0
0
O relatório Custo de Violação de Dados 2020 da IBM e do Ponemon está fora. Fornece uma análise detalhada das causas, custos e controles que apareceram em sua amostragem de violações de dados. O relatório está cheio de dados, e o site permite que você interaja com suas informações para que você possa fazer sua própria análise e/ou investigar aspectos relevantes para você e sua indústria.
A descoberta óbvia é que as violações de dados são caras. O custo médio da violação de dados é entre US$ 3 milhões e US$ 4 milhões. Essa diferença de um milhão de dólares é baseada em quanto tempo dura o ciclo de vida da violação de dados. O ponto de ruptura é a marca de 200 dias. Encurtar o ciclo de vida reduz o custo, então qualquer coisa que você possa fazer para reduzir o tempo necessário para identificar uma brecha, contê-la e tomar as ações corretivas apropriadas irá economizar dinheiro.
Felizmente, o relatório aponta algumas maneiras de reduzir o impacto de uma violação ou, melhor ainda, impedir que uma ocorra em primeiro lugar. Aqui é onde vejo os maiores retornos do investimento com base nas conclusões do relatório.
Exposição número um: Configuração da nuvem
A principal causa de violações em 2020 foram as implantações de nuvens mal configuradas. Isso não é surpreendente, dado quantas empresas estão mudando sua infraestrutura para plataformas de nuvem pública. Com esse movimento, são introduzidas tecnologias desconhecidas e novas formas de gerenciamento de infraestrutura; a nuvem oferece implantações rápidas e fáceis sem os guardrails bem conhecidos de um data center tradicional. É como se mudar para uma casa nova, só que é uma mansão enorme com portas por toda parte, e algumas delas estão escondidas em lugares surpreendentes. Essa complexidade abre espaço para erros humanos e dados baseados em nuvem.
Felizmente, você pode contratar alguém para passar pela casa, encontrar todas as entradas, mostrar onde eles estão e protegê-los para você. Isso é exatamente o que ferramentas como o Cloud Management Coach da Tripwire fazem. A configuração segura da nuvem impede ou reduz consideravelmente a chance de que os dados sejam acessados ou roubados maliciosamente.
Reduzindo o custo de uma brecha
Há uma série de coisas que podem ajudar a reduzir o custo de uma violação, seja limitando a duração ou gravidade do evento. Há três que se destacaram para mim no relatório. Nem todos eles exigem a compra de um conjunto de controle técnico.
1) Preparação
Imagine que uma orquestra está se apresentando na frente de uma plateia ao vivo. Quando eles saem para tocar, não há maestro, e eles não sabem que música eles vão tocar até que eles estão sentados no palco. Quando eles começarem a tocar, não vai soar muito bem, e pode levar um tempo para eles entrarem em sincronia. Mesmo assim, haverá erros enquanto os jogadores trabalham a música pela primeira vez.
Esta é a mesma situação em que sua segurança e equipes de TI estão se não estiverem preparadas para uma violação. Pior ainda, eles podem não ter um instrumento ou fazer qualquer prática recentemente.
Como uma orquestra, equipe esportiva ou socorrista, praticar para o show, jogo ou evento de emergência garante um resultado mais bem sucedido. No relatório Custo da Violação de Dados, houve várias coisas que levaram à redução de custos, que eu agrupava a sub-preparação. São as seguintes: treinamento de resposta a incidentes, continuidade de negócios,construção de uma equipe de resposta a incidentes e treinamento de funcionários (por exemplo, simulações de phishing e conscientização de segurança). Não é de surpreender que a preparação para uma prática de violação e resposta torne a identificação e a resolução mais rápidas, tornando os custos e o tempo de implementação desses controles valendo a pena.
De acordo com o relatório Custo da Violação de Dados, os programas que agruparam sob “preparação” reduziriam o custo de uma violação em quase US$ 1 milhão em média.
2) Gerenciamento de Vulnerabilidades
Ignorância não é felicidade quando se trata de fraquezas em sua empresa, e é por isso que um dos cinco principais controles de segurança críticos da CIS envolve identificar e lidar continuamente com vulnerabilidades em seu ambiente. Um forte programa de gerenciamento de vulnerabilidades pode evitar uma violação ou limitar significativamente seu impacto, reduzindo o custo em quase US$ 175 mil em média. Isso sobe para US$ 400 mil se você incluir testes da equipe vermelha como parte do programa. Assim como a configuração em nuvem, encontrar fraquezas em aplicativos, sistemas operacionais e configurações de rede permite que você priorize e remedia essas fraquezas. Quanto mais rápido você puder fazer isso, menos provável é que a fraqueza seja explorada.
3) Serviços de Segurança Gerenciado
A lacuna de habilidades em segurança cibernética tem sido um tema abordado anteriormente, e continua sendo um desafio para as empresas. Para suprir essa lacuna, bem como para aumentar o número e a sofisticação de suas ferramentas de segurança, essas empresas estão cada vez mais se voltando para serviços gerenciados para aliviar a carga. Acontece que esse aumento de pessoal não só alivia o peso suportado pelas equipes de segurança super-tributadas; também diminui o custo de uma violação em uma média de quase US $ 80.000.
