Insegurança jurídica também é insegurança da informação

*Por Bruno Telles e Caio Telles

Existe uma métrica que resume quase tudo na gestão da segurança da informação, e ela não é o número de ferramentas contratadas nem o tamanho do time. É o intervalo entre o momento em que uma falha passa a existir e o momento em que ela é corrigida. Todo o resto é consequência disso. O cibercriminoso não precisa de nada além desse intervalo.

Quem trabalha na defesa aprendeu a encurtar esse tempo com tecnologia, com processo, com monitoramento contínuo. O que raramente se discute em público é que uma parte relevante dele não se perde em nenhuma dessas etapas. Perde-se depois, quando um modelo de contratação que ninguém dentro do departamento jurídico já viu antes chega para análise e recebe a única resposta que o repertório disponível permite dar, que é frear.

A cena se repete com pouca variação. A liderança de segurança avalia, por exemplo, um programa de bug bounty, entende o valor, aprova e defende internamente. O processo segue para compras e, em paralelo, para o jurídico. Começam então as perguntas: quem é essa pessoa que vai testar nosso ambiente, o que acontece se ela acessar um dado pessoal, e se houver vazamento, existe algum tipo de vínculo, quem responde perante a ANPD, qual é a nossa exposição se algo der errado.

São perguntas legítimas. O problema não é o jurídico perguntar. O problema é que o Brasil não tem uma resposta pronta para oferecer, e uma negociação que deveria durar dias acaba consumindo meses.

O que existe, o que falta

O Brasil não é um país sem lei sobre o assunto. É um país com várias leis que passam perto e nenhuma que encare o tema de frente.

O Código Penal diz que invadir sistema sem autorização é crime. A LGPD manda proteger o dado e avisar quando algo dá errado. O Banco Central exige política de segurança cibernética e gestão de vulnerabilidades de quem opera no sistema financeiro. A regulação das prestadoras de serviços de ativos virtuais seguiu o mesmo caminho.

Todas falam da empresa. Nenhuma fala do pesquisador.

Ele existe no direito brasileiro por eliminação: é o que sobra do crime quando houve autorização antes. É pouco para sustentar uma relação da qual depende, hoje, boa parte da capacidade defensiva das organizações.

O mais curioso é que o próprio governo já escreveu o que quer. A Estratégia Nacional de Cibersegurança, publicada em 2025, lista entre suas ações a de divulgar vulnerabilidades de forma coordenada.

Está lá, em decreto. O que não existe é o instrumento que transforme isso em prática segura para quem reporta e para quem recebe.

Os projetos em discussão no Congresso avançam bastante na governança e nas obrigações dos setores regulados. Sobre quem encontra a falha, seguem em silêncio.

Outros países resolveram isso antes de nós, e não por serem mais tolerantes com crime cibernético. Na Bélgica, desde 2023, quem reporta uma vulnerabilidade seguindo o procedimento da autoridade nacional está protegido, mesmo sem contrato com a empresa testada. Na Europa, a divulgação coordenada virou obrigação. Nos Estados Unidos, o Departamento de Justiça orientou seus procuradores a não denunciar pesquisa de segurança feita de boa-fé.

O raciocínio é o mesmo em todos os casos. Ambiguidade jurídica não impede que alguém encontre a falha. Ela apenas define para quem essa pessoa vai contar.

O contrato como remendo que funciona

Na ausência de regra pública, o que preenche o vácuo é a construção privada. Uma plataforma homologada não é apenas um lugar onde relatórios chegam. É um conjunto de regras que resolve, na prática, quase tudo que o jurídico teme: escopo delimitado, regras de engajamento, safe harbor contratual para quem atua dentro dos limites, obrigação de sigilo, prazo definido entre a descoberta e qualquer divulgação, identificação e qualificação dos pesquisadores, trilha de auditoria de tudo o que foi acessado e por quem.

Esse arranjo funciona. Bancos, operadoras e varejistas brasileiros operam programas há anos sem que tenha havido conflito jurídico relevante. O que não funciona é a escala. Cada nova empresa recomeça a discussão do zero, com um jurídico que precisa ser convencido novamente, uma minuta que volta refeita e um ciclo que se estende por semanas. Uma boa arquitetura contratual dá segurança para as partes envolvidas, mas não produz o efeito que uma regra pública produziria, que é tornar a conversa desnecessária.

O que uma lei não resolveria

Vale dizer uma coisa desconfortável: mesmo que a legislação específica saísse amanhã, a parte mais difícil continuaria de pé, porque ela é cultural antes de ser normativa.

O reflexo profissional do jurídico é eliminar risco. O trabalho da segurança parte da premissa oposta, de que risco não se elimina, se administra e se prioriza. São duas gramáticas construídas para o mesmo fim, que é proteger a empresa, e que quase nunca se encontram antes do momento em que já existe um contrato sobre a mesa e um prazo a cumprir. O jurídico é chamado para validar uma decisão que não ajudou a construir, e reage como qualquer área reage diante de algo que não conhece e pelo qual será responsabilizada.

Zonas cinzas vão continuar existindo, com lei ou sem lei, porque a criatividade de quem ataca é sempre maior que a capacidade de qualquer norma de antecipar cenários.

Há coisas concretas que dependem apenas de decisão interna. Colocar o jurídico na conversa no primeiro mês do projeto, e não na véspera da assinatura. Tratar o canal de recebimento de vulnerabilidades com o mesmo estatuto institucional do canal de denúncias, algo que compliance já sabe operar há anos.

O tempo é o argumento

Uma vulnerabilidade identificada em março, cujo contrato foi assinado em junho, ficou exposta de março a junho. Não há atenuante técnica para isso e não há criminoso que respeite prazo de homologação. Reduzir a distância entre descobrir e corrigir é investimento em segurança com o mesmo peso de qualquer licença de software, e um processo de contratação que consome quarenta e cinco dias é, na prática, uma decisão de segurança tomada por uma área que não foi convidada a tomá-la e que talvez nem saiba que a tomou.

O caminho não é transformar o jurídico em adversário do CISO, e sim admitir que os dois estão respondendo à mesma pergunta com ferramentas distintas. Quando essa conversa acontece cedo, com transparência sobre o que se sabe e o que não se sabe, as zonas cinzas se resolvem com engenhosidade. Quando ela acontece tarde, resolvem-se com burocracia, o que na maioria das vezes significa que não se resolvem.

Insegurança jurídica também é insegurança da informação. E, diferentemente de quase todos os outros riscos que a área enfrenta, este depende menos do adversário e mais de nós.

Confira também dicas sobre contratos digitais, como identificar um documento legítimo e evitar golpes.

{{WHATSAPP_CHANNEL}}