Cybersecurity: qual é o papel da alta gestão na proteção do negócio?

Quando um ataque para a operação, as perguntas das primeiras horas são de negócio, e quem precisa respondê-las é a diretoria. Por isso, a preparação também precisa passar por ela.

Outubro é o mês de conscientização em cibersegurança, e as campanhas costumam falar com os colaboradores sobre senhas, e-mails suspeitos e links.

Esse trabalho é importante. Mesmo assim, boa parte da exposição da empresa se define longe da área de tecnologia: na aprovação do orçamento, na contratação de fornecedores e na escolha dos processos considerados críticos. Uma das perguntas que mais ouvimos de CFOs e conselheiros é até onde vai a responsabilidade da gestão nesse tema.

Quando o sistema para, as decisões são de negócio

Um incidente pode impedir a empresa de faturar, atrasar entregas e bloquear o acesso às próprias informações financeiras. Ao mesmo tempo, alguém precisa decidir como falar com clientes e bancos e se é o caso de comunicar a ANPD, a autoridade responsável pela proteção de dados. Essas decisões envolvem contratos, caixa e reputação, e dificilmente cabem só à área técnica.

O risco que entra pelos fornecedores

Uma parte crescente dos incidentes começa em um fornecedor de software, em um prestador com acesso remoto ou em um parceiro que compartilha dados. Ao terceirizar uma atividade, a empresa continua exposta ao risco, e o controle vem de critérios definidos na contratação:

• avaliar a maturidade de segurança do fornecedor;

• prever em contrato prazos para notificação de incidentes;

• revisar periodicamente os acessos concedidos.

Quem responde pelo risco cibernético

Na governança, o ponto de partida é definir quem responde pelo risco cibernético, com que frequência o tema chega ao conselho e com base em quais indicadores. Gestão de acessos, segregação de funções e backup testado são controles próximos dos financeiros que o CFO já acompanha. Em empresas sujeitas à SOX, a lei americana de controles internos, os controles de TI entram no mesmo escopo de avaliação.

O plano de continuidade e de resposta a incidentes completa esse desenho. Ele define quais processos voltam primeiro e em quanto tempo, e estabelece antes da crise quem autoriza desligar sistemas, quem fala com clientes e quando acionar o jurídico. Empresas que simulam esses cenários com a diretoria presente costumam reagir de forma mais coordenada, porque as decisões difíceis já foram discutidas com calma.

O papel do CFO

O CFO traduz o risco em números que o conselho consegue avaliar, como o custo de dias de operação parada, o efeito sobre contratos com nível de serviço e a cobertura do seguro cyber. Como resume Dail Song, sócio responsável por Risk Advisory na VBR Brasil: "Segurança cibernética entra na pauta da diretoria no dia em que alguém pergunta quanto custa ficar três dias sem sistema. O ideal é que essa conta seja feita antes."

Como a VBR apoia essa agenda

Na área de Risk Advisory, a VBR atua em cybersecurity em parceria com a CT360, com diagnóstico de vulnerabilidades, testes de intrusão, monitoramento contínuo e resposta a incidentes. O trabalho se conecta a governança, riscos e compliance (GRC) e à avaliação de controles para SOX e IT SOX, para que a segurança digital faça parte da estrutura de governança da empresa.

Se a sua diretoria quer entender o nível de exposição da empresa e como se preparar, fale com a equipe da VBR pelo link na bio ou pelo site institucional.