Por Leonardo Lemes
“A segurança cibernética ganha cada vez mais espaço”, “a segurança da informação é um pilar estratégico das organizações” e, finalmente, “o executivo responsável pela área ganhou de forma definitiva um assento na alta administração”. Provavelmente, você já viu todas essas afirmações na capa daquela revista ou mídia on-line especializada de sua preferência, mas será mesmo que isso é verdade? Será que as nossas instituições estão maduras o suficiente para discutir o tema e tomar as ações necessárias? Ou a realidade é que muitas empresas não possuem processos estabelecidos, não dispõem de equipes dedicadas ao assunto e que os investimentos em tecnologia de segurança, quando existem, ou não são suficientes ou são equivocados?
Ainda que o tema esteja na pauta de muitas empresas, tenha ganho cada vez mais relevância ao longo dos últimos anos e que, de fato, deveria fazer parte da estratégia das organizações, o número cada vez maior de incidentes de segurança amplamente divulgado pelos meios de comunicação nos confronta com uma realidade distinta daquela que o título deste artigo sugere. O desafio é muito maior do que o espaço que disponho, portanto, convido o leitor a refletir sobre três aspectos importantes, quando o assunto é investimento em segurança cibernética.
O primeiro aspecto está relacionado a quais investimentos priorizar. Invista na proteção daquele que é um dos, se não, o principal ativo da sua empresa. Estou me referindo aos produtos e serviços que sua empresa oferece no mercado. Para isso, é imperativo disseminar a cultura e as práticas do security by design entre os times responsáveis pela criação de produtos e serviços.
Quanto mais cedo incorporarmos a segurança ao ciclo de desenvolvimento de produtos e serviços, maiores os ganhos para as organizações, pois é mais barato prevenir do que remediar as consequências de um incidente. E, ao contrário do que muitos profissionais acreditam, medir o retorno desse investimento não é tão difícil assim.
Se a sua organização já definiu processos para incorporar práticas de segurança aos produtos e serviços, investiu em tecnologia para aprimorar a capacidade de resposta a incidentes, então não se esqueça de um dos pilares dessa área: as pessoas. Embora a educação e a conscientização sejam o cerne de qualquer estratégia de segurança, o aspecto que pretendo destacar é a capacitação do time de segurança.
Aprimorar a postura de segurança cibernética demanda planejamento e investimentos, e garantir os recursos necessários para tanto é a maior evidência de comprometimento da alta administração. Ao não prover esses recursos, a liderança estará negligenciando uma ameaça real, e que tem a capacidade de comprometer a continuidade das operações da organização.
