Eu desenharia a gestão da cibersegurança pelas decisões que costumam travar entre áreas. Segurança pode identificar uma exposição, finanças controla a verba e operações, a janela de mudança. Como CEO, eu reuniria esses poderes num fórum recorrente de decisão.
O fórum
Eu presidiria uma revisão mensal com o CISO, líderes de tecnologia, finanças e operações e os responsáveis pelos negócios envolvidos. A pauta: escolhas pendentes, dependências comuns e compromissos que exigem intervenção. Responsáveis com autoridade delegada cuidariam da rotina; incidentes urgentes seguiriam uma via de resposta imediata.
Cada proposta traria prazo para decidir, evidências, alternativas viáveis e a capacidade consumida por cada uma. Exigiria a presença de quem pode comprometer recursos ou de substitutos autorizados. O debate terminaria com um decisor identificado e uma instrução executável. Consenso não seria condição para agir.
O encaminhamento
Eu faria três perguntas. Está dentro da autoridade e dos recursos de um responsável? Devolvê-lo para execução. Exige que equipes com demandas concorrentes mudem prioridades? Decidir no fórum. Ultrapassa um limite de risco aprovado ou trata de matéria reservada ao conselho? Buscar a decisão cabível do conselho, mantendo a proteção provisória sob responsabilidade da gestão.
Eu compararia dano ao cliente, custo da demora, viabilidade operacional e exposição restante. Se faltassem evidências, pediria a verificação específica capaz de mudar a escolha e o último momento seguro para decidir. Prazos antecipados exigiriam antecipar a decisão.
A supervisão
O NIST CSF 2.0 situa estratégia, papéis, políticas e supervisão na função Govern. Eu usaria esses resultados para examinar nossa organização; o fórum mensal é minha proposta de implementação.
Eu pediria ao conselho que aprovasse os limites estratégicos de risco e verificasse se a gestão os respeita. A gestão escolheria controles, distribuiria tarefas e responderia pela entrega. O conselho precisaria conhecer desvios relevantes, divergências não resolvidas e evidências de execução. O CISO teria acesso direto ao conselho para questionar meu relato.
Exemplo hipotético
Suponhamos que folha e faturamento de clientes precisem dos mesmos engenheiros para separar acessos privilegiados. Ambos pedem prioridade. Eu reuniria os responsáveis para comparar próximas obrigações de pagamento, permissões expostas e restrições temporárias viáveis. O fórum poderia reservar a primeira janela para a folha e restringir o acesso do faturamento até sua vez. Finanças teria de aceitar a carga de trabalho resultante. Se isso ultrapassasse um limite aprovado, eu escalaria a decisão antes de prosseguir.
O acompanhamento
Na revisão seguinte, eu verificaria verba, agendamento e eficácia das salvaguardas. Uma dependência não cumprida reabriria a alocação. Eu avaliaria se conflitos chegam a uma decisão autorizada antes que os prazos imponham o desfecho e se o conselho consegue rastrear a decisão até a execução.