O seu conselho está preparado para as novas normas de segurança cibernética?

Os conselhos de administração estão agora prestando atenção à necessidade de participar da supervisão da segurança cibernética. Não apenas as consequências estão gerando preocupação, mas as novas regulamentações estão aumentando a aposta e mudando o jogo. Os conselhos de administração têm um papel particularmente importante para garantir o gerenciamento adequado do risco cibernético como parte de sua função fiduciária e de supervisão. À medida que as ameaças cibernéticas aumentam e as empresas em todo o mundo reforçam seus orçamentos de segurança cibernética, a comunidade reguladora, incluindo a SEC, está promovendo novos requisitos que as empresas precisarão conhecer ao reforçar sua estratégia cibernética. A maioria das organizações que estudamos se concentra na proteção cibernética em vez de na resiliência cibernética, e acreditamos que isso é um erro. A resiliência é mais do que apenas proteção; é um plano de recuperação e continuação dos negócios. Ser resiliente significa que o senhor fez o máximo possível para proteger e detectar um incidente cibernético e também fez o máximo possível para garantir que possa continuar a operar quando ocorrer um incidente. Uma empresa que investe apenas em proteção não está gerenciando o risco associado à retomada do funcionamento no caso de um incidente cibernético. Nossa pesquisa indica que a maioria dos membros do conselho acredita que não se trata de uma questão de "se", mas de "quando" sua empresa sofrerá um evento cibernético. O objetivo final de uma organização com resiliência cibernética seria gerar disrupção zero em uma violação cibernética. Isso torna o foco na resiliência ainda mais importante. Novas regulamentações da SEC mudarão o papel do conselho Em março de 2022, a SEC emitiu uma proposta de regra intitulada Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure. Nela, a SEC descreve sua intenção de exigir que as empresas públicas divulguem se seus conselhos têm membros com experiência em segurança cibernética: "A segurança cibernética já está entre as principais prioridades de muitos Conselhos administrativos e os incidentes de segurança cibernética e outros riscos são considerados uma das maiores ameaças às empresas. Dessa forma, os investidores podem considerar importante a divulgação do fato de algum membro do conselho ter experiência em segurança cibernética, pois consideram seu investimento na empresa registrada, bem como seus votos na eleição dos diretores da empresa registrada." Em breve, a SEC exigirá que as empresas divulguem seus recursos de governança de segurança cibernética, incluindo a supervisão dos riscos cibernéticos pelo conselho, uma descrição da função da gerência na avaliação e no gerenciamento dos riscos cibernéticos, a experiência relevante dessa gerência e a função da gerência na implementação das políticas, procedimentos e estratégias de segurança cibernética da empresa registrada. Especificamente, quando pertinente à supervisão da diretoria, os registrantes deverão divulgar se toda a diretoria, um membro específico da diretoria ou um comitê da diretoria é responsável pela supervisão dos riscos cibernéticos, os processos pelos quais a diretoria é informada sobre os riscos cibernéticos e a frequência de suas discussões sobre esse tópico, se e como o conselho ou o comitê específico do conselho considera os riscos cibernéticos como parte de sua estratégia de negócios, gerenciamento de riscos e supervisão financeira. A boa notícia é que os conselhos estão progredindo nessa área. Uma pesquisa recente que realizamos com o parceiro de pesquisa Proofpoint mostrou que quase dois terços dos membros do conselho acreditam que a organização corre o risco de sofrer um ataque cibernético significativo. Quase três quartos dos entrevistados acham que o investimento que sua organização fez em segurança cibernética é adequado, e aproximadamente a mesma quantidade acha que a segurança cibernética é uma prioridade máxima. Setenta e seis por cento relataram que as questões de segurança cibernética são discutidas em todas as reuniões da diretoria, ou com mais frequência do que isso. No entanto, nossa pesquisa também revelou atitudes e crenças que precisam mudar. Apenas 23% dos membros do conselho acham que o risco de um ataque à sua organização é muito provável. Cerca de 47% acreditam que sua organização não está preparada para um ataque cibernético, o que leva à pergunta "o que eles estão fazendo a respeito?" E cerca de um terço dos membros do conselho diz que interage com o CISO somente quando ele está se apresentando ao conselho. É evidente que há espaço para melhorias no alinhamento dos membros do conselho com as prioridades de segurança cibernética da organização. Ajuste da atitude de segurança cibernética dos membros do conselho Para fornecer a supervisão adequada e cumprir o ambiente regulatório, os membros do conselho terão de aprimorar seu jogo de segurança cibernética. Não é mais adequado apenas ouvir sobre as proteções implementadas ou os resultados do último exercício de phishing. Os membros do conselho devem assumir a posição de que os ataques cibernéticos são prováveis e exercer sua função de supervisão para garantir que os executivos e gerentes tenham feito os preparativos adequados e apropriados para responder e se recuperar. Afinal, se assumirmos que toda organização tem um risco provável de sofrer uma violação ou ataque e que não é possível estar 100% protegida contra todos os ataques, a abordagem mais racional é garantir que a organização possa se recuperar com pouco ou nenhum dano às operações, aos resultados financeiros e à reputação da organização. A criação de resiliência em uma organização requer uma supervisão adequada da diretoria com base em um plano claro elaborado com base em análises econômicas e de negócios. Aqui estão algumas histórias sobre como as empresas que estudamos fizeram isso. O CEO de uma empresa de serviços financeiros