O que o Conselho Deve Perguntar ao CISO Trimestralmente

Uma pergunta genérica como "estamos seguros?" raramente produz uma resposta útil numa reunião de conselho. O valor de uma reunião trimestral com o CISO está na qualidade específica das perguntas que o board faz, não na quantidade de slides que o CISO traz. Gartner, IBGC e NACD convergem num ponto: conselhos que cobram métricas concretas, prazos e responsabilidades específicas obtêm relatórios de segurança mais úteis do que conselhos que aceitam atualizações genéricas de "postura de segurança".

Este guia organiza as perguntas que o board e os comitês de risco deveriam levar para a reunião trimestral com o CISO em seis blocos: postura de risco e maturidade, gestão de incidentes, terceiros e cadeia de suprimentos, investimento e retorno, conformidade regulatória e cultura de segurança. Cada bloco tem menos a ver com jargão técnico e mais com governança: quem decide o quê, com que prazo, e como isso fica documentado.

O objetivo não é transformar o conselho num comitê técnico de segurança. É usar essas perguntas para expor lacunas, testar clareza de responsabilidades e criar o tipo de registro formal que sustenta a diligência do board caso ela seja questionada mais tarde. Para o desenho completo de como estruturar essa supervisão de forma recorrente, veja nosso guia sobre como montar um comitê de risco cibernético no conselho.

Postura de Risco e Maturidade de Segurança

O ponto de partida de qualquer reunião trimestral é entender onde a organização está, não onde ela gostaria de estar. Segundo o Gartner, em material voltado a conselhos, quatro perguntas cobrem esse terreno: quais são as ameaças cibernéticas mais significativas que a empresa enfrenta atualmente; a empresa fez recentemente um diagnóstico para identificar vulnerabilidades e mapear ativos críticos; como a estratégia de segurança se alinha à estratégia geral do negócio; e quais são os riscos materiais que de fato mantêm o CISO em alerta.

Essa última pergunta, sobre o que preocupa o próprio CISO, costuma revelar mais do que qualquer painel de indicadores. Um CISO que responde com uma lista de vulnerabilidades técnicas está descrevendo o trabalho do dia a dia da equipe; um CISO que responde com um risco de negócio específico, por exemplo a dependência de um único fornecedor crítico ou uma lacuna de visibilidade sobre um sistema legado, está oferecendo o tipo de informação que o conselho precisa para decidir onde direcionar atenção e recursos.

Gestão de Incidentes e Resposta

Cibersegurança não é sobre evitar todos os incidentes, é sobre estar preparado para quando um acontecer. Um exercício de simulação, ou tabletop, que inclua o próprio board é a forma mais direta de testar isso na prática, e não apenas no papel. Vale perguntar diretamente: quando foi o último exercício desse tipo que incluiu o board, e não apenas o time de segurança?

Igualmente importante é a clareza de papéis antes que um incidente aconteça. Está claro quem tem autoridade para tirar um sistema crítico do ar, quem aciona o jurídico, quem decide notificar autoridades e quem fala com a imprensa? Se essas respostas exigem uma reunião de emergência para serem definidas, o plano de resposta a incidentes tem uma lacuna que vale mais a pena descobrir numa reunião trimestral do que durante um incidente real.

Se a empresa já passou por um incidente desde a última reunião, a pergunta certa não é apenas "o que aconteceu", é uma sequência mais exigente: como isso aconteceu, e o que já mudou desde então? Uma resposta madura cobre os fatos do incidente, o impacto real, as lacunas que ele expôs e a mitigação já implementada, sem se transformar numa lista de justificativas sobre por que o incidente não poderia ter sido evitado.

Terceiros e Cadeia de Suprimentos

A superfície de risco de uma empresa raramente termina nos seus próprios sistemas. Vale perguntar diretamente: quais são as consequências se um fornecedor crítico for vítima de um ataque, e a organização já mapeou essa exposição, ou está descobrindo isso apenas quando o fornecedor liga para avisar?

Para instituições sob supervisão do Banco Central, essa pergunta tem peso regulatório específico: a gestão de risco de terceiros exigida pela Resolução CMN nº 4.893/2021 e suas atualizações precisa cobrir também fornecedores críticos, não apenas os sistemas internos da instituição. Vale pedir ao CISO uma resposta objetiva sobre até que ponto esse mapeamento de terceiros já está formalizado. Para o desenho completo dessa avaliação, veja nosso guia de gestão de risco de terceiros.

Investimento, Orçamento e Retorno

Toda decisão de orçamento de segurança compete por capital com outras prioridades do negócio, e o conselho tem o direito de cobrar clareza sobre essa alocação. Duas perguntas diretas cobrem esse terreno: estamos alocando recursos adequadamente, por que estamos gastando tanto, ou tão pouco; e qual é a exposição financeira estimada a eventos cibernéticos e como ela evoluiu desde a última reunião?

Essa segunda pergunta, sobre exposição financeira, é onde a maioria dos relatórios de segurança ainda falha: eles descrevem atividade, quantas vulnerabilidades foram corrigidas, quantos alertas foram tratados, em vez de descrever risco em termos que o board já usa para qualquer outra decisão de capital. Se o CISO ainda apresenta risco cibernético como uma escala de cor em vez de uma faixa de exposição financeira, vale cobrar essa evolução diretamente. Tratamos esse ponto com mais profundidade, incluindo a metodologia por trás dessa tradução financeira, no nosso guia de cyber risk quantification para decisões do board.

Conformidade Regulatória

Para instituições financeiras, o prazo já está definido. A Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025 atualizaram a Resolução CMN nº 4.893/2021 e fixaram prazo de adequação até 1º de março de 2026. Vale perguntar diretamente ao CISO: estamos no caminho para cumprir esse prazo, e o que ainda falta?

Empresas que tratam dados pessoais, reguladas ou não pelo Bacen, têm outra obrigação a verificar: existe um processo documentado para notificar a ANPD e os titulares dos dados dentro do prazo exigido em caso de incidente, segundo a Resolução CD/ANPD nº 15/2024? Não basta que esse processo exista na cabeça de alguém do time de segurança, ele precisa estar escrito e testado.

Por fim, vale uma pergunta que olha para dentro do próprio conselho: as decisões do board sobre segurança da informação estão documentadas o suficiente para sustentar a diligência dos administradores, caso sejam questionadas? O artigo 153 da Lei das S.A. (Lei nº 6.404/1976) estabelece o dever de diligência do administrador, e atas de reunião com pauta específica de cibersegurança são exatamente o tipo de registro que sustenta esse dever, caso ele seja testado.

Cultura de Segurança

Tecnologia e processo não resolvem tudo sozinhos. Vale perguntar como a empresa mede a eficácia do treinamento de conscientização além da taxa de conclusão, um número que mede participação, não mudança de comportamento.

Igualmente relevante é uma pergunta sobre o ambiente interno: ele encoraja reportar incidentes rapidamente, sem medo de punição? E o CISO tem acesso direto ao board, ou sua voz chega filtrada por outras camadas da liderança executiva antes de chegar à sala do conselho? Essa segunda pergunta, sobre acesso direto, é onde a estrutura da governança encontra a cultura: um CISO sem canal direto ao board tende a reportar versões já suavizadas dos problemas, mesmo sem nenhuma má intenção de ninguém no caminho.

Como Usar Este Checklist na Prática

Nenhum conselho precisa levar todas as perguntas deste guia para uma única reunião. O valor está em ter o conjunto completo disponível como referência e escolher, a cada trimestre, o subconjunto mais relevante para o momento da organização, com espaço reservado para aprofundar uma ou duas perguntas em vez de percorrer a lista inteira superficialmente.

A forma como essas respostas chegam ao board importa tanto quanto o conteúdo delas. Um relatório bem estruturado, com cadência definida e métricas comparáveis de um trimestre para o outro, é o que transforma essas perguntas em supervisão contínua em vez de um interrogatório pontual. É esse formato de comunicação entre CISO e conselho que detalhamos no nosso guia de board reporting em cibersegurança.

Perguntas Frequentes

Conclusao

Uma reunião trimestral com o CISO que se limita a ouvir passivamente um relatório de segurança desperdiça a oportunidade mais concreta que o conselho tem de exercer supervisão ativa sobre um risco material do negócio. As perguntas deste guia não exigem que nenhum conselheiro entenda de tecnologia, exigem apenas que o board cobre clareza, prazos e responsabilidades, da mesma forma que cobraria em qualquer outra área de risco da organização. O valor não está em fazer todas as perguntas de uma vez, está em fazer as perguntas certas, com consistência, trimestre após trimestre.