Cinco etapas para se tornar um líder de segurança cibernética alinhado ao negócio
por Robert Huber
Página inicial do blog / Notícias e pontos de vista
Um estudo independente de risco de negócios mostra que, quando a segurança e o negócio estão alinhados com os dados contextuais acordados, os resultados apresentados podem ser comprovados. Veja como chegar lá.
Amigos, a segurança cibernética está em pedaços. Os líderes de segurança estão se afundando em dados. Nós podemos dizer quantas vulnerabilidades existem. Podemos dizer quantos patches foram implementados. Podemos recitar as ameaças mais recentes em verso e prosa. Mesmo com todas essas informações à disposição, a maioria de nós ainda tem dificuldades para responder à pergunta "Qual é o nosso nível de segurança?" com um alto grau de confiança.
Por quê? Porque está faltando uma informação importante: o contexto de negócios.
A equação típica que usamos para calcular o nível de segurança ou risco de uma organização é uma função de ativos, controles de segurança, ameaças e vulnerabilidades. Sem o contexto de negócios — a compreensão dos ativos mais críticos para a proposta de valor fundamental do negócio e os controles de segurança estabelecidos para cada um desses ativos — o resultado de qualquer cálculo de risco de segurança ficará incompleto, na melhor das hipóteses.
Porém, os líderes de segurança não conseguirão compreender o contexto de negócios se trabalharem isolados. Isso exige um nível de alinhamento estratégico entre os líderes de negócio e de segurança cibernética que não existe na maioria das organizações. De fato, um estudo encomendado e realizado pela Forrester Consulting em nome da Tenable mostra uma desconexão significativa entre o negócio e a segurança. De acordo com o estudo, que é baseado em uma pesquisa com 416 executivos de segurança e 425 executivos de negócios, apenas 54% dos líderes de segurança e 42% dos executivos de negócios pesquisados afirmam que suas estratégias de segurança cibernética estão completas ou intimamente alinhadas às metas de negócio. Menos da metade dos líderes de segurança pesquisados consulta líderes de negócios com muita frequência ao desenvolver sua estratégia de segurança cibernética. Ainda pior, quatro em cada dez executivos de negócio raramente ou quase nunca consultam os líderes de segurança ao desenvolver as estratégias de negócio de suas organizações.
"O maior desafio pode ser fazer com que os proprietários de negócios se interessem e entendam que eles devem ser os responsáveis pelos riscos de segurança cibernética", diz José Maria Labernia Salvador, chefe de segurança de TI e controle interno da LafargeHolcim IT EMEA de Madri, em entrevista para a Tenable. "A segurança cibernética é um tópico relacionado ao negócio com um forte componente de TI. A TI pode apoiar e orientar, mas as partes interessadas de negócios e a alta gestão são um componente central da equação."
O estudo da Forrester mostra que, quando o negócio e a segurança estão alinhados, entregam resultados notáveis. Por exemplo, os líderes de segurança alinhados ao negócio estão:
- Preparados para relatar os riscos e a segurança. O líder de segurança alinhado ao negócio tem oito vezes mais chances do que seus pares mais isolados de estarem confiantes em sua capacidade de relatar o nível de segurança ou risco de suas organizações.
- Prontos para mostrar o ROI de suas iniciativas de segurança. A grande maioria dos líderes de segurança alinhados ao negócio (85%) tem métricas para rastrear o ROI de segurança cibernética e o impacto no desempenho dos negócios em comparação com apenas 25% de seus pares mais isolados e reativos de outras áreas.
- Equipados com um processo definido de análise comparativa. Cerca de nove em cada dez líderes de segurança alinhados ao negócio (86%) têm um processo que articula claramente as expectativas e demonstra melhoria contínua do processo em relação a empresas semelhantes e/ou grupos internos. Apenas 32% dos colegas não alinhados podem dizer o mesmo.
Isso não quer dizer que a responsabilidade pela obtenção do alinhamento recaia diretamente sobre os ombros do líder de segurança. Culturalmente, algumas organizações têm a tendência de criar silos. Independentemente do esforço empregado, se você trabalhar em uma dessas organizações, sempre terá dificuldade para se alinhar com os colegas de negócios.
