Por que o Conselho de Administração precisa entender Cibersegurança (e não apenas o CISO)
Durante anos, cibersegurança foi tratada como um assunto técnico — algo que ficava nos subterrâneos da TI, longe das salas de reunião. Esse tempo acabou.
O risco cibernético é risco de negócio
Em 2024, o custo médio de uma violação de dados chegou a US$ 4,88 milhões, segundo o relatório IBM Cost of a Data Breach. Mais do que isso: 72% das organizações afetadas relataram impacto significativo nos negócios — interrupção de operações, danos à reputação, perda de clientes.
O risco cibernético é risco de negócio. E risco de negócio é responsabilidade do conselho.
O problema da delegação total
Quando uma organização delega 100% da responsabilidade de cibersegurança ao CISO ou ao time de TI, ela comete um erro estratégico fundamental. Não porque esses profissionais sejam incompetentes — ao contrário. Mas porque as decisões mais críticas de segurança não são técnicas: são de negócio.
Perguntas como estas não pertencem ao firewall — pertencem ao conselho:
- Quanto risco cibernético nossa organização está disposta a aceitar?
- Devemos contratar cyber insurance? Qual cobertura?
- Como respondemos publicamente a um incidente?
- Priorizamos compliance ou segurança real quando os dois conflitam?
O modelo de maturidade que funciona
As organizações mais resilientes têm algo em comum: a liderança sênior fala o idioma da segurança. Não o técnico — o estratégico. Elas entendem que:
- Prevenção tem retorno difícil de medir — mas o custo de não prevenir é catastrófico.
- Compliance ≠ Segurança — LGPD, ISO 27001 e SOC 2 são pisos, não tetos.
- Cultura é o controle mais eficaz — phishing passa pelo firewall mais sofisticado se o usuário clicar.
- Velocidade de resposta salva empresas — não a ausência de incidentes.
O papel do CISO moderno
O CISO de hoje não é um chefe de TI glorificado. É um tradutor — alguém que converte vulnerabilidades técnicas em risco financeiro, reputacional e regulatório compreensível para a liderança.
Se você é um executivo ou membro de conselho, pergunte ao seu CISO:
- “Se amanhã tivermos um ransomware, qual o impacto em receita nas primeiras 72h?”
- “Nossa cyber insurance cobre esse cenário?”
- “Quanto tempo para recuperar operações críticas?”
Se ele não consegue responder em menos de 5 minutos, sem slides técnicos, há um gap de comunicação estratégica que precisa ser endereçado.
Conclusão: segurança começa no topo
Cibersegurança não é um problema que se resolve comprando tecnologia. É uma disciplina de governança que exige atenção, investimento e patrocínio executivo contínuo.
Os conselhos que entenderem isso primeiro terão uma vantagem competitiva real — não apenas na prevenção de ataques, mas na capacidade de sobreviver e prosperar após eles.
A pergunta não é se sua organização será atacada. A pergunta é se ela está preparada para responder.
Douglas Rossetto é especialista em cibersegurança estratégica com atuação em ambientes corporativos de alta complexidade. Escreve sobre segurança, risco e governança para líderes de negócio.