Em cada ciclo de or\u00e7amento repete-se a mesma cena nas organiza\u00e7\u00f5es com que trabalhamos. O respons\u00e1vel de seguran\u00e7a prepara o pedido para o programa de sensibiliza\u00e7\u00e3o, apresenta-o com taxas de clique e cursos conclu\u00eddos, e o diretor financeiro ouve com cortesia antes de aprovar o m\u00ednimo. O CFO compreende o risco. O que nunca lhe chega \u00e9 um valor na l\u00edngua que fala todos os dias para alocar capital.<\/p>\n
Dirijo a equipa de engenharia da SMARTFENSE e cabe-me pensar como os dados do programa chegam a quem decide. Desse lugar, vejo que o problema raramente \u00e9 o montante pedido. \u00c9 a l\u00edngua. O respons\u00e1vel de seguran\u00e7a fala de comportamento e o CFO raciocina em perdas esperadas, retorno e custo evitado. Enquanto o pedido n\u00e3o for traduzido para essa moeda, compete em desvantagem face a cada projeto que chegou expresso em euros.<\/p>\n
Aqui est\u00e1 como funciona essa tradu\u00e7\u00e3o, que condi\u00e7\u00f5es o dado tem de cumprir para o CFO o levar a s\u00e9rio, e porque o medo \u00e9 o pior argumento poss\u00edvel para sustentar uma rubrica de or\u00e7amento.<\/p>\n
Porque uma taxa de clique n\u00e3o \u00e9 um valor financeiro. O CFO ordena cada pedido da organiza\u00e7\u00e3o comparando o capital que consome com o valor que devolve, e para isso precisa de n\u00fameros na mesma unidade. Uma percentagem de comportamento obriga-o a fazer ele pr\u00f3prio a convers\u00e3o para dinheiro, e raramente tem o contexto para a fazer bem.<\/p>\n
Quando o pedido de sensibiliza\u00e7\u00e3o chega como \u201creduzimos a taxa de clique para metade\u201d, o CFO n\u00e3o sabe quanto vale essa mudan\u00e7a. N\u00e3o por n\u00e3o a compreender, mas porque ningu\u00e9m lhe disse quanto risco monet\u00e1rio representa cada ponto. O pedido da unidade de neg\u00f3cio ao lado, em contrapartida, j\u00e1 vem com o seu retorno calculado. A decis\u00e3o inclina-se sozinha para quem fez o trabalho de tradu\u00e7\u00e3o.<\/p>\n
O respons\u00e1vel de seguran\u00e7a costuma ler esse desfecho como falta de compromisso da administra\u00e7\u00e3o com a ciberseguran\u00e7a. A minha leitura, do lado dos dados, \u00e9 mais simples. A administra\u00e7\u00e3o aloca aquilo que pode comparar, e um programa descrito em m\u00e9tricas de atividade \u00e9 precisamente o que n\u00e3o se pode comparar com o resto do or\u00e7amento.<\/p>\n
\u00c9 a\u00ed que aparece o primeiro erro de enquadramento. Enquanto o pedido viajar com o r\u00f3tulo de sensibiliza\u00e7\u00e3o, a administra\u00e7\u00e3o arquiva-o como uma despesa de atividade que se repete todos os anos. A gest\u00e3o do risco humano (Human Risk Management) coloca as coisas de outra forma. Trata o comportamento das pessoas como um risco mensur\u00e1vel, que se gere e se reduz com um n\u00famero que o CFO pode acompanhar trimestre ap\u00f3s trimestre. Mudar o r\u00f3tulo faz trabalho real, porque move a conversa do terreno da atividade para o do risco, onde o CFO aloca capital.<\/p>\n
Quantificar o risco humano em linguagem financeira \u00e9 exprimir a exposi\u00e7\u00e3o da organiza\u00e7\u00e3o aos erros das suas pessoas como uma perda monet\u00e1ria esperada. \u00c9 a probabilidade de ocorrer um incidente originado numa pessoa, multiplicada pelo custo estimado desse incidente, e a forma como esse n\u00famero se move quando se investe no programa.<\/p>\n
