Risco cibernético gerado pela Inovação e Transformação Digital

Quanto mais inovadoras as empresas são, mais elas irão utilizar dados dos colaboradores, clientes e parceiros para criar experiências impactantes. Na mesma intensidade, surgem novos canais e ferramentas de automação, assim como modelos de negócios totalmente dependentes desse rico ecossistema digital. Mas da mesma forma que a tecnologia traz uma série de benefícios, ela também pode ser utilizada de forma maliciosa. Já parou para pensar sobre os riscos cibernéticos que podem surgir com essas transformações?

Empresas de todos os segmentos estão aumentando seus investimentos em modelos digitais, na expectativa de obter mais eficiência e melhorias na experiência do cliente. O objetivo é melhorar os processos de negócios existentes e otimizar ativos e recursos, reduzindo, assim, seus custos e dos próprios clientes.

Nessa busca pela experiência perfeita, as tecnologias permitem lançar ofertas personalizadas, que criam ‘momentos de verdade’ e suportam jornadas de decisão, enquanto as informações integradas do cliente nas plataformas podem aumentar a velocidade da transação.

Investir em novos modelos de negócios é o fator mais difícil e menos direcionado em grandes empresas, pois requer, antes de tudo, uma mudança cultural, que faz da inovação o foco da estratégia de negócios. As preocupações com a canibalização de negócios existentes precisam ser tratadas, concentrando-se na demanda geral do consumidor.

Toda essa transformação é muito esperada pelas empresas, uma vez que trazem experiências agradáveis para os clientes, além de manter o dinamismo e a evolução do mercado.

Mas voltando ao nosso questionamento anterior, como fica o risco cibernético? Em um mundo mais conectado, as vulnerabilidades também poder ser exploradas mais facilmente. Para realizar os ataques, as pessoas maliciosas também estão utilizando ferramentas inovadoras e, quem sabe, processos mais eficazes.

Visão atual do mundo cibernético
Além desse entendimento das transformações que as empresas estão passando, é válido entender o que está acontecendo no mundo cibernético. Estatísticas revelam um mundo real de exploração de vulnerabilidades. De acordo com a University of Maryland, os hackers atacam a cada 39 segundos, em média 2.244 vezes por dia. Já o Gartner prevê que os gastos mundiais em segurança cibernética atinjam US $ 133,7 bilhões em 2022.

Em termos de tendência, observamos a Inteligência Artificial sendo aplicada na elaboração de malwares, que passam a ser altamente contextuais e individualizados, tornando difícil a tarefa de identificação. Um outro ponto a ser explorado cada vez mais é a migração para a nuvem e utilização de serviços fora do data center, o que significa dados da empresa sendo levados diariamente para ambientes sem monitoramento. Alguns serviços possuem segurança reforçada, mas essa não é a realidade de todos.

Panorama de caminhos
Frequentemente conversamos com clientes que passam por dificuldades em entender a sua própria situação em relação à segurança cibernética. Esse é um problema grave e que origina vários outros, tais como a dificuldade de mapear as vulnerabilidades, assim como os impactos. A ausência do conhecimento da própria situação também gera a dificuldade de convencer o board das empresas a fazer investimentos, bem como o julgamento preciso de quais devem ser as prioridades.

Por isso, independentemente do tipo de transformação que uma empresa planeja executar, é recomendado que o board da empresa autorize e busque a identificação real do risco cibernético, seguido de um roadmap de segurança pragmático, faseado e conectado com as movimentações previstas de negócio. Esse tipo de trabalho é executado dentro do que é chamado de Governança, Risco e Compliance. A partir deste programa, os projetos de segurança farão muito mais sentido. Para uma empresa, por exemplo, pode fazer sentido priorizar um serviço de antiphishing, enquanto para outra o melhor seja criptografar os dados que são utilizados na nuvem, ou até mesmo a adequação à Lei Geral de Proteção de Dados (LGPD).

Um outro pilar é o monitoramento ativo da segurança da informação, que cada vez mais está fora do que dentro, distribuída em sistemas on-premise e SaaS, utilizando aplicativos de arquiteturas modernas servindo diversos tipos de dispositivos. A melhor forma de executar este monitoramento é contratar um serviço de Security Operations Center, que combine processos maduros (playbooks) e tecnologia de ponta – automação e Inteligência Artificial.

Próximo à monitoração ativa da segurança está a busca contínua e entendimento dos novos modelos de ameaças. Alguns hackers estão usando malwares, que executam no contexto de memória, ao invés de arquivos, assim como outros realizam ataques sem mesmo utilizar malwares. Portanto, é crucial entender a movimentação do crime cibernético de forma que os times técnicos de gestão de vulnerabilidades possam ser proativos e realizar as remediações e mitigações necessárias. Uma boa fonte de inteligência de ameaças (threat intelligence) é a deep e dark web.

Diariamente, milhões de desenvolvedores estão criando softwares incríveis, com tecnologia de ponta e que cumprem a missão dos usuários com experiências maravilhosas. Porém, muitas destas aplicações são construídas e implantadas sem terem sua arquitetura avaliada por profissionais capacitados em segurança da informação. O resultado é que quanto mais sucesso uma aplicação alcança, mais o negócio fica dependente da disponibilidade deste serviço, assim como dos dados que são manipulados por ela. Portanto, tão importante quanto desenvolver aplicações, é avaliar a segurança desta, antes, durante e após o desenvolvimento.

Com um roadmap bem planejado e executado, a gestão de vulnerabilidades fica mais clara e as empresas passam a ter maior controle do risco. Além de roadmap e projetos de segurança, monitoramento ativo, inteligência de ameaças e segurança de aplicações, o famoso Pentest passa a compor o conjunto de ferramentas de gestão de risco cibernético. Este teste de invasão é realizado por equipes de hackers éticos, permite identificar e qualificar vulnerabilidades, bem como a associação desta com os possíveis impactos de negócio. É recomendado que toda aplicação de missão crítica passe por pelo menos dois pentests anuais, assim como a infraestrutura de redes da empresa.

Mindset moderno de segurança cibernética
Acreditamos que o trabalho de segurança cibernética precisa evoluir em relação à segurança tradicional e se modernizar acompanhando a velocidade e disrupção das transformações. As empresas precisam avançar e protagonizar as transformações do mercado sempre com a preocupação e cuidado em manter as vulnerabilidades e risco do negócio sobre controle.

Por Leidivino Natal da Silva, CEO da Stefanini Rafael