Pense no caso da vacina que tomamos contra à gripe ou sarampo. Ela nos deixa mais fortes e resilientes contra o vírus e às vezes precisamos passar pelo teste da vacina para ir ao encontro da resiliência. Pelo amor de Deus, não estou sendo hipócrita em dizer que passar por um incidente de segurança é bem visto, mas estamos sujeitos a enfrentar este tipo de evento, claro que este é um assunto que o board não gostaria de ouvir de você e sim sobre o ROI a respeito do budget que foi lhe dado para implantar uma medida de proteção. Por hora, é neste momento que ser articulado e saber como defender uma situação contando uma boa história será capaz de convencer os executivos a importância que a cibersegurança deve sempre fazer pauta do conselho e comitê executivo.
No decorrer deste ano temos visto discursões sobre a implantação da LGPD e muitas empresas a mil por hora em busca da aderência, mas ainda a porcentagem é pouca das empresas que estão avançando com o assunto. Por isso que recentemente uma PL foi colocada em pauta para postergar a vigência e entrada da LGPD. Infelizmente, mas uma vez vemos o jeitinho brasileiro em ação, mas sou humilde em reconhecer que o mercado brasileiro não está ainda tão preparado para recepcionar o assunto “Privacidade, assim como aconteceu na época do PCI-DSS, no qual as bandeiras VISA e MASTERCAD resolveram estender o prazo para que todos ficassem em conformidade em um tempo hábil, aqui é visível que a LGPD tende a seguir o mesmo caminho.
Diante deste cenário, devemos estar preparados com um bom plano de incidentes de segurança in place, um planejamento de crise testado e aprovado. Em outras palavras, devemos aprender com os nossos erros e não permanecer no mesmo ponto, ou avançamos para um próximo nível ou nos manteremos no mesmo estágio. A jornada na cibersegurança é um estilo de vida, ou você anda com ela diariamente e vai ajustando seus controles, suas ferramentas, treinando seus colaboradores ou será uma montanha russa com destino abaixo.
Ter um claro entendimento sobre o risk appetite da sua organização e principais ameaças que podem impactar o seu negócio.
Ter um plano de gestão de incidentes e crise implementados e testados. NIST Cybersecurity and NCSC são frameworks excelentes para tratamento de incidentes em cibersegurança e lembre-se que o board precisa estar inserido no plano de comunicação.
Ter um BCP e DRP implantados, documentados e testado interligado com o processo de gestão mudança, a fim de garantir que estão sempre atualizados.
Criar e manter uma base de conhecimento sobre os incidentes ocorridos, aprender com eles e saber como superar e remediar uma situação de crise.