da informacao em suas empresas. Eles desejam conhecer as chances da empresa experimentar uma danosa violacao na sua seguranca, e o que esta sendo feito para impedir isso.A fim de que o Conselho possa enfrentar de modo eficiente e eficaz tais riscos ciberneticos, nao basta simplesmente seguir o que dizem os legisladores ou os codigos de melhores praticas de governanca corporativa. Diante de um mundo cibernetico cada vez mais volatil, incerto, complexo e ambiguo[2], e preciso ir alem. Se o ciberespaco externo mudou, ao inves de apenas confrontar esta realidade, os tomadores de decisao nas empresas precisam aproveitar o momento para realizar internamente as reformas que irao contribuir para um posicionamento mais sustentavel no longo prazo. Isto envolve transformar a cultura e a forma com que a gestao do risco cibernetico e feita nas corporacoes, adaptando-as aos novos tempos.Diante deste cenario, os CIOs e CISOs sao cada vez mais chamados a responder a perguntas nas reunioes do Conselho. A clareza de suas respostas pode alavancar ou invalidar as agendas de seguranca da informacao. Para que o Conselho se sensibilize quanto a seu papel fundamental neste combate e possa vir a confiar cada vez mais no CIO e CISO da sua empresa, e vital que tais executivos saibam se comunicar com clareza, foco e discernimento quando chamados a falar, incentivando deste modo a necessaria inclusao das questoes de Ciberseguranca no topo da agenda corporativa.Por exemplo, quando se discute com o Conselho incidentes ciberneticos ou temores de potenciais incidentes, e preciso separar bem o conceito de vulnerabilidade da ideia de ameaca. Uma porta destravada constitui uma vulnerabilidade, mas nao uma ameaca se ninguem quiser entrar. Por outro lado, uma vulnerabilidade pode levar a muitas ameacas: aquela porta destravada pode levar a terroristas esgueirando-se para instalar uma bomba, concorrentes levando embora segredos comerciais, ladroes furtando bens valiosos, vandalos locais depredando a propriedade, ou ate mesmo gatos perambulando e distraindo a atencao da equipe ao brincar com os teclados. Os dois aspectos que melhor definem as ciberameacas sao o ator e a consequencia.O reconhecimento da existencia de um ator obriga o Conselho a pensar estrategicamente sobre ciberameacas. Pois o ciberatacante sempre pode escolher que vulnerabilidade explorar para atingir determinado objetivo. Isto implica que, em relacao a uma determinada ameaca cibernetica, a empresa devera nao apenas resolver uma serie de vulnerabilidades, mas tambem compreender que esta ameaca podera evoluir dinamicamente, em resposta a cada uma de suas acoes defensivas.Como ha varios tipos de atores maliciosos, e facil o Conselho se confundir ao ouvir do CIO ou CISO alguns cliches da midia, como o termo hackers. O objetivo de cada ator e uma boa forma de se comecar a separa-los adequadamente, para que o Conselho possa entender melhor as ameacas que cada um representa e potenciais consequencias de seus ataques. As vezes, o objetivo final do ator e realizar uma fraude financeira, outras vezes o ciberatacante deseja espionar a empresa em busca de segredos-chave do negocio, realizar ativismo hacker (hacktivismo) ou ate mesmo interromper processos de controle industrial, sabotando as instalacoes corporativas.Fornecer respostas claras, que reflitam as ameacas