Um novo relatório da Pulse Security AI, intitulado The CISO-Board Communication Gap, revela uma desconexão significativa entre líderes de segurança e conselhos de administração. Apenas 12,5% dos líderes de segurança estão muito confiantes de que o conselho compreende o verdadeiro estado do programa de segurança após uma apresentação, e 55% dos conselhos nunca definiram formalmente o apetite ao risco cibernético da empresa.
A lacuna de confiança é mensurável
A pesquisa, baseada em mais de 80 profissionais seniores, mostra que 41% dos líderes de segurança estão apenas um pouco confiantes, enquanto 38% são neutros ou mistos. Ambos os lados deixam a sala, e o ciclo continua basicamente inalterado. O problema não é apenas a comunicação, mas a falta de uma linha de base definida. Sem um acordo prévio sobre o que constitui risco aceitável, o ruído externo preenche o vácuo.
Cerca de 70% dos líderes de segurança afirmam que membros do conselho trazem classificações de terceiros e cobertura da imprensa para a sala, e 42% tiveram que defender uma pontuação de segurança comercial no último ano. Isso demonstra a falta de métricas internas claras e alinhadas com os objetivos de negócio.
Preparação para o conselho é um imposto operacional
71% dos líderes de segurança gastam 10 ou mais horas preparando cada ciclo do conselho, o que equivale a um a dois dias de trabalho completos a cada trimestre. 39% envolvem quatro ou mais colaboradores por apresentação. Os principais gargalos de tempo incluem a construção de slides, coleta de dados em várias ferramentas e tradução de descobertas técnicas para linguagem de negócios.
Isso consome recursos valiosos que poderiam ser usados para atividades de segurança proativas. A falta de automação e visibilidade em tempo real sobre o programa de segurança contribui para essa carga operacional excessiva.
Governança baseada em instinto, não em instrumentação
Metade dos conselhos não tomou decisão explícita para aceitar, mitigar ou transferir risco cibernético no último ano. 48% dos líderes de segurança não têm acesso a sessões executivas privadas, 23% não têm um limiar predefinido para escalonamento ao nível do conselho, e 33% dizem que sua própria exposição legal molda o que dizem ao conselho.
Isso indica uma governança reativa e baseada em medo, em vez de uma abordagem estratégica e baseada em dados. A confiança é recuperável, e um incidente não deve ser o gatilho. 53% dos líderes de segurança dizem que a confiança do conselho aumentou após um incidente de segurança material, pois um evento real força uma compreensão compartilhada e concreta do risco.
Recomendações para alinhar CISO e Conselho
Os líderes de segurança devem focar em estabelecer uma linha de base clara de risco antes de apresentar status. A definição de apetite ao risco deve ser formalizada e documentada. O uso de métricas de negócio, em vez de apenas métricas técnicas, ajuda a traduzir o valor da segurança para o conselho. A automação da coleta de dados e a criação de painéis executivos podem reduzir a carga operacional de preparação.
Perguntas frequentes
- Qual o principal problema? Falta de definição clara de apetite ao risco cibernético pelo conselho.
- Quanto tempo os CISOs gastam? Média de 10 horas por ciclo de apresentação ao conselho.
- Como melhorar a confiança? Usar métricas de negócio e estabelecer uma linha de base de risco formal.