Um Desafio para a Governança
Imagine uma organização que valoriza o consenso e busca alcançar objetivos estratégicos de forma rápida e eficiente. Nesse cenário, o gestor de Segurança da Informação (CISO) é convidado a participar de reuniões de diretoria, onde apresenta suas preocupações sobre riscos cibernéticos e exposições de dados. No entanto, suas recomendações frequentemente são recebidas com resistência e, em alguns casos, ignoradas.
Um Paradoxo da Liderança de Segurança
Essa situação apresenta um paradoxo da liderança de Segurança da Informação: a organização espera que o profissional proteja o negócio, mas não está preparada para ouvir aquilo que precisa ser protegido. A Segurança da Informação não existe para impedir o negócio de assumir riscos, mas para garantir que os riscos sejam compreendidos, avaliados e assumidos conscientemente por quem tem autoridade para isso.
Um Desafio Estrutural
Existe uma contradição na governança corporativa que precisa ser discutida com maior profundidade. O Modelo das Três Linhas, desenvolvido pelo Institute of Internal Auditors (IIA), estabelece uma referência internacional para a distribuição de responsabilidades relacionadas à gestão de riscos, controles e avaliação independente. No entanto, a Segurança da Informação muitas vezes é vista como uma função de segunda linha, subordinada à primeira linha que ela precisa desafiar.
Uma Função de Segurança que Precisa Evoluir
A Segurança da Informação precisa evoluir para se tornar uma função de primeira linha, com autonomia para questionar decisões e apresentar riscos de forma clara e independente. Isso exige uma estrutura de governança adequada, com responsabilidades claras e mecanismos transparentes de decisão.
Um Teste de Maturidade
Muitas organizações avaliam sua maturidade em Segurança por meio de indicadores como quantidade de vulnerabilidades, cobertura de ferramentas, conformidade com políticas, resultados de auditorias e evolução de frameworks. No entanto, existe uma dimensão menos visível e igualmente relevante: a capacidade da organização de lidar com o contraditório.
Um CISO que Precisa Evoluir
O gestor de Segurança também precisa compreender prioridades comerciais, limitações financeiras, necessidades operacionais e o apetite a riscos da organização. Precisa apresentar alternativas viáveis, distinguir riscos críticos de exposições toleráveis e compreender que segurança absoluta não existe. Seu papel não é vencer discussões, mas elevar a qualidade das decisões.
Um Desafio para a Governança
Organizações precisam de alinhamento estratégico, colaboração e confiança entre seus executivos. No entanto, não podem confundir alinhamento com unanimidade. O Diretor de Tecnologia precisa de uma Segurança que contribua para entregar soluções confiáveis, enquanto os demais diretores precisam de uma Segurança que compreenda suas prioridades e ajude a proteger seus resultados.
Um Ambiente que Permite a Discordância
Um ambiente em que o gestor de Segurança da Informação tem liberdade real para questionar decisões estratégicas, inclusive aquelas tomadas pelo executivo a quem se reporta, é fundamental para uma governança eficaz. A pergunta que deixo para CIOs, C-Levels, CEOs e membros de Conselhos é: Na sua organização, o gestor de Segurança da Informação tem liberdade real para questionar decisões estratégicas?
Considerações Finais
A Segurança da Informação não pode ser confortável para a liderança, pois conforto não é evidência de proteção. A pergunta que deixo é: Na sua organização, o gestor de Segurança da Informação tem liberdade real para questionar decisões estratégicas, inclusive aquelas tomadas pelo executivo a quem se reporta?
Um Desafio para a Governança
Esse é um desafio para a governança, pois a Segurança da Informação precisa ser capaz de questionar decisões estratégicas sem comprometer sua posição profissional. A organização precisa criar um ambiente em que a discordância seja permitida e valorizada, pois é nesse momento que a Segurança da Informação pode contribuir para a tomada de decisões mais informadas.
Referências
ISACA. (2023). Análise sobre a transição do reporte do CISO para níveis mais elevados da administração.
IIA. (2023). Modelo das Três Linhas.
