O paradoxo do CISO

Como nenhuma equipe de segurança consegue monitorar tudo, capacitar os funcionários para que reconheçam e previnam ameaças ajuda a criar uma defesa mais forte e mais distribuída. 

Ao recorrer à influência, à comunicação e à colaboração interfuncional para integrar práticas de segurança aos fluxos de trabalho diários e à tomada de decisões. 

Ataques sofisticados, como o phishing por falsificação de identidade do CEO, se aproveitam da confiança interna e exigem conscientização em toda a organização. 

A segurança moderna combina liderança, cultura, educação e processos integrados — não se resume apenas a controles de acesso ou medidas defensivas reativas. 

Quando a segurança está integrada em todas as equipes,Isso ajuda a identificar os riscos mais cedo e a tornar as respostas mais rápidas e eficazes. 

Assista ao vídeoaquipara ver a transcrição com marcação de tempo

Sejam bem-vindos. 

Estamos ao vivo do SHIFT e estou aqui com o diretor de segurança da Commvault, Bill
O’Connell e o vice-diretor de segurança da Commvault, Will Galway. 

E este é o “CISO Paradox”, um podcast para discutir a liderança em segurança na era da responsabilidade pessoal
. 

Estamos vivendo tempos desafiadores para os CISOs. 

Por quê? 

Bem, hum… os CISOs muitas vezes são responsabilizados pessoal e legalmente

pelos resultados de segurança nas empresas, mas não são necessariamente os responsáveis diretos pelo
orçamento, pelas pessoas ou pelas tecnologias que impulsionam esses resultados de segurança. 

Isso torna o trabalho bastante desafiador. 

Por isso, vamos falar sobre isso hoje: o que significa ser um CISO moderno e como essa
Essa função está evoluindo nas maiores empresas do mundo. 

Vou dar a palavra ao Bill primeiro. 

Bill, o que você faz? 

Ah, eu… adoro o título da nossa sessão, que aborda esse paradoxo, certo? 

Há um verdadeiro dilema aqui: por um lado, você quer que o líder de segurança e a
que a equipe de segurança assuma a responsabilidade, a responsabilidade final. 

Mas também falamos sobre coisas como um modelo de responsabilidade compartilhada, certo? 

Então, como você consegue equilibrar essas duas coisas? 

Como se constrói uma organização que, hum, possa garantir que a segurança da empresa esteja
não é necessário ter nível 

mas que também reconheça que não é possível estar em todos os lugares? 

Então, você também precisa se preocupar com todas as pessoas da organização, toda a tecnologia,
todos os sistemas e processos. 

Então, gosto de pensar nisso como um paradoxo: admitir que ambas as coisas sejam verdadeiras e me concentrar
, sim, em saber se temos o conhecimento adequado em segurança, mas também em como mudamos a cultura da 

organização? 

Então, é 

, sabe, uma “cultura como código”, em que todos sabem o que podem fazer. 

E se você conseguir fazer com que toda a organização pense um pouco mais sobre segurança, hum…
, Isso provavelmente terá mais impacto do que contratar mais uma pessoa para a equipe de segurança. 

Então, acho que são essas duas coisas, mas isso realmente mudou com o tempo. 

Sabe, seu vice, o Will, está aqui tentando transformar todo mundo na empresa em guardiões
de segurança. 

Como você consegue fazer isso, Will, já que os ataques estão ficando cada vez mais complicados? 

Quero dizer, todos nós recebemos ligações do Sanjay Marchandani, nosso CEO, só na última
semana, pedindo cartões-presente e transferências de dinheiro antes do SHIFT. Então, o que você acha? 

garantir que todos nós sejamos espertos o suficiente? 

Como você muda a cultura para um modelo de responsabilidade compartilhada? 

Ah, e acho que é importante usar a influência em vez da autoridade. 

Como você disse na introdução,

, não temos controle sobre todos os sistemas, nem sobre todas as pessoas ou seus WhatsApps pessoais. 

