Sua empresa está preparada para governar a IA? Leia o AI Impact Survey 2026.
31 jul. 2023 6 min leitura
Uma segurança cibernética eficaz também está relacionada ao suporte e investimento do conselho. No entanto, o envolvimento do conselho varia entre as empresas. Em pesquisa recente sobre violações de cibersegurança, foi observado que há mais maturidade sobre o assunto em organizações maiores: 53% das grandes empresas têm membros do conselho ou curadores responsáveis pela segurança cibernética, em comparação a 30% de todas as empresas.
O cumprimento das obrigações corporativas em vulnerabilidade digital depende da compreensão precisa dos riscos e da postura interna quanto aos aspectos de segurança, além de conhecimento técnico para reconhecer a relevância desta pauta. Por isso, os líderes em Segurança da Informação têm um papel fundamental no apoio ao conselho e no suporte aos processos de governança.
Em 2020, foi publicado o Cyber Security Toolkit for Boards pelo UK NCSC, para ajudar membros do conselho a compreender melhor dados de segurança cibernética, apresentando-os num contexto mais amplo a fim de facilitar a interpretação e fornecer mais escopo para análises robustas. Porém, de acordo com a pesquisa de violações de segurança cibernética, apenas 21% dos membros do conselho de médias empresas e 30% dos membros das grandes empresas estão cientes disso.
A falta de entendimento dos dados é apenas parte do problema. É necessário apresentar ao conselho as informações corretas e de maneira significativa. Os times de cibersegurança geralmente apresentam dados que são muito genéricos e quantitativos por natureza, tornando difícil para os conselhos entender como os riscos podem se materializar e seu impacto real. É recomendado que os negócios exponham um cenário realista e prático de suas ameaças e de seu gerenciamento de riscos para fortalecerem seu perfil de segurança cibernética.
Os Diretores de Segurança da Informação (CISOs - Chief Information Security Officers) costumam liderar as apresentações ao conselho, mas há um potencial conflito aqui, no qual as estruturas de governança podem incentivar os CISOs a retratar positivamente a gestão de riscos cibernéticos e minimizar os pontos negativos.
Os conselhos, por sua vez, não precisam de garantias de que tudo está bem, mas sim de uma imagem precisa das ameaças atuais, riscos associados e controles de mitigação para que possam tomar decisões estratégicas. Se o conselho não souber que há um problema, não poderá colaborar e ajudar a resolvê-lo.
A governança eficaz depende de uma análise sólida e abrangente, por isso é fundamental informar de maneira acessível e significativa. No reporte ao conselho, os CISOs geralmente focam no número de vulnerabilidades identificadas e tentativas de invasão que foram impedidas. Embora estas informações possam ajudar a entender a escala do problema, não são necessariamente os dados mais valiosos para a tomada de decisões.
O que o conselho realmente precisa é de uma visão geral dos riscos críticos para os negócios, com uma análise do que foi corrigido e do que não foi, informações sobre o tipo de ameaças enfrentadas pela organização, riscos emergentes e o que acontecerá caso estes se materializarem. Ele também precisa saber quais são os riscos residuais e se organização estará disposta a assumi-los.
Uma lista de invasões detectadas e malsucedidas, por exemplo, não ajuda uma empresa de serviços financeiros a entender os riscos em torno de sua resiliência operacional e proteção de dados. Mas uma análise detalhada sobre o ransomware em questão e quanto tempo um invasor levaria para acessar os dados pessoais ou desativar um serviço crítico poderá contribuir muito mais. Afastar a discussão das estatísticas e aproximá-la dos riscos-chave pode ajudar seu conselho a direcionar esforços e investimento ao lugar certo, aumentando a maturidade de sua segurança cibernética.
Segurança cibernética é uma das muitas áreas de uma organização, e é função do conselho coletar informações de cada uma delas para elaborar uma estratégia. Para suportar este processo, o papel do CISO consiste em apresentar informações precisas para fundamentar a estratégia e tomar as medidas necessárias para fornecê-las. É importante manter ambas as funções em mente ao trabalhar com o conselho e ao alocar responsabilidades no time de segurança cibernética. Responsabilidades claras são essenciais para rastrear ações corretivas críticas e direcionar dúvidas ao profissional correto caso o desempenho cibernético não atinja a qualidade esperada.
Viabilizar a estratégia também depende da coordenação com outros departamentos. Cibersegurança pode ser um setor mais isolado, assim outras equipes geralmente têm uma compreensão limitada do seu trabalho. A criação de grupos interdepartamentais para compartilhar conhecimento e construir confiança pode ajudar a alinhar as atividades em direção ao mesmo objetivo final.
Embora os treinamentos obrigatórios possam agregar valor significativo à compreensão dos profissionais sobre os riscos cibernéticos, eles podem não ser suficientes. É essencial oferecer treinamentos e fóruns abertos de forma regular para compartilhar conhecimento de forma relevante, direcionada e acessível a todos os colaboradores. Essas iniciativas precisam ser apoiadas pela cultura da empresa, ajudando a área de cibersegurança a envolver pessoas de toda a organização. A cultura certa pode capacitar os funcionários a levantarem incidentes sem medo de represálias.
No entanto, o treinamento não é uma via de mão única. Embora seja importante desenvolver conhecimento sobre segurança cibernética em toda a organização, a equipe responsável também precisa entender o que o resto da empresa faz e como eles se encaixam nisso. É possível, por exemplo, que não saibam muito sobre o cenário regulatório do negócio, mas uma compreensão básica dos principais regulamentos, como resiliência operacional, é inestimável.
Isso pode oferecer à sua equipe contexto sobre porque algumas atividades foram priorizadas pelo conselho e apoiar na gestão eficiente das cargas de trabalho, além de ajudar a área de cibersegurança a preparar seus processos, acordos de terceirização e futuros recursos de tecnologia. Também poderá ser útil no relatório do seu CISO ao conselho, ajudando a identificar as informações que representam um nível de ameaça significativo e que agregam valor para fins de governança.
Seu time de cibersegurança tem um papel crítico no suporte à boa governança organizacional. Para isso, você precisa pensar em como trabalha com o conselho e apoia o trabalho deles.
Refletir e agir com base nos pontos acima pode aumentar a maturidade da sua segurança cibernética, melhorar a supervisão do conselho e apoiar os objetivos estratégicos de toda a empresa.
Por: Ankur Aeran, Diretor de Segurança Cibernética da Grant Thornton UK.
Descubra como transformar iniciativas de IA em resultados mensuráveis. Acesse os insights da pesquisa AI Impact 2026 da Grant Thornton.
Entenda o novo requisito obrigatório do IIA para cibersegurança e como a auditoria interna deve adaptar governança, riscos e controles.
Descubra como terceirização, IA e modernização estão transformando a criação de valor em M&A, acelerando integrações, capturando sinergias e impulsionando resultados pós-transação.