Por Silvio Hayashi*
Se amanhã sua organização sofrer um grande ataque cibernético, qual será a primeira pergunta do Board?
Provavelmente não será “qual era nossa nota de maturidade em Segurança?”. Será algo muito mais simples: “Quanto tempo levaremos para voltar a operar?”
Além da Maturidade
A maturidade não me dizia se o negócio sobreviveria. Durante muitos anos, considerei a maturidade o principal indicador da evolução de um programa de segurança. E havia bons motivos para isso. Ela ajuda a organizar iniciativas, orientar equipes, acompanhar a evolução e comunicar ao Board que estamos avançando.
O problema nunca foi a maturidade. O problema era a pergunta que estávamos tentando responder com ela. Quando acontece um incidente relevante, ninguém pergunta por que a maturidade era 2,8 e não 3,2. A pergunta muda completamente:
“Se estávamos tão preparados, por que isso aconteceu?”
Foi quando percebi que maturidade e efetividade não são sinônimos. Uma organização pode possuir processos maduros, controles bem definidos e excelente governança e, ainda assim, não conseguir recuperar sua operação dentro do tempo que o negócio suporta.
Foi nesse momento que deixei de discutir apenas a evolução dos controles e passei a discutir algo diferente. A capacidade de o negócio sobreviver. Continuo acreditando na importância dos modelos de maturidade. Mas eles deixaram de ser a primeira pergunta que faço. Hoje, a pergunta é outra:
“Se amanhã enfrentarmos nosso pior incidente, o negócio sobreviverá?”
Talvez essa seja uma das conversas mais importantes que um CISO possa ter com seu Board.
Esta é a primeira reflexão da série “Além da Maturidade“. No próximo artigo, quero compartilhar por que o risco que parecia maior nem sempre era o mais importante.
*Silvio Hayashi é CISO da RUMO ALL
