Narrativa cibernética: como comunicar riscos ao conselho administrativo e além

Os conselhos de administração avaliam os riscos sob a ótica financeira e operacional. Uma linguagem voltada para os negócios esclarece as consequências e contribui para decisões bem fundamentadas. 

Quem são os invasores, quais são seus alvos, qual é a probabilidade de ocorrência de incidentes e o impacto potencial no resultado financeiro, na marca e nas operações. 

Usando exemplos reais de ransomware, quantificando os custos do tempo de inatividade e mapeando os riscos para unidades de negócios específicas. 

Incidentes cibernéticos afetam cadeias de suprimentos, clientes, conformidade e receita – tornando essencial a responsabilidade compartilhada. 

Controles atuais, planos de Recovery, lacunas e Readiness – explicados em linguagem empresarial para gerar confiança. 

Assista ao vídeo aqui para ver a transcrição com marcação de tempo

Olá, sejam bem-vindos ao podcast Shift.

Sou a Melissa Hathaway e estou aqui com meus amigos, John Zangardi e Shawn Henry.

Estamos aqui para discutir como comunicar riscos à diretoria.

E vamos falar sobre algumas histórias muito interessantes relacionadas à segurança cibernética.

Muito obrigada por estarem aqui e estou ansiosa por essa conversa.

O que os conselhos de administração querem ouvir nas reuniões?

O que eles esperam do CISO e o que querem saber sobre os riscos digitais?

Sabe, sempre que penso em falar com a diretoria,

isso sempre começa com uma visão geral dos riscos.

Acho que, muitas vezes, o conselho ouve que há muitos problemas.

Eles conversam com amigos durante o jantar.

Ouvem de outros conselhos dos quais fazem parte que isso é um problema, mas não
têm necessariamente um entendimento detalhado e não precisam de

.

Acho que eles só precisam entender quem são os atores, o que eles
estão explorando e, o mais importante, qual é o impacto?

E se conseguirem compreender isso,

então poderão começar a entender como a empresa está se preparando melhor e como o CISO
está realmente protegendo a empresa para mitigar os riscos.

Os membros do conselho sabem o que é risco, quer estejam no setor de serviços financeiros ou
tenham lidado com riscos a vida inteira; eles são profissionais.

E se você apresentar a questão nesses termos, é uma ótima maneira de alinhar as perspectivas e
fornecer uma estrutura para que possam ocorrer conversas muito mais profundas sobre como a

empresa está se aprimorando para proteger a organização.

Então, faço parte de alguns conselhos e acho que tudo o que o Shawn acabou de dizer faz
todo o sentido.

Portanto, para quem está recebendo essa informação, o que eu realmente aprecio é que, no comitê de auditoria e riscos
, o CISO se apresente durante a reunião e exponha a situação da maneira como

o Shawn mencionou, para que o conselho ouça isso como parte da reunião do comitê
de auditoria e riscos.

É realmente importante que ele aborde os riscos.

Ele deve abordar: “Ei, qual é a probabilidade disso acontecer?

de algo ruim acontecer e quais seriam as consequências, certo?

Em termos empresariais comuns, isso afeta nossa marca, nossa reputação, mas também
explicar para todo o conselho como ele poderia lidar com essas questões.

Assim, ele gera uma conscientização no conselho sobre os riscos com os quais está lidando, em uma linguagem que
eles entendam, pois não dá para esperar que todos os membros do conselho sejam especialistas em TI.

certo?

Portanto, existem alguns pontos cegos e acho que é papel do CISO começar a esclarecer
esses pontos cegos.

Faço parte de alguns conselhos e faço apresentações para muitos deles.

Sempre encaro isso como se não fosse uma questão de TI.

É uma questão de risco empresarial.

E precisamos pensar nisso: todas as empresas são empresas digitais.

E como estamos nos saindo? Qual é a saúde da empresa hoje?

E pensar nesses termos-chave de negócios:

Como você realmente comunica o que está em risco do ponto de vista da PNL?

E acho que muitos de nossos profissionais nessa área encaram isso apenas como uma
questão tecnológica e não estão, na verdade, traduzindo em termos de negócios o que aconteceria se esse sistema específico, crítico para o negócio,

esse sistema específico, que é essencial para o negócio, ficasse fora do ar e isso afetasse exatamente esse PNL, isso nos custaria tal quantia por dia — e traduzir isso em termos de
negócios.

Você já identificou casos de sucesso nesse sentido, Shawn?

Acho que isso ficou muito mais fácil nos últimos anos.

O ransomware tornou isso

acessível a todos.

As pessoas podem ver quando um ransomware atinge uma determinada empresa e ela fica fora do ar por
dois dias, duas semanas ou dois meses, qual é o custo disso, e isso costuma ser

divulgado.

