Responsabilização por ciberataques: o peso recai apenas sobre os CISOs?