Os líderes corporativos estão aprendendo a lidar com os riscos da disrupção digital. Pois, são grandes as incertezas cibernéticas, as questões econômicas e até geopolíticas. Assistimos hoje uma enxurrada de tendências, ideias e informações que os líderes atuais enfrentam e, portanto, está mais difícil do que nunca saber o que realmente importa.
Na tecnologia não é diferente. O CEO teve que assumir boa parte do papel de arquiteto de tecnologia – e vem trabalhando muito próximo ao CIO e ao CISO para participar da decisão e da estratégia de tecnologia e segurança da companhia – pois há coisas demais em jogo.
Hoje em dia o CEO sabe da importância de reforçar a segurança cibernética. Para isso, a aliança com o CISO se estreita a cada dia a fim de assegurar investimentos para ações relacionadas à modernização da infraestrutura; para adotar ferramentas que tragam automatização de processos; promover visibilidade e simplicidade de gestão; incorporar controles de segurança e de acesso aos negócios; além de manter funcionários treinados para ficarem vigilantes.
Esse cenário instável realça a importância do CISO, seus alinhamentos com o board, fornecendo mensagens claras, insights acionáveis e suas prioridades de decisão dos investimentos. Um dos elementos da segurança cibernética que vem ganhando força na lista de desejos deste executivo é a gestão de patchs e correções. Isso porque a violação de dados sensíveis pode impactar drasticamente a integridade operacional das organizações.
Ainda, a adoção de infraestrutura em nuvem e a diversidade de dispositivos conectados aumentaram sensivelmente a complexidade de gestão dos ambientes tecnológicos. Deste modo, compreender e aplicar de maneira eficaz práticas de gestão de vulnerabilidades e suas correções se mostra crucial às novas responsabilidades dos decisores, principalmente do CISO.
Preocupações do CISO
Neste cenário, um relatório elaborado pela Tenable, destaca, entre outros números, que apenas quatro em cada 10 empresas consideram que são eficazes na gestão de suas vulnerabilidades, enquanto um número semelhante usa métodos manuais para corrigi-las. E, apenas 11% das empresas dizem que são eficientes na correção de vulnerabilidades, resultando em uma exposição por longos períodos.
Sabemos que para muitas empresas, a correção de vulnerabilidades continua sendo um enorme desafio, pois identificar, testar e instalar os inúmeros patches lançados todos os dias é de fato trabalhoso. Embora organizações tenham feito progressos na identificação de riscos, os processos de priorização e correção de vulnerabilidades têm espaço para melhoria.
Na rotina corporativa, equipes de TI e segurança cibernética contribuem para o gerenciamento de vulnerabilidades, mas talvez as limitações orçamentais e de pessoal assim como a complexidade do cenário de ameaças, sejam algumas das barreiras que distanciam as empresas de um ambiente ideal esperado.
De toda forma, uma coisa é certa: não podemos dar vantagem aos cibercriminosos, que só precisam de uma porta de entrada para invadirem e, em alguns casos, conseguirem ser bem-sucedidos em seus ataques. Para obter uma vantagem na luta entre vulnerabilidades e patches disponíveis, a automação ajuda as equipes a superarem o gargalo que ocorre entre a priorização e a correção. As equipes precisam de controle para determinar quem, como e onde um patch deve ser implementado. Isso com contexto, ou seja, sabendo qual é mais vulnerável a um ataque com base em inteligência de ameaças e dados em tempo real.
Uma atualização de software ou patch mal implementado pode causar paralisações catastróficas de sistemas, inviabilizar aplicações e causar enorme prejuízo ao negócio. Aqui a confirmação automática e verificação subsequente se torna essencial, bem como o monitoramento de conformidade e métricas simplificadas que podem ser compartilhadas com decisores (board).
A implementação de tecnologias emergentes de proteção de dados demonstra não apenas uma evolução na segurança, mas também um compromisso com a eficiência e a com a experiência do usuário.
Por várias razões mencionadas anteriormente é preciso que os decisores CEO, CIO e CISO alinhem os objetivos de negócio com as necessidades de segurança. O CEO deve ter uma visão holística do negócio e do mercado e, nesse sentido, deve entender todos os riscos envolvidos e ficar cada dia mais atento às questões de cibersegurança – as quais impactam diretamente na continuidade da organização.
Vale ressaltar a importância da definição da estratégia de cibersegurança integrada ao planejamento estratégico da organização – sendo que essa estratégia deve ser amplamente comunicada e monitorada constantemente.
