ESTUDO: Ponto de situação na guerra conta os ciberataques

As organizações estão a ganhar terreno na guerra contra os atacantes informáticos, provando que os investimentos em segurança estão a ter um bom retorno. Apesar de o número de ciberataques ter duplicado num ano, a ciber-resiliência das organizações aumentou, revelando que as empresas e outras organizações estão a conseguir melhores resultados, apesar de sujeitas a muito maior pressão. Mas há ainda muito trabalho a fazer e muitos investimentos a realizar, para que consigam atingir todos os benefícios que a ciber-resiliência tem para lhes oferecer.

Por Kelly Bissell, Global Managing Director Accenture Security, Ryan M. Lasalle, Managing Director Accenture Security Growth & Strategy and Cyber Defense, Floris Van Den Dool, Managing Director, Accenture Security Europe & Latin America, e Josh Kennedy-White, Managing Director Accenture Security Africa & Asia Pacific.

A revolução digital continua a transformar a forma como trabalhamos e vivemos, o que coloca a inovação e o crescimento no coração da agenda, não só dos CEO, mas de todos os administradores de empresas. Para garantirem um sucesso sustentável e duradouro, os gestores devem transformar as suas organizações, aproveitando as novas oportunidades trazidas pelo digital. Mas este maior envolvimento digital tem um reverso da medalha, aumentando a exposição e o risco das organizações a potenciais ataques informáticos, tornando-as mais vulneráveis.

Para causar danos importantes, um ciberataque só precisa de ser eficaz uma vez, mas a vigilância das organizações precisa de ser permanente, de forma a detectar ameaças e refrear os ataques a qualquer hora.

A mais recente edição do estudo anual da Accenture sobre ciber-resiliência conclui que a eficácia do combate aos ataques melhorou no último ano, apesar do aumento da pressão dos atacantes, com o número de ataques a mais do que duplicar.

E a verdade é que, em 2018, apenas um em cada oito ataques conseguiu causar alguma disrupção considerável nas organizações, o que compara com o rácio de um em três há um ano. Um resultado com muito mérito não apenas dos Chief Information Security Officers (CISO), mas também de todos os administradores e gestores de primeira linha. Em 12 meses, de acordo com o ranking elaborado pela Accenture, os níveis de cibersegurança melhoraram 42%.

Curiosamente, as tecnologias digitais, que criaram a disrupção dos mercados e abriram o caminho a uma nova vaga de bem-sucedidos ciberataques, estão também a provar ser parte da solução para reforçar os níveis de segurança.

O estudo da Accenture revela que mais de 83% dos inquiridos acredita que as tecnologias disruptivas, como a inteligência artificial, a automatização, o machine learning, a análise de dados comportamentais ou o blockchain, são essenciais para garantir o futuro das organizações. E revela também que serão essas mesmas tecnologias disruptivas que irão liderar o próximo round do combate aos ataques, apesar de apenas dois em cada cinco líderes empresariais estarem já a investir nessas áreas.

Para continuarem a progredir neste campo, os gestores precisam de aproveitar este momento para extraírem todos os benefícios dos seus investimentos em cibersegurança. A sua incorporação nos negócios fundamentais poderá em breve tornar-se realidade, especialmente para os líderes que se querem manter na linha da frente da mudança e continuar a apostar nas tecnologias disruptivas.

TRANSFORMAÇÃO DIGITAL

A cibersegurança está a seguir a mesma trajectória que o digital percorreu antes. Nos primórdios, as tecnologias digitais eram estranhas às culturas organizacionais existentes. No entanto, à medida que os gestores e administradores se tornavam mais familiarizados com o mundo digital, começaram a surgir funções dedicadas a ele na organização. O digital tornou-se vital para a estratégia do negócio e está agora embebido no ethos das organizações. Hoje, estamos a assistir a um processo idêntico com a cibersegurança.

As equipas de segurança fizeram grandes progressos, mas ainda há muito para fazer. Os relatórios sobre cibersegurança mostram frequentemente que existe uma grande dúvida sobre se as organizações se conseguirão manter um passo à frente dos atacantes cibernáuticos.

A sofisticação crescente dos ataques e a introdução permanente de novas e poderosas tecnologias levaram os CISO e os executivos de topo a sentir que estavam a remar contra a maré.

Mas os resultados de 2018 revelam progressos positivos no campo da segurança.

Com efeito, se os ataques mais do que duplicaram num ano (de uma média de 106, em 2017, para 232, em 2018), verdade é que as organizações conseguiram prevenir 87% desses ataques, o que compara com os 70% do ano anterior, provando que os esforços estão a dar bons resultados. No entanto, como as organizações estão a confrontar-se, em média, com duas ou três falhas na segurança por mês, ainda há muito espaço para melhorar.

Apesar da pressão crescente dos ciberataques, com uma escalada das operações e modelos de negócio cada vez mais sofisticados, as equipas de segurança estão a conseguir identificar atempadamente dois terços das tentativas de assalto.

Este valor médio, no entanto, mascara situações diferentes entre organizações. O número de organizações na categoria Top – capazes de identificar entre 75% e 100% das falhas de segurança – mais do que duplicou, para 23% do total. Mas, ao mesmo tempo, a percentagem de organizações na categoria mais baixa, as que são incapazes de detectar a maioria das falhas, subiu para 24%, o que compara com os 14% de 2017. Ou seja, enquanto algumas organizações estão a ter um bom desempenho no combate aos ciberataques, outras estão claramente a lutar para lidar com o número crescente de incidentes.

