{"id":11113,"date":"2018-11-27T22:24:37","date_gmt":"2018-11-28T01:24:37","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=11113"},"modified":"2019-11-22T07:12:33","modified_gmt":"2019-11-22T10:12:33","slug":"ciso-report","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/ciso-report\/11113\/","title":{"rendered":"Voc\u00ea est\u00e1 preparado para ser um CISO?"},"content":{"rendered":"

Como as pessoas que trabalham no cargo de Diretor(a) de Seguran\u00e7a da Informa\u00e7\u00e3o (CISO \u2013 Chief Information Security Officer<\/em>) ou equivalente enxergam a ciberseguran\u00e7a? Quais problemas encaram? Para descobrir as respostas para essas perguntas, a Kaspersky Lab entrevistou 250 profissionais em todo o mundo. Suas opini\u00f5es s\u00e3o muito interessantes, embora n\u00e3o possa dizer que concordo totalmente com todos os meus colegas.
\nVamos analisar a quest\u00e3o sobre a mensura\u00e7\u00e3o dos indicadores-chave de desempenho (KPIs \u2013 key performance indicators<\/em>). N\u00e3o \u00e9 nenhuma surpresa que a maioria dos entrevistados tenha dito que seu principal crit\u00e9rio de trabalho seja a qualidade e a rapidez das respostas aos incidentes. Nas empresas de hoje, as pessoas tendem a n\u00e3o considerar os ciberincidentes como falhas de seguran\u00e7a. \u00c9 bom ver que a maior parte dos especialistas est\u00e1 come\u00e7ando a compreender os incidentes como inevit\u00e1veis, at\u00e9 mesmo normais. Hoje em dia, a ciberseguran\u00e7a se trata basicamente da sobreviv\u00eancia da empresa.<\/p>\n

Sobreviver significa ter um n\u00edvel de prote\u00e7\u00e3o que possa garantir que no caso de um ataque de amea\u00e7as persistentes avan\u00e7adas<\/a>, vazamento de dados, ou um imenso DDoS<\/a>, uma empresa consiga se recuperar sem danos graves ou sem perder mais do que um m\u00ednimo predefinido. Em outras palavras, os CISOs de hoje em dia focam na rea\u00e7\u00e3o aos incidentes.<\/p>\n

Por um lado, isso \u00e9 realmente \u00f3timo. H\u00e1 poucos anos, prevalecia uma vis\u00e3o de ciberprote\u00e7\u00e3o de \u201cnenhum incidente\u201d, e as empresas pensavam que os CISOs deveriam ser capazes de proteger a infraestrutura contra amea\u00e7as com uma garantia infal\u00edvel. Por outro lado, ter como objetivo apenas em tecnologias reativas n\u00e3o \u00e9 uma solu\u00e7\u00e3o eficiente. Na minha opini\u00e3o, os CISOs precisam estabelecer um equil\u00edbrio. Todos os elementos de uma arquitetura de seguran\u00e7a adapt\u00e1vel<\/a> s\u00e3o importantes: preven\u00e7\u00e3o, detec\u00e7\u00e3o, resposta e previs\u00e3o.<\/p>\n

Sobre os riscos<\/h3>\n

A maioria dos CISOs concorda que o maior risco de uma organiza\u00e7\u00e3o depois de uma viola\u00e7\u00e3o \u00e9 a perda de reputa\u00e7\u00e3o. Neste ponto, concordo totalmente. Responderia da mesma forma. Danos de reputa\u00e7\u00e3o s\u00e3o a base de todas as outras consequ\u00eancias dos incidentes \u2013 quedas nas a\u00e7\u00f5es, nas vendas, diminui\u00e7\u00e3o da confian\u00e7a dos clientes, e assim por diante.<\/p>\n

A reputa\u00e7\u00e3o \u00e9 o verdadeiro motivo pelo qual n\u00e3o ouvimos qualquer coisa sobre grande parte dos incidentes de seguran\u00e7a. Se uma empresa pode esconder um ciberincidente, faz isso \u2013 embora em alguns pa\u00edses as leis exigem que as empresas divulguem qualquer informa\u00e7\u00e3o sobre problemas de seguran\u00e7a para seus acionistas ou clientes.<\/p>\n

