Opinião: Para o CSO, este é o melhor momento de traduzir SI para negócios

CEO e diretores normalmente entendem de marketing e vendas, sabem como funciona o departamento financeiro e conhecem bem o cliente. Eles têm o mesmo domínio sobre segurança da informação (SI) ou TI em geral? É muito provável que não.

Do seu lado, o executivo da área de SI conhece ameaças, tendências em ciberataques, tecnologias e demais riscos. Contudo, quando chega a uma reunião de diretoria, dificilmente consegue se fazer ouvir pelos seus pares e chefes, por um detalhe importantíssimo: muitas vezes não é capaz de traduzir os termos técnicos e complexidade da área para homens e mulheres de negócios.

O desafio do CSO (Chief Security Office) é conhecer melhor a empresa. Não é incomum a companhia investir grandes somas em soluções mais avançadas e a equipe de segurança pouco ou nada sabe sobre processos de negócios e decisórios, objetivos e metas ou do dia a dia da corporação fora de sua área.

Como garantir, em uma situação como essa, que a tecnologia seja implantada da melhor forma, atendendo as necessidades do negócio em sua plenitude? A estratégia eficaz de segurança deve envolver pessoas, processos e tecnologia. O líder de segurança tem de desenvolver relacionamentos e entender as áreas de negócios, seus objetivos e como as informações são produzidas e circulam entre departamentos, clientes e fornecedores.

Tudo isso para ter visibilidade, trazer melhores práticas e permitir um ambiente íntegro e seguro para os dados, operações e usuários. Passado esse passo, é preciso identificar os riscos e traduzir, em números, o impacto que uma má gestão de SI traz aos negócios.

Se um site de e-commerce ficar fora do ar por não ter protegido sua infraestrutura como deveria (e poderia), quanto se perde em volume de vendas por minuto, hora, dia? Se um estudo da área de Pesquisa e Desenvolvimento desaparecer, qual o equivalente em investimentos do esforço que foi jogado no lixo? E se uma rede varejista tiver dados de cartão de crédito de seus clientes divulgados na internet, qual o impacto sobre a marca e como isso prejudica todas as áreas da empresa?

Além de se preocupar com o futuro, qual o impacto dos incidentes que já ocorreram na companhia? É diferente de ditar o vocabulário da área de segurança da informação, com todos os seus botnets, malwares, IDM, zero-day, DLPs, APTs e ATPs, e esperar convencer seu interlocutor sobre sua importância. De que valem essas siglas e nomes para quem se interessa por cifras e números?

O acompanhamento também é fundamental, e isso inclui definir e apresentar indicadores de performance relevantes sobre segurança da informação, educar o time sobre objetivos estratégicos, estrutura da empresa e mudanças relevantes, além de debater novas abordagens de segurança da informação.

É preciso uma mudança de postura do CSO para que o quadro também se transforme e, em um futuro breve, o entendimento do CEO e área de negócios sobre segurança da informação seja tão claro quanto sobre vendas, marketing e finanças. É tempo de traduzir.

* Vladimir Amarante é Diretor de Pré-Venda e Consultoria para a América Latina da Symantec

Site: Computerworld
Data: 13/10/2015
Hora: 17h47
Seção: Segurança
Autor: Vladimir Amarante
Link: http://computerworld.com.br/opiniao-para-o-cso-este-e-o-melhor-momento-de-traduzir-si-para-negocios