Vimos alguns exemplos recentes com a Jaguar no Reino Unido, aqui nos EUA, e muitas e muitas
vezes diferentes empresas que foram afetadas dessa forma.

Acho que o papel do CISO é capacitar a empresa.

Você faz isso principalmente garantindo a segurança

, mas também é preciso garantir que as funções não estejam sendo restringidas ou limitadas.

Acho que, quando o risco que estamos descrevendo aqui é comunicado de forma eficaz, a diretoria e outros executivos, como parte das operações, passam a
ter uma

compreensão e avaliação, e estarão dispostos a fazer ajustes caso reconheçam
quais serão os impactos a longo prazo.

Portanto, quantificá-lo está ficando mais fácil, pois os dados são muito mais abundantes hoje em dia.

Então, Shawn, deixe-me acrescentar um pouco mais a isso.

Confiança é algo difícil de conquistar, fácil de perder, certo?

E na primeira vez que algo ruim acontece, quando essa pessoa aparece e começa a falar
sobre o problema e o Risk, já é tarde demais.

Não há confiança.

A confiança se constrói por meio da interação, certo?

Quando ele entra em cena, a diretoria já o conhece, sabe qual é a abordagem dele ou dela, está
acostumada a lidar com essa pessoa e já viu o comportamento que resulta disso.

Então, quando essa coisa ruim acontece — o que vai acontecer com todo mundo, porque a TI
está em toda parte, está em todas as empresas, em todos os lugares hoje em dia —, você quer ter certeza de que

haja um elemento de confiança entre a pessoa que fala com a diretoria sobre riscos e a
própria diretoria.

E, além disso, em tudo isso, o CEO é o responsável final.

Portanto, embora eu esteja dizendo que isso é algo que o CISO deveria fazer, o CEO é
o responsável por isso, em última instância.

Mas não se trata apenas do CEO, do CISO, do CIO ou do Diretor de Dados.

É uma responsabilidade ampla.

Então, como você alcança essa fluência para entender que tudo isso diz respeito aos negócios e que você
está envolvendo o Diretor de Privacidade, a equipe de TI e

trazendo a equipe de transformação digital?

O CEO consegue, de fato, transmitir essas questões ao conselho, e isso se torna, de fato, uma questão de responsabilidade da equipe
, em vez de responsabilidade individual.

Então, acho que

quando se fala em responsabilidade, precisa haver uma pessoa que assuma essa responsabilidade.

Nesse caso, talvez seja o CISO quem assuma essa responsabilidade.

Mas isso precisa estar representado.

E todos na organização precisam reconhecer e compreender que se trata de um trabalho em equipe
e que cada um tem sua parcela de responsabilidade.

Todos são responsáveis, e uma violação grave ou um incidente significativo afetará
a todos na organização.

Portanto, certamente há responsabilidade e obrigação compartilhadas.

Mas, no caso do CISO, acho que é preciso ter uma pessoa que assuma a responsabilidade,

que ajude a definir a direção estratégica, que seja responsável por garantir que as medidas
sejam tomadas e que a estratégia seja executada com sucesso.

Mas, sem dúvida, trata-se de uma resposta de toda a empresa, não apenas dos executivos, mas de cada
pessoa na organização, pois todos são usuários.

Todos digitam nos teclados, todos lidam com dados, todos são responsáveis por
alimentar bancos de dados de uma forma ou de outra.

Todos precisam reconhecer e entender:

na minha organização, a segurança vem em primeiro lugar.

Estamos nos empenhando nisso e todos reconhecem que uma violação terá um impacto catastrófico
sobre todos como um todo.

Então, isso está muito bem dito.

É preciso haver um único ponto de responsabilidade.

A pessoa responsável a quem você deve recorrer, que está coordenando o exercício.

Mas muitos conselhos de administração realizam uma reunião executiva na qual os membros da empresa e o CEO não estarão
presentes.

E haverá uma discussão nesse momento.

E, às vezes, onde

os conselhos carecem de conhecimento especializado é na área cibernética, na área de TI.

E acho importante que os conselhos também tenham essa especialização em seu quadro.

E digo isso com sarcasmo — não interpretem mal —: fazer um curso da NACD sobre segurança cibernética
não transforma um membro do conselho em especialista nessa área específica.

Acho que é realmente útil para um conselho ter alguém que, quando algo acontecer,

e eles estiverem em sessão executiva, haja alguém no conselho que, dentro da empresa
— onde pode haver uma pequena quebra de confiança —, possa fazer essa tradução e levar a questão

conselho de uma forma mais compreensível ou ajudá-los a formular as perguntas que estão
fazendo.

