- Uma estratégia de segurança cibernética define o apetite ao risco, as metas de segurança e as prioridades de investimento.Um roteiro traduz essas metas em ações específicas com proprietários e cronogramas.Ambos são necessários;nenhum substitui o outro.
- A estratégia é um documento comercial, não técnico.Requer aprovação do conselho porque reflete decisões sobre riscos aceitáveis, e não apenas opções de configuração de TI.
- Uma estratégia sem avaliação de risco é suposição.A avaliação de risco identifica o que é mais importante;a estratégia decide quanta proteção isso garante.
- Dois a três anos é um horizonte razoável.Revise anualmente;atualização após um incidente grave, mudança regulatória ou mudança significativa em seu negócio ou ambiente tecnológico.
- Quatro componentes que toda estratégia precisa: declaração de apetite ao risco, objetivos estratégicos, princípios orientadores e a estrutura de medição que informa se você está chegando lá.
Estratégia versus roteiro: por que a distinção é importante
A maioria das organizações que solicitam uma estratégia de segurança cibernética, na verdade, desejam um roteiro: uma lista priorizada de coisas a serem corrigidas.Um roteiro é útil.Não é uma estratégia.
A estratégia responde a duas perguntas: por que estamos investindo em segurança e que resultados estamos tentando alcançar?Ele reflete seu apetite pelo risco e define metas que se espera que os investimentos em segurança cumpram.É um documento comercial;o conselho aprova porque codifica decisões sobre riscos aceitáveis que afetam toda a organização.
A roteiro responde a diferentes perguntas: como alcançamos esses objetivos e em que ordem?Ele traduz objetivos estratégicos em projetos específicos, atribui proprietários, define cronogramas e acompanha o progresso.É um documento operacional.A equipe de segurança administra isso.
Um roteiro sem estratégia é uma coleção de boas ideias competindo pelo orçamento, sem base para escolher entre elas.Uma estratégia sem roteiro descreve onde você deseja estar e o deixa lá.
Comece com a avaliação de risco
Estabeleça metas antes de saber suas exposições reais e você estará adivinhando.A avaliação de risco fornece evidências;a estratégia decide o que fazer com isso.
O avaliação de risco informa quais ativos você possui, o que os ameaça, quais pontos fracos existem em suas defesas e qual seria o custo provável de uma falha.Esse resultado alimenta diretamente a formação da estratégia.Os riscos que estão no topo da lista necessitam de uma decisão de tratamento agora.Os de pontuação mais baixa podem ser aceitos ou adiados com justificativa documentada.
Se você já possui uma avaliação de risco, sua estratégia deve ser rastreável a ela.Cada objetivo estratégico deve mapear uma categoria de risco identificada pela avaliação.
O apetite ao risco é uma declaração de quanto risco sua organização está disposta a aceitar na prossecução dos seus objetivos.É desconfortável escrever porque força decisões explícitas.A maioria das organizações prefere uma linguagem vaga que evita compromissos com qualquer coisa.Uma estratégia com um vago apetite pelo risco não é uma estratégia: é um conjunto de boas intenções que não sobreviverá a uma conversa orçamental.
Os quatro componentes de uma estratégia de segurança cibernética
1. Declaração de apetite ao risco
Defina, explicitamente, quais riscos sua organização aceitará, quais não aceitará e onde estão os limites.Divida-o por categoria de risco: perda financeira, exposição de dados, interrupção operacional, danos à reputação, consequências regulatórias.
O apetite ao risco deve refletir o contexto do seu negócio.Uma empresa de serviços financeiros sob a DORA tem uma apetência muito baixa por perturbações operacionais.Escreva-o de forma suficientemente específica para que possa orientar uma decisão real.
