Os pilares de um programa eficaz: governança mínima, risco e seleção de controles

Construir um programa de segurança que proteja de verdade começa por três pilares: uma estrutura mínima de governança, uma análise de riscos que reflita o negócio e uma seleção de controles realista. É o risco — e não o framework — que deve orientar quais controles implementar primeiro.

Pilar 1: uma estrutura mínima de governança

Ainda que a política seja "papel", uma estrutura mínima de governança é essencial, sob pena de a gestão da segurança virar uma bagunça. O mínimo inclui uma política enxuta, papéis e responsabilidades definidos e um gestor de segurança designado. A partir desse essencial, agregam-se camadas rumo ao ideal: um comitê de segurança e privacidade e uma estrutura de segurança apartada da TI. Isso é o desejável, alcançado com o tempo, porque segurança é uma capacidade que se constrói, não um projeto.

Também é preciso patrocínio executivo e prestação de contas — e aqui há uma armadilha de comunicação. Quanto mais alto na hierarquia, menos tempo as pessoas têm e mais elas querem resultados, não relatos de atividades. Grande parte da suposta "falta de engajamento" da gestão vem de comunicar o que foi feito, quando a alta administração quer saber quais resultados foram obtidos e o que ainda falta para alcançá-los.

Pilar 2: a análise de riscos vem primeiro

Todo programa de segurança nasce de uma análise de riscos. Tentar implementar de uma vez a lista inteira de controles de um framework como o CIS leva ao fracasso, porque é impraticável. Seguir a priorização em grupos que o próprio CIS oferece é possível, mas pobre: trata-se da priorização da média do mercado, não da priorização da sua organização. A prioridade do Banco Central difere da do Banco do Brasil, da Petrobras, da Embraer ou de um tribunal, porque cada organização tem processos de trabalho e "joias da coroa" — os bens mais preciosos — diferentes.

A priorização deriva, em boa parte, do negócio e também da maturidade já alcançada nos controles. A gestão de riscos analisa o impacto no negócio e a probabilidade de ataque (ligada às vulnerabilidades e aos controles existentes), e ambos variam de organização para organização. Não é preciso um inventário completo de ativos para começar: uma análise de risco mínima é melhor do que nenhuma ou do que uma tentativa de análise completa que nunca sai do papel. Se a área de negócio não indica seus processos críticos, vale construir um repertório com o próprio conhecimento e fazer um levantamento superficial que aponte a direção. Afinal, risco é o que prioriza os controles — e risco é a linguagem da alta gestão, que quer saber qual o nível de risco atual e quanto falta para chegar ao apetite a risco.

Pilar 3: selecionar controles com realismo

Para escolher os controles, o melhor é partir de um framework, que funciona como um checklist para lembrar o que deveria ser feito — sem obrigar a seguir tudo. O passo decisivo é casar a análise de risco com os controles e selecionar aqueles que mitigam o risco atual. Um erro comum, sobretudo no primeiro ciclo, é a falta de realismo: empolgado, tenta-se fazer tudo ao mesmo tempo e o ciclo termina em frustração.

Mais eficaz é ser realista e escolher poucos controles — por exemplo, cinco — e focar neles por um período definido, uma espécie de sprint, ao fim do qual se reavalia o que foi implementado e se novos controles podem entrar, em uma lógica ágil. Um volume grande de controles costuma paralisar as equipes, que começam derrotadas e não dão o primeiro passo. Por fim, a área de segurança não deve escolher os controles sozinha: quem os implementa são outras áreas — redes, sistemas, nuvem —, que têm outras prioridades. O compromisso delas só vem quando participam da seleção, ainda que o resultado não seja o ideal segundo o plano de riscos, mas que garanta que os controles sejam de fato implementados.

Principais pontos

• Uma governança mínima (política, papéis, gestor) é essencial antes de agregar comitê e estrutura própria.
• Comunique resultados à alta gestão, não a lista de atividades realizadas.
• A análise de riscos vem primeiro e deve refletir o negócio e as "joias da coroa" da organização.
• Uma análise de risco mínima é melhor do que nenhuma ou do que uma completa que nunca sai do papel.
• Selecione poucos controles por sprint e envolva quem vai implementá-los.

Quer construir um programa de segurança da informação que traga proteção real, e não apenas papel? Conheça nossa formação em segurança da informação no setor público e capacite a sua equipe para focar no que protege de verdade.