Como Devem as Empresas de Média Dimensão Distribuir o Orçamento de Cibersegurança?

As empresas de média dimensão enfrentam as mesmas ameaças que as grandes, sem o mesmo orçamento. Por isso, a abordagem mais eficaz é distribuir o orçamento com inteligência, de acordo com o risco, deixando o aumento do orçamento para segundo plano. As análises baseadas em dados de incidentes mostram que as empresas organizam muitas vezes o orçamento por hábito, mais do que pelos controlos mais eficazes. Neste artigo vemos o que os dados sugerem e um exemplo de distribuição.

As empresas gastam o suficiente, muitas vezes no sítio errado

As empresas não gastam pouco em cibersegurança. Mas o orçamento costuma ir para os produtos mais falados ou para as soluções mais conhecidas.

No relatório Cybersecurity Signals de 2025, o grupo de seguros e consultoria de risco Marsh McLennan comparou os controlos de segurança das organizações com dados de incidentes e classificou 12 controlos comuns pelo seu efeito na redução do risco de violação. Os quatro primeiros:

1. Deteção e resposta em endpoints (EDR)
2. Recolha e monitorização de registos (logs)
3. Formação em sensibilização e testes de phishing
4. Um plano de resposta a incidentes

A autenticação multifator (MFA) não ficou entre os primeiros. Segundo o relatório, a MFA existe hoje em quase todas as organizações, por isso já não as distingue. O que faz diferença é aplicar MFA resistente a phishing em todas as contas.

A MFA perdeu importância?

Não. A MFA continua a ser um controlo básico, mas sozinha já não é um sinal suficiente. Os atacantes encontraram formas de a contornar: páginas de login falsas que roubam sessões, falsas chamadas de suporte que pedem o código ao utilizador e o abuso de métodos alternativos de acesso, entre outras.

No estudo de 2023 da mesma equipa, o reforço automatizado dos sistemas ficou em primeiro lugar. A verdadeira mensagem destas classificações: o controlo que ganha prioridade deve seguir o perfil de risco real da sua empresa.

Porque a formação em sensibilização fica na sombra do orçamento

Nos dados de 2025 da Marsh, a formação em sensibilização e os testes de phishing, em terceiro lugar, dão um sinal mais forte do que muitos controlos técnicos. O relatório mostra também que a qualidade, ou seja, conteúdo atual e simulações realistas, está mais ligada aos resultados do que a frequência. Ainda assim, esta rubrica fica normalmente na sombra das ferramentas técnicas nos orçamentos.

Há uma razão: o efeito da formação em sensibilização é difícil de medir. A taxa de conclusão diz pouco, e é difícil financiar o que não se consegue medir. Os dados das simulações e a medição do comportamento são a forma de tornar este investimento visível.

Um exemplo de distribuição do orçamento

As empresas de média dimensão gastam em geral entre 10 e 12 por cento do orçamento de TI em cibersegurança. Uma distribuição equilibrada desse orçamento poderia ser esta:

Estes valores são um ponto de partida. O setor, os dados que trata e o nível de maturidade atual alteram a distribuição.

Higiene básica antes das decisões de orçamento

Nenhuma distribuição protege uma organização que descura a higiene básica. Seis hábitos básicos:

1. Inventário de ativos: não se protege um equipamento que não se conhece. O inventário de hardware, software e serviços é o primeiro passo.
2. Gestão de identidades e acessos: atribua permissões a funções e grupos, em vez de a pessoas.
3. Sensibilização dos colaboradores: nem a firewall mais robusta trava um colaborador que quebra um processo por causa de um email falso.
4. Disciplina de processos: procedimentos simples, como ligar de volta para confirmar um pedido de pagamento, evitam danos graves.
5. Prioridade nas atualizações: se tudo é urgente, nada é. Dê prioridade aos sistemas expostos à internet e aos críticos.
6. Segregação de funções: nas operações críticas, a mesma pessoa não deve iniciar e aprovar.

O que vai mudar em 2026-2027?

Espera-se um aumento dos ataques apoiados por IA, mais pressão regulatória e mais dificuldade em contratar especialistas em segurança. Isto aponta às empresas de média dimensão um modelo equilibrado que combine serviços externos sólidos com programas regulares de sensibilização.

Perguntas frequentes

---
A InfoLore torna visível o seu investimento em sensibilização com dados de simulação e medição do comportamento. Contacte-nos para analisarmos juntos esta rubrica do seu orçamento.