0 
0 Apesar de um aumento maciço nos investimentos em segurança cibernética, as empresas viram as violações de dados no primeiro trimestre de 2022 dispararem, mesmo depois de atingir uma alta histórica em 2021, de acordo com o Identity Theft Resource Center (ITRC). Além disso, o relatório do ITRC acrescenta que aproximadamente 92% dessas violações estavam vinculadas a ataques cibernéticos.
Phishing , configuração incorreta da nuvem, ransomware e ataques inspirados em estados-nação tiveram alta classificação pelo segundo ano consecutivo nas listas de ameaças globais. Então, por que os ataques estão aumentando se mais soluções de segurança foram implementadas? O investimento em segurança deve mudar seu foco de soluções reativas para estratégias proativas?
A cibersegurança é muito mais do que apenas mitigar ameaças e prevenir perdas. É uma oportunidade que pode ter um retorno significativo sobre o investimento. Ele se conecta diretamente à linha de fundo de uma empresa.
Cibersegurança como oportunidade de negócio
A indústria não pode negar o poder de ruptura que os ataques modernos têm. À medida que os ataques cibernéticos aumentam, as organizações aumentam seus orçamentos de segurança para acompanhar as ameaças.
A Cybersecurity Ventures estimou em 2021 que os gastos globais com segurança cibernética atingiriam impressionantes US$ 1,75 trilhão até 2025. O Global Digital Trust Insights da PwC 2022 revela que a tendência de segurança dos gastos não mostra sinais de desaceleração, com 69% dos entrevistados prevendo um aumento em sua segurança gastos para 2022.
No entanto, investir em soluções sólidas de cibersegurança pode ser muito mais do que reagir a ameaças. Concentrar-se estritamente em ataques cibernéticos e mitigação é uma estratégia de segurança cibernética que perde o panorama geral.
A segurança é hoje um componente indispensável ao fazer negócios. As empresas exigem que seus clientes e parceiros incluam segurança em seus contratos – e as empresas que não conseguem atender a essas expectativas estão perdendo vendas e novos empreendimentos.
As organizações também devem considerar investir em segurança cibernética para navegar pelos requisitos legais – particularmente relacionados a dados – com segurança. O não cumprimento dos requisitos e padrões legais limitará a capacidade de uma empresa fazer negócios.
Por exemplo, as empresas enfrentam sérios riscos e consequências se não se alinharem às leis internacionais, como o Regulamento Geral de Proteção de Dados (GDPR) ou leis federais dos EUA, como o Gramm-Leach-Bliley Act ou o Health Insurance Portability and Accountability Act para empresas de dados que trabalham na saúde.
Processos judiciais e multas por descumprimento dessas leis podem chegar a milhões de dólares e corroer a reputação de qualquer empresa. Além disso, as empresas devem estar cientes de que, nos EUA, muitos estados adotaram leis e regulamentos sobre como os dados podem ser coletados, usados e divulgados.
A segurança cibernética também constrói a reputação da marca. As empresas líderes que se envolvem em segurança cibernética promovem sua força como valor de marca. Os clientes valorizam as empresas que gerenciam seus dados com responsabilidade e ética e fazem de tudo para protegê-los.
Repensando sua barreira de segurança humana
Outro mantra de segurança que a indústria vem repetindo desde o início da pandemia é a necessidade de fortalecer o elemento de segurança humana.
A indústria tem falado sobre essa questão incansavelmente nos últimos dois anos. Workshops e criação de uma cultura de conscientização foram apresentados como as soluções para o elemento de segurança humana. Mas as estatísticas nos mostram, mais uma vez, que essas soluções não impedem os cibercriminosos. Os ataques de phishing e smishing estão aumentando, com apenas 2021 vendo um aumento de 161% .
O problema de fortalecer o elemento humano é que o erro humano é inevitável. Se uma organização tiver milhares de trabalhadores e milhares de dispositivos ativos, eventualmente, um trabalhador clicará em um link malicioso.
