«E esse desajuste não é apenas técnico. Há candidatos com excelente domínio de Cloud, detecção de ameaças ou IA que, ao mesmo tempo, revelam dificuldade em explicar a relevância de um determinado risco ou em tomar decisões quando a realidade não encaixa nos procedimentos definidos». A lacuna mais crítica está, não nas ferramentas, no seu entender, mas na capacidade de pensar perante a incerteza, comunicar com públicos não técnicos e tomar decisões sem dispor de todas as respostas. «E essa competência não se adquire num curso de quarenta horas».
Existem, naturalmente, áreas onde a escassez de talento é real, admite, nomeadamente AI Security, Security Operations, Cloud Security e Risk Governance. «Mas o maior risco continua a ser uma abordagem de recrutamento que privilegia perfis que reúnam todas as competências à partida, em vez de valorizar profissionais com potencial de crescimento, capacidade de aprendizagem e adaptabilidade para acompanhar uma área em constante evolução».
Desajuste é real
Fernando Sevillano, head of cybersecurity services da WTW, enquadra a discussão com dados do ISC2 Cybersecurity Workforce Study 2025, segundo o qual o problema já não se resume à falta de profissionais. Trata-se, cada vez mais, de um desajuste entre as competências disponíveis e as necessidades reais das organizações. «O estudo revela que 95% dos inquiridos identificaram pelo menos uma lacuna de competências nas suas equipas, sendo que 59% consideram essas lacunas críticas ou significativas». As áreas mais carenciadas incluem Inteligência Artificial (IA), segurança na cloud, avaliação de risco, segurança aplicacional, engenharia de segurança e governação, risco e conformidade (GRC). «As competências relacionadas com IA surgem como a necessidade mais urgente, referida por 41% dos participantes, seguidas pela segurança na cloud, apontada por 36%».
Na sua perspectiva, a cibersegurança não precisa apenas de mais profissionais, precisa sobretudo de profissionais com uma visão transversal, capazes de estabelecer ligações entre controlos técnicos, risco de negócio, operações, conformidade e factores humanos, em vez de trabalharem exclusivamente em áreas altamente especializadas.
«Muitas equipas de cibersegurança continuam organizadas por especialização: SOC, gestão de identidades e acessos (IAM), cloud, GRC, segurança aplicacional, OT, privacidade, resposta a incidentes, entre outras. Esta estrutura é importante para garantir profundidade técnica, mas frequentemente cria pontos cegos nas fronteiras entre domínios», explicou Fernando Sevillano Os ataques reais, porém, não respeitam essas fronteiras. «Uma configuração incorreta na cloud pode rapidamente transformar-se num problema de identidade, que por sua vez pode resultar numa escalada de privilégios, acabando por evoluir para um incidente com impacto na continuidade do negócio, no cumprimento legal e nas obrigações regulatórias».
