A cibersegurança não existe no vácuo. Uma equipa de segurança pode identificar uma vulnerabilidade crítica, sinalizar um terceiro de risco ou detetar uma falha de conformidade.  

Mas alguém na organização ainda tem de decidir o que vai acontecer a seguir. O projeto pode avançar? Quanto custará abordar o risco agora? O que acontece se a organização esperar? Como é que uma decisão de segurança pode afetar os clientes, as operações ou a receita? 

Essas questões exigem tanto conhecimento técnico como compreensão do negócio. É aí que entra um Business Information Security Officer (BISO). A função de BISO (por vezes abreviada como BSO) é um conceito e uma posição relativamente novos, mas ajuda uma organização a avançar para uma segurança proativa de modo a acompanhar o ritmo da tecnologia e o crescimento da IA.  

O que é um BISO?

Um BISO é um líder de cibersegurança que trabalha em estreita colaboração com uma unidade de negócio, função, grupo de produtos ou região específica para alinhar a cibersegurança com as prioridades do negócio. 

A função é frequentemente descrita como uma ponte entre a cibersegurança e o negócio. Isso faz parte do trabalho, mas subestima o que um BISO eficaz faz. 

Um BISO necessita de conhecimentos fundamentais tanto de segurança como de negócio. Deve compreender conceitos de cibersegurança, tais como ameaças, gestão de vulnerabilidades, proteção de dados, conformidade e resposta a incidentes, enquanto compreende simultaneamente preocupações de negócio, tais como receitas, operações, clientes, investimentos tecnológicos e tolerância ao risco. 

Essa combinação permite ao BISO fazer uma avaliação estratégica entre os requisitos de segurança e o impacto no negócio. 

Por exemplo, um BISO pode ajudar uma empresa a responder a:

• Quanto nos poderá custar este risco se não o abordarmos? 

• Qual é o benefício de implementar a medida de segurança agora? 

• O que acontece se a implementarmos mais tarde? 

• Podemos reduzir o risco sem abrandar desnecessariamente o negócio? 

• Quem precisa de estar envolvido na tomada de decisão? 

O trabalho do BISO não é necessariamente ter todas as respostas. É saber que perguntas fazer, compreender as concessões (trade-offs) e conectar as pessoas certas para alcançar uma decisão informada. 

O papel do BISO na segurança proativa 

As organizações estão a desenvolver produtos, a adotar serviços na nuvem, a implementar IA, a integrar plataformas de terceiros e a mudar processos de negócio mais rapidamente do que nunca. Se a segurança não fizer parte desses esforços desde o início, as organizações podem descobrir problemas de segurança ou de conformidade depois de investirem tempo e dinheiro significativos. 

É aí que um BISO pode fazer uma diferença significativa. 

Um BISO pode envolver-se no início de um produto, projeto, aquisição ou iniciativa tecnológica, ajudando a garantir que os requisitos de segurança sejam considerados desde o início, em vez de serem adicionados no final. 

Isto pode evitar o cenário familiar em que um projeto está quase pronto para ser lançado quando a segurança identifica uma lacuna que exige uma reformulação, investimento adicional ou um atraso. 

O BISO ajuda a mover a segurança para uma posição de força, mas também ajuda a acelerar o negócio.  

Nesse sentido, o BISO pode atuar como uma autoridade para a segurança dentro do negócio, enquanto ajuda os líderes empresariais a compreender como as decisões de segurança afetam os seus objetivos.

BISO vs. CISO 

Um BISO é diferente de um Chief Information Security Officer (CISO). 

Normalmente, um CISO é responsável pela estratégia e programa geral de cibersegurança de uma organização. Um BISO atua mais próximo do negócio, aplicando essa estratégia dentro de uma parte específica da organização. 

As duas funções devem complementar-se mutuamente. 

Um CISO pode estabelecer prioridades, políticas e programas de segurança empresarial. O BISO ajuda a determinar como aplicar essas prioridades num ambiente de negócio específico e traz as necessidades e preocupações do negócio de volta para a organização de segurança. 

Uma forma útil de pensar sobre a distinção é que o CISO está muitas vezes a olhar “para cima e para fora” em toda a organização, enquanto o BISO impulsiona a segurança “para baixo e para dentro” do negócio.

Por que razão a sua organização precisa de um BISO? 

As decisões de cibersegurança afetam cada vez mais as operações centrais do negócio. Serviços na nuvem, fornecedores terceiros, IA, produtos digitais e sistemas de dados complexos podem introduzir riscos difíceis de compreender isoladamente. 

Um BISO traz o contexto de negócio necessário para essas decisões. 

Considere uma vulnerabilidade que afeta dois sistemas diferentes. Um pode suportar uma aplicação interna não essencial. O outro pode suportar um serviço crítico voltado para o cliente. A vulnerabilidade técnica pode parecer semelhante no papel, mas o impacto no negócio pode ser muito diferente. 

Um BISO eficaz ajuda a organização a reconhecer essa diferença e a priorizar em conformidade. 

A função também ajuda as organizações a navegar pelas exigências regulatórias e de conformidade. Dependendo do setor e da geografia, um BISO pode precisar de compreender os requisitos decorrentes de regulamentos e estruturas como o RGPD, requisitos do setor financeiro ou outras regras aplicáveis de privacidade e cibersegurança. O BISO pode traduzir essas obrigações em ações práticas para o negócio e coordenar respostas a conclusões de auditorias e lacunas identificadas. 

