0 
0 Os conselhos corporativos estão pedindo aos seus CISOs que os informem com mais frequência sobre os riscos à segurança cibernética. Isso dá aos líderes de segurança a oportunidade de ajudar as partes interessadas de negócios seniores a entender melhor o valor da segurança e torna-os mais propensos a apoiar e fortalecer estratégias de segurança.
No entanto, conversar com o conselho sobre segurança cibernética de uma forma produtiva pode ser um desafio significativo, e não fazê-lo efetivamente pode resultar em confusão, desilusão e falta de coesão entre os diretores, a função de segurança e o resto da organização. Aqui estão alguns erros comuns que os CISOs cometem ao falar com o conselho, juntamente com conselhos para evitá-los.ANÚNCIO
1. Usando linguagem de segurança técnica excessiva
“Ao apresentar ao conselho, os CISOs precisam ter cuidado com a linguagem que usam. Se eles forem muito técnicos, perderão seu público”, diz Michael Tamir, CISO da Cyren, ao CSO. Os diretores raramente são especialistas em segurança e usar jargões excessivamente técnicos será contraproducente, acrescenta.
“Os membros do conselho não gostam de coisas que não entendem, e a maioria está multitarefa em suas cabeças, então, perceptivamente, eles têm curtos períodos de atenção”, concorda o analista do Fórum de Segurança da Informação e ex-CISO, Paul Watts. Os CISOs devem traduzir o profundamente técnico em termos de negócios sempre que possível e explicar coisas que não podem. “Seja o mais sucinto possível, use um ritmo sensato e visualize em vez de usar muitas palavras.”
2. Focando nos impactos errados da ameaça
Os CISOs devem garantir que as mensagens de ameaça nunca se afastem dos impactos dos negócios para a organização, diz o CISO da CyberGRX, Dave Stapleton. “Um CISO pode entender por que uma dependência específica da biblioteca de códigos representa uma ameaça a um ativo voltado para a internet, mas isso é provavelmente muito longe nas redes para o conselho de administração”, acrescenta.
Sounil Yu, CISO da JupiterOne, concorda. “CisOs costumam falar grego quando o resto do conselho fala em dólares e bom senso. Para se conectar com o conselho em um idioma que eles possam entender, os CISOs devem focar suas mensagens em como a segurança permite que a empresa entre em novos mercados, execute novas iniciativas e reduza quantitativamente a exposição a perdas anuais.”
É aí que saber quais são os principais indicadores de desempenho (KPIs) que o conselho mede e ser capaz de avaliar o impacto das ameaças sobre esses KPIs pode ser particularmente útil, diz Rob Dartnall, presidente do Conselho do Reino Unido no órgão de certificação e certificação de segurança da informação, CREST. “Ser capaz de relacionar o risco de ameaça ao impacto em um serviço de negócios ou nas principais estratégias e objetivos do conselho é poderoso”, acrescenta.
Preocupações de segurança que merecem a atenção do conselho devem ser enquadradas com contexto sobre como as ameaças, se não tratadas, podem dificultar o crescimento dos negócios ou introduzir níveis inaceitáveis de risco operacional ou empresarial, concorda Yu.
Em relação ao exemplo de ameaça da biblioteca de códigos citado acima, Stapleton diz que um líder de segurança é muito mais propenso a capturar a atenção do conselho falando sobre o risco da cadeia de fornecimento de software corporativo e descrevendo o retorno sobre o investimento (ROI) esperado da implementação de um programa de análise de dependência de código.
3. Confiar em relatórios de risco cibernético fora da caixa
Os CISOs frequentemente relatam a postura de risco cibernético com base no que suas ferramentas lhes dizem, que normalmente se concentram em agregados de atividades operacionais, esforços de remediação de vulnerabilidades ou mesmo medidas de tamanho único, diz Peter Prizio, CEO da Booz Allen Hamilton threat intelligence spinout SnapAttack. “No entanto, isso está faltando a marca. Nem todos os riscos são criados iguais, e esses escores de risco não têm a nuance e o contexto necessários para torná-los acionáveis.”
Em vez disso, Prizio diz que os CISOs precisam zerar as coisas que a empresa mais se importa, como manter sua reputação, proteger as joias da coroa ou continuar as operações. “Eles então precisam amarrar os ativos específicos que os apoiam e atribuir risco em termos que o conselho possa entender.” Ele também alerta para o uso de objetivos de conformidade para medir e quantificar riscos, pois mostrar progressos em relação aos requisitos regulatórios não é o mesmo que comunicar os verdadeiros riscos que um negócio enfrenta.
