Dois grandes riscos cibernéticos podem comprometer dados e sistemas: os cibercriminosos e os usuários mal-intencionados ou sem conscientização. No entanto, existe um terceiro fator ainda mais crítico. Porém, convidamos você a refletir sobre um terceiro fator de risco, que, no entender do time da Etek NovaRed, é o mais crítico de todos: os bystanders.
O que é bystander
Na tradução para o português, bystander significa observador ou espectador. Na organização, o bystander é o decisor que não se posiciona no momento adequado. Mesmo informado dos riscos, demora para agir ou ignora indícios de problemas.
Como identificar um bystander
É possível identificar o comportamento omisso de um bystander em qualquer área da companhia. Em TI e SI, o bystander pode ser o conselheiro que demora para aprovar um projeto. Também pode ser o CEO que ignora a cultura de proteção de dados ou o CISO sem plano robusto de investimento. Há, ainda, membros do board que deixam de se aprofundar nesta problemática mandando o assunto para o corner dos problemas a serem evitados.
Os riscos da inércia de decisão
Em organizações nas quais os bystanders dificultam a evolução de projetos de segurança da informação, em geral, perde-se muito dinheiro com ações corretivas, em vez de investir adequadamente nas preventivas. Faz-se o básico, o que é possível. Como se ele fosse suficiente ou adequado.
Nessas empresas, verbas emergenciais corrigem estragos de ransomware ou sequestro de dados. Dessa forma, o custo da insegurança supera o investimento preventivo.
Em geral a conta para pela insegurança é brutalmente maior que o investimento em uma ação estruturada e consciente em segurança da informação.
Formas de amenizar esse cenário
Nossa recomendação é que os profissionais de segurança da informação elaborem suas estratégias com base em réguas de maturidade, como as normas ISO 27000, NIST e CIS.
Sugerimos, ainda, levar ao conhecimento dos líderes de negócio a necessidade e a importância de estabelecer camadas de proteção no parque tecnológico e aperfeiçoá-las de tempos em tempos. Igualmente é importante separar os ativos mais importantes (as jóias da coroa) e direcionar mais investimento e proteção a estes.
Ao apresentar os planos ao conselho e/ou ao board da companhia, certifiquem-se de estruturá-los com argumentos, dados e fatos sólidos, com atenção especial para incluir informações que revelem o apetite de risco da empresa. Essa deve estar entre as quatro perguntas que o CISO deve fazer na hora de planejar o orçamento da área.
Sabemos o quanto é desafiador para a equipe de segurança da informação conciliar as demandas do dia a dia com ações estratégicas, principalmente com o déficit de mão de obra qualificada e do quadro de colaboradores cada vez mais enxuto. Acreditamos que, em casos como esse, o melhor caminho é contar com um parceiro terceirizado para otimizar a estrutura e atuação do time. Nós podemos te ajudar. Vamos fazer um projeto juntos?
