Como integrar segurança cibernética e privacidade de dados?

O risco digital é um modelo orientador que considera proativamente os riscos associados a dados digitalizados nos processos empresariais, incluindo segurança cibernética e privacidade de dados, além de outras considerações, como regulamentação, automação e ética.

Pense em como você protege sua própria casa. Você um dia se concentra em trancar todas as portas, mas felizmente deixa as janelas abertas? É bem provável que não. Todos esses riscos precisam ser considerados juntos ou suas medidas de proteção falharão rapidamente.

É uma história semelhante ao avaliar o perfil de risco digital de uma empresa. O foco em cada uma das ameaças separadamente não é mais eficaz e, em vez disso, elas devem ser proativamente integradas e gerenciadas juntas. Somente quando uma empresa adota uma abordagem holística como essa é possível realizar um progresso real.

De fato, essa melhor prática integrada está embutida no regulamento. A GDPR afirma que, para serem compatíveis, as empresas que mantêm negócios com a União Europeia devem implementar medidas de "proteção de dados por design e padrão". De acordo com o Information Commissioner’s Office isto significa que as empresas devem “integrar ou associar a proteção de dados em […] práticas comerciais, desde a fase de projeto, até ao ciclo de vida”.

Por isso, é essencial que as empresas se familiarizem de maneira efetiva e eficiente com o risco digital. No entanto, eles estão lutando, porque a privacidade dos dados e a segurança cibernética são geralmente gerenciados por equipes diferentes. Normalmente, o Chief Privacy Officer (CPO) assume a responsabilidade pela privacidade dos dados; enquanto o Chief Information Security Officer (CISO) para segurança cibernética.

Seria muito melhor que ambos fossem gerenciados pela mesma equipe ou por uma equipe integrada com um novo modelo de governança que fornecesse uma estrutura de relatório direto ao CEO / CRO (Chief Risk Officer) com a supervisão de um conselho. Afinal, muito trabalho que garante a conformidade com a privacidade de dados pode ser usado para reforçar a segurança cibernética e vice-versa. Além de ajudar as empresas a gerenciar os riscos digitais, essa abordagem agrega valor, permitindo que eles apresentem iniciativas de transformação digital.

A interconexão entre privacidade de dados e segurança cibernética nunca é mais dolorosamente óbvia do que imediatamente após uma violação de dados. As empresas precisam saber como a violação ocorreu e quais defesas cibernéticas (se houver) falharam. Mas, crucialmente, eles também precisam entender quais dados foram comprometidos e se foram pessoais ou confidenciais. Se assim for, elas precisarão divulgá-lo.

A maioria das empresas não está totalmente equipada para isso. Apenas 28% das empresas pesquisadas pela Grant Thornton estão "muito satisfeitas" com sua capacidade de proteger-se contra o risco de uma violação grave e apenas 26% com sua capacidade de responder consistentemente a uma grande violação em toda a empresa, não importando quando ou onde se situa.

Integre privacidade e segurança em uma única função, e as empresas poderão responder de forma mais eficaz às violações de dados devido a seus recursos combinados e à compreensão holística da ameaça.

“A privacidade e a segurança cibernética são complexas porque estão colidindo no mundo real. Uma violação de dados pode começar como algo muito técnico em um provedor de nuvem terceirizado, mas, ao responder ao incidente, você precisa considerar se os dados pessoais estão envolvidos e quais divulgações regulatórias precisam ser feitas”, aponta Harris.

O executivo ainda aponta a possibilidade de os dois se tornarem interconectados. “Em vez de duas funções separadas de cyber e privacidade respondendo a uma violação, faz sentido ter uma função integrada com as habilidades especializadas para gerenciar o processo”, acrescenta.

Gerenciando a cadeia de suprimentos e o risco digital de terceiros

O aumento da interconexão da segurança cibernética e da privacidade tem implicações sobre como o risco de terceiros é gerenciado. Por exemplo, a regulamentação da privacidade de dados, como o GDPR, exige que as empresas obtenham garantias robustas de fornecedores que lidam com dados em seu nome.

“Seria sensato para as organizações mesclar aspectos de segurança cibernética do gerenciamento de riscos de terceiros com controles de privacidade”, diz Harris. "É só uma questão de perguntar sobre os dois ao mesmo tempo. É relativamente simples, mas isso não está acontecendo amplamente no momento. Equipes de segurança cibernética e equipes de privacidade estão fazendo isso separadamente.”

Naturalmente, esse gerenciamento de riscos terceirizado "único" eliminará a duplicação de esforços e criará eficiências. Mais importante, no entanto, produzirá uma compreensão mais integrada do risco digital.

O caso de uma função integrada de risco digital é claro. Mas quem deve supervisionar e administrar isso?

No momento, há confusão sobre onde a responsabilidade está, e isso está dificultando o gerenciamento de riscos digitais. De maneira geral, as empresas pesquisadas afirmam que a falta de compreensão sobre quais riscos os indivíduos e equipes são responsáveis ​​é o segundo maior ponto fraco no gerenciamento do risco digital.

O primeiro aspecto importante a considerar é quem gerencia o risco digital do ponto de vista do dia a dia. A maioria das empresas coloca o diretor de risco ou diretor de tecnologia responsável por isso. Mas, como explicado no artigo segurança digital: investir apenas em tecnologia não é o suficiente, a gestão efetiva de riscos digitais depende muito mais do que da tecnologia. Os diretores de risco reportam riscos mais holísticos para os negócios - estratégicos, financeiros e operacionais. Então, qual é a resposta?

Entre na função de diretor de risco digital. “As organizações estão começando a criar funções de risco digital chefiadas por um diretor de risco digital”, confirma Arthur. “É aqui que a responsabilidade pelo gerenciamento do risco digital deve estar. Mas no momento eles ainda são organizacionais distintos na maioria das empresas”.

Uma vez que o gerenciamento de risco digital do dia a dia está em vigor, é essencial considerar quem fornece supervisão. Assim como no risco financeiro, a gravidade do risco digital significa que o conselho deve assumir um papel ativo. Embora o conselho precise supervisioná-lo, eles nem sempre têm o conhecimento técnico para entender a natureza da ameaça. Portanto, idealmente, um comitê de risco digital específico deve ser estabelecido dentro do conselho para supervisionar esse risco, com a representação de especialistas.

“A supervisão do risco digital deve estar no nível do conselho”, confirma Christos Makedonas, líder de risco tecnológico da Grant Thornton Cyprus. “Também deve haver um comitê que discuta o risco digital. O risco digital é multifacetado, então muitas pessoas precisam se alimentar desse processo. No momento, isso só acontece em grandes empresas altamente regulamentadas - especialmente aquelas em serviços financeiros.”