Caso verídico.
Um profissional que formei esta primavera era Responsável pela Segurança de TI numa empresa de logística há quatro anos. Firewalls, EDR, patching, tickets de incidentes. O seu território, e geria-o bem. Depois a empresa foi abrangida pelo NIS 2, as seguradoras começaram a fazer perguntas, e o conselho de administração decidiu que precisava de um CISO. Olharam à volta da sala e escolheram a pessoa óbvia. Ele.
Novo título. Mesma secretária. Uma agenda que de repente se encheu de coisas sem qualquer relação com tecnologia.
Na primeira reunião do conselho, apresentou quarenta diapositivos sobre métricas de vulnerabilidades. Cobertura de patches. Tempo médio de deteção. Contagens de CVE. Tinha trabalhado nisso durante duas semanas. Ao fim de seis minutos, o CFO interrompeu-o com uma única pergunta: "Então estamos bem ou não?"
Não tinha resposta. Não porque desconhecesse o ambiente. Conhecia-o melhor do que ninguém. Porque a pergunta não era técnica. Era sobre risco, expressa em consequências, assumida por alguém disposto a assinar com o seu nome uma decisão de julgamento. E nada nos seus quinze anos de carreira o tinha preparado para isso.
Contou-me que o caminho de regresso à secretária, após essa reunião, foi o mais longo da sua vida profissional.
Se alguma vez entrou numa sala cheia de executivos com um título de segurança e sentiu o chão mover-se sob os seus pés, sabe exatamente o que estou a descrever. Os detalhes mudam. A sensação não.
A promoção é real. A formação nunca acontece.
Eis o que acontece com quem se torna CISO: quase ninguém chega pela porta principal.
Era o melhor engenheiro de segurança, por isso fizeram-no gestor. Era o gestor que nunca deixava nada cair, por isso quando o regulador, a seguradora ou o questionário de um cliente exigiu um "responsável de segurança designado", o seu nome foi para a caixa. Num dia está a configurar controlos. No dia seguinte é responsável por eles, perante um conselho de administração, um auditor e, se as coisas correrem mesmo mal, um regulador com o seu nome no processo.
E entre esses dois dias, não há formação. Não há passagem de pasta. Ninguém o senta e diz: aqui está como se constrói um programa de segurança em vez de uma pilha de ferramentas. Aqui está como se fala com pessoas que pensam em euros e trimestres. Aqui está o que um auditor abre primeiro. Aqui está como se toma uma decisão de risco que se consiga defender dois anos depois.
As competências que lhe valeram o título não são as competências que o cargo exige. Não é um insulto. É o design da progressão de carreira. A escala técnica termina onde o cargo executivo começa, e o setor simplesmente assume que vai descobrir a diferença por improviso.
A maioria das pessoas improvisa. Durante anos. Algumas safam-se. As que não se safam são aquelas cujo nome consta no relatório de incidente.
Cinco partes do trabalho que ninguém ensina
Formei muitos líderes de segurança, e desempenho eu próprio este cargo. As mesmas cinco lacunas surgem sempre, não porque essas pessoas não sejam capazes, mas porque nunca ninguém lhes ensinou a camada executiva do papel.
Traduzir segurança para a linguagem do conselho de administração.
O conselho não se preocupa com CVEs. Preocupa-se com se a empresa consegue aceitar uma encomenda, pagar salários e ficar fora dos jornais. "Temos 3.400 vulnerabilidades por corrigir" não significa nada para eles. "Se este sistema cair, paramos de expedir durante três dias e aqui está o que isso custa" obtém-lhe orçamento. A diferença entre essas duas frases é a principal razão pela qual os orçamentos de segurança morrem em comissão, e nenhuma certificação técnica no mundo ensina a fechá-la.
Gerir um programa, não uma coleção de ferramentas.
A maioria das funções de segurança é arqueologia: camadas de ferramentas e hábitos depositados por quem estava no cargo na altura. Um programa é diferente. Tem âmbito, objetivos, um método de risco, controlos escolhidos por razões, medição e um ciclo que o melhora. Os auditores farejam a diferença em uma hora. Os reguladores também. Se não consegue desenhar o seu programa numa página, não tem um programa. Tem um inventário.
Tomar decisões de risco com o seu nome nelas.
"Aceitamos este risco" é a frase que separa o CISO do engenheiro de segurança. Alguém tem de decidir quais os riscos a tratar, quais a aceitar, e conseguir defender essa decisão quando ela envelhece mal. A maioria dos novos CISOs ou evita a decisão (tudo é "alto", nada é assinado) ou toma-a informalmente, sem nada registado. Ambas as versões terminam da mesma forma: mal, perante alguém a tomar notas.
Liderar incidentes em vez de os trabalhar.
Quando o incidente acontece, o seu trabalho já não é o terminal. É a sala. Decidir quando notificar o regulador, porque NIS 2 e GDPR têm prazos, e são mais curtos do que pensa. Decidir o que dizer aos clientes e quando. Impedir que o CEO entre em pânico ou, pior, que fique em silêncio. A resposta técnica tem um runbook. A resposta de liderança é a parte que toda a gente improvisa, e é a parte que acaba no relatório pós-incidente.
Sobreviver ao escrutínio que nunca para.
A época de auditoria costumava ser uma época. Agora é um clima: auditorias de certificação, auditorias de vigilância, auditorias de clientes, questionários de seguradoras, DORA, NIS 2, e um conselho que lê sobre violações ao pequeno-almoço. Se as suas evidências só existem nas duas semanas de pânico antes de cada auditoria, não tem garantia. Tem teatro. O trabalho consiste em construir a máquina que produz evidências ao longo do ano, para que o escrutínio se torne enfadonho. O bom tipo de enfadonho.