Por que o custo de uma brecha está crescendo
Se as práticas listadas acima ajudam a diminuir o custo da infração, o que contribuiu para o crescimento do custo em primeiro lugar? Estes os fatores que me destacaram no relatório:
1) Falha de conformidade – É como adicionar insulto ao prejuízo quando multas e remediação de conformidade são empilhadas em cima de lidar com o custo de uma violação. No entanto, a conformidade não é apenas uma prática para ficar no lado certo das regulamentações ou requisitos comerciais. Essas auditorias são como um check-up regular com seu médico para garantir que seus controles de segurança sejam saudáveis. A conformidade contínua, assim, ajuda a mantê-lo seguro e economiza dinheiro em caso de violação – mais de US$ 250 mil em média.
2) Escassez de habilidades – Trata-se de um corolário para a redução de custos dos serviços gerenciados acima. Não ter os recursos disponíveis para prevenir ou gerenciar uma brecha adicionou uma média de US$ 260 mil ao custo de uma violação. Seja adicionando pessoal, fornecendo treinamento ou usando serviços gerenciados, encontrar uma maneira de preencher a lacuna ajudará a reduzir significativamente o impacto de uma violação de dados.
3) Migrações em nuvem – Mover a infraestrutura para a nuvem não é um processo rápido ou fácil, e requer planejamento e experiência para fazê-lo de forma eficaz e segura. A exposição de dados durante as migrações em nuvem é um risco, especialmente porque os ambientes necessariamente residirão em estados incompletos ou transitórios e os funcionários aprenderão a operar o novo ambiente. Com a exposição número um este ano sendo configurações erradas em nuvem, com foco em boa arquitetura, configuração segura e testes pagarão dividendos em redução de risco.
4) Complexidade do sistema de segurança – Pode parecer que ter uma série de sistemas de segurança para criar defesa em profundidade é uma boa estratégia, mas acontece que é o maior amplificador de custo em uma brecha, adicionando quase US$ 300 mil ao custo em média. A menos que haja pessoas suficientes com as habilidades certas e processos bem definidos, todos esses sistemas de segurança tornam mais difícil e mais caro lidar com um incidente de segurança.
Focar nos controles críticos que fornecem segurança contínua será mais benéfico do que uma amplitude de ferramentas adicionando ruído ao seu sistema. Ter pessoal treinado suficiente na mão reduzirá a carga cognitiva e garantirá que você tenha a expertise para obter o valor das ferramentas implantadas. Os serviços gerenciados também podem reduzir a complexidade, transferindo parte do trabalho de controle para uma equipe dedicada a entregar esse valor, permitindo assim que você se concentre em suas áreas de atuação.
Resultados surpreendentes
Houve duas descobertas no relatório que achei surpreendentes por razões diferentes. Um porque é uma medida destinada a proteger a privacidade dos dados, e o outro porque ele está muito baixo na lista de controle crítico da CEI.
Dados anonimizados ainda são caros
Dados de clientes anonimizados roubados ainda custam muito dinheiro – cerca de US$ 140 por registro. Isso me diz duas coisas: 1) dados anonimizados são valiosos para atacantes e empresas, e 2) a anonimização é boa para a privacidade, mas não é um controle de segurança eficaz. Como prática, reduzir ou remover informações pessoalmente identificáveis (PII) é uma boa ideia, e reduz o custo por registro em um evento de violação. O que ele não faz é eliminar completamente o custo. Trate os dados do cliente independentemente de ter PII ou não tão sensível, criptografando, segmentando, classificando e limitando o acesso a ele.
Exercícios de Red Team têm um grande impacto
Executar testes contraditórios ao vivo do seu ambiente de dados é uma boa ideia e ajudará a descobrir fraquezas que um scanner automatizado pode não. Este ainda é um dos controles críticos de segurança da CEI. Acontece que está perto do final da lista. Isso se deve às pessoas, tempo e experiência que são necessários para realizar efetivamente exercícios em equipe vermelha, bem como o impacto que alguns dos controles mais fundamentais têm na postura geral de segurança. O que me surpreendeu no relatório foi o impacto desagradado no custo de uma violação que esse controle teve. De acordo com o relatório, os testes da equipe vermelha reduziram o custo de uma brecha em uma média de US $ 243 mil. Como investimento, treinar uma equipe para adicionar esse controle à sua caixa de ferramentas pode valer a pena. As habilidades fortalecerão sua postura geral de segurança, diminuirão a lacuna de habilidadese, o melhor de tudo, permitirão que suas equipes se divirtam!
Para revisar o relatório da IBM e da Ponemon na íntegra, clique aqui.
FONTE: TRIPWIRE