O novo papel do Chief Information Security Officer é ser um facilitador do avanço da companhia (Crédito: Freepik)
As organizações operam em um mundo hiperconectado, em que os processos de negócios dependem de tecnologias digitais em todas as funções. A convergência dos sistemas de TI e de Tecnologia Operacional (TO) expandiu a superfície de ataque, tornando a segurança cibernética um componente fundamental da gestão de riscos corporativos. Nesse contexto, os Chief Information Security Officers (CISOs) evoluíram de guardiões da segurança para líderes empresariais estratégicos.
A função de CISO agora exige uma combinação de insight estratégico, habilidades de negócios e habilidades de liderança, indo além do conhecimento técnico. Os CISOs agora são vistos como facilitadores de negócios (enablers), responsáveis pela integração da segurança cibernética à estratégia geral da organização. Essa mudança reflete o entendimento de que a segurança cibernética não se trata apenas de proteger os sistemas; trata-se de proteger as operações comerciais, a confiança do cliente e a capacidade da organização de inovar e crescer.
“Quem ocupa a cadeira de CISO entende que têm que estar junto da área de negócio e que precisa se tornar habilitador do negócio”, afirma Demetrio Carrión, Cybersecurity Leader para a EY América Latina. Para ele, dizer “não” para a proposta de uma área que traz uma boa solução para o crescimento da empresa não é o caminho.
“É muito melhor para a organização que a segurança seja pensada antes da implantação de uma nova ferramenta ou tecnologia. O CISO precisa dizer ‘sim’ de forma segura para aquela solução que é importante para a organização e para a continuidade do negócio, que caminhe junto com todas as decisões estratégicas”, diz.
A segurança cibernética proativa é uma das características do CISO. Significa antecipar possíveis ameaças e abordar as vulnerabilidades antes que elas sejam exploradas. Para que o sistema de cibersegurança funcione de uma ponta a outra, os CISOs devem trabalhar em estreita colaboração com outros departamentos para garantir que as normas de segurança sejam incorporadas em todos os aspectos de operações da organização, desde o desenvolvimento de produtos até o gerenciamento da cadeia de suprimentos.
“O CISO vem ganhando cada vez mais importância dentro das organizações. O mundo depende mais e mais do espaço digital para fazer negócios e isso acaba aumentando também a quantidade de potenciais ataques cibernéticos, golpes e violações de segurança. Então, manter a segurança desse ambiente digital é mais importante do que nunca”, afirma Márcia Bolesina, sócia da área de Cibersegurança da EY. Segundo ela, manter a segurança do ambiente digital tornou-se essencial não apenas para as organizações, mas para os clientes. “O cliente quer confiar na minha organização, que os dados dele estão seguros. E todas essas questões têm a ver com segurança e quem olha pra esse universo é o CISO”.
À medida que as empresas adotam estratégias de transformação digital, os CISOs têm a tarefa de garantir que a segurança não se torne uma barreira à inovação, mas sim uma facilitadora dela. Construir uma estratégia cibernética que considera desde o início a integração de tecnologias como Inteligência Artificial (IA), IA Generativa (GenAI), Aprendizado de Máquina (ML) e automação coloca a organização em uma posição vantajosa frente aos concorrentes. Para que isso aconteça, os CISOs devem ser capazes de tornar os conceitos, dados e informações de cibersegurança mais acessíveis.
Traduzindo a segurança cibernética em termos comerciais
Um dos maiores desafios que os CISOs enfrentam é comunicar a importância da segurança cibernética para toda a organização. Para isso, eles precisam manter um diálogo transparente com as demais lideranças, para que todos tenham o entendimento sobre os riscos associados às ameaças cibernéticas para a empresa. Ao fazer isso, o CISO está comunicando que a cibersegurança está ali para “permitir” – em vez de “impedir” – o crescimento do negócio.
Os C-levels geralmente se concentram no crescimento, na receita e na rentabilidade, e podem não entender completamente os aspectos técnicos envolvidos na cibersegurança. O papel dos CISOs, portanto, deve ser o de traduzir conceitos complexos em termos de negócios que façam sentido e estabeleçam uma conexão com seus pares na diretoria.
Por exemplo, em vez de discutir vulnerabilidades técnicas específicas, um CISO pode explicar como um ataque cibernético pode interromper as operações comerciais, prejudicar a reputação da organização ou resultar em multas regulatórias. Ao enquadrar a segurança cibernética em termos de risco comercial, os CISOs podem apresentar um caso convincente de por que a cibersegurança precisa ser uma prioridade para a organização.
Quando uma organização está adotando tecnologias orientadas por IA, o CISO deve trabalhar em estreita colaboração com o Chief Digital Officer (CDO) para garantir que a segurança seja incorporada ao processo de transformação digital desde o início. Ao colaborar com a empresa, o CISO pode ajudar a garantir que as iniciativas digitais sejam seguras, estejam em conformidade e alinhadas com a estratégia de gestão de riscos da organização.
