O que é um CISO?

Papel, mandato e por que a contenção de violações define o CISO moderno

Um CISO, ou Diretor de Segurança da Informação, é o executivo sênior responsável por proteger as informações, os sistemas e os dados de uma organização. Eles são responsáveis pela estratégia de segurança, pelo orçamento que a financia e pela justificativa comercial para ambas. A função é estruturada em torno de três mandatos principais: resiliência cibernética, redução de riscos e conformidade regulatória. O desafio é que os CISOs são responsáveis por resultados que nenhum líder de segurança pode controlar totalmente. Os CISOs modernos são avaliados pelo que conseguem comprovar: quando ocorre uma violação de segurança, eles precisam demonstrar que o dano foi contido, o risco diminuiu e o investimento em segurança trouxe retorno.

Principais conclusões

• O CISO é o principal executivo de segurança e o responsável pela gestão financeira da segurança: ele é o detentor da estratégia, do orçamento e do retorno sobre o investimento (ROI).

• A função se baseia em três mandatos: resiliência cibernética, redução de riscos e conformidade regulatória. Estas questões são definidas pela diretoria e respondidas pela diretoria.

• O maior desafio do trabalho é comprovar o retorno sobre o investimento em segurança: justificar os gastos com métricas de nível diretivo enquanto os ataques de movimentação lateral continuam aumentando e as violações ainda ocorrem.

• A prevenção por si só não pode ser medida nem defendida. Uma estratégia que promete apenas manter os atacantes afastados não tem qualquer eficácia quando um deles consegue entrar.

• O controle de violações por meio da microsegmentação proporciona ao CISO o que o mandato exige: redução mensurável do raio de impacto, evidências de conformidade e auditoria e implementação sem interrupção operacional.

O que é um CISO?

O CISO (Chief Information Security Officer) é o executivo responsável pela segurança cibernética geral de uma organização. Enquanto engenheiros e analistas são responsáveis por partes da defesa, o CISO é responsável pela estratégia que os conecta, pelo orçamento que os financia e pelos resultados que o conselho espera em troca. Na maioria das organizações, o CISO se reporta ao CEO ou ao CIO e, cada vez mais, apresenta os riscos diretamente ao conselho de administração. Em termos de compras, o CISO é o comprador que avalia os riscos e a economia: a pessoa responsável pela estratégia de segurança, pelas operações e pela análise de retorno sobre o investimento (ROI) de cada investimento.

A característica que define o papel do CISO é que ele se situa entre dois mundos: a realidade técnica das ameaças, vulnerabilidades e controles, e a linguagem empresarial de risco, gastos e retorno. Um bom CISO consegue fazer a ponte entre eles. Uma regra de firewall significa pouco para uma diretoria. Uma redução mensurável no risco de violação de dados, comprovada por auditorias, significa muito mais. A principal habilidade do CISO é transformar o trabalho técnico de segurança em resultados de negócios que os executivos possam entender, financiar e defender.

O que faz um CISO?

O CISO define e gerencia o programa de segurança da organização com base em três princípios fundamentais. Eles definem diversas responsabilidades interligadas:

• Resiliência cibernética: garantir que a organização possa resistir e se recuperar de ataques, mantendo os negócios em funcionamento mesmo quando algo consegue passar.

• Redução de riscos: identificar e priorizar os riscos da organização, decidir quais mitigar e quais aceitar, e reduzir o nível geral de risco.

• Conformidade regulatória: atender às crescentes obrigações legais e regulatórias em nível global e produzir as evidências de auditoria para comprová-las.

• Orçamento e ROI: assumir a responsabilidade pelos gastos com segurança e enfrentar o desafio constante de comprovar que o investimento produziu resultados mensuráveis.

• Relatórios para o conselho e a diretoria: traduzir o cenário de ameaças em termos de negócios e métricas que a liderança possa utilizar.

• Resposta a incidentes: ser responsável pelo plano de ação durante uma violação de segurança e liderar a organização nesse processo.