Então, essas são apenas questões nas quais precisamos usar nossa influência para
trabalhar com os líderes empresariais e com outros chefes de departamento, É só passar essa mensagem para a nossa equipe. 

Acho que todos têm uma responsabilidade em relação à segurança, mas o objetivo é fazer com que a empresa avance
mais rapidamente. 

E acho que há coisas que podemos fazer — e estamos fazendo — para ajudar a tornar isso possível. 

Acho que é realmente importante colocar em
praticar essa cultura de segurança que o Bill mencionou. 

E acho que, hum…

Estamos fazendo um bom trabalho nessa área no momento. 

É, eu concordo. 

A propósito, os links e as mensagens de texto eram falsos. 

Eram tentativas de phishing. 

Não eram reais. 

Hum… Só para garantir que todos que estão ouvindo fiquem sabendo. 

Hum… Então, Bill, o que você acha sobre como estruturar uma organização de segurança moderna dentro de
de uma empresa nos dias de hoje? 

Porque não se trata apenas de bloquear e resolver, sabe, hum, questões de identidade e acesso. 

O que você acha disso? 

Sim, acho que, em parte, hum,

É preciso um certo nível de especialização. 

Mas, ao analisar diferentes modelos de organizações de segurança no passado, percebi algumas
que tentavam adotar a abordagem em que a segurança é o herói, o bombeiro que cuida de 

de tudo. 

E quando você cria essa barreira e essa separação, acaba tirando a responsabilidade de
a todos na organização. 

Eles podem dizer: “Bem, vou apenas fazer o que tenho que fazer, e a segurança vai cuidar das questões de segurança”
“”. 

E não acho que esse modelo funcione. 

Acho que

Precisamos pensar nisso mais como, sabe, quando você está construindo uma casa: não existe um
Um encanador e um eletricista e, depois, um eletricista de segurança ou um encanador de segurança, certo? 

O encanador e o eletricista precisam saber como realizar seu trabalho com segurança desde o
início. 

Então, acho que, quando pensamos na organização moderna, a questão é: onde estão as pessoas
Quais são, exatamente, as funções e os papéis que deveriam fazer parte da equipe de segurança? 

E então, como podemos ajudar outras equipes a ficarem mais seguras? 

E, então, como posso ajudar uma organização de serviços

identificar em quais momentos do dia a segurança é importante e como posso ensiná-la
ser mais cética? 

Hum… Quando penso em uma organização de engenharia de produto, não posso ter desenvolvedores que
Não pensem em segurança e, depois, uma equipe de segurança venha consertar isso, certo? 

Tipo, há anos que as empresas vêm adotando a abordagem “shift left” para que os que os desenvolvedores pensem
com segurança, criem com segurança e, sim, há a equipe de segurança que 

também fará algumas verificações, 

mas não estamos lá para detectar tudo. 

A equipe ou evita o problema desde o início ou, se eles, hum, criaram uma vulnerabilidade,
eles corrigem isso muito antes de chegar à produção. 

Então, esses são os tipos de questões nas quais a organização de segurança moderna é verdadeira especialista, capaz de
de ajudar todas as outras equipes a realizarem suas atividades de maneira mais segura. 

E eu acho — voltando rapidamente ao que o Bill disse — que há uma tendência de nos deslocarmos para onde
O negócio está de pé. 

Acho que isso é realmente importante. 

E acho que 

, sabe, não ter aquele silo de segurança padrão que vimos no passado; é preciso
ver até onde o negócio está e se conectar nesse nível. 

Quanto ao que o Bill mencionou sobre, você sabe, desenvolvedores e pessoas que estão mais próximas do produto. 

Quero dizer, há treinamento e há maneiras de melhorarmos a segurança de maneira geral. 

Além do produto, também podemos fazer isso internamente. 

Acho que precisamos refletir sobre essas questões e entender a situação atual da empresa, a fim de
aperfeiçoar o que fazemos. 

Essa é uma ótima observação. 

Quero ser bem específico aqui. 

Então, para organizações que estão aprimorando sua função de segurança cibernética por necessidade, mas
talvez tenham adiado o investimento o máximo possível, sua organização e as tarefas 

que você tem a tarefa de realizar são, de certa forma, explosivas. 

