A resiliência cibernética é mais do que apenas uma palavra da moda – é um componente essencial da estratégia empresarial. É o que afirma Rosa Kariger, uma das principais especialistas em segurança cibernética, que recentemente participou do podcast “Resilience Uncompromised” ao lado de Sanjay Mirchandani, presidente e CEO da Commvault. Rosa reflete sobre sua experiência como CISO na Iberdrola e na área de segurança cibernética no Fórum Econômico Mundial, além de compartilhar insights valiosos sobre como as organizações podem construir uma cultura de resiliência cibernética.
Entendendo a resiliência cibernética como um risco operacional
A resiliência cibernética não se resume apenas a contar com sistemas robustos de Backup and Recovery. Trata-se de permitir que sua empresa continue a funcionar e a prestar serviços essenciais mesmo quando sua infraestrutura de TI estiver comprometida. Rosa enfatiza que a resiliência cibernética deve ser integrada à sua estratégia geral de gestão de riscos. Isso significa tratar a segurança cibernética como um facilitador estratégico dos negócios, e não apenas como um desafio técnico.
A importância da preparação
A preparação é um dos pilares da resiliência cibernética. Rosa destaca a necessidade de planejar cenários, especialmente para situações em que possa ocorrer a perda total da conectividade. É essencial ter um Plano B em vigor para as funções críticas do negócio. Isso permite que sua organização mantenha as operações e continue atendendo seus clientes durante um incidente cibernético.
Responsabilidades e prestação de contas bem definidas
A construção de uma cultura de resiliência cibernética exige responsabilidades claras e prestação de contas. Rosa destaca que todos os funcionários, especialmente aqueles que implementam tecnologia, devem ser responsabilizados pela segurança cibernética de seus processos. A segurança cibernética não deve ser responsabilidade exclusiva do CISO ou das equipes de TI. Pelo contrário, deve ser uma responsabilidade compartilhada por toda a organização.
Os profissionais da área técnica devem ser incentivados a zelar pela segurança cibernética, pois são responsáveis pela qualidade, eficiência e custo da tecnologia com a qual trabalham. Essa abordagem integra a segurança cibernética ao cerne das operações empresariais e garante que ela não seja tratada como algo secundário.
O Papel da Função de Segurança Cibernética
A função de segurança cibernética deve atuar como consultora e segunda linha de defesa. Isso significa fornecer orientação e informações à organização, enquanto as responsabilidades específicas de segurança cibernética estão integradas às equipes técnicas e operacionais. Dessa forma, a função de segurança cibernética pode oferecer insights estratégicos e apoio, ajudando a criar uma organização mais resiliente e segura.
Medidas práticas para desenvolver a resiliência cibernética
Construir uma cultura de resiliência cibernética não se resume apenas à implementação de tecnologias avançadas de segurança; trata-se de promover uma mentalidade em que cada funcionário compreenda e assuma a responsabilidade pela segurança cibernética. Aqui estão algumas medidas práticas e exemplos reais para ajudar as organizações a alcançar esse objetivo:
- Integrar o risco cibernético à gestão geral de riscos: isso significa que os riscos associados ao uso da tecnologia são identificados, aceitos e gerenciados em todos os níveis. Dessa forma, os funcionários ficam mais bem preparados para lidar com incidentes cibernéticos, garantindo a continuidade ininterrupta dos negócios mesmo em caso de falha da tecnologia.
- Aumentar a preparação: Realizar simulações periódicas de perda total de conectividade ou outras interrupções graves. Isso ajuda a aumentar a tolerância da organização a falhas. Por exemplo, uma instituição financeira poderia simular um cenário em que todas as transações digitais fossem interrompidas e os funcionários tivessem que recorrer a processos manuais para dar continuidade às operações.
- Defina funções e responsabilidades claras: certifique-se de que todas as equipes, incluindo as funções técnicas e operacionais, tenham responsabilidades claras em matéria de segurança cibernética. Essa responsabilização distribuída incentiva todos a zelar pela segurança. Por exemplo, em um ambiente industrial, um engenheiro que trabalha na digitalização de um processo deve ser responsável pela segurança cibernética desse processo, e não apenas o CISO.
- Ofereça treinamento adequado: o treinamento é fundamental para capacitar os funcionários a gerenciar os riscos de segurança cibernética de forma eficaz. Os profissionais da área técnica devem receber treinamento para compreender e mitigar os riscos de segurança cibernética em suas funções específicas. Isso garante que eles tenham o conhecimento necessário e sejam capazes de implementar as medidas de proteção necessárias.
- Implemente uma estratégia de “continuidade”: desenvolva um Plano B para garantir a continuidade das operações durante interrupções na infraestrutura de TI. Isso pode envolver o uso de sistemas de backup, processos manuais ou canais alternativos de comunicação. Por exemplo, um prestador de serviços de saúde pode ter um plano para utilizar prontuários em papel e registros manuais de admissão caso seu sistema de prontuários eletrônicos fique fora de serviço.
Ao seguir essas etapas, as organizações podem construir uma cultura robusta de resiliência cibernética. Essa abordagem ajuda a preparar todos para lidar com incidentes cibernéticos, manter a continuidade dos negócios e proteger informações confidenciais.
A resiliência cibernética é uma jornada, não um destino. Ao integrar a segurança cibernética às suas práticas de gestão de riscos, promover uma cultura de responsabilidade e manter uma força de trabalho bem preparada e informada, você pode ajudar a criar uma organização resiliente, pronta para enfrentar qualquer desafio. Seja proativo, mantenha-se informado e seja resiliente.
