“A segurança cibernética ganha cada vez mais espaço”, “a segurança da informação é um pilar estratégico das organizações” e, finalmente, “o executivo responsável pela área ganhou de forma definitiva um assento na alta administração”. Provavelmente, você já viu todas essas afirmações na capa daquela revista ou mídia on-line especializada de sua preferência, mas será mesmo que isso é verdade? Será que as nossas instituições estão maduras o suficiente para discutir o tema e tomar as ações necessárias? Ou a realidade é que muitas empresas não possuem processos estabelecidos, não dispõem de equipes dedicadas ao assunto e que os investimentos em tecnologia de segurança, quando existem, ou não são suficientes ou são equivocados?
Ainda que o tema esteja na pauta de muitas empresas, tenha ganho cada vez mais relevância ao longo dos últimos anos e que, de fato, deveria fazer parte da estratégia das organizações, o número cada vez maior de incidentes de segurança amplamente divulgado pelos meios de comunicação nos confronta com uma realidade distinta daquela que o título deste artigo sugere. O desafio é muito maior do que o espaço que disponho, portanto, convido o leitor a refletir sobre três aspectos importantes, quando o assunto é investimento em segurança cibernética.
O primeiro aspecto está relacionado a quais investimentos priorizar. Invista na proteção daquele que é um dos, se não, o principal ativo da sua empresa. Estou me referindo aos produtos e serviços que sua empresa oferece no mercado. Para isso, é imperativo disseminar a cultura e as práticas do security by design entre os times responsáveis pela criação de produtos e serviços. Quanto mais cedo incorporarmos a segurança ao ciclo de desenvolvimento de produtos e serviços, maiores os ganhos para as organizações, pois é mais barato prevenir do que remediar as consequências de um incidente. E, ao contrário do que muitos profissionais acreditam, medir o retorno desse investimento não é tão difícil assim.
Por exemplo, a segurança cibernética é um habilitador para o digital, não há como evoluir uma linha de produção nos moldes da indústria 4.0 sem que security seja um elemento central. Então, ao desenhar uma linha de produção conectada a sistemas ciberfísicos e que interligue a cadeia de suprimentos, analise os riscos da exposição desses sistemas fim a fim, pense nos pilares de proteção e desenhe uma arquitetura que reduza ao máximo os riscos aos quais possa estar suscetível.
Uma vez que a organização tenha incorporado práticas de segurança ao ciclo de desenvolvimento de seus produtos e serviços, terá reduzido significativamente sua exposição. Mas, como sabemos, não há garantias de segurança máxima, portanto, invista em capacidade de resposta e seja crítico e estratégico. Temos visto muitos incidentes, entre eles os que envolvem ransomware e vazamento de dados, e um fator crítico para responder a eventos como esses é o tempo, portanto, invista em tecnologias que lhe permitam identificar e responder rapidamente às ameaças cibernéticas.
As organizações deveriam optar por soluções integradas, que permitam a visualização rápida da linha de atuação do atacante, capacidade de automação de procedimentos de resposta e, de preferência, com inteligência suficiente para interromper a ameaça o mais breve possível.
Se a sua organização já definiu processos para incorporar práticas de segurança aos produtos e serviços, investiu em tecnologia para aprimorar a capacidade de resposta a incidentes, então não se esqueça de um dos pilares dessa área: as pessoas. Embora a educação e a conscientização sejam o cerne de qualquer estratégia de segurança, o aspecto que pretendo destacar é a capacitação do time de segurança. Sim, é preciso definir uma equipe, ou melhor, times para a área de segurança, e nesse momento não importa se será um time próprio ou se a opção será por um serviço gerenciado, mas é fundamental que a empresa tenha em suas linhas de defesa pessoas qualificadas, bem treinadas e, claro, com remuneração adequada, condizente com a realidade do mercado e com as perspectivas.
Aprimorar a postura de segurança cibernética demanda planejamento e investimentos, e garantir os recursos necessários para tanto é a maior evidência de comprometimento da alta administração. Ao não prover esses recursos, a liderança estará negligenciando uma ameaça real, e que tem a capacidade de comprometer a continuidade das operações da organização.
Por Leonardo Lemes – sócio-diretor da Service IT