Matriz 4×4, meta de riscos atrelada ao PPR, crescimento da área e aumento de relevância
A edição de hoje da Cyber Security Blueprints é sobre como a área de Cyber Security da Drogaria Araújo ganhou investimentos e relevância nas altas instâncias da organização, com a utilização de uma matriz 4×4 de probabilidade versus impacto.
O que você vai aprender?
- Como transformar um investimento nulo em um orçamento significativo para segurança cibernética?
- Como foi desenvolvida e implementada a metodologia eficaz de avaliação de riscos?
- Como integrar SI aos processos e na cultura organizacional?
- Quais ações podem reduzir significativamente os riscos alinhando-os aos objetivos da empresa?
- Como conscientizar e comprometer toda a organização com SI?
Com quem você vai aprender?
Daniel Moreira é Chief Information Security Officer (CISO) da Drogaria Araújo, uma das maiores redes de farmácias do Brasil. Antes de assumir a posição, Daniel acumulou experiência de 15 anos na área de TI, começando sua carreira em infraestrutura e posteriormente se especializando em segurança cibernética. Ele passou por diversos setores, incluindo saúde, financeiro e consultoria, com uma passagem significativa pela Falconi, uma das maiores consultorias do país.
Conecte-se com Daniel
“A segurança cibernética não é mais uma área de exatas; é uma área de humanas, porque você lida com pessoas o tempo todo.”
Visão Geral
A Drogaria Araújo é uma das maiores redes de farmácias do Brasil, com 52% do market share em Minas Gerais e um faturamento anual de R$ 4,4 bilhões. A empresa oferece uma ampla gama de produtos, desde medicamentos até produtos de conveniência, através de suas 320 lojas. A Drogaria Araújo atende uma vasta base de clientes, incluindo consumidores finais e empresas, destacando-se pela sua robusta estrutura de distribuição e logística.
Desafio
A empresa enfrentava vários desafios críticos na área de segurança da informação. Esses problemas colocavam a organização em uma posição vulnerável e comprometiam a sua conformidade com regulamentações importantes. A seguir, estão os principais desafios que a Drogaria Araújo enfrentava:
- Investimento Zero em Segurança Cibernética: Ao assumir a posição, Daniel encontrou um cenário em que o investimento em segurança cibernética era inexistente, sem um orçamento próprio dedicado à área.
- Baixa Maturidade dos Processos de Segurança: A empresa apresentava um baixo nível de maturidade em seus processos de segurança da informação, expondo-se a vulnerabilidades significativas.
- Necessidade de Adequação à LGPD: Com a urgência de se adequar à Lei Geral de Proteção de Dados (LGPD), a Drogaria Araújo enfrentava riscos de privacidade e conformidade que precisavam ser urgentemente abordados.
- Desafio Cultural: Havia uma necessidade de transformar a percepção organizacional sobre a importância da segurança cibernética, envolvendo toda a diretoria e demais áreas da empresa.
Solução
Após conseguir uma “parceira de trincheira” na área de compliance da empresa, o executivo conquistou a entrada que precisava para os outros líderes. Mas ele sabia que não bastaria pedir investimentos para a área com números de nível de maturidade ou avaliações de risco complexas.
A abordagem de Daniel foi através de uma matriz 4×4 de probabilidade versus impacto de vulnerabilidades encontradas em cada área de negócios.
Outra medida-chave foi o atrelamento do gerenciamento de riscos ao PPR da companhia,
1. Construção de Alianças Estratégicas
Como aliados estratégicos internos foram identificados e desenvolvidos?
A implementação de mudanças na segurança cibernética exigia o apoio e a colaboração de diversas áreas dentro da organização. Identificar e engajar aliados estratégicos era essencial para promover as iniciativas de segurança e facilitar a aceitação das novas políticas e processos. Além disso, era importante educar e sensibilizar todos os níveis da organização sobre a importância da segurança cibernética, utilizando uma linguagem clara e acessível.
Aliados dentro da organização foram buscados para ajudar a promover a segurança cibernética. O apoio foi encontrado na área de Compliance, que tinha uma gerente preocupada com o tema, e o apoio direto da diretoria foi assegurado, o que foi crucial para a implementação das mudanças necessárias.
Houve também um foco em educar e sensibilizar todos os níveis da organização sobre a importância da segurança cibernética, utilizando uma linguagem clara e acessível para não técnicos.
Ações Implementadas:
- Identificação de Aliados: Foram buscados aliados dentro da organização que poderiam ajudar a promover a segurança cibernética. O apoio foi encontrado na área de Compliance, que tinha uma gerente preocupada com o tema.
