O CIO Experiente: Episódio 5 – “Gerenciando os gastos que você não consegue ver”

Mark Dunkerley: Posso voltar 20 anos no tempo, e os gastos ocultos se limitavam ao tradicional: “Ah, preciso de um servidor, preciso de armazenamento”. E essa é a maneira à antiga. De um de súbito, nos últimos cinco ou dez anos, todo mundo fez a transição para a nuvem. Hoje em dia, obviamente, a IA é o maior desafio. Não acho que alguém saiba como calcular os custos da IA. Quando analisamos isso a partir dos custos gerais e dos custos diretos, além das coisas que estamos tentando entender, isso está se tornando cada vez mais desafiador e precisamos avançar cada vez mais rápido, além de precisarmos estar o mais atualizados possível, e isso parece ser uma constante em todas as organizações atualmente.

Bradd Busick: Você está ouvindo o programa “The Savvy CIO”, sabiamente modernizado pela Park Place Technologies. Sou o seu apresentador, Bradd Busick, e este é um programa em que falamos sobre pressão orçamentária, adoção de IA, segurança e a arte de manter as coisas funcionando sem destruir tudo, com as pessoas que enfrentam esses problemas diariamente. Há muitos preços visíveis no local quando se trata de hardware, itens como servidores e switches, e até mesmo os contratos de manutenção para manter tudo isso funcionando. Você pode tocar no hardware, pode ver coisas como a depreciação com seus próprios olhos e se planejar para isso. Mas, logo abaixo dessa superfície, há um verdadeiro iceberg de custos que são muito mais difíceis de controlar. Coisas como a expansão descontrolada da nuvem, projetos-piloto de IA que nunca decolaram, mas também nunca foram cancelados e ainda estão circulando no seu ambiente. Ferramentas caras que têm apenas três usuários.

Há uma infinidade de perdas invisíveis. Elas não vão te afundar por serem grandes. Vão te afundar simplesmente porque você esqueceu completamente que elas existiam. Mark Dunkerley é vice-presidente de Serviços de Tecnologia Empresarial e CISO na Coca-Cola Bottlers’ Sales & Services, o que significa que ele tem uma das perspectivas mais singulares do setor. Ele dá suporte a quase 60 engarrafadoras da Coca-Cola em toda a América do Norte, por isso está acostumado a lidar com a complexidade das partes interessadas em grande escala e em dezenas de ambientes de negócios distintos.

Mark sabe que, hoje em dia, os gastos com TI se assemelham muito menos a uma conta fixa de serviços públicos e muito mais a um plano de celular de 2008. Você acha que está contratando uma coisa, mas, por algum motivo, sua conta tem 17 itens diferentes pelos quais você nem sabia que estava pagando. A pressão para desenvolver projetos mais rápido do que nunca é grande, e o relógio não para. Se você não ficar de olho nisso, terá uma grande e desagradável surpresa na hora de pagar a conta. E pode ser que o CIO ou o CISO fiquem com o prejuízo nas mãos, se você não tomar cuidado. Mark, seja bem-vindo ao “The Savvy CIO”.

Mark Dunkerley: Obrigado, Bradd. Estou animado por estar aqui.

Bradd Busick: É, estou muito feliz por ter você aqui, cara. Sua trajetória é incrível. Só pra começar, me conte um pouco sobre você. Como você chegou a essa função específica na CCBSS?

Mark Dunkerley: Minha origem, como você provavelmente pode perceber pelo sotaque, é na Flórida, mas não sou natural da Flórida. Sou de Newcastle, na Inglaterra, e meu sonho era ser jogador de futebol. Mas vim para os Estados Unidos, fui para a faculdade com uma bolsa de estudos para jogar futebol americano, e isso me levou para a área de tecnologia, trabalhando com a universidade e o departamento de tecnologia. Comecei trabalhando como administrador de rede, depois segui em frente e evoluí para o setor de saúde, lidando com muitas ferramentas de colaboração. Naturalmente, isso implica questões de segurança, e trabalhei em diferentes áreas do sistema da Coca-Cola ao longo dos últimos 11 anos. Originalmente, meu trabalho era na área de colaboração, gerenciamento de e-mail e ferramentas desse tipo, e isso evoluiu para diferentes mudanças dentro da empresa que abriram novas oportunidades.

