Sergio Pedroche
O contexto é essencial para tomar decisões conscientes. Dizer-lhe que existem 100 problemas de segurança na sua organização é alarmante, mas pouco útil. No entanto, dizer-lhe que existem 99 problemas, que provavelmente não serão problemas, e um problema que precisa de atenção imediata, é muito mais útil para si e para as outras equipas com quem poderá ter de trabalhar. O desafio aqui é que as empresas têm tantos dados disponíveis que dificulta a compreensão das verdadeiras ameaças.
Ao mesmo tempo, a pressão para inovar é cada vez maior e a vontade de implementar novos projetos ou de as empresas se anteciparem aos concorrentes supera os riscos que possam surgir. De acordo com um estudo da LevelBlue, 74% dos inquiridos a nível mundial confirmam que a oportunidade de inovação informática supera o correspondente aumento do risco de cibersegurança. Então, como podemos ultrapassar este problema, sem deixar de apoiar o negócio?
Abordagem DIKW: Data, Information, Knowledge, Wisdom
O grande problema dos dados não é existirem demasiados, mas sim o facto de termos dificuldade em utilizá-los de forma interessante e relevante. Temos de passar dos dados em bruto para dados processados, de forma a compreendê-los verdadeiramente. A abordagem DIKW, assente na sequência de Dados-Informação-Conhecimento-Sabedoria, existe há muitos anos na gestão do conhecimento e pode ser aplicada a outras áreas, especialmente aquelas que lidam com grandes quantidades de dados e que tem de os gerir de forma eficiente e influenciar a tomada de decisões.
Como parte desta abordagem, os líderes de segurança têm de trabalhar com outras áreas da empresa relacionadas com o risco. O risco pode ter significados diferentes para pessoas diferentes em toda a empresa – por exemplo, um diretor financeiro preocupa-se com o impacto financeiro e as decisões comerciais, enquanto a equipa de conformidade e governação tem regulamentos a cumprir. Cada uma destas áreas tem uma visão diferente do risco, mas todas elas têm uma coisa em comum – tentam atribuir um valor financeiro às interrupções da atividade. Para os líderes de segurança, oferecer o mesmo nível de pormenor sobre os problemas de cibersegurança proporciona um contexto essencial. Utilizar esses dados para garantir o conhecimento e, em seguida, a sabedoria, reduz o risco ao longo do tempo.
Para que isto funcione na prática, as empresas precisam de um local central onde gerir as informações sobre o risco e o contexto, sendo que a partir daí recebem as diretrizes operacionais. Este modelo é semelhante a um modelo de um centro de operações de segurança, que processa os alertas de segurança recebidos e atribui ações às equipas com base no impacto que o problema ou uma nova variante de malware possa ter. No entanto, um centro de operações de risco (ROC), proporciona um maior impacto comercial e uma visão financeira de toda a empresa, caso esta fosse afetada pelo tipo de malware mencionado anteriormente. Ou seja, as empresas devem identificar proactivamente as áreas de risco empresarial, priorizando o seu impacto e custo.
Existem muitos desafios na implementação de um ROC. As empresas têm acesso a muitos dados, mas muitas delas ainda não dispõem de listas concretas de todos os seus ativos de segurança de TI, muito menos pensaram no planeamento financeiro e avaliação de riscos. Muitas não dispõem de todos os dados de que necessitam, pelo que é mais difícil extrair conhecimento e sabedoria em torno da situação de risco. Reunir um registo adequado dos ativos que representam um risco e ter a capacidade de manter a lista atualizada proporciona o conhecimento necessário, enquanto os dados financeiros oferecem o contexto e a vontade de reduzir ou corrigir esses riscos.
Para além de óbvia questão de obterem dados, há também a questão de sua classificação – é um desafio que as empresas enfrentam quando há muita informação e as equipas não conseguem obter a informação sobre os seus dados, de forma a concentrarem os seus esforços. Para resolver este problema, as equipas de segurança podem utilizar os seus conhecimentos especializados em matéria de informações sobre ameaças para colaborar com a equipa financeira sobre o que deve ser prioritário e qual o nível de risco aceitável para a empresa.
Comunicação e colaboração como fatores de sucesso
O maior desafio é a forma de trabalhar com dados entre as diferentes áreas de uma empresa. As equipas precisam de diferentes conhecimentos sobre cada tipo de dados, à medida que estes vão chegando, de forma a poderem planear com antecedência e saberem em que problema se devem concentrar. Embora um ROC possa fornecer esse ponto central para a gestão de dados, também deve facilitar a gestão da comunicação em torno do risco. Isto também deve proporcionar a necessária visão financeira sobre os riscos que estão a surgir e o que planear, para que toda a empresa possa trabalhar com antecedência e orçamentar este esforço.
Na ótica de um diretor financeiro, este nível de informação sobre o risco deve demonstrar onde é necessário investir em pessoas, em processos e em ferramentas ou como é que o seguro de cibersegurança deve ser utilizado para mitigar o risco não protegido pelos seus investimentos. Para a conformidade, deverá facilitar a obtenção de apoio para o trabalho em torno de novos regulamentos, como o NIS2 ou o DORA, em que é necessário um trabalho adicional de resiliência empresarial. E para um CISO, pode então indicar onde são necessários recursos adicionais para gerir a segurança e o risco dentro dos parâmetros que a empresa definiu.
Em suma, para as empresas serem eficazes em matéria de segurança devem abordar o risco em todas as suas operações, e não apenas na ótica da tecnologia, do setor financeiro ou da área da conformidade. Ao trabalharem entre si e em colaboração com um ROC, estes departamentos podem ser mais eficientes e melhorar a sua resiliência. No entanto, as empresas precisarão sempre de trabalhar os dados e recolher a informação relevante, que disponibilizará o conhecimento certo e a sabedoria para seguir o caminho certo.
Sergio Pedroche é Country Manager da Qualys para Portugal e Espanha