O fio condutor é a tomada de decisões em situações de incerteza. Um CISO raramente tem orçamento, pessoal ou certeza suficientes para lidar com todas as ameaças. Eles precisam decidir onde os recursos limitados reduzirão ao máximo os riscos e protegerão melhor o negócio.

De onde surgiu o cargo de CISO?

O cargo de CISO foi efetivamente inventado em 1994, quando o Citicorp criou o título após uma série de ataques cibernéticos e contratou Steve Katz como a primeira pessoa a ocupá-lo. Antes disso, a segurança da informação era uma função técnica relegada ao setor de TI, sem assento na mesa de decisões executivas. A violação de segurança forçou o reconhecimento de que a segurança era um problema empresarial suficientemente sério para exigir um líder empresarial.

Essa história de origem ainda molda o papel. O CISO existe porque a diretoria concluiu que as falhas de segurança representavam um risco para a empresa. Desde então, todas as expansões da função seguiram a mesma lógica: à medida que as violações de segurança se tornaram mais prejudiciais, a pessoa responsável por elas foi gradualmente promovida, da sala de servidores para a sala de reuniões, e com isso veio a expectativa de falar nos termos do conselho, que normalmente giram em torno de risco, resiliência e retorno.

Quais são os resultados mais importantes para um CISO?

Os resultados que mais importam para um CISO são aqueles que ele pode mensurar e defender: uma redução demonstrável no risco de violação de dados, métricas de risco claras para o conselho administrativo e evidências de conformidade que resistam a auditorias. Este é o cerne prático da função e seu problema mais difícil. Comprar ferramentas de segurança é simples. O verdadeiro trabalho é provar que reduziram o risco em termos que um conselho compreenda e que, por isso, manterá o financiamento.

A dificuldade é estrutural. É fácil questionar os gastos com segurança quando eles parecem estar funcionando. Um ano sem grandes descumprimentos orçamentários pode fazer com que o orçamento pareça desnecessário para um conselho cético. Ao mesmo tempo, os ataques de movimentação lateral continuam aumentando e as brechas ainda ocorrem, portanto o CISO não pode afirmar que a ameaça passou. Isso deixa o CISO precisando de evidências que ele possa mostrar: "Reduzimos o raio de impacto de um ataque nesta porcentagem, e aqui está o mapa que comprova isso." Uma postura de segurança que não pode ser mensurada não pode ser defendida na época do orçamento. E um CISO que não consegue defender o orçamento não consegue sustentar o programa.

Por que a prevenção por si só é uma estratégia ineficaz para os CISOs?

A prevenção por si só é uma estratégia ineficaz, pois compromete o CISO com uma promessa que ele não pode cumprir nem mensurar. Os atacantes só podem acertar uma vez. Uma defesa baseada exclusivamente na prevenção precisa ser eficaz sempre, mesmo quando os adversários se movem mais rapidamente e utilizam mais automação. Cedo ou tarde, essa matemática falha. Quando isso acontece, uma estratégia construída apenas para impedir ataques não tem uma segunda etapa e nenhuma métrica para relatar, exceto a ausência de desastre.

É aqui que o mandato e a arquitetura se chocam. Um CISO que baseia o programa na premissa de que "não seremos violados" aposta sua credibilidade no único resultado que não controla, sem nenhuma maneira de quantificar o sucesso ao longo do processo. Quando a violação ocorrer (o CISO resiliente se prepara para esse "quando"), a pergunta do conselho será: "Qual foi o alcance da violação e o que fizemos para contê-la?" A abordagem preventiva não oferece uma boa solução, porque nunca considerou ou planejou a contenção.

Como um CISO deve abordar a contenção de violações de segurança?

Um CISO deve abordar a contenção de violações de segurança deixando de tentar impedir todas as intrusões e passando a controlar o alcance da propagação delas. Isso reformula o programa de segurança em torno da variável que o CISO pode influenciar. Os atacantes podem entrar. O que importa agora é para onde eles podem ir. Se o ambiente for segmentado em áreas delimitadas, a violação terá um impacto menor e mais mensurável.