O que realmente se destacou foi a oportunidade de trabalhar em nossa organização de serviços empresariais, onde pudemos construir uma infraestrutura totalmente nova, do zero. E, à medida que avançávamos nesse projeto, eu assumi cada vez mais a supervisão da arquitetura. A questão da segurança cibernética começou a ganhar muito mais importância. Se você pensar em seis, sete, oito anos atrás, foi realmente aí que a visibilidade começou a surgir e o foco passou a se voltar mais para o lado da segurança cibernética e para a oportunidade de construir um programa de segurança cibernética do zero. E isso evoluiu até onde estou hoje, na área de Vendas e Serviços da Coca-Cola Bottlers. Sei que, tradicionalmente, talvez houvesse aqueles focados em segurança e aqueles focados em TI. Tive a oportunidade de realmente partir da área de TI para a segurança cibernética e, agora, supervisionar essas duas funções diferentes.

Bradd Busick: Isso é incrível. E esses mundos estão tão misturados agora, quando a gente pensa de onde a gente dois começou, quando eles eram distintos. Para usar uma analogia com o futebol, o meio-campista precisa ser capaz de jogar na defesa e também de atuar como atacante. Você já viu tanta coisa. Imagino que comece a perceber padrões. Qual é a única coisa que você percebeu na primeira conversa que diz muito sobre em que ponto eles estão em seu amadurecimento? Porque você já sabe para onde precisa levá-los. O que chama sua atenção?

Mark Dunkerley: Se analisarmos do ponto de vista da segurança, a tecnologia tem sido o foco e, obviamente, o impulsionador dos negócios, mas nos últimos cinco anos houve uma mudança. Acho que há uma grande lacuna na compreensão do risco que temos dentro de uma empresa, dentro do nosso ambiente, e talvez essa seja uma das oportunidades afortunadas que tive: o fato de ter uma mentalidade mais voltada para o risco. E, mesmo indo além desse líder em tecnologia, isso é algo em que nós, como líderes, precisamos trabalhar de forma mais ampla em toda a empresa: nossa mentalidade precisa mudar. Precisamos descobrir como trabalhar com nossas outras funções de negócios e, quando se olha para os engarrafadores e outras entidades, isso realmente ajuda a impulsionar e compreender o que é esse risco. Isso tende a não ser o primeiro tipo de pensamento que vem à mente. Acho que estamos chegando lá porque ocorrem incidentes de segurança cibernética. Estamos começando a ver qual é o impacto real. Mas a continuidade dos negócios e a compreensão de onde você está, acho que são uma grande lacuna em muitas organizações. Eu sempre tenho a tendência de me inclinar para isso e tentar entender um pouco mais.

Bradd Busick: Sim, eu adoro isso, e você está destacando algo que eu acho realmente importante. Primeiro, o líder de TI de hoje precisa ser tanto um profissional de negócios quanto um especialista em tecnologia. E, segundo, acho que finalmente está começando a haver um reconhecimento de todas as ameaças cibernéticas e da mitigação de riscos, com ênfase especial na resiliência dos negócios para perguntar: “Quanto custaria se eu realmente fechasse as portas? Qual é o meu custo por minuto?” No passado, custava-nos US$ 10.000 por minuto ficar fora do ar.

Agora, quando você coloca a questão nesses termos, de repente, quando o CIO vai pedir o orçamento, seria de se esperar que a liderança dissesse: “Faça o que for preciso para nos manter atualizados.”

Não é: “Bem, o RH está considerando esse novo módulo de recrutamento.” É mais como: “Não, você quer mesmo que sua organização seja capaz de recrutar?” É um perfil de risco e uma postura fundamentalmente diferentes, eu acho, e espero que as organizações, os conselhos e a liderança estejam finalmente começando a perceber isso.

