A IBM Security publicou seu relatório anual Cost of a Data Breach Report, revelando que as violações de dados estão mais caras e impactantes do que nunca, custando em média R$ 6,45 milhões no Brasil, o maior custo da história do relatório para as organizações pesquisadas.
No país, com os custos de violação aumentando quase 10% nos últimos dois anos do relatório, as descobertas sugerem que esses incidentes também podem estar contribuindo para o aumento dos custos de bens e serviços. De fato, 60% das organizações globalmente aumentaram os preços de seus produtos ou serviços devido a um vazamento, em um momento em que o custo das mercadorias já está disparando em todo o mundo devido a questões como inflação, problemas na cadeia de suprimentos, entre outras. Além disso, 83% das organizações em todo o mundo sofreram mais de uma violação de dados desde o início de suas operações.
O relatório "Cost of a Data Breach 2022" — patrocinado pela IBM Security e conduzido pelo Ponemon Institute — é baseado em uma análise aprofundada de violações de dados reais enfrentadas por 550 organizações em todo o mundo, incluindo 43 empresas no Brasil, entre março de 2021 e março de 2022.
Algumas das principais descobertas sobre as empresas no Brasil incluem:
• O tempo médio para identificar e conter uma violação de dados foi de 347 dias em 2022, uma redução de 49 dias em relação ao ano anterior. Empresas com ciclo de vida de violação superior a 200 dias têm um custo médio superior a R? 7,71 milhões em comparação com aquelas com menos de 200 dias: R? 5,19 milhões.
• 44% das empresas têm um nível maduro de adoção de uma abordagem Zero Trust. Aqueles que não adotaram essa estratégia enfrentam custos médios de violação de dados de R? 6,69 milhões de reais, superiores ao custo médio do país.
• No Brasil, a configuração incorreta de nuvem é o vetor mais comum (18%), com custo médio de R? 5,98 milhões de reais. Seguido por credenciais comprometidas (16%) com R? 6,90 milhões de reais e phishing (15%), com R? 6,73 milhões.
• Do ponto de vista do maior custo médio por tipo de vetor, vulnerabilidade em software de terceiros aparece com R? 7,52 milhões, com frequência de 11% nas violações estudadas.
• Globalmente, um número significativo de 43% das organizações afirmaram que estão apenas nos estágios iniciais ou não começaram a implementar práticas de segurança para proteger seus ambientes de nuvem. No Brasil, as empresas com maior maturidade na segurança em um ambiente de nuvem economizaram R? 1,16 milhão em comparação com aquelas que não começaram a implementar práticas de segurança em seus ambientes de nuvem.
• As empresas brasileiras com uma abordagem de nuvem híbrida conseguiram identificar e conter violações de dados 52 dias mais rápido do que a média do país (295 dias no total). Essas organizações também exigiram menos tempo para identificar e conter uma violação em comparação com aquelas com modelo de nuvem exclusivamente privada (41 dias a menos) e pública (68 dias a menos).
• Empresas com mais de 50% de seus funcionários trabalhando remotamente levaram 14 dias a mais que a média nacional para identificar e conter uma violação (361 dias no total).
• Apenas 25% das empresas no Brasil possuem automação de segurança totalmente implementada, essencial para redução de custos. Globalmente, as organizações que implementaram segurança com automação e inteligência artificial (IA) tiveram um custo médio menor e alcançaram uma economia de 65,2% em comparação com aquelas que não o fizeram — a maior economia de custos observada no estudo. Além disso, seu tempo de detecção e contenção é melhor: 2,5 meses mais rápido.
• Três fatores principais que amplificam o custo de uma violação de dados: complexidade do sistema de segurança, falta de habilidades de segurança e falhas de conformidade. Por outro lado, os três principais fatores mitigadores de custos são formação da equipe de Resposta a Incidentes, participação no compartilhamento de ameaças e implementação de uma plataforma de IA.
• Pelo 12º ano consecutivo, os participantes da área de saúde obtiveram as violações mais caras entre os setores em todo o mundo. No Brasil, os setores com maior custo de violação de dados por registro são serviços financeiros (R? 654), serviços (R? 650) e saúde (R? 600).
"As empresas precisam colocar seus sistemas de segurança na ofensiva e derrotar os invasores. É hora de impedir que o adversário atinja seus objetivos e começar a minimizar o impacto dos ataques. Quanto mais empresas tentam aprimorar seu perímetro em vez de investir em detecção e resposta, maior fica o número de violações que podem levar a aumentos no custo de vida", diz Charles Henderson, diretor global da IBM Security X-Force. "Este relatório mostra que as estratégias certas, juntamente com as tecnologias certas, podem ajudar a fazer a diferença quando as empresas são atacadas."
Outras descobertas destacadas em todo o mundo incluem:
Infraestruturas críticas
• Globalmente, ransomware e ataques destrutivos representaram 28% das violações entre as organizações de infraestrutura crítica estudadas, destacando que os invasores estão buscando fraturar as cadeias de suprimentos globais que são a espinha dorsal da economia.
• Quase 80% das organizações de infraestrutura crítica estudadas não adotam estratégias Zero Trust, elevando o custo médio de violações de dados para US? 5,4 milhões — um aumento de 24% em comparação com aquelas que adotam.
Não vale a pena pagar resgate
• As vítimas de ransomware no estudo que optaram por pagar as demandas de resgate tiveram apenas uma redução de US? 630 mil no custo médio da violação em comparação com aquelas que optaram por não pagar — sem incluir o custo do resgate.
• Considerando o alto custo dos pagamentos de resgate (superiores a US? 800 mil), o custo financeiro pode aumentar ainda mais, sugerindo que simplesmente pagar o resgate pode não ser uma estratégia eficaz — ao mesmo tempo em que inadvertidamente financia futuros ataques de ransomware com capital que pode ser alocado aos esforços de remediação e recuperação e analisando possíveis crimes federais.
• IBM Security X-Force descobriu que a duração dos ataques de ransomware corporativos estudados mostra uma queda de 94% nos últimos três anos – de mais de dois meses para pouco menos de quatro dias, portanto, as equipes de segurança têm menos espaço para ação.
Profissionais, Preparação e Testes:
• 62% das organizações estudadas afirmaram que não têm equipe suficiente para atender às suas necessidades de segurança, com uma média de US? 550 mil a mais em custos de violação do que aquelas que afirmam ter pessoal suficiente.
• 73% têm planos de resposta a incidentes (IR), mas 37% não os testam regularmente. Uma economia média de custo de 58% por violação de dados é observada para empresas que possuem equipamentos de IR e testam regularmente seu plano.
• 44% das organizações usam tecnologias XDR (Extended Detection and Response) e reduziram o ciclo de vida da violação em quase um mês. Eles também economizaram um custo médio de US? 400 mil.
