Existe uma frase que circula em quase toda equipe de segurança da informação: ninguém liga quando tudo funciona. O profissional de cibersegurança trabalha para que nada aconteça, e quando consegue, o resultado é invisível. Quando falha, mesmo que por um erro que não foi dele, o nome dele aparece na reunião de diretoria. Essa assimetria resume boa parte da realidade de quem escolheu essa carreira no Brasil.
Vamos olhar com franqueza para o que esses profissionais enfrentam hoje: o volume de ameaças, a escassez de gente, o peso psicológico da função e a responsabilidade que cresce mais rápido do que os recursos. E também o que empresas e lideranças podem fazer para que o problema não continue recaindo sobre as costas de poucas pessoas.
Um país no topo da lista de alvos
O Brasil não é um alvo qualquer. Segundo o relatório mensal da Check Point Research, cada organização brasileira sofreu em média mais de 4 mil tentativas de ataque por semana em junho de 2026, crescimento de 44% em relação ao mesmo mês do ano anterior. A média global no mesmo período ficou abaixo de 2.300. Em outras palavras, uma empresa brasileira recebe quase o dobro da pressão que uma empresa típica em qualquer outro lugar do mundo.
Os dados do governo seguem na mesma direção. O CTIR Gov registrou mais de 18 mil notificações de incidentes cibernéticos em 2025, e os vazamentos de dados lideraram as ocorrências, com mais de 7 mil registros. Levantamentos de fabricantes de segurança apontam que o Brasil concentra cerca de 84% das tentativas de ataque observadas em toda a América Latina.
Para quem está do lado de dentro, isso não é estatística. É o alerta que dispara às três da manhã, o email de phishing que chegou a um diretor, o ransomware que travou a produção de um cliente em uma sexta à noite. É rotina.
Poucos para proteger muitos
Se a demanda cresce nesse ritmo, seria razoável esperar que o mercado tivesse uma reserva de profissionais à altura. Não tem. Estimativas da Fortinet indicam que o Brasil precisa de cerca de 750 mil especialistas em segurança cibernética, e a ISC² calcula um déficit de aproximadamente 140 mil vagas em aberto. No cenário global, a mesma ISC² fala em mais de 4,8 milhões de profissionais faltando.
O governo federal tentou responder com o programa Hackers do Bem, que abriu 25 mil vagas gratuitas de formação em 2026, sem exigência de experiência prévia. É uma iniciativa relevante, mas a conta não fecha no curto prazo. Formar um analista de nível básico leva meses. Formar alguém capaz de conduzir uma resposta a incidente de ransomware, investigar um comprometimento lateral e explicar o risco para o conselho da empresa leva anos.
O resultado prático é que as equipes existentes absorvem o trabalho que deveria ser dividido entre o dobro ou o triplo de pessoas. Em empresas de médio porte, é comum que a segurança inteira seja responsabilidade de uma ou duas pessoas que também cuidam da infraestrutura, do suporte e das demandas de compliance.
O custo humano de estar sempre em alerta
Uma pesquisa da Telavita com mais de 4 mil profissionais no Brasil mostrou que a área de TI lidera o ranking de burnout entre os setores avaliados: 42,5% apresentam o quadro completo e outros 38,1% relatam sintomas claros de esgotamento. O estudo cita justamente atividades como segurança cibernética e suporte como as que exigem disponibilidade contínua.
Quando o recorte é especificamente segurança, os números pioram. O relatório da Sophos sobre o custo humano da vigilância apontou que 76% dos profissionais de cibersegurança relataram ter sofrido burnout no último ano, e 69% disseram que a situação piorou entre 2023 e 2024. Outro levantamento, com mais de 300 analistas, indicou que a carga de trabalho é a principal fonte de estresse, que metade trabalha horas além do contratado e que 88% percebem uma cultura de culpa no setor.
Essa cultura de culpa merece atenção. Quando um incidente acontece, a pergunta mais comum é quem deixou passar, e não por que a organização estava exposta. Isso cria um ciclo perverso: o profissional sabe que será responsabilizado, então assume mais do que consegue sustentar, trabalha mais horas, dorme menos, erra mais. E o burnout, como bem definiu uma análise recente do setor, vira a brecha mais perigosa da cibersegurança. Um analista exausto ignora um alerta. Um gestor esgotado adia uma atualização crítica. O atacante só precisa de uma dessas falhas.