Mark Dunkerley: É. É. Acho que a mensagem está chegando com certeza. Falamos sobre custos ocultos. Vemos esses custos de uma violação de segurança cibernética e, como você mencionou, aposto que muitas organizações não sabem qual é o custo de ficar fora do ar por um minuto. E, se você começar a fazer essas contas, vai perceber outros custos nos bastidores. E quanto à reputação? E a confiança do cliente e tudo o mais? Portanto, é definitivamente algo que se torna muito maior quando você começa a desdobrar o que faz parte dessa discussão mais ampla.

Bradd Busick: Sim. Acho isso brilhante, e parte disso acaba se tornando forçado quando ocorre algum incidente no âmbito das funções de um CIO ou de um CISO. Acho que nossa orientação seria: vamos ser proativos. Queremos que nossos CIOs e nossos CISOs comecem a ajudar o marketing, a liderança e o conselho a articular alguns desses riscos com os quais ninguém se importa até que realmente aconteça algo, e aí você já está em uma situação reativa.

Mark Dunkerley: Exatamente.

Bradd Busick: Antes de entrarmos em detalhes sobre os gastos ocultos, acho que provavelmente precisamos explicar por que isso está se tornando tão comum. Certa vez, alguém me disse: “Precisamos que a TI se mantenha dentro da sua área de atuação.”

E minha resposta foi: “Não, na verdade, vamos inverter isso. Você está na minha área. Toda a base do negócio é a tecnologia. E, portanto, sem tecnologia, você não tem um negócio.” Eu adoraria que você aprofundasse um pouco mais sobre como você tem visto o papel entre o CIO e o CISO começar a se separar ou a convergir.

Mark Dunkerley: Sim, é um caso interessante porque essa área de atuação é provavelmente uma das nossas organizações mais recentes, eu diria, criada nos últimos 10 a 20 anos. E, embora já tenhamos tido alguma presença na área de segurança — quer dizer, nos últimos cinco, dez anos —, de repente ela cresceu significativamente por causa das exigências, da regulamentação e de tudo o mais que vem junto com isso. E tem sido interessante porque as organizações começaram a criar funções de segurança cibernética e de segurança.

E também há essa questão de saber a quem o CISO se reporta. O CISO deveria ter um assento no conselho administrativo? E temos o CIO. Acho que são todas discussões muito relevantes. Acho que muito depende da situação. Acho que, no fim das contas, você terá um CISO ou um CIO. Acho que eles não podem trabalhar de forma independente, não podem trabalhar separadamente. E precisa haver algum tipo de estrutura que permita que os dois trabalhem juntos, seja prestando contas um ao outro, seja prestando contas ao conselho.

Mas, se você tiver a equipe certa, com o CIO e o CISO trabalhando juntos, eles precisam se entender mutuamente. Acho que, em geral, hoje em dia um CIO precisa ter habilidades em segurança e cibersegurança para ter sucesso. E acho que o contrário também é verdadeiro: acho que o CISO, o líder de segurança, precisa ter essas habilidades tecnológicas e compreendê-las. Portanto, hoje em dia, essas funções precisam trabalhar em conjunto. Não deve haver segregação nem competição entre o que cada um faz. Tudo o que você faz em sua função é o que há de melhor para a organização, para torná-la bem-sucedida e segura e para reduzir riscos; e a maneira de fazermos isso é trabalhando com nossos colegas e outras pessoas dentro da organização, e tanto o CIO quanto o CISO certamente devem trabalhar juntos como a equipe mais forte.

Bradd Busick: Eu acho que isso está certíssimo, e já vi CIOs realmente incríveis que passaram a ocupar o cargo de CISO. Eu até vi CISOs realmente incríveis que assumiram a função de CIO em outra organização, e acho que o que isso me deixou claro é essa fluência em que todos entendem o que é gestão de riscos, e que isso não é mais apenas tarefa do CISO, nem mais tarefa do CIO. É uma responsabilidade compartilhada. Acho que estamos começando a ver essas dinâmicas mudarem. Pelo menos é o que espero.

Mark Dunkerley: É, concordo, concordo. Com certeza.

Bradd Busick: Vamos mudar de assunto agora. Parte do problema com a gestão de riscos é, obviamente, que um planejamento de longo prazo é realmente muito, muito difícil. E alguns argumentariam que isso simplesmente não é mais possível, como nos velhos tempos, há dez anos, quando um CEO perguntava: “Mark, qual é o seu plano para três anos?” Acho que o plano de 18 meses também já não existe mais. Como você consegue manter alguma aparência de disciplina financeira nesse ambiente extremamente hiperaável em que você e eu nos encontramos hoje?

