Três etapas que os CISOs devem seguir para provar o valor da cibersegurança

Boards know that cyber risk is a key component of operational risk, and they’re increasingly demanding that CISOs demonstrate tangible security gains.  

For leaders feeling this growing pressure, the key to success lies in shifting our focus from threats to value. It’s time to move away from qualitative reporting to more quantitative, value-based measures to demonstrate the ways cybersecurity programs are supporting business outcomes.

Aqui estão as três etapas que eu recomendo que os líderes de segurança adotem para adotar uma abordagem baseada em valores que tenha sucesso na sala de reuniões e proteja sua organização da evolução das ameaças cibernéticas.

․1. Trabalhe de trás para frente a partir dos objetivos de negócios

To truly speak to board-level security concerns, security teams must work backward from business outcomes. It’s no longer enough to think about security as a tick-box exercise — CISOs and their teams must have a focused strategy that proves efficacy and efficiency.

Ao alinhar os objetivos de segurança com as metas gerais de negócios, você pode demonstrar como seu programa e seus gastos se alinham aos principais resultados da empresa, ao mesmo tempo em que contribuem para melhorar a resiliência organizacional geral. Isso forçará a mudança dos relatórios qualitativos para medidas mais quantitativas baseadas em valores para demonstrar o impacto da segurança cibernética.

Por exemplo, não diga simplesmente que a organização deve investir na melhoria da autenticação porque é uma importante tática de segurança. Em vez disso, explique como uma das principais metas comerciais se beneficiará ao priorizar a autenticação e investir em uma solução de autenticação aprimorada. Essa mentalidade atualizada garante que você invista apenas na tecnologia que permite demonstrar valor alinhado às metas de negócios.

2. Demonstre rigorosamente o ROI de segurança

Apesar dos enormes investimentos em ferramentas de segurança, organizações de todos os setores, regiões e tamanhos ainda estão enfrentando ataques cibernéticos catastróficos.

In fact, IBM’s 2023 Cost of a Data Breach report found that data breaches costed organizations $4.45 million on average last year. This proves that many security teams are putting security technology in place without having proof that it’s making a positive impact on cyber resilience.

É hora de conectar os esforços de segurança cibernética com benefícios de resiliência tangíveis e mensuráveis. Cada dólar gasto em segurança cibernética deve mostrar ganhos significativos na postura de segurança ou na redução mensurável do risco.

Os conselhos reconhecem que o risco cibernético desempenha um papel importante no risco operacional da organização. Eles exigirão que os líderes de segurança cibernética demonstrem ganhos tangíveis em segurança cibernética. As equipes de segurança devem demonstrar rigorosamente que os investimentos estão diretamente vinculados aos benefícios reais.

Os conselhos, exigindo mais dados e evidências, avaliarão o custo de resolver problemas cibernéticos em relação aos riscos financeiros de deixá-los sem solução.

3. Crie estratégias e comunique-se em termos comerciais

Cybersecurity risk is business risk — and it’s up to CISOs to translate security tactics into a unified security strategy that helps mitigate this risk.  

A cibersegurança baseada em dados está se tornando a norma, e espera-se que os líderes de segurança forneçam atualizações regulares sobre como as iniciativas e ferramentas cibernéticas reduziram ou mitigaram os riscos e aumentaram a resiliência. Os conselhos vão querer saber como as iniciativas de segurança estão apoiando os resultados comerciais.

Infelizmente, muitos CISOs não estão se comunicando o suficiente com a alta liderança.

According to research by the Harvard Business Review, only 47% of board members interact with their CISOs on a regular basis.

É essencial adotar uma abordagem baseada em riscos, idealmente construída em torno de princípios como defesa profunda ou Zero Trust. Uma estratégia coesa orientará não apenas sua tomada de decisão, mas garantirá que a liderança empresarial possa ver como você está desenvolvendo uma defesa abrangente contra ameaças.

Ao falar sobre seu programa, especialmente em um ambiente de diretoria, participe de conversas relacionadas aos objetivos principais e financeiros da organização, em vez de táticas ou ameaças de segurança específicas. Essa abordagem estratégica de comunicação garante que a segurança cibernética não seja vista apenas como um centro de custo, mas como parte integrante do sucesso comercial.  

Os líderes de segurança que vencerão são aqueles que conseguem articular claramente o impacto que seus programas estão tendo nos negócios.

Uma abordagem baseada em valor para a cibersegurança é o futuro

A era dos exercícios com caixas de seleção, dados qualitativos e estratégias desalinhadas acabou para a cibersegurança. É fundamental que os líderes de cibersegurança façam a transição de uma abordagem centrada em ameaças para uma centrada em valor, alinhando os esforços de segurança aos objetivos de negócios.

Those who prioritize a value-based approach will emerge as winners in the long run. Anticipate a future where a value-centric approach filters into how we measure progress throughout security, including upcoming compliance mandates from global governments.  

Get in touch to learn how Illumio can support your organization’s top cybersecurity initiatives.