Gestão de riscos para CISOs – Por que é tão importante?

Vá direto para um resumo gerado por IA desta postagem do blog

Os CISOs estão se envolvendo cada vez mais nas organizações, o que inclui um foco crescente na gestão de riscos, e não apenas do ponto de vista das ameaças, mas também do ponto de vista operacional e da lógica de negócios.

Um cenário de ameaças cada vez mais complexo transformou rapidamente a função do CISO em um dos cargos de nível C mais influentes. Não é surpresa que o escopo de atuação dos CISOs continue se expandindo, indo muito além dos objetivos originais de segurança cibernética, que eram proteger a infraestrutura e os dados.

Neste artigo, analisaremos em profundidade o que é a gestão de riscos no contexto da função do CISO. Também discutiremos por que a gestão de riscos para os CISOs se tornou tão importante e quais medidas os CISOs podem adotar para mitigar os riscos de segurança da informação e os riscos comerciais em suas organizações.

Introdução aos CISOs e à gestão de riscos

CISO é a sigla para Chief Information Security Officer (Diretor de Segurança da Informação). Mas, com funções como a de Diretor de Informação (CIO) e Diretor de Segurança (CSO) também em jogo, o que exatamente envolve a função do CISO? E o que queremos dizer quando falamos em gestão de riscos para CISOs? Vamos dar uma olhada.

Os CISOs são responsáveis pela segurança da informação e dos dados em toda a organização. Quando se pensa nas origens dessa função, isso significa, na prática, que os CISOs precisavam proteger a organização contra ameaças à segurança cibernética – invasões, ransomware e assim por diante.

Tradicionalmente, os CISOs têm a responsabilidade de liderar uma equipe de especialistas em segurança cibernética que se concentram nos aspectos práticos dessa área, como defesa de perímetro, gerenciamento de vulnerabilidades e áreas relacionadas. Nesse contexto, as principais atribuições do CISO incluem planejar a prevenção de ameaças, monitorar o ambiente geral de segurança cibernética e garantir que a infraestrutura e os ativos de informação estejam protegidos contra ameaças internas e externas.

CISO x CIO e CSO

Qual é a posição do CISO em relação ao CIO e ao CSO? Quando se trata de cargos de nível C na área de tecnologia, o CIO é o de maior hierarquia. Os diretores de informação (CIOs) quase sempre se reportam diretamente ao CEO e são responsáveis pela estratégia geral de TI — incluindo investimentos em TI, transformação digital e assim por diante.

Por sua vez, em grandes empresas, o CISO se reportaria ao CIO – embora, em organizações menores, o CISO também possa se reportar diretamente ao CEO.

Qual é o papel do CSO? Isso depende da organização. Os cargos de CISO e CSO podem ser, de certa forma, intercambiáveis. Ainda assim, pode-se considerar o CSO como um executivo de nível C responsável pela segurança da organização em um sentido mais tangível ou físico — e menos no que diz respeito à segurança da informação. As grandes organizações contam com um CSO e um CISO, cada um desempenhando funções distintas.

O papel do CISO na gestão de riscos

O que um CISO faz no dia a dia? Mesmo desde o início, a função do CISO já era relativamente complexa — como seria de se esperar de um cargo de nível C. As tarefas do CISO podem ser divididas em quatro áreas principais:

Determinar os elementos críticos: Compreender o que está em risco é um primeiro passo fundamental para os CISOs, pois não é possível proteger aquilo que não se conhece. Como parte desse processo, os CISOs realizarão uma avaliação para identificar as infraestruturas, os sistemas e os dados mais críticos, reconhecendo que a perda de acesso a esses elementos pode resultar em danos significativos.

Proteção contra ameaças: Em essência, os CISOs protegem as organizações contra ameaças internas e externas. Utilizando uma combinação de hardware, software e políticas, os CISOs protegem contra essas ameaças – limitando a capacidade dos cibercriminosos de invadir e abusar dos sistemas, bem como a dos próprios funcionários de causar estragos.

Monitoramento: A proteção contra ameaças ajuda, mas os CISOs também precisam de sistemas de alerta precoce para garantir que as equipes de segurança possam responder rapidamente a quaisquer ameaças em evolução. Isso inclui o monitoramento contínuo do sistema com notificação antecipada.

