- Alameda F.C. Infesta 47, São Mamede de Infesta, Porto
- (+351) 225 400 069
Com a NIS2, a cibersegurança passa a ter um peso acrescido nas decisões da gestão. E as responsabilidades de quem dirige uma organização tornam-se mais exigentes.
Durante muito tempo, a cibersegurança foi vista como um assunto essencialmente técnico, entregue às equipas de IT. Questões como a proteção dos sistemas, a gestão de vulnerabilidades ou a resposta a incidentes eram frequentemente tratadas sem grande envolvimento da administração.
No nosso artigo anterior, “NIS2: Sabe por onde começar?”, abordámos os primeiros passos para transformar os requisitos da regulamentação num plano de ação concreto. Mas há uma questão que merece especial atenção: quem é responsável por garantir que essas medidas são efetivamente implementadas?
Com a entrada em vigor do novo Regime Jurídico da Cibersegurança, esta responsabilidade ganha uma nova dimensão. As medidas de segurança passam a ter de ser aprovadas e supervisionadas pelos órgãos de gestão, e os riscos associados devem ser acompanhados ao mais alto nível.
Mas o que muda realmente para quem toma decisões? E até onde pode ir a responsabilidade de um administrador perante uma falha de cibersegurança?
A NIS2 estabelece responsabilidades específicas para os órgãos de gestão, direção e administração das organizações abrangidas pelas disposições aplicáveis.
De acordo com o Regime Jurídico da Cibersegurança português, são atribuídas à gestão responsabilidades que incluem:
Aprovação das medidas de cibersegurança: as medidas de gestão dos riscos devem ser conhecidas e aprovadas pelos órgãos responsáveis.
Supervisão da implementação: deve ser assegurado o acompanhamento das medidas adotadas e da forma como são executadas.
Cumprimento das obrigações legais: devem ser garantidas as condições necessárias ao cumprimento das medidas de supervisão e execução aplicáveis.
Formação em cibersegurança: deve ser promovida a aquisição de conhecimentos que permitam compreender e avaliar os riscos existentes.
Na prática, espera-se que a gestão tenha uma visão clara dos principais riscos de cibersegurança e consiga acompanhar as decisões tomadas para os reduzir.
Esta é, provavelmente, uma das questões que mais preocupações levanta junto de administradores e diretores.
Com a NIS2, a responsabilidade pelo incumprimento deixa de estar associada exclusivamente à organização. Em determinadas circunstâncias, os titulares dos órgãos de gestão, direção e administração também podem ser responsabilizados pessoalmente.
Em Portugal, essa responsabilidade pode ser apurada quando estejam reunidos os pressupostos previstos na lei, nomeadamente em situações de dolo ou culpa grave.
Mas as consequências de uma gestão inadequada dos riscos podem ir além das sanções legais.
Uma falha de segurança pode provocar a interrupção de serviços, perdas financeiras, exposição de informação sensível ou danos na reputação da organização.
Imagine-se, por exemplo, uma empresa onde foram identificadas vulnerabilidades críticas, mas cuja correção foi sendo sucessivamente adiada. Se ocorrer um incidente, poderão ser analisados os riscos que eram conhecidos, as decisões que foram tomadas e as medidas que deveriam ter sido implementadas.
Por isso, torna-se cada vez mais importante que as decisões relacionadas com a cibersegurança sejam fundamentadas, documentadas e acompanhadas.
Não se espera que um administrador domine todos os aspetos técnicos da cibersegurança. No entanto, é importante que tenha acesso à informação necessária para compreender os riscos e tomar decisões conscientes.
E há algumas perguntas que devem começar a fazer parte das reuniões de gestão:
Sabemos quais são os principais riscos de cibersegurança da nossa organização?
Estão identificados os sistemas e serviços cuja interrupção teria maior impacto?
Foram definidos responsáveis, recursos e prazos para implementar as medidas necessárias?
Conseguimos demonstrar que as medidas aprovadas estão a ser executadas e avaliadas?
As respostas ajudam a perceber até que ponto a cibersegurança está integrada na gestão da organização e onde continuam a existir lacunas.
A NIS2 vem reforçar a necessidade de envolver os órgãos de gestão na definição de prioridades, na disponibilização de recursos e no acompanhamento das medidas de cibersegurança.
Na ORBCOM, apoiamos as organizações na avaliação dos riscos, identificação de vulnerabilidades e implementação de medidas de proteção, monitorização e resposta a incidentes, para que as decisões relacionadas com a segurança sejam tomadas com maior conhecimento e confiança.
A sua organização consegue demonstrar como estão a ser geridos os riscos de cibersegurança?
Na ORBCOM, apoiamos as organizações na avaliação dos riscos, identificação de vulnerabilidades e implementação de medidas de proteção, monitorização e resposta a incidentes, para que as decisões relacionadas com a segurança sejam tomadas com maior conhecimento e confiança.
A sua organização consegue demonstrar como estão a ser geridos os riscos de cibersegurança?
Se ainda tem dúvidas sobre o impacto da NIS2 na sua organização, descubra o que muda com a nova regulamentação e como se pode preparar.
E porque a preparação começa por compreender o que está em causa, reunimos no nosso primeiro eBook as principais alterações introduzidas pela NIS2, as organizações abrangidas e as responsabilidades que devem ser conhecidas.
Uma empresa está mais preparada para implementar inteligência artificial quando os seus sistemas comunicam entre si, os dados estão organizados e protegidos, a infraestrutura consegue suportar novas exigências e existe uma responsabilidade clara pela integração da IA. Antes de escolher uma ferramenta, é importante avaliar estes quatro elementos.
Antes de investir em IA, uma empresa deve avaliar quatro áreas principais: integração dos sistemas, localização e segurança dos dados, capacidade da infraestrutura e responsabilidade pela integração. A tecnologia de IA pode ser poderosa, mas o seu valor depende da capacidade da empresa para lhe disponibilizar dados, sistemas e infraestrutura adequados.
A infraestrutura deve conseguir suportar maior processamento de dados, tráfego e exigência sobre a cloud e a rede. Antes de implementar IA, a empresa deve avaliar se a infraestrutura atual consegue acompanhar estas necessidades. Caso contrário, a implementação pode tornar-se lenta, instável ou mais dispendiosa do que o previsto.
O primeiro passo é garantir que os sistemas comunicam entre si e que os dados necessários estão acessíveis de forma estruturada e segura. CRM, ERP, sistemas operacionais e outras fontes de informação não devem funcionar como silos. Também é essencial definir quem pode aceder aos dados e como esses acessos são controlados.
Os principais riscos incluem sistemas que não comunicam entre si, acesso inadequado a dados, infraestrutura insuficiente e falta de responsabilidade clara pela integração. A IA pode também aumentar a superfície de acesso à informação da empresa. Por isso, segurança, gestão de acessos e integração devem ser consideradas antes da implementação, e não apenas depois.
Subscreva a nossa newsletter e fique a par de todas as novidades!
Se quiser conhecer melhor a ORBCOM e perceber como os nossos produtos, serviços de consultoria e outsourcing se enquadram na sua realidade, fale com um especialista.