Mark Dunkerley: Não é fácil porque, mesmo hoje, quero dizer, quando trabalhamos com nossos respectivos conselhos e nossa liderança, precisamos ter nossos indicadores e nossas metas bem definidos. Portanto, esses planos de ação de três anos e de um ano são objetivos pelos quais continuamos tendo que trabalhar. Assim, podemos atirar alguns dardos no alvo e sabemos onde vamos chegar, mas, na minha experiência, volto até mesmo à questão da tecnologia, mesmo nos últimos 20 anos, antes da tecnologia, era fácil fazer um orçamento anual e um plano financeiro. Simples: sabíamos o que queríamos fazer, quais eram nossas metas para o ano seguinte. Você introduz a tecnologia e ela está mudando tão rápido que não dá para prever agora, com a IA, o que vai mudar daqui a três a seis meses.

Bradd Busick: É exatamente isso.

Mark Dunkerley: Então, quando me perguntam o que preciso incluir no orçamento para o próximo ano, acho que, antes de mais nada, precisamos ser transparentes quanto a isso e informar aos outros, ou, quando nos pedirem para fornecer esses recursos, dizer que sim, podemos, mas a transparência está em fazer com que os outros líderes — aqueles que não são da área técnica — saibam que a tecnologia cresceu muito rápido. Vocês vão vir até mim no ano que vem porque, de repente, precisam de algo, ou alguém está vendendo algo para vocês e vocês acham que isso vai ajudar a gerar esse retorno sobre o investimento, o que é ótimo, mas não reservamos verba para isso. Precisamos agora sentar, pensar e conversar sobre isso, e isso acontece o tempo todo. Portanto, do ponto de vista orçamentário, sei que nos saímos melhor à medida que avançamos no ano que se inicia. Certamente temos planos de ação, e esses planos funcionam bem, já que há a dívida tecnológica tradicional e questões que precisam ser resolvidas ao longo do ciclo de vida.

Mas, à medida que a tecnologia evolui como está acontecendo agora, vamos falar sobre o estado atual da IA e a capacidade de utilizar seus recursos. A questão é: como você planeja da melhor maneira e conduz essas conversas? Eu e a equipe sempre procuramos garantir que tenhamos algum orçamento disponível para os orçamentos dos projetos que surgem. E, novamente, é preciso ter cuidado com o valor que você solicita. É preciso encontrar esse equilíbrio entre o que precisamos apenas por precaução. Mas, no fim das contas, tudo se resume, eu acho, ao fato de que, à medida que a tecnologia evolui e se torna cada vez mais parte do negócio, ela está criando essas relações para garantir que possamos trabalhar juntos para descobrir como podemos dar andamento a um novo projeto que talvez tenha surgido do nada, porque não conseguimos fazer um orçamento com antecedência suficiente.

Bradd Busick: Na ausência de relacionamento, como você acabou de destacar, não é possível ser um CIO de sucesso. Não é possível ser um CISO de sucesso. O capital relacional é tão importante quanto o seu consumo de nuvem. E acho que os CIOs, os CISOs e os líderes de TI que estão ouvindo isso: se vocês não têm um relacionamento com a empresa, estão no emprego errado. E, por isso, adorei que você tenha destacado isso, acho que foi brilhante. Também acho que isso ressalta a agilidade que estamos começando a ver por parte da empresa, o que vai exigir que a TI seja igualmente ágil.

Então, por exemplo, se um de seus clientes viesse até você e dissesse: “Ei, tem essa nova plataforma SaaS ou essa nova solução de IA que monitora a qualidade na linha de montagem”, você precisa estar pronto para fazer essa análise, reagir e encontrar verba para algo que já tenha sido redirecionado ou fazer uma parceria com eles para apresentar essa proposta conjunta, porque a diretoria agora vai dizer: “Tudo bem, empresário, isso vai aumentar nossa qualidade de consumo ou reduzir nosso desperdício em 10%. Mark, isso é seguro?” E, se você tiver esse capital relacional, de repente essas coisas se encaixam, e é maravilhoso quando isso acontece. Infelizmente, isso não acontece o tempo todo, então adoro saber que você está se preparando para isso.

