Narrativa cibernética: como comunicar riscos ao conselho administrativo e além

Os conselhos de administração avaliam os riscos sob a ótica financeira e operacional. Uma linguagem voltada para os negócios esclarece as consequências e contribui para a tomada de decisões bem fundamentadas. 

Quem são os invasores, quais são seus alvos, qual é a probabilidade de ocorrência de incidentes e qual é o impacto potencial nos resultados financeiros, na marca e nas operações. 

Utilizando exemplos reais de ransomware, quantificando os custos decorrentes do tempo de inatividade e mapeando os riscos para unidades de negócios específicas. 

Os incidentes cibernéticos afetam as cadeias de suprimentos, os clientes, a conformidade e a receita  o que torna a responsabilidade compartilhada essencial. 

Controles atuais, planos de Recovery, lacunas e Readiness– explicados em linguagem empresarial para gerar confiança. 

Assista ao vídeoaquipara ver a transcrição com marcação de tempo

Olá, sejam bem-vindos ao podcast Shift.

Meu nome é Melissa Hathaway e estou aqui com meus amigos, John Zangardi e Shawn Henry.

Estamos aqui para discutir como comunicar riscos à diretoria.

E vamos falar sobre algumas histórias muito interessantes relacionadas a incidentes cibernéticos.

Muito obrigada por estarem aqui e estou ansiosa por essa conversa.

O que os conselhos de administração querem ouvir nas reuniões?

O que eles esperam do CISO e o que querem saber sobre os riscos digitais?

Sabe, sempre que penso em falar com a diretoria,

Isso sempre começa com uma visão geral dos riscos.

Acho que, muitas vezes, o conselho ouve que há uma série de problemas.

Eles conversam com amigos durante o jantar.

Eles ouvem de outros conselhos dos quais fazem parte que isso é um problema, mas não
têm necessariamente um entendimento detalhado e não precisam de

.

Acho que eles só precisam entender quem são os atores, o que eles
O que estão explorando e, o mais importante, qual é o impacto?

E se conseguirem compreender isso,

então poderão começar a entender como a empresa está se preparando melhor e como o CISO
está realmente protegendo a empresa para reduzir os riscos.

Os membros do conselho sabem o que é risco, estejam eles no setor de serviços financeiros ou
Eles lidam com riscos a vida inteira; são profissionais.

E se você apresentar a questão nesses termos, essa é uma ótima maneira de alinhar as perspectivas e
fornecer uma estrutura para que possam ocorrer conversas muito mais profundas sobre como a

A empresa está se aprimorando para proteger a organização.

Então, faço parte de alguns conselhos e acho que tudo o que o Shawn acabou de dizer faz
todo o sentido.

Então, para quem está recebendo essa informação, o que eu realmente gosto é que, no comitê de auditoria e risco
, que o CISO se apresente durante a reunião e exponha a situação da seguinte forma

o Shawn mencionou, para que o conselho ouça isso como parte da reunião do comitê
de auditoria e riscos.

É muito importante que ele aborde os riscos.

Ele deve abordar: “Ei, qual é a probabilidade disso acontecer?

de algo ruim acontecer e quais seriam as consequências, certo?

Em termos empresariais gerais, isso afeta nossa marca, nossa reputação, mas também
explicar a todo o conselho como ele poderia lidar com essas situações.

Dessa forma, ele promove a conscientização do conselho sobre os riscos com os quais está lidando, em uma linguagem que
para que eles entendam, porque não dá para esperar que todos os membros do conselho sejam especialistas em TI.

certo?

Portanto, existem alguns pontos cegos e acho que é papel do CISO começar a esclarecer
esses pontos cegos.

Faço parte de alguns conselhos e faço apresentações para muitos deles.

Sempre encaro isso como se não fosse uma questão de TI.

É uma questão de risco empresarial.

E precisamos refletir sobre isso: todas as empresas são empresas digitais.

E como estamos nos saindo? Qual é a saúde da empresa hoje?

E considere estes principais termos comerciais:

Como você realmente comunica o que está em risco do ponto de vista da PNL?

E acho que muitos dos nossos profissionais nessa área encaram isso apenas como uma
questão tecnológica e, na verdade, não estão entendendo: se esse sistema específico, essencial para os negócios,

Se um sistema específico, essencial para o negócio, ficar fora do ar e isso afetar esse PNL específico, isso nos custará essa quantia por dia — e traduzir isso em termos de
negócios.

Você já identificou casos de sucesso nesse sentido, Shawn?

Acho que isso ficou muito mais fácil nos últimos anos.

O ransomware tornou isso

acessível a todos.

As pessoas podem ver quando um ransomware atinge uma determinada empresa e ela fica fora do ar por
dois dias, duas semanas ou dois meses, qual é o custo disso, e isso costuma ser

divulgado.

