“De que forma o risco cibernético afeta a estratégia de negócios da empresa?” Este é o questionamento que a mais recente dição do “Director’s Handbook on Cyber-Risk Oversight”, organizado pela parceria entre a National Association of Corporate Directors (NACD) e a Internet Security Alliance (ISA), faz para incentivar uma mudança de postura dos conselhos administrativos das empresas sobre o papel dos Riscos Cyber nas estratégias de negócio.
Isso porque o estudo reforça uma percepção em crescimento entre as altas gestões corporativas: a de que o Risco de Segurança Cibernética é um risco de continuidade do negócio, e portanto, deve assumir uma posição estratégica nos planejamentos dos boards. Nesse sentido, as organizações orientam que o mercado empresarial tome medidas urgentes para garantir um olhar mais eficiente sobre a própria SI.
Entre esses passos, está criar um olhar mais amplo sobre legislações e frameworks essenciais para a gestão da Cibersegurança. “Uma vez que a governança de Cyber se tornou uma questão de escrutínio regulatório, é esperado que os diretores estejam ativos e bem-informados sobre as mudanças no cenário legal. Isso inclui assegurar playbooks atualizados de respostas a incidentes, simulações de crise e cobertura adequada de seguros”, acrescenta o relatório.
Outra indicação envolve criar estruturas de supervisão e especialização focadas diretamente para a Segurança, visto que, segundo o documento, ainda existem lacunas importantes de conhecimento sobre Cyber nos conselhos. Esse passo considera essencial preservar uma aproximação entre os líderes corporativos e os CISOs, baseados em diálogo sobre as demandas do business e o apoio do setor de SI, para além das considerações exclusivamente técnicas.
Essa recomendação inclui também definir com clareza o comitê responsável sobre os riscos cibernéticos, bem como ampliar e dar continuidade à capacitação dos conselheiros sobre esse tema e avaliar sempre a inclusão de novos membros especializados para conduzir as melhores práticas da organização sobre a Cibersegurança. Isso abrirá espaço para definir o apetite adequado desse risco e monitorar as capacidades de resiliência operacional.
“Governança sobre os riscos cibernéticos requer a presença constante de estruturas de controle aliadas à experiência no setor. Da mesma forma, capacitações isoladas tendem a deixar qualquer resposta mais letárgica e menos eficiente. Sem uma abordagem estruturada para incorporar conhecimentos e experiência na área, a administração não terá compreensão dos processos necessários para lidar com os riscos”, acrescenta ainda a NACD e a ISA.
Essas ações todas devem responder, de acordo com a análise, ao objetivo central de tornar a Cibersegurança um tópico de risco estratégico. “A pergunta central para a Cyber não é mais ‘estamos protegidos?’ mas sim como esse risco pode impactar temas essenciais como continuidade, reputação, conformidade regulatória, crescimento digital e geração de valor para os stakeholders”, conclui.