Você é responsável por garantir que os produtos desenvolvidos estejam seguros quando chegarem
nas mãos dos clientes. 

Você é responsável por 

Vocês são praticamente a última etapa no contato com o cliente antes da compra. 

Eles querem conversar com um de vocês dois e ter certeza de que entendem que os produtos são
desenvolvidos tendo em mente a segurança e o que acontecerá caso ocorra o impensável. 

hum… Vocês têm a tarefa de garantir que todos na empresa estejam, hum, protegendo nosso acesso ao
que é importante internamente, na formação, porque não dá para ter uma equipe

seja tão grande, certo? 

Portanto, é preciso capacitar os desenvolvedores sobre como programar com segurança e também a equipe de vendas
sobre como vender com segurança. 

O que você acha disso? 

Quero dizer, é uma responsabilidade e tanto. 

Eu perguntaria da seguinte maneira. 

Quais você acha que são as cinco principais funções que você desempenha em uma organização moderna como CISO?
? 

É difícil responder porque, como você mencionou, todas essas áreas são muito importantes. 

Acho que…

Uma das coisas que, quando eu, sabe, entro em qualquer nova organização, preciso
entender o que a empresa está fazendo e qual é, sabe, o que a empresa está tentando 

como alcançar? 

E acho que uma coisa que mudou bastante com o tempo é que, hum, uma equipe de segurança começou
ou seja, sabe, do tipo “dizer não para tudo”. 

E então percebemos: bem, não podemos fazer isso, tudo está conectado, tudo é digital. 

Então, como posso garantir que 

estejamos adotando uma abordagem segura desde o início, orientando a empresa e atendendo às suas necessidades
, certo? 

Para que a gente possa, hum, fazer isso. 

Hum, acho que você também está perguntando quais são as principais funções da equipe. 

Hum, não sei se conseguiria classificá-los, acho, porque todos fazem coisas tão diferentes. 

Mas, no fim das contas, para mim, começo pensando no que a empresa está tentando alcançar e
Quais são os riscos, né? 

Tudo precisa ser orientado pelo risco. 

E então, 

se eu tiver uma equipe dedicada à segurança de aplicativos ou uma equipe dedicada à infraestrutura ou à
nuvem, hum, a gente quase precisa de uma… hum, É tão importante que a gente use o Risk como uma espécie de 

de uma única… taxonomia para discutirmos tudo o que pode dar errado
, para que eu possa comparar um problema de projeto arquitetônico de que não gosto com uma possível 

vulnerabilidade em um aplicativo e assim por diante, em toda a equipe de segurança. 

Afinal, quando dizemos que algo é crítico, o que isso significa? 

E não é preciso transformar os líderes da empresa em especialistas em segurança cibernética o tempo todo. 

Não estou falando com eles sobre pontuações CVSS nem, sabe, traduzi isso para que, quando digo
que Se algo for crítico, isso significa que precisamos parar o que estamos fazendo. 

Quando digo que algo é de alto risco, vocês devem ficar preocupados. 

E, da mesma forma, quando digo que algo apresenta baixo risco, saiba apenas que estamos de olho nisso 

, mas não vou me alongar muito sobre isso. 

Vou dedicar a maior parte do meu tempo às questões críticas e de alto risco. 

E, portanto, acho que todas as funções na organização, especialmente na equipe de segurança,
precisam entender o que é essa taxonomia para que possamos nos comunicar com a empresa de forma que eles 

que entendam e que não tenhamos que entrar em discussões sobre injeção de SQL e como evitá-la. 

Também acho importante ter em mente que, quando se fala de risco desse
forma, 

Na maioria das vezes, o risco é avaliado com base na probabilidade ou nos parâmetros definidos por alguma
autoridade, algum órgão regulador, mas precisamos levar em conta o impacto nos negócios. 

Acho que essa é uma forma realmente importante de avaliá-lo, e o que determina essa classificação de criticidade
É como isso poderia nos afetar — e é nessa ordem que vamos lidar com as coisas. 