Então, um grande tema que já estamos vendo surgir em inúmeras conversas nesta temporada no podcast “The Savvy CIO” é que há muita pressão organizacional e do setor para apresentar uma estratégia de IA que possa ser colocada em prática. E, na maioria das vezes, a primeira pergunta que surge logo em seguida é: isso é seguro? Qual é o ROI? Então, adoraria ouvir sua opinião, sua visão imediata. Você acha que há um ROI para os projetos em que todos estamos trabalhando relacionados à IA? O que você está observando e como está medindo isso?

Mark Dunkerley: Acho que já houve casos de uso que demonstraram retorno sobre o investimento (ROI), mas acho que eles são muito limitados; por outro lado, de repente, surgem muitos fornecedores, temos essas ótimas oportunidades e o negócio já foi vendido. O que poderia ser esse ROI tão bom? Vamos resolver todos esses problemas. E acho que todo mundo saiu por aí tentando fazer isso, investindo muito dinheiro nisso. E a realidade é que, do ponto de vista comercial, é muito mais difícil do que me fizeram acreditar.

Acho que tudo se resume a algumas coisas. A primeira é que ainda temos muitos dados incorretos por aí, e a IA não vai corrigir dados incorretos. A segunda é que a maioria das organizações ainda opera com processos que vêm de anos atrás. E, se os processos não foram otimizados ou revisados para se adequarem à realidade atual e ao estado da tecnologia, mais uma vez, a IA não vai resolver isso. Portanto, quando analisamos o lado empresarial, acho que ainda temos um longo caminho a percorrer na tentativa de usar a IA para melhorar os negócios e seus serviços. Há oportunidades. Sei que, à medida que analisamos os agentes de IA e o componente de agência vai surgindo, ainda há algumas questões fundamentais que precisam ser resolvidas antes que, na minha opinião, possamos realmente ter sucesso com a IA no lado comercial.

Agora, no que diz respeito à produtividade, isso está evoluindo rapidamente. Quero dizer, falamos do ChatGPT, do Copilot e de todas essas ferramentas; é nisso que as organizações deveriam estar se concentrando agora: em como trabalhar com seus usuários para extrair a produtividade dessas ferramentas, porque isso já foi comprovado. A produtividade está aí, a capacidade está aí, e todos nós temos tanta coisa acontecendo. Temos muito trabalho repetitivo, e essas ferramentas estão nos permitindo, de fato, acho, nos livrarmos de parte desse trabalho tedioso do dia a dia e nos concentrarmos nas questões estratégicas que precisamos abordar para o negócio, porque é sempre a mesma história: temos que fazer mais com menos.

Bradd Busick: É isso mesmo.

Mark Dunkerley: Agora, o desafio é que tudo o que fizemos em termos de tecnologia nos últimos 20, 30 anos já está disponível. Bem, adivinhem só? É o fator humano que precisamos resolver agora. É a mudança, é a adoção, e é nisso que precisamos nos concentrar e realmente nos voltar quando analisamos o lado da produtividade. Como criamos nossos programas para promover essa adoção, demonstrar o valor, como isso complementa o que fazemos e como vai continuar tornando nosso trabalho mais eficiente à medida que avançamos? Acho que é nisso que precisamos nos concentrar agora: tentar entender como está o lado comercial ao analisarmos nossos dados, nossos processos e como podemos incorporar a IA para sermos mais eficientes. Quanto ao retorno sobre o investimento nesse aspecto, pessoalmente, acho que ainda estamos tendo dificuldade para identificá-lo.

Bradd Busick: Sim, acho que isso foi muito bem dito. Alguém me disse, no que diz respeito à produtividade, ”A maneira como vamos conseguir medir o impacto das ferramentas de produtividade é observando uma redução nas taxas de divórcio, porque agora as pessoas não vão mais trabalhar 80 horas por semana, elas vão trabalhar 60 e poderão dedicar essas 60 horas ao que é estratégico, como você mencionou.”