Se você não sabe ao certo onde sua organização se encaixa no processo de alinhamento, existe uma forma rápida de saber: se houver na sua empresa um executivo com o cargo de Business Information Security Officer, sua organização estará na extremidade mais madura da escala de alinhamento. De acordo com o estudo da Forrester, a grande maioria das organizações alinhadas ao negócio (80%) conta com um BISO (Business Information Security Officer) ou cargo semelhante, em comparação com apenas 35% de seus concorrentes menos alinhados.
Como tornar-se um líder de segurança cibernética alinhado ao negócio
Se você tiver a sorte de trabalhar em uma organização em que o alinhamento cibernético-negócio já está relativamente maduro, seu caminho para se tornar um líder de segurança alinhado ao negócio será bastante claro, mesmo que a jornada ainda requeira um esforço considerável. Mas, se você trabalhar em uma organização localizada na extremidade inferior da escala de maturidade de alinhamento, sua jornada será bem mais desafiadora. Como não existe uma abordagem única para todos, adaptei as diretrizes a seguir em três opções baseadas no nível de maturidade do alinhamento, na esperança de que uma delas apresente um ponto de partida que funcione para você.
Cinco etapas para melhorar o alinhamento com as partes interessadas do negócio em cada nível de maturidade organizacional
| Etapa | Alinhamento baixo | Alinhamento moderado | Alinhamento alto |
| Etapa 1: Não deixe de compreender os objetivos de negócios anuais da sua organização. | Provavelmente, você precisará fazer sua própria pesquisa em documentos voltados ao público, como previsões de ganhos e demonstrações financeiras, para criar uma imagem razoavelmente clara das prioridades da organização. | Esta etapa pode exigir a participação em ligações com a liderança em nível de VP, o acompanhamento de reuniões gerais da sua organização e a busca de outras formas de integrar-se com seus colegas. | Você já tem, ou precisará trabalhar para ter, um lugar reservado nas reuniões semanais realizadas pela equipe executiva e é chamado regularmente para fazer apresentações ao conselho. Essas atividades lhe dão exposição aos principais objetivos do negócio. |
| Etapa 2: Reflita como esses objetivos de negócios moldam as decisões de tecnologia. | Você pode precisar contar com conexões com colegas de toda a empresa para o ajudarem a desenvolver um panorama dos sistemas e ativos mais críticos. Em particular, preste atenção a interrupções e incidentes para detectar áreas que têm importância reconhecida. | Talvez seja preciso fazer um certo trabalho preliminar, agendando conversas com VPs ou outros líderes de linha de negócios para se atualizar sobre os sistemas mais importantes. | Você pode conduzir uma avaliação de impacto ao negócio, fazendo uma pesquisa com os principais executivos de negócios para obter um entendimento claro dos sistemas mais críticos para o funcionamento diário da organização. |
| Etapa 3: Trabalhe com as partes interessadas do negócio para ter certeza de que suas métricas de segurança cibernética incorporem o contexto de negócios. | Talvez seja preciso recorrer a fontes externas, como eventos do setor, estudos de caso ou grupos de colegas, para desenvolver uma perspectiva das necessidades de negócios comuns e das principais métricas de segurança, e fazer uma previsão sobre o que funcionaria para a sua organização. | Você pode não ter acesso a executivos seniores que possam ajudar você a definir o contexto de negócios. Você precisará desenvolver conexões com diretores ou líderes de linha de negócios e consultar colegas do setor para ajudar e entender quais métricas fazem mais sentido para a sua organização. | Esta etapa envolve saber as perguntas certas a serem feitas e identificar um pequeno número de métricas que são mais significativas para sua empresa. |
| Etapa 4: Priorize suas ações de segurança cibernética com base no que foi aprendido nas etapas acima. | Comece avaliando as lacunas do seu processo, como a falta de dados de criticidade de ativos, e desenvolva um roteiro para preencher cada lacuna ao longo do tempo. | Você pode começar a integrar dados de criticidade de ativos com dados de ameaças e vulnerabilidades para caminhar em direção a uma abordagem mais baseada em riscos. | Use a automação e aplique os objetivos de gerenciamento de riscos ao negócio às práticas de priorização de ameaças e vulnerabilidades por meio de uma abordagem preditiva. |
