As empresas que adotam os princípios da cibersegurança tornam-se criadoras de valor
Este artigo traz alguns dos principais insights do estudo “2023 EY Global Cybersecurity Leadership Insights Study”, resumidos por Richard Watson, EY Global and Asia-Pacific Cybersecurity Consulting Leader
“Está mais difícil do que nunca ficar um passo à frente das ameaças à segurança cibernética. Adversários novos e mais sofisticados – alguns operando de forma autônoma e aprendendo com modelos generativos de IA – estão prosperando em um cenário com várias superfícies de ataque abertas pelo trabalho híbrido e distribuído, pela computação em nuvem em escala e pela digitalização de tudo. Os riscos são altos para os CISOs”, escreve Richard Watson, Consultor Líder de Cibersegurança da EY Global e Ásia-Pacífico.
Ao trazer alguns insights a partir dos dados levantados pelo estudo “2023 EY Global Cybersecurity Leadership Insights Study”, publicado pela EY, Watson destaca o papel dos “Secure Creators” (“criadores seguros”, em tradução livre), organizações cuja preocupação e foco com a cibersegurança lhes dá uma vantagem competitiva. Sua abordagem em relação à segurança está guiando outras empresas na construção de um ambiente mais seguro. “Os Secure Creators tiveram menos incidentes cibernéticos, foram mais rápidos na resposta e proporcionaram um impacto 1,5 a 2 vezes mais positivo em suas organizações em termos de criação de valor, inovação e capacidade de resposta às oportunidades de mercado, em comparação com seus colegas de desempenho inferior”, segundo Watson.
“Eles conseguiram isso não simplesmente implantando a tecnologia certa, inovando de forma eficaz, comunicando-se em suas organizações e minimizando as superfícies de ataque, mas executando cada uma dessas práticas melhor do que seus pares”, completa.
A seguir, listamos quatro ações que os Chief Information Security Officers podem adotar para se preparar melhor para os desafios da cibersegurança:
Reduzir a complexidade da tecnologia
As tecnologias emergentes apresenta oportunidades e desafios para os líderes de segurança cibernética. De acordo com dados da EY, a maioria das organizações tem uma média de 44 produtos de segurança que, muitas vezes, são mal integrados, difíceis de manter e dar suporte e não oferecem visibilidade geral. Isso faz com que estejam mais vulneráveis.
“Os Secure Creators adotam a tecnologia, mas com um olhar voltado para a simplicidade. Eles são rápidos em experimentar novas soluções, com 72% dizendo que são os primeiros a adotar novas tecnologias, contra 55% das ‘Empresas propensas’, o grupo mais fraco da pesquisa. No entanto, elas também têm maior probabilidade de usar orquestração, automação e resposta de segurança e são adotantes em estágio avançado da automação de processos robóticos. Isso indica uma atenção às inovações que se unem em uma defesa orquestrada e pan-organizacional”.
Reduzir a superfície de ataque
À medida que as organizações avançam em seu processo de transformação digital, elas também aceitam o fato que estão aumentando sua vulnerabilidade cibernética. Os aplicativos em nuvem, as redes 5G e o aumento dos arranjos de trabalho remoto e híbrido, juntamente com infraestruturas como VPNs, aumentam os pontos de entrada para os hackers. As cadeias de suprimentos físicas e de software aumentam o risco, especialmente quando a segurança de parceiros terceirizados não é garantida.
Os dados do estudo da EY mostram que é mais provável que os Secure Creators estejam prestando atenção aos riscos da cadeia de suprimentos do que as chamadas “empresas propensas” (39% vs. 20%). “Os CISOs devem estar envolvidos nas decisões de seleção de fornecedores e devem ajudar a estabelecer relacionamentos com parceiros para trazer níveis mais altos de garantia às cadeias de suprimentos e para garantir que haja uma perspectiva cibernética nas decisões de fornecimento”, diz Watson.
Alinhar todos os envolvidos com a segurança cibernética
Até alguns anos, era comum a discussão sobre o porquê do aumento no orçamento de TI e segurança cibernética. Não mais. De acordo com a pesquisa da EY, o orçamento apareceu em sexto lugar em uma lista de oito obstáculos que os CISOs enxergam para suas áreas. Com os recursos em mãos, as comunicações do CISO evoluíram para se concentrar na prontidão e no treinamento cibernético.
“Os Secure Creators falam a língua dos diretores executivos e das diretorias ao transmitir a realidade do momento atual e as demandas contínuas de recursos da função. Eles também fazem um trabalho melhor na organização do treinamento e na elaboração de práticas recomendadas. Embora apenas metade dos entrevistados afirme que seu treinamento cibernético é eficaz e apenas 36% estejam satisfeitos com a adoção de práticas recomendadas por pessoas que não são da área de TI, essa lacuna diminui entre os Secure Creators, que estão mais satisfeitos com a adoção de práticas recomendadas. A capacitação das forças de trabalho atuais de segurança cibernética é, de longe, a tática mais popular para se preparar para futuras ameaças à segurança cibernética, citada quase três vezes mais do que a segunda tática mais popular na pesquisa”.
