A renúncia de Park Dae-jun, CEO da operação sul-coreana da Coupang, após um vazamento de dados de 34 milhões de clientes, não foi um evento isolado. Foi um sinal dos tempos. Investigadores do governo concluíram que a falha não foi técnica, mas de gestão, expondo uma vulnerabilidade que a empresa se esqueceu de corrigir. O executivo assumiu a “grave responsabilidade” e deixou o cargo.

O caso joga luz sobre uma transformação silenciosa na governança corporativa. A prática de culpar o Chief Information Security Officer (CISO) por incidentes de segurança está se tornando insustentável. A verdadeira responsabilidade está subindo na hierarquia, em direção a quem de fato toma as decisões sobre recursos e apetite de risco: o CEO.

O CISO propõe, o CEO dispõe

Por anos, o CISO foi o bode expiatório conveniente. Se a defesa falhou, a culpa era de quem a comandava. Essa lógica, contudo, ignora a realidade do poder corporativo. CISOs não definem o próprio orçamento. Não decidem o nível de risco que a empresa está disposta a tolerar em nome do crescimento. Eles podem, no máximo, apresentar os cenários e as opções de mitigação ao conselho e à diretoria.

A decisão final de investir menos do que o recomendado em segurança, ou de flexibilizar uma política para não atravancar outra área de negócio, não é do CISO. É uma escolha de liderança, um cálculo de risco feito no mais alto nível. Portanto, quando um risco conhecido e não mitigado se materializa, a responsabilidade deve acompanhar o poder de decisão que o permitiu.

A conta chegou

O que mudou para que essa prestação de contas acontecesse agora? A escala do prejuízo e a pressão externa. Conselhos de administração, que antes tratavam cibersegurança como um problema de TI, agora veem o impacto direto no balanço e no preço da ação. Manchetes negativas e a perda de confiança de clientes não são mais problemas técnicos, são crises de negócio.

Ao mesmo tempo, órgãos reguladores estão cada vez mais incisivos. Falhas de segurança de grande repercussão deixam de ser vistas como má sorte e passam a ser investigadas como potencial negligência corporativa. Essa combinação de fatores força o tema para a agenda do CEO, que é o responsável final por todos os riscos e resultados da companhia, incluindo os digitais.

O que se desenha não é a busca por um novo culpado, mas um alinhamento entre poder e responsabilidade. Modelos como o "Zero Trust" deixam de ser jargões técnicos para se tornarem decisões estratégicas, assumindo que violações ocorrerão e que o foco deve estar na contenção. É uma mudança que reflete, acima de tudo, a maturidade da gestão de risco na era digital.

Com reportagem de Brazil Valley

Source · TIInside