O que é risco cibernético?
O risco cibernético é ocasionado quando há comprometimento da confidencialidade, da integridade dos dados ou da tecnologia da informação e pode ocasionar perdas financeiras, impactos operacionais negativos e danos a sistemas, organizações, governos e pessoas. Ele está associado à perda de informações ou tecnologia da informação em qualquer de suas formas, sejam dados ou os próprios sistemas, por meio de qualquer incidente de segurança nos meios digitais.
O risco cibernético existe devido à incerteza inerente associada às necessidades tecnológicas e de disponibilidade de dados que resultam em um acesso facilitado a grandes volumes de informações, para muitos usuários e sistemas. O acesso não autorizado pode acontecer por muitas razões, desde funcionários confusos ou negligentes até acesso excessivamente privilegiado ou mesmo espionagem corporativa, e pode levar tempo para que as organizações descubram e entendam, o que retarda os tempos de resposta e exacerba os transtornos organizacionais e danos à reputação.
Apesar de todos os alertas preocupantes referentes a tais riscos, isso é uma consequência provável dos enormes benefícios das tecnologias digitais e do acesso ao big data. Em vez de atender aos requisitos básicos de segurança e esperar que nada de mau aconteça, as empresas em melhor situação se concentram em administrar as ameaças de modo apropriado, desde entender sua evolução constante até investir em inteligência cibernética ao obter as melhores ferramentas técnicas e segurança de rede para lidar com elas.
Investindo em uma melhor gestão de riscos
A gestão do risco virtual, especialmente para a empresa, requer cada vez mais sistemas altamente complexos desenvolvidos e mantidos por profissionais de elite eficazes no fornecimento de soluções organizacionais globais de ponta a ponta. Para proteger a reputação da organização, também é fundamental entender, medir e gerenciar as ameaças cibernéticasde forma transparente e proativa. Isso requer mais do que reconhecer a existências destes riscos, mas quantificar seu impacto potencial e priorizar as estratégias de diminuição de ameaças e de rede de segurança de modo proporcional.
É devido à interconectividade das empresas que o risco nos meios digitais de um único incidente pode se estender rapidamente a outras áreas da organização, com danos que aumentam exponencialmente à medida que a empresa tenta reagir e se recuperar. Além dos problemas habituais de phishing, ransomware e violações de dados, a gestão proativa e reativa exige que sejam levadas em consideração as seguintes situações:
- Atualizações e upgrades do sistema
- Migração para a nuvem
- Implementação de novas tecnologias, como a internet das coisas (IoT)
- Integração de novos relacionamentos com terceiros
- Fusões e aquisições
- Regulamentos novos e atualizados
- Defesa em ações judiciais
- Perda acidental de informações confidenciais
- Ameaças nocivas externas e internas
Reações rápidas, mas cuidadosamente consideradas e metódicas aos desafios da rede de segurança são cruciais para gerenciar o risco virtual.
Embora a equipe de TI esteja à frente, limitar o gerenciamento de riscos a um único departamento da empresa é ter visão limitada e tem grande probabilidade de agravar os problemas em uma emergência. Além do treinamento habitual de segurança dos ambientes digitais, os membros da equipe precisam de testes e exercícios para praticar respostas adequadas a emergências e ameaças sem entrar em pânico e potencialmente exacerbar o problema.
Redefinindo o risco cibernético
A empresa que de fato reconhece e se prepara para eliminar esses riscos tem a oportunidade de transformar ameaças preocupantes e assustadoras que afetam continuamente a organização em uma boa prática de segurançae negócios, que funciona como um diferencial de mercado. A inteligência cibernética que a empresa desenvolve para gerenciar os riscos pode servir como valor agregado e símbolo de integridade organizacional e responsabilidade para clientes, analistas, membros do conselho, investidores e outras partes interessadas, além de gerar confiança na marca e na reputação da empresa.