N\u00e3o \u00e9 um exerc\u00edcio de precis\u00e3o contabil\u00edstica. Ningu\u00e9m espera que o respons\u00e1vel de seguran\u00e7a acerte no custo exato de uma viola\u00e7\u00e3o que ainda n\u00e3o aconteceu. O que o CFO precisa \u00e9 de dire\u00e7\u00e3o e ordem de grandeza: se estamos a falar de uma exposi\u00e7\u00e3o de dezenas de milhares ou de v\u00e1rios milh\u00f5es, e se o investimento proposto move esse n\u00famero de forma material ou marginal.<\/p>\n
A diferen\u00e7a face ao relat\u00f3rio habitual \u00e9 de enquadramento. O relat\u00f3rio operacional descreve o que aconteceu na \u00faltima campanha. O valor financeiro descreve o que est\u00e1 em jogo daqui para a frente e o que muda consoante a decis\u00e3o tomada nessa reuni\u00e3o. Um olha para o espelho retrovisor, o outro atrav\u00e9s do para-brisas, e o CFO conduz a olhar em frente.<\/p>\n
A tradu\u00e7\u00e3o tem cinco passos, e nenhum exige inventar dados. Exige ligar os que j\u00e1 tens a uma fonte de custo cred\u00edvel.<\/p>\n
Nenhum destes passos exige um modelo financeiro sofisticado. Exige a disciplina de n\u00e3o saltar a tradu\u00e7\u00e3o e de n\u00e3o preencher com n\u00fameros inventados as lacunas onde falta o dado.<\/p>\n
Pede-se mostrando o custo de n\u00e3o decidir, n\u00e3o a cat\u00e1strofe. O medo consegue uma aprova\u00e7\u00e3o pontual no dia em que aparece uma manchete sobre um ataque, e evapora-se no ciclo seguinte. Um contrafactual quantificado consegue algo mais valioso, uma rubrica de or\u00e7amento que se aguenta mesmo quando nada de grave aconteceu nesse trimestre.<\/p>\n
A pergunta que mais mexe a agulha p\u00f5e de lado o \u201co que acontece se nos atacarem?\u201d e aponta para outra coisa, \u201ccomo evolui a nossa perda esperada se n\u00e3o fizermos nada no pr\u00f3ximo ano?\u201d. Essa proje\u00e7\u00e3o obriga a tratar a gest\u00e3o do risco humano como um ativo que se deprecia se n\u00e3o for mantido, e d\u00e1 ao CFO exatamente o tipo de racioc\u00ednio com que est\u00e1 confort\u00e1vel. O custo da ina\u00e7\u00e3o, posto em n\u00fameros, pesa mais do que qualquer cen\u00e1rio dram\u00e1tico.<\/p>\n
Construir esse argumento \u00e9 trabalho de business case, n\u00e3o de alarme. Se quiseres aprofundar como obter o apoio da gest\u00e3o de topo sem te apoiares no susto, escrevemos sobre como obter o apoio da gest\u00e3o de topo com business cases<\/a>. A l\u00f3gica \u00e9 a mesma de qualquer investimento: comparar o custo de agir com o custo de n\u00e3o o fazer.<\/p>\n Toda esta tradu\u00e7\u00e3o cai por terra se o n\u00famero de partida chegar velho ou custar uma semana de trabalho a montar. Para que o respons\u00e1vel de seguran\u00e7a se possa sentar \u00e0 frente do CFO com uma perda esperada defens\u00e1vel, o programa precisa de tr\u00eas coisas: um risco humano agregado que se atualize sozinho, a capacidade de projetar esse n\u00famero para a frente, e a possibilidade de responder a uma nova pergunta na mesma reuni\u00e3o sem voltar \u00e0 folha de c\u00e1lculo.<\/p>\n Essa frescura do dado \u00e9 um problema de plataforma antes de ser de crit\u00e9rio. Sobre o primeiro ponto, o que medir para chegar a um risco humano agregado que fa\u00e7a sentido, j\u00e1 escrevemos em detalhe: vale a pena ler se o teu programa de sensibiliza\u00e7\u00e3o est\u00e1 a medir o que importa<\/a>. Sobre o segundo, como esse dado chega fresco \u00e0 administra\u00e7\u00e3o sem quatro horas de tabelas din\u00e2micas, cont\u00e1mo-lo do lado da engenharia em porque \u00e9 que o relat\u00f3rio de sensibiliza\u00e7\u00e3o chega tarde \u00e0 administra\u00e7\u00e3o<\/a>.