Sim, então, acho que, se eu fosse repetir isso, você precisa contar com um membro do conselho para ajudá-lo
e, talvez, junto com o CEO, para atuar como o “tradutor” na sala e reforçar

que todos têm a responsabilidade fiduciária de proteger a empresa.

E essa é a palavra-chave: responsabilidade fiduciária.

Então, sabe, por que você não teria um ex-CISO ou um ex-CIO ou alguém desse tipo
em seu conselho para ajudá-lo a refletir sobre essas questões em reuniões da diretoria?

Concordo.

Ok.

Então, quando você começa a pensar nisso, eu sempre, quando quero contextualizar o
que está acontecendo, é o que está acontecendo.

Sabe, nós fomos

fomos vítimas de um ataque de ransomware.

E daí? Estamos completamente fora do ar e isso está nos custando muito dinheiro a cada hora e a cada dia
de inatividade.

E, como você disse, Shawn, há vários exemplos em que vemos empresas que
estão fora do ar há quase três meses e não conseguem dar suporte; não estão pagando seus

fornecedores, não estão pagando, não estão vendendo seus produtos, etc.

E aí surge a pergunta: e agora, o que temos que fazer a respeito, como chegamos a essa
situação?

Então, se você pudesse começar a falar sobre algumas das métricas

que você considera úteis para comunicar isso.

Para mim, trata-se basicamente de sistemas legados, hardware e software que
não recebem suporte e estão 100% vulneráveis o tempo todo.

Mas quais são algumas das métricas que você considera úteis, Shawn?

Bem, eu acho que, hum, quando você apresenta métricas, o objetivo do CISO ao apresentá-las
é apenas, acredito eu, mostrar ao conselho que há progresso sendo feito na

segurança geral da organização.

Então, se no mês passado

tivemos X número de vulnerabilidades que ficaram sem correção,

reduzimos essa lacuna neste mês e estamos explicando por que isso está acontecendo.

E, se isso não estiver acontecendo, então é preciso questionar a situação.

Portanto, as métricas precisam ser mensuráveis e relevantes para demonstrar
que há crescimento no programa.

Acho que coisas como a capacidade da empresa de detectar ataques.

Certo.

É preciso ter visibilidade do que está acontecendo.

Então, eis o que conseguimos detectar.

A velocidade de resposta.

Qual é o tempo necessário para responder e corrigir ou mitigar após a detecção?

Estamos reduzindo essa lacuna?

Aprendemos, por meio da IA e de vários outros vetores de ataque, que a incapacidade de identificar, detectar e reduzir rapidamente
essa lacuna resulta em uma violação.

Isso acontece com frequência.

Já vimos invasores que permaneceram nas redes por meses ou anos sem serem detectados.

Essas são algumas das métricas.

Essa questão da vulnerabilidade é crítica.

Gostei muito quando você disse que algo que é legado, que não tem mais suporte e
não recebe patches, é 100% vulnerável, 100% do tempo.

Estamos de acordo com isso?

Porque, se estivermos,

isso será considerado negligência grave caso ocorra uma violação.

Vocês sabiam que era vulnerável e optaram por não fazer nada a respeito; a vulnerabilidade foi explorada
e isso resultou nessas consequências.

Isso não é bom.

Por isso, quero que o conselho fique tranquilo, sabendo que há progresso sendo feito.

Quanto ao que o John mencionou: se você tem pessoas que são puramente empresariais, sem nenhuma
experiência na área de segurança, elas estão realmente dependendo da confiança no CISO.

Isso, por si só, não me parece adequado.

É preciso ter alguém com algum conhecimento especializado que possa se opor de maneira produtiva e
profissional.

Mas é preciso demonstrar que estamos crescendo e que estamos mais seguros.

Então, gostaria de acrescentar que tudo o que estamos fazendo é fantástico.

Quero acrescentar mais uma coisa a isso.

E acho que isso tem a ver com treinamento.

E vocês já me ouviram falar sobre aviação muitas vezes.

Mas, na aviação, quando você sai para voar e tem um voo ruim ou um contratempo, faz-se uma análise imediata.

Vocês

retrospectiva e analisam a causa raiz do que aconteceu.

E pode ser um motivo técnico, podem ser outros motivos.

Mas acho importante que, quando algo ruim acontece, a diretoria seja convocada
e receba uma explicação sobre o que ocorreu.

Foi por isso que aconteceu.

Foi assim que nos recuperamos.

Essas são as coisas que nos aconteceram em termos de, digamos, perda de receita, dano à
reputação ou o que quer que seja.

E o motivo é que,

todos sabemos disso: a gente aprende mais com os erros do que com os sucessos.

Portanto, não estou minimizando a situação, mas acho que essa é uma contribuição importante como parte do
treinamento e da capacitação do seu conselho administrativo.

