Segurança da informação não é só componente de tecnologia, diz Vânia Neves

Neves disse que o tema deve aparecer com regularidade na agenda dos conselhos, dentro de saúde e segurança, com foco em plano estratégico de segurança da informação e em acessos privilegiados de funcionários e terceiros.

Você olha se existe um plano de segurança da informação, que é estratégico dentro de uma empresa, como você também tem a questão de acessos privilegiados. Você pode também, em nível de conselhos, ter uma visão de acessos privilegiados e identificar se a empresa está realmente convergindo esse plano com a redução de acesso privilegiado.
Vânia Neves

Para ela, um programa robusto não elimina 100% dos incidentes, mas reduz o risco ao limitar quem acessa dados e ao exigir que novos sistemas entrem em produção com todo o aparato de proteção e monitoramento regular.

Um plano de segurança da informação robusto minimiza. Isso não quer dizer que 100% dos casos, mas ele minimiza. A empresa tem que ter alocação de investimento, um plano de segurança, pessoas dedicadas à segurança, para que, quando um sistema novo entra em produção, todo o aparato de segurança da informação também seja complementar.
Vânia Neves

O debate também passou por riscos envolvendo fornecedores. Neves defendeu que contratos incluam requisitos de gestão de risco quando houver tecnologia envolvida, com certificações e verificação de programa de segurança do parceiro.

Dentro da contratação de fornecedores, independentemente de ser um fornecedor direto da área de tecnologia ou se é um fornecedor de uma outra área, quando você tem um componente de tecnologia envolvido, você também tem que ter um requerimento de gestão de risco para esse fornecedor.
Vânia Neves