Automatizar ou falhar a defesa nacional diante da fragilidade dos processos manuais

Que mais de metade das organizações de segurança nacional sigam dependendo de processos manuais para mover informações sensíveis é uma notícia que deveria acender todos os alertas em ministros, chefes de defesa e responsáveis pela cibersegurança. As transferências feitas à mão não são apenas lentas: são pontos de falha exploráveis, e num contexto geopolítico onde a velocidade e a certeza definem a vantagem operacional, essa fragilidade pode traduzir-se em decisões erradas ou em operações comprometidas.

Os incidentes da última década, desde ataques complexos à cadeia de fornecimento até vazamentos decorrentes de procedimentos inconsistentes, deixaram claro que os adversários buscam e aproveitam as costuras do processo. As medidas que, no seu dia, se adoptaram como paliativos —imprimir documentos, autorizar transferências por e-mail ou validar manualmente cada troca — tornaram-se vetores de risco porque introduzem variabilidade, atrasos e lacunas de auditoria difíceis de corrigir quando há que reconstruir uma cadeia de custódia.

As razões pelas quais o manual persiste são múltiplas e muito humanas. Primeiro, as plataformas herdadas que sustentam boa parte das redes governamentais e de defesa não foram concebidas para interoperar com motores de políticas automatizadas ou com esquemas modernos de criptografia, e sua substituição implica custos e disrupções que muitas organizações não podem ser permitidas de um dia para outro. O próprio processo de aquisição agrava a demora: controles, certificações e prazos que na prática convertem qualquer modernização em um projeto multianual, enquanto a ameaça avança em tempo real. Finalmente, a cultura institucional desempenha o seu papel: em áreas onde a responsabilidade pessoal pesa muito, a supervisão humana é percebida como a opção mais segura, embora os dados demonstrem que o erro humano é uma das principais fontes de incidentes.

Esse mix de tecnologia antiga, burocracia e confiança no tangível cria um cocktail perigoso: erros que se replicam, políticas susceptíveis de interpretação e registros fragmentados que complicam a resposta a uma brecha. Não é só perder eficiência operacional; é que a própria capacidade de demonstrar o que aconteceu, quando e por quem fica comprometida, o que enfraquece tanto a resposta técnica como a responsabilização.

A boa notícia é que existe um marco de trabalho pragmático para transformar essa fragilidade em resiliência. Não se trata de automatizar por automatizar, mas de articular três pilares que, combinados, oferecem uma abordagem coerente para proteger identidades, dados e fronteiras operacionais. O primeiro é o modelo de Zero Trust: verificar continuamente a identidade e o contexto de cada usuário, dispositivo e ação para evitar confianças implícitas. Os guias técnicos e marcos oficiais já o apontam como uma rota prioritária para ambientes críticos; o NIST Special Publication 800-207 explica como essa arquitetura reconfigura controles e privilégios para reduzir o risco interno.

O segundo pilar coloca o dado no centro: proteger a informação onde se encontra e em trânsito, mediante classificação, criptografia robusta e políticas que acompanham o arquivo independentemente da rede que o transporte. Essa abordagem, conhecida como data-centric security, minimiza o impacto de compromissos de rede porque o valor da informação é protegido por controle direto, não por limites perimetrales que hoje são permeáveis. Organismos como o NCSC do Reino Unido Recomendam esta orientação como complemento imprescindível às defesas de rede tradicionais.

O terceiro pilar trata um desafio muito concreto dos ambientes de defesa: a transferência segura entre domínios com diferentes níveis de classificação. As soluções cross-domain automatizam a inspeção, a aplicação de autorizações de libertação e a sanitização do conteúdo, permitindo compartilhar inteligência com aliados sem converter cada remessa em um pescoço de garrafa operacional. Quando estas ferramentas se integram com controles de identidade e proteção centradas em dados, a janela de oportunidade é significativamente reduzida para um ator malicioso.

Aplicar esta tríada não é apenas uma decisão técnica, é uma decisão de design organizacional. Em contextos multinacionais e coligações, as chaves passam por federar identidades e acordar padrões interoperáveis para que as políticas sejam aplicadas de forma uniforme entre parceiros. No terreno táctico, há que pensar em agentes leves e sincronizações resilientes que funcionem com largura de banda limitada. E na cadeia de abastecimento, a automação deve estender-se a empreiteiros e fornecedores através de verificações e rastreabilidade mais rigorosas; a CISA tem centrado boa parte das suas advertências na necessidade de assegurar essa superfície de ataque porque os incidentes como o SolarWinds demonstraram como uma falha na cadeia impacta sistemas críticos (ver análise da CISA).

Não há que perder de vista a dimensão humana: automatizar não significa desentender-se do fator humano, mas libertá-lo de tarefas repetitivas para que o talento se concentre em projetar políticas, gerenciar exceções e estudar eventos anormais. A mudança exige investimentos em formação, processos de adoção por fases e comunicação transparente que explique que a automação ajuda a cumprir a missão, não a monitorar a equipe. Pilotos controlados em fluxos de baixo risco, feedback contínuo e exemplos visíveis de melhora operacional são estratégias que ajudam a superar a resistência e a converter a novidade em prática estável.

Se existe uma lição urgente é que a modernização não é opcional: no ambiente atual, cada minuto conta e cada hesitação pode ser explorada. Fazer da automação uma prioridade estratégica — apoiada na Zero Trust, proteção de dados e soluções cross-domain — é proteger a capacidade de decisão e a integridade operacional. Começar pelos processos de maior impacto, traduzir as políticas em regras executáveis, medir resultados e assegurar a formação do pessoal são passos concretos e realizáveis. Não é necessário esperar substituir todo o parque tecnológico; a integração prudente e planejada pode reduzir exposição enquanto os sistemas são modernizados.

O relatório The CYBER360: Defending the Digital Battlespace destaca essa urgência e oferece dados que deveriam impulsionar a ação hoje mesmo; Pode ser consultado na sua versão completa. Para aqueles que lideram decisões em defesa e administração pública, a pergunta não é mais se automatizar, mas como fazê-lo de forma correta, segura e rápida: o próximo incidente não esperará a conclusão de processos longos de aquisição.

Atuar significa endurecer fluxos, acelerar a maturidade de controles e converter a automação em multiplicador de força. Em ambientes onde a certeza salva missões, manter a confiança no manual já não é uma opção viável.