Entenda a visão holística em segurança da informação

*ARTIGO ORIGINALMENTE PUBLICADO NO BLOG DA ALERTA SECURITY

O holismo é um conceito criado por Jan Christiaan Smuts em 1926, que o descreveu como a “tendência da natureza de usar a evolução criativa para formar um “todo” que é maior do que a soma das suas partes”. Esta noção remete para uma forma específica de contemplar o mundo e que pode ser aplicada em várias vertentes do conhecimento, como medicina, psicologia, física, administração, ecologia e agora na segurança da informação.

O que é a visão holística?

No âmbito empresarial, visão holística é a visão global de uma empresa, de todos os seus elementos, estratégias e atividades, que resulta em uma representação única da organização. A visão holística é oposta à lógica mecanicista, que compartimenta a empresa em vários blocos, causando a perda da visão global. A visão holística determina como os elementos interagem de forma sistêmica. Mas você consegue compreender a importância da visão holística no departamento de TI?

É importante que diretores, gestores e analistas, tenham uma visão holística, pois ela oferece diferentes visões para o mesmo elemento. A visão holística é uma ferramenta importante quando se precisa entender o funcionamento do toda uma empresa, um departamento, uma política, um processo e etc, só assim é possível tomar uma decisão com maior consciência de cada uma delas.

Quando a visão holística é colocada em prática, é possível tomar decisões de acordo com o cenário, o qual deve ser avaliado de maneira ampla, considerando os diferentes elementos que o influenciam. É essencial, portanto, compreender a atuação da segurança como um todo para chegar aos resultados esperados.

A visão holística em segurança cibernética

Em relação aos novos e preocupantes ataques cibernéticos, o mundo corporativo se vê hoje, como nunca antes, obrigado a adotar uma abordagem mais holística e integrada, a fim de reforçar a segurança de seus dados. A verdade, porém, é que poucas organizações no Brasil atingiram um nível adequado de sofisticação em suas políticas de defesa.

Muitas vezes encontram-se áreas de segurança sendo gerenciadas por um analista júnior ou estagiário – o que mostra que estas empresas não têm ciência das implicações que um ataque APT pode trazer. Em diversas organizações faltam investimento em treinamentos e capacitação para compreender a visão holística.

No Brasil, a maioria das empresas ainda pensam que o pior não vai acontecer com elas. Por isto, costumam reforçar a segurança somente depois de sofrerem incidentes sérios. As posturas empresariais variam de acordo com as situações locais e as leis nacionais que orientam os esforços de “compliance”. Países onde a legislação exige maior cuidado com os dados dos clientes e penaliza casos de vazamento forçam as companhias a adotarem soluções e políticas de proteção para estar em conformidade com o mercado.

O fato é que, nas organizações efetivamente mais maduras, a segurança cibernética tende a ser uma disciplina integrada às áreas de governança e de gestão de riscos, muitas vezes sob o guarda-chuva conhecido como GRC (Governance, Risk e Compliance).

O maior benefício é entender que a segurança digital é apenas parte da gestão de riscos como um todo. Por outro lado, o dos criminosos, nota-se que a distância entre o crime físico e o digital se reduz ou deixa cada vez mais de existir. Assim, as disciplinas de segurança têm que atuar também de forma integrada.