Construo plataformas de sensibiliza\u00e7\u00e3o h\u00e1 mais de quinze anos e dirijo a equipa de engenharia da SMARTFENSE. Desse lugar vejo um padr\u00e3o que se repete em quase todas as organiza\u00e7\u00f5es com que trabalhamos: o CISO faz um trabalho s\u00e9rio, prepara o seu relat\u00f3rio, leva-o ao comit\u00e9 de dire\u00e7\u00e3o e, ainda assim, sai da reuni\u00e3o sem ter movido uma \u00fanica decis\u00e3o.<\/p>\n
O problema n\u00e3o est\u00e1 no CISO nem no dado. Est\u00e1 no caminho que esse dado percorre at\u00e9 chegar \u00e0 mesa: quando \u00e9 preparado, com que frescura chega e em que formato. Isso \u00e9 arquitetura, e por isso me cabe a mim pens\u00e1-lo.<\/p>\n
Conto-te o que vemos do lado de quem constr\u00f3i a plataforma: porque \u00e9 que o relat\u00f3rio de sensibiliza\u00e7\u00e3o para o comit\u00e9 de dire\u00e7\u00e3o chega tarde, o que o comit\u00e9 precisa realmente e o que resolvemos para que a resposta chegue em tempo real. A parte humana continua a ser do CISO. N\u00f3s tratamos da parte mec\u00e2nica.<\/p>\n
Aprendemo-lo a ouvir os CISO que usam a plataforma. Quando o comit\u00e9 pede o dado, n\u00e3o pede um dado. Pede uma decis\u00e3o que j\u00e1 vem resolvida. Precisa de responder a tr\u00eas coisas que j\u00e1 tem na cabe\u00e7a, mesmo que n\u00e3o as formule assim:<\/p>\n
Se o relat\u00f3rio deixa o comit\u00e9 em condi\u00e7\u00f5es de responder a isto em trinta segundos, o CISO ganha o apoio. Se entrega vinte slides com taxas de cliques e barras coloridas, o comit\u00e9 fica com uma intui\u00e7\u00e3o vaga e uma resposta morna. N\u00e3o por falta de compreens\u00e3o: \u00e9 o formato do relat\u00f3rio que n\u00e3o deixa material para decidir.<\/p>\n
O investimento que vale a pena fazer ao preparar o relat\u00f3rio \u00e9 imaginar primeiro a resposta de que o comit\u00e9 precisa e depois construir o dado que a sustenta. Aquilo a que se chama \u201co relat\u00f3rio trimestral\u201d n\u00e3o \u00e9 um objeto \u00fanico. \u00c9 a \u00faltima camada de uma pir\u00e2mide com vinte dashboards operacionais por baixo e uma s\u00f3 decis\u00e3o clara no topo.<\/p>\n
H\u00e1 tr\u00eas respostas que raramente chegam completas \u00e0 sala. A primeira \u00e9 onde estamos hoje. N\u00e3o a taxa de cliques da \u00faltima simula\u00e7\u00e3o de phishing nem a percentagem de cursos conclu\u00eddos, mas risco humano agregado<\/strong>, com um crit\u00e9rio expl\u00edcito do que entra no c\u00e1lculo e como evoluiu face a tr\u00eas e seis meses atr\u00e1s. Expresso como n\u00famero composto e com tend\u00eancia, o comit\u00e9 deixa de discutir indicadores soltos e come\u00e7a a pensar em pol\u00edtica.<\/p>\n A segunda \u00e9 onde concentrar o esfor\u00e7o. O comit\u00e9 n\u00e3o aprova \u201crefor\u00e7ar a sensibiliza\u00e7\u00e3o\u201d. Aprova \u201cdestinar X or\u00e7amento \u00e0s cinco \u00e1reas mais expostas durante os pr\u00f3ximos noventa dias\u201d. Com uma lista priorizada de \u00e1reas, a sua exposi\u00e7\u00e3o e o efeito esperado do refor\u00e7o, o comit\u00e9 tem uma decis\u00e3o bin\u00e1ria. Com um mapa de calor geral, tem outra reuni\u00e3o.<\/p>\n A terceira \u00e9 o contrafactual. O que acontece ao risco se n\u00e3o fizermos nada? Essa proje\u00e7\u00e3o obriga a pensar a sensibiliza\u00e7\u00e3o como um ativo que se deprecia, n\u00e3o como uma despesa pontual. \u00c9 a pergunta mais dif\u00edcil de se fazer, porque implica reconhecer que a decis\u00e3o de n\u00e3o decidir tamb\u00e9m tem um custo. E \u00e9 a que mais mexe o ponteiro do or\u00e7amento.