Recuperação e continuidade: A proteção ajuda, mas mesmo para os CISOs mais competentes, permanece o risco de uma violação bem-sucedida. Nesses casos, a capacidade de responder rapidamente torna-se fundamental para manter a continuidade dos negócios. Isso inclui a implementação de estratégias para agilizar a recuperação de sistemas críticos e restaurar as operações normais o mais rápido possível.

Compreendendo a gestão de riscos

Toda organização enfrenta eventos adversos. Por evento adverso, entendemos a possibilidade de algo dar errado, prejudicando as operações ou até mesmo a própria existência da organização. Antigamente, as empresas se preocupavam com coisas como secas, tempestades ou roubos físicos.

As empresas de hoje enfrentam um conjunto diferente de ameaças relacionadas à tecnologia da informação – crimes cibernéticos, falhas na infraestrutura, perda de dados, etc. Cada um desses eventos adversos apresenta um risco de ocorrer. Ao risco, está associada uma probabilidade de o evento acontecer – e também um custo associado.

A gestão de riscos é, portanto, um processo fundamental que envolve identificar, avaliar e mitigar esses ataques adversos que uma organização ou um indivíduo possa enfrentar. Em outras palavras, trata-se de uma abordagem proativa para antecipar riscos potenciais e tomar medidas para reduzir sua probabilidade ou impacto.

Isso inclui uma ampla gama de atividades, como a implementação de controles de segurança para prevenir violações de dados, o desenvolvimento de planos de recuperação de desastres para garantir a continuidade dos negócios em caso de uma interrupção grave ou a realização de inspeções de segurança regulares para identificar e mitigar riscos no local de trabalho.

O processo de gestão de riscos é o seguinte:

Identificação e análise de riscos

A identificação e análise de riscos são etapas cruciais no processo de gestão de riscos. Sua organização identifica possíveis eventos adversos que possam afetar negativamente ativos, processos e resultados. Uma vez identificados, você determina os custos potenciais associados ao risco — sejam eles insignificantes, facilmente absorvidos ou catastróficos para sua organização.

Mitigação de riscos

Com base no resultado da etapa anterior, você saberá se um risco é aceitável — ou se é necessário implementar controles específicos para mitigá-lo e evitar um desfecho potencialmente desastroso. A mitigação não se resume apenas à prevenção — ela também inclui planos de contingência para garantir a continuidade das operações comerciais caso o pior venha a acontecer.

Monitoramento de riscos

Como etapa final, uma gestão de riscos eficaz também envolve o monitoramento contínuo para identificar mudanças no panorama de riscos. O monitoramento de riscos também ajuda sua organização a identificar um evento adverso que ainda não ocorreu, mas que está se desenvolvendo.

Esta é apenas uma introdução às etapas típicas que uma organização seguiria no caminho da gestão de riscos, e os CISOs, é claro, têm prerrogativas específicas no que diz respeito à gestão de riscos.

Gestão de Riscos Corporativos e o CISO

As organizações podem identificar, avaliar e reduzir riscos em toda a sua infraestrutura utilizando a ERM (Gestão de Riscos Empresariais) como estrutura estratégica. Ela oferece uma estratégia sistemática para compreender vulnerabilidades, executar planos e responder a incidentes de maneira eficaz. As organizações podem detectar proativamente riscos potenciais e garantir a robustez de seus sistemas ao integrar técnicas de ERM às suas operações diárias.

O CISO coordena a postura de segurança da organização, que desempenha um papel fundamental na Gestão de Riscos Corporativos. Ele trabalha em conjunto com diversos departamentos para implementar diretrizes de segurança, realizar análises de risco e elaborar estratégias de resposta a incidentes. O CISO é um aliado essencial na coordenação das medidas de segurança com os objetivos da organização.

Preencher a lacuna entre as medidas técnicas de segurança cibernética e as metas de negócios é uma das principais atribuições do CISO na ERM. Os CISOs devem coordenar as estratégias de segurança com os objetivos e prioridades da organização, levando em consideração custos, produtividade e satisfação do cliente. O CISO contribui para a mitigação de riscos ao mesmo tempo em que promove a inovação e o crescimento, incorporando questões de segurança ao processo de tomada de decisão.

