Desenvolvimento de Estratégia de Cibersegurança: Rumo a uma Abordagem Integrada Baseada nos Padrões COBIT e ISO 27000

Este artigo apresenta um guia prático para desenvolver uma estratégia de cibersegurança que integra o COBIT 2019 com a série de normas ISO/IEC 27000. Embora o COBIT 2019 forneça estruturas robustas para estratégia e governança de TI, ele não prescreve especificamente uma estratégia de cibersegurança. Este artigo aborda essa lacuna na literatura sobre estratégia ao se basear na série ISO/IEC 27000, que foi projetada para ser adaptável a organizações de todos os tipos e tamanhos, além de ser adequada para diversos ambientes regulatórios e tecnológicos. Primeiro, uma síntese do COBIT 2019 e das normas ISO/IEC (particularmente 27014, 27001, 27036 e 27701) identifica seis temas principais para uma estratégia de cibersegurança. Uma análise qualitativa de conteúdo mais específica da ISO/IEC 27014 (que foca na governança de segurança da informação a nível de diretoria) e do COBIT 2019 (que descreve as mecânicas de execução) confirma a validade desses temas com rastreabilidade nos níveis de cláusula e objetivo. Para operacionalizar esses temas, é proposto um método em três etapas: definir objetivos de alinhamento e escopo; traduzir esses em decisões de estratégia de TI usando objetivos e práticas de governança e gestão do COBIT; e estabelecer uma estratégia de cibersegurança através da ISO/IEC 27001. Além disso, a ISO/IEC 27701 para privacidade e a ISO/IEC 27036 para governança de fornecedores são incorporadas quando relevante. Um exemplo ilustrativo é fornecido usando dados anonimizados de fontes públicas, e a aplicabilidade e limitações das descobertas da pesquisa são discutidas.