução de medidas corretivas.
O mercado nacional também enfrenta desafios específicos. Muitas empresas convivem com ambientes híbridos, sistemas legados, múltiplos fornecedores e equipes reduzidas. Por isso, a automação pode desempenhar um papel decisivo ao reduzir tarefas manuais e direcionar os especialistas para os problemas de maior impacto.
Inteligência artificial muda ataque e defesa
A inteligência artificial deve transformar tanto as estratégias ofensivas quanto os mecanismos de proteção. Criminosos podem utilizar modelos automatizados para criar campanhas mais convincentes, adaptar códigos maliciosos, pesquisar alvos e explorar falhas com maior velocidade.
Na defesa, a IA pode ajudar a correlacionar grandes volumes de dados, reconhecer padrões, validar exposições e sugerir respostas. No entanto, a tecnologia não elimina a necessidade de supervisão humana. Resultados automatizados precisam ser contextualizados, especialmente quando uma ação de correção pode interromper serviços críticos.
A tendência é que a automação avance de sistemas que apenas recomendam ações para mecanismos capazes de executar determinadas tarefas com autorização prévia. Isso inclui isolar um endpoint, aplicar uma configuração segura, remover uma exposição temporária ou abrir automaticamente uma solicitação para a equipe responsável.
O desafio da confiança na automação
Para que a gestão autônoma de riscos seja adotada em larga escala, as empresas precisarão estabelecer limites claros. Nem toda correção deve ser executada sem validação, principalmente em ambientes de produção.
Um caminho mais seguro é classificar as ações por nível de impacto. Medidas de baixo risco podem ser automatizadas, enquanto mudanças capazes de afetar disponibilidade, dados ou processos essenciais devem exigir aprovação humana.
Também será necessário manter registros completos das decisões tomadas pelos sistemas. A rastreabilidade permite explicar por que determinada vulnerabilidade foi priorizada, qual evidência sustentou a decisão e quais ações foram executadas.
Métricas que importam para o negócio
A evolução da segurança depende ainda da substituição de métricas puramente técnicas por indicadores ligados ao risco empresarial. O número de vulnerabilidades corrigidas, por exemplo, pode ser menos relevante do que o tempo necessário para eliminar uma exposição em um ativo crítico.
Entre os indicadores mais úteis estão o tempo médio de correção, a quantidade de ativos desconhecidos, a redução de caminhos exploráveis, a cobertura dos controles e o risco residual associado a processos prioritários.
Essa mudança facilita o diálogo entre equipes técnicas e executivos. Em vez de apresentar centenas de alertas, os responsáveis pela segurança podem demonstrar como determinadas medidas reduziram a probabilidade de interrupções, perdas financeiras ou incidentes de conformidade.
Uma nova fase para a cibersegurança corporativa
A visão apresentada pela Qualys aponta para uma transformação importante: a segurança deixa de ser um processo baseado apenas na descoberta de problemas e passa a operar como uma disciplina contínua de redução de risco.
Nesse cenário, inventário atualizado, inteligência de ameaças, validação automatizada e capacidade de remediação precisam funcionar de forma integrada. O objetivo não é acumular mais alertas, mas permitir que a organização saiba onde está vulnerável, qual exposição merece prioridade e qual ação produzirá o maior benefício para o negócio.
Para o Brasil, essa evolução representa uma oportunidade estratégica. Empresas que conseguirem unir automação, governança e visão de negócio estarão mais preparadas para enfrentar o aumento dos ataques, a expansão da nuvem e a velocidade das mudanças tecnológicas.