Por Michael Rasmussen, The GRC Pundit & Analyst, GRC 20/20 Research No cenário em rápida evolução da governação, gestão de riscos e conformidade (GRC), a segurança da informação está a sofrer uma transformação significativa.
Esta evolução reflecte a crescente complexidade e interligação dos riscos digitais que as organizações enfrentam atualmente.
À medida que as empresas se tornam cada vez mais dependentes das tecnologias digitais, as responsabilidades tradicionais do CISO estão a expandir-se, dando origem à gestão do risco digital e da resiliência.

O CISO tradicional: uma base em segurança

A função CISO nasceu da necessidade de proteger os activos organizacionais num mundo digital.
A missão principal era clara: salvaguardar a confidencialidade, integridade e disponibilidade dos sistemas de informação contra ameaças cibernéticas.
Esta função tem sido crucial na implementação de medidas de segurança como firewalls, sistemas de deteção de intrusão e encriptação de dados para defender contra potenciais violações.
Ao longo do tempo, as responsabilidades do CISO expandiram-se para incluir a conformidade com os requisitos regulamentares, a gestão de riscos dos fornecedores e a privacidade dos dados.
No entanto, à medida que o panorama digital se tornou mais complexo, o mesmo aconteceu com os riscos que as organizações enfrentam.
A segurança de TI já não se limita apenas a evitar violações de dados; abrange agora um espetro mais alargado de riscos, incluindo a resiliência de TI, a continuidade do negócio e a capacidade de recuperação de perturbações.
O papel do CISO e, com ele, a segurança da informação, embora essencial, precisa de se expandir para lidar com toda a gama de riscos digitais que as organizações têm de enfrentar.

Uma nova paisagem: A necessidade de uma gestão mais alargada dos riscos e da resiliência

O ambiente digital atual caracteriza-se pela sua interligação e complexidade.
Os riscos já não se limitam a incidentes isolados; abrangem toda a organização, afectando tudo, desde as operações da cadeia de fornecimento à continuidade do negócio.
O recente incidente do CrowdStrike, em que a interrupção operacional de um fornecedor crítico afectou várias organizações, sublinha a necessidade de uma abordagem mais abrangente à gestão do risco digital.
Os requisitos regulamentares complicam ainda mais este cenário.
Regulamentos como o Digital Operational Resilience Act (DORA) da UE, o Cyber Resilience Act da UE, o Operational Resilience do Reino Unido e o CPS 230 da Austrália estão a levar as organizações a adotar uma visão mais holística e integrada do risco e da resiliência.

A evolução: Da Segurança da Informação ao Risco Digital e Resiliência

Em resposta a estes desafios, o papel do CISO está a evoluir para incluir a gestão do risco digital e da resiliência.
Esta função alargada reflecte a necessidade de uma abordagem mais ampla e integrada à gestão do risco digital.
A função de risco digital e resiliência não é apenas um guardião da segurança, mas um estratega responsável por garantir a resiliência geral da organização face à variedade de riscos digitais, e não apenas aos riscos de segurança.
Esta função em evolução precisa de desenvolver e implementar uma estrutura de gestão de riscos abrangente que aborde todo o espetro de riscos digitais, incluindo a cibersegurança, a resiliência de TI, a continuidade da resiliência empresarial e a conformidade.
Esta abordagem holística garante que a organização não só está protegida contra as ciberameaças, mas também preparada para recuperar rapidamente de quaisquer perturbações que possam ocorrer.

Os pilares do risco digital e da resiliência

1. Gestão holística do risco e da resiliência. A organização tem de desenvolver uma estratégia de gestão do risco e da resiliência que aborde uma vasta gama de riscos digitais, desde ameaças cibernéticas a perturbações operacionais.
Esta estratégia deve incluir avaliações de risco regulares, planeamento de cenários e a implementação de medidas de mitigação robustas. 2. Resiliência operacional digital. Assegurar que a organização pode recuperar rapidamente de perturbações é um dos principais objectivos do risco e da resiliência digitais.
Isto implica a criação de planos de recuperação bem definidos, a realização de testes de resiliência regulares e a melhoria contínua da capacidade da organização para responder e recuperar de incidentes. 3. Integração das estratégias de TI e de negócios. O risco e a resiliência digitais desempenham um papel crucial no alinhamento da gestão do risco digital com os objectivos comerciais gerais da organização.
Ao integrar a resiliência digital e a gestão de riscos na estratégia empresarial mais ampla, ajuda a garantir que os riscos digitais sejam geridos de forma a apoiar o crescimento e a resiliência a longo prazo. 4. Cenário proactivo e informação sobre os riscos. Aproveitando a análise de cenários, os exercícios de mesa e a informação avançada sobre riscos, a organização mantém-se à frente dos riscos emergentes, monitorizando continuamente o cenário de ameaças e riscos digitais e adaptando estratégias para lidar com as exposições a riscos em desenvolvimento.
Esta abordagem proactiva é essencial para gerir a natureza dinâmica e em constante mudança dos riscos digitais. 5. Colaboração das partes interessadas. A gestão eficaz dos riscos digitais exige a colaboração de toda a organização.
O CISO com foco no risco digital e na resiliência trabalha em estreita colaboração com a liderança executiva, as equipas de TI, as unidades de negócio e os parceiros externos para promover uma cultura de resiliência e de responsabilidade partilhada.

Uma abordagem unificada à gestão do risco digital e da resiliência

À medida que o papel do CISO continua a evoluir, é essencial que as organizações adoptem uma abordagem federada à gestão do risco e da resiliência.
Esta estratégia envolve a criação de uma estrutura unificada que abrange todos os departamentos e funções responsáveis pela gestão de riscos digitais e operações, serviços e processos empresariais.
Ao estabelecer processos estruturados, as organizações podem garantir uma abordagem abrangente e consistente à gestão de riscos.
Esta abordagem unificada é apoiada por tecnologias de gestão do risco e da resiliência e por feeds de inteligência de risco em tempo real.
Além disso, a inteligência artificial desempenha um papel fundamental na automatização de processos e no fornecimento de uma visão mais profunda dos cenários de risco e do seu impacto no negócio.

Conclusão: Abraçar o futuro da gestão do risco e da resiliência

A evolução do CISO para incluir o risco digital e a resiliência representa uma progressão natural na forma como as organizações abordam a gestão do risco digital.
À medida que as empresas navegam pelas complexidades do panorama digital moderno, esta função desempenhará um papel fundamental para garantir que estão não só protegidas contra as ciberameaças, mas também resilientes face às perturbações.
Esta nova função reflecte uma abordagem mais ampla e integrada da gestão do risco – uma abordagem que se alinha com os objectivos estratégicos da organização e apoia o sucesso a longo prazo.
Ao abraçar esta evolução, as organizações podem garantir que estão preparadas para enfrentar os desafios da era digital com confiança e resiliência.

Para saber mais sobre GRC, faz o download do ebook Governance, Risk, and Compliance: The Definitive Guide, e confere a solução de software de Gerenciamento de Riscos Tecnológicos da Riskonnect.