Imagine o trabalho do CISO como o de manter um navio à tona. Nenhum capitão controla o oceano, então os mais espertos constroem o casco com compartimentos estanques, de forma que uma única brecha inunde uma seção sem afundar a embarcação. Os navios que, mesmo assim, afundaram são os que servem de exemplo: seus compartimentos não eram altos o suficiente, então a água transbordava de um para o outro. Essa propagação é exatamente o que caracteriza o movimento lateral: um invasor se deslocando do compartimento que invadiu para o restante da empresa. A microsegmentação é a antepara moderna. Ele divide o ambiente em zonas isoladas para que uma única invasão permaneça contida, e é integrado ao ambiente antecipadamente, de modo que a contenção já esteja pronta quando o invasor chegar.

Para um CISO, a contenção de violações de segurança apoia todos os três mandatos na linguagem aprovada pelo conselho. Isso fortalece a resiliência, ajudando a empresa a continuar operando quando ocorre uma violação de segurança. Isso proporciona uma redução mensurável do risco, diminuindo o raio da explosão de uma forma que o CISO pode mapear e relatar. E isso contribui para a conformidade, fornecendo evidências de que os ativos críticos estão isolados e protegidos. Para um comprador que assume riscos, o impacto operacional também é importante: a segmentação pode ser implementada sem reinicializações, tempo de inatividade ou alterações de IP. O CISO obtém um resultado que pode ser mensurado, defendido e comprovado sem causar interrupções desnecessárias aos negócios.

Perguntas frequentes sobre o papel do CISO

O que significa CISO?

CISO significa Diretor de Segurança da Informação. Este é o executivo sênior responsável pela estratégia de segurança da informação e de dados, gestão de riscos, orçamento e resposta a incidentes de segurança de uma organização. O CISO é normalmente o responsável pela aquisição de segurança, sendo o detentor da estratégia e do retorno sobre o investimento.

Qual a diferença entre um CISO e um CIO?

Um CIO (Chief Information Officer, Diretor de Informação) é responsável pela tecnologia da informação geral de uma organização e por como ela viabiliza os negócios, enquanto um CISO se concentra especificamente em proteger essa tecnologia e os dados, além de reduzir os riscos. Em muitas organizações, o CISO se reporta ao CIO ou ao CEO e apresenta os riscos diretamente ao conselho.

Quem foi o primeiro CISO?

Steve Katz é amplamente reconhecido como o primeiro CISO (Diretor de Segurança da Informação), contratado pelo Citicorp em 1994 após uma série de ataques cibernéticos. O cargo foi criado para dar à segurança da informação um responsável executivo dedicado e retirá-la do departamento de TI.

Quais são as principais prioridades de um CISO?

As principais atribuições de um CISO são a resiliência cibernética, a redução de riscos e a conformidade regulatória. Na prática, o maior desafio recorrente é comprovar o retorno do investimento em segurança. Eles precisam justificar os gastos ao conselho com métricas de risco mensuráveis e evidências de auditoria, especialmente porque os ataques de movimentação lateral estão aumentando e as violações de segurança continuam a ocorrer.

Por que os CISOs devem se concentrar na contenção de violações em vez da prevenção?

Nenhuma defesa impede todas as violações; uma estratégia focada apenas na prevenção oferece ao CISO poucos indicadores para avaliar quando uma violação é bem-sucedida. A contenção de violações utiliza microsegmentação para limitar o alcance dos movimentos de um invasor. Isso proporciona ao CISO uma redução mensurável do raio de impacto, evidências de conformidade e resiliência demonstrável — resultados que podem ser defendidos perante um conselho e implementados sem interrupção operacional.

Leituras relacionadas

Resiliência cibernética para líderes de segurança (CISOs, CIOs e CTOs)

Plataforma de Contenção de Violações Illumio

ransomware

Zero Trust

‍