O cargo de Chief Information Security Officer começou a ganhar relevância ainda no final da década de 90, impulsionado pela crescente de riscos cibernéticos, e pelo surgimento de regulamentações de segurança.
À medida que o uso da tecnologia, sobretudo da internet, se intensificou no meio corporativo, a presença de um CISO nos quadros das empresas se tornou ainda mais importante. Contudo, ainda existem organizações que não contam com esse profissional ou com um que esteja preparado para as demandas atuais de Segurança da Informação.
Quem é o CISO?
O Chief Information Security Officer (CISO) é um executivo de alto nível responsável por estabelecer e manter o programa de Segurança da Informação de uma empresa. Seu objetivo é assegurar que os ativos de TI e as informações geradas e armazenadas pela organização sejam adequadamente protegidas.
Em um ambiente em que as ameaças cibernéticas estão em constante evolução, a presença de um CISO tornou-se crucial para a defesa de dados sensíveis. Inclusive, é importante saber que o papel desse profissional evoluiu ao longo do tempo. Antes, seu foco era mais técnico e direcionado à operação de segurança de TI, atualmente, trata-se de uma função estratégica que se integra de forma mais ampla à gestão executiva e às operações de negócios.
Para tanto, o Chief Information Security Officer lidera a equipe de segurança, sendo responsável por todas as iniciativas relacionadas à proteção de dados e à mitigação de riscos cibernéticos. Algo que demanda um amplo conhecimento técnico e compreensão de ameaças, e qualificações como:
- experiência em Segurança da Informação e gestão de riscos;
- certificações como CISSP (Certified Information Systems Security Professional) ou CISM (Certified Information Security Manager);
- habilidades de liderança e capacidade de comunicação para articular estratégias de segurança;
- conhecimento das regulamentações e normas de segurança, como a LGPD e outras que se apliquem ao setor de atuação da empresa.
Quais as principais responsabilidades do CISO?
O Chief Information Security Officer deve definir e orientar medidas para proteger sistemas e dados da empresa contra acessos não autorizados, vazamentos e ataques cibernéticos. Isso envolve responsabilidades como:
Isso envolve a implementação de sistemas de segurança robustos, criptografia e monitoramento contínuo das redes.
Desenvolvimento de políticas de segurança
É o CISO quem deve desenvolver e implementar políticas de Segurança da Informação que orientem todos os níveis da organização.
Falamos de regras que são essenciais para que a empresa tenha definidos procedimentos e protocolos que devem ser conhecidos e seguidos por todos os colaboradores com o objetivo de evitar comportamentos de risco e garantir a segurança.
A política de segurança também pode incluir orientações acerca do que fazer caso uma violação de dados ocorra. Assim, entre outras estratégias, o Chief Information Security Officer pode estar à frente da criação de um Plano de Continuidade de Negócios de TI, por exemplo.
Gestão de riscos de segurança cibernética
A gestão de riscos é outra das responsabilidades do Chief Information Security Officer e diz respeito ao processo de identificar, avaliar e adotar medidas de mitigação de riscos. O objetivo é impedir que problemas se concretizem e comprometam a Segurança da Informação.
Por essa razão, o CISO deve definir a realização de auditorias regulares e testes de intrusão para identificar vulnerabilidades e orientar sua correção. Um processo que pode ser feito pelo próprio profissional e sua equipe ou com o apoio de especialistas terceirizados.
Conformidade com regulamentações
Ainda, como mencionamos, o Chief Information Security Officer deve atuar para assegurar que a empresa esteja em conformidade com as normas de segurança e regulamentações que se aplicam à organização.
Isso inclui a implementação de controles que atendam aos requisitos legais, como os previstos pela LGPD e outros instrumentos, de modo a proteger os dados da empresa e de seus usuários, e ter tudo pronto em caso de auditorias de conformidade.
Qual é o papel estratégico do CISO?
O papel do Chief Information Security Officer mudou a partir do momento que a realidade no mundo cibernético passou a demandar das empresas uma atenção maior à proteção de dados, sobretudo no digital.
Atualmente, a Segurança da Informação é um pilar para as organizações e isso faz com que o CISO tenha uma atuação mais direcionada e integrada com a estratégia de negócios de modo a garantir a proteção e fornecer apoio à inovação e ao crescimento da empresa.
Em relação à essa proteção de que falamos, o Chief Information Security Officer tem o papel de direcionar o básico da segurança e trabalhar na identificação de novas ameaças e vulnerabilidades, adotando uma postura proativa.
Também deve levar a Segurança da Informação para os demais níveis organizacionais além da TI, como o jurídico e o setor de compliance com o objetivo de viabilizar uma abordagem integrada da questão. Algo que favorece a adoção de medidas mais adequadas e o sucesso em sua implementação e condução no dia a dia.
Além disso, cabe ao CISO certificar que toda inovação tecnológica que surja no horizonte da empresa conte com uma base sólida de segurança de forma a minimizar riscos associados.
Quais os desafios enfrentados pelo CISO?
O papel do Chief Information Security Officer evoluiu, se tornando mais importante e mais complexo, inclusive em razão de desafios atrelados principalmente ao contexto das ameaças desenvolvidas e executadas por hackers.
A ausência de boas estratégias e do acompanhamento diário de um profissional com esse perfil pode levar a riscos cibernéticos capazes de colocar em xeque o futuro de um negócio. E, para dar conta de tudo, além de uma equipe qualificada, o CISO precisa seguir uma cultura de aprendizado contínuo.
Entre os principais desafios, destacamos:
- escassez de talentos: a falta de pessoal qualificado para cuidar da Segurança da Informação é um dos grandes problemas enfrentados pelas empresas no Brasil e no mundo, sendo capaz de oportunizar incidentes cibernéticos variados;
- pressões regulamentares: a existência de regulamentações mais rigorosas demandam que o CISO seja capaz de manter elevados padrões de conformidade para evitar problemas legais, o que requer verificações constantes;
- complexidade das ameaças: com ameaças e ataques cada vez mais sofisticados, o Chief Information Security Officer precisa estar atualizado sobre as melhores práticas e contar com os recursos mais atualizados para mitigar riscos com sucesso.
CISO e a boa gestão de TI
O Chief Information Security Officer nunca foi tão importante para as empresas como agora em que realiza a função de um executivo estratégico essencial para a proteção dos dados e a resiliência organizacional.
Com o cenário de ameaças cibernéticas em constante mudança, as empresas precisam investir de forma contínua em Segurança da Informação como parte de sua estratégia de negócios. O que vale, inclusive, para contar com os profissionais mais qualificados para orientar e executar as ações de proteção.Quanto a isso, a terceirização da gestão de TI como forma de dar o suporte necessário ao CISO ou contar com uma equipe inteiramente dedicada pode ser uma excelente solução.
