Quem é o responsável por cibersegurança e privacidade?

Somos TODOS responsáveis - coletiva e individualmente

Em muitas organizações, existe uma atitude prevalecente de que a cibersegurança é de responsabilidade apenas do CISO, ou de que privacidade é algo que concerne apenas o departamento de conformidade. Se não houver mais responsabilidade coletiva, tanto pela cibersegurança quanto pela privacidade, nossos dados não estarão protegidos e todos seremos responsabilizados - tanto coletiva quanto individualmente.

Nessas organizações, a alta gerência continua não levando a cibersegurança e a privacidade de dados a sério. Muitas vezes, eles acham que tais tarefas podem ser delegadas ao CISO ou DPO (chefe de proteção de dados) e basta. Se a alta gerência continuar a encarar as coisas desta forma, não será de se surpreender quando esse tipo de atitude se infiltrar nas organizações e funcionários de todos os níveis, que não levarão esses assuntos a sério.

3 coisas nas quais as organizações devem pensar:

1. Se o seu gerente de compras opta por dispositivos sem criptografia

Se a decisão de compra de dispositivos USB, IOT ou SSDs sem criptografia se baseia unicamente no preço, sem considerar se eles são seguros ou têm criptografia de hardware, tais dispositivos sem criptografia criarão vulnerabilidade. Isto colocará toda a organização sob risco de vazamento de dados.

2. Se os funcionários reutilizam senhas ou fazem atalhos para contornar medidas de segurança

Se os funcionários não seguem as regras básicas de cibersegurança e são negligentes com senhas e anexos de e-mail, eles colocam a segurança de toda a organização em risco. Cibercriminosos sempre têm como alvo senhas fracas ou conhecidas e usam táticas de phishing para burlar a segurança de suas vítimas. Este são um dos vetores de ataques de ciberincidentes mais comuns.

3. Se um CMO se arrisca na utilização de dados privativos

O GDPR estipula que dados pessoais só podem ser coletados mediante consentimento para um fim específico. Se você captura e compartilha dados ilegalmente, você coloca todos sob o risco de grandes multas e processos.

Precisamos encarar a cibersegurança e a privacidade de dados com segurança

Caso você veja que a sua organização está usando dispositivos USB, IoT ou SSDs sem criptografia, fale. Se notar que seus colegas não cumprem com as tarefas de higiene cibernética, fale. Se você testemunhar um integrante do departamento de marketing usando dados de clientes, fale.

A mudança de cultura é essencial

Se vamos mudar de atitude e fazer com que as pessoas tratem de cibersegurança e de privacidade de dados com seriedade em uma organização, de cima a baixo, precisamos mudar a mentalidade de todo mundo.

Há muitos incentivos para que organizações façam isso. Há evidências claras de que consumidores estarão mais inclinados a fazer negócios com empresas que acham que cuidarão de seus dados e mais relutantes a lidar com empresas que não fazem isso. Manter a confiança do cliente e evitar qualquer tipo de incidente de cibersegurança que possa prejudicar tal confiança deve ser nossa principal preocupação.

Além disso, há várias medidas dissuasivas para fazer com que as organizações tratem a proteção de dados com seriedade. Pra começar, o GDPR estipula uma multa de 20 milhões de euros ou 4% do faturamento anual – o que for maior – para CADA incidente. O custo para remediar um incidente pode chegar na casa dos milhões e, se for um ataque de ransomware, os criminosos poderão ainda exigir um resgate de vários milhões de euros além disso. Além disso, você poderá sofrer processo das pessoas cujos dados foram comprometidos.

Se essas sanções contra uma organização não são o bastante, está aumentando o número de sanções contra pessoas. Um caso recente nos Estados Unidos estabeleceu um novo precedente em um caso de cibersegurança em que membros do conselho e um CISO foram indiciados pessoalmente. Um relatórios da empresa de análises Gartner previu que os CEOs muito em breve serão pessoalmente responsáveis por ciberataques.

Como cidadãos e consumidores, queremos que as organizações protejam nossos dados, e quando somos responsáveis por dados de outras pessoas, nossos padrões precisam ser igualmente altos. Nós devemos nos preocupar - tanto coletiva quanto individualmente - que todos podemos ser responsabilizados. Mas, igualmente, isto nos deve motivar a nos concentrar na proteção de dados, pois é a coisa certa a fazer.

#KingstonIsWithYou