Mark Dunkerley: Eu adoro isso.

Bradd Busick: Eu achei que essa era uma métrica interessante.

A área de Vendas e Serviços da Coca-Cola Bottling é enorme. Quero dizer, vocês têm uma infinidade de elementos em movimento em uma gama extremamente variada de serviços e ambientes e, mesmo assim, conseguem agir como um todo. Quero dizer, vocês agem de forma coesa. Você e sua função têm uma perspectiva privilegiada sobre mais de 50 engarrafadoras para ver o que funciona e o que não funciona em grande escala, todos os dias. Qual você acha que é o erro mais recorrente que você vê os líderes de TI cometerem quando se trata de gerenciar gastos e, talvez, alguns desses custos ocultos?

Mark Dunkerley: Acho que, ao analisarmos os últimos anos, percebemos que isso tem sido bastante consistente em todos os aspectos. Não acho que seja algo realmente único. Mas acho que, quando analisamos o ciclo de vida, quer dizer, posso voltar 20 anos no tempo, e os custos ocultos, os gastos ocultos, eram basicamente tradicionais: “Ei, preciso de um aplicativo.”
“Bem, como você vai hospedar isso?”
“Ah, preciso de um servidor. Preciso de armazenamento.” E essa é a maneira à moda antiga. E então, de repente, nos últimos cinco, dez anos, todo mundo migrou para a nuvem.

Bradd Busick: É.

Mark Dunkerley: E aí é tipo: “Ah, ótimo, vamos simplesmente implementar a nuvem”. E, no caso de organizações maiores, você começa a ter que lidar com a TI paralela e com esses custos de consumo. E, mesmo que você tenha uma equipe de infraestrutura de nuvem boa e bem gerenciada, ainda assim você enfrenta desafios com a própria nuvem, e os custos de consumo são muito desafiadores; gerenciar esses custos exige muito trabalho. Portanto, vejo muitos casos assim ainda em organizações tradicionais com infraestrutura local que estão migrando para a nuvem e tentando gerenciar os custos de assinatura, tentando entender o que eles representam.

Hoje em dia, obviamente, a IA é o maior desafio. Agora estamos começando a ver nossos fornecedores de IA. Começamos com algum tipo de licenciamento, mas o custo deles está começando a mudar para um modelo mais baseado em tokens, e acho que ninguém sabe como calcular os custos de IA quando analisamos a partir dos custos baseados em tokens e também das questões que estamos tentando esclarecer. Essa é uma questão que todo mundo está levantando. Acho que uma das outras questões mais importantes com as quais todo mundo ainda está lidando — e acho que ninguém conseguiu superar isso — é o que se poderia chamar de “dívida técnica legada”. Ainda temos servidores legados por aí, servidores em fim de vida útil; estamos tentando nos livrar deles, tentando deixar isso para trás.

Aplicativos antigos que não foram modernizados e ainda utilizam métodos de autenticação desatualizados: como você garante a segurança e o isolamento desses sistemas? Quero dizer, à medida que você lida com a dívida tecnológica e o lado legado, acho que isso é algo com que todos continuam a se deparar constantemente. E, especialmente, à medida que enfrentamos cada vez mais riscos relacionados à segurança cibernética, isso está se tornando cada vez mais desafiador e precisamos avançar cada vez mais rápido, precisamos nos modernizar cada vez mais rápido e precisamos ser capazes de nos manter o mais atualizados possível. E isso parece ser uma tendência muito consistente em todas as organizações atualmente.

Bradd Busick: É verdade, e essa é, eu acho, a tensão interessante: os CEOs, os CFOs e os conselhos de administração ficam dizendo: “Ei, precisamos ter IA”, só que eles ainda não investiram o suficiente nem mesmo para chegar ao ponto em que você possa dizer sim à IA. É como colocar gasolina de péssima qualidade em uma Ferrari. Simplesmente não faz sentido algum. E, voltando ao seu ponto, e acho que para nossos ouvintes também, é importante refletir sobre como sanar parte dessa dívida técnica, não dizer “sim” à IA até que você tenha a estratégia certa em relação à identidade, até que você tenha a estratégia certa em relação à autenticação, e apenas alguns dos fundamentos básicos que a maioria das empresas nem sequer teve a chance de abordar porque tem se concentrado em manter as portas abertas. Portanto, é como pedir a alguém para dar um salto gigantesco na estratégia quando você ainda não dedicou tempo para dominar os fundamentos.

