2. Aumentar a confiança com um reboot nas relações
Assim, tendo o Security by Design como objetivo, os CISOs e seus colegas em toda a organização – incluindo cargos como marketing, P&D e vendas – precisam construir relacionamentos muito mais estreitos a fim de melhorar o entendimento geral do negócio de segurança cibernética e atender à ideia do Security by Design.
Aumentar a colaboração com outras áreas deve ser uma prioridade, mas a cibersegurança também precisa formar relações muito mais produtivas com a diretoria, a suíte C e os líderes seniores.
O momento para um reboot nas relações
64%das empresas dizem que a relação entre a cibersegurança e a equipe de P&D é, na melhor das hipóteses, neutra, desconfiada ou inexistente.
- A relação entre cibersegurança e marketing é, na melhor das hipóteses, neutra, sob desconfiança ou inexistente, de acordo com 74% das organizações; 64% dizem o mesmo da equipe de pesquisa e desenvolvimento; 59% para as linhas de negócios. As equipes de Cibersegurança tiveram um desempenho ruim mesmo no relacionamento com o time de finanças, de quem dependem para obter autorização orçamental, com 57% das empresas dizendo que a relação fica abaixo das expectativas.
- Cerca de metade dos entrevistados (48%) dizem que a diretoria ainda não tem uma compreensão completa do risco de cibersegurança; 43%, entretanto, dizem que os conselhos de administração não compreendem totalmente o valor e as necessidades da equipe de cibersegurança.
- A EY Global Board Risk Survey mostra que os conselhos de administração não têm confiança na segurança cibernética de sua organização, com 50% – na melhor das hipóteses – afirmando que eles estavam apenas um pouco confiantes.
- Apenas 54% das empresas promovem regularmente a cibersegurança como um item na agenda dos conselhos de administração.
- Seis em cada dez organizações dizem que não podem quantificar a eficácia de seus gastos com cibersegurança para seus conselhos de administração.
3. O CISO se transformando em um agente de transformação
Com relações mais fortes a nível empresarial e de administração, uma melhor compreensão dos imperativos comerciais da organização e a capacidade de antecipar a evolução de uma ameaça cibernética, as CISOs podem se tornar uma peça central para a transformação das suas organizações.
Eles precisarão de uma nova mentalidade, assim como novas habilidades em áreas como comunicação, negociação e colaboração. Os CISOs que se tornarão poderosos agentes de mudança serão aqueles que, em vez de dizer "Não" a novas iniciativas, dirão "Sim, mas...".
Artigos relacionados
- Apenas 7% das organizações descreveriam a cibersegurança como uma facilitadora para a inovação; a maioria escolhe termos como "orientada pela conformidade" e "avessa ao risco".
- Cerca de metade das organizações (48%) dizem que a principal diretriz para novos gastos é a redução de riscos, e 29% citam requisitos de conformidade. Apenas 9% apontam para a capacitação de novas iniciativas empresariais.
- Seis em cada dez organizações não têm um chefe de cybersecurity que faça parte do conselho de administração ou no nível de gestão executiva.
- Cerca de um terço das organizações (32%) dizem que os orçamentos de cibersegurança são derivados de mais de uma fonte.
Se a área de Cybersecurity se visse como um obstáculo à inovação
7%das organizações, ela se descreveria como uma facilitadora para a inovação; A maior parte no entanto, escolhe termos como "orientado pela conformidade" e "avesso ao risco".
Resumo das recomendações da EY
Com base nos resultados do GISS deste ano, fica claro que existe agora uma oportunidade real de posicionar a cibersegurança no centro da transformação e inovação dos negócios. Isto vai exigir que os conselhos de administração, as equipes de gestão senior, os CISOs e os líderes de toda a empresa trabalhem em conjunto:
- Estabelecer a cibersegurança como um capacitador de valor chave na transformação digital – trazer a cibersegurança para a fase de planejamento em cada nova iniciativa. Tirar vantagem de uma abordagem de Security by Design para minimizar os riscos da transformação e no design do produto ou serviço no início (em vez de fazer isso em uma fase mais avançada do projeto).
- Construa relações de confiança com cada área da organização – analise os principais processos de negócios com as equipes de cibersegurança, para entender como a empresa pode ser impactada por riscos cibernéticos e como a equipe de cibersegurança pode ajudar a melhorar a função comercial ao seu redor.
- Implementar estruturas de governança que sejam adequadas ao objetivo desenvolver um conjunto de indicadores-chave de desempenho e indicadores-chave de risco que possam ser usados para comunicar uma visão centrada no risco nos relatórios executivos e do conselho.
- Foco no envolvimento do conselho – comunicar em uma linguagem que a diretoria possa compreender; considerar um programa de quantificação de riscos para comunicar os riscos cibernéticos de forma mais efetiva.
- Avaliar a eficácia da de cibersegurança para preparar o CISO com novas competências – determinar os pontos fortes e fracos da área de cibersegurança para entender em que o CISO deve ser especializar e como.
Resumo
Nova pesquisa do EY sugere que fora da necessidade de conformidade, um abismo separa a segurança cibernética do negócio. Para acabar com essa diferença, os CISOs precisam mostrar seu valor, de forma que até mesmo os C-level possam entender; O negócio por sua vez, precisa abraçar a segurança cibernética em seus processos desde o início e manter durante todo o ciclo de vida de cada iniciativa.