Reestruturar os riscos na era digital requer considerá-los um problema estratégico de toda a empresa, em vez de um desafio de segurança em silos para a equipe de TI gerenciar. As percepções sobre o volume e a intensidade dessas ameaças podem variar amplamente em toda a empresa se não se buscar um entendimento fundamental para alcançar e compartilhar. O gerenciamento, no entanto, depende diretamente da identificação e avaliação precisas deles.
Como identificar e avaliar potenciais riscos
Até mesmo as organizações empresariais podem subestimar as ameaças nos ambientes digitais se considerarem a si mesmas de baixo risco, porque não estão entre as grandes empresas de serviços financeiros, nem são empresas de saúde, que costumam gerar manchetes por causa de ataques cibernéticos. No entanto, esses riscos não se alinham apenas com as categorias do setor; operações digitais extensas geram inúmeras vulnerabilidades e as ameaças podem vir de muitas direções diferentes. Avaliar e determinar ameaças é parte integrante da compreensão da postura geral de segurança da empresa.
A noção que muita gente tem do hacker solitário, revoltado e vestido com capuz em uma garagem deve ser dissipada em toda a empresa. Embora os ataques cibernéticos por hackers dominem as manchetes de notícias, os funcionários devem estar cientes da amplitude e escala do crime organizado em relação a esses tipos de riscos, bem como das muitas maneiras pelas quais a empresa pode ser prejudicada, incluindo falhas técnicas catastróficas e distúrbios nas operações de negócios.
Identificando seus elementos
Um debate aberto em todos os níveis organizacionais promove uma avaliação adequada das ameaças digitais. Esse debate deve ser contínuo e evoluir para acompanhar o ritmo das constantes mudanças no ambiente das ameaças. Os assuntos que devem ser tratados são:
- Vulnerabilidades e exposições organizacionais, de sistemas e de dados, tanto as já conhecidas como as suspeitas;
- Ataques cibernéticos recentes, seus efeitos e reações positivas e negativas das organizações que foram as vítimas;
- Mudanças na legislação e regulamentos;
- Estratégias de riscos atualizadas e novas;
- Desafios operacionais de TI, como baixa integridade do sistema;
Os aspectos específicos para revisar regularmente são:
- Políticas e procedimentos de acesso remoto;
- Utilização de dispositivos de propriedade da empresa para atividades não relacionadas ao trabalho;
- Segurança e proteção do dispositivo, inclusive regras de uso de dispositivos próprios (BYOD);
- Acesso físico aos escritórios da empresa;
- Integridade do sistema de TI;
- Recuperação de desastres de segurança de rede;
- Documentação da política de segurança dos ambientes digitais;
A identificação de riscos permite que a empresa amadureça continuamente a resiliência organizacional em relação não apenas aos dados do cliente, mas também aos dados financeiros internos e à propriedade intelectual.
A quantificação destes riscos promove uma discussão em níveis organizacionais mais altos que leva em consideração as metas e objetivos de negócios e torna a mitigação um veículo para a resiliência operacional.
Fazendo a gestão global do risco cibernético
A globalização e o aumento da interconectividade apoiam a empresa que está em crescimento, mas quando combinados com crimes cibernéticos cada vez mais complexos e generalizados e o número progressivo e a gravidade dos ataques cibernéticos, os riscos também aumentam. Atuar em áreas com diferentes regulamentações de privacidade também apresenta muitos desafios logísticos, desde evitar multas até gerenciar notificações de violação de dados para atender solicitações de acesso do titular dos dados.
Espera-se que a legislação de privacidade em muitos países se torne ainda mais rigorosa nos próximos anos. Os governos também vêm se envolvendo cada vez mais na proteção de informações e sistemas, o que resulta em níveis mais altos de escrutínio sobre como as operações comerciais são realizadas.
A resposta rápida é fundamental para gerenciar os riscos durante um incidente cibernético, independentemente do tamanho da superfície de ataque, mas também apresenta muitos outros desafios para a empresa internacional. As dicas abaixo são consideradas importantes para um programa global de gerenciamento de risco virtual.
