Decidir pela compra de uma solução de segurança da informação é uma tarefa complexa. Sempre surgem novas tendências, novos produtos e novas promessas de proteção da sua empresa contra todos os tipos de ameaças do momento e do futuro.
O que temos visto hoje nas grandes e médias empresas é o desembolso em soluções de segurança que custam milhões, mas não cumprem suas promessas de retorno do investimento (ROI), sequer permitem obter visibilidade da efetividade e evolução na maturidade do controle que se propõe.
O fato é que a natureza dos problemas relacionados à segurança da informação de ontem, de hoje e de amanhã é a mesma e deve assim permanecer: pessoas, processos e tecnologia. Ao ignorar pessoas e, principalmente, o estabelecimento de processos antes de buscar a solução de segurança adequada ao problema que se pretende solucionar, a “solução” se torna apenas mais um item do complexo ambiente de TI, e fornece apenas uma falsa sensação de segurança, ou seja, um pesadelo.
Confira a seguir alguns aspectos importantes que podem agregar valor à sua estratégia e oferecer o melhor retorno de investimento antes de buscar sua próxima solução de segurança.
Faça um diagnóstico de segurança
Assim como vamos ao médico para obter um diagnóstico e tomar o remédio certo quando estamos doentes, a segurança da informação também requer esse procedimento para tomar as decisões de compras adequadas.
Executar um diagnóstico de segurança, modelagem de ameaça ou análise de gap e maturidade, relacionando ao contexto do negócio, não é apenas um conselho, mas uma prática essencial. Sem conhecer as ameaças e riscos técnicos no âmbito da TI que podem impactar seus processos de negócio, é impossível investir nos produtos certos para mitigar riscos.
É importante basear o investimento em necessidades conhecidas, que tenham sido diagnosticadas, e correspondam aos requisitos do negócio. Soluções de segurança só funcionam quando você sabe exatamente para que servem, o que devem proteger e de quem.
Também é importante considerar regulamentações e padrões de mercado que seu negócio precisa cumprir. Sejam dados pessoais, números de cartões de crédito ou propriedade intelectual, cada dado precisa de proteção específica.
Pense na capacidade de execução
Muito além de tecnologias, a segurança da informação depende de todos os funcionários da empresa e, principalmente, dos profissionais capacitados que vão operar as soluções e tirar o máximo retorno possível. Portanto, é importante entender a curva de aprendizado para uso do produto e garantir que as equipes de TI e segurança da informação tenham as habilidades necessárias para lidar com a nova solução de segurança.
Com a transformação digital, empresas introduzem novas tecnologias diariamente. Logo, ao buscar uma solução de segurança, avalie como ela cresce com sua necessidade, sua demanda por investimentos em novos módulos, e a facilidade de uso. Considere também o turnover da equipe e invista em treinamentos pontuais periódicos. Assim, é possível determinar o custo total de aquisição ao longo de 3 anos, avaliar alternativas de outras soluções, e até mesmo a terceirização dos processos de segurança.
Conte com uma plataforma de gestão de segurança
Segurança da informação é baseada em processos críticos, como a gestão de vulnerabilidades, gestão e resposta à incidentes e gestão de configuração, que por sua vez são viabilizados por soluções de segurança.
De nada adianta investir na compra de dezenas de soluções que não se comunicam, ou que vão exigir um amplo esforço da equipe de segurança para operar, gerenciar, extrair dados em diferentes formatos e consolidar manualmente em um relatório de métricas e indicadores.
Diante de ambientes de TI cada vez mais complexos e com múltiplas tecnologias, investir na orquestração e automação de processos para a gestão de segurança é importante para garantir o sucesso das operações. O Gartner introduziu no início deste ano uma nova tendência em plataformas de gestão de segurança, que viabilizam a operação, indicadores e relatórios de segurança (SOAR).
Ao integrar múltiplas soluções de segurança, as empresas obtêm uma visão integrada do estado dos controles de segurança, e entendem quais são as medidas que devem ser priorizadas para garantir a integridade e a continuidade do negócio. Como resultado, é possível melhorar a efetividade dos controles, aumentar a produtividade das equipes e ter visibilidade do retorno sobre o investimento.
*Leonardo Militelli, CEO da iBLISS
