Cultura de segurança começa pelos diretores

A maioria dos executivos de TI acredita que suas organizações enfrentarão uma grande violação de dados em 2018. De acordo com pesquisa realizada durante a conferência Black Hat USA, 67% dos entrevistados acreditam que suas empresas correm um grande risco de ataque de cibersegurança.

Esse dado sozinho não é necessariamente preocupante, mas uma análise rápida das manchetes recentes mostra várias evidências da sofisticação e disseminação rápida dos atuais ciberataques.

E não há sinais de desaceleração desses ataques. De acordo com o Identity Theft Resource Center, foram 1.579 violações de dados em 2017, aumento de 44,7% em relação ao ano anterior, que causaram a exposição de 158 milhões de números de identificação de segurança social.

Além disso, também tivemos problemas globais, como o vírus Wanna Cry, que se espalhou rapidamente, sequestrando arquivos de mais de 230 mil sistemas do mundo inteiro.

Dessa forma, o mais surpreendente é que 69% dos entrevistados da pesquisa acima disseram que ainda não têm uma equipe adequada para enfrentar essa crescente ameaça. Além disso, 58% deles disseram que não tinham orçamento e 67% não tinham treinamento suficiente.

Falta de conexão entre segurança e alta direção

Por que isso acontece? Os entrevistados da pesquisa responderam que um dos principais desafios é a desconexão clara entre a equipe de segurança e a alta direção, que toma as decisões estratégicas de negócios.

No cenário atual, essa desconexão pode ter graves consequências para as organizações de grande ou pequeno porte, porque basicamente, as boas práticas de cibersegurança começam pelos diretores.

Felizmente, muitas empresas já começaram a perceber isso e estão contratando especialistas com capacidades tanto nos negócios quanto em segurança para preencher funções fundamentais, como CTO (diretor de tecnologia), CIO (diretor de TI), CISO (diretor de segurança da informação) e outros do nível C. Mas contratar a pessoa certa para o trabalho é apenas o primeiro passo.

Porém, está cada vez mais claro que não basta apenas compartilhar dados. Os diretores precisam de orientação sobre como transformar dados quantitativos em respostas tangíveis e viáveis. Tradicionalmente, os profissionais de segurança de TI contavam com o CIO para ajudar na comunicação, mas os executivos de segurança estão cada vez mais trabalhando fora da organização do CIO.

Ações necessárias

Os diretores devem fornecer liderança de segurança (1) mostrando claramente por que o gerenciamento de riscos de segurança é essencial para o sucesso dos negócios; (2) coordenando e colaborando diariamente com os profissionais de TI de segurança em sua equipe para informar as decisões; e (3) garantindo treinamentos a todos e recursos em termos de força de trabalho e orçamento, que são necessários para realizar o trabalho.

Se você não havia pensado em priorizar a segurança na sua organização começando pelos diretores, agora é a hora.

*David Biletter é Chief Information Security Officer da CA Technologies