avaliacao de impactos a marca etc. Exige esforcosdo Juridico, Comunicacao, TI, Financeiro, RH, Seguranca Corporativa, Auditoria,Gestao de Riscos, Cyber Security e Lideranca (C-Level e Board). O programa CybersecurityNexus (CSX)da ISACA ja aponta nesta direcao.Uma pesquisade ambito mundial da Deloitte,chamada Por dentro de um ataque cibernetico Um olhar mais profundo para osimpactos nos negocios traz uma analise sobre como os lideres empresariaisavaliam os impactos dos ciberataques em suas organizacoes. Se ha medicao paratodos os riscos (financeiros, patrimoniais, juridicos etc.), e preciso mensurartambem os ciberneticos, que tem forte impacto para o negocio (incluindo marca,reputacao) e podem ocasionar grandes perdas.E comum asempresas improvisarem uma analise muito superficial sobre este impacto. A visaocostuma ser curta, quando e preciso analisar o amplo e extenso prejuizo,considerando os custos diretos e os intangiveis (desvalorizacao da marca, perdade propriedade intelectual, impacto nos negocios) em um intervalo de tempomaior do que se costuma empregar.O estudo mostraque apenas 5% dos impactos financeiros de um ataque cibernetico sao analisadospara tomada de decisao. Os outros 95% ficam submersos, como mostra a ilustracaoabaixo. Assim, a situacao costuma ser subavaliada. As empresas costumam olhar aquestao por algumas semanas realizando triagem dos incidentes e por mais algunsmeses para a gestao do impacto e acham que esta tudo solucionado, quando naverdade e preciso projetar para o longo prazo para a completa recuperacao donegocio, pois os efeitos de tais ataques podem ser sentidos por ate cinco anos. COMO LIDAR COM OSATAQUES CIBERNETICOS?De maneiradistinta do que ocorria no passado, os ataques ciberneticos nao acontecem maispor desafio ou diversao: ha empresas especializadas nesta pratica, visandorealmente afetar os negocios das companhias, sendo tais ataques cada vez maismonetizados, silenciosos, persistentes e avancados. Uma decisao errada emminutos, na area de Risco Cibernetico, e capaz de afetar o futuro dos negociosda empresa na proxima decada.No ano passado,em media, demorou 117 dias para que as empresas descobrissem ter sido alvo deum ataque cibernetico. Diante deste cenario, muitas companhias podem ja tersofrido ataque e ainda nao sabem disso. A conducao doincidente, depois de descoberto, deveria ser a seguinte:DIAS/SEMANAS: interrupcao da operacao; aplicacao de controle de seguranca, para reduzir vulnerabilidade; comunicacao de parceiros e clientes; movimento para continuidade dos negocios.SEMANAS/MESES: definicao de estrutura interina daoperacao; busca de respaldo juridico; observacao das questoes regulatorias; manutencao da relacao com clientes e parceiros (busca de continuidade).MESES/ANOS: esforco voltado a reparar dados aosnegocios; redesenho do processo; investimento em seguranca, vigilancia e, em especial, resiliencia ciberneticapara emergir mais forte, ao sair da crise.COMO EVITARINCIDENTES CIBERNETICOS?O caminho esta emintegrar as multiplas competencias com os executivos da empresa e osprofissionais de seguranca, tendo a consciencia de que uma crise pode realmenteacabar com o negocio. Mais do que gestor de ativos de TI e tecnologista, o CISOhoje precisa ter uma postura mais estrategista e conselheira, orientando asareas de negocio em atividades com implicacoes em riscos ciberneticos.E necessario,portanto, estabelecer a combinacao de conhecimento do risco cibernetico com aavaliacao do impacto do ataque para cada uma das areas do negocio, considerandoos custos financeiros e os intangiveis.Desta forma, hanecessidade de se adotar na empresa uma postura proativa, por meio de um modelode inteligencia e gestao de risco cibernetico que