Por Luiz FIrmino*
Os CISOs devem ter uma inteligência emocional aguçada para permitir que eles detectem rapidamente se seu público está fechado para sugestões ou possivelmente até hostil às mudanças sugeridas, ou necessárias. Um dos principais papéis do CISO é como tradutor de termos e ameaças relacionados à tecnologia para uma linguagem apropriada para seu público. Ao conversar com líderes empresariais, o CISO precisa ser capaz de se comunicar de forma clara e eficaz, na linguagem do negócio, por meio de explicações, metáforas ou auxílios visuais. Esse tipo de interação provavelmente aumentará à medida que os CISOs comunicam maneiras de reduzir os riscos cibernéticos a outros grupos.
Em última análise, a moeda do CISO é a confiança. Os CISOs devem ganhar a confiança do resto da equipe executiva e manter essa confiança. Por sua vez, executivos e conselhos têm que confiar que o CISO será um recipiente preciso através do qual seus desejos serão comunicados e executados. Tão importante quanto, eles têm que confiar que o CISO será honesto e transparente ao relatar a verdadeira postura de segurança da organização.
Em linha com o CISO como construtor de confiança, os CISOs também devem se mostrar pensadores estratégicos e aliados do negócio. Eles devem ser capazes de abraçar o bem maior, gerar ideias sólidas e implementá-las. Um grande CISO também deve ser alguém com os meios de negócios para incluir o panorama em todas as decisões ou, inversamente, para relacionar a conectividade de todas as decisões de segurança com o quadro geral em todas as comunicações.
À medida que o papel do CISO continua a evoluir em direção ao topo da esfera executiva, o CISO está sendo cada vez mais solicitado a servir em um papel de liderança ao longo da execução, influência, relacionamento e pensamento estratégico, capacidade de reconhecer dinâmicas interpessoais e aplicá-las na tomada de decisões, gestão de pessoas altamente eficaz e habilidades de construção de equipes, humildade e substância, habilidades eficazes de desenvolvimento de pessoas e a capacidade de impulsionar mudanças.
Assumir um papel mais estratégico exige que os CISOs girem a conversa — tanto em termos de mentalidade quanto de linguagem — de segurança e conformidade para se concentrar mais na estratégia e no gerenciamento de riscos. Indo além do aspecto negativo de quanto dano ou perda pode resultar do risco, os CISOs precisam entender o risco em termos de seu potencial para afetar positivamente a vantagem competitiva, o crescimento dos negócios e a expansão da receita e também atualizar o conselho sobre os riscos que os líderes empresariais decidiram aceitar e por quê, incluindo o contexto sobre o benefício do negócio.
Os CISOs continuam a desempenhar as funções vitais de gerenciar tecnologias de segurança e proteger ativos corporativos. Ao mesmo tempo, espera-se cada vez mais que eles se concentrem mais na definição da estratégia de segurança e no aconselhamento aos líderes de negócios sobre a importância da segurança.
O CISO como tecnólogo orienta o projeto, desenvolvimento e implantação de arquiteturas técnicas seguras, incutindo padrões de segurança e implementando contramedidas inovadoras. Os tecnólogos selecionam e implementam cuidadosamente plataformas que suportam soluções de detecção e monitoramento de ameaças em constante mudança e integram serviços fornecidos por fontes externas em uma estrutura perfeita. Os tecnólogos garantem que os projetos de arquitetura sejam flexíveis e extensíveis para atender às necessidades futuras de segurança e negócios. Eles desenvolvem e mantêm as políticas e padrões de segurança aos quais uma organização deve aderir, trabalhando com o CIO para garantir que as plataformas atendam a esses requisitos.
Como guardião, a responsabilidade do CISO é monitorar a eficácia do programa de segurança, processos e controles em vigor. O guardião aborda considerações como se os controles estão funcionando conforme o esperado, se os dados estão seguros e se as informações são compartilhadas corretamente. Os Guardiões monitoram processos que protegem a confidencialidade, a integridade e a disponibilidade dos dados e conduzem o programa de segurança geral. Eles também medem e relatam os riscos de segurança da informação para manter as partes interessadas informadas e atender aos requisitos de conformidade e regulamentação.
