Um em cada cinco executivos, prefere não assinalar a falta de compreensão ao discutir questões de cibersegurança. Além disso, um estudo recente da Kaspersky também revela que um em cada dez gestores nunca ouviu falar de ameaças como Botnet, APT e falhas Zero-Day. Da mesma forma, o mesmo número parece não estar familiarizada com conceitos de segurança cibernética como DecSecOps, ZeroTrust, SOC e Pentesting.
Segundo um outro relatório da PwC, embora o apoio à cibersegurança em todas as decisões empresariais se tenha tornado uma norma em todas as empresas, mais de metade dos executivos não têm confiança de que os seus gastos cibernéticos estejam a ser atribuídos aos riscos mais significativos que a sua organização enfrenta. A Kaspersky conduziu a sua própria investigação para ajudar as TI e executivos a encontrar um terreno comum e a explorar a raiz dos seus mal-entendidos.
A sondagem de Kaspersky indica que os executivos por vezes lutam para compreender os seus pares de segurança informática e nem sempre estão prontos para mostrar a sua confusão. Assim, 18% dos executivos ibéricos, não informáticos dizem que não se sentiriam à vontade a assinalar que não compreendem algo durante uma reunião com TI e segurança informática. Embora a maioria deles esconda a sua confusão porque preferem esclarecer tudo após a reunião ou optam por resolver tudo sozinhos, 37% não fazem perguntas adicionais porque não acreditam que os seus pares de TI sejam capazes de o explicar de uma forma clara. Quase três em dez também se sentem envergonhados ao revelarem que não compreendem o tema e 33% não querem parecer ignorantes perante os colegas de TI.
Além disso, embora todos os gestores de topo inquiridos discutam regularmente questões relacionadas com a segurança com gestores de segurança de TI, mais de um em cada dez inquiridos nunca ouviu falar de ameaças como Botnet (15%), APT (6%) e Zero-Day exploit (9%). Ao mesmo tempo, Spyware, Malware, Trojan e Phishing p1areciam ser mais familiares para os gestores de topo.
Mais de um em cada dez gestores de topo admitem nunca ter ouvido falar de termos de cibersegurança como DecSecOps (13%), ZeroTrust (11%), SOC (11%) e Pentesting (11%).
Para facilitar a comunicação entre a segurança informática e as funções empresariais dentro da empresa, a Kaspersky recomenda o seguinte:
- A segurança TI deve ser posicionada como um motor de crescimento e inovação na organização. Para o conseguir, a equipa de segurança TI deve afastar-se de tácticas proibitivas e, em vez disso, explicar como o negócio pode alcançar os seus objetivos, mitigando os riscos de cibersegurança;
- O CISO deve envolver-se ativamente nas atividades operacionais e construir relações com as partes interessadas da empresa. Embora menos de 20% dos CISOs tenham estabelecido parcerias com os principais executivos em vendas, finanças e marketing, é difícil para eles estarem a par das necessidades do negócio;
- Ao comunicar com a direção, utilize argumentos baseados numa visão geral das ameaças realizada por peritos, do estado de ataque da sua empresa e das melhores práticas;
- Explique à direção quais são as principais responsabilidades da equipa de cibersegurança. Se possível, dê-lhes a oportunidade de estar no lugar de um CISO para obterem conhecimentos sobre os desafios de segurança informática mais relevantes;
- Atribuir investimentos em cibersegurança em ferramentas com eficácia comprovada e ROI. Isto significa ferramentas que baixam o nível de falsos positivos, e reduzem os tempos de deteção de ataques, o tempo gasto por caso e outras métricas são importantes para qualquer equipa de segurança informática.
