Com relação à definição de papéis e de responsabilidades, vê-se que o cidadão brasileiro precisa elevar sua participação no ecossistema digital, não somente por meio do uso das tecnologias, porém, principalmente, no combate aos crimes cibernéticos, à chamada pirataria de software22 e às ações maliciosas, ao reportar, por meio dos canais específicos de denúncia, todos os ilícitos cibernéticos de que for vítima. No que tange à gestão de riscos, verifica-se que é um dos principais pontos de sustentação da governança cibernética, uma vez que indica a adoção de melhores políticas e metodologias, o que permite gerir, de forma otimizada, os limites aceitáveis de risco. Essa gestão resume-se aos princípios, aos objetivos, às estruturas, às competências e aos processos necessários para se conhecer as vulnerabilidades, e assim permitir que sejam tratadas de modo eficaz, sendo, portanto, uma ferramenta que permite a cada instituição, dentre outros benefícios, ter a perfeita dimensão de seus pontos críticos e dos ativos mais relevantes a proteger. Em 13 de outubro de 2008, o Gabinete de Segurança Institucional da Presidência da República publicou a Norma Complementar nº 02/IN01/DSIC/GSI/PR, que dispõe sobre a metodologia de gestão de segurança da informação e dá orientações acerca de definição de riscos, de procedimentos para identificar os riscos e seus níveis aceitáveis, da análise de impactos e de probabilidades e de opções de tratamento dos riscos. Adicionalmente, em 15 de fevereiro de 2013, o Gabinete de Segurança Institucional da Presidência da República publicou a Norma Complementar nº 04/IN01/DSIC/GSI/PR, que estabelece diretrizes para o processo de gestão de riscos de segurança da informação e comunicações nos órgãos ou entidades da Administração Pública federal, direta e indireta. Essa norma faculta que cada órgão ou entidade pública adote uma metodologia de gestão de riscos de segurança da informação que atenda aos objetivos, às diretrizes gerais e ao escopo definido, e que contemple, no mínimo, os critérios de avaliação e de aceitação do risco. Com o tempo, verificou-se que cada instituição adota metodologias e arcabouços internacionais diferentes, que, dentre outras coisas, fornecem: políticas de orientação de segurança, recomendações de boas práticas e guia para auxiliar as empresas na avaliação e no aprimoramento dos seus sistemas de controle interno, o que inclui a avaliação de riscos. A adoção desses arcabouços de forma distinta entre os órgãos e entidades públicas e empresas do setor privado, dificulta a análise do grau de maturidade em segurança cibernética do País de forma geral, uma vez que os critérios e requisitos de cada normativo não são os mesmos, so que torna necessário padronizar as melhores práticas e permitir que mesmo pequenas organizações possam adotar medidas eficientes para a proteção de suas informações. Desse modo, destacam-se a avaliação e a gestão de risco em segurança cibernética como fatores chaves para a proteção do espaço cibernético, dos serviços e das informações nele existentes. Entretanto, verificou-se que a adoção de padrões únicos e excludentes de governança não produziriam necessariamente resultados positivos, ao considerar a transversalidade e a capilaridade das ações de segurança cibernética nas instituições públicas e privadas e na sociedade em geral. Ressalta-se, ainda, que políticas de governança cibernética devem corresponder a processos contínuos que façam parte da cultura de entidades públicas e privadas. Em consequência, no contexto mais amplo de governança, recomenda-se, como patamar inicial, a observância das normas emitidas pelo Gabinete de Segurança Institucional da Presidência da República. Entretanto, sabe-se que essas normas não são exaustivas, e devem ser consultadas e, quando pertinentes, também adotadas as normas correlatas da Organização Internacional para Padronização (ISO, do inglês International Organization for Standardization), além de outros padrões metodológicos, tais como o Control Objectives for Information and related Technolog - COBIT23, o National Institute of Standards and Technology - NIST24 e o discorrido pelo Center for Internet Security - CIS25. Desse modo, encorajam-se as empresas a adotarem medidas customizadas de segurança e ferramentas para tratar os riscos enfrentados pelo seu modelo de negócio específico. A observância desses padrões pelos diferentes atores nacionais, para a elaboração de seus normativos em segurança cibernética, mostra-se relevante, uma vez que fornecem estruturas amplamente avaliadas e baseadas em consenso para definir e implementar abordagens eficazes para a segurança cibernética que possam ir ao encontro de desafios comuns, e assim possibilitar colaboração e interoperabilidade. As ações de governança devem, ainda, de acordo com o contexto de cada instituição, contemplar conceitos de segurança cibernética que abordem iniciativas integradoras e que permitam a macro gestão de diversos ativos e de diferentes tecnologias, como uma plataforma SOAR - Security Orchestration Automation and Response, que consiste em um conjunto de soluções26 de softwares compatíveis que permitem que uma organização colete dados sobre ameaças de segurança de várias fontes. Uma plataforma SOAR inclui uma série de recursos27 de gestão de segurança, análise e relatórios que utilizam dados legíveis de múltiplas fontes para oferecer relatórios, análises e funções de automatização de fluxos de trabalho