Vimos alguns exemplos recentes com a Jaguar no Reino Unido e, aqui nos EUA, inúmeros
vezes diferentes empresas que foram afetadas dessa forma.

Acho que o papel do CISO é capacitar a empresa.

Você faz isso principalmente garantindo a segurança

, mas também é preciso garantir que as funções não estejam sendo restringidas ou limitadas.

Acho que, quando o risco que estamos descrevendo aqui é comunicado de forma eficaz, o conselho e outros executivos, como parte das operações, passam a
ter uma

compreensão e avaliação, e estarão dispostos a fazer ajustes caso reconheçam
quais serão os impactos a longo prazo.

Portanto, quantificá-lo está ficando mais fácil, pois os dados estão muito mais disponíveis hoje em dia.

Então, Shawn, deixe-me acrescentar mais algumas coisas a respeito disso.

A confiança é algo difícil de conquistar, fácil de perder, certo?

E, na primeira vez que algo ruim acontece, quando essa pessoa aparece e começa a falar
Quanto ao problema e ao Risk, já é tarde demais.

Não há confiança.

A confiança se constrói por meio da interação, certo?

Quando ele entra em cena, a diretoria já o conhece, sabe como ele age, está
acostumada a lidar com essa pessoa e já viu o tipo de comportamento que isso acarreta.

Então, quando essa coisa ruim acontecer — o que vai acontecer com todo mundo, porque a TI
está em toda parte, está em todas as empresas hoje em dia —, você quer ter certeza de que

que haja um clima de confiança entre a pessoa que fala com a diretoria sobre riscos e a
sua própria diretoria.

E, além disso, em tudo isso, o CEO é o responsável final.

Portanto, embora eu esteja dizendo que isso é algo que o CISO deve fazer, o CEO é
o responsável final por isso.

Mas não se trata apenas do CEO, do CISO, do CIO ou do Diretor de Dados.

É uma responsabilidade ampla.

Então, como você alcança essa fluência para entender que tudo isso diz respeito aos negócios e que você
está reunindo o Diretor de Privacidade, a equipe de TI e

traz a equipe de transformação digital.

O CEO consegue, de fato, explicar as coisas ao conselho, e isso se torna realmente uma questão de responsabilidade da equipe
, em vez de responsabilidade individual.

Então, acho que

quando se fala em responsabilidade, precisa haver uma pessoa que assuma essa responsabilidade.

Nesse caso, talvez seja o CISO quem assuma essa responsabilidade.

Mas isso precisa estar representado.

E todos na organização precisam reconhecer e compreender que se trata de um trabalho em equipe
e que cada um tem sua parcela de responsabilidade.

Todos são responsáveis, e uma violação grave ou um incidente significativo afetará
a todos na organização.

Portanto, certamente há responsabilidade e obrigação compartilhadas.

Mas, no caso do CISO, acho que é preciso haver alguém que assuma a responsabilidade,

que ajude a definir a direção estratégica, que seja responsável por garantir que as medidas
sejam tomadas e que a estratégia seja executada com sucesso.

Mas, sem dúvida, trata-se de uma resposta de toda a empresa, não apenas dos executivos, mas de cada
pessoa na organização, porque todos são usuários.

Todos digitam nos teclados, todos lidam com dados, todos são responsáveis por
alimentar bancos de dados de uma forma ou de outra.

Todos precisam reconhecer e entender:

Na minha organização, a segurança vem em primeiro lugar.

Estamos nos empenhando nisso e todos reconhecem que uma violação terá um impacto catastrófico
sobre todos como um todo.

Então, isso está muito bem dito.

É preciso que haja um único ponto de responsabilidade.

A pessoa responsável a quem você deve recorrer, que está coordenando a ação.

Mas muitos conselhos de administração realizam uma reunião executiva na qual os membros da empresa e o CEO não estarão
presentes.

E haverá uma discussão nesse momento.

E, às vezes, onde

Os conselhos carecem de conhecimento especializado justamente na área cibernética, na área de TI.

E acho importante que os conselhos também tenham esse conhecimento entre seus membros.

E digo isso com sarcasmo ☺ — não interpretem mal ☺ —: participar de um curso da NACD sobre segurança cibernética
isso não faz com que um membro do conselho seja um especialista nessa área específica.

Acho que é realmente útil para um conselho ter alguém que, quando algo acontecer,

e, caso estejam em sessão executiva, haja alguém no conselho que faça parte da empresa
— onde possa haver uma pequena quebra de confiança — que possa fazer essa tradução e levar a questão

dar conselhos de uma forma mais compreensível ou ajudá-los a formular as perguntas que estão
fazendo.

Sim, então, acho que, se eu fosse repetir isso, você precisaria contar com a ajuda de um membro do conselho
e, talvez, junto com o CEO, para atuar como o “tradutor” na sala e reforçar

que todos têm a responsabilidade fiduciária de proteger a empresa.