2. Objetivos estratégicos de segurança
Metas são os resultados que a estratégia foi projetada para alcançar, expressos em termos que a empresa pode avaliar.Não “melhorar o gerenciamento de patches”, mas “reduzir o tempo entre a divulgação de vulnerabilidades e a implantação de patches para menos de 30 dias para sistemas críticos”.Não “treinar a equipe”, mas “alcançar 95% de conclusão nos exercícios de simulação de phishing em todas as unidades de negócios até o terceiro trimestre”.
Três a cinco metas são suficientes para uma estratégia de dois anos.Cada meta deve estar vinculada a uma categoria de risco de sua avaliação de risco, mensurável com uma métrica que existe ou pode ser criada, alcançável de acordo com seu orçamento e restrições de número de funcionários, e aprovada pelo conselho, e não apenas pela função de segurança.
3. Princípios orientadores
Princípios são as regras que regem as decisões de segurança nas lacunas entre as políticas explícitas.Exemplos de princípios úteis: privilégio mínimo (os usuários obtêm o acesso mínimo necessário, por padrão);segurança desde a concepção (novos produtos incluem revisão de segurança antes da construção, não depois);confiança de terceiros (fornecedores com acesso aos nossos sistemas devem atender aos padrões mínimos antes da integração).
Princípios não são aspirações.São compromissos que devem ser executáveis.Se a sua organização não aplicar um princípio sob pressão, remova-o.
4. Estrutura de medição
Defina as métricas que dirão se você está progredindo em relação a cada objetivo estratégico.Identifique quem é responsável por coletar e relatar cada métrica e com que frequência.
Métricas de segurança que valem a pena acompanhar no nível do conselho: tempo para detectar e responder a incidentes;cobertura de controles críticos (MFA, patching, logging);porcentagem de vulnerabilidades de alto risco corrigidas dentro do SLA;movimento do registro de risco ao longo do tempo.
Como estratégia e roteiro funcionam juntos
| Estratégia | Roteiro |
|---|---|
| Por que e o que | Como e quando |
| Horizonte de 2 a 3 anos | Horizonte de 12 a 18 meses, contínuo |
| Público do conselho | Equipes de segurança e TI |
| 3-5 gols | 20 a 40 projetos ou fluxos de trabalho específicos |
| O apetite pelo risco impulsiona isso | Os objetivos estratégicos impulsionam isso |
| Revisado anualmente | Atualizado trimestralmente |
Erros comuns de estratégia
Confundir uma estrutura com uma estratégia. A adoção da ISO 27001 ou Cyber Essentials é uma decisão de implementação, não uma estratégia.“Alcançaremos a certificação ISO 27001” é um marco do roteiro.“Reduziremos a nossa exposição a ataques à cadeia de abastecimento, exigindo a certificação de todos os fornecedores Tier 1” é um objetivo estratégico.
Escrever uma estratégia para o auditor, não para o negócio. Uma estratégia concebida para satisfazer uma caixa de verificação regulamentar não atrairá a atenção do orçamento ou do conselho de administração quando competir com prioridades de geração de receitas.
Definir metas sem verificar o orçamento. Uma estratégia que exija um aumento de 40% no número de funcionários de segurança que não tenha sido aprovada não será executada.Valide as suposições de recursos antes que a estratégia vá para o conselho.
Sem responsabilidade. Todo objetivo estratégico precisa de um dono nomeado: uma pessoa, não uma equipe.
Quanto tempo uma estratégia deve durar
A maioria das organizações executa uma estratégia de dois a três anos.Revise-o anualmente.Atualize-o após uma violação significativa, uma mudança regulatória, uma fusão ou qualquer mudança tecnológica grande o suficiente para alterar seu perfil de risco.
Utilize a revisão anual para testar a pressão da sua declaração de apetite pelo risco.Se a sua organização cresceu, mudou de setor ou adquiriu novas obrigações regulatórias, a declaração de apetite precisa acompanhar o ritmo.
Ryland fornece programas de segurança cibernética, conformidade e gerenciamento de TI para organizações regulamentadas no Reino Unido e na Holanda há mais de 20 anos. Ver perfil completo