Como será o papel do CISO em 2029: mais estratégia, IA e gestão de riscos

O papel do Chief Information Security Officer (CISO) deve passar por uma transformação significativa nos próximos anos. Até 2029, executivos de segurança tendem a assumir responsabilidades mais amplas sobre riscos corporativos, inteligência artificial e inovação, deixando de atuar apenas como responsáveis pela defesa tecnológica para participar diretamente das decisões estratégicas das organizações.

Wolfgang Goerlich, CISO do setor público e membro do corpo docente da IANS Research, acredita que esses profissionais serão cada vez mais responsáveis por orientar empresas sobre como assumir riscos tecnológicos de maneira calculada, incluindo aqueles relacionados à adoção de IA.

Para Goerlich, essa mudança representa mais uma etapa na evolução de uma função que existe desde 1995. O CISO deixou de representar o chamado “departamento do não”, passou pela fase de tentar desacelerar iniciativas consideradas arriscadas e agora começa a assumir uma posição na qual ajuda a organização a entender e administrar riscos para avançar com novos projetos.

Essa perspectiva também aparece em um relatório da KPMG de 2026, segundo o qual o papel do CISO está sendo redefinido à medida que plataformas digitais, inteligência artificial e ecossistemas de terceiros aceleram as mudanças tecnológicas. Além de proteger os ambientes corporativos, os líderes de segurança passam a responder cada vez mais por riscos em nível empresarial.

Nesse cenário, o CISO deve evoluir de um especialista predominantemente técnico para um líder capaz de traduzir ameaças complexas em riscos e impactos para os negócios. A expectativa é que ele funcione como um facilitador da inovação segura, permitindo que empresas adotem novas tecnologias com maior velocidade sem ignorar os riscos envolvidos.

Goerlich afirma que essa transformação já está acontecendo. Em sua atuação atual, ele recebeu a responsabilidade de estruturar uma equipe de inovação formada por profissionais de arquitetura, engenharia e segurança. Segundo ele, CEOs e conselhos de administração começam a perceber que envolver segurança na liderança das iniciativas pode acelerar a inovação, em vez de simplesmente criar obstáculos.

Até 2029, alguns CISOs também poderão assumir responsabilidades sobre riscos corporativos de maneira mais ampla, além dos riscos estritamente cibernéticos. Essa evolução, entretanto, não deverá ocorrer de forma uniforme: algumas organizações continuarão mantendo CISOs mais técnicos e operacionais, enquanto outras ampliarão sua participação nas decisões estratégicas.

Diana Kelley, CISO da Noma Security, observa uma mudança semelhante. Para ela, os CISOs estão deixando de atuar principalmente como responsáveis por defesa e conformidade para se tornarem facilitadores da estratégia empresarial, ajudando a aumentar a resiliência das organizações.

Ao mesmo tempo, o avanço da IA exigirá conhecimento técnico suficiente para questionar decisões de arquitetura e compreender como novas tecnologias estão sendo implementadas. Isso não significa que o CISO precisará atuar diretamente na operação dos sistemas, mas deverá ser capaz de avaliar tecnicamente como aplicações e infraestruturas podem ser governadas e protegidas durante sua execução.

Kelley considera ainda a possibilidade de organizações adotarem dois perfis diferentes de liderança em segurança: um mais concentrado nas defesas tecnológicas e outro dedicado a risco e resiliência.

A ampliação das responsabilidades também pode alterar os próprios cargos. Edna Conway, ex-CSO e ex-chief security and risk officer da infraestrutura do Azure na Microsoft, defende que CISOs avancem além dos riscos de segurança da informação e assumam uma visão de risco empresarial. Nesse modelo, títulos como chief security and trust officer ou chief security and risk officer poderiam se tornar mais comuns, embora Conway não tenha certeza de que essa transformação estará consolidada já em 2029.

Outro fator será a velocidade das mudanças. Ali Waezzadah, CISO da iCOUNTER, aponta que transformações na infraestrutura de TI, geopolítica, economia, regulamentação e estratégias corporativas estão tornando o ambiente cada vez mais dinâmico. Novas tecnologias são implantadas mais rapidamente, enquanto invasores desenvolvem continuamente novas técnicas.

Isso exigirá líderes mais ágeis e flexíveis, capazes de acompanhar simultaneamente mudanças tecnológicas, regulatórias e empresariais. Até 2029, segundo Waezzadah, os CISOs terão mais elementos para monitorar e um ambiente de proteção muito mais dinâmico.

A inteligência artificial deverá acelerar ainda mais essa transformação. John White, field CISO da Torq, acredita que os departamentos de segurança precisarão operar em velocidades maiores à medida que empresas e adversários ampliem o uso de IA.

Nesse modelo, agentes de IA poderão executar parte das atividades enquanto profissionais humanos definem objetivos, supervisionam operações e tomam decisões. O CISO passaria a administrar equipes compostas por pessoas e sistemas automatizados, aproximando a segurança de um modelo orientado a produtos e resultados empresariais.

Andrew Obadiaru, CISO da Cobalt, também prevê que o cargo será mais empresarial do que técnico até 2029. Entre as principais responsabilidades estarão permitir a adoção segura de IA, administrar riscos da cadeia de fornecimento de software e validar continuamente a postura de segurança da organização.

Para Obadiaru, três prioridades devem ganhar destaque: validação contínua da exposição da empresa, adoção segura de IA e aceleração da correção de vulnerabilidades e outros riscos identificados.

Com ataques e descobertas de vulnerabilidades acontecendo cada vez mais rapidamente, CISOs também deverão dedicar menos tempo à análise individual de achados técnicos e mais à criação de processos automatizados de decisão, práticas de engenharia resilientes e modelos de governança capazes de responder na velocidade das máquinas.

Apesar das transformações, a missão central permanece: compreender riscos, comunicá-los de maneira eficiente e ajudar a organização a tomar decisões informadas para preservar sua capacidade de operar. Tecnologias e modelos de segurança podem mudar, mas liderança, confiança, julgamento e comunicação continuarão sendo competências essenciais para o CISO.