Implantar uma nova plataforma de gestão de vulnerabilidades em 210 mil ativos sem interromper a operação já seria um desafio relevante por si só. No entanto, o case apresentado pelo Itaú Unibanco no ROCon LATAM 2026 mostrou que a verdadeira complexidade esteve na capacidade de transformar visibilidade em gestão efetiva de risco: ao longo de um ano de transição tecnológica, a instituição manteve todos os seus controles existentes operando normalmente, garantindo a continuidade da rotina sem qualquer impacto para auditorias, indicadores ou reportes regulatórios.
Mais do que uma troca de plataforma, a iniciativa exigiu uma revisão na forma como vulnerabilidades, conformidade e priorização são tratadas na organização. “Nunca se tratou da implantação de uma ferramenta, mas sim da evolução da nossa musculatura cibernética, uma nova capacidade”, resumiu Amanda Paixão, coordenadora de Segurança da Informação do Itaú Unibanco.
A afirmação ajuda a explicar por que a escala da implementação não pode ser medida apenas pelo volume de ativos cobertos. Em ambientes dessa magnitude, instalar agentes é somente a primeira etapa. O verdadeiro desafio é garantir a qualidade dos dados, a governança e a capacidade operacional para atuar sobre as informações geradas.
Por isso, a implantação da tecnologia da Qualys foi conduzida em ondas, envolvendo equipes de Segurança da Informação, tecnologia e os donos dos ativos monitorados. O objetivo não era apenas ampliar a cobertura, mas assegurar que os dados produzidos fossem efetivamente incorporados à rotina operacional.
Segundo Ineida Ribeiro, Gerente de Segurança da Informação do Itaú Unibanco, consistência e sustentabilidade tiveram mais peso do que a velocidade durante a jornada. “O número é importante, mas a preocupação sempre foi fazer uma implementação sustentável, sem retrabalho e sem criar problemas para o futuro”, afirmou.
Visibilidade contínua e foco no risco
Mais do que um projeto de implementação, o case evidencia uma mudança que vem ganhando espaço na gestão de Ciberameaças: a transição de uma abordagem focada apenas na identificação de falhas para um modelo orientado por risco. Nesse cenário, o valor não está em apenas descobrir vulnerabilidades, mas em entender quais delas exigem atenção prioritária.
A combinação entre VMDR e Policy Compliance contribuiu diretamente para esse movimento. Vulnerabilidades e conformidade passaram a ser analisadas de forma integrada, oferecendo uma visão mais ampla da exposição da organização. Na prática, a priorização deixou de considerar apenas a severidade técnica de uma falha e passou a incorporar a criticidade dos ativos, o contexto do negócio e o nível real de exposição.
Outro ganho foi a atualização mais frequente das informações. Com agentes se comunicando regularmente com a plataforma, o banco reduziu a dependência exclusiva dos ciclos tradicionais de varredura e passou a ter uma visão contínua da evolução do risco.
O projeto do Itaú Unibanco com a Qualys também reforçou uma conclusão recorrente em iniciativas de segurança em larga escala: a tecnologia amplia a capacidade de observação, mas não substitui processos. “A ferramenta sozinha não faz nada. A gente precisa efetivamente transformar o processo e trabalhar essa complexidade”, destacou Ineida.
Para Anderson Avelar, Business Development Manager da Agility, essa é justamente a diferença entre implementar uma solução e gerar resultados consistentes. “A ferramenta é habilitadora. O resto vira execução”, conclui o executivo.