E essa é a palavra-chave: responsabilidade fiduciária.

Então, sabe, por que você não teria um ex-CISO ou um ex-CIO, ou alguém nesse tipo de cargo?
, em suas orientações para ajudá-lo a refletir sobre essas questões nas reuniões da diretoria?

Concordo.

Ok.

Então, quando você começa a pensar nisso, eu sempre, quando quero contextualizar o
o que tá rolando, é o que está acontecendo.

Sabe, nós fomos

Fomos vítimas de um ataque de ransomware.

E daí? Estamos completamente fora do ar e isso está nos custando muito dinheiro a cada hora e a cada dia
de inatividade.

E, como você disse, Shawn, há vários exemplos em que vemos empresas que
estão fora do ar há quase três meses e não conseguem se sustentar; não estão pagando suas

fornecedores, não estão pagando, não estão vendendo seus produtos, etc.

E aí surge a pergunta: e agora? O que temos que fazer a respeito? Como chegamos a essa
situação?

Então, se você pudesse começar a falar sobre algumas das métricas

que você considera úteis para transmitir isso.

Para mim, trata-se basicamente de sistemas legados, hardware e software que
não recebem suporte e estão 100% vulneráveis o tempo todo.

Mas quais são algumas das métricas que você considera úteis, Shawn?

Bem, eu acho que… quando você apresenta métricas, o objetivo do CISO ao fazer isso
Isso, creio eu, serve apenas para mostrar ao conselho que há progresso sendo feito na

segurança geral da organização.

Então, se no mês passado

Neste mês, tivemos X número de vulnerabilidades que não foram corrigidas.

reduzimos essa lacuna neste mês e estamos explicando por que isso está acontecendo.

E, se isso não estiver acontecendo, então é preciso questionar.

Portanto, as métricas precisam ser mensuráveis e relevantes para demonstrar
que o programa está crescendo.

Acho que coisas como a capacidade da empresa de detectar ataques.

Certo.

É preciso ter uma visão geral do que está acontecendo.

Então, eis o que conseguimos identificar.

A velocidade de resposta.

Qual é o tempo necessário para responder e corrigir ou mitigar o problema após a detecção?

Estamos reduzindo essa lacuna?

Aprendemos, por meio da IA e de vários outros vetores de ataque, que a incapacidade de identificar, detectar e reduzir rapidamente
Essa lacuna resulta em uma violação.

Isso acontece com frequência.

Já vimos invasores que permaneceram nas redes por meses ou anos sem serem detectados.

Essas são algumas das métricas.

Essa questão da vulnerabilidade é fundamental.

Gostei muito quando você disse que, no caso de um sistema legado, ele não tem mais suporte,
não recebe patches, é 100% vulnerável e fica exposto 100% do tempo.

Estamos de acordo com isso?

Porque, se estivermos,

isso será considerado negligência grave caso ocorra uma violação.

Vocês sabiam que havia uma vulnerabilidade e optaram por não tomar nenhuma medida a respeito; o sistema foi explorado
E isso resultou nessas consequências.

Isso não é bom.

Então, quero que o conselho tenha certeza de que estamos fazendo progressos.

Quanto ao que o John disse, se você tem pessoas que são puramente empresárias, sem nenhuma
experiência na área de segurança, elas estão, na verdade, dependendo da confiança no CISO.

Isso, por si só, não me parece apropriado.

É preciso ter alguém com algum conhecimento especializado que possa contestar de maneira produtiva e
profissional.

Mas é preciso mostrar que estamos crescendo e que estamos mais seguros.

Então, gostaria de acrescentar que tudo o que estamos fazendo é fantástico.

Quero acrescentar mais uma coisa a isso.

E acho que isso tem a ver com treinamento.

E vocês já me ouviram falar sobre aviação muitas vezes.

Mas na aviação, quando você viaja e passa por um voo ruim ou por algum contratempo, é feita uma análise imediata.

Vocês

uma análise retrospectiva para identificar a causa raiz do que aconteceu.

E pode ser por uma questão técnica, ou pode ser por outros motivos.

Mas acho importante que, quando algo ruim acontecer, a diretoria seja convocada
e receba uma explicação sobre o que aconteceu.

Foi por isso que aconteceu.

Foi assim que nos recuperamos.

Essas são as coisas que nos aconteceram em termos de, digamos, perda de receita, prejuízo para 
reputação ou o que quer que seja.

E o motivo é que,

todos sabemos disso: a gente aprende mais com os erros do que com os sucessos.

Portanto, não estou minimizando a situação, mas acho que essa é uma contribuição importante como parte do
treinamento e capacitação de seu conselho administrativo.

Por isso, sempre gosto de usar exemplos e estudos de caso reais, e a história que mais me marcou nas
Nas últimas semanas, ocorreu o roubo no Louvre.

