Por que devo me preocupar com o risco cibernético?
O termo risco cibernético é frequentemente usado para descrever a postura geral de segurança cibernética de uma empresa, ou seja, quanto risco é essa empresa, dadas as medidas que tomou para se proteger. Muitas vezes, está associado à ideia de seguro cibernético, a cobertura necessária entre o que uma empresa pode fazer em termos de segurança e as ameaças cibernéticas que enfrenta no dia a dia.
A segurança cibernética costumava pertencer exclusivamente ao domínio da Tecnologia da Informação, um dos muitos silos de negócios que, embora importantes, eram apenas uma pequena parte do negócio e, como tal, muitas vezes delegadas a um gerente de nível C que interagia com outros executivos conforme necessário.
As empresas de hoje superaram esse modelo, pois o que costumava ser considerado tecnologia da informação cresceu para abranger os próprios negócios, permeando todos os seus aspectos, governando sua velocidade, seu alcance, suas possibilidades. Como CEO ou CFO, a maneira como sua empresa lida com a tecnologia da informação e começa a promover a resiliência cibernética reflete a maneira como você pensa sobre sua empresa e seu lugar no mercado contemporâneo.
Um relatório recente da Nasdaq descobriu que "91% dos membros do conselho das empresas mais vulneráveis não conseguem interpretar um relatório de segurança cibernética. "Dado que as violações dobraram em 2016, a lacuna de conhecimento entre executivos e TI deve ser preenchida. O primeiro passo para preencher essa lacuna é identificar por que o risco cibernético deve ser uma prioridade de negócios para qualquer executivo.
O objetivo não é transformar CEOs, CFOs e outros líderes de negócios em tecnólogos, mas que as empresas se adaptem ao cenário digital em que existem. Isso requer esforço da gerência e da TI para encontrar um meio-termo em um relacionamento que muitas vezes tem sido difícil, mas as recompensas de fazer isso vão muito além da prevenção de grandes incidentes de violação para afetar os processos de negócios do dia a dia, para que gerentes e profissionais de TI possam trabalhar juntos com expectativas razoáveis e conhecimento fundamentado no que o outro precisa.
Cinco razões para se preocupar com o risco cibernético
1. Proteção do cliente
Quando falamos de risco cibernético, o que está mais frequentemente em risco são as informações pessoais dos clientes. Sejam informações de cartão de crédito, registros médicos, endereços e números de telefone ou qualquer outro tipo de informação confidencial, o objetivo de uma violação de dados é adquirir e explorar essas informações de uma forma que possa ter um sério impacto na vida das pessoas a quem pertencem. Antes mesmo de se aprofundar nas considerações de negócios, lembre-se de que pessoas reais serão afetadas se seus dados forem comprometidos e que o processo de desfazer esse dano pode ser tedioso, estressante e caro.
2. Custo financeiro
Este deve ser o óbvio. As violações de dados são caras. Existem tantos vetores afetados financeiramente por uma violação de dados grave que pode ser difícil listar todos eles, mas entre eles estão: queda nos preços das ações, esforços investigativos e forenses, serviços de proteção de identidade para clientes afetados, iniciativas de relações públicas e mídia e consultoria jurídica e honorários (para não mencionar possíveis ações). Os custos financeiros indiretos incluem perda de clientes, atuais e potenciais, correção de segurança cibernética aguda e reacionária e qualquer tempo de interrupção incorrido durante a investigação/remediação.
Mesmo ataques menos graves, como ransomware, podem custar dezenas de milhares de dólares a uma empresa se ela não estiver preparada para lidar com isso. Embora talvez pequeno em comparação com os vários milhões perdidos por violações de dados em grande escala, ransomware como o WannaCry atinge grandes e pequenas empresas igualmente e o impacto financeiro pode ser considerável, para não mencionar embaraçoso.
Finalmente, à medida que o seguro cibernético se torna cada vez mais a norma, o preço das apólices dependerá da postura de segurança. As taxas para empresas com menos medidas de segurança serão mais altas, e incidentes como violações que trazem reclamações contra o seguro aumentarão ainda mais as taxas, como quando você sofre um acidente culposo em seu carro. Para gerenciar com sucesso o preço do seguro cibernético, as empresas precisarão de uma estratégia proativa de risco cibernético para documentar a postura de segurança e evitar incidentes dispendiosos.