Mark Dunkerley: Concordo. Acho que é aí que a área de segurança realmente me ajuda muito, porque a área de segurança e risco, na minha opinião, está se apoiando mais nesses componentes fundamentais nos quais precisamos nos concentrar. Melhores práticas de identidade e como devemos realizar a autenticação por meio de correções multifatoriais. Tradicionalmente, o ciclo de correções é de mais de 30 dias. Bem, adivinhem só? Se houver o lançamento de uma correção, preciso instalá-la agora. Essa é a mentalidade que você precisa adotar. Para manter a modernização em dia, todas essas questões se baseiam fortemente no lado da segurança cibernética e no cumprimento dessas estruturas para ajudar a nos concentrarmos no que é necessário para dar suporte. Tornar-se mais moderno para dar suporte — como você mencionou — a essas iniciativas mais recentes que os conselhos e os líderes executivos estão dizendo: “Ei, precisamos fazer isso agora, enquanto ainda temos algumas bases sólidas”.

E acho que, como líderes, a questão é: como garantir e se colocar em uma posição, como CIO e CISO, para poder voltar e dizer: “Bem, ainda temos algumas coisas a fazer”. E eu aplico isso na área de segurança, na minha função de CISO, apresentando os dados e os fatos, e isso costuma fazer uma grande diferença. Não se trata de conversa, e sim de como eu consigo, de fato, articular isso de uma forma que chegue ao nível empresarial? E, para mim, são as estatísticas, são os dados, o que posso apresentar a eles para mostrar onde estamos e por que precisamos fazer isso para ajudar a construir essa narrativa.

Bradd Busick: Então, para aquele CIO que está ouvindo essa conversa neste momento e está sendo esmagado pela pressão orçamentária ou está abaixo de 3% da receita líquida — o que significa apenas o mínimo indispensável —, na defensiva e tentando reagir em vez de mitigar, qual seria aquele conselho específico que ele precisa começar a seguir ou deixar de seguir para mudar esse ritmo e antecipar-se ao problema, em vez de ficar correndo atrás dele?

Mark Dunkerley: Você mencionou isso há pouco, mas precisamos mudar nossos programas e nossa mentalidade para sermos mais proativos. Se a gente analisar a área de TI ao longo dos anos, vemos que continuamos nesse estado reativo, e isso remete àqueles custos ocultos. Quero dizer, tentar explicar que, de repente, precisamos fazer algo agora, mas não tenho recursos e como contornar isso. E, mais uma vez, não é fácil sair dessa situação, mas, do ponto de vista da segurança, dou grande ênfase à abordagem proativa em vez da reativa e em como nos posicionamos para o sucesso a longo prazo? E também se trata de mudar essa mentalidade de que a responsabilidade não é apenas do CIO ou do CISO. Tivemos essa questão em evidência nos últimos anos: quando ocorre um incidente de segurança, o CISO acaba perdendo o emprego.

Bradd Busick: Certo.

Mark Dunkerley: Bem, isso precisa mudar e isso faz parte da mentalidade. E como transferimos essa responsabilidade e prestação de contas de uma única pessoa — do CIO e do CISO — para a liderança executiva e o conselho administrativo? E é assim que se consegue essa visibilidade. A maneira como eu faço isso — e como fazemos no programa de segurança cibernética, e isso deveria ser aplicado de maneira generalizada — é: como você governar melhor seus programas? Governança, risco e conformidade são um dos programas mais importantes.

E isso pode se aplicar além da segurança cibernética, da mesma forma que o CIO de uma empresa de tecnologia. Como você apresenta e gerencia o programa que transfere essa responsabilidade de uma única pessoa para, de forma mais ampla, toda a empresa? E é aí que ela deve estar, em última instância. Então, sim, esse é mais ou menos o meu pensamento. Existem dados por aí. Acho que temos dados suficientes na comunidade. Já faz muito tempo que trabalhamos nisso, e acho que sabemos como nos posicionar da melhor maneira para alcançar mais sucesso do que tivemos no passado.

