CISOs devem investir em um efetivo GRC tool sobre qualquer coisa

Shubhagata Kuma é uma CISO de uma grande organização na Índia e compartilha neste artigo como foi complexo implantar diversas soluções de segurança para proteger o negócio da sua organização. Literalmente ela aborda os desafios de implantar o Cybersecurity Framework sugerido pelo NIST fundamental para proteger os negócios nesta era digital. É preciso também entender que o Cybersecurity Framework é um guideline e não se compara com outros standards como a ISO 27001.

Entretanto, é importante considerar que o Cybersecurity Framework esteja alinhado com o modelo de negócio para garantir total proteção e adotar demais processos de segurança da informação como a Gestão de Risco. Kuma também falou sobre a dificuldade para explicar o conceito de risco residual para o board. Veja alguns pontos importantes na implantação de um Cybersecurity Framework:

• Garantir que os entregáveis de TI estejam alinhados com os objetivos de negócio;
• Melhor entendimento para gerenciar e reduzir Cyber Security risks;
• Determinar quais atividades são mais importantes para assegurar a proteção das operações críticas e serviços de entrega;
• Priorizar investimentos e maximizar o impacto de gastos em Cyber Security;
• Melhor comunicação e endereçar um Cyber Security Risk Management interno e externo aos stakeholders;
• Fornecer uma estrutura para um programa de conscientização, treinamento e capacitação necessária para o time em infosec.

Se você gostou clique aqui ou no link abaixo para ler o artigo e ver o vídeo.

“At some point, the risk of an incident occurring equals the cost of mitigation. This is the happy point at which we can stop protecting. To achieve this, we need to have robust systems in place to detect an anomaly. This is the most critical factor in any steady state organization,” opined Kumar.

She emphasized on the fact it’s not about the technology, but about the people and processes. In chalking out a cybersecurity framework, the most critical aspects revolve around identity, protection, detection, response, and recovery. She believes that if one can, the best strategy is to run systems from multiple places. “This is the only way to ensure that we can test our ability to respond and recover,” she said.

Cyber Security Risk Management Framework: