Catorze linhas num slide. Licenças, renovações, um teste de intrusão, dois headcounts, formação de sensibilização, uma atualização do SIEM.
O seu CFO olha para isso durante cerca de onze segundos.
"Quais três eliminaria?"
Não tem resposta. Então são eles a escolher três.
E acabou de lhes dizer algo pior do que qualquer número nesse slide. Disse-lhes que não tem uma ordem de prioridades. Agora eles têm uma, construída a partir das palavras que pareceram menos essenciais a alguém que não trabalha em segurança.
O seu CFO não está a cortar o seu orçamento. Está a cortar as linhas que não consegue classificar.
Um CFO assina duzentos mil que compreende antes de assinar quarenta mil que não compreende. Isso não é hostilidade. É a descrição do cargo.
O Que São as Cinco Linhas
Não são categorias de despesa. São categorias de decisão.
- Operação: o que já pagamos
- Conformidade: o que comprometemos por escrito
- Redução: as exposições que estamos a mitigar este ano
- Capacidade: pessoas, dias, formação
- O dia mau: o que precisamos quando as coisas correm mal
Quatro dessas linhas não são verdadeiramente negociáveis, e dizê-lo desde o início é o ponto central. Fica uma linha para discutir, o que transforma a reunião numa conversa que pode ganhar.
Aqui está cada uma delas, e o que as mata.
1. Operação: O Que Já Paga
Licenças, renovações, o serviço gerido, a fatura de logging, manutenção de certificados.
Isto não é uma proposta. É uma renovação. Dizer isso nos primeiros trinta segundos esvazia a maior parte do debate antes de começar, porque ninguém discute a fatura da eletricidade.
Dica: Todos os orçamentos de segurança têm uma linha que ninguém consegue explicar, normalmente uma ferramenta comprada por alguém que entretanto saiu. Encontre a sua antes que o CFO o faça. Entrar na reunião já tendo eliminado algo é a credibilidade mais barata que alguma vez vai comprar, e muda a forma como o resto da página é lido.
2. Conformidade: O Que Comprometeu por Escrito
O que assumiu contratualmente e o que a lei exige. O certificado. NIS 2. DORA. A cláusula de segurança no contrato com o seu maior cliente.
Cortar aqui quebra algo com um nome associado, e as finanças leem a exposição contratual muito melhor do que leem a exposição técnica.
Dica: Identifique com precisão. "Requisito regulamentar" é invisível. "Cláusula 8.3 do contrato com o nosso maior cliente, que renova em março" não é. Um é uma categoria. O outro é um número que o seu CFO já consegue visualizar.
3. Redução: A Única Linha que Vale a Pena Discutir
As duas ou três exposições que está a mitigar este ano, com um valor associado a cada uma.
Esta é a única linha verdadeiramente discricionária da página. O que significa que é aqui que a conversa deve acontecer, e em mais lado nenhum. Se estruturou corretamente as outras quatro, toda a reunião colapsa nesta linha por design.
Os números saem do seu registo de riscos. Não da sua cabeça, nem de um deck de fornecedor. Se o seu registo é uma lista de controlos em falta em vez de cenários com consequências associadas, não tem nada para colocar aqui.
Dica: Teste cada entrada começando a frase com "o risco de". Se ainda fizer sentido, pertence à linha três. "Sem MFA" falha esse teste. É uma lacuna, não uma exposição, e não vai sobreviver a um CFO a perguntar quanto lhe custa.
4. Capacidade: O Primeiro Corte e o Mais Caro
Pessoas. Dias externos. Formação.
Primeiro a ser cortado, o mais difícil de defender, porque o custo de não o ter manifesta-se como lentidão e não como falha. Nunca ninguém escreveu um relatório de incidente sobre uma equipa demasiado reduzida para chegar ao trabalho.
Dica: Associe a capacidade a algo com uma data. "Duzentos dias de suporte externo" morre na sala. "Suporte externo suficiente para encerrar o programa de auditoria interna antes da visita de vigilância" sobrevive, porque está agora a proteger um resultado que o seu CFO já sabe que existe.
5. O Dia Mau: A Linha que as Finanças Compreendem Melhor
Retainer de resposta a incidentes. Forensics em standby. Assessoria jurídica que já conhece o seu ambiente.