Por que a gestão de riscos é tão importante para os CISOs?

Como praticamente todas as organizações dependem atualmente de soluções tecnológicas para suas operações diárias e a tecnologia está cada vez mais integrada aos processos de negócios, a distinção entre a tecnologia e o restante da empresa está se tornando cada vez mais tênue.

Para gerenciar de forma eficaz as ameaças ao provisionamento de tecnologia, os CISOs não podem mais se limitar apenas à tecnologia – um CISO deve se concentrar nos aspectos comerciais, pois os problemas de segurança da tecnologia da informação são, por natureza, também problemas comerciais.

Para isso, o CISO precisa ir além das tarefas tradicionais de segurança de TI — proteger, responder e assim por diante — e, em vez disso, concentrar-se na avaliação de riscos — identificando os eventos adversos, tanto de origem comercial quanto de origem de TI, que representam uma ameaça à organização.

Os processos de negócios estão interligados à TI

Conforme sugerimos anteriormente, a gestão de riscos para os CISOs tem se tornado cada vez mais importante devido à forma como os processos de negócios estão diretamente ligados à TI, o que, por sua vez, afeta os riscos de TI. Em outras palavras, os riscos de falhas de TI não estão relacionados apenas a ameaças — os processos internos de negócios também podem gerar riscos.

Quando os CISOs se concentram exclusivamente em ameaças técnicas e externas, sem adotar uma abordagem de gestão de riscos que leve em conta o contexto empresarial mais amplo, isso significa que eles ficam limitados no que diz respeito ao nível de proteção que podem realmente oferecer à organização.

Uma gestão de riscos eficaz, capaz de compensar amplamente os riscos, exige um conhecimento muito profundo das operações comerciais e das dependências inerentes a elas. Em outras palavras, o CISO deve compreender a organização, seus procedimentos de tomada de decisão e as próprias decisões, a fim de elaborar um plano de segurança robusto. Uma abordagem de gestão de riscos é fundamental nesse processo.

Pode haver ameaças ocultas

Adotar uma abordagem que priorize os negócios e seja baseada em riscos também é importante porque as ameaças à segurança e às operações podem estar ocultas — às vezes, bem à vista. Os CISOs de hoje compreendem que os riscos de segurança não se limitam apenas às ameaças cibernéticas — a tarefa do CISO é ir além dos alvos óbvios, como, por exemplo, centros de dados, IoT e computação de ponta.

Os riscos à segurança também podem estar ocultos nos processos de negócios. Ao adotarem uma abordagem de gestão de riscos, os CISOs estão mais bem preparados para identificar os riscos menos óbvios — e aqueles que estão inseridos em processos de negócios mais complexos.

Além disso, os CISOs também precisam levar em conta os riscos associados ao erro humano. Em outras palavras, o que acontece quando os funcionários cometem erros em suas tarefas diárias – e o que ocorre se algo inesperado der errado durante a implementação ou operação da tecnologia?

O Regime Regulatório

Por fim, vale a pena analisar o risco de conformidade. Do ponto de vista da tecnologia da informação, a conformidade tem, atualmente, um peso enorme. Normas como a ISO 27001, HIPAA, NIST 800-53e PCI DSS podem resultar em multas pesadas caso as empresas não cumpram os requisitos mínimos de conformidade. A falta de conformidade também pode levar à perda de clientes ou à dificuldade em conquistar novos negócios.

Os CISOs precisam levar em conta a conformidade em sua abordagem à gestão de riscos. Em outras palavras, qual é o risco de violar as normas de conformidade? E quais são as consequências de não cumprir os padrões mínimos de gestão de riscos previstos nessas normas de conformidade?

Desafios de gestão de riscos para os CISOs

Ao avaliar ameaças à segurança da informação, os CISOs precisam ir além da proteção e das correções. Em vez disso, uma abordagem de gestão de riscos exige que os CISOs avaliem o que está mais exposto a riscos e o que tem o custo mais alto para ser corrigido.