E acho que é uma abordagem saudável. 

É uma abordagem de raciocínio direto, porque acredito que a ordem em
O fato de você fazer isso realmente faz diferença. 

Então, vamos falar sobre o risco concretizado por… bem, por apenas alguns minutos. 

Nós três já passamos juntos por uma resposta a uma violação de segurança, o que é a melhor maneira de
aprender. 

Hum… Quais são as características? 

Quais são os traços de personalidade dos líderes que estão na linha de frente da resposta a uma violação? 

Vou começar por você, Will. 

Acho que a higiene é realmente importante. 

E acho que, na maioria, na maioria, na maioria das violações públicas das quais ouvimos falar, tudo começa com a higiene de
segurança. 

E acho que, para um bom líder, é importante saber que a perfeição não deve ser inimiga
vamos fazer o certo, só para garantir que cheguemos onde precisamos para proteger a 

empresa. 

Acho mesmo que os bons líderes não se limitam a perceber isso, mas também constroem
relacionamentos e confiança entre as diferentes unidades de negócios. 

Estamos todos juntos nessa e cada pequena ação faz a diferença. 

Seja ao lidar com pessoas diferentes na empresa ou com funcionários
de diferentes setores em diferentes regiões. 

Acho que é realmente importante que todos possam se unir e saber qual é a responsabilidade de
cada um nesse tipo de modelo de cultura de segurança compartilhada. 

E, Bill, você está diante de conselhos de administração. 

O que você acha daquele momento em que, quer você perceba ou não, o alarme está
Soando? 

Quem você é neste momento e quais você acha que são as melhores características de
liderança quando se está enfrentando uma crise? 

Acho que, para mim, pessoalmente, isso é engraçado. 

Fico muito frustrado no trânsito 

Mas, quando algo muito sério está acontecendo, consigo ficar muito, muito calmo. 

E acho que essa é provavelmente uma das características mais importantes: você terá
informações incompletas. 

Você terá um milhão de pessoas fazendo perguntas e precisa realmente conseguir se
concentrar-se para pensar: ✦ “Ok, o que preciso fazer agora?” 

Qual é a próxima coisa que preciso fazer? 

Ao mesmo tempo, pensar no panorama geral: no fim das contas, onde preciso estar
? 

E, então, divulgar isso para o mundo. 

E isso é interessante: converso bastante com os clientes e
, ao longo da minha carreira, tive que fazer isso; às vezes, você precisa assumir a culpa. 

Outras vezes, é mais proativo e, como você mencionou, tentar inspirar confiança desde o início. 

Hum… Dá para perceber quais são os CISOs que já tiveram algum problema e quais não
tiveram, porque muitos dizem: “Bem, vocês tiveram os problemas X, Y e Z”. 

Nós, sabe, não podemos trabalhar com você. 

hum 

E você começa a perceber que, se já está nesse ramo há tempo suficiente, vai acabar ficando sem
empresas com as quais fazer negócios, certo? 

Todo mundo passa por algum problema em algum momento ou simplesmente ainda não sabe disso. 

Então, o que importa mesmo é: como eles lidaram com isso? 

Como eles reagiram? 

Eles estão sendo transparentes? 

Ah… E então, sabe, é isso que procuro quando converso com outros CISOs; acho que
que esse é o tipo de mentalidade que você precisa ter. 

Minha analogia favorita é a de um boxeador. 

que planeja nunca levar um soco na cara. 

Tipo, isso simplesmente não é uma boa estratégia. 

Então, você precisa estar preparado para o caso de algo acontecer. 

E então, você está sempre olhando para frente? 

Você, sabe, nunca fica satisfeito com o programa, certo? 

Sempre há algo melhor que você poderia estar fazendo. 

Então, ao planejar o ano, reserve de 10 a 15% do orçamento e do tempo que estiverem… 

deixe em aberto, porque você não sabe o que vai acontecer. 

Você não sabe o que vai mudar. 

