Como organizar seu programa de cibersegurança

Os diretores de segurança da informação enfrentam um risco cibernético cada vez mais presente, não apenas em volume, mas também em complexidade e escopo. Os funcionários responsáveis pela cibersegurança não conseguem revisar (ou mesmo identificar) cada um deles, mas a perda de controle e visibilidade pode resultar em riscos inaceitáveis.

Enquanto isso, diretores executivos e outros executivos da empresa transferem o trabalho de tecnologia diretamente para funções de negócios, e um número cada vez maior de funcionários realiza o trabalho de tecnologia que envolve personalização, criação ou aquisição de soluções tecnológicas.

O volume e a complexidade das decisões de risco tomadas de forma distribuída na empresa agora superam as decisões tomadas pelos grupos centrais de TI e de cibersegurança.

A tendência de “centralizar para descentralizar” desponta como uma nova abordagem à governança da cibersegurança. Atualmente, a centralização de decisões reflete uma abordagem mais informada e escalável, enfatizando uma política flexível e centralizada, ao mesmo tempo que apoia a tomada de decisões locais.

Os padrões de controle são criados localmente, e a tomada de decisões locais oferece suporte a uma política governada centralmente.

Para que essa abordagem funcione, crie comitês diretores ou equipes de governança, risco e conformidade para a criação de políticas e processos que possibilitem que os responsáveis locais pelas decisões de risco façam as escolhas certas.

Caso pretenda responsabilizá-los, facilite a autonomia desses profissionais – eles devem ser capazes de agir para atender as suas expectativas.

Para alcançar critérios cibernéticos redimensionáveis, é essencial aplicar uma metodologia ágil em vez de uma metodologia em cascata (ou tradicional). A maioria das decisões e implementações de riscos cibernéticos são tomadas de forma distribuída por equipes de produtos ou unidades de negócios por meio de processos ágeis, não por processos em cascata e com etapas controlados de forma centralizada. 

Mudanças superficiais não serão suficientes; os programas de cibersegurança devem mudar fundamentalmente para apoiar novos modelos operacionais:

• Incorpore novas funções dentro de equipes locais e dispersas (diretores de segurança da informação empresarial, diretores locais de segurança da informação, campeões de segurança);

• Combine novas maneiras de trabalhar com novos processos (DevSecOps, modelos de nuvem vem em primeiro lugar);

• Crie processos escaláveis que aumentam seletivamente os conflitos, os riscos residuais excessivos e as solicitações de exceção para suporte prático na velocidade que o negócio precisa.

Quando o assunto é política, menos é mais. Os CISOs estão consolidando ou reduzindo (não expandindo) as políticas para que sejam mais fáceis de utilizar.  Ao colaborar com os usuários finais nas políticas, você concede controle e responsabilidade aos responsáveis por riscos e líderes de dados para aplicação de padrões e implementação de soluções que funcionem melhor para eles.

Em resumo, defina “o que” centralmente e resolva o “como” localmente.

Fazer parte da diretoria executiva significa que você pode iniciar mais mudanças e receber menos ordens. Mas primeiro, talvez seja preciso mudar a sua perspectiva de gestor de tecnologia para um ativador de negócios, responsável por influenciar com sucesso a tomada de decisões sobre os riscos.

Para demonstrar credibilidade, afaste-se das reuniões táticas e operacionais e prefira compromissos executivos mais estratégicos. Ademais, se você espera que a sua opinião seja ouvida na diretoria executiva:

• Livre-se das responsabilidades táticas e operacionais e aumente o envolvimento executivo. Considere delegar funções operacionais administrativas (como gestão de patches e administração de usuários) às equipes de TI e o treinamento de conscientização dos usuários ao departamento de treinamento de RH;

• Amplie seus horizontes entendendo o risco empresarial e as métricas do negócio. Não será possível influenciar as decisões caso não conheça a melhor forma de apresentar o seu plano. Antes de uma reunião com seus colegas executivos, procure mais informações sobre os desafios de investimento, financeiros e funcionais.
  
  Conheça as prioridades analisando os materiais produzidos pela empresa e por departamentos específicos (relatórios anuais, declarações de missão). Identifique pelo menos uma métrica alinhada aos objetivos estratégicos de cibersegurança para estabelecer uma correlação entre o risco, a métrica e as ações que a cibersegurança pode tomar para impactar as métricas de outros líderes;