Como será o papel do CISO em 2029: estratégia, inteligência artificial e gestão de riscos
Até 2029, o Chief Information Security Officer (CISO) deverá ocupar uma posição ainda mais relevante dentro das organizações. O executivo deixará de ser visto apenas como o responsável por firewalls, controles de acesso, conformidade e resposta a incidentes. Sua atuação tende a se expandir para áreas como estratégia corporativa, inteligência artificial, inovação, continuidade operacional e gestão integrada de riscos.
A mudança acompanha a própria evolução dos negócios digitais. À medida que empresas adotam plataformas em nuvem, sistemas automatizados, ecossistemas de parceiros e aplicações baseadas em IA, a segurança passa a influenciar diretamente decisões de investimento, expansão e desenvolvimento de produtos. Nesse cenário, o CISO precisará demonstrar não apenas conhecimento técnico, mas também capacidade de avaliar oportunidades e explicar riscos em linguagem empresarial.
Wolfgang Goerlich, CISO do setor público e integrante do corpo docente da IANS Research, avalia que esses líderes terão uma responsabilidade crescente na orientação sobre riscos tecnológicos. Isso inclui ajudar a organização a decidir quando e como adotar inteligência artificial, considerando benefícios, limitações, impactos regulatórios e possíveis consequências para clientes, funcionários e operações.
Essa transformação representa mais uma etapa na história da função, criada em meados da década de 1990. Durante muito tempo, o CISO foi associado ao chamado “departamento do não”, responsável por bloquear iniciativas consideradas perigosas. Depois, passou a atuar como uma espécie de moderador, tentando reduzir o ritmo de projetos que poderiam gerar exposição. A tendência agora é assumir um papel mais construtivo: explicar os riscos, propor controles proporcionais e permitir que a empresa avance com segurança.
Um relatório da KPMG de 2026 também aponta essa redefinição. A expansão das plataformas digitais, da inteligência artificial e das relações com fornecedores externos ampliou a superfície de ataque e tornou os riscos de tecnologia inseparáveis dos riscos corporativos. Proteger sistemas continuará sendo essencial, mas já não será suficiente. O CISO deverá compreender como uma falha de segurança pode afetar receita, reputação, operações, contratos e confiança do mercado.
De especialista técnico a líder de negócios
O CISO de 2029 precisará traduzir ameaças complexas em consequências concretas para a empresa. Em vez de apresentar apenas indicadores como quantidade de vulnerabilidades ou alertas detectados, deverá explicar quais cenários podem interromper serviços, comprometer dados, atrasar lançamentos ou gerar perdas financeiras.
Essa capacidade de comunicação será decisiva para conquistar espaço junto ao CEO, ao conselho de administração e às demais áreas executivas. Um líder de segurança eficaz deverá participar desde o início de projetos estratégicos, e não ser chamado apenas na etapa final para avaliar se uma solução pode ser aprovada.
Goerlich afirma que essa mudança já está em andamento. Em sua atuação, recebeu a missão de estruturar uma equipe de inovação formada por profissionais de arquitetura, engenharia e segurança. A iniciativa reflete uma percepção crescente entre CEOs e conselhos: quando a segurança participa da liderança de novos projetos, pode acelerar a inovação em vez de apenas impor restrições.
Até 2029, alguns CISOs poderão assumir também responsabilidades por riscos corporativos mais amplos, incluindo dependência de fornecedores, continuidade de negócios, privacidade, riscos operacionais e resiliência organizacional. Essa evolução, contudo, não ocorrerá de maneira igual em todos os setores. Empresas menores ou mais tradicionais talvez mantenham uma liderança concentrada na proteção técnica, enquanto grandes grupos digitais poderão criar posições com alcance empresarial.
Diana Kelley, CISO da Noma Security, identifica movimento semelhante. Para ela, os profissionais estão deixando de ser associados exclusivamente à defesa tecnológica e à conformidade para atuar como facilitadores da estratégia. A função passa a envolver a construção de resiliência, ou seja, a capacidade de resistir a incidentes, manter serviços essenciais e recuperar-se rapidamente após uma interrupção.
A inteligência artificial muda as prioridades
A inteligência artificial será um dos principais fatores de transformação do trabalho do CISO. O executivo deverá avaliar tanto os riscos de uso interno da tecnologia quanto as ameaças criadas por criminosos que utilizam IA para automatizar ataques, produzir códigos maliciosos, aperfeiçoar golpes e acelerar campanhas de fraude.
Esse desafio exigirá conhecimento técnico suficiente para questionar decisões de arquitetura, entender como modelos são treinados e implantados e avaliar os controles aplicados a dados, APIs, aplicações e infraestrutura. O CISO não precisará operar diretamente cada sistema, mas deverá compreender seu funcionamento para definir regras de governança e proteção adequadas.
