A lista de incidentes graves em organizações críticas brasileiras é longa e atravessa governos. Em novembro de 2020, um ataque de ransomware criptografou mais de 1.200 máquinas virtuais do Superior Tribunal de Justiça e suspendeu prazos processuais. Em dezembro de 2021, o grupo Lapsus$ tirou do ar o ConecteSUS e outros sistemas do Ministério da Saúde. Em abril de 2024, o Tesouro Nacional informou que credenciais obtidas de forma irregular foram usadas para desviar recursos pelo Siafi, o sistema de pagamentos do governo federal. E, em julho de 2025, o ataque à C&M Software, prestadora de tecnologia que conecta instituições ao Banco Central, permitiu o desvio de ao menos R$ 541 milhões de contas de reserva, segundo a Polícia Civil de São Paulo; um operador de TI da empresa foi preso e, segundo a polícia, confessou ter entregado sua senha e informações sobre os processos internos em troca de R$ 15 mil. Em comum, muitos desses casos não começaram com uma falha tecnológica sofisticada, mas com uma credencial mal gerida, um acesso interno sem controle ou uma pessoa cooptada. Nesse contexto, a Validato anunciou o lançamento no Brasil de seu marco de Gestão de Riscos Humanos para operadores de infraestrutura crítica.


O serviço foi desenhado para complementar — e não substituir — os controles técnicos, atuando sobre o outro lado do problema: as pessoas com acesso a sistemas e processos sensíveis. Segundo a empresa, inclui avaliações de integridade para prevenir ameaças internas e sabotagem em áreas sensíveis, prevenção de espionagem industrial, identificação de conflitos de interesses e de vulnerabilidades financeiras relevantes para a função, e proteção de propriedade intelectual e processos tecnológicos críticos. A plataforma verifica identidade e qualificações, reavalia periodicamente o pessoal sujeito a regulações setoriais e mantém acompanhamento ao longo da relação de trabalho ou contratual, com avaliações disponíveis tanto para colaboradores quanto para parceiros e fornecedores externos — sempre dentro dos limites de finalidade, necessidade e transparência da LGPD.


O marco regulatório brasileiro vem se adensando. A Política Nacional de Segurança de Infraestruturas Críticas (Decreto nº 9.573/2018), sua estratégia (Decreto nº 10.569/2020) e seu plano nacional (Decreto nº 11.200/2022) organizam a proteção desses ativos, e a Política Nacional de Cibersegurança (Decreto nº 11.856/2023) criou o Comitê Nacional de Cibersegurança, presidido pelo GSI. No Senado, o PL nº 4.752/2025, que institui um marco legal da cibersegurança e prevê uma autoridade nacional para o tema, foi aprovado na CCJ em dezembro de 2025 e segue em análise na Comissão de Ciência e Tecnologia. No sistema financeiro, após os ataques de 2025, o Banco Central endureceu as exigências para provedores de serviços de tecnologia da informação, com patrimônio mínimo, diretores de segurança designados, certificação e auditoria anual (Resolução BCB nº 498/2025). Segundo a Validato, seu marco está alinhado a padrões internacionais como as diretivas europeias NIS2 e CER, além das normas ISO 27001 e ISO 42001.


“Sempre que analisamos em detalhe um incidente grave em infraestrutura crítica, aparece um componente humano: uma conta com mais permissões do que precisava, um fornecedor externo sem controle de acesso adequado, um profissional que nunca foi reavaliado depois de mudar de função. Fortalecer a infraestrutura técnica é indispensável, mas se não se gerencia em paralelo quem tem acesso a quê e por quê, a brecha continua aberta. Nosso marco de risco humano existe para fechar essa brecha com evidência pronta para auditoria, e não com uma promessa genérica de conformidade”, afirma Guido Schenone, Comercial & Growth Manager da Validato.


O serviço está disponível no modelo de pagamento por verificação da Validato, sem mensalidade nem contrato de fidelidade, e se destina tanto a grandes operadores de energia, telecomunicações, saúde e serviços financeiros quanto a pequenas e médias empresas que atuam como fornecedoras terceirizadas de órgãos públicos e empresas reguladas. A companhia, que informa ter certificação ISO 27001, inclui esse marco específico para infraestrutura crítica em sua oferta de verificação de antecedentes, gestão de risco humano e KYC no Brasil.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 19/10/2026.
  2. Baguete. "Estrago dos hackers no STJ foi grande", 06/11/2020. https://www.baguete.com.br/noticias/06/11/2020/estrago-dos-hackers-no-stj-foi-grande
  3. Poder360. "Sites do Ministério da Saúde sofrem ataque hacker", 10/12/2021. https://www.poder360.com.br/governo/sites-do-ministerio-da-saude-sofrem-ataque-hacker-e-estao-fora-do-ar/
  4. Poder360. "Sistema de pagamentos do governo é invadido" (Siafi), 04/2024. https://www.poder360.com.br/governo/sistema-de-pagamentos-do-governo-e-invadido/
  5. CNN Brasil. "Ataque hacker desviou R$ 541 milhões, diz polícia", 07/2025. https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/
  6. Correio Braziliense. Prisão de suspeito de colaborar com o ataque à C&M Software, 07/2025. https://www.correiobraziliense.com.br/economia/2025/07/7192512-preso-suspeito-de-colaborar-com-hacker-no-maior-ataque-da-historia-do-brasil.html
  7. Presidência da República (Planalto). Decreto nº 11.200/2022 (Plansic). https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/decreto/d11200.htm
  8. Câmara dos Deputados. Decreto nº 11.856/2023 (PNCiber). https://www2.camara.leg.br/legin/fed/decret/2023/decreto-11856-26-dezembro-2023-795155-publicacaooriginal-170614-pe.html
  9. Senado Federal. PL nº 4.752/2025 — Marco Legal da Cibersegurança (tramitação). https://www25.senado.leg.br/web/atividade/materias/-/materia/170613
  10. Mattos Filho. Novas normas de segurança do Banco Central (Resoluções BCB nº 494 a 498/2025). https://www.mattosfilho.com.br/unico/banco-central-normas-seguranca/
  11. Validato. Informações corporativas sobre o marco de risco humano e certificações (fonte da empresa).