percebeu que sua diretoria não estava bem informada sobre o contexto dos negócios ou sobre o risco de exposição financeira de um ataque cibernético. Ele contratou uma empresa de consultoria terceirizada para realizar uma avaliação da maturidade da segurança cibernética. O CISO da empresa apresentou os resultados do relatório ao subcomitê de gerenciamento de riscos corporativos, criando um diálogo produtivo sobre o impacto comercial e financeiro de diferentes investimentos em segurança cibernética. As hipóteses sobre o investimento em diferentes níveis de maturidade ajudaram o conselho a entender as compensações financeiras/riscos e forneceram a eles a linguagem e a perspectiva necessárias para realizar a supervisão necessária dos planos de segurança cibernética oferecidos pela equipe executiva. Outra organização concentrou seu conselho no alinhamento do programa de segurança cibernética e do risco operacional. O CISO, em colaboração com o Diretor de operações, aproveitou a análise financeira para ajudar a preencher a lacuna entre as exposições cibernéticas e as perdas operacionais. A diretoria conseguiu entender a exposição da organização do ponto de vista do risco, o que resultou na otimização da apólice de seguro cibernético como forma de mitigar o risco recém-compreendido. Ao usar a linguagem do risco, da resiliência e da reputação nas discussões sobre segurança cibernética com os membros do conselho de administração, os executivos operacionais conseguem preencher as lacunas que frequentemente ocorrem entre as necessidades técnicas vistas para atender às necessidades de segurança cibernética e as responsabilidades de supervisão executadas pelos conselhos de administração. Talvez isso tenha sido melhor articulado por Peter Gleason, presidente e CEO da National Association of Corporate Directors (NACD), quando ele disse: "Ouvimos de muitos diretores a necessidade de entender a exposição financeira resultante do risco cibernético, indo além das apresentações técnicas e focadas em ameaças cibernéticas que a maioria dos conselhos recebe". À medida que confiamos cada vez mais nos conselhos de administração para estender suas responsabilidades fiduciárias aos planos de segurança cibernética, os gerentes operacionais também devem assumir um papel, apresentando esses planos de uma forma que se alinhe com a maneira como os conselhos melhor contribuem. O cumprimento dos novos requisitos regulatórios pode ser melhor alcançado alinhando-se a forma como os líderes operacionais discutem a segurança cibernética com seus conselhos. Aumente o conhecimento sobre segurança cibernética em sua sala de reuniões Aqui estão alguns insights práticos para começar hoje mesmo, para que seu conselho atenda (ou exceda) as novas diretrizes da SEC e forneça o nível certo de supervisão dos planos de segurança cibernética: 1. Desenvolva uma linguagem comum para discutir as complexas questões de risco cibernético e resiliência. Os conselhos de administração querem simplificar as discussões técnicas e confusas, carregadas de termos de segurança com nuances. Não é que esses termos não sejam importantes, mas eles não são tão eficazes para o conselho quanto uma análise econômica que mostre como os ataques cibernéticos colocam as organizações em risco financeiramente no curto e no longo prazo e como a organização voltará a funcionar, ou seja, como se tornar resiliente. Nossa pesquisa mostra que as seguradoras estão assumindo a liderança nesse ponto, pois estão mudando a conversa sobre cibernética de uma conversa altamente técnica e ambígua sobre segurança para uma conversa em que as empresas possam entender e gerenciar efetivamente sua exposição financeira. 2. Mantenha a resiliência cibernética na agenda do conselho de administração e nas discussões com a diretoria. Nossa pesquisa indica que os conselhos de administração estão ouvindo a gerência falar sobre segurança cibernética, mas as discussões devem ocorrer com mais frequência. A TI não é uma decisão do tipo "uma e pronto"; é um alvo em constante mudança e movimento. Quanto mais frequentemente o conselho for exposto à situação cibernética de sua organização, mais confortável e mais experiente ele se tornará. 3. Construa pontes mais amplas entre os executivos de segurança cibernética e os membros do conselho. Os membros do conselho devem ter acesso e relacionamento com especialistas em segurança cibernética dentro da organização. Embora convidar os CISOs para se reportarem ao conselho ajude com a identidade, isso não cria conexões fortes entre os membros do conselho e os executivos de segurança. Encontre maneiras de facilitar esse relacionamento. Em nossa pesquisa, vimos membros do conselho entrarem em contato com os CISOs entre as reuniões do conselho para discutir as manchetes de segurança cibernética, compartilhar incidentes pessoais que possam ocorrer e apenas para se conhecerem melhor. Dessa forma, quando houver uma necessidade urgente de que o conselho de administração se pronuncie sobre uma situação de segurança cibernética, o relacionamento já estará estabelecido e as discussões serão mais relevantes e transparentes. Um incidente cibernético não é o momento de construir a ponte; isso deve ocorrer muito antes de as conversas difíceis terem de acontecer. A educação da diretoria para atender aos requisitos da SEC pode ocorrer organicamente se tanto a diretoria quanto os executivos operacionais ajustarem ligeiramente sua abordagem. Pensar em termos de resiliência em vez de proteção, equilibrar os riscos comerciais e técnicos, discutir a segurança cibernética em termos de exposições financeiras e aumentar a frequência da discussão sobre o cenário de segurança cibernética enfrentado pela organização ajudará os diretores nos conselhos a se prepararem e atenderem às regras da SEC que provavelmente virão. E isso contribuirá muito para aumentar a resiliência da organização.

O seu conselho está preparado para as novas normas de segurança cibernética?

Resumo.

Partner Center