Antecipar ameaças, planejar e estruturar processos dentro da organização são alguns dos desafios dos Chief Information Security Officer (CISOs).
Os executivos são, constantemente, avaliados por meio de indicadores e pela efetividade na tomada de decisão em relação à segurança holística das empresas.
Mas, e se os indicadores forem reversos? Se a proposta for avaliar a maturidade de segurança da empresa como um todo e não apenas dos CISOs? Como ficaria?
Veja, neste artigo, como funcionam os indicadores reversos relacionados ao CISO
Como funciona o assesment?
Na grande maioria, os documentos de avaliação (assessment), que são uma análise de risco por prioridade, impacto e plano de ação, são submetidos para aprovação – total ou parcial – do Board (tomadores de decisão) da empresa.
Normalmente, o indicador de efetividade do CISO é que, dos 10 itens apresentados no documento de avaliação e aprovados pela empresa, 100% foram implementados.
Como funcionam os indicadores reversos?
Nos indicadores reversos, suponhamos que, dos 100 itens apresentados pelo CISO, a empresa só aprovou 10, ou seja, 10%. E dos itens apresentados no documento de avaliação 50 era de alto impacto e só aprovaram 5, ou seja, 5%.
Sendo assim, o indicador reverso está no quanto a empresa aprovou dos itens que o CISO sugeriu no documento de avaliação. Ou seja, o indicador reverso seria o funil de iniciativas do CISO versus a aprovação da empresa.
Divulgar para toda a organização o indicador reverso modifica o foco de evasão na segurança da empresa, pois apresenta para toda a Organização, com transparência as propostas dos CISOs.
Segurança da Informação é um tema de negócio e gestão de risco empresarial!
Por esse motivo, o assessment apresentado precisa ser avaliado com cautela pelo Board e os argumentos de alto impacto não devem ser considerados padrões.
É preciso conhecer o valor do assessment exibido pelo CISO e a importância em avaliá-lo da melhor forma possível. Além disso, considerar os indicadores reversos, para modelar a estratégia de segurança, e então, assegurar que o trabalho de proteção da empresa está sendo encarado e executado em conjunto.
Sobre a SEC
Desejamos promover um mundo onde todos possam usar qualquer tecnologia com segurança, a partir de uma relação simples e segura para usuários, desenvolvedores e Organizações em qualquer lugar, e que o praticamos o respeito e a colaboração com todos.
Acompanhe
nossas redes
Últimos Posts