Liberar valor
As organizações com segurança cibernética podem inovar para criar valor com menos riscos do que seus pares menos seguros – as empresas propensas. De acordo com Ricard Watson, “as organizações sem Secure Creators podem hesitar em investir em tecnologias não comprovadas que têm o potencial de gerar grande valor para os primeiros usuários”.
“Os Secure Creators são criadores de valor, não apenas defensores de valor. Os líderes de segurança cibernética dessas organizações são muito mais propensos a dizer que sua abordagem cibernética afeta positivamente o ritmo de transformação e inovação da organização (59% contra 16% dos CISOs de empresas propensas), a capacidade de responder rapidamente às oportunidades de mercado (58% contra 28%) e a capacidade de se concentrar na criação de valor em vez de proteger o valor (57% contra 39%)”.
Os líderes de segurança cibernética, segundo a EY, estão procurando melhorar os recursos nas seguintes áreas:
IA geradora e aprendizado de máquina
A IA é amiga e inimiga dos CISOs. Para inclinar a balança para a amizade, os líderes de segurança cibernética estão investindo em ferramentas habilitadas para IA e aprendizado de máquina para melhorar os testes de vulnerabilidade, detectar ameaças mais rapidamente e criar sistemas de segurança mais adaptáveis.
Modelos generativos de IA, como as redes adversárias generativas (GANs), podem criar dados sintéticos que imitam ataques cibernéticos reais, facilitando o teste e a resposta a ataques. No mundo real, as ferramentas de detecção de ameaças habilitadas por IA generativa são capazes de analisar grandes quantidades de dados em tempo real, o que lhes permite detectar rapidamente anomalias e padrões que podem indicar um ataque cibernético. Se uma ameaça for percebida como um ataque cibernético, as organizações poderão empregar sistemas de resposta rapidamente adaptáveis que foram informados por enormes conjuntos de dados de violações históricas.
Autenticação sem senha
Independentemente da complexidade, as senhas por si só não são tão seguras como costumavam ser. As organizações estão usando autenticação sem senha. As organizações estão usando a autenticação sem senha para eliminar os riscos associados aos métodos tradicionais de autenticação baseados em senha.
A autenticação sem senha substitui as senhas por métodos mais seguros, como autenticação biométrica, autenticação baseada em hardware ou senhas de uso único enviadas por e-mail ou mensagem de texto. Isso reduz o risco de ataques de phishing, preenchimento de credenciais e vulnerabilidades relacionadas a senhas.
Confiança zero
Uma pilha de tecnologia crescente traz uma superfície de ataque ampliada. Os líderes de segurança cibernética estão criando arquiteturas de confiança zero para lidar com a ameaça quase constante representada pelos invasores.
As arquiteturas de confiança zero usam uma combinação de tecnologia e protocolos para identificar e conceder acesso aos usuários dentro e fora da rede de uma organização. Por padrão, os usuários não são confiáveis e recebem o mínimo de privilégio possível em uma rede. As redes são segmentadas para impedir o acesso generalizado se uma das paredes for violada, e barreiras como a autenticação multifatorial (MFA) são implantadas para dificultar o acesso não autorizado.
As organizações precisam adotar a tecnologia, mas isso não significa que tenham que ser menos seguras.
DevSecOps
O rápido desenvolvimento da tecnologia pode criar lacunas de segurança. O DevSecOps (desenvolvimento, segurança e operações) pode fechar essas lacunas ao incorporar a segurança cibernética no ciclo de vida do desenvolvimento, do projeto à produção.
O DevSecOps incentiva a colaboração e a comunicação entre desenvolvedores, profissionais de segurança e equipes de operações, permitindo uma abordagem mais holística da segurança cibernética. A incorporação dessas práticas à governança tecnológica permite a rápida implementação de atualizações e correções de segurança, garantindo que os sistemas estejam sempre atualizados e protegidos contra as ameaças mais recentes.
SOBRE ESTE CONTEÚDO
A série Ciberinteligência é um projeto conjunto da divisão de cibersegurança da EY em parceria com a The Shift. Com atuação em Assurance, Consulting, Strategy, Tax e Transactions, a EY existe para construir um mundo de negócios melhor, ajudando a criar valor no longo prazo para seus clientes, pessoas e sociedade e gerando confiança nos mercados de capitais. Tendo dados e tecnologia como viabilizadores, equipes diversas da EY em mais de 150 países contribuem para o crescimento, transformação e operação de seus clientes. Saiba mais sobre como geramos valor as empresas por meio da tecnologia.