Blog MEO Empresas - Inovação, Internet, 5G, Fibra, IoT e Cloud

O ciberespaço é hoje um autêntico campo de batalha, onde empresas, governos, todo o tipo
de instituições e particulares tentam proteger os seus dados, ativos e informação crítica de
ataques, roubos e utilização indevida. Dentro e fora do setor empresarial, todos sabem que
é preciso pôr trancas às portas virtuais, para evitar perdas que podem ser irreparáveis para
as organizações, afetando desde a base de clientes às relações com parceiros, passando
pelo impacto negativo nos lucros, nas receitas e na reputação. De acordo com um estudo
conjunto da Experian, uma empresa de gestão de risco bancário, e do Ponemon Institute,
especializado em pesquisas relacionadas com a segurança, as falhas de segurança surgem
em primeiro lugar na lista de ocorrências que afetam a reputação das empresas, acima dos
desastres ambientais e do mau serviço ao cliente.

Um estudo recente da EY refere que 87% das organizações têm níveis de cibersegurança e de resiliência limitados, resultado de orçamentos baixos, e que 55% delas não encaram a proteção da empresa como uma parte integrante da sua estratégia.

A resposta mais comum ao desafio da segurança passa pela instalação de firewalls, pela
criação de redes ultrasseguras, pela encriptação de ligações e pela distribuição de
passwords para que nada falhe. No entanto, e apesar de todo o investimento feito por
grande parte das empresas nesta área, o maior problema continuam a ser as pessoas que
nelas trabalham. Em 2013, um estudo do FBI revelava que os ataques internos custavam,
em média, 412 mil dólares (cerca de 358 mil euros à taxa de câmbio atual) por incidente e
apontava as ameaças internas como as mais difíceis de identificar e resolver. Cinco anos
volvidos, este valor será certamente muito superior, tal como o número de incidentes, que
não pára de crescer.

O perigo espreita dentro das organizações

Mas que ameaças são estas? Em primeiro lugar, a fraca segurança das passwords (81% das falhas de segurança são causadas por roubo de credenciais, revela um estudo da Forbes).
Mandam as 'regras' da segurança informática que as palavras passe sejam seguras e
alteradas com alguma frequência, para evitar falhas. No entanto, é comum os utilizadores
optarem por utilizar passwords demasiado simples ou até mesmo óbvias, muitas vezes
relacionadas com a sua vida pessoal. Datas ou locais de nascimento, nomes dos filhos ou
dos cães, entre outras combinações que, sendo fáceis de memorizar para o utilizador, são
também simples de descobrir para quem ganha a vida a quebrar a segurança alheia.
Outro erro comum por parte dos utilizadores é a escolha da mesma password para
múltiplos acessos – segundo a Forbes, 73% das palavras passe são duplicadas. Endereços de e-mail diferentes, acesso ao sistema informático da empresa, entre outros, partilham muitas vezes a mesma palavra de acesso. Uma vez mais a preguiça ou o facilitismo a abrir brechas de segurança.

No entanto, este problema começou a ganhar visibilidade nos últimos anos graças à
crescente mobilidade e à utilização de smartphones, tablets e outros dispositivos móveis
ligados remotamente aos sistemas de informação das empresas. A informação crítica para
as organizações ultrapassou as barreiras físicas do escritório e passou a estar por todo o
lado. Os fluxos de informação cada vez mais elevados aumentam os riscos, dificultam a
proteção (há terabytes de dados a circular em todas as redes empresariais) e exigem mais
investimento em cibersegurança. A juntar a isto, outro fator de risco: 80% dos
colaboradores das empresas usam apps não aprovadas pela organização.

A transformação digital começa na segurança

Esta dispersão de informação exige uma abordagem distinta à questão da segurança, que
deve agora passar por definir uma estratégia global que inclua hardware, software, sistemas financeiros e administrativos, ferramentas de produtividade, etc. Em suma, uma estratégia que obrigue a mudar processos e mentalidades, uma vez que, segundo a consultora Gartner, 44,2% das vulnerabilidades descobertas foram encontradas em aplicações e não em browsers ou aplicações de sistema, como seria expectável.

A nova consciência de segurança que se exige a todos os níveis de uma organização
representa apenas uma pequena peça na engrenagem da transformação digital de que tanto
se fala, mas abre portas a um aumento crescente do investimento nesta área. Uma tendência já identificada pela Gartner, que antecipava, em 2015, que os gastos com a cibersegurança atingiriam 170 mil milhões de dólares (cerca de 148 mil milhões de euros) em 2020, ou seja, mais do dobro dos 75 mil milhões de dólares (64 mil milhões de euros) de há três anos.

Contudo, e não obstante o crescente investimento, muitas empresas continuam a não estar preparadas para a nova realidade. Diz um estudo recente da EY que 87% das organizações têm níveis de cibersegurança e de resiliência limitados, resultado de orçamentos baixos, e que 55% delas não encaram a proteção da empresa como uma parte integrante da sua estratégia. Curioso ainda é o facto de as empresas de maior dimensão inquiridas pela EY apresentarem maiores lacunas do que as pequenas neste ponto. Ainda assim, as que responderam a este estudo esperam aumentar o seu orçamento para a segurança durante o próximo ano.

Sete dicas para evitar falhas internas

1. A identificação da informação crítica para uma organização é o primeiro passo para
garantir a sua proteção e segurança, assim como dos seus ativos mais valiosos.
2. Determinar com rigor quem acede à informação crítica da empresa reduz riscos de
intrusão e falhas de segurança.
3. Manter os sistemas informáticos atualizados e protegidos com firewalls e outros
sistemas de bloqueio é fundamental.
4. Implementar estratégia de segurança em várias frentes, incluindo sistemas de
identificação, registo de identidade, credenciais de acesso, aplicações, dispositivos
de rede, etc., tirando partido de tecnologias como a biométrica e a inteligência
artificial, combinadas com blockchain, para criar formas de identificação únicas e
menos falíveis.
5. Recorrer a soluções de Software as a Service (SaaS) e armazenamento em cloud.
6. Introduzir sistemas de monitorização de dados e redes que detetam qualquer ação
pouco usual.
7. A formação da equipa é essencial para evitar falhas de segurança (incentivar o uso
de dispositivos pessoais desligados da rede da empresa para uso de redes sociais e
navegação na Net).

Cinco questões a colocar à equipa de segurança

O alinhamento estratégico entre administração e equipa técnica é essencial para que não
existam falhas de segurança. Saiba quais as perguntas que não deve deixar de colocar:

1. Como estamos a gerir a utilização da cloud?
2. O que estamos a fazer para nos protegermos das ameaças internas?
3. Temos uma task force de cibersegurança?
4. Dispomos de uma política BYOD (Bring Your Own Device)?
5. A equipa de segurança dispõe de orçamento adequado?