Aparentemente, os CISOs enxergam diferen\u00e7as nas motiva\u00e7\u00f5es dos cibercriminosos e conseguem distinguir ataques patrocinados pelo Estado de crimes com objetivos financeiros. Quanto a mim, colocaria os ataques internos em primeiro lugar. Em termos de perda, s\u00e3o os mais perigosos \u2013 e a experi\u00eancia j\u00e1 provou que um funcion\u00e1rio desonesto pode, potencialmente, causar preju\u00edzos maiores do que malfeitores externos.<\/p>\n

Influ\u00eancia nas decis\u00f5es da empresa<\/h3>\n

Foi interessante observar como os diretores de seguran\u00e7a est\u00e3o relacionados \u00e0s tomadas de decis\u00f5es da empresa. Fiquei surpreendido ao saber que nem todos se consideram adequadamente envolvidos. Mas o que consideram \u201cadequado\u201d?<\/p>\n

Basicamente, h\u00e1 duas estrat\u00e9gias. O departamento de seguran\u00e7a pode controlar cada passo dado pela empresa, aprovando cada movimento. Alternativamente, a equipe pode servir de consultoria, para quem a empresa pede orienta\u00e7\u00e3o para saber se o caminho est\u00e1 correto.<\/p>\n

\u00c0 primeira vista, controle total parece mais eficaz \u2013 e seria, se a ciberseguran\u00e7a fosse um objetivo em si. Na verdade, essa abordagem exige mais pessoas e atrasa o desenvolvimento do neg\u00f3cio. Isso pode ser particularmente desafiador para empresas inovadoras que utilizam processos de neg\u00f3cios que ainda n\u00e3o possuem melhores pr\u00e1ticas relacionadas \u00e0 prote\u00e7\u00e3o.<\/p>\n

Como justificar o or\u00e7amento?<\/h3>\n

As respostas para a pergunta \u201cSem um ROI definido, como voc\u00ea justifica seu or\u00e7amento?\u201d foram as que me aborreceram. Parece que as justificativas mais utilizadas s\u00e3o t\u00e1ticas de intimida\u00e7\u00e3o \u2013 relat\u00f3rios de viola\u00e7\u00f5es de ciberseguran\u00e7a e avalia\u00e7\u00f5es de danos causados \u00e0 empresa em ataques anteriores. Sim, isso funciona \u2013 na primeira vez, e talvez na segunda. Mas quando chegar a terceira, a resposta ser\u00e1 algo como \u201cOK, isso foi assustador. Como os outros gerenciam as coisas?\u201d<\/p>\n

Para as empresas, \u00e9 mais relevante aprender com as experi\u00eancias de outras organiza\u00e7\u00f5es. Infelizmente, a op\u00e7\u00e3o \u201cBenchmarks da ind\u00fastria e melhores pr\u00e1ticas\u201d ficou em s\u00e9timo lugar na lista de argumentos, ainda que essas informa\u00e7\u00f5es possam ser facilmente encontradas. Por exemplo, n\u00f3s temos uma ferramenta \u00fatil: nossa Calculadora de Seguran\u00e7a de TI<\/a>.<\/p>\n

Nesse estudo, h\u00e1 muito para refletir. Pode conferir o relat\u00f3rio completo aqui<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Alguns coment\u00e1rios do l\u00edder de seguran\u00e7a da informa\u00e7\u00e3o da Kaspersky Lab sobre os resultados da pesquisa sobre CISOs.<\/p>\n","protected":false},"author":2498,"featured_media":11114,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1119,1655],"tags":[1185,201,1712,1211],"class_list":{"0":"post-11113","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-business","10":"tag-ciberseguranca","11":"tag-ciso","12":"tag-relatorio"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/ciso-report\/11113\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/ciso-report\/14547\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/ciso-report\/12173\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/ciso-report\/6059\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/ciso-report\/16480\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/ciso-report\/14675\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/ciso-report\/13586\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/ciso-report\/17241\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/ciso-report\/16517\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/ciso-report\/21613\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/ciso-report\/24288\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/ciso-report\/11107\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/ciso-report\/18006\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/ciso-report\/21895\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/ciso-report\/23832\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/ciso-report\/21425\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/ciso-report\/21428\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/business\/","name":"Business"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/11113","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/2498"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=11113"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/11113\/revisions"}],"predecessor-version":[{"id":12835,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/11113\/revisions\/12835"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/11114"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=11113"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=11113"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=11113"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}