A maturidade da governança corporativa no cenário tecnológico contemporâneo exige a evolução definitiva da percepção sobre a cibersegurança. O risco cibernético transcendeu o escopo operacional das equipes de Tecnologia da Informação para consolidar-se como uma das maiores ameaças à continuidade dos negócios, ao valor de mercado e à reputação das organizações. Sob a ótica da governança fiduciária, conselhos de administração e diretores executivos possuem a obrigação legal e moral de zelar pela custódia e proteção dos ativos informacionais sensíveis da companhia e de seus acionistas.
A complexidade regulatória introduzida por marcos como a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018), associada às normativas da Comissão de Valores Mobiliários (CVM) e aos padrões do NIST Cybersecurity Framework, impõe às lideranças C-Level o dever de diligência. A ocorrência de incidentes de exfiltração de dados ou paralisações operacionais decorrentes de negligência no gerenciamento de vulnerabilidades pode caracterizar descumprimento de deveres estatutários por parte dos administradores. A negligência no hardening da infraestrutura e na governança de acessos converte-se, portanto, em passivo jurídico direto para os membros do conselho.
A estruturação de um modelo efetivo de Governança, Riscos e Compliance (GRC) para a cibersegurança exige a incorporação de métricas quantitativas de Risco Cibernético (Cyber Risk Quantification) às reuniões de diretoria. Torna-se imperativo implementar comitês dedicados à segurança da informação, instituir políticas rigorosas de Gestão de Riscos de Terceiros (Third-Party Risk Management – TPRM) e realizar testes de estresse operacional e simulações de crise com o C-Level. Somente por meio da institucionalização do risco cibernético no topo da pirâmide organizacional será possível assegurar a resiliência corporativa, a conformidade regulatória e a perpetuidade do valor das marcas no mercado global.