Introdução

O incidente de CrowdStrike em julho serve como um alerta significativo sobre as consequências indesejadas que as organizações enfrentam ao inovar com o intuito de aprimorar a segurança e otimizar operações. A escolha de tecnologias de ponta é geralmente uma aposta segura para os diretores de segurança da informação (CISOs) ao selecionar um fornecedor de segurança; no entanto, é igualmente importante estar ciente de como essa tecnologia será implementada e do risco que pode criar.

Reflexões sobre Inovação e Risco

Após a implementação do CrowdStrike como uma ferramenta de segurança de endpoint, a padronização dessa solução permitiu a automação das operações de segurança e criou uma memória muscular entre os engenheiros de segurança, resultando em uma resposta mais ágil e simplificada a alertas de segurança. Contudo, o incidente também serve como uma lição significativa sobre as possíveis consequências de atualizações mal configuradas em tempo real nas operações comerciais críticas. Isso me fez refletir sobre a forma como penso sobre risco e inovação.

Não se trata apenas de selecionar um fornecedor com um forte programa de segurança, mas também de considerar a abrangência da implementação do produto do fornecedor e a forma como o produto é atualizado em todo o ambiente.

Compreendendo esses diferentes elementos, as empresas podem tomar decisões mais informadas para gerenciar a inovação e o risco de maneira controlada.

A Dualidade entre Inovação e Segurança

Curiosamente, a dependência de alguns sistemas operacionais mais antigos blindou algumas empresas dos efeitos diretos do incidente CrowdStrike. Enquanto sua tecnologia desatualizada era vista como um passivo, tornou-se uma vantagem surpreendente neste caso. Isso sugere que o trade-off entre inovação e risco pode ser inevitável, mas ambos são alcançáveis.

Superar a Barreiras no Conselho

Os CISOs frequentemente enfrentam a percepção equivocada de serem barreiras para a inovação nas reuniões do conselho. Para dissipar essa ideia, é imprescindível reformular a discussão de uma perspectiva de “segurança versus inovação” para uma de “inovação segura”. A integração da segurança desde o início do processo de desenvolvimento assegura que inovações sejam simultaneamente revolucionárias e seguras.

Os CISOs devem proativamente buscar a colaboração com outros líderes da organização, do diretor de tecnologia (CTO) ao diretor financeiro (CFO), para garantir que a segurança seja considerada nas decisões estratégicas desde o início. É uma questão de construir relacionamentos, onde a segurança se torna tão natural quanto os freios em um carro — essenciais para o controle, mas permitindo velocidade e progresso.

Cultivar uma Cultura de Segurança

Um dos papéis mais importantes de um CISO é ser visto como um facilitador da inovação, e não um bloqueador. Na realidade, a função de um CISO vai muito além da proteção de sistemas; envolve comunicar riscos em nível empresarial e garantir que a segurança promova o progresso em vez de dificultá-lo. A chave para alcançar isso reside na promoção de uma cultura de segurança que envolva toda a organização, desde a liderança até os funcionários em campo.

Como a primeira linha de defesa, os colaboradores são cruciais para estabelecer uma cultura de segurança. As interações diárias com terceiros e conteúdos potencialmente maliciosos os expõem a riscos que podem comprometer a organização. Um modo eficaz de engajar os colaboradores nessa missão é tornar a segurança algo pessoal.

Quando as pessoas compreendem que suas ações podem afetar diretamente sua própria segurança, assim como a da empresa, elas se tornam mais motivadas a adotar práticas seguras.

Você Está Seguro, Mas E Seus Fornecedores?

A imensa quantidade de relacionamentos de terceiros que gerenciamos exige uma forte vigilância. Um único usuário comprometido de qualquer fornecedor pode desencadear um incidente em toda a empresa. Afinal, os hackers precisam apenas de um ataque bem-sucedido, enquanto as equipes de segurança devem estar corretas o tempo todo. Para os CISOs, isso significa que a inovação segura não deve se restringir aos processos internos — ela deve se estender aos fornecedores que apoiam sua infraestrutura de TI.

Colaborar com colegas de tecnologia para entender e mitigar riscos é fundamental para promover inovações sem aumentar os riscos cibernéticos. A construção de parcerias proativas e sólidas com fornecedores é igualmente importante para garantir que estejam preparados para responder em grande escala quando ocorrerem interrupções.

Para otimizar esse processo, os CISOs devem focar na compreensão de quais fornecedores são críticos para a infraestrutura corporativa, especialmente aqueles envolvidos em ambientes que exigem atualizações frequentes. Garantir que esses fornecedores sigam protocolos rigorosos de teste antes de implementar mudanças permite que as empresas gerenciem melhor as compensações entre inovação e estabilidade operacional.

Inovação com Foco em Segurança

Os CISOs devem liderar a integração de práticas que priorizam a segurança no cerne da inovação, posicionando-se como conselheiros de confiança que aprimoram os objetivos globais da empresa. Ao apresentar soluções em vez de simplesmente destacar riscos, podemos mudar o diálogo de “a segurança nunca aprovará” para “a segurança pode ajudar a melhorar isso”.

Essa mudança cultural promove a colaboração com executivos e fornecedores, incorporando a segurança em cada fase do crescimento organizacional. Quando colaboradores e líderes interagem com CISOs no início de projetos de inovação, as preocupações com segurança são abordadas proativamente, construindo confiança e garantindo que inovação e segurança coexistam.

#Inovação, #SegurançaDaInformação, #CISO, #GestãoDeRisco, #Tecnologia, #CrowdStrike

autor ref: Jill Knesek
ref:https://www.darkreading.com/vulnerabilities-threats/walking-tightrope-innovation-risk