Vamos conhecer um pouco do que é ser CISO !

Vamos conhecer um pouco do que é ser CISO. Os CISOs – Chief Information Security Officers – desempenham um papel crucial na segurança cibernética … obviamente. Quando se trata de como uma organização implementa a política de segurança da informação, envolve-se na resposta a incidentes e realiza tarefas relacionadas à segurança cibernética todos os dias, o CISO está no topo da cadeia de comando. Além disso, como membro do c-suite de uma empresa, eles têm acesso mais fácil ao CTO – Chief Technology Officer, CFO – Chief Financial Officer e CEO- Chief Executive Officer para influenciar os orçamentos com os quais os profissionais de segurança têm que trabalhar e influenciar a política da empresa diretamente, mas pode afetar indiretamente a segurança cibernética.

A Kim Crawley, está buscando CISOs para serem entrevistados para está série de artigos, caso queira participar deixe um tweet para @kim_crawley. !

Mas o trabalho de ninguém pode ser explicado corretamente em um simples parágrafo. O que exatamente os CISOs fazem? Quais são suas responsabilidades típicas?

A resposta a incidentes é um assunto que às vezes causa terror nos corações das pessoas. Os piores incidentes prejudicam grandes partes das redes de computadores por um longo tempo, como o WannaCry, com o NHS, ou danificam consideravelmente a reputação de uma empresa como o caso Equifax. Os piores incidentes custam às empresas milhões de dólares em produtividade perdida, operações interrompidas, liquidações judiciais e multas. Eles também podem custar às organizações milhões de dólares que não podem ser facilmente quantificados em danos à reputação e vazamento de propriedade intelectual.

Mas a maioria dos incidentes de segurança cibernética não é do calibre dos incidentes WannaCry e Equifax do ano passado. Casos mais típicos e muito mais comum de incidente é algo como “Nosso datacenter de Toronto foi atingido por dois ataques DDoS em um dia que causaram vinte minutos de inatividade e durante esse período nossa WAN redirecionou o tráfego de rede para o nosso datacenter Waterloo até que pudéssemos Verifique nosso datacenter de Toronto para mais IOCs (“indications of compromise” – indicações de comprometimento) e retome o tempo de atividade lá. Nós estávamos preocupados que talvez não houvesse largura de banda suficiente em nosso datacenter de Waterloo durante o reencaminhamento, mas felizmente houve. Viva a redundância! ”

Os profissionais de segurança (incluindo administradores de rede) que estão realmente no local, no momento, têm que fazer a “parte do leão” no trabalho. Mas é o trabalho do CISO verificar se eles seguiram os procedimentos de investigação dos ataques DDoS no datacenter de Toronto, responderam aos ataques de acordo com a política da empresa, retomaram o tempo de atividade adequadamente e registraram as ações gerais de resposta a incidentes para fortalecer ainda mais a segurança e ter uma trilha de auditoria adequada para conformidade e similares. Além disso, a parte mais importante da resposta a incidentes, na minha opinião não tão humilde, é reduzir o dano e o impacto de um ataque enquanto ele está em andamento.

Se o incidente foi algo que chamou a atenção da mídia ou algo que muitos clientes ou outras partes interessadas teriam notado, é quando o CISO precisa trabalhar com relações públicas e jurídicas.

Contratação! Sim, um CISO geralmente é essencial no recrutamento e na contratação de profissionais de segurança para a empresa, geralmente trabalhando com o departamento de RH. Quais papéis precisam ser preenchidos? Quais qualificações eles deveriam ter? O gerente de RH provavelmente não entenderá exatamente o que é necessário em uma posição de segurança cibernética específica ou outra, que é o trabalho da CISO saber. Se você já foi funcionário assalariado de segurança cibernética em uma corporação, provavelmente o CISO estava presente para suas entrevistas.

Os CISOs também costumam desempenhar um papel de liderança no desenvolvimento e aprimoramento de políticas e programas de segurança da informação. As políticas da empresa são compatíveis com os regulamentos de conformidade aplicáveis? Eles reduziram a frequência e a gravidade dos incidentes de segurança? Eles refletem o que aprendemos sobre nossas vulnerabilidades específicas, nossos ativos e o cenário de ameaças em evolução? Mais importante ainda, eles estão realmente sendo implementados e executados corretamente?

Em Toronto, o jaywalking (para atravessar uma rua em um lugar onde não é permitido ou sem tomar cuidado para evitar o tráfego) é tecnicamente ilegal. Mas eu costumo fazer isto o tempo todo quando há muito pouco tráfego na rua. A aplicação das leis de jaywalking nesta cidade é incrivelmente frouxa, a menos que os policiais estejam especificamente visando um indivíduo e queiram detê-los por algo, qualquer coisa. E se eu for pego, recebo uma multa de US$ 50 ou algo assim? “Leis e políticas são tão boas quanto sua aplicação”.

Há muito mais que os CISOs fazem, mas esses são alguns dos assuntos que me ocorrem imediatamente. Eu vejo um tema comum aqui. CISOs tem que falar com o resto do C-suite. Os CISOs precisam falar com os profissionais de segurança do datacenter. CISOs tem que falar com PR (Public Relations, relações públicas) e jurídico. Os CISOs precisam falar com o gerente de RH. Os CISOs precisam falar com a equipe de TI. Os CISOs precisam falar com a administração. CISO precisa falar com os desenvolvedores. Os CISOs precisam falar com os gerentes de projeto. Por isto, se você quer ser um CISO, espero que adore falar com pessoas, técnicas e não-técnicas!

O que outras pessoas dizem sobre os CISOs?

Axis Bank CISO Ashutosh Jain:

“Um CISO supostamente traduz a tecnologia de uma maneira que possa ser entendida em linguagem simples. Em segundo lugar, compreender o risco total é absolutamente crítico para os próprios CISOs. Uma compreensão adequada da tecnologia e, consequentemente, do impacto comercial disso para poder articular o impacto total. ”

Episerver CISO Sue Bergamo:

“A tecnologia é apenas algo sobre o qual tenho que pensar e conhecer. Para mim, é tudo sobre o negócio todos os dias. Tem que ser sobre o negócio. A função de CISO, na minha opinião, não é apenas negócios e tecnologia, mas também, quais são as ameaças externas de que você precisa estar ciente? Certifique-se de proteger a corporação e os ativos contra essas ameaças. ”

News International CISO Amar Singh:

“Temos que lembrar que, para a maioria das organizações, as empresas ainda definem o sucesso como ‘não fomos atacados’. O fato é que isso não é realista quando se trata de qualquer empresa que opera em segurança cibernética. Os CISOs e as empresas precisam perceber que, em algum momento, serão vítimas de um ataque cibernético e precisarão reformular sua compreensão do sucesso como sua capacidade de se recuperar. ”

Se CISOs lhe interessam, então muito prazer! Eu vou entrevistar alguns para uma nova série Peerlyst‍. Eu já tenho alguns assuntos em mente, mas se você é um CISO e gostaria de ser entrevistado, por favor, comente este post ou me envie um tweet para @kim_crawley. Se você nunca foi um CISO, mas sempre quis ser, aprenderá como chegar seguindo essa série. Espero que você goste!

Em conversa por email com a Kim, que escreveu originalmente este artigo, ela demonstrou interesse nos CISOs brasileiros, assim caso você tenha interesse é só entrar em contato e praticar um pouco do inglês. Boa sorte!

Fonte: PeerLyst por Kim Crawley – Cybersecurity journalist at Cylance, AlienVault, Tripwire, Venafi

Veja também: