Título

Cybersecurity Risk -  How to Ace Board Reporting,

Risco de Cibersegurança - Como Fazer Relatórios Excelentes no Conselho

Autoria

Ricardo Costa Val do Rosário, MD, PhD
Médico Angiologista e Cirurgião Cardiovascular
Especialização em Carreira de IA – Alura/SP
Cursando Especialização em Carreira de Cloud Security – Alura/SP
Linha de pesquisa independente em IA e Medicina, DMIA, Tecnovigilância e Cibersegurança em Saúde
Belo Horizonte – 2026

Declaração de legitimidade de autoria e conformidade com a LGPD

Este artigo foi redigido pelo autor com apoio instrumental de IA generativa para organização, revisão
linguística, refinamento estrutural, modelos didáticos e formatação. 
O conteúdo final foi criticamente revisado pelo autor, que assume plena responsabilidade por sua 
precisão, originalidade, integridade e eventuais omissões. 

Resumo Estruturado

O paper apresenta um framework simples e pragmático para melhorar a comunicação entre CISOs e 
Conselhos, focando em quantificação de risco, clareza executiva e alinhamento entre segurança e 
negócio. 
Ele organiza a discussão em quatro perguntas centrais, que funcionam como o “esqueleto” de um bom 
report ao Board.

1. Business Context — o ponto de partida

1. Objetivo: garantir que qualquer discussão sobre segurança esteja conectada ao impacto no negócio.

2. Forças do documento:
•	Reforça que CISOs devem abandonar o discurso centrado em ferramentas e atividades.
•	Mostra que Boards precisam entender como decisões estratégicas (M&A, expansão, novos 
produtos) alteram o risco.
•	Traz exemplos claros de diálogo executivo, com foco em impacto financeiro.

3. Ponto crítico: O material acerta ao mostrar que contexto é o fio condutor de todas as outras
perguntas. Sem isso, qualquer métrica vira ruído.

2. Current Security Posture — benchmarking e quantificação

1. Objetivo: estabelecer um baseline mensurável.

2. Destaques:
•	O documento enfatiza que o Board quer quantidade, não tecnologia.
•	Propõe cinco passos sólidos: definir categorias de risco, monitorar baseline, escolher 
framework, elevar maturidade e preparar resposta/resiliência.
•	Reforça que “quando algo acontecer” é inevitável — abordagem madura.

3. Ponto crítico: A recomendação de quantificar tanto risco técnico quanto financeiro é 
consistente com práticas modernas (FAIR, CRQ). O paper acerta ao evitar métricas 
puramente técnicas.

3. Priorities to Reach Target State — foco em ROI de segurança

1. Objetivo: mostrar progresso e justificar investimentos.

2. Destaques:
•	Boa ênfase em priorização baseada em impacto, não em modismos tecnológicos.
•	Reconhecimento de que Response & Recovery são negligenciados — alinhado com
tendências de mercado.
•	Reforça o papel do CEO e CFO como agentes ativos na definição de prioridades.

3. Ponto crítico: O documento acerta ao conectar prioridades com Return on Security
Investment (ROSI), algo que Boards entendem imediatamente.

4. Residual Risk — o que sobra e precisa ser aceito

1. Objetivo: quantificar o risco que permanece após mitigação e transferência.

2. Destaques:
•	Explica bem que residual risk é inevitável e deve ser aceito conscientemente.
•	Mostra como CFOs são parceiros naturais do CISO nesse ponto.
•	Conecta residual risk com decisões de seguro cibernético e negociação de prêmios.

3. Ponto crítico: A orientação de traduzir “bits e bytes em dólares e centavos” é 
exatamente o que Boards esperam, e o documento reforça isso com clareza.

Insights estruturais importantes

A. O problema central: linguagem
O paper acerta ao mostrar que CISOs e Boards falam idiomas diferentes. 
A solução: contexto + quantificação + impacto financeiro.

B. O que é demais vs. o que é insuficiente
O documento destaca que Boards recebem apenas “vislumbres” da empresa. 
Logo, CISOs devem ser:
•	explícitos sobre estado atual e futuro,
•	seletivos na profundidade,
•	consistentes na narrativa.

C. CRQM como catalisador
O paper promove plataformas de Cyber Risk Quantification and Management
(como SAFE), mas o conceito é sólido:
•	automação,
•	integração de sinais,
•	relatórios contextualizados,
•	conversão de risco técnico em impacto financeiro.

Conclusão

1. O documento é forte, coerente e alinhado com práticas modernas de governança 
de segurança. Ele entrega um framework simples, mas poderoso, baseado em quatro 
perguntas que:
•	estruturam a narrativa,
•	reduzem ruído técnico,
•	aumentam clareza executiva,
•	facilitam decisões de investimento,
•	conectam segurança ao negócio.

2. Para qualquer CISO ou Board, esse material funciona como um manual prático de 
maturidade comunicacional.