A crescente frequência, sofisticação e impacto de ataques cibernéticos nos negócios têm transformado os planos de segurança na internet, que antes eram uma preocupação operacional dos departamentos de tecnologia da informação (TI), em tema central nas agendas estratégicas dos CEOs. No entanto, os níveis superiores do negócio ainda enfrentam uma lacuna de informação que dificulta o alinhamento dos investimentos destinados para prevenção de riscos com percepção do real valor estratégico dos ativos digitais de uma organização; isso de acordo com o estudo “A Strategic Approach to Cybersecurity”, elaborado pela Bain & Company, empresa global de consultoria em negócios.
As estatísticas compiladas e analisadas pela Bain revelam que:
- Os dados mais recentes disponíveis mostram que o gasto médio com crimes cibernéticos saltaram 56%, para US$ 5,9 milhões por empresa em 2011, em relação ao ano de 2010;
- No mesmo período, ataques na internet cresceram 36%, chegando a 4.500 incidências por dia;
- Malware em celulares quadruplicaram em 2013, com ataques ao sistema Android registrando impressionantes 26 vezes mais casos do que anteriormente;
- Ataques distribuídos por negação de serviço (DDoS, do inglês Distributed Denial-of-Service attack) cresceram 27% no mesmo período;
- Motivações financeiras representam agora 95% dos ataques na web, tornando os ativos ainda mais estratégicos, já que podem ser monetizados após a invasão nos principais alvos.
Os CEOs devem começar a pensar na segurança de TI de forma diferente. “O assunto tem de ser tratado como uma questão estratégica de nível superior, porque as consequências em caso de falhas podem ser desastrosas. Os efeitos imediatos de uma violação de dados de um cliente, por exemplo, incluem visibilidade negativa na imprensa, queda em vendas e desvalorização de ações, além de possíveis ações judiciais e investigações legais”, diz Jean-Claude Ramirez, sócio do escritório da Bain em São Paulo e coautor do estudo.
Toda empresa que recentemente sofreu com uma brecha de segurança, o relatório mostra, já tiveram algum tipo de plano de segurança cibernética. Apesar disso, muitas organizações não conseguem alinhar os recursos voltados para segurança em TI com os objetivos maiores e riscos globais do negócio. O estudo aponta a falta de conexão entre os esforços de gerenciamento de riscos das empresas e o desenvolvimento de capacidades necessárias para a segurança cibernética como provável causa dos incidentes individuais. Isso porque os grupos de negócios e TI normalmente falham ao discutir ameaças emergentes e a relativa importância de diferentes tipos de ativos digitais.
Em vez disso, de acordo com o estudo da Bain, obrigações de conformidade, que não implicam em desenvolvimento de estratégia, são os maiores drivers para segurança cibernética para três em cada quatro CIOs. Esta constatação demonstra o excesso de confiança depositada em abordagens operacionais para segurança.
Para a Bain, a abordagem estratégica para o planejamento de segurança na internet deve seguir os seguintes pontos: 1) alinhamento da segurança para TI e os esforços para prevenção de riscos com os requisitos do negócio, 2) robusta avaliação e gestão de riscos em TI, 3) administração efetiva para planejar, financiar e executar atividades estratégicas e operacionais da equipe de TI, 4) estruturação do planejamento de longo prazo, concepção e gestão de operações técnicas e 5) táticas para “apagar incêndios” e operações rotineiras, a proteção dos centros de dados e outros ativos físicos.
“No mundo de hoje, com altas ameaças e altos impactos, as organizações de TI devem se concentrar em priorizar os ativos digitais com base no valor e risco para a empresa. É necessário o envolvimento de níveis superiores para garantir os investimentos corretos em tecnologia, processos e recursos”, finaliza Ramirez.