Não sabemos como a IA vai mudar nossos empregos daqui a um ano. 

Então, em vez de achar que você tem todas as respostas, permita-se um pouco de
flexibilidade, para que você possa ser resiliente e perceber onde precisa se adaptar. 

Então, vamos nos aventurar em águas mais profundas. 

A confiança cresce ou estagna no momento da verdade. 

Então, digamos que sua empresa tenha sofrido uma violação ou 

Em algum ponto da cadeia de suprimentos ocorreu uma violação que afeta você. 

Hum… Como você garante que vai fortalecer a confiança ao longo desse processo, em vez de abalá-la?
com os clientes, com seus funcionários, com seu conselho administrativo e com seus executivos? 

E vou acrescentar mais um ponto a isso, que é: a resposta a uma
A violação não leva um dia, nem uma semana; às vezes, leva meses. 

E muitas pessoas voltam às suas rotinas diárias, mas a equipe de segurança e as equipes que talvez
foram afetadas, além dos clientes e fornecedores, 

ainda precisam conviver com isso até que haja um desfecho natural, mas isso nunca é rápido. 

Então, como você mantém a energia e o foco em alta? 

Vamos explorar um pouco essas duas coisas por um minuto. 

Sim, acho que ter os controles adequados em vigor é, obviamente, importante. 

É também o processo de como você chega lá… sabendo que as coisas vão mudar, que novas
as tecnologias surgirão em um ritmo cada vez mais rápido,

não basta apenas ter uma lista de verificação e perguntar: “Será que fiz essas 10 coisas?” 

Também é importante o processo pelo qual você decide quais são essas 10 coisas e como elas serão
diferentes no ano que vem. 

Portanto, ser adaptável e ter essa mentalidade é provavelmente tão importante quanto, você sabe,
fazer um inventário técnico, verificar quais controles técnicos estou realizando em um determinado dia. 

Acho que é isso que espero, o que procuro na minha equipe. 

E quando converso com outros CISOs, 

Acho que essa é a melhor característica que já vi: ser adaptável e reconhecer
que não é possível ter todas as respostas. 

Então, qual é o seu processo para determinar como deve ser essa priorização? 

Também acho que, sabe, você falou sobre cansaço, certo? 

Especialmente depois que ocorre uma violação e as pessoas voltam ao seu trabalho diário. 

Acho que, se você for avaliado ao longo do caminho e estiver constantemente se avaliando, sabe
onde você está, sabe o quanto está progredindo e sabe o que 

ainda precisa ser feito. 

Então, acho que essa avaliação é realmente importante para saber quando dar o alarme
e quando deixar de oferecê-lo e tentar voltar ao ritmo normal dos negócios. 

Mas acho que tudo isso se deve a todo o trabalho de preparação que você faz com antecedência para
chegar lá. 

Se você estiver ao telefone com um fornecedor, um cliente ou um cliente em potencial, e eles estiverem
procurando uma resposta do tipo “conte-me sobre uma ocasião em que você sofreu uma violação e como você 

se comunicou com as pessoas. 

Como você conduz essa conversa? 

Porque há várias maneiras: você poderia ter um roteiro jurídico preparado para você ou deixar
que que a equipe de vendas conduza a conversa. 

Mas qual é a melhor maneira de conduzir essa conversa para criar confiança? 

Acho que estou na área de segurança há quase 20 anos e já tive muitas, hum, conversas
com outros CISOs. 

Acho que a transparência é o mais importante. 

Acho que as pessoas percebem 

quando você não lhes dá uma resposta completa ou exaustiva. 

E isso provavelmente minou a confiança mais rapidamente do que qualquer outra coisa. 

E, como em qualquer relacionamento que exija confiança, quando você a perde, fica muito mais difícil reconquistá-la
. 

Então, ser capaz de dizer: “isso é o que sabemos com certeza, isso é o que não sabemos” é muito
é melhor do que tentar retratar a situação de uma forma mais otimista do que ela realmente é. 

Sabe, eu concordo que a transparência é fundamental. 