Por isso, gosto sempre de usar exemplos e estudos de caso reais, e a história que mais me marcou nas
últimas semanas foi o roubo no Louvre.

Então, perdemos, você sabe, US$ 10 milhões em joias, ou talvez tenha sido até mais do que isso, certo?

E, portanto, o Louvre estava

utilizando hardware e software sem suporte em todo o museu e sabia disso.

E as senhas eram “Louvre” e “Thales” — que era a empresa que deveria
estar cuidando da segurança do local.

Então, 100% vulnerável, 100% do tempo, com uma senha fácil de adivinhar e, pronto, perderam
as joias.

Você tem alguma dessas histórias marcantes, do tipo que podem
servir de exemplo?

Você pode

torná-la anônima, dizendo algo como “foi um dia ruim, e foi algo concreto e constrangedor”.

A senha era “Louvre”?

Era… Estou escrevendo sobre isso esta semana.

Eu não sabia disso.

Isso vai sair no meu boletim informativo desta semana.

Acho que não tenho nada tão constrangedor assim.

Desculpe.

Mas, sabe, vou voltar ao que estava falando antes.

Sabe, o que a gente aprende com essas coisas?

E tive o privilégio de acompanhar muitos incidentes cibernéticos ao longo da minha carreira no
governo.

E, sabe,

Enquanto você estiver no Departamento de Defesa (DOD) e algo ruim acontecer — se você estiver vendendo para eles —, o Comando Cibernético vai
se envolver profundamente na sua vida.

A maneira como você deve lidar com isso — porque é importante que você lide com isso — é uma questão de
transparência: “Esses foram os erros que cometi”.

Eu odiaria ter que dizer ao Comando Cibernético: “Bem, nossa senha era ‘Louvre’, mas vocês precisam
ter acesso a isso”.

As consequências são muito graves quando você está vendendo para o governo, pois

o Comando Cibernético emitirá uma ordem de tarefa.

Isso basicamente significa uma substituição completa, e todos os componentes e serviços começarão a
remover isso.

Portanto, é muito importante ser totalmente sincero ao lidar com esse tipo de pessoa.

E acho que isso também se aplica aos clientes.

Se você voltar e analisar o caso da SolarWinds — que, como todos sabem, já entrou em nosso
vocabulário como um termo comum — e observar como o caso foi tratado e como eles seguiram em frente,

há muitas

coisas que deram errado — e não vou entrar em detalhes sobre isso —, mas se você analisar
a receita da empresa desde o dia em que isso aconteceu até agora, eles ainda estão de pé, são

empresa em pleno funcionamento; sua receita aumentou porque eles tomaram as medidas necessárias — por mais difíceis
que fossem e por mais erros que tenham cometido — para melhorar, e o produto está vendendo, mesmo que “SolarWinds”

seja geralmente vista como um termo não muito positivo.

Vamos aprofundar um pouco esse assunto sobre segurança de produtos, porque muitas das empresas

empresas não se consideram necessariamente empresas de segurança.

E, por isso, talvez não tenham investido na segurança desse produto.

E, assim, estamos vendo esse padrão se repetir em muitos casos: procuro um produto, comprometo a
integridade desse produto e, então, chego a muitos outros clientes que, na verdade,

contavam com elas para fazer a coisa certa: investir em segurança, garantir que um
produto de qualidade chegasse ao mercado, assegurar que ele recebesse suas atualizações, etc.

Então, como você conta a história de

quando um produto perdeu sua integridade e você sabe o que espera da empresa; então
, como você conta essa história para a diretoria? Eu não tenho poder de decisão sobre o orçamento.

Acho que você mencionou a SolarWinds, e o NotPetya é outro exemplo.

Houve casos mais recentes em que o produto sofreu violação.

Acho que esse é um dos riscos, e o CISO precisa explicar esses riscos ao conselho.

Acho que isso também levanta

um aspecto interessante sobre a continuidade das operações.

E não se trata apenas de saber onde estamos vulneráveis.

Afinal, todos nós somos vulneráveis em algum ponto.

Onde estamos vulneráveis?

Quem está nos atacando?

Por que estão nos atacando?

Quais são as consequências?

Se uma dessas coisas acontecer ou se todas elas acontecerem, como nos recuperamos disso?

Como está nossa resiliência?

E qual é o nosso plano para garantir que sejamos capazes de reconstruir a empresa e reconquistar a confiança?

Como isso se parece?

E isso precisa ser um componente importante das comunicações do CISO ao conselho.

Toda empresa vai passar por um incidente.

Pode ser algo tão simples quanto um laptop perdido.

Pode ser algo como o que vimos com a Jaguar, em que toda a empresa fica paralisada por
meses a fio e perde centenas de milhões ou bilhões de dólares.

Como é a resposta da empresa?