- Engajamento da Alta Direção: O apoio direto da diretoria foi assegurado, o que foi crucial para a implementação das mudanças necessárias. O suporte da alta administração facilitou a aceitação das novas políticas e processos.
- Educação e Sensibilização: A educação e a sensibilização de todos os níveis da organização sobre a importância da segurança cibernética foram prioritárias, utilizando uma linguagem clara e acessível para não técnicos.
2. Liderança e Comunicação
Que abordagem foi utilizada para comunicar os stakeholders de maneira clara e compreensível?
3. Desenvolvimento da Metodologia de Avaliação de Riscos
Como os riscos foram avaliados e comunicados de forma visual e intuitiva?
4. Mapeamento de Processos e Ativos
Como os processos e ativos críticos da organização foram identificados, mapeados e classificados?
5. Comunicação Eficaz dos Riscos
Como os riscos técnicos foram comunicados em termos de impacto no negócio?
6. Implementação de Ações Mitigadoras
Como implementar ações mitigadoras de forma eficaz?
7. Transformação da Cultura Organizacional
Como tornar os objetivos de SI uma prioridade na organização?
Resultados
A implementação da metodologia de segurança cibernética liderada por Daniel Moreira na Drogaria Araújo gerou resultados significativos e transformadores para a empresa. As mudanças foram notáveis tanto no curto quanto no longo prazo, refletindo uma melhoria substancial na postura de segurança da organização.
Vitórias de Curto Prazo:
Melhorias de Longo Prazo:
Citações Destacadas:
- “Quando eu cheguei na Araújo, o investimento em segurança era zero. Literalmente, era zero reais. Não tinha um orçamento próprio na área de cyber. O orçamento era compartilhado por TI. Qualquer coisa que você precisasse, tinha que bater na porta e pedir.”
- “Hoje, por exemplo, a área de segurança está presente em todas as reuniões da diretoria e uma vez no board. Então, todas as reuniões a gente tem a nossa pauta, a gente leva essas reuniões. Então, isso se tornou vivo, entendeu? Isso se tornou um processo da companhia.”
Dados e Métricas Relevantes:
Reflexão e Insights
Confira as experiências e lições aprendidas por Daniel ao liderar esta transformação:
“Se eu tivesse que passar por tudo isso de novo, eu diria a mim mesmo para ser resiliente e estar preparado para enfrentar resistência. A transformação não acontece da noite para o dia, mas com a abordagem correta e um compromisso contínuo, é possível alcançar uma postura de segurança robusta e integrada ao sucesso do negócio.”
As palavras de Daniel Moreira são um lembrete poderoso de que a segurança cibernética é um esforço contínuo que requer dedicação, compreensão do negócio, e uma abordagem humana para lidar com os desafios e promover uma cultura de segurança sustentável.
1. Conheça o Negócio: “Você precisa, primeiramente, entender o nível de maturidade da sua empresa. Mas o board não vai querer ver isso. Você tem que levar isso com uma abordagem mais ampla, que mostre que você entende o negócio, não só a segurança cibernética.” Compreenda profundamente os processos e operações da empresa para traduzir riscos técnicos em impactos comerciais.
2. Construa Relacionamentos e Aliados:
3.
4.
5.
6.
Próximos Passos
A segurança cibernética deve ser um processo contínuo e vivo dentro da organização, com monitoramento constante e ajustes regulares. Os próximos passos incluem continuar a integração da segurança cibernética nos processos e metas organizacionais, aumentando a visibilidade e importância da área em todos os níveis da empresa.
Os maiores desafios previstos envolvem manter o engajamento da diretoria e de todas as áreas da empresa em relação à segurança cibernética e adaptar-se às mudanças rápidas no ambiente de ameaças. A empresa está se preparando para esses desafios futuros através de um processo contínuo de educação, comunicação e integração da segurança cibernética em todos os níveis da organização.
Recursos Recomendados
Daniel recomenda o trabalho de Alexandre Pellaes, que possui vídeos no YouTube, livros e podcasts focados em gestão de pessoas e liderança. Ele acredita que o trabalho de Pellaes enfatiza a importância de cuidar das pessoas e de adotar uma abordagem humanizada na gestão de segurança cibernética. Esta indicação pode ajudar outros profissionais a desenvolverem habilidades de gestão de pessoas, comunicação e liderança, essenciais para o sucesso na área de segurança cibernética.
