Nesse sentido, a governança cibernética abrange o desenvolvimento e a aplicação de princípios comuns, de normas, de procedimentos e de programas que moldam a evolução e o uso das ferramentas digitais. A segurança da informação é obtida através da implementação de controles, de processos, de políticas e de procedimentos, que juntos fortalecem os objetivos de negócio com a minimização dos seus riscos, e a promoção da segurança da organização (NBR ISO/IEC 17799:2005). Abordam-se, ainda, ações voltadas à comunicação de ataques cibernéticos e de ações maliciosas, ao fortalecimento da capacidade institucional dos órgãos públicos em segurança cibernética, aos mecanismos de liderança, aos manuais de boas práticas, aos requisitos mínimos e às recomendações, ao monitoramento de políticas públicas, à gestão de riscos, ao atendimento dos interesses da sociedade, à custódia de dados por órgãos públicos e aos certificados em segurança cibernética, além das ações voltadas a outras temáticas. Para subsidiar e orientar a análise dos eixos temáticos de proteção e segurança, foram considerados os seguintes aspectos: - confiança da população nos serviços públicos online; - garantia, pela administração pública, de que seus órgãos protegem suas redes e sistemas, conforme a legislação sobre o tema; - investimento governamental na prestação de serviços digitais; - atendimento das normas de segurança cibernética, pelos fornecedores de bens e de serviços aos órgãos de governo; e - necessidade de informações atualizadas que subsidiem a política governamental atual, o planejamento de novas diretrizes e a futura concepção de programas. A governança na área cibernética está relacionada às ações, aos mecanismos e às medidas a serem adotados com o fim de simplificar e modernizar a gestão dos recursos humanos, financeiros e materiais, e acompanhar o desempenho e avaliar os resultados dos esforços empreendidos nesse campo. Essa governança visa incorporar elevados padrões de conduta em segurança cibernética, e orientar as ações de agentes públicos e de agentes privados, ao considerar o papel que exercem em suas organizações, conforme a finalidade e a natureza de seu negócio. Inclui, ainda, o planejamento voltado à execução de programas, de projetos e de processos, e o estabelecimento de diretrizes que irão nortear a gestão de riscos. Nesse contexto, orienta pessoas e organizações quanto à observância das normas, dos requisitos e dos procedimentos existentes em segurança cibernética. Segundo o Decreto nº 9.203, de 22 de novembro de 2017, em seu art. 1721, tem-se que “a alta administração das organizações da administração pública federal direta, autárquica e fundacional deverá estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos com vistas à identificação, à avaliação, ao tratamento, ao monitoramento e à análise crítica de riscos que possam impactar a implementação da estratégia e a consecução dos objetivos da organização no cumprimento da sua missão institucional”. Nesse contexto, ressalta-se a importância de as empresas, que produzem ou comercializam serviços no campo da segurança cibernética, adotarem padrões nacionais e internacionais no desenvolvimento de novas soluções, desde a sua concepção, o que é internacionalmente conhecido pelos termos privacy by design and default e security by design and default. Para tanto, destaca-se o papel do Estado em garantir às empresas a flexibilidade para continuar a criar mecanismos de aperfeiçoamento, com o uso de tecnologia de ponta para garantir a segurança de seus produtos, serviços e soluções e, assim, proteger seus usuários. Visualiza-se que a governança cibernética, considerada em âmbito nacional, orienta os direitos, as obrigações e as responsabilidades dos diversos segmentos da sociedade, e leva os órgãos públicos e as organizações privadas a priorizarem o uso seguro do espaço cibernético. Nesse sentido, verifica-se a importância de as instituições implementarem programas de segurança cibernética, com uso de modelos reconhecidos, que proporcionem um adequado diagnóstico do estágio em que se encontram, que identifiquem os pontos mais vulneráveis de seus sistemas, as ameaças cibernéticas mais prováveis, e os maiores fatores de risco que considerem a adoção das proteções adequadas, os mecanismos de detecção de ataques, as metodologias de resposta a incidentes e os procedimentos de restauração do ecossistema informático.