Quem é o responsável?

Como você comunica isso?

Como, do ponto de vista técnico, você envolve

organizações externas e parceiros para ajudá-lo nessa tarefa?

Esse é outro aspecto importante para transmitir ao conselho de administração um certo nível de confiança de que nós, como empresa
, temos o melhor plano em vigor.

A primeira coisa que queremos fazer é garantir que estamos protegendo tudo.

Quando houver um problema, precisamos garantir que tenhamos um plano em vigor para corrigi-lo.

É o que chamamos de segurança 360, porque não é possível ter resiliência sem segurança, nem
segurança sem resiliência.

Muito bem dito.

E acho que a resiliência é um

elemento sobre o qual devemos falar um pouco aqui.

Já escrevi muitos artigos sobre monocultura de software e a criação de uma dependência de um
único fornecedor de software.

Não vou citar nomes.

Se você for criterioso, vai querer garantir que criou algum tipo de redundância para
alcançar a resiliência.

Portanto, essas questões são bastante complexas em termos de como estão estruturadas.

Não espero que muitos conselhos de administração sejam capazes de analisar essas questões detalhadamente, mas acho importante que
um CISO seja transparente o suficiente,

e que o CIO seja transparente o suficiente para explicar as precauções que tomaram, como organizaram
a infraestrutura para garantir que tenham pensado em diferentes contingências que

possam ocorrer.

E que não dependam excessivamente de uma única fonte para seu software.

Sim, a continuidade dos negócios, a recuperação de desastres — gosto de chamá-los de desastres digitais.

E o desafio é que, embora eu possa ter sido responsável pela segurança, outra pessoa
é responsável pela restauração e por colocar tudo de volta em funcionamento.

Então isso passa a se destacar: como eu me preparo ou como simulo esses cenários e realizo
exercícios de simulação envolvendo o conselho?

Eu sei, Shawn, você já conduziu vários exercícios.

Sim, acho que já fizemos exercícios com o pessoal da linha de frente, o CISO e a equipe do CISO,
de forma mais ampla com a equipe executiva e também apenas com o conselho.

Acho que, nessas questões, o mais importante é a conscientização e fazer com que eles entendam.

E, na prática, tentar definir quem é responsável por quê.

Posso dizer que já participei desses exercícios.

Liderei alguns deles.

Um dos que foi mais importante e marcante para mim — e isso já faz algum tempo,
provavelmente há oito ou dez anos — foi quando me reuni com uma grande instituição financeira, e o

diretor de operações (COO) daquela organização estava na sala, e havia

20 ou 30 pessoas na sala: o CISO, além de muitos profissionais técnicos, o CIO e o CTO.

Quando apresentamos o ataque fictício e o que havia acontecido — o que, na verdade, afetou a
plataforma de negociação daquela instituição financeira —, lembro-me do COO olhando para o fim da

mesa, na direção do CISO: “Isso poderia realmente acontecer?”

Apontando para a descrição no PowerPoint, ele perguntou: “Isso poderia realmente acontecer?”

E o CISO confirmou que sim.

E ele ficou chocado.

Em seguida, passamos a analisar

Tudo bem, então, qual seria a resposta?

Bem, ah, a Mary é responsável por isso.

Na verdade, a Mary está de férias esta semana.

Quem é o substituto dela?

É o Dave.

O Dave não trabalha mais na empresa.

Para mim foi surpreendente, mas são essas coisas que acontecem quando você passa por esses
exercícios, e especialmente para um conselho passar por um exercício em que possa realmente

ver todas as implicações em cadeia e como há tantas variáveis envolvidas.

E isso realmente os ajuda a compreender e apoiar

e fornecer recursos, além de desenvolver uma atitude de valorização, eu acho, e é isso que proporciona esse resultado.

Já falamos anteriormente sobre como isso é um esporte coletivo.

Bem, o conselho faz parte da equipe porque, no fim das contas, eles têm o mesmo
objetivo que todos na empresa: querem que a empresa seja bem-sucedida e atenda aos seus

clientes.

Então, acho que esses exercícios são importantes e agregam grande valor a todo esse processo
de que estamos falando.

Então, concordo, e todos nós já ouvimos falar da curva de aprendizado.

Portanto, a primeira vez que algo acontece não deve ser a verdadeira

, certo?

Pelo que você está dizendo, onde está o Dave?

Ele desistiu.

Onde está a Mary?

Hoje é o dia de folga dela.

À medida que você realiza um exercício simulado e analisa essas questões, as pessoas se familiarizam mais
com os diferentes elementos envolvidos e com a forma como devem lidar com isso.

E as contingências surgem na forma de perguntas interessantes.

É por isso que as pessoas praticam: para aprender com a experiência e se tornarem mais competentes.