Então, perdemos, você sabe, US$ 10 milhões em joias, ou talvez tenha sido até mais do que isso, certo?

E o Louvre estava

utilizando hardware e software sem suporte em todo o museu e sabia disso.

E como as senhas eram “Louvre” e “Thales” — que era a empresa que deveria
estar cuidando da segurança do local.

Então, 100% vulnerável, 100% do tempo, com uma senha fácil de adivinhar e, pronto, perderam
as joias.

Você tem alguma dessas histórias marcantes, do tipo que a gente pode
usar como exemplo?

Você pode

torná-la anônima, dizendo algo como “foi um dia ruim, e foi algo concreto e constrangedor”.

A senha era “Louvre”?

Era… Estou escrevendo sobre isso esta semana.

Eu não sabia disso.

Isso vai sair no meu boletim informativo desta semana.

Acho que não tenho nada tão constrangedor assim.

Desculpe.

Mas, sabe, vou voltar ao que estava falando antes.

Sabe, o que a gente aprende com essas coisas?

Tive o privilégio de acompanhar muitos incidentes cibernéticos ao longo da minha carreira no
governo.

E, sabe,

Enquanto você estiver no Departamento de Defesa (DOD) e algo ruim acontecer — caso você esteja vendendo para eles —, o Comando Cibernético vai
se envolver profundamente na sua vida.

A maneira como você deve lidar com isso — porque é importante que você lide com isso — é uma questão de
transparência: “Esses foram os erros que cometi”.

Eu odiaria ter que dizer ao Comando Cibernético: “Bem, nossa senha era ‘Louvre’, mas você precisa”
“ter acesso a isso”.

As consequências são muito graves quando você está vendendo para o governo, e

O Comando Cibernético emitirá uma ordem de tarefa.

Isso significa basicamente uma substituição completa, e todos os componentes e serviços começarão a
devem ser removidos.

Portanto, é muito importante ser totalmente sincero ao lidar com esse tipo de pessoa.

E acho que isso também se aplica aos clientes.

Se você voltar e analisar o caso da SolarWinds — que, como todos sabem, já chegou ao nosso
vocabulário como um termo comum — e observar como a situação foi tratada e como eles seguiram em frente,

há muitas

coisas que deram errado — e não vou entrar em detalhes sobre isso —, mas se você observar
a receita da empresa desde o dia em que isso aconteceu até agora; eles ainda estão de pé, são

em pleno funcionamento; sua receita aumentou porque eles tomaram as medidas necessárias — por mais difíceis que fossem
por mais que tenham cometido erros — para melhorar, e o produto está vendendo, embora “SolarWinds”

seja geralmente vista como um termo não muito positivo.

Vamos abordar um pouco mais a fundo esse assunto sobre segurança de produtos, porque muitas dessas empresas

As empresas não se consideram necessariamente empresas de segurança.

E, por isso, talvez não tenham investido na segurança desse produto.

E, assim, estamos vendo esse padrão se repetir em muitos casos: vou atacar um produto, comprometer a
integridade desse produto e, assim, alcançar muitos outros clientes que, na verdade,

contavam com elas para fazer a coisa certa: investir em segurança, garantir que um
que um produto de qualidade fosse lançado no mercado, garantir que ele recebesse suas atualizações, etc.

Então, como você conta a história de

quando um produto perdeu sua integridade e você sabe o que espera da empresa — então
, como você explica essa situação para a diretoria? Eu não tenho poder de decisão sobre os recursos financeiros.

Acho que você mencionou a SolarWinds, e o NotPetya é outro exemplo.

Houve casos mais recentes em que o produto sofreu violação.

Acho que esse é um dos riscos, e o CISO precisa explicar esses riscos ao conselho.

Acho que isso também levanta

um aspecto interessante sobre a continuidade das operações.

E não se trata apenas de saber onde estamos vulneráveis?

Afinal, todos nós temos pontos fracos em algum lugar.

Em que aspectos somos vulneráveis?

Quem está nos atacando?

Por que estão nos atacando?

Quais são as consequências?

Se uma dessas coisas acontecer ou se todas elas acontecerem, como nos recuperamos disso?

Como está nossa resiliência?

E qual é o nosso plano para garantir que sejamos capazes de reconstruir a empresa e reconquistar a confiança?

Como isso acontece na prática?

E isso precisa ser um componente importante das comunicações do CISO ao conselho.

Toda empresa vai passar por um incidente.

Pode ser algo tão simples quanto um laptop perdido.

Pode ser algo como o que vimos com a Jaguar, em que toda a empresa fica paralisada por
meses seguidos e eles perdem centenas de milhões ou bilhões de dólares.

Como é a resposta da empresa?

Quem é o responsável?

Como você comunica isso?

