Maturidade Segurança Informação, Cibersegurança e Proteção Privacidade.
Com exceção das Instituições Financeiras, entendo que a grande maioria dos CEOs não conhecem a Maturidade dos Controles de Segurança da Informação.
Com exceção das Instituições Financeiras, entendo que a grande maioria dos CEOs e Conselhos de Administração não conhecem a Maturidade dos Controles de Segurança da Informação, Cibersegurança e Proteção da Privacidade das suas organizações. Neste texto chamaremos de maneira simplificada Maturidade da Segurança da Informação.
É uma situação de não conformidade com as responsabilidades dos CEOs e Conselhos de Administração. Por uma razão simples: Segurança da Informação tem por objetivo possibilitar que a organização alcance seus objetivos corporativos, no que depende da informação. E convenhamos, tudo depende da informação. Se a organização tem o objetivo de vender seus produtos ou serviços, um ataque bem-sucedido de sequestro (criptografia criminosa) de dados impede o funcionamento de lojas físicas e ambiente de comercio eletrônico. Estar em conformidade com a legislação pode não acontecer em função de um vazamento de dados pessoais, por uma má gestão de controles de acesso lógico.
Simplificando: se o CEO (você?) ou o Conselho de Administração não conhecem a Maturidade de Segurança da Informação, entendo que estão sendo profissionais negligentes em relação à Governança e Gestão. E por favor, não digam que as Áreas de Tecnologia e Gestão de Segurança da Informação conhecem a situação. Elas devem conhecer, podem e devem executar a Avaliação de Maturidade e recomendar ações, mas a decisão de validar as prioridades sugeridas que inclusive vão exigir recursos financeiros, é do CEO e/ou Conselho de Administração.
Essa é uma das maneiras de garantirmos alinhamento da Governança Corporativa com a Governança da Segurança da Informação.
Uma avaliação de maturidade deve ter definido o seu escopo e os referenciais regulatórios que serão tomados como base. Inicialmente devemos considerar as Normas ISO/IEC da Família 27.000, outros referencias como o NIST (USA), legislação aplicável, tipo LGPD/Brasil, padrões de mercado como o PCI para empresas que tratam de cartões e os regulamentos setoriais como BACEN, ANS ou SUSEP.
Outra referência a ser definida antes da avaliação é o critério para a Maturidade. Podemos tomar como base o CMMI (Capability Maturity Model Integration) e podemos definir:
Nível de Maturidade 0 (Zero): Inexistente
– Não existe o controle.
– Está em planejamento.
Nível de Maturidade 1: Inicial
– Ad-hoc, informal, sem confiabilidade.
– Em planejamento, sem implementação.
– Não possuem práticas definidas.
Nível de Maturidade 2: Básico
– Existem alguns templates ou checklist.
– São processos normalmente reativos.
– Qualidade do controle fraca, considerando os padrões de referência.
Nível de Maturidade 3: Definido
– Formalmente documentados, os processos são consistentes.
– Os processos já possuem uma melhor definição e proatividade.
– Os processos pertencem à empresa. Não depende de colaborador específico.
Nível de Maturidade 4: Gerenciado
– Formal, integrado com métricas, mesmo que iniciais.
– Medido e controlado.
– Controle de Segurança aplicado de maneira proativa.
Nível de Maturidade 5: Otimizado
– Maduro e automatizado total ou parcial.
– Tem foco na melhoria contínua do desempenho de processo
– Controle de Segurança Excelente. “Melhor da Classe.”
Para priorizar as ações é importante a elaboração de uma Matriz de Riscos, considerando o Impacto Negativo de Controles Frágeis e a Probabilidade desta Vulnerabilidade ser explorada por criminosos, acontecer por erros ou outro motivo.
Porém, apesar do tema ser Maturidade da Segurança da Informação, o mais importante é um dos produtos: o Plano de Ação. Nesta priorização de atividades a organização (CEO ou Conselho de Administração) receberá uma recomendação profissional por onde (re) começar ou aprimorar os Controles de Segurança da Informação.
Exemplo de um Plano de Ação:
Na minha experiência quando o Corpo Diretivo recebe esta orientação, não ficam parados. Perguntam: Quanto custa a implementação e quanto tempo leva? E decide qual será o ritmo da implementação proposta.
Normalmente a grande maioria dos controles a serem implementados ou aprimorados são de baixo custo: procedimentos, regras e responsabilização.
Quem quer implementar, implementa. E ainda torna uma situação de segurança da informação como um diferencial competitivo e uma carta de referência para os negócios da organização.
O CEO da empresa que você trabalha conhece a Maturidade de Segurança da Informação, Cibersegurança e Proteção da Privacidade da organização?
Grande abraço.
Edison Fontes, CISM, CISA, CRISC, Ms.
Expert CyberSecurity Consultant – NTT DATA Europe & LATAM
Autor do Livro Segurança da Informação: Gestão e Governança. Conformidade com a LGPD.