A crescente frequência, sofisticação e impacto dos ataques cibernéticos nos negócios têm transformado os planos de segurança na internet, que antes eram uma preocupação operacional dos departamentos de TI, em tema central na agenda dos CEOs. No entanto, ainda há uma lacuna de informação entre os escalões superiores das empresas, o que dificulta o alinhamento dos investimentos destinados a prevenção de riscos com percepção do real valor estratégico dos ativos digitais de uma organização.
A constatação faz parte do estudo "A Strategic Approach to Cybersecurity", elaborado pela Bain & Company, empresa de consultoria em negócios. Os dados compilados e analisados pela empresa revelam que o gasto médio com crimes cibernéticos saltaram 56%, para US$ 5,9 milhões por empresa em 2011, em relação a 2010. No mesmo período, ataques na internet cresceram 36%, chegando a 4,5 mil incidências por dia.
O número de malwares para celulares quadruplicou em 2013, com ataques a dispositivos móveis equipados com o sistema operacional Android registrando impressionantes 26 vezes mais casos do que anteriormente. Também cresceram os ataques distribuídos por negação de serviço (DDoS, do inglês Distributed Denial-of-Service attack), com alta de 27% no mesmo período.
De acordo com o relatório da Bain & Company, motivações financeiras representam agora 95% dos ataques na web, tornando os ativos ainda mais estratégicos, já que podem ser monetizados após a invasão nos principais alvos.
Toda empresa que recentemente sofreu com uma brecha de segurança, o relatório mostra, já tiveram algum tipo de plano de segurança cibernética. Apesar disso, muitas organizações não conseguem alinhar os recursos voltados para segurança em TI com os objetivos maiores e riscos globais do negócio. O estudo aponta a falta de conexão entre os esforços de gerenciamento de riscos das empresas e o desenvolvimento de capacidades necessárias para a segurança cibernética como provável causa dos incidentes individuais. Isso porque os grupos de negócios e TI normalmente falham ao discutir ameaças emergentes e a relativa importância de diferentes tipos de ativos digitais.
Em vez disso, de acordo com o estudo da Bain, obrigações de conformidade, que não implicam em desenvolvimento de estratégia, são os maiores drivers para segurança cibernética para três em cada quatro CIOs. Esta constatação demonstra o excesso de confiança depositada em abordagens operacionais para segurança.
Para a Bain, a abordagem estratégica para o planejamento de segurança na internet deve seguir os seguintes pontos: 1) alinhamento da segurança para TI e os esforços para prevenção de riscos com os requisitos do negócio, 2) robusta avaliação e gestão de riscos em TI, 3) administração efetiva para planejar, financiar e executar atividades estratégicas e operacionais da equipe de TI, 4) estruturação do planejamento de longo prazo, concepção e gestão de operações técnicas e 5) táticas para "apagar incêndios" e operações rotineiras, a proteção dos centros de dados e outros ativos físicos.
"No mundo de hoje, com altas ameaças e altos impactos, as organizações de TI devem se concentrar em priorizar os ativos digitais com base no valor e risco para a empresa. É necessário o envolvimento de níveis superiores para garantir os investimentos corretos em tecnologia, processos e recursos", diz Jean-Claude Ramirez, sócio do escritório da Bain em São Paulo e coautor do estudo.