É bom já ter um pouco de proficiência antes que

algo ruim aconteça.

Por isso, eu realmente incentivaria não apenas um exercício, mas exercícios de rotina que, digamos
, elevem todos ao mesmo nível.

Desenvolver essa memória motora é realmente importante e tudo mais.

Acho que isso é essencial, mas também é importante perceber que, quando você tem um dia ruim
, não são apenas as pessoas que vão restaurar os sistemas, mas também aquelas que precisam

proteger os sistemas.

É preciso haver toda uma estratégia de comunicação.

E um planejamento cuidadoso sobre quem será o porta-voz, como minha equipe
de imprensa ou de mídia está operando, onde estão meus advogados — internos e externos —, como começo a pensar

sobre essa gestão de emergências, se assim quiser, Shawn.

É, sim, e tudo isso… um exercício de simulação é uma ótima maneira de fazer isso.

Saiba quem são essas pessoas com bastante antecedência.

Você não vai querer ficar procurando números e tentando identificar as pessoas enquanto se
esforça para responder.

Você quer estar preparado com bastante antecedência.

Essa também é uma área em que se começa a falar sobre governança, conformidade e
regulamentações, certo?

Como parte do processo de comunicação, você quer conversar, antes de tudo, com
seus clientes, é claro.

Você quer conversar com todos os seus parceiros.

Você quer conversar com seus funcionários.

E, em muitos casos, você terá que conversar com os órgãos reguladores e, então, precisará
envolver seu diretor jurídico para participar dessa conversa, pois há algumas

questões potenciais de responsabilidade civil envolvidas.

Tudo isso pode ser planejado com antecedência.

Não vai ser 100%.

Não vai ser perfeito.

Mas vai proporcionar a você familiaridade suficiente e um certo nível de confiança.

Isso vai estabelecer o relacionamento com essas pessoas de fora para que, quando algo
ruim acontecer — e isso vai acontecer, dependendo da gravidade —, você seja capaz de

reagir.

Posso garantir que aqueles que estão mais bem preparados conseguem superar essas situações com sucesso.

E aqueles que estão mal preparados fracassarão miseravelmente.

Bem, e fica evidente se você não tiver praticado isso e for o CEO que, como eu esperaria
em muitos casos, estará lidando com seus principais clientes, expondo a situação.

Isso precisa ser feito com cuidado e como se você fosse um profissional.

Portanto, simplesmente responder sem estar preparado coloca você em apuros.

E acho que isso fica muito claro pela forma como a situação é retratada.

Isso também prejudicará a reputação e a marca da empresa.

Portanto, passar a impressão de estar preparado,

com um certo grau de sofisticação e que você está no comando, acho que é algo que você precisa
transmitir nessa situação.

E você não consegue isso sem tudo o que o Shawn acabou de mencionar.

Sim, conduzi um exercício para uma instituição de saúde que durou apenas duas horas e foi
dividido em blocos de 30 minutos.

E, no final,

o CEO disse algo como: “Minha adrenalina estava a mil, minha frequência cardíaca estava em 140, e graças a Deus que isso é apenas
um exercício”.

Isso porque, se você conduzir direito, você sente o mesmo nível de estresse que sentiria se fosse
realmente um dia de verdade e um dia ruim.

Bem, nós três já trabalhamos no governo e todos nós já tivemos que ir até nosso
chefe — que provavelmente ocupava um cargo político de alto escalão — para dar más notícias.

Não é fácil.

Simplesmente não é.

Mas você tem que arrancar o curativo de uma vez.

Você tem que fazer isso.

Sim, então, no governo, costumávamos dizer que é preciso colocar o resultado final logo no início.

Vá direto ao ponto: comece todas as mensagens para a diretoria indo direto ao ponto.

Estou aqui para falar sobre A, B e C.

E hoje vou falar sobre o quanto nossa organização está doente, porque temos tantos
sistemas legados operando nosso negócio principal.

E é isso que precisamos fazer a respeito.

E é aí que preciso do apoio de vocês.

E nunca saia, especialmente quando estiver fazendo uma apresentação ao Congresso, nunca saia sem apresentar sua solicitação.

Vocês precisam deixar claro logo de cara qual é o objetivo final e, em seguida, o que querem deles.

Quero o apoio de vocês.

Preciso de dinheiro.

Precisamos de mais gente.

Você está 100% certo.

Mas é aí que entra a questão da confiança.

Se a diretoria confia na diretora de segurança porque ela sempre foi sincera com eles no passado, e eles
já passaram por um incidente antes…

Ela tem, digamos, o controle da situação; haverá essa sensação de
receptividade e eles estarão muito mais dispostos a atender ao pedido

sem fazer muitas perguntas — não que eles não devam fazer perguntas, mas quando há um
nível de confiança, o programa foi elaborado de forma que a informação flua livremente

muito, muito melhor.