4. Não se preparar para possíveis perguntas
“As reuniões do conselho não são um bom lugar para surpresas”, diz James Nelson, vice-presidente de segurança da informação da Illumio, e os CISOs precisam evitar ser pegos de surpresa por perguntas que não podem responder. “A preparação deve incluir não apenas gerar o conteúdo em seus slides, mas também pensar sobre quais perguntas o conselho potencialmente lhe fará e considerando suas respostas com antecedência.”
Nelson aconselha apreendê-los tanto os participantes da equipe executiva quanto as perguntas que você acha que serão feitas, bem como como você planeja respondê-las. “Eles saberão que você não pode adivinhar todos eles, mas o processo pode ajudar a construir confiança”, acrescenta.
5. Compartilhamento excessivo e susto de segurança
Uma sala de reuniões não é o lugar para se desabafar, embora possa ser tentador quando você sente o fardo coletivo dos riscos de todos sobre seus ombros, diz Watts. “Não seja a profecia da desgraça, e tenha muito cuidado ao usar o medo, a incerteza e a dúvida (FUD) como uma arma de alavancagem — ela pode voltar para mordê-lo.”
Em vez disso, explique por que você acha que existe um problema e siga isso com opções de solução, suas recomendações e seus benefícios associados, Watts continua. “Faça isso como um pacote.”
Também é fundamental evitar outros debates à medida que eles aparecem durante as conversas. “Tome uma nota mental, estacione-os e volte para eles”, diz Watts. Quando se trata de dar más notícias, evite alegações ou confrontos durante a entrega. “Prepare o público com antecedência para suavizar o golpe. As placas não gostam de surpresas — especialmente as ruins.”
6. Apresentar a segurança cibernética como um centro de custos
“Um erro comum cometido pelos CISOs ao falar com o conselho não é abordar a visão ultrapassada de que a segurança é um centro de custos”, diz Mandy Andress, CISO da Elastic, à CSO. “Essa mentalidade deve mudar, e os CISOs devem ajudar o conselho a ver a segurança como um facilitador de negócios que facilita o crescimento e a inovação.”
Jasmine Henry, diretora de segurança de campo da JupiterOne e ex-CISO, concorda. “Os líderes de segurança geralmente se aproximam de reuniões do conselho na esperança de ganhar recursos adicionais e orçamento. Embora possa ser tentador fazer um caso para o investimento em segurança apresentando uma lista complexa de necessidades técnicas, os CISOs devem considerar como mudar a percepção dos membros do conselho sobre segurança como um centro de custos”, diz ela.ANÚNCIO
Os CISOs podem ganhar o endosso do conselho apresentando evidências de que a segurança é um driver de receita em vez de uma função cara, e isso pode ser alcançado quantificando o impacto da segurança na rentabilidade, acrescenta Henry. “Métricas importantes incluem o envolvimento da segurança no processo de vendas, a velocidade dos questionários completos de segurança de vendas e o valor total da receita de todos os contratos de clientes que incluem obrigações de segurança e conformidade.”
Da mesma forma, se paralisações ou custos estão ocorrendo devido a um determinado tipo de ataque, retransmitir qual seria o lucro aumentado, com base na remoção dessa ameaça, pode ser útil, diz Dartnall. “Um exemplo seria: reembolsamos £XXm em fraude contra nossos clientes com base no tipo de ataque Y. Implementando esse controle, recuperaremos £Xm em receita perdida”, diz ele.
7. Não investir em relacionamentos fora da sala de reuniões
Matthew Smith, diretor de divisão, segurança cibernética e da informação da St. James’s Place Wealth Management e membro do ClubCISO, diz que os CISOs podem ser culpados de não se envolver com membros do conselho fora do contexto formal do conselho. “Entender os motivadores pessoais e profissionais do seu público ajuda você a obter de forma mais sucinta qualquer mensagem ou conteúdo que você esteja apresentando para cima”, acrescenta.
Muitas vezes ter contexto ou abordar problemas fora dos canais formais ajuda a construir relacionamento e garante que seu conteúdo seja adequado e relacionável àqueles que você deseja influenciar ou impactar. Isso é algo que Watts concorda. “Esta é a gestão de stakeholders 101: Pesquise sua diretoria, entenda suas motivações e encontre aliados da diretoria, especialmente os não técnicos que podem ajudá-lo a estressar os arremessos de teste com antecedência. Quando se trata de ter casos de negócios assinados, dividir e conquistar: levar arremessos complicados ou grandes para todos eles individualmente e trabalhar as rugas com bastante antecedência”, diz ele.
Os CISOs podem, então, aproveitar os resultados dessas conversas para isolar quaisquer vozes dissidentes com um consenso de compra de outros. “Faça com que todos se sintam como se tivessem contribuído”, diz Watts. “Você precisa ser um político, vendedor, gerente de conta, casamenteiro e mediador.”
FONTE: CSO ONLINE