Também será necessário lidar com riscos específicos, como vazamento de informações em ferramentas públicas, respostas incorretas geradas por modelos, manipulação de dados de treinamento, ataques de prompt injection e decisões automatizadas sem supervisão adequada. A segurança da IA dependerá da combinação entre controles tecnológicos, políticas internas, testes contínuos e responsabilidade claramente distribuída.
Kelley considera possível que algumas organizações adotem dois perfis distintos de liderança. Um profissional ficaria concentrado nas defesas tecnológicas, na arquitetura e nas operações de segurança, enquanto outro cuidaria de riscos, confiança, conformidade e resiliência. Essa divisão poderia surgir principalmente em empresas grandes, nas quais a complexidade da operação exige especializações diferentes.
Novos títulos e responsabilidades
Edna Conway, ex-CSO e ex-chief security and risk officer da infraestrutura do Azure na Microsoft, defende que o CISO amplie sua visão para além dos riscos tradicionais de segurança da informação. Nesse modelo, cargos como chief security and trust officer ou chief security and risk officer poderiam se tornar mais frequentes.
A adoção desses títulos não é garantida até 2029, mas o debate revela uma mudança importante: segurança, confiança e risco empresarial estão cada vez mais conectados. O profissional que ocupar essas posições poderá responder por temas como proteção de dados, integridade de produtos digitais, segurança da cadeia de fornecimento, identidade, privacidade e continuidade operacional.
A nomenclatura, porém, será menos importante do que a autoridade real do cargo. Um título estratégico não produzirá resultados se o líder não tiver orçamento, acesso à alta administração e autonomia para influenciar decisões. O fortalecimento da função dependerá da integração entre responsabilidade e poder de atuação.
Um ambiente mais rápido e imprevisível
Ali Waezzadah, CISO da iCOUNTER, destaca que mudanças na infraestrutura de TI, na geopolítica, na economia, na regulamentação e nas estratégias empresariais estão tornando o ambiente muito mais dinâmico. As organizações lançam tecnologias em ritmo acelerado, enquanto os invasores desenvolvem novas técnicas de exploração com a mesma rapidez.
Por isso, o CISO do futuro terá de acompanhar simultaneamente tendências tecnológicas, alterações legais, movimentos de mercado e mudanças no comportamento dos adversários. Planejamentos rígidos e avaliações realizadas apenas uma vez por ano tendem a perder espaço para monitoramento contínuo e ajustes frequentes.
A agilidade não significará agir sem critérios. O desafio será criar processos capazes de responder rapidamente sem abrir mão de controles mínimos. Modelos de avaliação baseados em risco, automação de verificações e revisão constante de prioridades deverão fazer parte da rotina.
John White, field CISO da Torq, acredita que os departamentos de segurança precisarão trabalhar em velocidades maiores à medida que empresas e atacantes ampliarem o uso de IA. Agentes inteligentes poderão executar parte de tarefas como triagem de alertas, investigação inicial, correlação de eventos e aplicação de respostas padronizadas.
Mesmo assim, a participação humana continuará indispensável. Profissionais deverão supervisionar decisões automatizadas, revisar exceções, analisar situações ambíguas e responder por escolhas de alto impacto. A função do especialista poderá mudar de executor operacional para supervisor, estrategista e responsável pela qualidade dos processos automatizados.
Competências necessárias para o CISO de 2029
O líder de segurança do futuro precisará reunir competências variadas. Conhecimentos de arquitetura, nuvem, dados, identidade e inteligência artificial continuarão importantes, mas serão insuficientes isoladamente. Também será necessário dominar finanças, comunicação executiva, gestão de crises, negociação e análise de cenários.
Outra habilidade essencial será medir resultados. Conselhos e investidores desejarão saber se os recursos aplicados em segurança reduziram riscos relevantes e aumentaram a capacidade de recuperação. Métricas deverão relacionar controles de segurança a objetivos de negócio, evitando indicadores que mostrem apenas volume de atividades.
A formação das equipes também mudará. O CISO deverá atrair profissionais capazes de trabalhar com automação, análise de dados, privacidade, engenharia de software e riscos de terceiros. Ao mesmo tempo, terá de desenvolver talentos internos para reduzir a dependência de especialistas escassos no mercado.
Em 2029, a segurança provavelmente estará mais distribuída pela empresa. Áreas de desenvolvimento, produto, jurídico, recursos humanos e operações terão responsabilidades próprias, enquanto o CISO funcionará como coordenador de uma rede de proteção. O sucesso dependerá menos de uma equipe central capaz de controlar tudo e mais de uma cultura na qual cada área reconheça seu papel.
A transformação não eliminará o CISO técnico nem tornará todos os executivos responsáveis por riscos corporativos. Haverá diferentes modelos, definidos pelo tamanho da empresa, pelo setor, pelo nível de exposição e pela maturidade digital. A tendência geral, entretanto, é clara: o CISO deixará de ser apenas um guardião da infraestrutura e passará a participar diretamente da forma como a organização cresce, inova e administra incertezas.