Então, nossos órgãos reguladores têm basicamente nos dito que precisamos ter estratégias, políticas,
prestação de contas e financiamento adequado para a segurança cibernética e a resiliência digital de sua empresa.

E o conselho de administração deve manter uma cadência regular de reuniões e demonstrar que está, de
fato, cumprindo sua responsabilidade fiduciária.

17% das organizações afirmam que não estão preparadas para um dia ruim.

E muitos conselhos de administração ainda estão fazendo isso apenas uma vez por ano, ou delegaram essa tarefa a um
comitê, sem envolver o conselho como um todo.

Qual é a sua opinião sobre isso?

Concordo que esse deve ser um dos riscos mais significativos, se não o mais
significativo, para toda organização, pois toda a sua empresa depende do

cenário digital.

Portanto, como parte da Gestão de Riscos Empresariais (ERM), isso precisa ser algo a que

deve receber muita atenção.

Cada conselho é um pouco diferente, cada empresa é um pouco diferente; o nível de
familiaridade e o nível de especialização também variam.

Portanto, não existe realmente uma solução única que sirva para todos, mas eu diria que “quanto mais, melhor”
, devido à importância desse assunto.

Não vejo problema em que um comitê específico, como o comitê de auditoria, por exemplo
, seja a entidade responsável e que o presidente do comitê de auditoria

tenha uma relação quase matricial com o CISO, de modo que o CISO tenha um canal direto para entrar em contato,
ir até lá e conversar com o presidente do comitê de auditoria caso haja algum problema.

Mas acredito que o conselho como um todo precisa ter uma percepção e compreensão
do assunto, e isso requer uma comunicação mais frequente.

Portanto, penso como você: não sou a favor de que isso fique restrito ao comitê de auditoria, mas acho que esse é um local lógico
para se colocar isso.

E isso realmente depende de como a empresa deseja lidar com isso.

Portanto, não existe uma fórmula em si, mas…

Acho que existe uma fórmula no sentido de que isso deve estar vinculado de alguma forma ao conselho.

Mas precisamos realmente entender que o mundo não está se tornando menos arriscado em termos de segurança cibernética.

Está ficando cada vez mais arriscado.

E podemos entrar em detalhes sobre todas as razões para isso, mas elas devem ser evidentes, pois aparecem nas
notícias quase todos os dias.

Portanto, você não pode ignorar a realidade.

Não dá para enfiar a cabeça na areia como um avestruz.

É preciso realmente começar a aceitar: ok, isso está acontecendo.

Estou vendo isso acontecer.

Provavelmente já aconteceu com algum dos seus amigos no mundo dos negócios.

Como estou preparado?

Então, tudo começa com perguntas simples feitas pelo conselho.

Então, o que faremos quando isso acontecer?

E dar o pontapé inicial.

Essa é a primeira coisa que você precisa fazer para começar a se preparar.

Eu acrescentaria mais uma coisa também.

Como parte de toda essa questão da confiança, não acho que o CISO deva se limitar apenas a responder
às perguntas do conselho.

Acho que o CISO deve ser proativo.

Por exemplo,

temos falado sobre a IA como um risco significativo.

É uma nova flecha no arco dos adversários.

Seria ótimo se o CISO fosse proativo e se dirigisse ao conselho dizendo: “Ei, vocês
provavelmente já devem ter ouvido falar sobre isso.

Deixem-me explicar o que estamos fazendo aqui.

Isso ajuda a criar confiança de que os CISOs estão atentos.

Tipo: “Ei, eu sei que estamos construindo uma nova fábrica na Índia.

Aqui estão algumas reflexões e preocupações sobre isso, da

minha perspectiva como CISO.

Esses são os tipos de coisas que devemos levar em consideração.

Acho que ser proativo demonstra consciência, demonstra competência e
gera confiança.

E acho que isso realmente permite que o CISO ajude a impulsionar os negócios.

Então, Shawn, eu nunca tinha pensado no que você acabou de dizer, e adorei a ideia.

E o diretor financeiro (CFO) tem uma relação semelhante com o presidente do comitê de auditoria.

Se surgir um problema do tipo

“ei, vamos ter dificuldades para pagar os salários ou algum problema financeiro”,
entra-se em contato com o auditor.

A confiança se constrói entre essas duas pessoas.

Não há motivo.

Não há motivo válido para que um sizzle não faça algo semelhante.

Seja proativo em suas comunicações.

Sabe, eu vejo isso também como: quais perguntas o conselho deveria estar fazendo?

Não é isso, é apenas em termos gerais.

Será que realmente conhecemos todos os nossos sistemas críticos para os negócios?

