0
0
Garantir que a voz do CISO seja ouvida pelo conselho tornará a segurança em primeiro lugar para a empresa, seus funcionários e seus clientes.
Os CISOs do setor de segurança ocupam uma posição única: como líderes de segurança, eles têm a influência e o acesso para comprar produtos e tomar decisões que podem afetar drasticamente a postura de segurança de uma organização. Espera-se também que eles caiam à espada no caso de um incidente de segurança abrir capital.
Mas o papel do CISO é tão diversificado quanto dinâmico, variando enormemente dependendo da organização, e é um papel que está constantemente em fluxo. Aqui estão três coisas que todo CISO gostaria que você soubesse.
O papel do CISO está mudando diante dos nossos olhos
Quando a necessidade de um líder de segurança apareceu pela primeira vez, à medida que a computação e o uso da Internet se espalharam, eles representavam uma figura algo isolada. O papel foi visto por outros membros da empresa como um especialista no assunto, para apagar incêndios e lidar com preocupações de segurança de maneira independente. Quanto menos outras áreas do negócio forem ouvidas do CISO, melhor.
Nos 18 anos em que tenho trabalhado em segurança, esse relacionamento mudou drasticamente, de acordo com a forma como a segurança evoluiu. Agora é comum ver violações de dados fazendo manchetes, afetando os preços das ações e causando demissões de membros do conselho de alto nível.
Como tal, estamos começando a ver uma tendência em que os CISOs se reportam diretamente ao CEO, a fim de mantê-los informados sobre preocupações de segurança. Esta posição move os líderes de segurança dos reinos de um especialista confiável no assunto para um papel muito mais complexo dentro do ecossistema de negócios: um consultor de risco. Esse papel muitas vezes pode tornar o trabalho do CISO muito mais sensível politicamente. Por exemplo, um CISO pode ter que relatar fraquezas ou vulnerabilidades, que seriam da competência do CIO e, portanto, teriam o potencial de criar atritos em nível executivo. É por isso que acho tão importante que o CISO tenha uma linha de comunicação direta e não filtrada com o CEO, para que a política seja deixada de fora das decisões que precisam ser tomadas puramente com a prevenção de riscos em mente.
Além disso, ao elevar a visibilidade e a importância do programa de segurança cibernética de uma empresa, os profissionais de segurança têm o poder de assumir a responsabilidade não apenas pelas decisões tecnológicas (qual é a melhor maneira de atender a um requisito específico), mas também de resolver problemas para reduzir o risco e aumentar o desempenho e o crescimento a longo prazo. Controles de negócios, políticas do usuário, avaliações de fornecedores, todos contribuem para a criação de um programa de segurança cibernética de melhores práticas que suporta todo o ecossistema de negócios.
Os CISOs são capazes de ajudar outras áreas de função de negócios
A crescente importância da segurança para preocupações comerciais mais amplas proporcionou aos CISOs ampla oportunidade de ajudar em outras áreas do negócio. Por exemplo, o CISO pode fornecer informações sobre as melhores práticas para ajudar os clientes a configurar seus próprios sistemas de segurança. Isso é especialmente importante se o cliente em questão não atingir um nível de maturidade em que tenha um CISO próprio. Esse papel consultivo pode ser crucial para promover, manter e desenvolver boas relações de trabalho com os clientes, e pode até ajudar a gerar novos fluxos de receita para o negócio.
Isso é de particular importância para os CISOs que trabalham em empresas de segurança: Ser capaz de transmitir o conhecimento técnico do produto como profissional e vendedor pode ser inestimável. Os CISOs também podem ser extremamente úteis no “soft power” que eles podem oferecer à sua empresa, como porta-vozes da empresa, porta-vozes públicos e influenciadores.
Questões de ética e tecnologia são mais importantes do que nunca
Embora o papel do CISO tenha realizado uma diversificação significativa nos últimos anos, uma faceta de seu papel permanece: os CISOs são profissionais de segurança, diretamente envolvidos na linha de frente da defesa das organizações de atores de ameaças.
Considerando essa visão purista do que um CISO faz, é de suma importância que as questões éticas permaneçam na vanguarda das conversas em torno de tecnologias novas e emergentes. À medida que o ritmo de desenvolvimento tecnológico cresce exponencialmente, recebemos uma infinidade de novas tecnologias para proteger nossos ambientes corporativos.
No entanto, cada nova ferramenta, método defensivo ou técnica desenvolvida por equipes de segurança defensiva também é acessível aos atores de ameaças: Criar uma inteligência artificial ou um produto de aprendizado de máquina para se defender de ameaças fornecerá, inversamente, aos chapéus negros as mesmas oportunidades tecnológicas de ataque que nos são fornecidos para defesa, elevando e escalando ainda mais a batalha. Isso é particularmente preocupante quando se considera as organizações criminosas e estatais-nação extremamente bem financiadas, para as quais o cibercrime se tornou uma prioridade operacional fundamental.
Essa possibilidade de engenharia reversa precisa ser considerada durante o desenvolvimento dessas tecnologias, com consulta industrial e especializada, bem como marcos regulatórios em vigor. A tecnologia não tem nenhuma moral ou lealdade, e pode ser implantada por qualquer pessoa, independentemente de seus motivos.
Quando comecei na segurança, apenas os hackers mais inteligentes poderiam ter acesso a ferramentas que lhes permitissem aproveitar sistemas ou pessoas. Agora há toda uma economia subterrânea e qualquer um pode comprar uma botnet ou obter algum ransomware e aproveitá-lo. É tão acessível, e esse é um problema muito grande. Para os profissionais de segurança, isso significa que qualquer decisão de implantar novas tecnologias inovadoras, mesmo que pareça ser a melhor ferramenta para suas necessidades, também deve considerar o quão endurecida ou segura essa nova solução é da engenharia reversa por atacantes externos.
As questões do cibercrime não vão embora e se tornarão cada vez mais importantes nos próximos anos. Isso significa que o papel do CISO, ou outros líderes tecnológicos, precisa ser elevado de acordo com a importância do papel. Embora o papel do CISO esteja sujeito a mudanças quase constantes, garantir que eles tenham voz dentro dos negócios e da comunidade de segurança mais amplamente ajudará a garantir que a posição permaneça relevante. O CISO ainda é a pessoa na melhor posição para proteger empresas e indivíduos do cenário de ameaças em constante expansão.
FONTE: DARK READING