CISO

Vazamento, ransomware e ataque de cadeia de suprimentos passaram a custar dezenas a centenas de milhões em recuperação, multa e queda de ação. O risco cibernético subiu para o conselho de administração e demanda responsável formal pela mitigação.

LGPD, Resolução 4.893 do BACEN, regras da CVM, ANPD e SUSEP impuseram requisitos de gestão de risco cibernético, reporte de incidente e responsabilização. Empresa regulada sem CISO ou equivalente formal opera no descumprimento.

Soma rara de domínio técnico, leitura de regulação setorial e fluência executiva. O mercado se ressente: oferta cresce, mas perfil que conversa com board ainda é minoria, e isso sustenta o prêmio salarial mesmo em ciclo de corte.

Banco, seguradora, telecom, energia, plataforma digital de grande porte e setor público regulado pagam acima da média. É onde o pacote total chega aos patamares mais altos da tecnologia no Brasil.

CISO em empresa média do varejo, indústria leve ou serviço sem regulação setorial pesada. Cargo frequentemente acumulado com gerência de TI, pacote total entre salário e bônus modesto. É o degrau de entrada para quem vai de gerente de segurança a CISO formal.

CISO dedicado em grande varejo, indústria pesada, agronegócio, mineração ou prestador de serviço de grande porte. Equipe estruturada, orçamento próprio, bônus alinhado a metas anuais e plano de carreira interno. O patamar onde o cargo já é executivo de fato.

Banco, seguradora, telecom, energia, big tech, marketplace, fintech licenciada. Cargo de diretoria com pacote total composto por salário, bônus relevante e participação de longo prazo. É onde o CISO passa a responder direto ao CEO ou ao board.

CISO de grande banco brasileiro, de seguradora nacional ou de companhia listada com obrigação regulatória pesada. Pacote total passa de R$ 200 mil ao mês, com forte componente de bônus e ações. Mobilidade alta inclusive para o exterior.

Profissional sênior que atende como CISO de várias empresas médias ao mesmo tempo, via boutique de consultoria ou firma própria. Fee mensal por contrato, com cinco a dez clientes em geral. Modelo que multiplica a renda do sênior que ainda não chegou a diretoria de grande empresa.

Salário com desconto de INSS limitado ao teto, IR na tabela progressiva e pacote que inclui plano de saúde executivo, previdência privada com contrapartida, bônus anual e ações ou opções em multinacional e em empresa listada. O líquido sobre o bruto cai, mas o pacote total não tem paralelo no PJ.

Boutique de consultoria e firma própria do vCISO operam como PJ. A consultoria em segurança da informação enquadra-se em geral no Anexo III do Simples (alíquota inicial em torno de 6%) quando o Fator R se cumpre (pró-labore de ao menos 28% do faturamento). Acima disso, calibrar a folha vira o ponto que define dois dígitos percentuais de líquido.

Acima do teto do Simples (R$ 4,8 milhões anuais), a PJ migra para Lucro Presumido, com tributação efetiva próxima de 13,33% a 16,33% no serviço. Modelo natural para boutique de vCISO consolidada e para consultoria de grande porte. Pede planejamento contábil próprio.

CISO como executivo responde administrativamente e, em alguns cenários, penalmente. A maioria das empresas reguladas mantém seguro D&O (Directors and Officers) para diretoria, que cobre defesa em processo decorrente do exercício do cargo. Aceitar cargo de CISO sem esse seguro é assumir risco pessoal alto.

Base técnica obrigatória. Anos em time de segurança defensiva, ofensiva (red team), engenharia de SOC, gestão de identidade e resposta a incidente. Forma o vocabulário técnico que o CISO precisa dominar para liderar o time e contratar fornecedor com critério.

Passa a coordenar equipe de segurança e orçamento próprio, define política e responde por programa de segurança. Degrau onde se aprende a dialogar com TI, jurídico, RH e auditoria. Tempo aqui pesa muito mais que titulação extra na hora do salto.

Atravessar consultoria de cibersegurança ou auditoria de TI em Big Four acelera o leque de setor visto, padroniza a linguagem de risco e dá fluência em ISO 27001, NIST e regulação. Reduz o tempo até CISO em vários anos.

O cargo de DPO e a área de governança, risco e compliance (GRC) viraram porta lateral para CISO em empresa onde compliance pesa mais que tecnologia profunda. Caminho mais curto para CISO em setor regulado, com risco de ficar afastado da técnica.

Em grande empresa, o cargo de CISO adjunto ou de deputy CISO é o último degrau antes do próprio. Lidera frentes do programa, substitui o CISO em comitês e prepara o salto. Quem assume essa posição em multinacional vira candidato natural a CISO global.

A primeira nomeação tende a vir em empresa média ou em fintech, com pacote menor que o de grande empresa, mas com escopo amplo. Funciona como degrau para mover ao banco, à seguradora ou à grande plataforma digital, onde o pacote final é construído.

