Os conselhos de administração estão tendo as conversas erradas sobre segurança cibernética

Os conselhos de administração que têm dificuldades com sua função de supervisionar a segurança cibernética criam um problema de segurança para suas organizações. Embora os conselhos digam que a segurança cibernética é uma prioridade, eles têm um longo caminho a percorrer para ajudar suas organizações a se tornarem resilientes a ataques cibernéticos. E, ao não se concentrarem na resiliência, os conselhos falham com suas empresas. Pesquisamos 600 membros do conselho sobre suas atitudes e atividades relacionadas à segurança cibernética. Nossa pesquisa mostra que, apesar dos investimentos de tempo e dinheiro, a maioria dos diretores (65%) ainda acredita que suas organizações correm o risco de sofrer um ataque cibernético significativo nos próximos 12 meses, e quase metade acredita que não está preparada para lidar com um ataque direcionado. Infelizmente, essa conscientização cada vez maior sobre o risco cibernético não está levando a uma melhor preparação. Neste artigo, detalhamos várias maneiras pelas quais as empresas podem começar a desenvolver uma melhor conscientização sobre a segurança cibernética. Faltam interações da diretoria com o CISO Apenas 69% dos membros do conselho que responderam à pesquisa estão em contato direto com seus Diretores de Segurança da Informação (CISOs). Menos da metade (47%) dos membros fazem parte de conselhos que interagem com seus CISOs regularmente, e quase um terço deles só vê seus CISOs em apresentações para o conselho. Isso significa que os diretores e os líderes de segurança não passam tempo suficiente juntos para ter um diálogo significativo sobre as prioridades e estratégias de segurança cibernética. Além disso, nossa pesquisa constatou que, embora 65% dos membros da diretoria achem que sua organização corre o risco de sofrer um ataque cibernético significativo, apenas 48% dos CISOs compartilham dessa opinião. Essa lacuna de comunicação e o desalinhamento entre o conselho e o CISO impedem o progresso da segurança cibernética. Nossas descobertas sugerem que a desconexão entre o CISO e o conselho é exacerbada pela falta de familiaridade entre eles em um nível pessoal (eles não passam tempo suficiente juntos para se conhecerem e conhecerem suas atitudes e prioridades de forma produtiva). Também contribui para essa desconexão a dificuldade do CISO em traduzir o jargão técnico para a linguagem comercial, como risco, reputação e resiliência. Para forjar parcerias estratégicas com os CISOs, o envolvimento entre o diretor e o CISO entre as reuniões do conselho permitiria que os diretores fizessem perguntas melhores e entendessem as respostas que recebem. Os conselhos se concentram na proteção quando precisam se concentrar na resiliência Apesar do alto risco percebido, nossa pesquisa constatou que 76% dos membros do conselho acreditam ter feito investimentos adequados em proteção cibernética. Além disso, 87% esperam que seus orçamentos de segurança cibernética aumentem nos próximos 12 meses. No entanto, seus investimentos podem não estar nas áreas certas. Em uma reunião típica do conselho, as apresentações sobre segurança cibernética geralmente abrangem ameaças e as ações/tecnologias que a empresa está implementando para se proteger contra elas. Por exemplo, em muitas reuniões de diretoria, o tópico principal é a frequência com que a empresa administra um teste de phishing e os resultados estatísticos. Para nós, essa é a perspectiva errada para a supervisão da diretoria. Sabemos que não podemos estar completamente protegidos, não importa quanto dinheiro investimos em tecnologias ou programas para impedir ataques cibernéticos. Embora seja fundamental gastar recursos para proteger nossos ativos, limitar as discussões à proteção nos prepara para o desastre. Em vez disso, a conversa precisa se concentrar na resiliência. Devemos presumir, para fins de planejamento, que sofreremos algum tipo de ataque cibernético e preparar nossas organizações para responder e se recuperar com o mínimo de danos, custos e impacto na reputação. Por exemplo, em vez de entrar em detalhes em uma reunião de diretoria sobre como nossa organização está preparada para responder a um incidente, devemos nos concentrar em qual pode ser o maior risco e como estamos preparados para nos recuperar rapidamente dos danos, caso essa situação aconteça. Para mudar o foco para a resiliência como o principal objetivo da segurança cibernética, os diretores podem pedir aos líderes operacionais que criem uma visão de como a empresa responderá e se recuperará quando ocorrer um ataque. A minimização da possibilidade de um ataque cibernético bem-sucedido em primeiro lugar deve ser apenas o objetivo secundário. Os conselhos de administração veem a segurança cibernética como um tópico técnico, mas ela se tornou um imperativo organizacional e estratégico Apenas 67% dos membros do conselho acreditam que o erro humano é sua maior vulnerabilidade cibernética, embora as descobertas do Fórum Econômico Mundial indiquem que o erro humano é responsável por 95% dos incidentes de segurança cibernética. Isso pode ser um indicador de que alguns conselhos não enxergam o risco organizacional que enfrentam. Além disso, metade dos participantes da pesquisa valoriza mais o conhecimento de segurança cibernética do CISO, seguido pelo conhecimento técnico (44%) e pelo gerenciamento de riscos (38%). Isso sugere que, embora os tópicos de segurança cibernética possam ter entrado na agenda, a diretoria ainda os vê como questões técnicas. Quando os conselhos veem a segurança cibernética apenas como um tópico técnico, ela se torna um tópico operacional demais para receber atenção em suas reuniões. O