A cibersegurança se tornou um dos temas mais críticos para as empresas. O aumento exponencial de ataques cibernéticos e o alto custo das violações de dados estão forçando organizações a repensarem suas abordagens em segurança digital. No entanto, levar o tema para os conselhos de administração e comitês executivos continua sendo um grande desafio. Muitos desses líderes, especialmente aqueles que não têm background técnico, encontram dificuldades em entender a complexidade da cibersegurança, enquanto alguns líderes de tecnologia podem acabar utilizando jargões e termos técnicos para manter uma distância e justificar a falta de profundidade no tema.

Por que a cibersegurança é um tema fundamental para o Board?

A transformação digital e o aumento da dependência de tecnologias para a condução dos negócios expuseram empresas a riscos cibernéticos sem precedentes. De acordo com o relatório “Cost of a Data Breach” da IBM de 2023, o custo médio global de uma violação de dados atingiu US$ 4,45 milhões, representando um aumento de 15% nos últimos três anos. Este aumento destaca o impacto significativo que falhas de segurança podem ter no desempenho financeiro e na reputação de uma organização. Além disso, o relatório de 2024 indica que o custo médio global de uma violação de dados subiu para US$ 4,88 milhões, um aumento de 10% em relação ao ano anterior e o valor mais alto já registrado.

Para os membros do board, que são responsáveis pela governança e pela estratégia de longo prazo da empresa, ignorar a cibersegurança é um risco estratégico. É papel do conselho assegurar que a empresa tenha políticas e práticas robustas para proteger suas operações e ativos digitais. No entanto, a natureza técnica e a rápida evolução do tema fazem com que muitos conselheiros se sintam distantes e desconfortáveis para abordar o assunto. Isso gera uma desconexão entre a importância do tema e o engajamento do board.

A barreiras técnicas e o desconforto dos conselheiros

Um dos principais obstáculos para a integração da cibersegurança na pauta dos conselhos é a barreira técnica. Muitos executivos e conselheiros têm carreiras e especializações em áreas tradicionais de negócios, como finanças, marketing, ou operações, e não possuem familiaridade com o vocabulário técnico da cibersegurança. Termos como ransomware, phishing, firewalls, zero trust, e SOC (Centro de Operações de Segurança) podem parecer intimidadoras e complicadas.

Esse desconforto é amplificado pelo receio de demonstrar vulnerabilidade ou desconhecimento frente a seus pares e subordinados. A cibersegurança, embora seja um tema de grande importância, acaba sendo tratado de forma superficial, ou até mesmo negligenciado, em reuniões de conselho e comitês.

Outro fator agravante é que, em algumas situações, líderes técnicos acabam se escondendo atrás da complexidade do tema. Utilizam-se de jargões e expressões técnicas que, em vez de esclarecer, obscurecem a compreensão e a transparência das estratégias de segurança. Essa postura pode criar um distanciamento ainda maior entre o board e os temas de cibersegurança, já que os conselheiros não conseguem avaliar de forma crítica as iniciativas de segurança, o que acaba dificultando a tomada de decisões informadas.

Como comunicar a cibersegurança de forma eficaz para o board

Para engajar conselheiros no tema, é essencial traduzir a cibersegurança para uma linguagem acessível e alinhada ao contexto de negócios. Aqui estão algumas estratégias eficazes para tornar a conversa mais compreensível e relevante para líderes de diferentes formações:

Conecte a cibersegurança ao risco de negócios

O conselho está acostumado a lidar com riscos, seja o risco financeiro, de mercado, regulatório ou operacional. Apresentar a cibersegurança como uma extensão desses riscos facilita o entendimento e legitima a relevância do tema no contexto estratégico. Demonstre como uma falha de segurança pode comprometer a continuidade dos negócios, a imagem da marca e até mesmo a responsabilidade legal dos executivos e conselheiros.

Uma abordagem prática é fazer um mapeamento de cenários de risco, como “O que aconteceria se a empresa fosse alvo de um ataque de ransomware?” ou “Como seria o impacto na reputação se dados confidenciais de clientes vazassem?” Essas questões ajudam os conselheiros a visualizarem o impacto potencial e entendem a urgência de investir em proteção.

