Meu Conselho de Diretores precisa de um membro de segurança cibernética?

Os Conselhos de Administração estão mais envolvidos do que nunca em discussões e estratégias sobre a segurança cibernética de suas empresas e as soluções necessárias para evitar que ela esteja na próxima grande manchete.

As perguntas que estão fazendo não são mais tão simples quanto “estamos seguros?”, mas vão no sentido de “estamos fazendo tudo o que podemos para minimizar ou transferir riscos?”, e “o que faremos no caso de uma violação?”

Os Conselhos também querem saber se existem indicadores de desempenho que medem a postura de segurança da empresa, se a empresa está em conformidade com as regulamentações mais recentes e se possuem os controles de segurança para demonstrar essa conformidade.

Essa mudança radical também significa que os Conselhos têm novas opções: eles atuariam como agentes de mudança para a segurança cibernética? Eles tomariam as rédeas como tomadores de decisão? A segurança de TI é tão vital para os negócios que deveria ter representação direta no próprio Conselho, como um diretor de Segurança?

Muitos conselhos deram os primeiros passos, por exemplo, exigindo briefings trimestrais de segurança cibernética – alguns sendo apresentados diretamente pelo CISO ou vice-presidente de gerenciamento de riscos – em vez de depender de atualizações ocasionais ou para fins específicos. No entanto, quando se trata de representação real do Conselho, a maioria das empresas se encaixa em uma das seguintes crenças:

·                    "Não precisamos de um especialista em cyber em nosso Conselho. Temos um CISO/ CIO e isso é o suficiente."

·                    “A segurança cibernética é um problema de gerenciamento de riscos, de modo que o ciberespaço pertence à Diretoria como um item da agenda de relatórios esporádicos”.

·                    "Definitivamente, precisamos de um especialista em domínio cibernético que nos represente, mas não sabemos como essa pessoa deve ser e/ou não sabemos onde a encontrar e recrutar."

Para muitas empresas, as duas primeiras afirmações podem ser perfeitamente apropriadas, por enquanto. Na verdade, a maioria dos Conselhos de administração está optando por agir como agentes de mudança, mas apenas pela transferência de risco – recomendando ou exigindo seguros de segurança cibernética para sua organização.

Mas outras empresas mudaram a chave. A Sally Beauty Holdings, a Huntington Bancshares e outras empresas adicionaram ao Conselho especificamente membros com ampla experiência cibernética. O que mudou para impulsionar essa escolha? Todas as Diretorias deveriam considerar fazer o mesmo?

A resposta é sim e não, simultaneamente. Mas, se você acha que é um sim para sua empresa ou está em dúvida, aqui está uma estrutura que cria uma estratégia de recrutamento e ajuda a fazer uma escolha mais fundamentada:

Perfis de candidatos

Em primeiro lugar, o candidato tem de ser um membro de Conselho em plena ação. Idealmente, os candidatos já teriam atuado em Conselhos de empresas similares, teriam atuado em um ou mais Comitês (preferencialmente de Risco ou Auditoria) e seriam eficazes no mesmo conjunto de funções do Conselho que outros membros. O membro precisará ter todas as habilidades interpessoais do Conselho que apoiam e definem a liderança: ética, integridade, gerenciamento de crises e muito mais.

Idealmente, qualquer candidato deve ser obrigado a ter não apenas experiência técnica e de segurança cibernética, mas também experiência nos campos financeiro, operacional e executivo (preferivelmente C-Suite).

Em segundo lugar, certifique-se de que o membro do Conselho seja um complemento e tenha afinidade cultural com os executivos responsáveis pela execução da segurança cibernética (CIO, CISO, gerente de Risco). A última coisa que você quer fazer é contratar um diretor que crie conflitos ou envie a mensagem errada para os outros executivos. Assegure-se de que os limites definidos para o membro do Conselho sejam adequados para evitar conflitos.

Além disso, seu conhecimento de domínio de segurança cibernética deve ser específico para os tipos de risco que causariam os maiores danos a uma organização. Portanto a Diretoria e a equipe executiva precisam realizar algumas diligências técnicas e análises profundas sobre qual tipo de risco cibernético é mais importante para sua organização:

•                    Danos à reputação a partir de um vazamento maciço de dados dos clientes.

•                    Perda de milhões de dólares em tempo de inatividade.

•                    Perda de valor para o acionista e perda de confiança do cliente.

•                    Perda de propriedade intelectual.

•                    Todas as alternativas anteriores.

Com base no tipo de risco cibernético mais crítico para a sua organização, você pode começar a determinar de qual tipo de especialista cibernético você precisa. Você necessita de alguém que possa ser um proxy para o CISO? Alguém que tenha que estar em Brasília o tempo todo e que saiba sobre política? Um guru de Centros de Operação de Segurança e Ferramentas de Empacotamento Avançada que tenha defendido contra-ataques de nações? Ou você precisa de um especialista em RH de treinamento cibernético que aumente a força de trabalho em conscientização de segurança?

A tabela abaixo é um exemplo de como você pode atender às suas necessidades com o perfil de candidato ideal:

Perfil 1: Super CISO	Perfil 2: Redutor de Riscos	Perfil 3: Especialista em Regulatório e Legislação
Características desejadas: •  atuações múltiplas como CSO/CISO; •                experiência prévia em Conselho; •               especialista em continuidade de negócios; •               focado em resposta a incidentes.	Características desejadas: •  transferência de risco cibernético; •  especialista em privacidade de dados; •  diminuição de brechas; •  experiência jurídica.	Características desejadas: •  especialista em Legislação Cibernética; •  Conformidade/Regulação; •  influenciador da indústria; •  experiência com RelGov.

Como procurar o candidato certo

Existem várias maneiras pelas quais sua empresa pode buscar o candidato certo para o que ela exige.

•                    Empresas tradicionais de busca de Conselhos. Muitos dos grandes recrutadores têm uma prática de busca de Conselhos, mas eu pessoalmente recomendo os atiradores de elite que não fazem nada além disso.

•                    Organizações profissionais e organismos de certificação. Associações nacionais têm excelente capacidade de colocação e são grandes proponentes do cyber na sala de reuniões.

•                    Influenciadores da indústria. Algumas das principais personalidades do universo da segurança cibernética têm uma agenda recheada de executivos experientes e diretores de Conselho que podem se mostrar bons candidatos.

Conclusão

Comece sua busca de longo prazo para esse membro do Conselho agora, pois pode levar muitos meses para encontrar o candidato com as qualidades adequadas, afinidade cultural e, claro, disponibilidade para ocupar o lugar. Você pode ter certeza de que terá que passar um pente fino no mercado para selecionar os principais candidatos, uma vez que as habilidades de pré-requisito são escassas.

Enquanto isso, uma pequena lista de atividades:

•                    Certifique-se de que você tenha um consenso para a nova contratação com a Diretoria e a equipe executiva. Não faça suposições!

•                    Crie um cronograma realista com funções e responsabilidades específicas para os membros do Conselho, executivos e consultores externos, conforme necessário – uma pesquisa no Conselho pode levar até 12 meses ou mais, então esteja preparado!

•                    Determine com antecedência se você precisa de um recrutador especializado para ajudar – quanto mais cedo esse consultor estiver envolvido, melhor.

•                    Faça a auditoria de necessidades internas e o perfil de risco para identificar o tipo de candidato ideal – certifique-se de incluir o maior número possível de interessados, incluindo funcionários do Departamento Jurídico, o CISO, o CSO, o VP de RH, funcionários de Compliance etc.

•                    Analise sites como o LinkedIn e faça uma lista de candidatos (não necessariamente concorrentes reais) para ajustar o perfil.

Tom Bennett - empreendedor, CEO, investidor e membro do Conselho com mais de 35 anos de sucesso abrangendo softwares, segurança, energia e aeroespaço e defesa. Atualmente, ele atua nos Conselhos de três empresas de tecnologia e, anteriormente, atuou nos Conselhos de Administração da Cylance e da Cybersponse.

Lei de proteção de dados desafia organização das empresas

 Especialista afirma que a ausência de órgão fiscalizador, vetada pelo presidente Michel Temer, pode colocar em xeque a implementação da norma

Sancionada nesta semana com vetos do Presidente Michel Temer, a lei que define regras para a proteção de dados pessoais entrará em vigor em março de 2020. Em resumo, ela regulamentará o uso, proteção e transferência de dados pessoais como nome, endereço, e-mail, idade, estado civil e situação patrimonial.

Com a nova lei, todo uso de dados exige consentimento do titular, que deve ter acesso às informações mantidas por uma empresa, política de privacidade dos sites que frequenta, visualizar, corrigir e excluir dados que tenham sido coletados.

Em caso de vazamentos, a Lei de Proteção de Dados obriga as empresas a relatarem o ocorrido para todas as pessoas impactadas, além de informarem quais dados supostamente foram vazados. Bem diferente do que acontece hoje, em que as empresas não são obrigadas a prestarem esses relatos, ou seja, os consumidores sequer ficam sabendo que suas informações foram vazadas.

A empresa que descumprir a lei pode ser condenada a multas de até R$ 50 milhões ou ser obrigada a apagar os dados dos envolvidos.

De acordo com a especialista em relações de consumo do Santos & Santana Advogados, Sofia Rezende, a LGPD trará maior impacto para as empresas que ainda não tratam adequadamente os dados de seus clientes, pois elas terão que adaptar seus processos para atenderem aos requisitos sinalizados pela norma quanto à coleta, armazenamento, utilização, transferência e retenção dos dados pessoais de seus usuários.

Os responsáveis pelo tratamento de dados e operadoras terão o prazo de 18 meses para se ajustarem às novas regras, implementando políticas de transparência para garantir a compreensão dos usuários sobre quais dados serão coletados, finalidade, tempo de conservação entre outras informações essenciais à dinâmica de consentimento pelos titulares dessas informações.

“Blogs, redes sociais, produtores de conteúdo em geral, e-commerce, entidades públicas e todos aqueles que coletam informações dos usuários através da solicitação de cadastro ou utilizam em seus sites ferramentas de monitoramento de comportamento, coleta de IP, geolocalização, entre outras práticas, terão que solicitar a autorização expressa dos usuários, de forma específica e destacada para cada finalidade. Também deverão garantir aos usuários a retirada de seus dados do banco a qualquer momento”, acrescenta Rezende.

Ou seja, a nova Lei desafia as empresas a se organizarem melhor e a fomentarem em toda a cadeia de colaboradores e parceiros, novos conceitos no tratamento e controle dos dados coletados dos usuários, medidas de segurança e avaliação de riscos.

A implementação da Lei não apenas garante aos titulares o domínio sobre as suas informações pessoais a partir do momento em que estas saem de sua esfera jurídica, como também diminui o abismo regulatório que separava o país de outras nações que já exercitam regulamentações neste setor.

Vale lembrar que as empresas que interagem com os cidadãos da União Europeia já tiveram que ajustar suas operações de tratamento de dados e fluxos de ofertas de produtos e serviços, para o cumprimento da General Data Protection Regulations (RDPR), que passou a vigorar em 25 de maio.

A União Europeia tem enrijecido sua postura com relação à proteção de seus cidadãos das ações das grandes corporações e a lei trouxe uma abordagem inovadora, com evidente escopo de ampliar a responsabilidade dessas empresas quanto ao tratamento dos dados coletados.

“A exemplo da Lei de Proteção de Dados sancionada no Brasil, a RDPR também encara a disponibilidade dos dados pessoais como um direito fundamental, tendo ampliado os conceitos de consentimento e informação ao titular dos dados e, ainda, agravado o regime sancionatório, com multas que podem chegar a 20 milhões de euros ou 4% do faturamento da empresa”, afirma a especialista.

Um ponto de distanciamento da regulamentação brasileira da norma europeia refere-se à existência de um órgão fiscalizador dedicado a promover o seu cumprimento. Na maioria dos países que estabeleceram normas de proteção de dados, há a previsão deste órgão com poder sancionatório, responsável pelo monitoramento da atuação das empresas.

No caso do Brasil, o Presidente Michel Temer vetou os artigos da lei que tratavam da criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão vinculado ao Ministério da Justiça, que teria essa função fiscalizadora do cumprimento da norma.

“Vale ressaltar que a ausência deste órgão fiscalizador pode colocar em xeque a implementação da norma, pois sem um órgão dedicado a promover e harmonizar a sua aplicação, será árduo alcançar uma tutela efetiva dos direitos que se propõe resguardar”, finaliza.

Influenciado pela energia elétrica residencial, custo de vida em São Paulo aponta quarta alta seguida em julho

Segundo a FecomercioSP, tarifa de energia elétrica subiu 10,8% no mês; classes D e E foram as mais afetadas pela alta de preços

 

O custo de vida na região metropolitana de São Paulo subiu 0,82% em julho. Apesar de ser a quarta alta consecutiva, observa-se uma leve desaceleração em relação ao aumento de 0,97% apurado em junho. No acumulado do ano, houve uma elevação de 2,49% e de 5,03% nos últimos 12 meses.

Os dados são da pesquisa Custo de Vida por Classe Social (CVCS), realizada mensalmente pela Federação do Comércio de Bens, Serviços e Turismo do Estado de São Paulo (FecomercioSP).

Entre as nove categorias que compõem o indicador, duas sofreram variação negativa em julho: vestuário (-1,4%) e saúde (-0,19%). Por outro lado, o grupo habitação exerceu a maior pressão de alta no indicador ao apontar aumento de 2,51% em seus preços médios. No acumulado dos últimos 12 meses, as elevações foram de 7,11% e de 3,83% no ano, acima da inflação média, portanto.

A segunda pressão mais relevante para o resultado de julho foi do segmento de transportes, cujo aumento foi de 1,08%. Nos últimos 12 meses, a variação foi de 8,81%, a maior entre os grupos pesquisados.

Na segmentação por renda, as classes D e E foram as que mais sentiram o aumento dos preços em julho, com altas de 1,43% e 1,31%, respectivamente. Em contrapartida, as classes A e B sentiram menos a elevação notada no mês. A primeira assinalou variação de 0,51% e a segunda encerrou o período com variação positiva de 0,54%.

IPV

 
O Índice de Preços no Varejo (IPV) registrou queda de 0,12% em julho, desaceleração significativa considerando a alta de 1,24% notada em junho. No acumulado do ano, o indicador registrou acréscimo de 2,06% ,e nos últimos 12 meses, a elevação foi de 4,51%. No mesmo período de 2017, essa variação era de 0,41%.

Em julho, cinco dos oito segmentos que compõem o IPV registraram variação negativa: transporte (-1,11%); vestuário (-1,4%); saúde e cuidados pessoais (-0,51%); despesas pessoais (-0,09%); e educação (-0,02%).

Por outro lado, o grupo alimentação e bebidas exibiu elevação de 0,76% em seus preços. As pressões mais contundentes foram observadas em leite longa vida (11,46%), pera (10,72%), salmão (8,68%), açúcar refinado (7,81%), massa semipreparada (7,43%), linguiça (6%), uva (5,62%), leite em pó (4,93%), presunto (4,83%) e farinha de trigo (4,12%).

A segunda maior contribuição de alta foi do segmento habitação, com elevação de 1,58% em julho. Entre os itens, destacou-se a elevação nos preços de ferragens (3,32%), tinta (0,65%), revestimento de piso e parede (2,99%), cimento (2,73%), material hidráulico (1,33%), água sanitária (2,03%), detergente (1,98%), amaciante (3,94%) e esponja de limpeza (1,77%).

O recorte por faixas de renda indica que apenas o IPV da classe D subiu de fato em julho, com discreta variação positiva de 0,08%. Por outro lado, as classes de rendimento intermediário mostraram variação negativa, com as maiores quedas nas classes B e C, com recuos de 0,16% e 0,11%, respectivamente.

