A Dynatrace anuncia os resultados de sua pesquisa anual de CISOs (Chief Information Security Officers). O relatório “O estado da segurança de aplicações em 2024” deste ano revela que as empresas estão enfrentando barreiras de comunicação interna, o que dificulta sua capacidade de lidar com ameaças cibernéticas.
Os resultados indicam que CISOs acham difícil promover o alinhamento entre as equipes de segurança e a alta administração (C-Level) das empresas, deixando lacunas na compreensão sobre riscos cibernéticos. Como resultado, se veem mais expostos a ameaças cibernéticas avançadas, em um momento em que os ataques impulsionados por Inteligência Artificial (IA) estão em ascensão.
No relatório deste ano, a Dynatrace explorou essas lacunas de comunicação para entender melhor como uma abordagem unificada de observabilidade e segurança pode ajudar as equipes a colaborarem de forma mais eficaz e reduzir a exposição aos riscos. O relatório está disponível para download em: https://www.dynatrace.com/info/reports/ciso-report-state-of-application-security/
As principais descobertas incluem:
– Falta de alinhamento entre executivos de C-Level e Conselho leva a riscos cibernéticos: os CISOs têm dificuldade em promover o alinhamento entre as equipes de segurança e a alta administração, com 87% dos CISOs (90% no Brasil) afirmando que a segurança de aplicações é um ponto cego no nível de CEOs (Chief Executive Officers) e de Conselho.
– As equipes de segurança são muito técnicas: Sete em cada dez executivos C-Level entrevistados afirmam que as equipes de segurança falam em termos técnicos sem fornecer contexto de negócio. No entanto, 75% dos CISOs globais (80% dos líderes do Brasil) destacam que o problema está enraizado em ferramentas de segurança que não conseguem gerar insights que os executivos C-Level e os Conselhos de Administração possam usar para entender os riscos empresariais e prevenir ameaças.
– A Inteligência Artificial está impulsionando ameaças cibernéticas mais avançadas: Lidar com essa lacuna tecnológica e de comunicação está se tornando cada vez mais urgente, pois o aumento dos ataques e ameaças cibernéticas impulsionados por IA eleva significativamente o risco empresarial.
– CISOs brasileiros classificam as principais prioridades de gerenciamento de segurança cibernética de suas empresas na seguinte ordem:
1: Gerenciamento e resposta a crises (por exemplo, violação de dados e foco da mídia),
2: Segurança de aplicações (como gerenciamento de vulnerabilidades),
3: Supervisão de riscos internos (como uso de dispositivos móveis), Gerenciamento de riscos de terceiros (por exemplo, serviços em Nuvem ou cadeia de suprimentos) e Conformidade regulatória, como HIPAA (Health Insurance Portability and Accountability Act) e PCI DSS (Payment Card Industry Data Security Standard).
Neste contexto, quase três quartos dos CISOs globais afirmam que sua empresa teve um incidente de segurança de aplicações nos últimos dois anos. No Brasil, o número sobre para 84%. Esses incidentes acarretam riscos significativos, com os CISOs de todo mundo destacando as consequências comuns que experimentaram, incluindo impacto na receita (47%), multas regulatórias (36%) e perda de participação de mercado (28%).
“Os incidentes de segurança cibernética podem ter consequências devastadoras para as empresas e seus clientes, então o problema se tornou uma preocupação urgente em nível de Conselho de Administração”, diz Bernd Greifeneder, Diretor de Tecnologia da Dynatrace.
“No entanto, muitos CISOs estão enfrentando dificuldades para promover o alinhamento entre as equipes de segurança e os executivos sêniores porque não conseguem elevar a conversa de bits e bytes para riscos de negócios específicos. Os CISOs precisam urgentemente encontrar uma maneira de superar essa barreira e criar uma cultura de responsabilidade compartilhada pela segurança cibernética. Isso será fundamental para melhorar a capacidade de responder eficazmente a incidentes de segurança e minimizar sua exposição ao risco.”
Outras descobertas de pesquisa incluem:
– A necessidade de promover um engajamento mais próximo entre as equipes de segurança e a alta administração está se tornando mais importante à medida que o aumento da Inteligência Artificial expõe as empresas a um risco adicional. 52% de CISOs globais estão preocupados com o potencial da Inteligência Artificial de permitir que cibercriminosos criem exploits – software ou código que têm como objetivo assumir o controle de computadores ou roubar dados de rede -, por exemplo, mais rapidamente e os executem em uma escala mais ampla. 45% também estão apreensivos com o potencial da Inteligência Artificial de permitir que os desenvolvedores acelerem a entrega de software com menos supervisão, levando a mais vulnerabilidades.
– Enquanto procuram por uma solução, 83% dos CISOs globais (92% dos líderes brasileiros) afirmam que a automação de DevSecOps é mais importante para gerenciar o risco de vulnerabilidades introduzidas pela Inteligência Artificial. Além disso, 71% dos CISOs de todo o mundo dizem que a automação de DevSecOps é fundamental para garantir que medidas razoáveis tenham sido tomadas para minimizar o risco de segurança de aplicações. No Brasil, porém, apenas 10% dos CISOs afirmam que sua empresa possui práticas maduras de automação do DevSecOps.
– 77% dos CISOs globais afirmam que as ferramentas atuais, como XDR e soluções SIEM, não podem gerenciar a complexidade de Nuvem, pois carecem da inteligência necessária para impulsionar a automação em escala, e 70% dos líderes afirmam que a necessidade de várias ferramentas de segurança de aplicações gera ineficiência operacional devido ao esforço necessário para dar sentido a fontes de dados díspares.
“O crescente uso da Inteligência Artificial é uma faca de dois gumes, gerando ganhos de eficiência tanto para inovadores digitais quanto para aqueles que buscam violar suas defesas,” afirma Greifeneder. “Por um lado, há um maior risco de os desenvolvedores introduzirem vulnerabilidades por meio de códigos gerados por Inteligência Artificial que não foram adequadamente testados, e por outro, os cibercriminosos podem desenvolver ataques mais automatizados e sofisticados para explorá-los. Agravando ainda mais a situação, as empresas também devem cumprir regulamentações emergentes, que as obriga a identificar e relatar o impacto dos ataques dentro de poucos dias. As companhias precisam urgentemente modernizar suas ferramentas e práticas de segurança para proteger suas aplicações e dados de ameaças cibernéticas modernas e avançadas. As abordagens mais eficazes serão construídas sobre uma plataforma unificada que impulsiona a automação madura de DevSecOps e aproveita a Inteligência Artificial para lidar com dados distribuídos em qualquer escala. Essas plataformas fornecerão insights nos quais toda a empresa pode se apoiar e usar para demonstrar conformidade com regulamentações rigorosas.”
O relatório é baseado em uma pesquisa global com 1.300 CISOs e dez entrevistas com CEOs e CFOs (Chief Financial Officers) em empresas com mais de 1.000 funcionários. Foi encomendado pela Dynatrace e conduzido pela Coleman Parkes entre março e abril de 2024.