O objetivo não é a conformidade por si só. Trata-se de compreender o que a organização deve fazer, quais os riscos que permanecem e como esses requisitos se enquadram nas operações do negócio.

O que faz um BISO? 

As responsabilidades específicas variam de acordo com a organização, mas espera-se que um BISO eficaz faça o seguinte:

• Alinhar a cibersegurança com as prioridades do negócio. Compreender o que o negócio está a tentar alcançar e identificar as considerações de segurança que podem afetar esses objetivos. 

• Gerir a segurança e a velocidade do negócio. Envolver a segurança com antecedência suficiente para evitar surpresas de última hora, ajudando ao mesmo tempo o negócio a manter os projetos em movimento. 

• Traduzir o risco cibernético em termos de negócio. Explicar os riscos técnicos em termos de custos, operações, clientes, obrigações regulatórias e potencial impacto no negócio. 

• Impulsionar a segurança para o negócio. Integrar os requisitos de segurança em produtos, projetos, processos e decisões tecnológicas, em vez de tratar a segurança como um ponto de controlo final. 

• Navegar pelos requisitos regulatórios. Compreender as leis, regulamentos, normas e expectativas de auditoria aplicáveis e traduzi-los em ações práticas de negócio. 

• Ajudar a gerir o risco de terceiros. Trabalhar com equipas de negócio e de segurança para compreender os riscos criados por fornecedores e parceiros. 

• Clarificar a propriedade do risco. Ajudar a determinar quem é responsável por tomar e aceitar decisões de risco. 

• Apoiar a resposta a incidentes. Trazer o conhecimento das prioridades e dependências do negócio para incidentes de segurança e decisões de recuperação. 

• Construir conexões organizacionais. Manter relacionamentos em áreas como cibersegurança, TI, jurídico, privacidade, conformidade, risco, arquitetura, compras e liderança de negócios. 

Essa última responsabilidade é de grande importância.  

Um BISO deve ser uma pessoa altamente conectada dentro da organização, alguém que sabe a quem recorrer quando um problema ultrapassa os limites organizacionais. O BISO não precisa de ser especialista em todas as disciplinas de segurança. Em vez disso, o seu valor reside em parte no facto de saber onde essa experiência existe e trazer as pessoas certas para a conversa. 

Um BISO ajuda o negócio a tomar melhores decisões 

Não veja um BISO como um vendedor de segurança, coordenador de conformidade ou simplesmente a pessoa que processa exceções. 

A função é mais eficaz quando o BISO tem credibilidade e acesso suficientes para desafiar tanto a equipa de segurança como o negócio, quando necessário. 

Por vezes, a decisão de segurança correta introduzirá atrito ou atraso. Isso faz parte da gestão de risco. 

O trabalho do BISO não é tornar cada decisão de segurança mais fácil. É tornar essas decisões informadas, transparentes e responsáveis. 

A maioria das decisões de segurança envolve algum nível de compromisso entre imperativos de negócio e de segurança. Um BISO ajuda a organização a compreender essas concessões antes que se tornem problemas. 

À medida que a tecnologia continua a avançar rapidamente, esse papel torna-se cada vez mais importante. A segurança nem sempre pode esperar até ao final de um projeto para perguntar se algo é seguro, conforme ou resiliente. 

O BISO traz a segurança para a conversa mais cedo, para que o negócio possa mover-se rapidamente sem descobrir problemas de segurança depois de já estar em andamento. 

No final, o valor de um BISO não é medido pela frequência com que diz sim ou não. 

É medido pelo facto de ajudar ou não a organização a tomar melhores decisões sobre segurança, risco e velocidade do negócio. 

Este artigo foi escrito com contributos do BISO Working Group da NCA. Para saber mais sobre o BISO Working Group e como pode participar, contacte Max McKenna em max@staysafeonline.org. 

Perguntas Frequentes sobre BISOs 

O que significa a sigla BISO? 

BISO significa Business Information Security Officer. Um BISO conecta a estratégia de cibersegurança com as prioridades, riscos e operações de uma unidade de negócio ou função específica. 

Qual é a diferença entre um BISO e um CISO? 

Geralmente, um CISO supervisiona a estratégia geral de cibersegurança de uma organização, enquanto um BISO trabalha em estreita colaboração com as unidades de negócio para aplicar essa estratégia no seu ambiente específico e trazer o contexto de negócio de volta para a organização de segurança. 

Todas as organizações precisam de um BISO? 

Não necessariamente. Organizações mais pequenas ou menos complexas podem não precisar de um BISO dedicado. O papel pode tornar-se particularmente valioso à medida que as organizações se tornam mais complexas, adotam novas tecnologias, enfrentam requisitos regulatórios significativos ou necessitam de um alinhamento mais próximo entre a segurança e as operações do negócio. 

Por que razão um BISO é importante para a cibersegurança? 

Um BISO ajuda as organizações a integrar a segurança mais cedo nas decisões de negócio e tecnologia, a compreender o risco cibernético num contexto de negócio, a navegar pelos requisitos regulatórios e a manter a velocidade do negócio enquanto aborda os riscos de segurança.