Ainda assim, é interessante reparar que a maioria das equipas de segurança está mais eficaz na detecção de falhas. Com efeito, 89% dos inquiridos garantem que estão a conseguir detectar as brechas no prazo de um mês, face aos 32% do ano anterior, e 55% precisou de menos de uma semana para detectar a falha, o que compara com 10% no ano passado.

É claro que nem sempre são as equipas de segurança as primeiras a saber de um ciberataque. A natureza insidiosa do cibercrime significa que os atacantes estão continuamente a desenvolver novas formas de se infiltrarem na organização. Mas há também uma maior colaboração com os outros departamentos e até com entidades exteriores.

Quando perguntados como souberam de brechas que as equipas de segurança não conseguiram identificar, 21%

dos inquiridos disseram que souberam delas junto da comunidade da cibersegurança (contra os 14% de 2017) e 17% afirmam que foram informados no exterior por parceiros e, em alguns casos, até por rivais, o que compara com os 10% de 2017. Esta colaboração e partilha de informação sobre ameaças são positivas e precisam de ser reforçadas ainda mais – mesmo entre organizações rivais.

Ser melhor na detecção, prevenção e colaboração não é tudo. Há também uma significativa melhoria da eficácia da segurança, que é agora 42% melhor face a 2017. Em média, as organizações estão agora a conseguir melhores resultados em 19 dos 33 itens relevantes para a capacidade de resposta aos ciberataques, o que compara com o rácio de 11 em 33, de 2017. Quase duplicar a capacidade de resposta no curto espaço de um ano é um excelente resultado, mas a eficácia em apenas 19 dos 33 itens que compõem o sistema de combate aos ataques, significa que anda há um longo caminho a percorrer para que a resiliência seja verdadeiramente robusta.

É fácil focarmo-nos exclusivamente em conter as ameaças e os ataques externos, mas as organizações não devem negligenciar os inimigos internos. Os ataques com impacto e origem no exterior aumentaram de 19% das falhas, em 2017, para 28%.

E apesar de o número de inquiridos que classificam os ataques internos como uma das áreas de maior impacto nas suas organizações ter caído para metade (22% em 2018, versus 43% em 2017), não é apenas o impacto que importa. O número relativo destes ataques é igualmente importante. E, neste campo, os incidentes internos foram mais frequentes para 33% dos inquiridos, o que compara com 28%, referidos no estudo do ano passado.

Isto serve como uma advertência para as organizações se protegerem contra os efeitos igualmente demolidores das ameaças internas e externas.

Tudo somado, é um facto que a eficácia da cibersegurança está a melhorar, mas terá de alargar-se para além das quatro paredes das organizações.

A perspectiva geral de investimento em segurança é positiva, com 90% dos inquiridos a garantir que o investimento das suas organizações nesta área vai aumentar nos próximos três anos. Mas, numa análise mais aprofundada, constatamos que apenas 31% dos inquiridos esperam que esse reforço do investimento seja significativo, duplicando ou mais os níveis actuais. O que não chega para integrar plenamente a segurança no tecido da organização.

Se seguirem as últimas tendências e continuarem com o processo de transformação, as organizações conseguirão atingir um nível sustentável, evolutivo e adaptável de ciber-resiliência nos próximos dois ou três anos.

Conscientes de que as brechas na segurança são um alvo permanente – ao ritmo de duas a três por mês –, os inquiridos compreendem que a ciber-resiliência é a chave. 62% classificam a resiliência informática como a medida mais importante para o sucesso dos seus programas de cibersegurança.

A evolução das tecnologias digitais é, como anteriormente referido, uma espada de dois gumes. Foi essencial para o sucesso das organizações globalmente, mas também aumentou o risco de ciberataques. Ao mesmo tempo, também confronta os gestores com oportunidades para resolverem esses desafios. O estudo da Accenture revela que quatro em cinco respondentes (83%) concordam que as tecnologias disruptivas, como a inteligência artificial, o machine learning, o analytics de dados comportamentais, ou o blockchain, são essenciais para garantir o futuro da organização. E que, desde que disponham de orçamento, eles continuarão a investir nessas tecnologias disruptivas.

O estudo indica que 62% dos inquiridos vão usar essa disponibilidade orçamental para colmatar as suas carências de tecnologia de cibersegurança e que 59% vão investir em inovações neste campo, como a segurança da Internet of Things (IoT), as plataformas inteligentes de segurança e o blockchain. Ou seja, os  líderes do negócio concordam que as tecnologias avançadas são essenciais para garantir bons níveis de cibersegurança, e estão dispostos a financiá-las.

A confiança nos sistemas de protecção está a ser testada pela imprevisibilidade das ameaças: 71% dos inquiridos dizem que não sabem quando ou como elas afectarão as suas organizações. Um aumento face aos 66% que pensavam desta forma há um ano, o que revela a necessidade de meios mais eficazes de combate inteligente às ameaças.

Para muitas organizações, o último ano foi de mudança significativa na estrutura de reporte e de governança da

ciber-resiliência dentro do negócio: 27% dos orçamentos de cibersegurança são agora directamente autorizados pelo Conselho de Administração (contra 11% em 2017) e 32% pelo CEO ou pela Comissão Executiva (face a 22% em 2017).

Esta elevação de estatuto da ciber resiliência dentro da organização foi acompanhada por um reforço do orçamento em cibersegurança, quer em termos reais, que triplicou face a 2017. Do total de inquiridos, 74% reportam investimentos em cibersegurança equivalentes a mais de 10% do orçamento da empresa com Tecnologias de Informação, mais do que triplicando os 22% de 2101.

Estudo publicado na Revista Risco de Verão de 2018.