Com riscos avançando para além das áreas de TI, líderes de cibersegurança devem garantir que as áreas de negócios tenham recursos para tomar decisões de qualidade à proteção das informações
Segundo o Gartner, o papel do líder de segurança cibernética precisa evoluir, à medida que as responsabilidades em torno dos riscos cibernéticos avançam das áreas de TI para um ecossistema cada vez mais distribuído dentro das empresas.
Conforme as mais recentes análises, os líderes de Segurança e Gerenciamento de Riscos (SRM) estão investindo significativamente mais esforços na avaliação e influência da “cibersaúde” para terceiros. Os funcionários estão tomando mais decisões com implicações de risco cibernético e, ainda assim, mais comitês executivos estão sendo estabelecidos com demandas fora do escopo do líder de segurança cibernética.
Os analistas do Gartner avaliam que este cenário, com a migração das responsabilidades de proteção para grupos e equipes fora de TI, levará a um ambiente em que o líder de segurança cibernética terá menos controle direto sobre muitas das decisões que estariam sob seu escopo hoje.
“Os líderes de segurança cibernética estão esgotados, sobrecarregados e no modo ‘sempre ativo'”, diz Sam Olyaei, Diretor de Pesquisa do Gartner. “Este é um reflexo direto de quão elástico o papel desse especialista se tornou na última década, devido ao crescente desalinhamento das expectativas entre as partes interessadas dentro de suas organizações.”
A responsabilidade por riscos cibernéticos se expandirá além da TI – Oitenta e oito por cento dos conselhos consideram a segurança cibernética como um risco comercial e não apenas um problema técnico de TI, indica uma pesquisa recente do Gartner. Treze por cento responderam instituindo comitês específicos de segurança cibernética supervisionados por um diretor dedicado.
O Gartner prevê que pelo menos 50% dos executivos de nível C terão requisitos de desempenho relacionados ao risco e gestão de segurança cibernética incorporados em seus contratos de trabalho até 2026.
Isso afeta a pontualidade e a qualidade das decisões de risco das informações, que estão sendo cada vez mais tomadas por partes interessadas e fora da linha de visão da TI ou da segurança. Em resposta, o Gartner espera ver uma mudança inevitável na prestação de contas formal aos líderes de negócios que são responsáveis perante o CEO pela entrega de objetivos estratégicos, como receita e satisfação do cliente.
À medida que a responsabilidade formal pelo risco cibernético muda para os negócios, os analistas do Gartner destacam que o papel do líder de segurança cibernética deve ser reformulado para ter sucesso.
“O papel do CISO deve evoluir de ser a pessoa responsável ‘de fato’ pelo tratamento de riscos cibernéticos, para ser responsável por garantir que os líderes empresariais tenham as capacidades e o conhecimento necessários para tomar decisões informadas e de alta qualidade sobre riscos de informações”, afirma Olyaei.
A segurança cibernética será incluída nas divulgações ESG – O interesse dos investidores, a pressão pública, as demandas dos funcionários e as regulamentações governamentais estão fortalecendo os incentivos para que as organizações rastreiem e relatem metas e métricas de segurança cibernética dentro de seus esforços ambientais, sociais e de governança (ESG) como um requisito de negócios.
Como resultado, o Gartner prevê que 30% das grandes organizações terão metas ESG compartilhadas publicamente com foco em segurança cibernética até 2026, contra menos de 2% em 2021.
“As expectativas de que as organizações deveriam ser mais transparentes sobre seus riscos de segurança aumentaram, resultando na demanda pública por maior transparência em seus relatórios ESG”, observa Claude Mandy, Diretor de Pesquisa do Gartner. “A cibersegurança não é mais apenas um risco para a organização, mas um risco social.”
Como consequência, os líderes de SRM terão cada vez mais que demonstrar um compromisso organizacional para reduzir os problemas sociais que podem surgir de incidentes de segurança cibernética, como violações de dados de informações pessoais de clientes; potenciais preocupações de segurança do uso de sistemas ciber-físicos; potencial para uso indevido e abuso em seus produtos; e ciberatividade maliciosa contra infraestrutura crítica.
*Imagem: Pexels
