Qual o investimento da sua empresa em Cultura?

Bruno Horta Soares, CISA®, CGEIT®, CRISC™, PMP®, COBIT 5 | bruno.soares@govaas.com

O modelo Business Modelo for Information Security (BMIS) [1] da ISACA apresenta uma visão sistémica da segurança da informação, onde um conjunto de Componentes (Organização, Processos, Pessoas e Tecnologias) e Ligações dinâmicas (Cultura, Governança, Arquitetura, Fatores Humanos, Fatores Emergentes e Suporte & Capacitação) constituem os elementos fundamentais para o desenho e implementação de um sistema de segurança da informação eficiente .

Uma das Ligações dinâmicas é a Cultura, sendo definida como " o padrão de comportamentos, crenças, suposições, atitudes e maneiras de fazer as coisas " e é representada no modelo como a tensão existente entre a Organização e as Pessoas . Noutra publicação Creating a Culture of Information Security [2] da ISACA as ligações entre a Cultura e a segurança da informação são apresentadas de forma mais detalhada, descrevendo a Cultura da Segurança da Informação como:

De certa forma o que a definição parece deixar claro é que nunca existe uma ausência de Cultura, apenas existe uma boa ou uma má Cultura . Sendo assim, importa identificar os comportamentos que devem ser promovidos nas empresas, tanto ao nível organizacional como individual, para que seja possível garantir uma boa Cultura da Segurança da Informação. Aqui fica uma lista de comportamentos que deverão ser tidos em conta se se pretende implementar uma Cultura de Segurança da Informação, tanto ao nível organizacional como individual [3]:

A segurança da informação é parte do dia-a-dia da empresa. Ao nível organizacional, este comportamento indica que a segurança da informação deve ser aceite como um imperativo de negócio na definição dos objetivos organizacionais . No nível individual, significa que o indivíduo se preocupa com o bem-estar da empresa e que aplica uma abordagem prudente de segurança da informação nas suas operações diárias.

A importância das políticas e princípios de segurança da informação é reconhecida pelas pessoas na empresa. No nível organizacional, as políticas e princípios são apoiados pela gestão de topo, e a revisão, aprovação e comunicação das políticas ocorre numa base regular. No nível individual, as pessoas leram e compreenderam as políticas, e sentem que têm as condições necessárias para atuar em conformidade .

As pessoas são encorajadas a desafiar a situação atual de segurança da informação a dois níveis. A cultura organizacional garante um processo de comunicação bidirecional para orientação e feedback e permite aos interessados realizar comentários sobre as mudanças. A cultura individual é demonstrada através da participação e envolvimento das pessoas quando solicitado.

A responsabilização é representada a dois níveis na empresa. No nível organizacional, a responsabilização é promovida através da definição e operacionalização de funções e estruturas organizacionais . No nível individual, é exigido a cada indivíduo que compreenda as suas responsabilidades em matéria de segurança da informação.

Ao nível organizacional deverão ser definidos processos apropriados para identificar e reagir a ameaças, nomeadamente através da definição de processos de reporte e de resposta a incidentes que minimizem as perdas. No nível individual, as pessoas devem ser treinadas para saberem o que é um incidente de segurança da informação e como deverão reportar e reagir caso ocorra um incidente.

As inovações e os desafios de segurança da informação são abordados ao nível organizacional através de uma equipe de pesquisa e desenvolvimento de segurança da informação . A cultura do indivíduo é verificada quando todos apresentam novas ideias no contexto da segurança da informação.

A colaboração entre funções é alavancada pela aceitação organizacional de uma visão holística da segurança, promovendo uma estratégia de integração entre todas as funções da empresa. O indivíduo contribui através do envolvimento com outras áreas funcionais e pela identificação de potenciais sinergias.

O valor da segurança da informação é reconhecido ao nível organizacional quando a segurança da informação é vista como um meio para melhorar o valor do negócio (receita, despesa, reputação e vantagem competitiva), existe uma transparência na resposta a incidentes e um entendimento das expectativas dos clientes . No nível individual, o comportamento é evidenciado pela apresentação de ideias criativas para melhorar o valor, nas várias camadas de segurança da informação.