4 dicas para reduzir o risco cibernético
Uma abordagem universal para reduzir o risco em ambientes digitais não é adequada para a empresa. Os pontos fracos na força de trabalho, informações, operações e sistemas variam amplamente entre as grandes organizações, assim como as soluções para fazer melhorias de segurança digital realistas, escaláveis e sustentáveis. Uma avaliação dos conhecimentos, processos e tecnologia existentes disponíveis para a empresa e como eles interagem é um bom primeiro passo para entender o que deve acontecer a seguir.
1. Crie uma política de proteção cibernética
- Estabeleça a direção e a natureza da abordagem de redes de segurança da empresa;
- Liste ativos que devem ser abordados, ameaças antecipadas a esses ativos e quais procedimentos e sistemas de segurança virtual os protegem;
- Identifique fraquezas, especialmente excesso de confiança em terceiros e vulnerabilidades do “fator humano”;
- Considere o impacto dos dispositivos mais antigos na vulnerabilidade organizacional e defina padrões que evitem depender de software e sistemas operacionais desatualizados e sem suporte;
- Esteja em conformidade de referência cruzada e de mandatos regulatórios com a política de defesa cibernética organizacional para garantir a cobertura adequada e evitar esforços duplicados com eficiências integradas;
- Estruture o treinamento e o desenvolvimento dos membros da equipe para fornecer uma visão completa dos riscos organizacionais e atender aos requisitos de segurança nos meios digitais;
- Determine a frequência das revisões de políticas cibernéticas, bem como os eventos que determinam revisões, como aquisições e lançamento de novas unidades de negócios;
- Controle e monitore cuidadosamente o acesso do usuário aos dados e sistemas da empresa e como esse acesso é utilizado durante a integração, transições e a exclusão.
2. Aumente o investimento em treinamento de funcionários
- Garanta um suporte robusto entre as equipes de TI e os executivos, quantificando as táticas de mitigação de riscospara liderança e divulgando a resiliência operacional;
- Expanda a conscientização e o conhecimento ao mesmo tempo em que fornece uma base sólida sobre riscos e ameaças, como funcionam os ataques cibernéticos e como responder a um ataque suspeito;
- Simule ataques de phishing e realizar exercícios e apoie os funcionários com recursos para procurar ajuda sem medo de sofrer constrangimentos ou sanções disciplinares;
- Explique claramente as políticas de BYOD, Wi-Fi, e-mail e redes sociais, revise-as regularmente e ofereça aos funcionários oportunidades de esclarecer dúvidas a qualquer momento
3. Implemente as melhores práticas de proteção virtual
- Crie uma cultura de preservação dos ambientes digitais e uma abordagem inteligente e ponderada sobre os riscos emergentes, incluindo o impacto de novas tecnologias e softwares na empresa, que devem ser antecipados proativamente;
- Examine as opções para mitigar riscos e determinar a melhor maneira de combatê-los:
- Inteligência cibernética com soluções tecnológicas, incluindo software e hardware de segurança;
- Consultoria e treinamento, incluindo avaliação de riscos, modelagem de perdas baseada em cenários, análise de impacto, benchmarking e gestão de reputação;
- Coordene oportunidades para que diferentes partes interessadas da empresa compartilhem conhecimento e participem de planos de resposta a crises cibernéticas;
- Alinhe o gerenciamento de riscos ao ciclo de vida de proteção virtual da organização para mitigação e recuperação mais uniformes;
- Considere a segurança digital e seu equilíbrio de alocação de recursos juntamente com o planejamento e a resposta a outros riscos e interrupções, como aqueles que afetam a cadeia de suprimentos;
- Garanta um programa de gerenciamento de riscos virtuais baseado em dados utilizando inteligência de risco, inteligência de ameaças, modelagem econômica baseada em risco e ferramentas de quantificação.
- Serviços como testes de intrusão, busca de ameaças e detecção de endpoints.