Como, do ponto de vista técnico, você lida com

organizações externas e parceiros para ajudar nessa tarefa?

Esse é outro aspecto importante para proporcionar ao conselho de administração um certo nível de tranquilidade de que nós, como empresa
, temos o melhor plano em vigor.

A primeira coisa que queremos fazer é garantir que estamos protegendo tudo.

Quando houver um problema, precisamos garantir que tenhamos um plano em vigor para corrigi-lo.

É isso que chamamos de segurança 360, porque não dá para ter resiliência sem segurança, nem
segurança sem resiliência.

Muito bem dito.

E acho que a resiliência é um

elemento sobre o qual devemos falar um pouco aqui.

Já escrevi muitos artigos sobre a monocultura de software e a criação de uma dependência em relação a um único
fornecedor de software.

Não vou citar nomes.

Se você for prudente, vai querer garantir que criou algum tipo de redundância para
alcançar a resiliência.

Portanto, essas questões são bastante complexas no que diz respeito à sua estrutura.

Não espero que muitos conselhos de administração sejam capazes de analisar essas questões, mas acho importante que
um CISO seja transparente o suficiente,

e que o CIO seja transparente o suficiente para explicar as precauções que tomaram e como se organizaram
a infraestrutura para garantir que tenham levado em conta diferentes contingências que

possam ocorrer.

E que não dependam excessivamente de uma única fonte para seu software.

Sim, a continuidade dos negócios, a recuperação após desastres — gosto de chamá-los de desastres digitais.

E o desafio é que, embora eu possa ter sido responsável pela segurança, outra pessoa
É responsável pela restauração e por colocar tudo de volta em funcionamento.

Então isso começa a se destacar: como eu me preparo ou como simulo esses cenários e realizo
exercícios de simulação envolvendo o conselho?

Eu sei, Shawn, você já conduziu vários exercícios.

Sim, acho que já fizemos exercícios com o pessoal da linha de frente, o CISO e a equipe do CISO,
de forma mais ampla com a equipe executiva e também apenas com a diretoria.

Acho que, nessas questões, o mais importante é a conscientização e fazer com que eles entendam.

E, na prática, tentar definir quem é responsável por quê.

Posso dizer que já participei desses exercícios.

Liderei alguns deles.

Um dos que foi mais importante e marcante para mim — e isso já aconteceu há algum tempo,
Provavelmente há oito ou dez anos — foi quando me reuni com uma grande instituição financeira, e o

O diretor de operações (COO) daquela organização estava na sala, e havia

Havia 20 ou 30 pessoas na sala: o CISO, além de muitos profissionais técnicos, o CIO e o CTO.

Quando expusemos o ataque fictício e o que havia ocorrido, o que de fato afetou a
na plataforma de negociação dessa instituição financeira, lembro-me de ver o diretor de operações (COO) olhando para o outro lado da

mesa, na direção do CISO: “Isso poderia realmente acontecer?”

Apontando para a descrição no PowerPoint, ele perguntou: “Isso poderia realmente acontecer?”

E o CISO confirmou que sim.

E ele ficou chocado.

Em seguida, passamos a analisar

Tudo bem, então, qual seria a resposta?

Bem, ah, a Mary é a responsável por isso.

Na verdade, a Mary está de férias esta semana.

Quem é a substituta dela?

É o Dave.

O Dave não trabalha mais na empresa.

Para mim foi surpreendente, mas são essas coisas que acontecem quando você passa por essas
exercícios, e especialmente para que uma diretoria passe por um exercício em que ela possa realmente

ver todas as implicações em cadeia e como há tantas variáveis envolvidas.

E isso realmente os ajuda a compreender e apoiar

e fornecer recursos, além de desenvolver uma atitude de valorização, eu acho, e é isso que proporciona esse resultado.

Já falamos anteriormente sobre como isso é um esporte coletivo.

Bem, o conselho faz parte da equipe porque, no fim das contas, eles têm o mesmo
objetivo que todos na empresa compartilham: querem que a empresa seja bem-sucedida e atenda às expectativas de seus

clientes.

Então, acho que esses exercícios são importantes e agregam grande valor a todo esse processo
de que estamos falando.

Então, concordo, e todos nós já ouvimos falar da curva de aprendizado.

Portanto, a primeira vez que algo acontece não deve ser a

, certo?

Pelo que você está dizendo, onde está o Dave?

Ele desistiu.

Onde está a Mary?

Hoje é o dia de folga dela.

À medida que vocês realizam um exercício simulado e revisam essas questões, as pessoas ficam mais
familiarizadas com os diferentes elementos envolvidos e com a maneira como devem lidar com isso.

E as contingências surgem na forma de perguntas interessantes.

É por isso que as pessoas praticam: para aprender com a experiência e se tornarem mais competentes.

