CISOs lutam pelo status de C-Suite mesmo com as expectativas disparando

CISOs lutam pelo status de C-Suite mesmo com as expectativas disparando

Carimbo de hora: 19 de janeiro de 2024, 1h05
Nó Fonte: 3074236

Cada vez mais se pede aos CISOs que assumam as responsabilidades do que normalmente seria considerado uma função de alto nível, mas sem serem considerados ou tratados como tal em muitas organizações, revelou um novo inquérito realizado a 663 executivos de segurança.

A pesquisa foi conduzida pela IANS em colaboração com a Artico Search e entrevistou CISOs sobre uma variedade de questões relacionadas aos seus trabalhos, responsabilidades, apoio à gestão e outros tópicos.

Um total de 75% deles disseram que estão procurando uma mudança de emprego.

As expectativas para a função do CISO mudaram

As respostas mostraram que as expectativas para o papel do CISO mudaram drasticamente nas organizações dos sectores público e privado devido, entre outras coisas, ao maior escrutínio dos reguladores e às crescentes exigências de responsabilização por violações de segurança.

Como exemplo, o relatório de pesquisa apontou regras como as adotadas pelo Securities and Exchange Commission (SEC) em julho passado, que exige que as empresas de capital aberto relatem todos os incidentes materiais de segurança no prazo de quatro dias após a ocorrência do incidente. Outro exemplo é a emissão do Departamento de Serviços Financeiros do Estado de Nova York (NYDFS) novos requisitos de segurança cibernética para empresas de serviços financeiros.

“Os reguladores agora responsabilizam os CISOs pela transparência e até mesmo pela fraude em nome de suas organizações”, afirmou o relatório da IANS e da Artico. Há uma expectativa crescente de que o CISO atue principalmente como uma função de gestão de riscos empresariais, com uma voz clara nas reuniões de liderança executiva e uma linha direta de comunicação com o CEO e o C-suite. No entanto, “apesar das expectativas da função serem elevadas ao nível C, os CISOs lutam para serem vistos como tal, e a função do CISO frequentemente não faz parte da equipe de liderança sênior".

A pesquisa mostrou, por exemplo, que embora mais de 63% dos CISOs tenham um cargo de vice-presidente ou diretor, apenas 20% estão no nível C-suite, apesar de terem “chefe” no título. No caso de organizações com faturamento superior a US$ 1 bilhão, esse número é ainda menor, de 15%. Do ponto de vista dos relatórios, preocupantes 90% dos CISOs estão em pelo menos dois ou mais níveis organizacionais distantes do CEO e do C-suite. Apenas 50% interagem com o conselho de administração da empresa trimestralmente. Um quarto interage com o conselho apenas uma ou duas vezes por ano, 12% reúne-se com o conselho apenas numa base ad hoc e 13% relatam não ter qualquer contacto com o conselho.

Falta de orientação para a responsabilidade do CISO

Em muitos casos, os CISOs que desejam orientações claras sobre riscos por parte de seu conselho não as entendem. Pouco mais de um terço (36%) descreveu o seu conselho como algo que lhes oferece uma visão suficientemente clara sobre os níveis de tolerância ao risco da sua organização para que possam agir de acordo.

“A evolução da função do CISO nos últimos anos acelerou dramaticamente", diz Nick Kakolowski, diretor de pesquisa da IANS. Com as organizações a digitalizarem mais as suas operações, os CISOs estão a assumir mais responsabilidades e tornaram-se proprietários de facto do risco digital, diz ele. “[Mas] as organizações não descobriram como apoiá-las e capacitá-las à medida que o escopo da função aumenta.”

Nos últimos anos, têm aumentado as preocupações na comunidade CISO sobre as crescentes expectativas em torno da função, mesmo que a sua capacidade de satisfazer essas expectativas tenha permanecido praticamente inalterada. Incidentes como o de outubro passado, em que a SEC acusou o CISO da SolarWinds, Tim Brown, de fraude e falhas de controle interno sobre a violação de 2020 na empresa, e onde um juiz condenou o ex-CISO da Uber Joe Sullivan a três anos de liberdade condicional por uma violação de 2016, alimentaram essas preocupações. Embora haja algum debate sobre se as ações contra os executivos de segurança nestes incidentes foram justificadas, muitos argumentaram que é injusto responsabilizá-los sozinhos pelas violações.

Viés histórico contra a segurança como função de nível C

Uma das razões pelas quais muitas organizações ainda não percebem o papel dos CISOs como pertencente ao C-suite é o preconceito histórico, diz Kakolowski. “Os CISOs tendem a ser vistos — muitas vezes injustamente — como técnicos que não falam a linguagem do negócio”, diz ele, acrescentando que muitas vezes tendem a ficar isolados quando se trata de desenvolvimento de competências. Os esforços muitas vezes tendem a concentrar-se nas capacidades técnicas e na liderança de equipas, em vez de no desenvolvimento de competências executivas.

Parte disso também é inércia. Organizações grandes e complexas levam tempo para se adaptarem aos novos desafios e mudanças organizacionais.

“O maior desafio é a luta para encontrar o alinhamento entre os CISOs e o restante do C-suite", diz Kakolowski. “Os líderes empresariais estão começando a se conscientizar do risco de subutilizar os CISOs como executivos de negócios, e há uma oportunidade para os CISOs demonstrarem sua capacidade de oferecer valor à organização além do back office."

Elevar a função do CISO para onde ela pertence, no nível C-suite, pode trazer muitos benefícios, argumenta Kakolowski. Fazer parte da gestão de topo dá ao CISO melhor consciência e visibilidade sobre o rumo da organização e torna mais fácil para eles colaborarem com outras partes interessadas na gestão de riscos digitais.

“Isso posiciona o CISO para ficar à frente dos riscos, reduzindo assim o atrito que pode surgir ao mitigar os riscos”, observa ele.

Carimbo de hora:

Mais de Leitura escura