#bomdialgpd
Terminou ontem o #mindthesec, superevento de segurança da informação organizado pela Flipside, conduzido pelo Anderson Ramos e sua dedicada e competente equipe. Minha ontem palestra foi sobre a integração entre a segurança e o negócio e agradeço a todos os presentes e ao time de apoio.
O profissional de segurança tem um perfil técnico e é essencial que o trabalho de proteção seja realizado em sintonia com o negócio, co objetivo de otimizar os resultados, reconhecer o seu trabalho e em boa parte das vezes viabilizar serviços e produtos.
Tenho escutado no mercado e também foi usado em algumas palestras o termo "board" como um interlocutor ou alvo para as demandas de segurança. Na governança corporativa "board" significa "Conselho de Administração", estrutura que pode estar muito preocupada com a segurança, mas ainda distante das demandas do dia a dia.
Procurei na palestra apresentar alguns conceitos e elementos para que os profissionais possam aproximar a atuação de segurança com o negócio, o material está no link do comentário, seguem alguns pontos que toquei:
- Repetir milhares de vezes que "a segurança é fundamental para o negócio" e "dados são o novo petróleo" só vão deixar você rouco(a), é necessário entender o negócio e contextualizar a segurança;
- Cada organização tem um contexto diferente, mesmo duas empresas do mesmo segmento têm contextos distintos;
- A segurança deve ter identidade e as pessoas devem saber claramente suas atividades;
- A atuação deve ser 360 graus envolvendo usuários, áreas pares e superiores;
- Repeti a frase do ICO de que o ambiente é "Amplo, Complexo e em Constante Mudança";
- As letras do GRC formam um modelo hierárquico e não equalizado;
- A governança está cada vez mais presentes na conformidade como é o caso da LGPD, do NIST 2.0 e do projeto de lei 2.338/23 que regulamenta a inteligência artificial;
- Governança não é um termo chique para Gestão, são atividades diferentes e complementares;
- As publicações do IBGC (em especial as Melhores Práticas em Governança Corporativa v6) e do IIA (Linhas de Defesa) devem servir de referência para o posicionamento da área de segurança;
- Estruturar um Comitê de Segurança pode ser um bom caminho, lembrando que há temas paralelos que podem também demandar um comitê como transformação digital, proteção de dados pessoais e inteligência artificial, os técnicos sabem que são temas diferentes mas para os gestores parece ser tudo "coisa de TI";
- A segurança demanda competências de prevenção e reação, ambos exigem maturidade e alinhamento.
Tenho publicado sobre o assunto "governança corporativa" em nossa newsletter. Spoiler: em breve será possível fazer buscas nos artigos com categorização.
Bom fim de semana,
Obrigado,
Aquele abraço,
FNery.
