Traduzido do 日本語 • Ver original 
Por outro lado, danos causados por ransomware, vazamentos de informações e incidentes envolvendo a cadeia de suprimentos tornaram-se influentes o suficiente para interromper as próprias atividades corporativas. O risco cibernético não é mais apenas um problema para os departamentos de TI, mas também um risco para a gestão.
Neste artigo, focaremos na pergunta "Por que um título deve ser considerado um investimento agora?" e explicaremos o conceito de risco que a gestão deve compreender e a direção do investimento prático em títulos.
Contexto: Por que o risco cibernético se tornou um risco de gestão
No passado, para muitas empresas, ataques cibernéticos eram um risco de "se acontecerem, mas é problema de outra pessoa". No entanto, nos últimos anos, essa premissa desmoronou significativamente.
Primeiro, a área de impacto do dano está se expandindo.
Estamos em uma era em que um único incidente pode prejudicar significativamente o valor corporativo, como perda de vendas devido a quedas de sistema, perda de compensação e crédito devido a vazamento de informações dos clientes, e até mesmo o impacto em parceiros de negócios e infraestrutura social.
Segundo, os ataques estão se tornando mais repetíveis e custo-efetivos.
Como exemplificado pelo RaaS (Ransomware como Serviço), foi criado um ambiente no qual ataques avançados podem ser realizados sem conhecimento especializado. Em outras palavras, "empresas-alvo" não se limitam mais a poucas.
Terceiro, o fortalecimento da regulação e da governança não pode ser ignorado.
Com a necessidade de responsabilidade e divulgação de informações em caso de incidente, atrasos ou insuficiências na resposta podem abalar a confiança nas próprias decisões da gestão.
Nesse contexto, a segurança precisa ser posicionada como parte de uma estratégia de gestão, não apenas como uma medida de TI.
Riscos de considerar a segurança como um "custo"
Quando pensamos na segurança como um custo, tendem a ocorrer as seguintes decisões.
- Não há danos visíveis, então será adiado.
- Medidas mínimas são suficientes
- Reduzir o orçamento devido ao retorno invisível sobre o investimento
No entanto, há uma grande armadilha nessa ideia.
Ou seja, quando os danos se tornam aparentes, o custo aumentará muito mais do que as medidas de precaução.
Danos causados por ransomware são um exemplo não apenas de custos de recuperação, mas também de custos indiretos ao longo do tempo, como oportunidades perdidas devido a interrupções de negócios, engajamento do cliente e relações públicas para restaurar a marca.
Como resultado, os "custos de segurança que deveriam ter sido economizados" retornam como uma perda maior.
Métodos de ataque e impacto na gestão
Os métodos de ataque cibernético estão se tornando mais sofisticados, mas do ponto de vista gerencial, o que importa não é "qual tecnologia foi usada", mas sim "o que se perdeu".
- Interrupção de negócios: Falha no sistema reduz vendas e satisfação do cliente
- Perda de confiança: prejuízo ao valor da marca devido ao vazamento de informações
- Riscos legais e regulatórios: responsabilidade e orientação administrativa
- Impacto nos recursos humanos: exaustão no campo, saída de excelentes recursos humanos
Tudo isso está diretamente relacionado a métricas financeiras e estratégias de médio e longo prazo.
Em outras palavras, o risco cibernético não aparece como um "problema de TI", mas como um "resultado de decisões de gestão".
Contramedidas: Projete a segurança como um "investimento"
Então, o que exatamente significa enxergar a segurança como um investimento?
1. Preparação Ambiental: Visibilidade de Riscos
A primeira coisa que você precisa fazer é visualizar os riscos cibernéticos da sua empresa.
Organize quais ativos importantes são e quais operações serão afetadas se forem interrompidas, e compartilhe-os com a administração.
O segredo nessa fase é focar no "impacto comercial" em vez dos "detalhes técnicos".
2. Priorização e Investimento Faseado
Não é realista proteger tudo de uma vez.
Priorizando com base no impacto e na probabilidade de ocorrência, e investindo em fases.
Essa abordagem também se alinha bem com o modelo de maturidade apresentado pelo NIST CSF 2.0 e nos ajuda a criar um roteiro realista.
Artigos relacionados:
3. Investindo em Monitoramento e Detecção
Como as intrusões são difíceis de prevenir completamente, a detecção precoce e a resposta rápida são áreas onde o investimento é alto.
Investir em sistemas EDR, SIEM e SOC pode ser considerado um "seguro" para minimizar danos.
Artigos relacionados:
4. Melhoria Contínua e Governança
Investimentos em títulos não terminam uma vez.
É importante revisar e implementar a PDCA em conformidade com as tendências de ameaça e as mudanças no ambiente de negócios.
Esse processo por si só leva à melhoria da capacidade de gestão de riscos da gestão.
O que deveria ser
Idealmente, a segurança é percebida como uma base para a continuidade e crescimento do negócio, não como um "custo defensivo".
Entenda o risco cibernético e reflitali-o na tomada de decisões.
Com base nessa política, o local prossegue com as medidas com prioridade.
Somente quando esse ciclo for criado é que os investimentos em valores de segurança podem perceber seu verdadeiro valor.
Conclusão
Mesmo que você consiga entender a direção do investimento em títulos, "como visualizar seus próprios riscos e onde priorizar" varia muito dependendo do tamanho da empresa, do setor e do ambiente do sistema. Para criar um sistema que permita à gestão e ao setor discutir riscos em uma linguagem comum, a perspectiva de especialistas externos é eficaz.
Se você não tem certeza sobre avaliar o risco no seu ambiente ou formular um plano de investimento, consultar um especialista é o caminho mais curto. Por favor, entre em contato com a Colorkrew Security.
Artigos relacionados: