Caso Coupang expõe como a liderança deve assumir a responsabilidade por riscos cibernéticos e decisões que impactam a segurança das organizações
Por John Kindervag, Chief Evangelist da Illumio
Em dezembro do ano passado, Park Dae-jun, CEO da operação sul-coreana da empresa de tecnologia Coupang, renunciou ao cargo. Uma violação de dados havia exposto as informações pessoais de quase 34 milhões de clientes, praticamente toda a base de usuários da empresa. Park afirmou que estava deixando o cargo para assumir a “grave responsabilidade” pela violação.
Sua renúncia ocorreu após investigadores do governo sul-coreano concluírem que não se tratava de um ataque inédito e impossível de impedir. Um ex-engenheiro, que conhecia as vulnerabilidades do sistema, conseguiu voltar a acessá-lo por uma porta virtual que a empresa havia se esquecido de fechar. Os investigadores classificaram o episódio como uma falha de gestão, não como uma falha técnica. A culpa recaiu sobre o CEO, e não sobre o CISO.
Em outras palavras, este caso ressalta como as falhas podem escalar hierarquicamente, culminando na responsabilização da liderança. E, em momentos como este — por mais raros que sejam —, o escrutínio do Conselho de Administração não se limita à liderança de segurança.
Onde a responsabilização falha
Por anos, a prática padrão dos líderes empresariais foi culpar o CISO quando algo dava errado. Como os CISOs são responsáveis pelo programa de segurança, presume-se que também sejam responsáveis pelos resultados. Mas essa lógica rapidamente deixa de fazer sentido. Os CISOs não são responsáveis pelas decisões que, em última instância, determinam o quanto uma organização está realmente exposta.
CISOs não definem o orçamento. Não decidem quanto risco a empresa está disposta a aceitar. Não podem obrigar outras áreas de negócio a cumprir políticas de segurança quando elas possuem prioridades diferentes. Eles apresentam ao Conselho os riscos e as opções para mitigá-los. A liderança decide qual caminho seguir.
Os resultados em cibersegurança refletem essas decisões. Se uma organização investe menos do que deveria em segurança, isso não é uma falha do CISO. É uma escolha da liderança. Quando ocorre uma violação, a responsabilização deve acompanhar o poder de decisão. Na maioria das organizações, esse poder está nas mãos do CEO.
Por que o momento de prestar contas chegou agora
Os Conselhos de Administração trataram violações de segurança como um problema de TI durante muitos anos. Isso sempre foi uma iniciativa errada. E, para muitas empresas, ainda é a postura padrão. Mas, quando os danos financeiros e reputacionais se tornam impossíveis de conter, essa distância diminui. Uma violação que expõe dezenas de milhões de clientes não cria apenas um problema jurídico. Ela gera manchetes negativas, afeta o preço das ações e provoca o escrutínio dos órgãos reguladores. Os CEOs são responsáveis por tudo isso.
Assim como os Conselhos estão fazendo perguntas mais difíceis antes de uma violação, os órgãos reguladores também estão fazendo questionamentos cada vez mais incisivos depois que ela acontece. Em casos de grande repercussão, governos estão deixando de tratar falhas de cibersegurança como simples má sorte e passando a considerá-las possíveis evidências de negligência corporativa.
Essa pressão está reformulando as expectativas em relação ao papel do CISO. O trabalho de um CISO é oferecer à liderança uma visão clara dos riscos e das escolhas que os envolvem. O que acontece depois é uma decisão de negócio. Sem um direcionamento vindo do topo, as estratégias de segurança ficam paradas na fase de proposta.
Como é a responsabilização na prática
Incorporar a responsabilização ao modelo operacional de uma organização não é simples — e, na maioria das empresas, ela ainda ocorre de forma desigual. Grande parte disso está relacionada à maneira como o desempenho dos executivos é medido e recompensado. Quando os incentivos do CEO estão fortemente vinculados ao crescimento da receita e dão pouca atenção aos resultados de segurança, isso influencia a maneira como as prioridades são definidas em toda a organização.
Nos relativamente poucos casos em que a responsabilização pela cibersegurança se torna mais explícita, a mudança tende a começar pelas expectativas, e não pelas táticas. Os Conselhos não conduzem as operações diárias de segurança, mas sua influência aparece na forma como os riscos são discutidos, como as escolhas são avaliadas e quais ações se espera que a liderança tome ao longo do tempo. O foco está menos em apontar culpados e mais em esclarecer onde, em última instância, está a responsabilidade quando riscos conhecidos não são tratados.
Essa mesma dinâmica se aplica à estratégia de segurança. Apresentei o modelo de segurança Zero Trust há 15 anos, quando trabalhava como analista na Forrester Research, e desde então venho defendendo que Zero Trust é uma decisão de liderança, não uma compra de tecnologia. Trata-se de uma decisão estratégica que estabelece como a organização lida com o risco. Significa assumir que uma violação ocorrerá e, portanto, concentrar os esforços em contê-la.
O fim da era em que o CISO é o bode expiatório
Quando uma investigação governamental classifica uma violação de grandes proporções como uma falha de gestão e um CEO renuncia para assumir a responsabilidade, isso reflete uma mudança sutil, mas significativa, na forma como a responsabilização é atribuída. Em casos como esses, fica claro que uma questão de governança não pode ser resolvida com uma solução técnica, nem absorvida apenas pela área de segurança.
As organizações raramente mudam simplesmente porque os riscos são bem compreendidos. A mudança tende a acontecer quando se torna mais difícil se distanciar das consequências das decisões tomadas. Na cibersegurança, essa conexão ainda é a exceção e não a regra. Mas, em casos de alto impacto, está se tornando mais difícil de ignorar. O escrutínio regulatório, a reação do mercado e a atenção pública convergem cada vez mais ao nível da liderança.
Esse contexto é importante para compreender o papel do CISO. Ele não está ali para servir de escudo contra os riscos da organização, nem para absorver a culpa quando as escolhas feitas não produzem os resultados esperados. Seu papel é fornecer à liderança uma visão clara dos riscos e de suas implicações. O que a liderança decide fazer — ou não fazer — a partir dessa visibilidade é, em última instância, responsabilidade dela.
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
