Liderança em Cibersegurança

Definir a posição do chefe de segurança em um empreendimento pode ser uma tarefa desafiadora e às vezes confusa. Existem vários títulos de trabalho, como; Chief Security Officer (CSO), Chief Risk Officer, Chief Information Security Officer (CISO), VP, IT Security, VP ou Director of Information Security. Independentemente de títulos ou posição funcional, espera-se que o papel principal em uma organização de segurança use muitos chapéus e resolva uma infinidade de problemas estratégicos, operacionais e táticos.

O líder de segurança de hoje deve manter seu pulso em uma infinidade de iniciativas de segurança. Abaixo está uma lista de iniciativas de segurança que um líder de segurança gerenciaria ou teria um impacto paralelo em uma empresa:

 

Segurança de dados	Gestão de fornecedores	Orçamento e previsão	Segurança de sistemas de rede	Recuperação de desastres (DR)
Segurança do aplicativo	Gerenciamento de identidade e acesso (IAM)	Gerenciamento de vulnerabilidades (VM)	Armazenamento de dados	Continuidade de Negócios (BC)
Soluções habilitadas para nuvem – SaaS, IaaS, PaaS	Desenvolvimento de políticas e controles com implementação	Gerenciando a tolerância ao risco corporativo	Comunicação com executivos e membros do conselho	Liderança de recursos humanos
Planejamento de Resposta a Incidentes (IRP)	Planejamento de arquitetura de segurança de vários anos	Gerenciamento e suporte de auditoria	Mitigação de violação	Mantenha-se atualizado com soluções de segurança de ponta

Junte a lista acima de iniciativas de segurança com as declarações abaixo sobre os ambientes em que os líderes de segurança são colocados e você percebe rapidamente que é necessária uma mudança prática, mas gerenciável. Os líderes de segurança da informação de hoje se deparam com:

1. Soluções pontuais proprietárias de vários fornecedores. Isso cria arquiteturas de segurança financeiramente ineficientes com vulnerabilidades aumentadas.
2. Estrutura de relatórios alinhada à tecnologia. Os líderes de segurança se reportam principalmente ao CIO. As iniciativas de segurança vistas principalmente como soluções de tecnologia criam desalinhamento com os requisitos de negócios. Isso aumenta os custos de gastos com segurança.
3. Obter um orçamento de segurança eficaz é uma batalha constante. Se o orçamento de segurança for medido em relação a uma porcentagem do orçamento de TI, isso cria uma postura de segurança ineficaz para os negócios.
4. Chapéus pretos (criminosos) não se importam. Ou seja, os hackers ruins não se importam se você é obrigado a cumprir uma política ou lei, nem se importam com seu orçamento ou recursos. O tempo está do lado dos chapéus pretos – eles só precisam ter sorte uma vez.
5. Historicamente, as equipes de segurança foram construídas em silos verticais. Isso aumenta as falhas de comunicação e enfraquece a confiança nas linhas de negócios.

O novo líder em segurança da informação deve ser visto como um integrador líder. Essa pessoa aceita as responsabilidades e responsabilidades do cargo, mas lidera e administra com uma ordem de pensamento mais elevada. A posição exige um indivíduo que possa ampliar a discussão técnica para resolver problemas táticos enquanto colabora e se comunica confortavelmente com os principais executivos. Os líderes de segurança hoje devem ser vistos como agentes de mudança, construtores de cultura, transformadores, visionários, mas capazes de manter seus dedos no pulso tático da postura de segurança da empresa. Sua posição em relação ao empreendimento deve ter transparência para a equipe executiva. A capacidade de apresentar informações de segurança para subordinados diretos ou durante uma reunião do conselho em um nível compreendido pelo público é de vital importância para o gerenciamento geral de riscos do negócio. O novo integrador líder para segurança operacional é proativo com o seguinte:

• Prevê o valor da segurança horizontalmente – alcança outros departamentos, como operações, finanças, RH, vendas e jurídico. É um construtor de pontes entre disciplinas, departamentos e partes interessadas
• Aprimora a colaboração por meio da comunicação enquanto cria confiança dentro e fora da organização de segurança
• Investe em tecnologias de segurança que suportam os objetivos de negócios
• Escuta ativamente enquanto aceita proativamente críticas de subordinados, executivos e membros do conselho
• Tem experiência em negócios e tecnologia e pensa como um pensador estratégico “holístico”
• Aprende constantemente e fica a par das tendências de segurança emergentes, enquanto transcende o aprendizado para os funcionários, organização ou parceiros
• É um líder servidor persistente para os outros e ajuda os indivíduos a se tornarem líderes por direito próprio

O novo líder em segurança da informação entende que a segurança transcende tecnologia. A tecnologia é o facilitador dos negócios, mas a segurança é o programa abrangente de proteção das operações de negócios. Os líderes de segurança de amanhã serão obrigados a integrar pessoas, processos e tecnologias de ponta de forma eficaz e eficiente para garantir uma postura de segurança consistentemente relevante para os negócios. Isso requer perspicácia nos negócios e a capacidade de pensar criticamente para resolver problemas complexos. A hora é agora para os líderes de segurança de amanhã abordarem a segurança como um problema de negócios primeiro, seguido pelos conjuntos de habilidades de suporte, processos de negócios e tecnologias necessários para proteger a empresa.