<\/p>\n Se o relat\u00f3rio n\u00e3o responde a essas tr\u00eas, a conversa board-level n\u00e3o avan\u00e7a. N\u00e3o \u00e9 um problema de dado. \u00c9 um problema de enquadramento.<\/p>\n A capacidade t\u00eam-na. O que lhes falta \u00e9 tempo, e o dado chega-lhes velho.<\/p>\n Quando olhamos para como se prepara hoje um relat\u00f3rio para o comit\u00e9, encontramos sempre o mesmo fluxo artesanal. Na sexta-feira anterior \u00e0 reuni\u00e3o, algu\u00e9m da equipa exporta o relat\u00f3rio da plataforma de sensibiliza\u00e7\u00e3o, cruza-o com a lista ativa de pessoal, limpa as sa\u00eddas, constr\u00f3i tabelas din\u00e2micas, procura um dado externo cred\u00edvel para dar contexto, cola-o em tr\u00eas slides, antecipa duas perguntas e reza pela terceira. Entre quatro e seis horas se tudo estiver \u00e0 m\u00e3o. Mais, se a \u00faltima campanha teve mudan\u00e7as de \u00e2mbito.<\/p>\n O resultado, no melhor dos casos, reflete a fotografia de h\u00e1 duas semanas. Mas o comit\u00e9 opera ao ritmo do neg\u00f3cio: se na semana da reuni\u00e3o houve um incidente ou mudou o panorama, o relat\u00f3rio j\u00e1 n\u00e3o serve. E ningu\u00e9m vai refazer os gr\u00e1ficos \u00e0s onze da noite de domingo.<\/p>\n Isto n\u00e3o \u00e9 uma cr\u00edtica ao CISO. \u00c9 a descri\u00e7\u00e3o de um processo manual que se justificava quando o comit\u00e9 aceitava esperar pelo ciclo trimestral. Hoje a procura move-se ao ritmo da conversa e deixa para tr\u00e1s o calend\u00e1rio. Essa dist\u00e2ncia entre como se constr\u00f3i o relat\u00f3rio e como o neg\u00f3cio o precisa \u00e9 um problema de arquitetura de dados, e \u00e9 exatamente o tipo de problema que se resolve na plataforma, n\u00e3o na folha de c\u00e1lculo.<\/p>\n Muda o centro de gravidade da conversa. O CISO deixa de ser quem executa o relat\u00f3rio e passa a ser quem decide que pergunta valia a pena fazer-se.<\/p>\n Imaginemos a cena, que j\u00e1 acontece com as primeiras equipas que o est\u00e3o a testar. O comit\u00e9 est\u00e1 reunido. Algu\u00e9m pergunta algo que n\u00e3o estava na agenda: \u201cque cinco \u00e1reas t\u00eam o risco humano mais alto e quanto baixaria se refor\u00e7armos a simula\u00e7\u00e3o de phishing nelas durante o pr\u00f3ximo trimestre?\u201d. O CISO faz \u00e0 plataforma essa mesma pergunta em linguagem simples e projeta a resposta dois minutos depois. \u00c1reas, exposi\u00e7\u00e3o, efeito esperado, custo do refor\u00e7o. A decis\u00e3o toma-se na sala.<\/p>\n O que importa n\u00e3o \u00e9 a ferramenta. \u00c9 a transfer\u00eancia: o CISO recupera horas operacionais, o comit\u00e9 recebe respostas \u00e0 medida das suas perguntas, e a conversa board-level deixa de ser um ato de tradu\u00e7\u00e3o para se tornar um di\u00e1logo em tempo real.<\/p>\n Constru\u00edmos essa camada na SMARTFENSE e cham\u00e1mos-lhe Insight Agent<\/a>. \u00c9 uma das capacidades que pens\u00e1mos para programas maduros, e hoje est\u00e1 na sua fase de early adopters: estamos a afin\u00e1-la com as primeiras equipas que a usam sobre os seus pr\u00f3prios dados. N\u00e3o substitui o CISO; d\u00e1-lhe a velocidade operacional que hoje n\u00e3o tem. A pergunta continua a ser de quem est\u00e1 sentado \u00e0 mesa. A diferen\u00e7a \u00e9 que agora pode respond\u00ea-la ali mesmo.