É bom já ter um certo domínio antes de

algo ruim aconteça.

Por isso, eu realmente recomendaria não apenas um exercício, mas exercícios de rotina que, digamos
, elevem todos ao mesmo nível.

Desenvolver essa memória motora é realmente importante e tudo mais.

Acho que isso é essencial, mas também é importante perceber que, quando você tem um dia ruim
, não são apenas as pessoas que vão restaurar os sistemas, mas também as pessoas que precisam

proteger os sistemas.

É preciso haver toda uma estratégia de comunicação.

E um planejamento cuidadoso sobre quem será o porta-voz, como minha equipe
a imprensa ou a mídia está agindo, onde estão meus advogados — o departamento jurídico interno, o externo —, como começo a pensar

sobre essa gestão de emergências, se assim desejar, Shawn.

Ah, sim, e tudo isso… um exercício de simulação é uma ótima maneira de fazer isso.

Descubra quem são essas pessoas com bastante antecedência.

Você não vai querer ficar procurando números e tentando identificar as pessoas enquanto corre
para responder.

Você deve se preparar com bastante antecedência.

Essa também é uma área em que se começa a falar sobre governança, conformidade e
regulamentações, certo?

Como parte do processo de comunicação, você quer conversar, em primeiro lugar, com
seus clientes, é claro.

Você quer conversar com todos os seus parceiros.

Você quer conversar com seus funcionários.

E, em muitos casos, você terá que conversar com os órgãos reguladores e, então, precisará
envolver seu diretor jurídico para participar disso, pois há algumas

possíveis questões de responsabilidade civil envolvidas.

Tudo isso pode ser planejado com antecedência.

Não vai ser 100%.

Não vai ficar perfeito.

Mas vai proporcionar a você familiaridade suficiente e um certo nível de confiança.

Isso vai estabelecer o relacionamento com essas pessoas externas para que, quando algo
É ruim que isso aconteça   e isso vai acontecer, depende da gravidade   , você seja capaz de

reagir.

Posso garantir que aqueles que estão mais bem preparados conseguem superar essas situações com sucesso.

E aqueles que estão mal preparados fracassarão miseravelmente.

Bem, e isso fica evidente se você não tiver praticado isso e for o CEO que, como eu esperaria
Em muitos casos, você estará lidando com seus principais clientes, expondo a situação.

Isso precisa ser feito com cuidado e como se você fosse um profissional.

Portanto, simplesmente responder sem estar preparado coloca você em apuros.

E acho que isso fica bem claro pela maneira como é retratado.

Isso também prejudicará a reputação e a marca da empresa.

Portanto, passar a impressão de estar preparado,

com um certo grau de requinte e mostrando que você está no comando, acho que é algo que você precisa
transmitir nessa situação.

E você não consegue isso sem tudo o que o Shawn acabou de mencionar.

Sim, conduzi um exercício para uma instituição de saúde que durou apenas duas horas e foi
dividido em blocos de 30 minutos.

E, no final,

O CEO disse algo como: “Minha adrenalina estava a mil, minha frequência cardíaca estava em 140, e graças a Deus foi só isso”
“um exercício”.

Isso porque, se você dirigir corretamente, você sente o mesmo nível de estresse que sentiria se estivesse
realmente um dia de verdade e um dia ruim.

Bem, nós três já trabalhamos no governo e todos nós já tivemos que ir até o nosso
chefe — que provavelmente era um alto funcionário político nomeado — para dar mais notícias.

Não é fácil.

Simplesmente não é.

Mas você tem que tirar o curativo de uma vez só.

Você precisa fazer isso.

Sim, então, no governo, costumamos dizer que é “o resultado final logo de cara”.

Vá direto ao ponto: comece todas as mensagens destinadas à diretoria indo direto ao ponto.

Estou aqui para falar sobre A, B e C.

E hoje vou falar sobre como nossa organização está mal, porque temos tantos
sistemas legados que operam nosso negócio principal.

E é isso que precisamos fazer a esse respeito.

E é aí que preciso da ajuda de vocês.

E nunca saia, especialmente quando estiver fazendo uma apresentação para o Congresso; nunca saia sem apresentar sua solicitação.

Vocês precisam deixar claro desde o início qual é o objetivo principal e, em seguida, o que esperam deles.

Quero o apoio de vocês.

Preciso de dinheiro.

Precisamos de mais gente.

Você está 100% certo.

Mas é aí que entra a questão da confiança.

Se a diretoria confia na diretora de segurança porque ela sempre foi sincera com eles no passado, e eles
já passaram por um incidente antes…

Ela tem, sabe, o controle da situação, por assim dizer; haverá essa sensação de
receptividade, e eles estarão muito mais dispostos a atender ao pedido

sem fazer muitas perguntas — não que eles não devam fazer perguntas, mas quando há um
Em termos de nível de confiança, o programa foi desenvolvido de forma que o fluxo de informações

muito, muito melhor.