As finanças são onde aterra a fatura de emergência, por isso esta é a linha que leem mais depressa. A comparação escreve-se a si própria: o custo do retainer, contra o custo de comprar a mesma capacidade às duas da manhã durante um incidente, sem posição negocial e sem tempo para lançar um processo de procurement.
Pequeno, concreto, fácil de aprovar. Move também o registo de toda a conversa de despesa para seguro, que é uma linguagem que as finanças já falam fluentemente.
6. Regras para a Sala
Traga o seu próprio corte. Entre com as cinco linhas e uma segunda versão a sessenta por cento, e diga claramente o que a versão a sessenta por cento deixa de fazer. Não lhe vão pedir para justificar o orçamento nessa reunião. Vão perguntar qual das versões adoptar, o que é uma conversa diferente e que está agora a liderar.
Cada linha responde a "e se for zero". Se não consegue dizer o que quebra, a linha já está morta. Elimine-a você próprio, antes da reunião, e conte-a como uma vitória.
Um número por linha. Cinco números. Não uma folha de cálculo. Se quiserem o detalhe, vão pedir, e então está a responder a uma pergunta em vez de defender um documento. Do outro lado da mesa, isso parece muito diferente.
Identifique o responsável de negócio de cada redução. Não você. A pessoa que é dona do processo que está a proteger. Uma linha com um diretor de operações por detrás deixa de ser um custo de segurança e passa a ser um custo de negócio que a segurança gere.
Nunca diga "boas práticas". O seu CFO ouve "sem business case". O mesmo vale para "padrão da indústria" e "os auditores esperam isso". Ambas são verdade. Nenhuma é um argumento.
Não está a competir com o não. Está a competir com mais dois comerciais. Essa é a comparação real que está a ser feita na sala, por isso faça-a você próprio: duas contratações de vendas contra aquilo que evita perder o cliente que já tem. As finanças conseguem calcular isso. As finanças não conseguem calcular um panorama de ameaças.
Anedota: A reunião de orçamento mais útil que alguma vez tive durou quatro minutos. Comecei com a linha um e disse que íamos desligar uma ferramenta que pagávamos desde 2021 e que ninguém conseguia associar a uma decisão. Tudo o que se seguiu foi lido como um documento sério em vez de uma lista de desejos, e a linha três passou sem uma única pergunta. Nunca obtive tanto a devolver dinheiro.
7. Se Cortarem a Linha Três, Registe por Escrito
Podem fazê-lo. É a linha discricionária, e discricionário é exatamente o que a palavra significa. É uma decisão de negócio legítima e pertence-lhes.
É também uma aceitação de risco.
Por isso vai para o registo. Com data, descrita, com o nome deles. Não como ameaça nem como represália, mas porque é isso que a cláusula 6.1.3 da ISO/IEC 27001 prevê quando um responsável pelo risco decide conviver com algo. O seu CFO é um responsável pelo risco, quer alguém tenha ou não usado essa expressão na sua presença.
Duas coisas mudam no momento em que faz isso.
A decisão deixa de ser uma linha orçamental e passa a ser um registo de governação, o que significa que aparece na revisão de gestão e perante o seu auditor. E no ano seguinte, quando a mesma exposição continua na página, a conversa parte de uma decisão que eles tomaram em vez de um pedido que está a repetir.
Essas duas reuniões decorrem de forma muito diferente.
Dica: Envie a entrada do registo na mesma semana, em duas frases, com a data de aceitação e uma data de revisão. Não um memorando, não um aviso. Um registo. Se precisar de uma nota de acompanhamento a explicar por que o está a enviar, é porque o escreveu mal.
Nota Final
A maior parte dos orçamentos de segurança falha porque são uma lista de compras defendida pela pessoa que quer fazer as compras. Cinco linhas, cada uma com um responsável, é um documento de governação que tem números.
Mesmo conteúdo. Reunião completamente diferente.
"Quais três eliminaria?"
Com catorze linhas, essa pergunta encerra a conversa. Com cinco, inicia uma.
Tudo o que está acima é o Domínio 1 do CISM. Construir o business case, alinhar o investimento em segurança com o que a organização está realmente a tentar fazer, e reportar a pessoas que não trabalham em segurança. O Domínio 2 é de onde vêm os números da linha três. Se quer conduzir estas conversas a partir de um framework em vez de o fazer por instinto, é isso que ensinamos no **CISM: Certified Information Security Manager**. Quatro dias, acreditado pela ISACA, os quatro domínios e o exame. Certificado ou reembolsado.