E acho que, como profissional de segurança, quer dizer, a gente fica ansioso para ler os relatórios reais
que são divulgados depois que ocorre uma violação como essa; é aí que a gente aprende muito 

É assim quando as empresas são sinceras e diretas sobre o que aconteceu. 

E, naquele momento, quando chega aquela ligação inicial, concordo com o que o Bill disse: você
quero ser o mais aberto e sincero possível, simplesmente porque as pessoas 

entendem que 

Essas coisas vão acontecer, mas é a sua reação que vai determinar como eles vão avaliá-lo daqui em diante
para frente. 

Ok, vamos mudar de assunto e falar sobre IA. 

A IA parece estar mudando o panorama dos ataques à segurança cibernética e dos vetores de ataque
. 

Como você acha que suas funções mudarão daqui a um ano, à medida que a IA amadurecer? 

Acho que vai ser complicado. 

Pensar na IA do ponto de vista da segurança é uma questão muito interessante… 

problema a ser resolvido, porque estamos tentando usá-la para, hum, aprimorar os negócios e permitir que a
a empresa avance mais rapidamente. 

Também estamos tentando utilizá-la para fins de segurança, a fim de nos ajudar a proteger a empresa. 

Mas também queremos garantir que isso não se volte contra nós enquanto tentamos fazer
as duas primeiras coisas. 

Então, acho que isso vai mudar completamente o jogo. 

E eu não acreditei nisso por muito tempo. 

Mas, quanto mais você observa como as coisas estão evoluindo — a IA autônoma e como as empresas vão começar a
depositar sua confiança em um modelo

que pode gerar esses resultados e aprender com o tempo, em alguns
casos, quase melhor do que os funcionários. 

Ainda acho que os funcionários são necessários para cuidar da parte de segurança. 

Não estou defendendo que todos nós seremos substituídos por superinteligências de IA, mas acredito que será
uma grande mudança na forma como pensamos e planejamos a proteção da empresa, À medida que a IA 

torna-se cada vez mais presente tanto no ataque, por parte dos invasores, quanto na defesa de uma
empresa. 

Sim, e esse é um ótimo exemplo de que 

Sabe, acho que precisamos nos preparar para o que não sabemos e reservar um pouco
de tempo e orçamento para as mudanças que ocorrerão tão rapidamente no próximo ano que não consigo 

prever exatamente como estaremos utilizando a IA. 

E quando as pessoas falam em IA, o que exatamente elas querem dizer, né? 

IA algorítmica versus apenas aprendizado de máquina. 

Então… será que nos permitimos o espaço para dizer: “tudo bem, não temos nenhuma resposta”? 

Não temos todas as respostas hoje, mas sabemos 

que isso vai ser algo muito importante para nós. 

E, portanto, além de, você sabe, segurança para a IA e IA para a segurança, essa corrida
essa corrida armamentista que está ocorrendo, na qual, atualmente, a barreira para que um agente mal-intencionado use IA contra a empresa está 

cada vez menor. 

Está ficando muito mais barato e fácil. 

E o nível de conhecimento necessário para fazer o que eles talvez fizessem anos atrás… bem, ficou muito mais
Simples. 

Então, essa é a outra coisa em que precisamos pensar: como, como disse o Will, como nos
Como nos defendemos contra isso? 

Sabendo que isso sempre ficou mais fácil e que têm surgido, digamos, mais ferramentas
estão disponíveis, mas agora a IA para ataques à segurança é algo que realmente vamos 

vamos ter que entender. 

Ah, basta pensar na evolução da forma como os invasores agiam: antigamente
, uma pessoa muito esperta ficaria batendo na porta da frente de uma empresa até conseguir 

conseguisse entrar. 

E aí pensei: “Posso usar essas ferramentas de script e fazer isso mais rápido”. 

E, com os resultados obtidos com essas ferramentas, eles ainda precisavam decidir: “Tudo bem, em quem
“Vou me concentrar nisso daqui em diante?” 

Mas agora, com a IA, ela será capaz de automatizar isso muito mais rapidamente. 