No entanto, o papel do CISO também consiste em levar em consideração a organização como um todo — e seus processos de negócios subjacentes. Algumas das ameaças mais perigosas podem estar relacionadas a falhas nesses processos, enquanto outras, aparentemente menos graves, podem ter impactos significativos sobre eles. Cabe ao CISO identificar onde residem esses riscos reais e significativos e desenvolver estratégias para lidar com eles de forma eficaz.

O risco relacionado a fornecedores e prestadores de serviços também é importante

As organizações dependem cada vez mais de fornecedores terceirizados para a coleta, transferência e armazenamento de dados. O simples fato de utilizar um provedor de serviços em nuvem, como quase todas as organizações fazem atualmente, expõe a empresa a riscos.

Embora os CISOs façam o possível para proteger a infraestrutura tecnológica sob sua gestão contra ameaças, eles devem ser igualmente vigilantes no que diz respeito aos fornecedores. Nesse aspecto também, os CISOs devem adotar uma abordagem de gestão de riscos. Os fornecedores precisam ser monitorados, e os CISOs devem avaliar os controles de segurança desses fornecedores para garantir que a infraestrutura e os dados de suas organizações não estejam em risco.

Integrar a gestão de riscos de TI à gestão de riscos empresariais

A esta altura, já deve estar claro que a área de segurança e gestão de riscos de um CISO não existe em uma bolha tecnológica isolada do restante da empresa. A gestão de riscos já estará integrada a muitas funções empresariais; grandes organizações dedicarão recursos significativos à gestão de riscos em toda a organização.

Os CISOs devem trabalhar em estreita colaboração com outras divisões da empresa para integrar a gestão de riscos — incorporando o conhecimento sobre os riscos tecnológicos ao panorama mais amplo da gestão de riscos e, ao mesmo tempo, valendo-se da avaliação geral de riscos da organização para determinar como isso afeta os riscos de TI.

O CISO deve orientar a organização a adotar as melhores práticas de redução de riscos, especificamente na infraestrutura de TI, por exemplo, por meio da implementação de mecanismos rigorosos de aplicação de patches de segurança — de preferência automatizados —, opções adequadas de suporte dos fornecedores para os sistemas adquiridos (a fim de garantir que os sistemas estejam sempre atualizados com as novas versões de firmware), drivers e assistência técnica, bem como auditorias de segurança confiáveis e regulares realizadas por equipes internas (caso possuam o conhecimento necessário) ou por prestadores de serviços externos de renome, capazes de fornecer uma visão clara do panorama atual de segurança – entre muitas outras coisas.

Algumas empresas não terão recursos para atingir todas essas metas de maneira adequada, mas existem soluções disponíveis que lhes proporcionam esses recursos – como as oferecidas pela TuxCare – para ajudar o CISO a desempenhar suas funções com mais eficácia.

Qualquer risco de TI que seja conhecido e não seja corrigido, como um sistema sem patches ou um servidor com configuração incorreta do firewall, traduz-se diretamente em risco para os negócios — risco de violação de dados, risco de não conformidade, risco à reputação, risco financeiro, risco de roubo de propriedade intelectual ou risco operacional — e todos esses riscos, ou mesmo qualquer um deles, causarão grande prejuízo à empresa.

Comunique-se com fluidez

Uma parte fundamental do processo de gestão de riscos é a comunicação e a consulta. Pode-se argumentar que detalhes importantes sobre os riscos só virão à tona quando se realizarem discussões mais amplas. Em outras palavras, avaliar verdadeiramente o risco significa obter múltiplas perspectivas.

Para os CISOs, isso significa comunicar-se ao longo da cadeia de comando – colaborando estreitamente com os funcionários em campo para identificar riscos ocultos. Significa também uma comunicação clara com a alta administração, de modo a que os riscos de TI sejam conhecidos e plenamente compreendidos.

Gerenciar o conflito de interesses

A gestão de riscos também pode levar a um conflito de interesses. Por exemplo, os CIOs adquirem e gerenciam ativos de tecnologia, o que pode gerar um conflito entre os custos e a substituição de ativos mais antigos, por exemplo, e a implantação de novos ativos seguros e isentos de riscos.

