Segurança não pode ser um botão escondido: o que o fim da criptografia no Instagram ensina sobre cultura de proteção de dados.

Durante anos, a segurança da informação foi tratada, em muitos ambientes, como uma questão predominantemente tecnológica.

Firewalls, antivírus, autenticação multifator, criptografia, ferramentas de monitoramento e controles de acesso passaram a fazer parte da estrutura de proteção das organizações.

Mas existe uma pergunta que continua sendo fundamental:

De que adianta uma proteção tecnicamente eficiente se as pessoas não a utilizam?

Uma decisão recente da Meta envolvendo o Instagram ajuda a ilustrar exatamente esse desafio.

Por que a Meta retirou a criptografia ponta a ponta opcional do Instagram?

Em março de 2026, a Meta informou que removeria, nos meses seguintes, a opção de criptografia ponta a ponta para conversas nas DMs do Instagram.

Segundo a própria empresa, poucas pessoas estavam optando por utilizar a criptografia ponta a ponta nas mensagens diretas. Por isso, a funcionalidade opcional seria descontinuada.

A Meta havia testado a criptografia ponta a ponta opcional no Instagram, permitindo que determinados usuários ativassem a proteção para suas conversas. A proposta era aumentar a privacidade das comunicações, mas dependia de uma ação deliberada do usuário.

E é justamente aí que está a principal reflexão para as empresas.

Uma proteção que depende de uma decisão manual, pouco compreendida ou considerada inconveniente pode ter uma adesão muito menor do que a esperada.

Esse cenário não é exclusivo das redes sociais. Ele aparece diariamente nas organizações.

Quando a segurança depende da iniciativa do usuário

Imagine uma empresa que disponibiliza uma VPN para acesso remoto, mas o processo de conexão é demorado.

Ou uma organização que possui um botão para denunciar phishing, mas o colaborador precisa passar por diversas etapas até conseguir registrar a ocorrência.

Ou ainda uma política que determina o uso de autenticação multifator, mas a configuração exige procedimentos complexos que não fazem parte naturalmente da rotina do usuário.

A tecnologia pode estar disponível.

O controle pode existir.

A política pode estar documentada.

Mas, se a experiência for difícil, existe uma tendência de as pessoas procurarem caminhos mais simples para realizar suas atividades.

É nesse ponto que cultura de segurança e tecnologia precisam caminhar juntas.

Security by Design e Security by Default precisam fazer parte da estratégia

Existe uma diferença importante entre oferecer segurança e projetar uma experiência segura.

No primeiro cenário, a empresa disponibiliza o recurso e espera que o usuário faça a escolha correta.

No segundo, a organização estrutura seus processos e sistemas para que a opção mais segura seja também a mais simples.

Esse é o princípio por trás de conceitos como Security by Design e Security by Default.

A lógica é incorporar segurança desde o desenvolvimento de processos, produtos e sistemas, reduzindo a dependência de decisões individuais.

Um exemplo simples:

Em vez de depender exclusivamente da conscientização para que um colaborador não envie um documento sensível para um endereço externo, uma organização pode combinar:

• classificação da informação;

• regras de prevenção contra perda de dados;

• restrições de compartilhamento;

• alertas automáticos;

• aprovação para determinados tipos de transferência;

• treinamento dos colaboradores.

  
  

A conscientização continua sendo importante.

Mas ela deixa de ser a única barreira de proteção.

Esse é um ponto essencial: cultura de segurança não significa transferir toda a responsabilidade para o usuário.

A empresa também precisa construir um ambiente que favoreça comportamentos seguros.

Ferramentas de segurança sem conscientização podem perder efetividade

Existe também o problema inverso.

Uma organização pode investir em ferramentas sofisticadas, mas não explicar adequadamente aos colaboradores:

Por que esse controle existe?

Um funcionário pode receber uma nova política de senha, uma solução de MFA ou uma ferramenta de classificação de documentos sem entender qual risco está sendo tratado.

Nesse contexto, a medida de segurança pode ser percebida simplesmente como mais uma obrigação burocrática.

Quando as pessoas compreendem o motivo de determinada proteção, a relação muda.

O treinamento deixa de ser apenas:

“Faça isso porque a política determina.”

E passa a ser:

“Faça isso porque este comportamento reduz determinado risco para você, para seus colegas e para a organização.”

Essa diferença é fundamental para construir uma cultura de segurança consistente.

Segurança não pode depender apenas do comportamento perfeito

Um dos maiores desafios da segurança da informação é reconhecer que pessoas podem errar.

Um colaborador pode:

• enviar um e-mail para o destinatário errado;

• abrir um anexo sem perceber um sinal de alerta;

• compartilhar um arquivo com permissões inadequadas;

• reutilizar uma senha;

• esquecer de bloquear a tela;

• utilizar uma ferramenta de maneira incorreta.

  
  

Uma estratégia madura não parte da premissa de que esses erros nunca acontecerão.

Ela procura reduzir a probabilidade e o impacto desses erros.

Por isso, a combinação entre tecnologia, processos e conscientização é tão importante.

A tecnologia cria barreiras.

Os processos estabelecem regras e responsabilidades.

A conscientização ajuda as pessoas a reconhecer riscos e tomar decisões melhores.

E o que isso tem a ver com LGPD?

A discussão também está diretamente relacionada à proteção de dados pessoais.

A LGPD estabelece princípios e obrigações relacionados ao tratamento de dados pessoais, enquanto a segurança da informação contribui para reduzir riscos de acessos não autorizados, perda, alteração, divulgação ou outros incidentes envolvendo essas informações.

Mas proteger dados pessoais não significa apenas instalar uma ferramenta.

É necessário compreender:

• Onde os dados estão?

• Quem acessa?

• Por que acessa?

• Como são compartilhados?

• Por quanto tempo permanecem armazenados?

• Quais controles existem para reduzir os riscos?

E, principalmente:

As pessoas que lidam com esses dados diariamente sabem como protegê-los?

É nesse ponto que privacidade e segurança deixam de ser apenas projetos de tecnologia e passam a fazer parte da operação da empresa.

A principal lição: segurança precisa estar no caminho, não escondida no menu

O caso do Instagram mostra uma questão importante sobre adoção de controles de segurança.

Uma proteção pode ser tecnicamente robusta, mas, se estiver escondida, for difícil de ativar ou não tiver seu propósito compreendido, sua efetividade prática pode ser limitada.

No ambiente corporativo, a lógica é semelhante.

Em vez de perguntar apenas:

“Temos uma ferramenta de segurança?”

As empresas deveriam perguntar:

“Essa proteção está realmente incorporada à forma como as pessoas trabalham?”

E mais:

“O processo seguro é também o processo mais simples?”

Se a resposta for não, talvez exista uma oportunidade de melhorar o desenho do controle.

A melhor segurança não é necessariamente aquela que exige que todos sejam especialistas em segurança. É aquela que cria condições para que as pessoas consigam trabalhar de forma segura.