CISOs sob pressão: a necessidade de governança baseada em evidências para proteção

Os Chief Information Security Officers (CISOs) estão enfrentando uma pressão crescente para permanecer em silêncio sobre incidentes cibernéticos, mesmo diante de exigências regulatórias mais rigorosas por transparência. Essa situação foi destacada no relatório de 2026 da Splunk, que revelou que um em cada cinco líderes de segurança foi pressionado por suas organizações a não relatar incidentes ou questões de conformidade.

Esse cenário se torna ainda mais preocupante quando se considera que quase 80% dos CISOs expressaram preocupação com sua própria responsabilidade em relação a incidentes de segurança, um aumento significativo em comparação ao ano anterior. Além disso, 79% relataram que suas funções se tornaram mais complexas, com quase metade assumindo novas responsabilidades em áreas como investigações de fraudes e crimes financeiros.

A crescente complexidade do papel dos CISOs é um reflexo das demandas em evolução no campo da cibersegurança. Quase todos os CISOs entrevistados no estudo agora também são responsáveis pela governança e gestão de riscos relacionados à inteligência artificial, tornando-se líderes de políticas de IA em suas organizações. Essa nova responsabilidade, embora necessária, adiciona uma camada adicional de pressão sobre esses profissionais.

A tensão entre a responsabilidade crescente e a pressão interna para não divulgar incidentes destaca uma contradição crescente na cibersegurança moderna. Os CISOs são solicitados a assumir uma maior responsabilidade pela resiliência cibernética e pela transparência, enquanto, em alguns casos, enfrentam pressões para não relatar incidentes. Essa situação é tão crítica que um quarto dos CISOs considerou deixar a indústria de cibersegurança.

As novas legislações em discussão, como o Cyber Security and Resilience Bill no Reino Unido, prometem aumentar ainda mais a pressão sobre as organizações para identificar, avaliar e divulgar corretamente os incidentes cibernéticos. Para os CISOs, o desafio será encontrar um equilíbrio entre relatar demais e relatar de menos.

Organizações que não divulgarem incidentes significativos podem enfrentar multas, enquanto relatar prematuramente pode resultar em consequências operacionais, financeiras e reputacionais.

Esse dilema coloca os CISOs em uma posição difícil: eles devem defender suas organizações contra ataques, ao mesmo tempo em que tomam decisões de reporte em situações de alta pressão, muitas vezes enquanto as investigações ainda estão em andamento e os fatos não estão claros. Essa dinâmica se tornará um dos principais desafios da governança cibernética moderna.

Recentemente, o National Cyber Security Centre (NCSC) alertou que as ameaças cibernéticas se tornaram uma prioridade urgente, e que os líderes empresariais precisam agir rapidamente para fortalecer a resiliência cibernética coletiva do Reino Unido. Para muitos CISOs, garantir que permaneçam dentro da legalidade dependerá de sua capacidade de encontrar o ponto ideal de reporte.

Uma abordagem que pode ser considerada é a de 'melhor prevenir do que remediar'. No entanto, relatar excessivamente eventos que podem ser falsos alarmes pode prejudicar a confiança do mercado na organização. Por outro lado, subestimar incidentes ou, pior ainda, ignorá-los, como alguns CISOs estão sendo pressionados a fazer, pode prejudicar a reputação e resultar em uma perda de confiança a longo prazo.

Diante desse cenário, a governança baseada em evidências se torna mais crucial do que nunca. Os CISOs precisam não apenas de melhor visibilidade, mas também da capacidade de defender suas decisões com dados concretos. Isso implica em identificar rapidamente as ameaças e fornecer provas de que os incidentes foram avaliados de forma adequada, escalados corretamente e relatados de maneira transparente.

Sistemas que criam trilhas de auditoria claras e robustas são essenciais para mostrar o que aconteceu, quando ocorreu, quem esteve envolvido nas decisões e quais informações estavam disponíveis no momento. A capacidade de documentar e evidenciar o processo de tomada de decisão desde o início até o fim é fundamental para a eficácia da governança cibernética.

Quando os CISOs admitem que foram 'pressionados' a não relatar incidentes, fica claro que algo está errado. É hora de implementar medidas que os protejam de possíveis repercussões futuras. Isso só é possível com uma governança forte, fluxos de trabalho claros, trilhas de auditoria transparentes e evidências que sustentem a tomada de decisão.

A situação atual exige que os CISOs se tornem defensores não apenas da segurança cibernética, mas também da transparência e da responsabilidade dentro de suas organizações. A capacidade de navegar por essas complexidades será fundamental para o sucesso na cibersegurança nos próximos anos.

Em resumo, a pressão sobre os CISOs para não relatar incidentes cibernéticos é um sinal de alerta para a indústria. A necessidade de uma governança baseada em evidências é mais crítica do que nunca, pois as organizações buscam equilibrar a transparência com a proteção de suas operações e reputações. A forma como os CISOs responderão a esses desafios moldará o futuro da cibersegurança e a confiança do público nas organizações que eles protegem.

A chave para a resiliência cibernética está em adotar uma abordagem proativa e baseada em evidências, que não apenas atenda às exigências regulatórias, mas também fortaleça a confiança nas práticas de segurança das organizações.