Responsabilidade que cresce mais rápido que o mandato
Além do volume, mudou a natureza do que se espera desse profissional. Há dez anos, segurança era firewall, antivírus e backup. Hoje, a mesma pessoa precisa entender nuvem, identidade, segurança de aplicações, proteção de ambientes industriais, LGPD e, mais recentemente, os riscos da inteligência artificial generativa.
Esse último ponto é novo e crescente. O mesmo relatório da Check Point mostra que cada organização brasileira usava em média sete ferramentas diferentes de IA generativa em junho de 2026, e uma parcela significativa dos prompts continha informações potencialmente sensíveis. O risco aqui não é a IA ser invadida. É o funcionário colar um contrato, uma planilha de clientes ou uma credencial dentro de uma ferramenta externa sem perceber. E quem precisa criar política, ferramenta e treinamento para lidar com isso é, de novo, a equipe de segurança.
A responsabilidade também cresceu no sentido jurídico e reputacional. Com a LGPD em vigor e a ANPD aplicando sanções, um vazamento deixou de ser apenas um problema técnico. Virou passivo financeiro, comunicado ao mercado, dano à marca. E a expectativa de que o profissional de segurança explique isso em linguagem de negócio, defenda orçamento e ainda mantenha a operação funcionando é cada vez maior.
O que precisa mudar
Seria confortável terminar dizendo que os profissionais precisam cuidar melhor de si mesmos. Isso é verdade, mas transfere para o indivíduo um problema que é estrutural. Algumas mudanças dependem das organizações.
Segurança como responsabilidade de todos, não de um time. A pesquisa com analistas já apontava: o apoio mais efetivo é distribuir a responsabilidade pela segurança em todos os níveis da empresa. Isso significa que o diretor que clica em phishing, o desenvolvedor que publica uma chave de API e o gestor que aprova um acesso indevido também respondem pelo resultado. Não para punir, mas para que a conta não feche sempre na mesma mesa.
Automação para tirar o ruído. Grande parte do esgotamento vem do volume de alertas que não representam ameaça real. Investir em correlação, triagem automatizada e, com critério, em agentes de IA que façam a primeira análise de eventos permite que o profissional dedique energia ao que exige julgamento humano. A tecnologia aqui não substitui o analista; devolve a ele o tempo de pensar.
Parceiros e serviços gerenciados quando o time interno não dá conta. Nem toda empresa precisa, ou consegue, montar um SOC próprio. Apoiar a equipe interna com um provedor que faça monitoramento, resposta inicial e gestão de ferramentas é, muitas vezes, a diferença entre uma equipe que opera de forma sustentável e uma que vive em modo de incêndio.
Cultura de aprendizado no lugar de cultura de culpa. Incidentes vão acontecer. A pergunta que uma organização madura faz depois de um incidente é o que aprendemos e o que vamos mudar, nunca quem vamos demitir. Equipes que confiam que serão tratadas com justiça reportam mais cedo, escondem menos e se recuperam mais rápido.
Formação contínua e caminhos de carreira. Com um déficit de centenas de milhares de profissionais, reter quem já está na área é tão importante quanto formar novos. Isso passa por salário compatível, mas também por tempo protegido para estudo, certificações patrocinadas e clareza sobre para onde a carreira pode ir.
Conclusão
A realidade do profissional de cibersegurança no Brasil hoje é a de alguém que defende um dos territórios mais atacados do mundo, com menos gente do que precisaria, carregando uma responsabilidade que se expande a cada nova tecnologia adotada pelo negócio, e frequentemente pagando com a própria saúde quando o sistema falha.
Isso não é sustentável, e não precisa ser assim. As empresas que estão vencendo essa equação não são as que encontraram profissionais imunes ao cansaço. São as que entenderam que segurança é um problema de negócio, distribuíram a responsabilidade, investiram em automação e parceiros, e trataram sua equipe de segurança como o ativo crítico que ela é.
Se a sua organização ainda enxerga segurança como o time que resolve problema quando dá errado, talvez seja hora de perguntar quanto tempo esse time ainda aguenta.
Autor: Jamson Borges
Fontes consultadas
• Check Point Research, relatório mensal de inteligência de ameaças (junho e julho de 2026)
• CTIR Gov, notificações de incidentes cibernéticos em 2025
• Fortinet e ISC², estimativas de déficit de profissionais no Brasil e no mundo
• Hackers do Bem (MCTI/RNP), abertura de 25 mil vagas em 2026
• Telavita, pesquisa sobre burnout por setor no Brasil
• Sophos, Relatório sobre o Custo Humano da Vigilância 2025
• Promon, pesquisa com analistas de cibersegurança sobre burnout