E antes era simplesmente assim: você tinha que correr mais rápido do que, sabe, do que a pessoa ao
seu lado. 

Bem, agora vai ficar um pouco mais desafiador, porque acho que os ataques vão
aumentar o ritmo, o que significa que nossa defesa precisa acompanhar esse mesmo ritmo. 

Certo. 

E a resposta. 

É. 

Acho que temos que partir do princípio de que eles vão entrar e precisamos descobrir como controlá-los e remediar a
resolver a situação o mais rápido possível. 

Com certeza. 

É. 

Acho que, sabe, adoro lembrar aos CISOs, digamos, duas coisas fundamentais que percebo
o que as pessoas têm esquecido nos últimos dois anos. 

Tenho observado uma grande mudança no que diz respeito à defesa. 

E, como você mencionou, acredito mesmo que também se trata da questão da resiliência: você
vai levar um soco na cara. 

Você consegue se reerguer? 

Com que facilidade você consegue se reerguer? 

Ah, e então, quando você pensa em coisas como a tríade da CIA, certo, a disponibilidade, esse é um
dos princípios fundamentais da segurança. 

Ah, sabe, no caso do NIST, trata-se de recuperação. 

E acho que já nos voltamos tanto para a defesa 

E acho que os CISOs mais perspicazes estão percebendo que também preciso prestar atenção em como posso ajudar na
recuperação? 

Ah, como faço para identificar o problema o mais rápido possível? 

Mas também: como faço para que minha empresa volte a funcionar? 

É uma transição perfeita para a minha última pergunta, que é esta. 

Sabe, o ideal não é ser perfeito. 

O importante não é acertar. 

O importante é tentar. 

O padrão é progredir. 

Então, para encerrar, como você faz? 

O que está no topo da sua lista para avançar? 

Por que você quer ser conhecido daqui a apenas dois trimestres? 

Quero ser conhecido por fazer bem as coisas chatas. 

Quero ser reconhecido por levar a empresa a um nível em que o ataque médio — aquelas coisas
em que a maioria das empresas fica aquém — o que não é o nosso caso. 

Quero garantir que, por meio de boas práticas e medidas bem planejadas, sejamos capazes de
nos manter acima e além do que é necessário 

para que tenhamos tempo e orçamento disponíveis para lidar com as coisas que ainda
não sabemos. 

Mas precisamos fazer… precisamos sempre fazer as coisas fáceis primeiro. 

Isso é ótimo. 

Obrigado. 

Ah, sabe, é interessante, porque os esportes são uma parte importante da minha vida. 

Sou uma pessoa muito competitiva e sempre jogo na defesa. 

E então acho que isso realmente, sabe, faz sentido para mim, e é por isso que entrei nessa
O ponto é que, como você vai mencionar, se você fizer seu trabalho direito, ele passa despercebido. 

Ninguém percebe, né? 

Hum, é muito chamativo estar no ataque, mas, hum, na defesa, você só precisa fazer o seu trabalho
como era de se esperar. 

E então, sabe, acho que, hum, concordo cem por cento que se trata de
garantir que tenhamos o nível adequado de proteção para que, caso algo aconteça, estejamos preparados 

para isso. 

Podemos reagir rapidamente e colocar a empresa de volta em funcionamento. 

E acho que, sabe, é lá que eu quero estar. 

Obrigado, Bill, diretor de segurança da Commvault, e Will, 

vice-diretor de segurança da Commvault. 

Temos muita sorte de vocês estarem na Commvault e de ajudarem tantas pessoas
pessoas, tanto internamente quanto externamente, a se prepararem melhor para o que todos nós estamos enfrentando 

em termos de resiliência cibernética. 

Se quiser saber mais, acesse o nosso Readi verse. 

Ele está repleto de informações, dicas e práticas para que líderes de segurança e executivos
possam dar os primeiros passos, amadurecer e se tornar ainda mais sofisticados 

, pois esse é um modelo de responsabilidade compartilhada e o objetivo é ajudar cada um de nós a se tornar
mais forte. 

Muito obrigado. 

você