<\/p>\n Coincide com uma mensagem que mantemos na SMARTFENSE h\u00e1 anos, e que vale a pena ler em detalhe: a IA n\u00e3o pode substituir a orienta\u00e7\u00e3o humana<\/a> na sensibiliza\u00e7\u00e3o. Acelera, amplifica, liberta tempo. Substituir \u00e9 outra coisa.<\/p>\n Se vais apoiar o reporting num agente, h\u00e1 quatro condi\u00e7\u00f5es m\u00ednimas. Passo-tas do lado de quem desenha o sistema, porque s\u00e3o decis\u00f5es de arquitetura antes de serem de interface.<\/p>\n Se a ferramenta que est\u00e1s a avaliar cumpre esses quatro pontos, a diferen\u00e7a operacional aparece depressa. Se cumpre s\u00f3 dois, vais ter um chatbot arrumado e uma folha de c\u00e1lculo em paralelo.<\/p>\n A maioria das organiza\u00e7\u00f5es est\u00e1 num de quatro degraus. O primeiro \u00e9 compliance: o comit\u00e9 s\u00f3 ouve o CISO quando h\u00e1 auditoria. O segundo \u00e9 KPI operacionais: o CISO apresenta taxas trimestrais e o comit\u00e9 acena. O terceiro \u00e9 narrativa de risco: o CISO constr\u00f3i uma hist\u00f3ria que liga os dados \u00e0s decis\u00f5es, mas o ciclo continua trimestral. O quarto \u00e9 conversa acion\u00e1vel: o comit\u00e9 pergunta e o CISO responde com dados vivos na mesma reuni\u00e3o.<\/p>\n Poucas organiza\u00e7\u00f5es est\u00e3o no quarto. A maioria move-se entre o segundo e o terceiro. O salto para o quarto n\u00e3o acontece por maturidade da pessoa do CISO. Acontece quando se encurta o ciclo entre a pergunta do comit\u00e9 e a resposta do programa, e esse ciclo \u00e9, mais uma vez, uma quest\u00e3o de plataforma.<\/p>\n \u00c9 a conversa que a SMARTFENSE quer habilitar, e a raz\u00e3o pela qual pens\u00e1mos o Insight Agent em fun\u00e7\u00e3o dela. Se queres v\u00ea-lo sobre os teus pr\u00f3prios dados, escreve-nos para entrares no programa de early adopters<\/a>.<\/p>\n Para aprofundar o enquadramento geral, duas leituras que recomendo: o teu programa de sensibiliza\u00e7\u00e3o est\u00e1 a medir o que importa?<\/a> e decis\u00f5es baseadas em dados reais com o relat\u00f3rio de correla\u00e7\u00e3o<\/a>. A primeira ajuda a reformular as m\u00e9tricas; a segunda mostra o lado operacional de cruzar dados.<\/p>\n Se o teu CISO sai do comit\u00e9 com a sensa\u00e7\u00e3o de n\u00e3o ter sido ouvido, a minha suspeita como engenheiro \u00e9 outra: ouviram-no bem, mas o relat\u00f3rio chegou sem a frescura nem o formato para sustentar uma decis\u00e3o. Essa parte do problema \u00e9 arquitetura, e essa sim a podemos resolver.<\/p>\n","protected":false},"excerpt":{"rendered":" Como CTO conto-te porque \u00e9 que o relat\u00f3rio de sensibiliza\u00e7\u00e3o para o comit\u00e9 de dire\u00e7\u00e3o chega sempre tarde, e o que mud\u00e1mos na plataforma para responder em tempo real.<\/p>\n","protected":false},"author":4,"featured_media":41301,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,687],"tags":[450,455,1024,2205,2199,2202],"class_list":["post-41306","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-pt-pt","tag-awareness-pt-pt","tag-ciso-pt-pt","tag-dashboard-pt-pt","tag-informes-personalizados","tag-programa-de-concienciacion","tag-reporting-en-tiempo-real"],"acf":[],"yoast_head":" \nPorque \u00e9 que os CISO n\u00e3o entregam esse relat\u00f3rio hoje?<\/h2>\n
O que muda quando o CISO formula a pergunta em linguagem natural?<\/h2>\n
Que condi\u00e7\u00f5es t\u00e9cnicas deve cumprir um agente de IA para servir o comit\u00e9?<\/h2>\n
\n
Qu\u00e3o madura est\u00e1 hoje a conversa entre o CISO e o comit\u00e9?<\/h2>\n
\n