Nada disto é exótico. É o trabalho real. Simplesmente ninguém o ensina, porque toda a gente assume que o aprendeu antes de obter o título. Não aprendeu. Eu também não. Ninguém aprende.
O que cinco dias lhe dão, concretamente
Permita-me ser direto sobre o que este curso é e não é.
Não vai sair com dez anos de cicatrizes executivas. Isso só vem de uma forma. O que vai levar é a estrutura que me levou anos de auditorias, incidentes e reuniões de conselho a montar, apresentada por ordem, para que pare de improvisar o cargo mais importante da sua carreira.
Vai saber como é um programa de segurança completo, do início ao fim, para poder ver exatamente o que falta à sua organização. Vai ter uma abordagem ao risco que consegue defender: perante um conselho, um auditor, a si próprio às 2 da manhã. Vai perceber como conformidade, arquitetura, controlos, incidentes e medição se ligam num único sistema em vez de cinco ansiedades paralelas. Vai saber o que as pessoas do outro lado da mesa (auditores, reguladores, executivos) procuram realmente, para poder preparar-se em vez de actuar. E vai ter uma credencial de nível executivo que confirma que nada disto é autodeclarado.
É essa a diferença entre ter o título e fazer o trabalho.
É para isso que servem os 5 dias
10 a 14 de agosto. Segunda a sexta. Online em direto, em inglês. Uma turma limitada a seis pessoas, porque ao sétimo a conversa morre e as histórias da guerra ficam no meu caderno.
| Dia | O que aprende |
|---|---|
| Segunda-feira | O que o papel do CISO realmente é, e não é. Como estruturar um programa de segurança da informação de raiz, e como assumir um que herdou. Onde o papel se situa entre o conselho, a TI e o regulador, e como manter essa posição. |
| Terça-feira | Como construir um programa de conformidade que sobrevive ao NIS 2, DORA e GDPR em vez de os perseguir. Como avaliar o que já tem sem se iludir. Como gerir o risco da forma que os executivos e os auditores precisam: decisões, responsáveis, evidências. Como desenhar arquitetura de segurança a partir do risco, não de brochuras de fornecedores. |
| Quarta-feira | Como selecionar e operar controlos de segurança que consiga justificar. Como liderar a gestão de incidentes: as decisões, as notificações, a sala, não apenas os tickets. Como gerir a mudança sem que a segurança se torne o departamento do não. |
| Quinta-feira | Como construir sensibilização que as pessoas não dormem. Como medir o seu programa para que "estamos bem?" tenha resposta. Como construir a máquina de garantia que torna as auditorias enfadonhas. Como manter o programa a melhorar em vez de a degradar-se. |
| Sexta-feira | Exame de certificação PECB. Três horas. Esteve a preparar-se para isto durante toda a semana. |
Cada linha começa com "como". O "o quê" está em todos os documentos de framework que já folheou. O "como" é o que está a pagar.
Quem ensina isto
Eu. Christophe Mazzola. CISO ativo, fundador da Cyber Academy, PECB Gold Trainer.
Não ensino este papel a partir de um manual, porque regresso a ele na segunda-feira. Quando explico como apresentar risco a um conselho, é porque vi os olhos de um conselho a ficar baços perante os meus diapositivos e tive de aprender o que realmente resulta. Quando explico liderança em incidentes, é porque fui a pessoa a decidir se o regulador é contactado esta noite ou amanhã de manhã. Quando alguém no curso diz "o meu conselho simplesmente não liga", não lhe dou a resposta do exame. Digo-lhe o que diria na próxima reunião do conselho dessa pessoa, porque tive de o dizer nas minhas.
Duzentas auditorias. Cem implementações. Anos na cadeira que dá nome a este curso. Aprende o trabalho com alguém que faz o trabalho.
A garantia
Conclua o curso. Faça o exame. Se não passar, reembolsamos a taxa de formação.
Sem letra pequena além de terminar o programa e fazer o exame. Chamamos-lhe Certified or Refunded, e é a sério. A metodologia funciona, a taxa de aprovação comprova-o, e se está a investir uma semana do seu tempo e o dinheiro da sua empresa, merece um fornecedor que aposta no mesmo resultado que você.
Os detalhes
- Curso: PECB Chief Information Security Officer, Certified
- Datas: 10 a 14 de agosto de 2026
- Formato: Online em direto. Interativo. Não gravado.
- Língua: Inglês
- Dimensão da turma: 3 a 6 participantes
- Exame: Exame PECB de 3 horas no Dia 5, taxas incluídas
- CPD: 31 créditos
- Repetição gratuita: Dentro de 12 meses
- Preço: €2.499
- Garantia: Certified or Refunded
A sua decisão
Se acabou de receber o título e está a improvisar o trabalho, é aqui que o improviso termina.
Se tem feito o trabalho há anos sem a credencial, esta é a prova de nível executivo de que não é autodeclarado.
Se as reuniões do conselho lhe parecem uma apresentação numa língua estrangeira, é aqui que aprende a tradução.
E se sabe que um incidente ou uma auditoria está a chegar, e há sempre um, é assim que os enfrenta com um programa em vez de uma prece.
Reserve o seu lugar na turma de agosto.
Questões? Escreva-me diretamente. Sem equipa de vendas. Sem chatbot. Só eu.