Bradd Busick: Eu adoro isso. Sim, na verdade, sinto que o futuro é muito promissor, e adoro a palavra que você mencionou, que é comunidade. Tenho um grupo no WhatsApp com 87 diretores de TI com quem já trabalhei em alguns dos maiores sistemas do país, e é assim que as decisões são tomadas. Eles simplesmente dizem: “Ei, você está usando o Produto X? E se é bom o suficiente para a Coca-Cola, vai ser bom o suficiente para a gente.” E, às vezes, é assim que o diálogo acontece.

E, obviamente, quando ocorreu o incidente com a CrowdStrike e quando surge a mais recente vulnerabilidade zero-day, é legal ver a comunidade se unir. E, na verdade, isso me dá muita esperança para o futuro. Então, Mark, foi um prazer conversar com você hoje. Muito obrigado por participar do The Savvy CIO.

Mark Dunkerley: É, eu adorei isso, Bradd. Agradeço pelo tempo e pela oportunidade, e agradeço a todos vocês que estão assistindo.

Bradd Busick: Hoje, passei o dia com o Mark. Eis o que ouvi e que acho que realmente vale a pena levar em conta. As antigas “pistas de natação” e os silos já não existem mais; acho que unificá-los em uma única “pista” de otimização é extremamente importante. Mark destacou a importância das relações comerciais. Dá para perceber, pelo jeito do Mark, que ele entende do negócio. Ele entende das relações e nunca mandaria um parceiro de negócios sozinho para a diretoria. Ele iria junto com ele, e isso só acontece por meio de experiência compartilhada, planejamento e parceria. Mark é capaz de mudar de rumo rapidamente porque não tem um plano de 18 meses. Na melhor das hipóteses, ele provavelmente tem um plano de ação de seis meses com recursos que ele acredita que apoiariam o negócio, não porque ele os inventou, mas por causa de sua parceria com a empresa. E foram eles que disseram a ele: “Ei, essas são as coisas que talvez queiramos ser capazes de fazer.” Então, adorei a visão do Mark sobre isso e ter um tempo com ele para conversar sobre como a Coca-Cola faz isso.

Por hoje é só. Muito obrigado por nos acompanharem. Siga-nos para não perder nenhum episódio. Este foi o The Savvy CIO, apresentado pela Park Place Technologies. Se quiser saber mais sobre a Park Place, acesse www.parkplacetechnologies.com.

E agora, uma última palavra do nosso convidado. Então, Mark, como você sabe, o programa se chama “The Savvy CIO”. Uma pergunta simples: qual foi a escolha mais inteligente que você já fez na sua carreira até agora?

Mark Dunkerley: Essa é uma boa pergunta para me colocar na borda do abismo. A escolha mais acertada que fiz até agora, acho, foi apostar nessa função de segurança cibernética. Isso realmente me ajudou a crescer, evoluir e acredito que vai me ajudar a ser um líder melhor em toda a área de tecnologia à medida que for avançando.

Bradd Busick: 100% bilíngue. Negócios e segurança: é uma combinação vencedora.

Sou o seu apresentador, Bradd Busick, e, como sempre, a TI não deve estar apenas à mesa; a TI é a própria mesa.

Mark Dunkerley é um executivo experiente nas áreas de segurança cibernética e tecnologia, com mais de 20 anos de experiência nos setores de ensino superior, saúde e em organizações da Fortune 100. Ele é especialista em arquitetura corporativa, liderança em operações de TI e na implementação de programas de segurança cibernética resilientes e escaláveis. Mark já liderou funções de tecnologia corporativa que abrangem infraestrutura, plataformas e prestação de serviços, alinhando a estratégia de TI aos resultados de negócios. Ele possui um MBA e várias certificações do setor, além de ser um líder de pensamento ativo, palestrante principal, membro de conselhos consultivos e autor de publicações. Reconhecido mundialmente, foi nomeado um dos Principais Líderes em Cibersegurança (2022), um dos Principais CISOs Globais (2024, 2025) e vencedor do Prêmio OnCon Icon 2026 na categoria Segurança da Informação.