0 
0 As empresas estão investindo mais em segurança cibernética do que nunca, mas também estamos vendo um número recorde de violações. Mais de 5,1 bilhões de informações pessoais foram roubadas no ano passado, e o custo médio de uma violação subiu para US$ 4,35 milhões .
Os agentes de ameaças realmente se tornaram tão bons assim? Ou este é um negócio falido?
Não se pode negar que os criminosos cibernéticos se tornaram mais organizados e ferramentas e táticas mais avançadas estão cada vez mais acessíveis. Mas a verdadeira razão pela qual todos esses bilhões de dólares não estão causando impacto no número de violações é que, muitas vezes, o dinheiro não está sendo gasto da maneira correta.
Há um enorme mercado de soluções de qualidade por aí procurando resolver problemas de segurança cibernética, mas simplesmente jogar dinheiro neles não fará diferença na segurança. As soluções devem ser implementadas adequadamente para realmente ajudar a resolver o problema.
É aí que entra o conceito de operacionalização da segurança.
Vinculando a segurança aos fundamentos do core business
Toda empresa precisa entregar vários fundamentos principais para ser bem-sucedida.
Isso inclui a cultura empresarial – o conjunto de valores que une todos e os faz querer trabalhar lá – e a responsabilidade que cada pessoa tem por sua função.
Depois, há os processos de operações do negócio e os recursos que os habilitam – todos cada vez mais facilitados pela automação. E, finalmente, toda atividade empresarial precisa produzir resultados mensuráveis.
Tudo isso se junta para formar a estratégia da organização – a Estrela do Norte que lhe dá propósito e define sua direção.
A segurança cibernética é uma proposta única, pois está vinculada a cada uma dessas bases principais. Em última análise, nenhuma estratégia de segurança pode ser bem-sucedida a menos que tenha esses elementos implementados.
Alinhando a segurança cibernética com as métricas de negócios
O primeiro passo para operacionalizar a segurança cibernética é começar a pensar nela como qualquer outro investimento empresarial. Há uma tendência infeliz de que os gastos cibernéticos sejam quase aleatórios, sem nenhum objetivo em mente. Naturalmente, isso também significa que há pouca medida efetiva de desempenho e resultados.
É difícil imaginar qualquer outro elemento de negócios funcionando dessa maneira, especialmente com um aumento perpétuo de gastos.
Imagine um diretor de vendas pedindo para dobrar o número de funcionários de sua equipe, mas um ano depois esse investimento não levou a nenhum aumento na receita. A maioria das empresas prontamente mostraria a porta ao diretor de vendas.
No entanto, quando se trata de segurança cibernética, a maioria das empresas continuará injetando dinheiro em novas soluções sem uma ideia clara se sua postura de segurança melhorou. De fato, muitas organizações carecem de métricas significativas para avaliar se seus investimentos estão apresentando algum retorno.
Portanto, a medição deve ser uma prioridade máxima para operacionalizar a segurança. As métricas para alcançar isso precisam ser focadas na redução de riscos. As empresas precisam ter uma ideia sólida do que estão tentando proteger com cada elemento de segurança para o qual estão orçamentadas e por quê.
As empresas precisam identificar quais funções de negócios seriam mais afetadas por uma violação e o efeito que tal incidente teria nas operações de negócios. Com base nesse entendimento, as empresas podem trabalhar de trás para frente e construir uma estratégia de segurança voltada para mitigar esses riscos de alta prioridade.
Para outros elementos de negócios, as empresas sabem quais alavancas devem ser ajustadas quando é aparente que um elemento de sua operação causará prejuízo. Alguns riscos você mitiga, alguns você aceita e alguns você transfere – e esse mesmo processo de pensamento precisa ser aplicado à segurança cibernética.
Cultura e responsabilidade são fundamentais
À medida que as empresas conscientizam sobre suas prioridades de risco cibernético, elas também devem se familiarizar com seus níveis de maturidade. Esta não é uma medida única, mas se aplica a cada uma dessas bases principais – cultura, responsabilidade, processos, recursos, automação e medição.
Uma empresa pode ser mais madura na aplicação do risco cibernético em uma área do que em outra. Talvez tenha estabelecido uma automação bem-sucedida, mas carece de responsabilidade. Ou vice-versa.
Enquanto alguns aspectos de negócios são mais fáceis de definir, outros são mais nebulosos. A cultura é muitas vezes uma noção um tanto vaga no contexto da segurança, e a responsabilidade também é muitas vezes indefinida fora das funções de segurança específicas.
Uma abordagem útil aqui é estabelecer as várias personas que têm interesse na segurança em toda a organização e criar um scorecard cultural para cada uma. As partes interessadas mais importantes, como a liderança executiva, devem ter um nível de maturidade mais alto, embora não seja tão importante para a força de trabalho mais geral. Se for aparente que um departamento está abaixo do nível de maturidade e responsabilidade que você precisa, é hora de começar a implementar medidas como treinamento para melhorar as coisas.
Adaptar a cultura empresarial nunca é uma solução rápida, portanto, as empresas devem esperar que esse seja um processo gradual que leve pelo menos 12 a 18 meses.
Ao mesmo tempo, as empresas podem começar a implementar métricas sólidas para rastrear efetivamente o retorno sobre o investimento (ROI) de suas soluções. Os indicadores-chave de desempenho (KPIs) de segurança devem estar firmemente vinculados ao impacto nos negócios de uma forma que a liderança não técnica e as partes interessadas possam se relacionar.
O tempo médio para resolver (MTTR) é um dos exemplos mais úteis. Em um contexto cibernético, significa o tempo entre identificar uma ameaça ou vulnerabilidade e fechá-la. Mas também é bem compreendido em um contexto mais amplo para outras questões de negócios.
Saindo do ciclo de gastos com segurança cibernética
Tornou-se muito evidente que o aumento vertiginoso dos gastos com segurança cibernética não é suficiente diante do risco de segurança igualmente disparado. Essa abordagem é insustentável – especialmente porque a própria tecnologia de negócios se transformou rapidamente nos últimos anos com fatores como migração para a nuvem e trabalho remoto.
Parafraseando Einstein: Não podemos resolver problemas usando o mesmo tipo de pensamento que usamos quando os criamos.
Em vez de simplesmente aumentar seus orçamentos por mais um ano, as empresas precisam dar um passo atrás e começar a operacionalizar sua segurança. Ao rastrear as conexões da segurança cibernética com suas principais bases de negócios, as empresas podem começar a garantir que seus investimentos estejam gerando resultados reais na redução de sua exposição ao risco.
FONTE: HELPNET SECURITY