tempo é limitado nas reuniões do conselho, o que dificulta a cobertura de todas as nuances necessárias para uma supervisão adequada. Os diretores podem se esquivar de fazer perguntas difíceis por acharem que não têm conhecimento suficiente sobre conceitos técnicos para articular adequadamente a pergunta ou até mesmo para entender a resposta. Ver a segurança cibernética como uma questão organizacional muda a discussão de um desafio técnico para um desafio gerencial. Quando a segurança cibernética é vista como um imperativo estratégico organizacional, ela se torna relevante para a discussão em nível de diretoria. As diretorias devem fazer perguntas como: "Qual é o risco técnico para a nossa empresa decorrente de possíveis incidentes de segurança cibernética?" "O que estamos fazendo para amenizar qualquer dano resultante da realização desse risco?" "Qual é o risco organizacional de possíveis incidentes cibernéticos e o que estamos fazendo para nos recuperarmos rapidamente das consequências?" E, "Qual é o risco da cadeia de suprimentos decorrente de possíveis incidentes de segurança cibernética e o que estamos fazendo para não perdermos um dia de produção?" A composição da maioria dos conselhos atualmente cria vulnerabilidade adicional quando poderia criar uma supervisão mais forte Muitos conselhos que estudamos são compostos por executivos muito experientes, aposentados ou não, com ampla experiência em operações, finanças, vendas e seus setores. Mas poucos têm conhecimento ou experiência em segurança cibernética. Em 2022, a SEC propôs recomendações mais explícitas para o gerenciamento de riscos de segurança cibernética, governança e divulgação para empresas públicas, e espera-se que essas propostas se tornem requisitos. Isso significa que os conselhos de administração devem ter uma supervisão mais clara do risco de segurança cibernética e incluir experiência explícita em segurança cibernética no conselho. Muitos ex-executivos eram líderes antes do atual ambiente de segurança cibernética e podem não trazer conhecimento especializado, ou mesmo uma abordagem para obter esse conhecimento, para seus conselhos. Não que eles sejam executivos inadequados para atuarem como diretores sem esse conhecimento, mas o conselho deve desenvolver esse conhecimento como um todo. Os diretores devem trazer mais do que apenas conhecimento técnico para a sala de reuniões. Eles também devem compreender o ambiente, as estruturas financeiras, as compensações e o portfólio de riscos da empresa. Encontrar novos membros para o conselho que tragam a combinação certa de conhecimento especializado em segurança cibernética e perspicácia comercial é um desafio. Para trazer o conhecimento especializado em segurança cibernética para a sala da diretoria, talvez seja necessário mudar a composição da diretoria. Os membros do conselho talvez precisem adquirir conhecimento especializado em segurança cibernética por meio de conversas frequentes sobre riscos gerados pela segurança cibernética, treinamento e programas de desenvolvimento, além de adicionar colegas com históricos profissionais e de negócios radicalmente diferentes dos atuais membros do conselho. Deixar de mostrar que a segurança cibernética é uma prioridade para o conselho de administração envia uma mensagem indesejada Nossa pesquisa constatou que quase um quarto dos conselhos de administração não vê a segurança cibernética como uma prioridade e muitos nem sequer discutem o assunto regularmente. Alguns conselhos de administração fazem apenas uma apresentação de atualização de segurança cibernética por ano, e essa apresentação geralmente se concentra em como a organização está protegida. Isso não é adequado. Tornar a segurança cibernética uma prioridade para o conselho de administração é um compromisso, não apenas uma atualização anual. TI significa falar sobre isso em todas as reuniões do conselho, receber atualizações entre as reuniões, fazer perguntas além do que é apresentado e ter interesse pessoal (como ser seguro, trazer questões cibernéticas à tona e/ou compartilhar histórias, transformar em heróis aqueles que demonstram os comportamentos que o conselho deseja ver etc.). Por exemplo, que mensagem seria enviada à liderança executiva da organização se, em cada reunião do conselho, os membros reconhecessem um "herói" exemplar que tivesse feito algo pessoalmente para aumentar a resiliência/segurança da empresa? Por outro lado, se o conselho não se esforçar para mostrar a importância da segurança cibernética para ele, intencionalmente ou não, estará comunicando que a segurança cibernética não é uma prioridade. As ações pessoais dos diretores enviam mensagens para os líderes seniores. Ao tornar a segurança cibernética uma prioridade pessoal por meio de ações e investimento de tempo e atenção, os diretores mostram o quanto ela é importante. Os conselhos de administração sabem que precisam fazer algo diferente. As recomendações da SEC codificariam esse conhecimento. As manchetes destacam cada vez mais as consequências das práticas inadequadas de segurança cibernética. Os membros do conselho com experiência em segurança cibernética estão tentando chamar a atenção de seus colegas para a TI. E os membros do conselho querem supervisionar, mesmo que não tenham as perguntas certas a fazer. Os conselhos de administração precisam discutir os riscos induzidos pela segurança cibernética de sua organização e avaliar os planos para gerenciar esses riscos. Com as conversas certas sobre como manter a empresa resiliente, eles podem dar o próximo passo para fornecer uma supervisão adequada da segurança cibernética.

Os conselhos de administração estão tendo as conversas erradas sobre segurança cibernética

Resumo.

Partner Center