Construir uma forte cultura de segurança cibernética é uma boa estratégia, mas deve estar enraizada em outras soluções. Uma excelente adição é a simulação de phishing . É uma abordagem prática que pode educar ativamente os trabalhadores em todos os níveis, ajuda a identificar vulnerabilidades e riscos e não representa uma ameaça real para uma organização.
As empresas devem automatizar o máximo possível ao pensar em fortalecer a barreira humana. Paradoxalmente, remover o elemento humano do risco da equação por meio da automação fortalece a barreira de segurança humana.
As chaves do reino: terceirizando sua segurança
O atual ambiente de segurança cibernética atingiu tais níveis de complexidade que as empresas estão terceirizando a maior parte, se não toda, de sua segurança. Uma pesquisa da Deloitte de 2019 descobriu que 99% das organizações terceirizaram parte das operações de segurança cibernética. A pesquisa Skuriorevelou em 2020 que mais de 50% das empresas do Reino Unido terceirizam parceiros para segurança cibernética.
As empresas que oferecem segurança cibernética como serviço aumentaram significativamente e o setor está pronto para continuar a crescer. No entanto, isso levanta a questão: quanto controle uma empresa deve colocar nas mãos de seu parceiro de segurança?
Por exemplo, se todo o ambiente de nuvem de um cliente for gerenciado por um fornecedor de segurança, incluindo suas chaves de criptografia e o ID da organização, o cliente não terá absolutamente nenhum controle sobre seu sistema. Os fornecedores que se oferecem para assumir as chaves de criptografia, desejam ser o administrador de todas as contas e possuem as assinaturas de todos os aplicativos críticos devem levantar as sobrancelhas.
Além disso, ao construir uma equipe de segurança interna, os riscos e custos devem ser considerados, juntamente com os benefícios. Embora a volatilidade, o esgotamento e a rotatividade possam desempenhar um papel e afetar o desempenho da segurança, o controle sobre sua segurança, as soluções internas de detecção rápida, recuperação e restauração também pesam. Nenhuma empresa deve dar as chaves do reino.
Criptografia e gerenciamento de chaves
Há duas abordagens que uma empresa pode adotar em relação à criptografia e ao gerenciamento de chaves. Terceirize-os ou opte por desenvolver sua capacidade de gerenciá-los com a ajuda de seu parceiro de segurança.
Em vez de oferecer soluções integradas, algumas empresas de segurança escreverão as políticas e procedimentos de segurança de uma organização e os orientarão sobre qual criptografia manter.
As empresas devem testar seus métodos de criptografia atuais com seus aplicativos de software como serviço (SaaS) e certificar-se de que estão aplicando o TLS 1.2 ou superior. Eles também devem verificar seus bancos de dados para garantir que todos os dados de produção, dados do cliente e ambiente estejam sendo armazenados de maneira criptografada usando criptografia AES de 256 bits ou superior.
O gerenciamento de chaves também é crítico. As principais perguntas a serem respondidas são: “Como as chaves de criptografia estão sendo gerenciadas?” “Onde eles estão armazenados?” e “Quem tem acesso a eles?”
De cryptojacking e ransomware a phishing, configuração de nuvem e ataques inspirados em estados-nação, as organizações sabem que estão sendo duramente atingidas e que os riscos que enfrentam são reais. No entanto, agora é a hora de ir além do conceito de investir em segurança cibernética para evitar perdas e construir as bases de uma nova segurança cibernética. Esta é uma oportunidade para as organizações superarem as ameaças de hoje e as ameaças de amanhã.
Uma mudança de percepção sobre como as estratégias de segurança cibernética devem ser construídas pode abrir portas e impulsionar o crescimento. Continuar despejando milhões todos os anos em soluções de segurança cibernética que já provaram ter poucos resultados não é um bom negócio. Possuir sua segurança cibernética é a chave para aprender com os erros e a única maneira de progredir para ambientes de trabalho melhores e mais seguros.
FONTE: VENTUREBEAT