Então, nossos órgãos reguladores basicamente nos disseram que precisamos ter estratégias, políticas,
prestação de contas e financiamento adequado para a segurança cibernética e a resiliência digital de seus negócios.

E o conselho de administração deve manter uma frequência regular de reuniões e demonstrar que está, de
de fato, cumprindo sua responsabilidade fiduciária.

17% das organizações afirmam que não estão preparadas para um dia ruim.

E muitos conselhos de administração ainda fazem isso apenas uma vez por ano, ou delegaram a tarefa a um
comitê, em vez de envolver o conselho como um todo.

Qual é a sua opinião sobre isso?

Concordo que esse deve ser um dos riscos mais significativos, se não o mais
significativo para todas as organizações, pois toda a sua estrutura empresarial depende do

cenário digital.

Portanto, como parte da Gestão de Riscos Empresariais (ERM), isso precisa ser algo a que

deve receber muita atenção.

Cada conselho é um pouco diferente, cada empresa é um pouco diferente; o nível de
A familiaridade e o nível de especialização também variam.

Portanto, não existe realmente uma solução única que sirva para todos, mas eu diria que “quanto mais, melhor”
, devido à importância desse aspecto.

Não vejo problema em que um comitê específico, como o comitê de auditoria, por exemplo
, seja a entidade responsável e que o presidente do comitê de auditoria

tenha uma relação quase matricial com o CISO, em que o CISO tenha um canal direto para entrar em contato,
Vá até lá e converse com o presidente do comitê de auditoria caso haja algum problema.

Mas acredito que o conselho como um todo precisa ter uma percepção e compreensão
sobre o assunto, e isso exige uma comunicação mais frequente.

Portanto, sou como você: não faço parte do comitê de auditoria, mas acho que esse é um lugar lógico
para se colocar isso.

E isso realmente depende de como a empresa deseja lidar com isso.

Portanto, não existe uma fórmula propriamente dita, mas…

Acho que existe uma fórmula no sentido de que isso deve estar, de alguma forma, ligado ao conselho.

Mas precisamos realmente entender que o mundo não está se tornando menos arriscado em termos de segurança cibernética.

Está ficando cada vez mais arriscado.

E podemos entrar em detalhes sobre todas as razões para isso, mas elas devem ser evidentes, já que aparecem nas
notícias quase todos os dias.

Portanto, você não pode ignorar a realidade.

Não dá para enterrar a cabeça na areia como uma avestruz.

É preciso realmente começar a aceitar: tudo bem, isso está acontecendo.

Estou vendo isso acontecer.

Provavelmente já aconteceu com algum de seus amigos no mundo dos negócios.

Como estou preparado?

Então, tudo começa com perguntas simples feitas pelo conselho.

Então, o que faremos quando isso acontecer?

E dar o pontapé inicial.

Essa é a primeira coisa que você precisa fazer para começar a se preparar.

Eu acrescentaria mais uma coisa também.

No que diz respeito a toda essa questão da confiança, não acho que o CISO deva se limitar apenas a responder
às perguntas do conselho.

Acho que o CISO deve ser proativo.

Por exemplo,

temos falado sobre a IA como um risco significativo.

É mais uma flecha no arco dos adversários.

Seria ótimo se o CISO fosse proativo e se dirigisse ao conselho para dizer: “Ei, vocês”
Provavelmente vocês já devem ter ouvido falar sobre isso.

Deixem-me explicar o que estamos fazendo aqui.

Isso ajuda a gerar confiança de que os CISOs estão atentos.

Sabe, tipo: “Ei, eu sei que estamos construindo uma nova fábrica lá na Índia.”

Aqui estão algumas reflexões e preocupações sobre isso, da

minha perspectiva como CISO.

Esses são os tipos de coisas que devemos levar em consideração.

Acho que ser proativo demonstra consciência, demonstra competência e
inspira confiança.

E acho que isso realmente permite que o CISO contribua para o sucesso dos negócios.

Então, Shawn, eu nunca tinha pensado no que você acabou de dizer e adorei a ideia.

E o diretor financeiro tem uma relação semelhante com o presidente do comitê de auditoria.

Se surgir um problema do tipo

“ei, vamos ter dificuldades para pagar os salários ou algum problema financeiro”,
entra-se em contato com o auditor.

A confiança se constrói entre essas duas pessoas.

Não há motivo.

Não há nenhuma boa razão para que um “sizzle” não faça algo semelhante.

Seja proativo em suas comunicações.

Sabe, eu vejo isso também da seguinte forma: quais perguntas o conselho deveria estar fazendo?

Não é bem isso, é só em termos gerais.

Será que realmente conhecemos todos os nossos sistemas críticos para os negócios?