A segregação de funções é fundamental, portanto, e os CISOs devem permanecer firmes em suas funções como gestores de risco para garantir que a tecnologia implantada apoie a gestão de riscos dentro da sua organização. Da mesma forma, quando se trata de processos de negócios, a eficiência pode entrar em conflito com a aversão ao risco. Também nesse caso, os CISOs devem garantir que a segurança de TI nunca seja comprometida pela eficiência dos negócios.

Como os CISOs podem reduzir os riscos

Ao implementar estratégias eficientes de gestão de riscos, os CISOs podem garantir que os ativos críticos de suas organizações, incluindo informações e sistemas confidenciais, permaneçam protegidos contra possíveis ameaças. Além disso, uma gestão eficaz de riscos ajuda os CISOs a priorizar seus investimentos em segurança e a alocar recursos para as áreas que exigem maior atenção.

Realização de avaliações regulares de risco: Ao avaliar regularmente os riscos potenciais que sua organização pode enfrentar, os CISOs podem identificar e priorizar os riscos mais significativos e desenvolver estratégias eficazes de mitigação.

Desenvolvimento e implementação de políticas e procedimentos de segurança: Os CISOs podem reduzir os riscos ao desenvolver e implementar políticas e procedimentos de segurança abrangentes, alinhados às melhores práticas do setor e aos requisitos regulatórios.

Oferecer treinamento contínuo de conscientização sobre segurança: Os CISOs podem ajudar a reduzir os riscos oferecendo treinamento contínuo de conscientização sobre segurança aos seus funcionários, para garantir que eles estejam cientes das possíveis ameaças à segurança e saibam como reagir a elas.

Implementação de controles de segurança: Os CISOs podem reduzir os riscos ao implementar controles de segurança eficazes, como firewalls, sistemas de detecção de intrusão e criptografia, para proteger os ativos críticos de suas organizações contra possíveis ameaças.

Desenvolvimento e implementação de planos de resposta a incidentes: Os CISOs podem reduzir os riscos desenvolvendo e implementando planos de resposta a incidentes que definam as medidas a serem tomadas em caso de um incidente de segurança. Isso permite que a organização responda de forma rápida e eficaz a incidentes de segurança e minimize seu impacto.

Correções em tempo real para gestão de riscos

Aplicação de patches em tempo real oferece vantagens significativas em termos de gestão de riscos para as organizações. Trata-se de uma abordagem automatizada e sem interrupções para a aplicação de patches que melhora a segurança cibernética ao corrigir vulnerabilidades, reduzindo assim o risco de ataques. Além disso, pode ser empregada em diversos serviços de tecnologia, incluindo sistemas operacionais Linux corporativos, bancos de dados e bibliotecas de software comumente utilizadas.

A TuxCare oferece o KernelCare Enterprise, que aplica patches em tempo real em todas as distribuições populares, incluindo CentOS, AlmaLinux, Debian, RHEL, Ubuntu, Oracle Linux, Amazon Linux, CloudLinux, Rocky Linux e muitas outras.

Para saber mais sobre como funciona o patching ao vivo, acesse aqui.

Conclusão

A função de um CISO não se limita a um escopo restrito. Embora os CISOs sejam responsáveis pela segurança cibernética e pela proteção da infraestrutura, dos aplicativos e dos dados contra ameaças internas e externas, para que isso seja feito de forma eficaz, é necessário adotar uma abordagem de gestão de riscos.

A gestão de riscos para os CISOs é abrangente. Os CISOs precisam de uma visão ampla e aprofundada dos riscos em toda a empresa. Essa visão holística permite que os CISOs gerenciem os riscos de segurança da informação em toda a empresa de maneira eficaz.

Os CISOs devem não apenas gerenciar os riscos de TI, mas também compreender e influenciar os riscos em toda a empresa, incluindo aqueles decorrentes de decisões tomadas por executivos de alto escalão.

Por fim, os CISOs precisam aceitar que nem sempre é viável eliminar completamente ou evitar todos os riscos. A mitigação é essencial sempre que possível, mas, em uma grande organização, é preciso aceitar um certo nível de risco e comunicá-lo aos colegas para que a organização possa gerenciá-lo e lidar com ele de forma eficaz.

Resumo