Melhores práticas para integrar a IA e o ML à segurança cibernética
No “2024 Global Cybersecurity Leadership Insights Study”, da EY, um CISO ouvido no levantamento diz que a inserção de IA e ML reduziu o tempo médio de detecção e resposta em pelo menos 50%. Os chamados “Secure Creators“, organizações que imprimem velocidade na adoção de tecnologias emergentes em defesa cibernética, incluindo o uso de IA e automação. Ao fazerem a integração de IA em seus processos de detecção, resposta e recuperação de novas maneiras, isso lhes permite “ficar à frente dos adversários, que estão usando métodos de ataque de IA sem serem impedidos por regulamentos ou políticas de uso”, cita o relatório.
A seguir, as principais práticas para integrar Inteligência Artificial e Aprendizado de Máquina à segurança cibernética:
- Construção de pipelines de dados robustos: Os CISOs devem garantir que suas organizações tenham pipelines de dados robustos que forneçam dados limpos, precisos e relevantes aos sistemas de IA. Isso reduz o risco de decisões tendenciosas ou incorretas e garante que a IA possa detectar e responder efetivamente às ameaças.
- Automação da detecção e da resposta a ameaças: A IA e a automação podem ser usadas para automatizar a detecção e a resposta a ameaças cibernéticas, reduzindo a necessidade de intervenção manual. Isso permite que as organizações respondam às ameaças com mais rapidez e eficiência, minimizando o impacto dos incidentes de segurança.
- Auditoria e monitoramento contínuos: Os sistemas de IA e ML devem ser monitorados e auditados continuamente para garantir que estejam funcionando corretamente e não sejam manipulados. Isso envolve atualizações regulares dos modelos de IA e a implementação de estruturas de governança que fornecem supervisão dos sistemas de segurança cibernética orientados por IA.
Cibersegurança: Checklist para os CISOs
Para que possam facilitar o avanço dos negócios, o “2024 Global Cybersecurity Leadership Insights Study” traz uma lista de ações que os CISOs precisam liderar ou seguir para garantir o avanço dos negócios:
- Ampliar o escopo da automação: Produzir uma análise detalhada das tarefas automatizáveis da equipe cibernética e considerar onde é melhor concentrar o insight das pessoas, garantindo atenção à explicabilidade e aos limites apropriados. Avaliar os recursos de automação de produtos de fornecedores terceirizados, priorizando a implementação da funcionalidade no software do fornecedor ou parceiro para uso de automação personalizada.
- Considerar toda a empresa ao avaliar a IA para a segurança cibernética: Isso inclui ambientes corporativos, fábricas e ativos em nível de campo.
- Manter-se atualizado sobre os aplicativos emergentes de IA na detecção e recuperação de ameaças: Embora ainda não estejam surgindo de forma significativa, a análise da EY mostra que a detecção e a recuperação de ameaças são áreas ativas de pesquisa. Deve-se levar em consideração os aplicativos nessas áreas, como planejamento de recuperação, análise de relatórios de incidentes e prevenção de ataques de dia zero.
- Seguir os dados: Os investimentos em IA e ML serão mais lucrativos onde houver densidade de dados cibernéticos. É importante colocar o foco em áreas como gerenciamento de identidade, ameaças e vulnerabilidades e operações de segurança em que é difícil gerenciar dados em grande escala.
- Criar para reutilização: Certas funções terão ampla aplicabilidade na segurança cibernética e em toda a empresa. Portanto, é importante evitar a duplicação do desenvolvimento e da manutenção, fazendo a gestão centralizada de entrada e desenvolvimento. Por exemplo, a priorização baseada em contexto de evento, incidente, ameaça, risco, vulnerabilidade e qualquer outra atividade de correção deve ser padronizada, criada uma vez e usada muitas vezes.
- Capturar e bloquear, revisar e liberar: Implementar um modelo em que a IA automatiza tarefas propensas a erros e de grande volume de “captura e bloqueio” e selecionar eventos para as decisões de “revisão e liberação” dos profissionais de segurança cibernética que exigem julgamento e autorização.
SOBRE ESTE CONTEÚDO
A série Ciberinteligência é um projeto conjunto da divisão de cibersegurança da EY em parceria com a The Shift. Com atuação em Assurance, Consulting, Strategy, Tax e Transactions, a EY existe para construir um mundo de negócios melhor, ajudando a criar valor no longo prazo para seus clientes, pessoas e sociedade e gerando confiança nos mercados de capitais. Tendo dados e tecnologia como viabilizadores, equipes diversas da EY em mais de 150 países contribuem para o crescimento, transformação e operação de seus clientes. Saiba mais sobre como geramos valor as empresas por meio da tecnologia.