| Etapa 5: Comunique usando análises comparativas que façam sentido para as partes interessadas do negócio. | Considere trabalhar com consultores externos para ajudar a desenvolver suas habilidades em linguagem de negócios. No processo, isso provavelmente aumentará o respeito por parte dos líderes de negócios por você avaliar não apenas o risco, mas o negócio em si. | Talvez seja preciso recorrer aos seus poderes de observação; fique atento à linguagem que os seus colegas de trabalho usam e adapte sua comunicação de acordo. | Mesmo em uma organização altamente alinhada, a subjetividade das estruturas existentes e a falta de consenso no setor sobre os principais indicadores de risco podem transformar essa etapa em um desafio. Ainda assim, se você já tem um alto grau de alinhamento organizacional, provavelmente seus colegas da alta gestão receberão bem uma conversa franca sobre o que eles precisam saber — e o que pode ser omitido — nos seus relatórios. |
Fonte: Tenable, setembro de 2020
Independentemente de onde sua organização se enquadre no processo de alinhamento-maturidade, seguir a recomendação de Kevin Kerr, CISO do Oak Ridge National Laboratory de Oak Ridge, TN é uma decisão sábia. Em uma entrevista para a Tenable, Kerr recomendou: "O CISO precisa sair de trás de sua mesa, andar por aí e falar com as pessoas. Tomar conhecimento das preocupações e dos objetivos das pessoas em diferentes níveis — de baixo para cima — e entender o que está se passando. Não ouvir apenas à equipe de TI pois, do ponto de vista de TI, ela já está saturada. Ver o que está acontecendo da perspectiva do negócio e ouvir."Claro, na atual pandemia de COVID-19, você pode ter que percorrer essa empreitada virtualmente. Mas, seja pessoalmente ou via Zoom, o esforço beneficiará sua organização e sua carreira. "O seu nome começa a ser mencionado", diz Kerr. "Se as pessoas souberem que você está ali para ajudá-las a descobrir a melhor forma de fazer o que desejam e, ao mesmo tempo, proteger a organização, sua participação será bem-vinda. Eu nunca quis ser aquele que diz não à inovação."
Tornar-se um líder de segurança cibernética alinhado ao negócio é uma maratona, não uma corrida de velocidade. É preciso aprender a falar a linguagem de negócio e de tecnologia com a mesma fluência. Contudo, como o estudo da Forrester observou, "as ameaças de segurança modernas precisam de uma nova abordagem". O futuro pertence aos líderes de segurança que estão prontos para gerenciar a segurança cibernética como um risco ao negócio.
Leia a série do blog: Como tornar-se um líder de segurança cibernética alinhado ao negócio
As postagens anteriores desta série focavam nos desafios de alinhar a segurança cibernética e o negócio e em por que os líderes da segurança cibernética têm tanta dificuldade para responder à pergunta: "Qual é nosso nível de segurança?". Também examinamos o que as estratégias de resposta à COVID-19 revelam sobre a desconexão entre a área cibernética e o negócio, discutimos por que as métricas de segurança cibernética existentes são insuficientes para comunicar o risco cibernético e exploramos cinco etapas para chegar a um alinhamento com o negócio. e fornecemos uma visão sobre um dia na vida de um líder de segurança cibernética alinhado ao negócio.
Saiba mais:
- Veja destaques adicionais do estudo aqui.
- Faça o download do estudo completo A Ascensão do Executivo de Segurança Alinhado ao Negócio.
- Leia as postagens:
- Alinhar a segurança cibernética e os negócios: ninguém disse que seria fácil.
- Por que os líderes de segurança cibernética têm dificuldades para responder à pergunta "Qual é nosso nível de segurança?".
- O que as estratégias de resposta à COVID-19 revelam sobre a desconexão entre segurança cibernética e o negócio.
- Como comunicar o risco ao negócio: por que as métricas de segurança cibernética existentes ficam aquém?.
- Faça o download da publicação técnica O que é necessário para ser um líder de segurança cibernética alinhado ao negócio.
- Leia o ebook: Como tornar-se um líder de segurança alinhado ao negócio.
- Ouça a série de podcasts sobre Cyber Exposure: Entrevista com o CSO da Tenable, Bob Huber.
- Veja o webinar A Ascensão do Executivo de Segurança Alinhado ao Negócio.
Artigos relacionados
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
- Vulnerability Management