Simplifique a linguagem e evite jargões técnicos

Evite sobrecarregar a apresentação com siglas e termos técnicos. Em vez de descrever os detalhes operacionais de um ataque DDoS, por exemplo, foque no impacto que ele teria, como “uma interrupção prolongada dos serviços online da empresa que pode causar perda de receita e insatisfação dos clientes”. Adotar uma linguagem simples e direta facilita o entendimento e encoraja perguntas construtivas dos conselheiros.

Demonstre ROI e construa casos de negócio

Assim como qualquer outro investimento estratégico, o board precisa entender o retorno sobre o investimento (ROI) das iniciativas de cibersegurança. Relacione o custo de uma violação de segurança com o investimento necessário para preveni-la. A Pesquisa Global Digital Trust Insights 2023 da PwC revelou que mais de 70% dos executivos de negócios e tecnologia no Brasil e no mundo observaram melhorias na segurança cibernética de suas empresas em 2022, atribuídas a investimentos contínuos e à colaboração da alta administração. Além disso, a pesquisa destacou que organizações com programas cibernéticos e de privacidade bem estruturados são mais eficazes na resposta a ameaças e na antecipação de riscos cibernéticos, resultando em menor impacto financeiro decorrente de incidentes de segurança.

O cálculo de ROI pode ser feito ao demonstrar, por exemplo, a economia gerada com a redução do tempo de inatividade após um ataque ou com a prevenção de multas regulatórias por conta de vazamentos de dados. Mostrar esses resultados com exemplos práticos ajuda o board a enxergar o valor da segurança como uma proteção do patrimônio e dos resultados da empresa.

Promova simulações de incidentes

Uma excelente prática para engajar o conselho é promover exercícios de simulação de incidentes, como um ataque de ransomware fictício. Esse tipo de treinamento permite que os conselheiros vivenciem, mesmo que de forma simulada, a pressão e os desafios que surgem durante um incidente real. Essas simulações também ajudam o board a entender melhor como as decisões tomadas em momentos críticos afetam a empresa e qual é o papel deles nesse processo.

Utilize KPIs e métricas de risco para acompanhar a evolução

Assim como outras áreas, a cibersegurança pode e deve ser acompanhada por meio de indicadores-chave de desempenho (KPIs). O uso de métricas de risco, como o número de tentativas de invasão bloqueadas, o tempo de resposta a incidentes e a conformidade com regulamentações, facilita a visualização do progresso e dos desafios. Essas métricas devem ser apresentadas em formato de relatórios executivos de fácil compreensão e com foco em tendências e impactos.

Superando a barreira da resistência e construindo uma cultura de segurança

Trazer o board para o tema da cibersegurança exige não apenas adaptação na comunicação, mas também um esforço para criar uma cultura organizacional de segurança digital. Isso significa que o board deve ser incentivado a tratar a segurança como parte do DNA da empresa, promovendo políticas, treinamentos e uma postura proativa em relação a ameaças cibernéticas.

A cultura de segurança começa no topo e impacta toda a organização. Quando o board se compromete com a segurança e entende suas responsabilidades, esse compromisso se reflete nas equipes e na forma como a segurança é incorporada aos processos diários.

A cibersegurança é uma responsabilidade de toda a empresa, e os conselhos de administração e comitês executivos não podem se dar ao luxo de ignorar esse tema. Para engajar o board, é fundamental que líderes de tecnologia se comuniquem de forma clara, evitando jargões técnicos e trazendo a cibersegurança para o contexto dos negócios e dos riscos. Estratégias como a conexão com o risco de negócio, a simplificação da linguagem, a demonstração de ROI e o uso de simulações são ferramentas poderosas para superar as barreiras de entendimento e tornar a cibersegurança uma prioridade estratégica.

Em última análise, o engajamento do board com a cibersegurança não só fortalece a defesa da empresa contra ameaças cibernéticas, mas também promove uma cultura organizacional mais consciente e resiliente.