3. Proteção do produto
Além dos dados do cliente, ou possivelmente dos dados financeiros da empresa, outro grande alvo dos ataques cibernéticos são os dados comerciais proprietários, como planos, código e outras propriedades intelectuais, ou estratégia e comunicações, como e-mail, correio de voz e documentos compartilhados.
Para muitas empresas, esses dados são da conta delas. Se se tornar público ou for vendido a concorrentes ou a uma entidade estatal, a lucratividade da empresa violada poderá ser severamente prejudicada. Os documentos digitais são a força vital da maioria das empresas e sua divulgação é um problema de negócios, não de TI. Mesmo parceiros externos podem colocar em risco os dados compartilhados, destacando a importância dos questionários de avaliação de risco do fornecedor na escolha de tais empresas terceirizadas.
4. Reputação da empresa
As violações de dados recebem bastante atenção da mídia, como provavelmente deveriam, devido ao seu impacto. Para uma empresa, isso pode significar (na melhor das hipóteses) um período difícil de resistir a uma tempestade de críticas, zombaria e falta de confiança. Se as pessoas associarem sua marca a um incidente de violação de dados, é improvável que optem por usar seus serviços ou produtos posteriormente, independentemente das medidas que você tomou desde então.
Os clientes atuais podem ser motivados a mudar para um concorrente se sentirem que não podem mais confiar em uma empresa com suas informações. Além disso, uma empresa com uma violação conhecida pode ser um farol para outros invasores cibernéticos, que presumirão que a empresa tem segurança fraca. O aumento nos ataques pode significar um incidente totalmente novo se os problemas que permitiram a violação inicial não forem corrigidos imediatamente.
5. Danos na carreira
A questão da reputação se estende além da entidade da empresa para os executivos que a gerenciam. Ações judiciais movidas por acionistas contra os indivíduos que administram uma empresa não são apenas possíveis, mas comuns após uma grande violação. A negligência em relação à segurança cibernética pode custar a um CIO ou CTO seu emprego, mas pode custar a um CEO seu sustento e carreira, se ele, como a empresa, for associado a uma violação de dados amplamente divulgada. A razão por trás disso é simples: os clientes não se importam com as divisões internas entre gerenciamento e TI, entre líderes de negócios e tecnólogos. A responsabilidade é do CEO, e é isso que clientes, acionistas e jornalistas esperam.
As causas dos incidentes de segurança cibernética podem ser de natureza tecnológica, mas seus efeitos são puramente comerciais e, como tal, o negócio é medido e julgado por eles. Por causa disso e das razões mencionadas acima, é crucial que os executivos incorporem o risco cibernético em suas estratégias de negócios, inclusive com parceiros externos por meio de avaliações de risco de fornecedores, e comecem a abordá-lo como a operação de negócios importante e integrada que é. Para conseguir isso, é necessário um nível de visibilidade sem precedentes dentro e fora do data center.
Internamente, os profissionais de TI precisam de visibilidade para saber o que está acontecendo em seus sistemas, para saber quais configurações estão onde, quais sistemas estão em conformidade e quais exigem correção. Do lado de fora, a gerência executiva precisa de visibilidade para entender a postura de segurança cibernética da empresa sem se tornar tecnólogos. Esta é a essência da resiliência cibernética, mitigando riscos. O UpGuard fornece um único painel para atingir esses dois objetivos. Nosso monitoramento de configuração e testes contínuos garantem que os sistemas sejam visíveis e inventariados, e que as alterações sejam monitoradas, registradas e as pessoas apropriadas notificadas. Nosso mecanismo de pesquisa e interface fácil de usar significam que não há perda de tempo aprendendo a ferramenta e mais tempo gasto na proteção de ativos.
O UpGuard também fornece CSR, a primeira pontuação de postura de segurança abrangente e resumo executivo que visualiza a segurança interna e externa de uma organização em um número, semelhante a uma pontuação de crédito. O risco cibernético consiste em estabelecer segurança suficiente para manter sua empresa razoavelmente protegida, ao mesmo tempo em que estabelece visibilidade suficiente para evitar grandes incidentes e manter a administração e as seguradoras informadas sobre o estado da TI.