mais iminentes a seguranca e privacidade da organizacao, as principais tendencias do mercado, que falem tambem das estrategias de mitigacao de risco atuais e previstas pode contribuir para ganhar a confianca dos membros do Conselho e aprimorar a agenda de seguranca. Por outro lado, respostas excessivamente detalhadas, que mergulhem em operacoes de seguranca do dia-a-dia, podem sobrecarregar ou ate frustrar o Conselho. Nao e incomum a CIOs e CISOs, que antes nunca puderam levar ao Conselho questoes de seguranca da informacao, cometer o erro de fornecer muita informacao.Um CIO ou CISO nao habituado a se dirigir a Conselhos tende a querer demonstrar conhecimento e profundidade na sua abordagem, exibindo dezenas de metricas que mostram diferentes dimensoes do risco cibernetico. Mas isto so distrai os membros com relacao aos poucos indicadores de risco critico mais importantes ao negocio. Ha tres mensagens essenciais que os CIOs e CISOs precisam transmitir ao Conselho:Criar uma lista sucinta dos quatro a seis principais riscos ciberneticos que a empresa enfrenta, com indicadores de risco sinalizando o nivel de exposicao a eles. Os riscos de seguranca da informacao a que uma empresa esta sujeita podem incluir furto de propriedade intelectual, violacao de dados que comprometa informacoes sigilosas de clientes, ou fraude financeira de terceiros. Os indicadores que os CIOs e CISOs elegem para ajudar a avaliar a exposicao ao risco de suas empresas podem incluir, por exemplo, o numero de tentativas mensais de acesso a rede corporativa a partir de paises conhecidos como patrocinadores de espionagem cibernetica e furto de propriedade intelectual; ou perdas de receitas trimestrais associadas a incidentes de vazamento de dados de clientes. E importante que tais indicadores dos principais riscos ciberneticos sejam notificados ao Conselho, pois eles ajudam a ilustrar os pontos fortes e fracos da postura geral de ciberseguranca de uma empresa. Identificar se principais indicadores de risco estao tendendo para cima, para baixo ou permanecendo estaveis trimestre a trimestre. Se os indicadores de risco estao se movendo, deve-se explicar ao Conselho o que pode estar causando tais mudancas. Por exemplo, se forem notados picos de ataques ciberneticos durante as semanas ou meses que antecederam lancamentos de produtos, tais correlacoes devem ser levadas ao Conselho. O Conselho deve ficar sempre atento as tendencias de ameacas ciberneticas relacionadas a performance dos negocios e a natureza ciclica do risco de seguranca da informacao. Explicar como a empresa esta gerindo riscos de seguranca e mantendo-os dentro de limites aceitaveis. Por exemplo, se a distribuicao nao autorizada de informacoes corporativas sigilosas representa elevado risco a empresa, pode ser preciso explicar ao Conselho, em alto nivel, as tecnologias e processos que se dispoe para monitorar informacoes enviadas dentro e fora da instituicao, detectar comunicacoes suspeitas, e restringir sua transmissao ate que a legitimidade possa ser verificada. Caso o acesso nao autorizado de terceiros a informacoes sensiveis represente uma ameaca, pode-se descrever os rigorosos processos de avaliacao de seguranca da empresa ao lidar com fornecedores terceirizados. Falar ao Conselho sobre Ciberseguranca torna-se complicado pelo fato de que, em uma tipica reuniao de dois dias dos membros, costuma-se dedicar apenas 15