Resolução 4.893 do BACEN exige programa formal de cibersegurança e reporte de incidente. Grande banco mantém CISO de diretoria com pacote total no topo. Caminho natural para quem vem de consultoria de Big Four ou de cargos seniores em outro banco.

SUSEP regula gestão de risco e segurança da informação no setor segurador. Vazamento de dado sensível de saúde, vida e patrimônio é risco direto à licença. Pacote alinhado ao banco e mobilidade frequente entre os dois setores.

ANATEL e ANEEL impõem requisitos de cibersegurança a infraestrutura crítica, e o setor é alvo regular de ataque de Estado e de ransomware. CISO de operadora e de concessionária de energia tem pacote alto e visibilidade política.

Plataforma digital de grande porte concentra dado pessoal de milhões de usuários e tem risco reputacional imediato em qualquer incidente. Carrega mais valor em ações e opções no pacote do CISO, com pacote total que pode passar grande banco em momento de alta.

Operadora de plano de saúde, hospital de rede e laboratório de grande porte tratam dado sensível e estão sob LGPD reforçada e ANS. CISO ainda menos comum que em banco, com prêmio para quem entende compliance setorial.

Empresa estatal, autarquia e órgão público de grande porte criaram função formal de cibersegurança após incidentes recentes e exigência da CGU. Pacote menor que o privado, com estabilidade e visibilidade política.

Lei 13.709 fixou base legal de tratamento de dado pessoal, obrigou figura do encarregado (DPO) e criou multa que pode chegar a 2% do faturamento. A ANPD fiscaliza e já aplicou penalidades. O CISO geralmente apoia ou acumula o papel de DPO em empresa média.

Impôs a instituições financeiras programa formal de cibersegurança, política de incidente, contratação de provedor de nuvem com requisito específico e reporte de evento ao BACEN. Define grande parte do escopo do CISO de banco.

Companhia de capital aberto deve incluir risco cibernético na gestão de risco da empresa e reportar incidente material. Aumenta a responsabilidade do CISO frente ao conselho de administração e ao mercado.

Norma internacional para sistema de gestão de segurança da informação. Certificação dá previsibilidade ao programa, abre porta em contrato B2B e em setor público. O CISO da empresa certificada lidera o ciclo de manutenção e auditoria externa.

Framework do NIST organiza o programa em funções (identificar, proteger, detectar, responder, recuperar) e virou a linguagem padrão para a apresentação de programa ao board e a auditor. Quem fala NIST com fluência comunica risco a executivo sem virar palestra técnica.

ANS na saúde, ANATEL em telecom, ANEEL em energia, ANP em óleo e gás, BACEN e CVM no financeiro, ANPD para dado pessoal. O CISO precisa dominar a regulação do próprio setor, e migrar de setor pede curva de aprendizado relevante.

Em pacote executivo, a empresa contribui para PGBL na proporção do aporte do executivo, frequentemente 1:1 até certo limite. É dinheiro deixado na mesa por quem não adere. PGBL deduz até 12% da renda bruta tributável no IRPF.

Quem tem pacote alto em ações da empresa concentra risco perigosamente. A regra de risco patrimonial é não ter mais de 10% a 20% do patrimônio na própria empregadora, vendendo ações vested para diversificar em ETF e em ativos descorrelacionados.

Tesouro RendA+ acumula corrigido por IPCA+ e paga renda mensal por 20 anos. Compõe a base de previsibilidade da aposentadoria do executivo, complementada por título indexado à inflação e CDB de longo prazo de banco grande.

Diversificação geográfica via ETF internacional (S&P 500, mundo desenvolvido, mercado emergente) reduz risco país. Quem ganha em real e mora no Brasil precisa de exposição internacional para preservar poder de compra na aposentadoria.

No patamar de CISO de diretoria, o patrimônio acumulado em poucos anos passa de oito dígitos e a complexidade exige consultoria de investimento independente ou family office. Contratar antes de o patrimônio crescer é mais barato do que corrigir depois.

Phishing personalizado em escala, deepfake de voz, geração automática de exploit e engenharia social acelerada por IA já estão no campo. A defesa também usa IA para detecção e resposta, mas o desbalanço inicial favorece o atacante. CISO precisa redesenhar programa para essa realidade.

Ataques recentes contra fornecedor de software e provedor de serviço comprometeram milhares de empresas por uma porta. A gestão de risco de terceiro é hoje área tão grande quanto a segurança interna em empresa madura.

Migração para nuvem deslocou parte da segurança para fora do perímetro tradicional e impôs domínio profundo de configuração de AWS, Azure e GCP. CISO sem fluência em modelo de responsabilidade compartilhada e em CSPM perde a operação.

A computação quântica ameaça parte dos algoritmos de criptografia usados hoje. NIST padronizou os primeiros algoritmos pós-quânticos. Empresa regulada começa a planejar transição, e CISO precisa entender o cronograma para evitar dívida criptográfica que vai vencer.