No próximo ano, as empresas brasileiras enfrentarão a gigantesca tarefa de se equipar para o nível de ameaça no ciberespaço, que aumentou ainda mais desde o início da guerra na Ucrânia. Estas são as conclusões da segunda parte da pesquisa "OTRS Spotlight: Corporate Security", realizada pelo OTRS Group, que entrevistou 500 executivos em equipes de segurança de TI em todo o mundo, incluindo 100 no Brasil.
A utilização de software de segurança, orquestração, automação e resposta (SOAR) como parte de seus processos de gerenciamento de incidentes é utilizado por 65% dos respondentes nos EUA e Singapura, no Brasil esse número passa de pouco mais da metade, 54%.
Já o uso de ferramentas de gerenciamento de vulnerabilidade caiu até um quinto na Alemanha em comparação com o ano anterior. No Brasil se manteve estável nos dois anos, 86% em 2021 e 85% em 2022. Há também uma falta de consciência de onde se escondem ameaças sérias à segurança de TI. Praticamente, uma em cada duas equipes de segurança brasileiras (56%) teve dificuldade em aplicar um patch porque estava usando uma versão de software antiga. Os motivos dados foram:
59% não sabia que havia uma nova versão, 39% não sabia das graves consequências e 18% queria economizar dinheiro.
SIEM, SOAR, gerenciamento de vulnerabilidade
Apesar da baixa taxa de uso, os benefícios de ferramentas como SOAR parecem claros para a maioria das equipes de segurança de TI pesquisadas. No Brasil, 41% dos pesquisados está planejando introduzir esse tipo de software. O retorno sobre o investimento é promissor: dois terços dos entrevistados em todo o mundo, que já estão usando um SOAR, percebem que o sistema facilitou o trabalho com TI. Mais da metade (56%) confirma que os protege dos impactos de futuros incidentes de segurança.
As ferramentas para gerenciamento de eventos e informações de segurança (SIEM) e gerenciamento de vulnerabilidades já são usadas por 85% das empresas brasileiras entrevistadas. E entre os principais benefícios gerados pelo gerenciamento de vulnerabilidades estão: encontrar as vulnerabilidades mais rapidamente (71%), fechá-las e agir com mais segurança (71%) e estruturá-las e documentá-las (55%); a falta de investimento dificulta a segurança eficaz.
Não é apenas a falta de investimento em ferramentas adicionais que torna difícil para as equipes de segurança de TI proteger suas organizações com eficiência. Para soluções que já estão em uso, a busca por economia de custos também aumenta o risco de segurança. No mundo, 31% citam querer economizar dinheiro como motivo para ter usado uma versão de software desatualizada e, portanto, não ter sido capaz de aplicar um patch no passado. Além de desconhecerem as graves consequências do uso de software desatualizado, 49% também não sabiam que uma nova versão estava disponível.
"A cada dia, novos ataques à TI de empresas de todos os segmentos e portes se tornam conhecidos do público. Apesar disso, muitos ainda negligenciam o assunto e não dão a suas equipes de TI e segurança os meios necessários para se protegerem da melhor forma possível contra os ataques cibernéticos e estar preparado para o pior cenário – seja porque eles subestimam a ameaça ou evitam os investimentos necessários", aponta Christopher Kuhn, COO do OTRS Group. "Essas empresas estão brincando com fogo. Economizar em ferramentas técnicas para segurança de TI é como um corpo de bombeiros sem caminhão de bombeiros. As ferramentas não serão capazes de evitar todas as tentativas de ataque, mas minimizarão os danos."
Fornecedores comerciais perdem para os governamentais
O uso de diferentes fontes de informação sobre vulnerabilidades sofreu algumas mudanças em relação ao ano anterior. Atualmente, apenas 25% das equipes de segurança brasileiras obtém informações sobre vulnerabilidades de provedores comerciais, abaixo dos 40% em 2021.
Enquanto isso, provedores governamentais de informações sobre vulnerabilidades viram um grande fluxo. Enquanto 8% confiaram no governo neste assunto em 2021, quase um terço (27%) o fez este ano. Isso corresponde a um aumento de 238%. A mesma tendência pode ser observada em todos os países pesquisados.
Plano de gerenciamento de incidentes como base
A base para uma infraestrutura sólida de segurança de TI já existe na grande maioria das empresas pesquisadas: no Brasil, 96% têm um plano de gerenciamento de incidentes. Desses, 72% acharam isso particularmente útil para otimizar seus esforços de segurança de TI e evitar consequências mais sérias, 50% acharam útil para documentar e estruturar incidentes, 45% dizem que ajudou a estabelecer a comunicação, 42% consideraram que ajuda a descobrir por que os incidentes aconteceram e 40% sabem o que fazer imediatamente graças ao plano de gerenciamento de incidentes.
Quando se trata de mapear seus processos de segurança como parte do gerenciamento de incidentes de segurança, as empresas brasileiras costumam combinar vários frameworks. Com 52%, os padrões ISO/IEC 27035 são os mais usados, seguidos por CERT (33%), NIST (32%) e KRITIS (26%).
"A base para uma forte segurança de TI já existe na grande maioria das empresas. Agora, é importante expandir isso, porque os planos de gerenciamento de incidentes, por si só, não são suficientes para poder agir com segurança e proteger uma empresa a longo prazo", afirma Luciano Alves de Oliveira, Diretor Geral Brasil e Portugal do OTRS Group. "Por um lado, o foco deve estar na conscientização das fontes de riscos de segurança e nas medidas preventivas necessárias. Por outro lado, os executivos não devem hesitar mais em investir em ferramentas que apoiem sua equipe no aumento da segurança e na capacidade de reagir rápida e eficazmente em caso de emergência."
Sobre a pesquisa
Os dados usados são baseados em pesquisa online da Pollfish Inc. na qual participaram 500 executivos de equipes de segurança de TI na Alemanha, EUA, Brasil, México e Singapura, entre 6 e 22 de outubro de 2022. A mesma pesquisa foi realizada em 2021, com exceção das perguntas sobre a evolução desde o início da guerra na Ucrânia. Os resultados dessa pesquisa foram utilizados para comparações com o ano anterior.