IPS

 
O Índice de Preços de Serviços (IPS) registrou alta de 1,82% em julho, mais que o dobro do verificado em junho (0,69%). No período compreendido entre janeiro e julho, a elevação foi de 2,94%, e no acumulado dos últimos 12 meses, a variação foi de 5,56%.

Assim como em junho, apenas um segmento apresentou variação negativa em seus preços médios em julho: artigos de residência (-0,17%). Em contrapartida, a principal contribuição de alta foi a do setor de transporte, que assinalou 4,97% de alta, impulsionado pelo aumento de 45,77% nas passagens aéreas. Os preços de ônibus interestadual (8,62%), pedágio (2,15%) e de lubrificação e lavagem (1,21%) também subiram. Segundo a assessoria econômica da FecomercioSP, além do efeito sazonal, as passagens aéreas sofreram pressão de custo por causa dos preços do querosene de aviação, que têm sofrido altas desde meados de 2017. No acumulado entre agosto de 2017 a julho de 2018, o grupo transporte apresentou elevação de 5,41%, e em 2018, a alta é de 1,28%.

O segmento de habitação se mantém em trajetória de alta, encerrando julho com variação positiva de 2,8% ante os 2% notados em junho. No mês, destacou-se a alta de 10,08% nos preços da energia elétrica residencial e que já atinge 15,89% nos últimos 12 meses. A tarifa de água e esgoto também subiu em julho (1,17%). Nos últimos 12 meses, o grupo habitação registrou acréscimo de 7,36%, e em 2018, a variação foi de 4,47%.

Em relação ao recorte por renda, as classes A e B foram as menos impactadas, com variação de 1,06% e 1,11%, respectivamente. Já as classes E e D foram as mais prejudicadas no mês, em decorrência de sua estrutura de distribuição de gastos, encerrando o período com acréscimos de 3,38% e 3,43%, consecutivamente.

De acordo com a FecomercioSP, apesar do ritmo de alta no custo de vida ter desacelerado, os preços dos serviços seguem, claramente, pressionados. O grupo que inspira mais atenção é justamente o de habitação, por ser bastante relevante no orçamento das famílias, especialmente para as de renda mais baixa.

Ainda segundo a Entidade, o segmento possui peso médio de 16%, mas a ponderação é ainda maior quando se observa o corte por faixa de rendimento, já que para a classe E, por exemplo, esse segmento pesa mais de 23%. Para a classe B, em contrapartida, o peso é de apenas 14%. Outro segmento que deve se elevar é o de despesas pessoais, no próximo mês, em virtude do reajuste nos preços dos cigarros.

Metodologia

 
O Custo de Vida por Classe Social (CVCS), formado pelo Índice de Preços de Serviços (IPS) e pelo Índice de Preços do Varejo (IPV), utiliza informações da Pesquisa de Orçamentos Familiares (POF) do IBGE e contempla as cinco faixas de renda familiar (A, B, C, D e E) para avaliar os pesos e os efeitos da alta de preços na região metropolitana de São Paulo em 247 itens de consumo. A estrutura de ponderação é fixa e baseada na participação dos itens de consumo obtida pela POF de 2008/2009 para cada grupo de renda e para a média geral. O IPS avalia 66 itens de serviços e o IPV, 181 produtos de consumo.

As faixas de renda variam de acordo com os ganhos familiares: até R$ 976,58 (E); de R$ 976,59 a R$ 1.464,87 (D); de R$ 1.464,88 a R$ 7.324,33 (C); de R$ 7.324,34 a R$ 12.207,23 (B); e acima de R$ 12.207,23 (A). Esses valores foram atualizados pelo IPCA de janeiro de 2012. Para cada uma das cinco faixas de renda acompanhadas, os indicadores de preços resultam da soma das variações de preço de cada item, ponderadas de acordo com a participação desses produtos e serviços sobre o orçamento familiar.