O custo escondido de um vazamento de dados para a empresa

O custo de um vazamento de dados é quase sempre estimado errado, porque as estimativas públicas tratam o valor como a multa, e a multa costuma ser a menor parte.

O primeiro custo é operacional e é imediato. Cada titular afetado que entra em contato gera atendimento, e o volume de contatos depende do que foi exposto. Cadastro com nome, e-mail e telefone de cinco mil pessoas gera um volume de contato que uma equipe de suporte não estava preparada para absorver. A empresa que já tem o call center estruturado para receber esse volume entrega a resposta no mesmo dia. A que não tem, descobre que tem, e a diferença entre as duas é o que separa o incidente de uma semana do incidente de um trimestre.

O segundo custo é jurídico, e cresce com o tempo. A notificação à autoridade, o atendimento aos titulares, a análise de qual base legal foi usada para cada campo, a verificação de contrato com fornecedor, a eventual ação judicial. E o custo jurídico não para quando o vazamento para, porque o processo administrativo tem prazo.

O terceiro é comercial, e é o que a empresa costuma não poner na planilha. Cliente que tem dado vazado adia a compra, pede garantias, muda de fornecedor. Vendedor que perde a confiança leva a pipeline inteiro com ele, porque a decisão passa a ser da área de risco, e não mais da área técnica.

O quarto é o custo de confiança interna, e é o que mais derruba a produtividade. Depois de um incidente, todo pedido de acesso vira uma nova discussão, todo acesso novo demora, e a equipe de tecnologia passa a ser vistas como o área que não fecha as coisas. Esse efeito dura muito mais que o incidente.

Ali, uma observação que contraria a intuição: o custo de evitar o incidente é menor do que o custo de gerir o incidente, e a diferença é de ordem de grandeza. Monitorar exposição, manter inventário e ter a pasta de resposta pronta custa horas. Um vazimento grande, mal gerido, custa meses.