Os orçamentos destinados à segurança cibernética, frequentemente, não estão alinhados ao nível real de risco para a organização. Esse desalinhamento pode ser impulsionado por desafios locais que medem e quantificam tais episódios, mas é agravado pelo obstáculo de mapear os níveis de ameaças percebidas (precisas ou não), de controles e abordagens para mitigação.
O resultado é um processo orçamentário que, muitas vezes, é inconsistente com o objetivo final do investimento em segurança cibernética, ou seja, reduzir riscos. Em vez disso, os gerentes de segurança corporativa podem acabar distribuindo recursos com base na inércia, e não na exposição real. Acreditamos, na verdade, que eles deveriam vincular os orçamentos das empresas às ameaças virtuais quantificáveis.
Para isso, três princípios de gestão de segurança cibernética devem ser usados como base para esse processo: o primeiro é o alinhamento, em que cada categoria orçamentária é mapeada para um risco documentado e quantificado – se um dado mapeamento não estiver claro, o gasto deve ser contestado; o segundo é a adaptabilidade – como deve ser evidente para qualquer profissional da área, tais ameaças evoluem em velocidades variadas e com inúmeros resultados. Portanto, os orçamentos devem ser flexíveis, adaptáveis e continuamente atualizados, em vez de serem fixados uma vez por ano; já o terceiro é a transparência – um orçamento devidamente elaborado e orientado por riscos deve permitir que todas as partes interessadas vejam a ligação entre o dinheiro gasto e o risco reduzido.
A implicação, claro, é que a função de segurança cibernética entenda os riscos que se aplicam à organização. A transparência será de pouca utilidade se os riscos forem mal identificados ou existirem em algum formato ou representação para esta finalidade.
Para colocar esses princípios em prática, os diretores de segurança da informação precisarão considerar substituir categorias, como segurança de redes, por risco de interrupção por ransomware ou exposição ao acesso de terceiros. Essa mudança representa uma reorientação fundamental que forçaria cada item do orçamento ser justificado com base na redução de riscos.
Apesar do fato de que diferentes equipes terão meios diversos para identificar os riscos, esperamos que a quantificação do risco cibernético (da sigla em inglês, CRQ) seja, em última instância, necessária. Estruturas como o modelo quantitativo para segurança da informação e riscos operacionais FAIR (Factor Analysis of Information Risk – análise fatorial de risco da informação) também podem ajudar na atribuição de valores financeiros aos riscos. Métricas úteis incluem redução de risco por dólar gasto e um índice de risco residual, que permitirão aos líderes demonstrar eficiência e eficácia dos gastos.
Entendemos que essa abordagem não está isenta de obstáculos. As organizações, frequentemente, resistem a se afastar dos gastos tradicionais, e os relacionamentos com fornecedores antigos podem distorcer prioridades. A modelagem de risco também exige fazer perguntas e coletar dados que as empresas não estão acostumadas a responder ou fornecer, como “se experimentarmos um ataque de ransomware, por quanto tempo é provável que serviços críticos fiquem indisponíveis?” Por fim, esse processo exige colaboração entre as funções de segurança, finanças e risco corporativo – uma mudança cultural que algumas empresas consideram desafiadora.
