Quadro de gestão dos riscos cibernéticos · Maturidade

Um quadro de gestão dos riscos cibernéticos descreve as capacidades que uma organização deve possuir para controlar a sua exposição digital: governar o tema, conhecer os seus ativos e dependências, avaliar os riscos segundo um método estável, escolher as medidas de proteção, detetar os eventos, reagir e depois recuperar. Os referenciais mais utilizados, do Cybersecurity Framework aos princípios da ISO 31000, partilham esta lógica por funções. Não impõem uma lista de exigências opositáveis: descrevem um dispositivo, e deixam a cada organização o cuidado de o adaptar ao seu perfil de risco.

É isto que torna o quadro difícil de pilotar. Toda a gente reivindica a sua utilização, poucos sabem situar o seu nível real. O inventário de ativos cobre a cloud, os ambientes industriais e os prestadores, ou apenas o parque gerido pelo departamento de sistemas de informação? A avaliação dos riscos desemboca em decisões arbitradas, ou num registo que ninguém reabre entre duas reuniões de comité? A deteção assenta em procedimentos escritos, ou em três pessoas que sabem onde olhar? Estas questões não se resolvem por sim ou não, situam-se numa escala.

Uma confusão surge com frequência: o quadro de gestão dos riscos não é uma norma certificável, e não substitui um sistema de gestão da segurança da informação. Situa-se a montante. Estrutura as capacidades, alimenta o dispositivo de gestão, e serve de base comum quando vários textos se aplicam ao mesmo perímetro, por exemplo uma diretiva setorial e um referencial de cliente. As organizações que o adotaram como linguagem comum entre a segurança, os riscos e as áreas de negócio ganham sobretudo em comparabilidade entre entidades.

O diagnóstico de maturidade responde a uma questão diferente da auditoria. A auditoria conclui por um desvio ou uma conformidade. O diagnóstico situa cada capacidade numa escala progressiva, expõe o desvio face à meta que define, e nomeia a ação que faz passar ao nível seguinte. No Pilot, o desvio entre pontuação e meta gera o plano de ação, e a IA agrupa-o num roteiro priorizado. O benchmark compara as unidades de negócio entre si e cada entidade com o seu próprio passado, o que permite medir a trajetória de um programa de transformação, não apenas o seu ponto de partida.

O referencial está pronto a usar e pertence-lhe. Ajusta os domínios, as perguntas e os níveis: a IA refina as formulações segundo o método CMMI, ou constrói uma variante a partir da sua política de segurança e dos seus próprios documentos de governação.