Como estrategista, o CISO é o principal arquiteto de valor para todos os investimentos de risco cibernético. O estrategista faz parceria com o negócio para alinhar as estratégias de negócios e segurança da informação e capturar o valor dos investimentos em segurança para proteger os ativos da empresa. Nessa função, o CISO possui profundo conhecimento de negócios e atua como um parceiro confiável que fornece conselhos centrados nos negócios sobre como o gerenciamento de riscos pode ajudar o negócio. O estrategista entende quais operações de negócios e ativos de informação são as joias da coroa da empresa, institui uma governança estratégica que prioriza os investimentos em segurança da informação e garante que a segurança e os recursos e orçamentos de negócios estejam totalmente alinhados para executar as prioridades da organização e entregar os resultados esperados.
O CISO como consultor entende as implicações de ameaças novas ou emergentes e ajuda a identificar os riscos cibernéticos que surgem à medida que a empresa avança em novas estratégias. O consultor orienta a empresa a melhorar continuamente seus recursos de tomada de decisões de segurança e mitigação de riscos. O consultor entende onde a organização precisa se concentrar para lidar com ameaças cibernéticas e cria um roteiro estratégico baseado em risco para alinhar os esforços de segurança cibernética com o apetite de risco corporativo. Os consultores possuem capital político significativo e são capazes de recrutar, educar, engajar e alinhar as partes interessadas executivas para aumentar a conscientização sobre segurança.
O plano de comunicação de um CISO deve estar diretamente alinhado com sua visão e objetivos, e deve transmitir como seria o sucesso para cada área funcional ou função executiva. As mensagens devem ser dimensionadas para todas as áreas da organização e ser integradas a outras mensagens comerciais e funcionais. As comunicações devem destacar o que é tendência em segurança, tanto dentro da organização quanto em outras empresas similares ou agências governamentais. A discussão dessas tendências deve ser adaptada para serem relevantes para os funcionários para ajudá-los a entender o impacto da tendência. Dicas de trabalho adicionais e lembretes sobre a responsabilidade dos funcionários em manter os dados seguros podem ajudar a levar a mensagem para casa.
Ao se comunicar com os níveis mais altos, como equipes executivas ou salas de diretoria, certifique-se de que as mensagens estejam no ponto e sejam atuais para o público. O plano deve estabelecer como estabelecer conversas entre a liderança e a organização, seja por meio de apresentações, campanhas nas redes sociais ou outros meios. Este é um passo importante para dar o tom para uma mudança de cultura mais ampla.
Estudos dos campos da psicologia, economia comportamental e marketing têm mostrado repetidamente que as emoções, em vez da razão, tendem a impulsionar o comportamento humano. Como os hábitos são difíceis de romper apenas com argumentos racionais, os CISOs devem inspirar os líderes de negócios que, por sua vez, devem inspirar os funcionários a realizar o trabalho árduo de modificar seu comportamento e perspectiva.
Em vez de impedir a inovação por medo de ameaças cibernéticas, o CISO deve procurar ser instrumental para ajudar as organizações a atingir seus objetivos. A importância de promover um ambiente de segurança e conscientização sobre riscos, propriedade compartilhada do risco cibernético e resiliência ao risco cibernético só vai crescer. Os CISOs que são capazes de ir além de um nível tático e técnico são mais propensos a ganhar credibilidade e apoio entre os líderes em toda a empresa, incluindo o conselho, CxOs e líderes de unidades de negócios. Esse é um primeiro passo importante para liderar os esforços para criar e sustentar uma cultura de conscientização sobre riscos cibernéticos.
A longo prazo, é importante considerar tanto o planejamento de sucessão do CISO quanto o desenvolvimento de outros líderes que possam representar o CISO em toda a organização. Esses candidatos, de nível gerencial e superior, precisam ser identificados precocemente e treinados de forma cruzada, não apenas dentro da segurança, mas em outras áreas do negócio.
À medida que a função de CISO amadurece em um executivo de risco, as organizações gostariam de ver o lado das pessoas de sua postura de segurança, começando com as características de seu CISO para determinar até que ponto seu CISO é capaz de dar o salto de forma equilibrada. A postura de segurança futura do seu negócio depende muito do tipo de pessoa que o seu CISO é!
*Luiz Firmino é Transversal CISO, Information Security Director da Digital@FEMSA
