NotíciasNa imprensa
Gartner recomenda que CISOs reportem risco cibernético em termos financeiros
O Gartner recomenda que CISOs troquem dashboards técnicos por demonstrativos financeiros ao reportar risco cibernético à diretoria. Com 93% dos conselheiros vendo o risco cibernético como ameaça ao valor da empresa, quantificar a exposição em reais deixou de ser tendência e virou exigência, impulsionada por regulações como NIS2 e DORA.
A forma como as empresas apresentam segurança da informação para a alta gestão está mudando. No Security & Risk Management Summit 2026, os analistas do Gartner Sam Olyaei e Tom Scholtz recomendaram que os CISOs deixem de lado os dashboards técnicos e passem a reportar o risco cibernético no mesmo formato que a diretoria já usa para tomar decisões: demonstrativos financeiros.
O problema: segurança falando uma língua que o conselho não usa
Os números mostram que o tema já está na agenda dos conselhos:
- 93% dos conselheiros concordam que o risco cibernético ameaça o valor da empresa para o acionista;
- 98% acreditam que as ameaças vão aumentar nos próximos dois anos;
- quase todos os líderes de segurança já apresentam diretamente ao conselho, contra cerca de 25% há uma década.
Mesmo assim, a maioria dos relatórios de segurança ainda é organizada em torno da área técnica, com contagem de vulnerabilidades, índices de maturidade e alertas. Scholtz resumiu assim: "Many reports are structured around cybersecurity, not around the business" ("muitos relatórios são estruturados em torno da cibersegurança, e não do negócio").
A proposta: o risco cibernético em três demonstrativos
O Gartner sugere organizar o reporte de segurança em três visões inspiradas na contabilidade:
| Demonstrativo | O que mostra na segurança |
|---|---|
| Balanço patrimonial | Retrato da exposição atual ao risco, com estimativa de impacto financeiro |
| DRE (resultado) | Efeito financeiro das ameaças e das melhorias de segurança |
| Fluxo de caixa | Para onde vai o investimento em segurança, por categoria e ano a ano |
A recomendação também é manter as mesmas métricas de um trimestre para o outro, para que o conselho consiga acompanhar a evolução e decidir onde investir com base em tendência, e não em fotografias soltas.
Quantificação de risco deixou de ser tendência e virou exigência
Poucas semanas depois do evento, o Gartner publicou o relatório Innovation Insight for Cyber Risk Quantification. Para o FAIR Institute, o documento encerra a discussão sobre se é possível quantificar risco cibernético. A questão agora é como fazer isso de forma contínua, ligada a dados operacionais reais e não só a relatórios periódicos.
Alguns fatores estão acelerando essa mudança:
- Regulação: exigências como a NIS2 e o DORA na Europa e as regras de divulgação da SEC nos EUA pedem que as empresas demonstrem materialidade e resiliência;
- Adoção de metodologias: o uso ou a intenção de uso do modelo FAIR passou de 46% em 2025 para 58% em 2026;
- Mercado em expansão: as soluções de quantificação de risco cibernético devem sair de US$ 340 milhões (2024) para cerca de US$ 900 milhões até 2033.
O que isso significa para as empresas
Segurança da informação passou a ser tratada como risco de negócio. Quem consegue traduzir exposição cibernética em valores financeiros consegue também justificar investimento, priorizar o que realmente importa e conversar com a diretoria de igual para igual.
Nesse cenário, medir o risco em reais é o que separa a empresa que reage a incidentes daquela que decide com base em números.
Referências
- CISO Board Reporting: Gartner Says Drop the Dashboard, Use Financial Statements — Cybersecurity Insiders, 8 de junho de 2026
- Gartner's New CRQ Report Signals a Major Milestone for the Cyber Risk Profession — FAIR Institute, 22 de junho de 2026
- Cyber Risk Quantification in 2026: Five Trends Reshaping How Boards Think About Exposure — MetricStream