Pedro V. Pereira, no artigo “Por que segurança é sobre controle de jogo e não apenas defesa”, traz uma metáfora direta: na SST, não basta “se defender bem”, é preciso controlar o jogo.
Quando a empresa só reage a alerta, falha descoberta e incidente, ela vive no modo apagador de incêndio.
O desafio é sair do “depois eu corrijo” e entrar no “eu testo antes”: simular, validar, reduzir superfícies e cortar espaços de erro.
No fim, controle de jogo é controle de risco e isso deixa a segurança mais previsível, mensurável e estratégica.

Por que segurança é sobre controle de jogo e não apenas defesa?

Por: Pedro Pereira

Na qualidade de ex atleta profissional do Futebol – atacante de técnica e velocidade, “matador”, sempre me esmerei nos treinamentos preparatórios, repetitivos e sistemáticos, apreciando a inovação, a técnica e a tática em busca da excelência.  “Nós somos o que fazemos repetidamente. A excelência, portanto, não é um ato, mas um hábito”, minha base foi sobre a importância da disciplina e da constância no dia a dia. Futebol, foi minha grande escola. Primeiro dentro de campo, depois fora dele o meu modelo. Um incomparável laboratório de psicologia, onde vaidades, interesses, verdades, sofrimentos, dores e alegrias se misturam. Inesquecíveis vivências, aprendizagens e experiências que consolidam uma vida. Sou grato à “bola” e a tudo o que ela me proporcionou.

Na época, pouca experiência e menor conhecimento literário, apenas vivia, não sabia,mas carregava no peito e na mente, e nas práticas de campo que : “a melhor defesa é o ataque”.

Hoje, a partir de Sun Tzu (a arte da guerra) que escreveu:

– “A invencibilidade está na defesa; a possibilidade de vitória no ataque.” Percebo a importância dessa escola. Na qualidade de ex atleta profissional do Futebol – atacante de técnica e velocidade, sempre me esmerei nos treinamentos preparatórios, repetitivos e sistemáticos, apreciando a inovação, a técnica e a tática em busca da excelência.

Séculos depois essa lógica de Sun Tzu continua válida, inclusive na segurança corporativa  (Segurança e Saúde do Trabalho) onde vivo há 40 anos essa segunda faze de existência.  No futebol moderno poucos técnicos representam melhor esse princípio do que Pep Guardiola.

Guardiola não construiu sua reputação apenas por ter defesas sólidas, ele construiu por controlar o jogo e essa é exatamente a transição que a segurança corporativa precisa fazer.

“Defesa evita derrota. Ataque constrói domínio”.

Times treinados por Guardiola consistentemente apresentam:

• Alta posse de bola (controle de ritmo);
• Baixo número de finalizações concedidas;
• Pressão alta pós perda (redução de transição adversária);
• Recuperação rápida em campo ofensivo.

Isso gera um efeito estratégico:

O adversário joga menos, cria menos e erra mais. Em segurança corporativa o paralelo é claro.

Empresas reativas:

• Respondem a alertas;
• Corrigem vulnerabilidades após descoberta;
• Atuam após incidente;

Empresas ofensivas:

• Simulam ataque antes do criminoso;
• Testam encadeamento real;
• Questionam suposições arquiteturais;
• Reduzem superfície e espaços exploráveis.

A diferença não é apenas técnica e sim estrutural.

Sempre se questionam “e se eu fosse um atacante, o que eu faria?”

Controle de jogo é controle de risco.

Guardiola não joga para “se defender bem”, ele joga para impedir que o adversário jogue.

Pressão coordenada reduz tempo de decisão do oponente.

Em arquitetura de segurança, isso se traduz em:

• Segmentação real de privilégios;
• IAM com menor acúmulo histórico;
• Validação de lógica de negócio sob abuso;
• Teste contínuo de encadeamento lateral;
• Simulação ativa de adversário.

Red Team é comissão técnica. Bug Bounty e Pentest são seus analistas externos independente ampliando sua visão do campo.

Ambos ampliam perspectiva e reduzem zona de conforto.

Números defensivos vs resultados estratégicos

Quando analisamos os números das equipes de Guardiola, vemos padrões:

• Menos gols sofridos por temporada;
• Menor xG (expected goals) concedido;
• Maior controle territorial;
• Menor variabilidade de desempenho.

Isso não acontece por acaso, é um resultado de modelo tático. Na segurança ser proativo também gera métricas consistentes:

Redução de incidentes críticos

Organizações com programa ofensivo maduro apresentam menor taxa de incidentes materializados.

Redução de tempo médio de detecção e correção

Simulações contínuas melhoram a prontidão operacional.

Redução de impacto financeiro

Menos interrupção operacional, menos dano reputacional, menos custo emergencial.

ROI mensurável

Prevenção estruturada é previsível. Incidente é exponencial. Investimento em segurança ofensiva é estratégico.

No futebol e na segurança quem ataca o perigo, controla o risco e vence jogo contra o infortúnio laboral

Segurança ofensiva como estratégia de redução de volatilidade, de fragilidade.

Organizações  reativas operam assim:

Incidente → Resposta → Comunicação → Contenção → Ajuste

Organizações ofensivas operam assim:

Simulação → Descoberta → Correção → Validação → Redução de exposição

Segundo o Verizon DBIR***, mais de 80% das violações envolvem exploração de falhas conhecidas ou abuso de credenciais válidas.

*** Verizon Data Breach Investigations Report (Relatório de Investigações de Vazamento de Dados da Verizon). É um dos relatórios anuais mais abrangentes e influentes do mundo sobre segurança cibernética, publicado pela Verizon Business há mais de 15 anos.

Ou seja:

Grande parte do risco é previsível e o problema não é imprevisibilidade e sim ausência de teste adversário antes da exploração real.

A GENTE PENSA COMO ELES.

Segurança ofensiva aplicada à estratégia de negócio. Porque no cenário digital atacar é vantagem competitiva.

Conteúdo Relacionado

• Indicadores Reativos e Proativos: como fortalecer a gestão de SST e Meio Ambiente: sair do retrovisor (acidente) e passar a medir sinais antecipados que permitem ajustar a rota antes do dano.
• Programas de Segurança: por que culpar o erro humano fracassa: quando a empresa troca caça ao culpado por gestão sistêmica, o risco perde espaço para se materializar.
• Um quase acidente é somente um acidente de trabalho que não deu certo? Tratar quase-acidentes e desvios cedo reduz a chance de o adversário (o risco) voltar com força.

Os artigos reproduzidos neste blog refletem única e exclusivamente a opinião e análise de seus autores. Não se trata de conteúdo produzido pela RSData, não representando, desta forma, a opinião legal da empresa.