Temos visibilidade de todas as identidades humanas e não humanas?

E estamos preparados para a próxima onda de identidades com a tecnologia “agentica”?

Será que realmente compreendemos todas as contas com privilégios e estamos de fato vasculhando a dark
web em busca, você sabe, de nossas credenciais e coisas do tipo?

Se vocês, nós, não conseguirmos responder a essas perguntas ao conselho, isso é, na minha opinião, um sinal de alerta de
que não temos as capacidades de que precisamos.

Não estamos realmente preparados para isso, para, você sabe, sermos uma empresa resiliente.

Então, no início da conversa, mencionei que pode ser útil para um conselho ter
alguém com experiência em TI e segurança cibernética em seu quadro.

E, como exemplo prático, faço parte do conselho de uma empresa que estava mudando seu sistema de RH
— e, como todos sabem, essa transição sempre envolve riscos.

Mas fomos informados.

Mas a compreensão real do Risk veio de mim, como membro do conselho, porque eu fazia perguntas
com base na minha experiência na transição desses sistemas

, o que foi realmente útil para o conselho entender como as coisas estavam.

E, a propósito, isso foi muito útil para o CEO, já que ele não era da área de TI.

Isso realmente trouxe o risco à tona e, em seguida, uma rica discussão sobre “eu entendo
que isso é um risco e é assim que estou gerenciando-o” é uma discussão importante que os conselhos devem

ter ao passar por mudanças em seus sistemas ou mesmo ao compreenderem seus sistemas críticos.

Portanto, o CISO precisa entender que está informando

as pessoas que têm a função de supervisionar a empresa.

É preciso explicar quais são os riscos reais para o negócio e os riscos corporativos, e
fazê-lo em termos de negócios.

E é preciso realmente discutir o plano e defender o que será necessário junto
aos membros do conselho.

Isso é absolutamente verdade.

E já lidei com muitos conselhos de administração e com muitos CISOs.

E sei que, às vezes, os CISOs relutam em fazer isso porque

seu chefe pode estar presente na reunião e eles não têm interesse em fornecer
as informações que deveriam, já que o conselho tem essa responsabilidade fiduciária e

deve conhecer a totalidade dos riscos envolvidos.

Mas eles relutam em fazer isso, e eu sugeriria aos CISOs que, mais uma vez, isso seja feito
de maneira profissional e adequada; no entanto, às vezes, é preciso coragem para fornecer essas informações, e você pode

quebrar um pouco de vidro, mas acho que é preciso fazer isso e, se você estiver em uma situação
em que sinta que não pode fornecer informações legítimas e autorizadas que o conselho

precisa ou deve ouvir, se você não estiver em um ambiente propício
para isso, precisa procurar outro emprego.

É difícil.

Uma história pessoal, sem entrar em detalhes, como CIO de uma unidade

Tenho muitos CIOs de unidades e houve um problema em uma delas, em que o
CIO dessa unidade tinha medo de falar com a liderança.

Eu o fiz.

Não deveria ser assim.

Você precisa fazer isso.

E, assim que conversei com a liderança, dava para ver nos rostos deles a surpresa, mas
eles também perceberam: “Bem, temos que fazer alguma coisa”.

Então você está certo, é difícil quebrar a barreira, mas você precisa fazer isso.

Eu fiz isso com respeito.

Fiz isso de maneira simples.

E partimos para resolver a situação.

Acho que já disse a muitos membros do conselho que, quando vocês estão sentados à mesa, precisam criar
um ambiente propício à discussão aberta.

Se você, como membro do conselho, está sentado tentando pegar alguém fazendo algo errado e
cria um ambiente que restringe o diálogo livre, você é um problema.

Você está criando problemas para esse conselho.

O ambiente precisa ser propício.

Precisa ser colaborativo.

E, mais uma vez, todos nós queremos o mesmo objetivo, certo?

Queremos que a empresa seja bem-sucedida.

Queremos minimizar os riscos, queremos encantar nossos clientes.

É isso que devemos fazer como empresa.

O Conselho de Administração tem a responsabilidade de supervisionar.

O CISO é responsável pela execução.

Mas, juntos, vocês precisam criar um ambiente que permita que isso aconteça.

E se você, como membro do conselho, não estiver criando esse ambiente, precisa procurar outro lugar
.

Mas precisamos comunicar os riscos e mitigá-los.

Correto.

E, juntos, formamos a equipe.

E precisamos fazer isso de uma maneira encantadora, porque gosto dessa palavra.

Encantadora.

Bem, foi muito divertido conversar com vocês dois, John e Shawn. Obrigado.

E com isso encerramos nosso podcast SHIFT.

Sou Melissa Hathaway, e este foi o episódio “Comunicando o risco cibernético na sala da diretoria”.