<\/p>\n Essa camada de resposta em tempo real resolvemo-la na SMARTFENSE com uma funcionalidade a que chamamos Insight Agent, hoje na sua fase de early adopters. Permite formular em linguagem natural a pergunta que o CFO acabou de fazer e obter o valor e a sua sensibilidade sem reconstruir o relat\u00f3rio. O protagonista desta conversa continua a ser a tradu\u00e7\u00e3o do risco para dinheiro, que \u00e9 crit\u00e9rio humano. A plataforma apenas garante que o n\u00famero que sustenta essa tradu\u00e7\u00e3o est\u00e1 dispon\u00edvel quando \u00e9 preciso e n\u00e3o duas semanas depois. Se quiseres v\u00ea-lo sobre os teus pr\u00f3prios dados, escreve-nos para te juntares ao programa<\/a> ou conhece o resto da plataforma<\/a>.<\/p>\n O respons\u00e1vel de seguran\u00e7a que sai da reuni\u00e3o da administra\u00e7\u00e3o com menos or\u00e7amento do que pediu raramente perdeu por falta de argumentos t\u00e9cnicos. Perdeu porque apresentou numa moeda que o CFO n\u00e3o usa para alocar capital. Traduzir o risco humano em perda esperada n\u00e3o garante um sim. Mas p\u00f5e a conversa no \u00fanico terreno onde o sim \u00e9 poss\u00edvel.<\/p>\n O que significa quantificar o risco humano em linguagem financeira?<\/strong> Porque \u00e9 que o CFO n\u00e3o aprova or\u00e7amentos de sensibiliza\u00e7\u00e3o apresentados com taxas de clique?<\/strong> Que fonte usar para estimar o custo de um incidente?<\/strong> Como se pede um or\u00e7amento de ciberseguran\u00e7a sem recorrer ao medo?<\/strong> Como traduzir o risco humano para linguagem financeira para que o CFO aprove o or\u00e7amento de sensibiliza\u00e7\u00e3o, sem recorrer ao medo. Explica o CTO da SMARTFENSE.<\/p>\n","protected":false},"author":4,"featured_media":42812,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,687],"tags":[450,455,2283,2278,2199,2202,2169],"class_list":["post-42817","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-pt-pt","tag-awareness-pt-pt","tag-ciso-pt-pt","tag-gestao-do-risco-humano","tag-orcamento","tag-programa-de-concienciacion","tag-reporting-en-tiempo-real","tag-riesgo-humano"],"acf":[],"yoast_head":" \nQue dados da plataforma sustentam essa conversa?<\/h2>\n
\nPerguntas frequentes<\/h2>\n
\nSignifica exprimir a exposi\u00e7\u00e3o da organiza\u00e7\u00e3o aos erros das suas pessoas como uma perda monet\u00e1ria esperada: a probabilidade de um incidente originado numa pessoa multiplicada pelo seu custo estimado, e como esse n\u00famero muda com o investimento no programa de gest\u00e3o do risco humano.<\/p>\n
\nPorque uma taxa de clique n\u00e3o est\u00e1 na unidade que o CFO usa para comparar pedidos. Aloca capital comparando o custo com o valor devolvido, e uma percentagem de comportamento obriga-o a traduzir para dinheiro sem o contexto para o fazer. O pedido que chega j\u00e1 convertido em perda evitada compete melhor.<\/p>\n
\nConv\u00e9m ancorar o custo a um relat\u00f3rio p\u00fablico e neutro como o Cost of a Data Breach da IBM ou o Verizon Data Breach Investigations Report, escolhendo o valor do setor e da regi\u00e3o pertinentes. Uma fonte externa reconhecida gera mais confian\u00e7a do que um valor interno.<\/p>\n
\nMostrando o custo de n\u00e3o decidir em vez da cat\u00e1strofe. Um contrafactual quantificado, quanto cresce a perda esperada se n\u00e3o se investir no pr\u00f3ximo ciclo, sustenta uma rubrica de or\u00e7amento est\u00e1vel, ao passo que o medo s\u00f3 consegue aprova\u00e7\u00f5es pontuais que se evaporam no trimestre seguinte.<\/p>\n","protected":false},"excerpt":{"rendered":"