4. Estabeleça indicadores chave de desempenho de risco (KPIs) cibernéticos
Embora a quantificação da exposição ajude a empresa a entender a eficácia dos controles de inteligência cibernética de uma perspectiva financeira, a seleção de KPIs permite uma mudança para a criação e evolução de um plano mensurável de mitigação de risco virtual. Os possíveis KPIs para isso são:
- Nível de preparação;
- Eficácia da priorização da proteção digital;
- Quantidade de exposições;
- Identificação de ativos vulneráveis;
- Gerenciamento de acesso do usuário e aplicação do princípio do privilégio mínimo;
- Dispositivos não identificados em redes internas;
- Classificação média de segurança de terceiros;
- Consequências financeiras das ameaças cibernéticas:
- Perda de receita;
- Diminuição do preço das ações;
- Perda de produtividade;
- Multas;
- Tentativas de intrusão;
- Incidentes de segurança virtual;
- Tempo de resposta a incidentes de terceiros;
- Tempo para detectar os riscos;
- Tempo para contê-los;
- Tempo para corrigi-los.
- Despesas de contencioso.
Perguntas frequentes sobre risco e proteção cibernética
O cenário de ameaças virtuais está em constante mudança. Toda inovação tecnológica traz novos desafios junto com os benefícios da própria tecnologia. Por exemplo, a Internet das Coisas (IoT) ampliou a superfície de ataque para muitas organizações, à medida que os cibercriminosos começaram rapidamente a explorar as novas oportunidades criadas pelo aumento da conectividade.
Abaixo podem ser encontradas perguntas frequentes sobre o assunto que trazem informações fundamentais para entender como mitigar essas ameaças:
O que é segurança cibernética?
A segurança cibernética consiste na proteção de informações, dados, programas, redes e sistemas contra acesso não autorizado. Proteger esses ativos contra ataques requer um programa de segurança robusto que evolua constantemente para acompanhar o ritmo das mudanças no clima de ameaças.
Esse tipo de proteção é cada vez mais exigente, não apenas devido ao crescente cenário de ameaças, mas porque a empresa é responsável por mais dados e sistemas à medida que as necessidades tecnológicas aumentam. As organizações também exigem inteligência de negócios aprimorada para enfrentar ataques cibernéticos e devem estar dispostas a investir continuamente em pessoas, processos e tecnologias para melhorar a segurança virtual e mitigar os riscos.
Como o risco cibernético e a segurança cibernética estão relacionados?
O termo “segurança cibernética” engloba os processos, práticas e tecnologias que as organizações usam para proteger dados e sistemas. Ela é instaurada pela empresa para diminuição dos riscos e recuperação de um ataque cibernético.
Esse tipo de ameaça é inevitável para qualquer organização que utilize tecnologia; a inteligência cibernética aborda os riscos encontrando e corrigindo deficiências na segurança. Ela ajuda a diminuir a possibilidade de um ataque cibernético, além de limitar riscos e apoiar a recuperação no caso de a organização sofrer um incidente cibernético.
O que é um ataque cibernético?
Um ataque cibernético ocorre quando os cibercriminosos tentam expor, destruir ou roubar informações ou dados por meio de acesso não autorizado a sistemas eletrônicos. Malware, ransomware, phishing e negação de serviço (DoS) são tipos de ataques cibernéticos.
O objetivo desses ataques é relevante para a empresa ao projetar planos para minimizar o risco. Ataques direcionados se concentram em uma organização específica, ao passo que os não direcionados incluem o maior número possível de usuários, dispositivos, serviços ou sistemas.
Quais organizações não sofrem com risco cibernético?
Embora alguns setores e empresas sejam visados com menos frequência do que outros, todas as organizações que utilizam dados e tecnologia são vulneráveis a ataques cibernéticos e devem prever o risco cibernético e se preparar para mitigá-lo.
Quem é responsável pela segurança cibernética da empresa?
