Três razões para NÃO investir em segurança cibernética
Você é executivo (não necessariamente de Tecnologia) de uma empresa de médio ou grande porte? Conversaram com você sobre segurança cibernética recentemente? Quer investir em segurança cibernética? Isso lhe interessa.
Apesar de estar em desenvolvimento há muitos anos, o mercado de cibersegurança está em voga e vários são os fatores que o indicam. Da oferta: empresas tradicionais da área de TI investiram recentemente para adquirir ou fortalecer as suas áreas de cibersegurança. São realizadas grandes conferências globais com milhares ou dezenas de milhares de participantes como a RSA Conference, BlackHat, DEFCON ou Infosecurity. Além disso, há grandes empresas já consolidadas no setor e um alto número de startups focadas em diferentes nichos da segurança cibernética.
Se olharmos do ponto de vista da procura, mais empresas consideram a cibersegurança no seu orçamento. O Fórum Econômico Mundial, no seu estudo anual sobre riscos globais, inclui elementos de segurança cibernética entre algumas das prioridades. Cada vez mais, a imprensa empresarial e mesmo a imprensa mais geral abordam temas de segurança cibernética.
Tudo isso não é casualidade; com a transformação que as empresas tiveram de utilizar cada vez mais tecnologia e tirar partido de uma sociedade cada vez mais digitalizada, uma falha ou ataque à infraestrutura tecnológica pode ter um forte impacto em qualquer organização. Há uma razão para se dizer que hoje praticamente qualquer empresa, independentemente da sua vertical de negócio, é também uma empresa de tecnologia. Com tudo isso, por que então o título deste texto fala sobre motivos para NÃO investir em Segurança Cibernética? Porque embora existam razões óbvias pelas quais você deve investir em segurança cibernética, também existem motivos pelos quais isso não é recomendado. Vamos revisar três deles:
- Não invista por medo
“Um ataque à cibersegurança pode ter um custo que varia entre 650 mil e mais de 5 milhões de dólares por organização e 5 mil dólares em média por cada cliente ou funcionário comprometido”, “há CEOs que já foram despedidos por problemas de cibersegurança”, “falhas de conformidade podem levar a multas de vários milhões de dólares”, “um atacante pode permanecer na organização por mais de 70 dias em média até ser descoberto”, “o resgate que os criminosos exigem no caso de um ataque de ransomware está na faixa de 100 mil até vários milhões de dólares.”
Muitos de nós já lemos ou ouvimos frases semelhantes, em geral, são dados e números com certo apego à realidade. Mas, independentemente da sua precisão e da validade para o seu país e para o setor em que você opera, devemos ter cuidado com o que fazemos com essas informações. Estes números devem ajudar a contextualizar e a aumentar a consciencialização sobre a importância de investir em tecnologia, pessoas e processos em torno da segurança cibernética. Infelizmente, alguns fornecedores de tecnologia e serviços utilizam esses dados para gerar medo e depois promovem uma determinada tecnologia ou serviço como antídoto para esse medo gerado, o que é uma armadilha. Comprar por medo pode fazer com que você tome decisões erradas.
É por isso que a segurança cibernética deve ser adquirida pensando primeiro no seu negócio e nas suas necessidades específicas, tendo em consideração o seu setor, as regulamentações, os níveis de serviço, a tolerância e o apetite ao risco, entre vários outros fatores. O investimento em cibersegurança deve ser sempre planejado e organizado; e nunca uma resposta visceral para algo que parece urgente, independentemente de ser ou não. A decisão de investir na cibersegurança é, e deve continuar a ser, um investimento relacionado com os negócios. Não deve ser feito com medo. Mesmo que o investimento se deva ao fato de já ter ocorrido um ataque recente que comprometeu a sua organização.
Aliás, existe uma maneira relativamente simples de identificar alguém que “vende medo” em vez de valor: ele tem a tendência de apontar os erros dos outros, em vez de focar nos seus próprios pontos fortes.
- Não invista apenas para conformidade
Há anos, enquanto eu estava fazendo um curso de administração, o instrutor nos contou uma piada que ficou na minha memória: “se eu apenas faço conformidade, então eu cumpro e minto” (na piada original, em espanhol, falamos “si solo hago cumplimiento, entonces cumplo y miento”; como podem ver é um jogo de palavras que na língua original tem mais sentido). E essa afirmação tem uma verdade por trás.
Não é ruim utilizar a tecnologia para aderir a quadros de referência ou cumprir regulamentos (LGPD, HIPAA, PCI-DSS, são alguns exemplos) que alguns países e algumas indústrias exigem para garantir um mínimo de confiabilidade na infraestrutura que suporta os seus negócios. O problema é que investir e implementar apenas o mínimo necessário para cumpri-los pode criar uma falsa sensação de segurança.
A razão para isso é que as normas geralmente são específicas para uma parte do negócio. Para citar alguns exemplos: uma norma para a gestão de dados pessoais pode ser insuficiente nos mecanismos de pagamento. Um padrão que aborde sistemas de pagamento pode falhar na revisão de sistemas de tecnologia operacional (OT). Uma norma relativa a ambientes operacionais pode ficar curta na parte de privacidade de dados pessoais, e assim por diante.
Portanto, é comum que uma empresa exija a consideração de elementos críticos para o negócio, mas que vão além do escopo da norma individual que pretende cumprir. No final, você deve fazer o que faz sentido para a organização específica que deseja proteger. Por outro lado, as tecnologias utilizadas para atingir a conformidade muitas vezes possuem muito mais funcionalidades que podem ser aproveitadas para melhorar a postura de segurança em mais áreas da organização. A conformidade, então, deveria ser outro motor de investimento (não o único).
- Não invista por moda
Há alguns anos veio o “boom” dos tablets e as ofertas para gerenciar melhor o “traga seu próprio dispositivo” (BYOD) se multiplicaram. Depois veio a nuvem e a subsequente onda de tecnologias e serviços para atender aos requisitos relacionados a ela. Cada vez que há uma mudança na forma como os indivíduos ou as empresas consomem tecnologia, surge um novo conjunto de ofertas para fazer face a essa mudança.
É ilógico não considerar tirar partido de tecnologias ou inovações recentes, mas é importante fazê-lo de forma adequada. Além da nuvem, hoje em segurança temos muitas conversas sobre inteligência artificial (IA) ou Secure Access Service Edge (SASE), para citar alguns exemplos. Devo ter toda a minha tecnologia usando inteligência de IA? Todos os meus usuários deveriam estar em um modelo SASE? Faz sentido em alguns casos, mas nem sempre e nem para tudo.
Como fornecedores de tecnologia e serviços de cibersegurança devemos procurar compreender o negócio, aconselhar sobre os casos de utilização mais adequados e fornecer opções sempre. Observar uma posição absolutista, sem alternativas para fazer mudanças progressivamente onde faz sentido, deveria ser uma luz vermelha na conversa.
É necessário analisar cuidadosamente cada organização, alinhar o direcionamento tecnológico com as prioridades do negócio para melhorar margens, aumentar a fidelização de clientes, reduzir custos, atender novos mercados, etc. para, então, determinar qual investimento faz sentido e como deve ser feito. Esta é uma receita antiga que não deve mudar, independentemente da tecnologia que estejamos falando.