Temos visibilidade de todas as identidades humanas e não humanas?

E estamos preparados para a próxima onda de identidades com a tecnologia agentic?

Será que realmente compreendemos todas as contas com privilégios e estamos, de fato, vasculhando a dark?
na internet, em busca, você sabe, das nossas credenciais e coisas do tipo?

Se vocês, nós, não conseguirmos responder a essas perguntas para a diretoria, isso é um sinal de alerta, na minha opinião, de
que não temos as capacidades de que precisamos.

Na verdade, não estamos preparados para isso, para, você sabe, sermos uma empresa resiliente.

Então, no início da conversa, mencionei que poderia ser útil para um conselho ter
alguém com experiência em TI e segurança cibernética entre seus membros.

E, como exemplo prático, faço parte do conselho de uma empresa que estava mudando seu sistema de RH
— e, como todo mundo sabe, essa transição sempre envolve riscos.

Mas fomos informados.

Mas a verdadeira compreensão do Risk veio de mim, como membro do conselho, porque eu fazia perguntas
com base na minha experiência na transição desses sistemas

o que foi muito útil para que o conselho compreendesse como estavam as coisas.

E, a propósito, foi muito útil para o CEO, já que ele não era da área de TI.

Isso realmente trouxe o risco à tona e, em seguida, gerou uma discussão rica sobre “eu entendo”
“que isso é um risco e é assim que estou lidando com ele” é uma discussão importante que os conselhos devem

ter ao passar por mudanças em seus sistemas ou mesmo ao compreenderem seus sistemas críticos.

Portanto, o CISO precisa compreender que está informando

as pessoas encarregadas de supervisionar a empresa.

É preciso explicar quais são os riscos reais para o negócio e os riscos corporativos, e
Então, traduzir isso em termos de negócios.

E é preciso realmente discutir o plano e defender o que será necessário junto
aos membros do conselho.

Isso é absolutamente verdade.

E já lidei com muitos conselhos de administração e com muitos CISOs.

E sei que, às vezes, os CISOs relutam em fazer isso porque

seu chefe pode estar presente na reunião e eles não estão dispostos a fornecer
como informações que deveriam, já que o conselho tem essa responsabilidade fiduciária e

deve estar ciente de tudo o que está em risco.

Mas eles relutam em fazer isso, e eu sugeriria aos CISOs que, mais uma vez, isso seja feito
de maneira profissional e adequada, mas às vezes é preciso coragem para fornecer essas informações, e você pode

quebrar um pouco de vidro, mas acho que vocês precisam fazer isso; e se estiverem numa situação
em que sintam que não podem fornecer as informações legítimas e autorizadas de que o conselho precisa

precisa ou deveria ouvir, caso você não esteja em um ambiente propício
para isso, precisa procurar outro emprego.

É difícil.

Uma história pessoal, sem entrar em detalhes, como CIO de uma unidade

Tenho muitos CIOs de unidades e houve um problema em uma delas, em que o
O CIO daquela unidade tinha medo de falar com a liderança.

Eu o fiz.

Não deveria ser assim.

Você precisa fazer isso.

E, assim que conversei com a liderança, dava para perceber nos rostos deles a surpresa, mas
Eles também perceberam: “Bem, temos que fazer alguma coisa”.

Então você está certo, é difícil superar esse obstáculo, mas você precisa fazer isso.

Eu fiz isso com respeito.

Fiz isso de maneira simples.

E partimos para resolver o problema.

Acho que já disse a muitos conselheiros que, quando estão sentados à mesa, precisam criar
um ambiente propício à discussão aberta.

Se você, como membro do conselho, está sentado tentando flagrar alguém fazendo algo errado e
Se você cria um ambiente que restringe o diálogo livre, você é um problema.

Você está causando problemas para esse conselho.

O ambiente precisa ser propício.

Precisa ser colaborativo.

E, mais uma vez, todos nós queremos o mesmo objetivo, certo?

Queremos que a empresa seja bem-sucedida.

Queremos minimizar os riscos, queremos encantar nossos clientes.

É isso que devemos fazer como empresa.

O Conselho tem a responsabilidade de supervisionar.

O CISO tem a responsabilidade de executar.

Mas, juntos, vocês precisam criar um ambiente que permita que isso aconteça.

E se você, como membro do conselho, não estiver criando esse ambiente, precisa procurar outro lugar
.

Mas precisamos comunicar os riscos e mitigá-los.

Correto.

E, juntos, formamos a equipe.

E precisamos fazer isso de uma maneira encantadora, porque gosto dessa palavra.

Encantadora.

Bem, foi muito divertido conversar com vocês dois, John e Shawn. Obrigado.

E com isso encerramos nosso podcast SHIFT.

Sou Melissa Hathaway, e este foi o episódio “Comunicando o Risco Cibernético na Sala da Diretoria”.