Embora o Chief Information Security Officer (CISO), o Chief Information Officer (CIO) ou o Chief Security Officer (CSO) sejam tecnicamente responsáveis pela proteção virtual, exerçam liderança e sejam responsabilizados por incidentes, todos os funcionários da empresa devem entender como seguir as políticas e procedimentos da organização e assumir a responsabilidade por sua parte na implementação e manutenção deles. Levando-se em conta o tamanho da empresa por si só e o respectivo cenário de ameaças, pensar na rede de segurança apenas durante a participação ativa nos treinamentos não faz sentido.
Quais são os três pilares da segurança da informação?
Os três pilares da segurança da informação (InfoSec) são Confidencialidade, Integridade e Disponibilidade (a tríade CID).
- Confidencialidade: garantir que os sistemas sejam protegidos contra acesso externo não autorizado
- Integridade: garantir que os dados não foram adulterados e são corretos e confiáveis
- Disponibilidade: garantir que aplicativos, redes e sistemas estejam operando e sejam utilizáveis quando necessário
Esses três pilares são a base para a criação e manutenção de um programa robusto de segurança virtual. A proteção da confidencialidade, a integridade e a disponibilidade permitem que a empresa entenda melhor como o risco corresponde aos objetivos primários de segurança.
Qual é a diferença entre riscos e ameaças cibernéticas?
O termo “risco cibernético” refere-se ao impacto potencial de uma ameaça cibernética em uma organização e leva em consideração as possibilidades de um incidente, incluindo perdas financeiras, incapacidade de exercer as atividades, estresse operacional, danos aos sistemas técnicos e negatividade associada à reputação e marca da empresa.
Uma “ameaça cibernética” é definida como qualquer evento no qual os dados e sistemas de uma organização podem ser afetados por acesso não autorizado à sua tecnologia, incluindo possíveis danos aos dados, alterações ou liberação não autorizada. Os cibercriminosos exploram essas ameaças para roubar ou destruir dados, com muitas motivações possíveis, incluindo ganho financeiro, ativismo e espionagem.
O que é seguro de risco cibernético?
O seguro de risco cibernético fornece suporte especializado no gerenciamento das repercussões de uma violação de privacidade de dados, ransomware ou outro ataque cibernético e cobertura para permitir que a organização se torne operacional novamente, se necessário. Esse seguro também pode fornecer assistência com danos a terceiros, honorários advocatícios e impactos regulatórios sofridos por um ataque cibernético. Podem ser oferecidos também serviços como: treinamento de funcionários, preparação e resposta a incidentes e perícia.
Esse tipo de seguro representa uma parte muito pequena, mas crescente, do setor de seguros. As empresas que gerenciam grandes quantidades de dados pessoais e dependem da tecnologia digital são mais propensas a considerar a compra deste produto. As cadeias de suprimentos também aumentam a exposição para algumas empresas; a percepção do potencial impacto organizacional e os custos de um ataque cibernético na cadeia de suprimentos pode despertar o interesse na obtenção do seguro.
Os muitos benefícios de mitigar riscos cibernéticos
Alguns dos benefícios de mitigar os riscos são:
- Redução da perda financeira e minimizar o tempo de inatividade operacional;
- Mais confiança em suas habilidades para atender aos requisitos de conformidade e regulamentação;
- Melhor gestão dos seus procedimentos relativos a incidentes cibernéticos com um menor grau de preocupação com a perda de dados e sistemas impactados;
- Possibilidade de desfrutar de maior tranquilidade em relação à estabilidade da organização.
À medida que a empresa continua a crescer e se expandir aproveitando novas tecnologias e ativos, os riscos aumentam e a segurança se torna mais desafiadora e complexa. Análises profundas e contínuas em ativos e identidades em todos os ambientes ajudam a empresa a acompanhar a evolução das vulnerabilidades e priorizar estrategicamente a melhor forma de lidar com as ameaças para atingir as metas e objetivos organizacionais.
