Arley Brogiato (*)
O duro ano de 2022 fica para trás e CIOs e CISOs brasileiros se preparam para as batalhas que virão pela frente. Pesquisa do ISACA (Information Systems Audit and Control Association) norte-americano divulgado no início de dezembro passado revela que, entre as milhares de organizações ligadas a esse órgão, 43% afirmaram ter sofrido mais ataques em 2022 do que no ano anterior.
Numa resposta de múltipla escolha, os líderes entrevistados para esse estudo afirmaram que temeram perdas em reputação (79%), vazamentos de dados (70%) e desorganização da sua cadeia de suprimentos (54%). Para tornar o quadro ainda mais complexo, 69% do universo pesquisado afirmaram não contar com a equipe de cibersegurança necessária para evitar os estragos causados pelas gangues digitais.
Uma forma de superar esse contexto em 2023 é aumentar o foco em automação e orquestração de soluções de segurança. Estudo da Security Magazine de maio de 2020 indica que, em média, empresas usuárias contam com 50 marcas diferentes de tecnologia de segurança em sua infraestrutura.
. Adeus aos processos manuais de cibersegurança – A soma dessa multiplicidade de plataformas com a alta incidência de ataques e a falta de profissionais atuando nas empresas determina que, em 2023, processos manuais e de baixa produtividade sejam deixados para trás. Isso já está acontecendo no nosso país. Empresas de todos os portes e regiões estão implementando plataformas de monitoramento de dispositivos e sensores de segurança digital que reúnem em um único dashboard informações colhidas nos mais diversos ambientes.
A meta é orquestrar um universo extremamente complexo e variado, de modo a automatizar a identificação de ameaças e a implementação de ações que irão corrigir a falha. Para atingir essa meta, executa-se uma rastreabilidade reversa, chegando até a origem do ataque e disparando de forma pré-estabelecida ações para alterar esse quadro. Isso aumenta a produtividade do time de ICT Security, além de consolidar uma visão ao mesmo tempo ampla e detalhada de tudo o que se passa nos ambientes digitais em contínua expansão da organização.
. – Fim da lealdade da organização usuária à marca – Por mais que CIOs e CISOs tenham uma relação de confiança com um determinado fornecedor de segurança digital, as falhas na cadeia de suprimentos surgidas desde a pandemia e que seguem afetando o mercado estão levando as empresas a abandonar antigas lealdades.
Estudo organizado em maio de 2022 pela Bloomberg analisou o impacto dos problemas com supply chain nas declarações de faturamento de empresas de todas as regiões do mundo. 180 dessas organizações afirmaram que o caos causado pela pandemia prejudicou seus processos de fabricação e afetou seu desempenho financeiro. No segmento de microchips, por exemplo, a equipe de analistas da Bloomberg destacou os problemas sofridos pela empresa norte-americana Microchip Technology.
Essa empresa tem sede no Arizona mas depende de fornecedores globais que tiveram seus processos produtivos prejudicados pela Covid. A apresentação para analistas e investidores realizada ao final do primeiro trimestre de 2022 indicou que a empresa foi afetada por esse contexto.
Há no mercado, no entanto, fornecedores de soluções de segurança digital que anteciparam ações de correções em suas cadeias de suprimento e não só enfrentaram as disrupções causadas pela pandemia com tranquilidade como seguem garantindo o cronograma de entrega de appliances.
Uma métrica estratégica para as empresas usuárias é o tempo entre o fechamento do pedido e a entrega da solução, que não deve ultrapassar de 20 a 30 dias. Acima desse período, o desempenho dos negócios será afetado.
. CISOs, DPOs e Comitês de Segurança: união contra as gangues digitais – A busca da conformidade à LGPD levou milhares de empresas brasileiras a integrarem em seus times o DPO (Data Protection Officer). Pesquisa da Nic.BR de agosto de 2022 indica que 17% das empresas brasileiras contavam com esse profissional em seus quadros. No grupo das maiores empresas do país, essa marca sobe para 43%.
Agora, veremos a forte aliança entre o DPO, o CISO e o Comitê de Segurança – grupo originalmente criado para suportar o alinhamento dos processos da organização à LGPD – produzir frutos. DPO e CISO complementam-se perfeitamente. Muitos DPOs têm formação jurídica, enquanto o CISO costuma surgir de times técnicos. Os dois profissionais, no entanto, têm como meta proteger a empresa e seus dados.
Esses dois profissionais estão, hoje, organizados numa célula estratégica. Trata-se de uma jornada de duas pessoas cada vez mais presentes no Board das empresas. A terceira coluna desse time que, em 2023, fará toda a diferença, é formada pelos membros do Comitê de Segurança. Organização que reúne stakeholders de todas as áreas de negócios, este fórum escuta as recomendações do CISO e do DPO e faz recomendações aos experts em cibersegurança, compartilhando lógicas de negócios e de processos essenciais para o sucesso de uma política de segurança digital.
. Trabalho híbrido ainda precisa conquistar maturidade de segurança digital – Estudo da consultoria McKinsey realizado em maio de 2022 com 885 grandes organizações norte-americanas revelou que 85% desse universo manteria o modelo de trabalho híbrido ao longo do ano. A proteção do usuário remoto, no entanto, continua sendo um desafio.
Relatório da consultoria inglesa DBXUK de novembro de 2022 indica que o prejuízo médio de uma violação que se inicia no ambiente de home office é US$ 137.000 mais alta do que violações que se iniciam no perímetro tradicional. Outro aspecto desse quadro é que, no Reino Unido, 44% das empresas não oferecem treinamento em segurança para os colaboradores sobre os riscos de se trabalhar de forma híbrida, isto é, parte do tempo no escritório, parte do tempo em casa.
Esse contexto indica que, neste ano, mais e mais organizações brasileiras buscarão estratégias para equiparar a maturidade de segurança digital de seus usuários remotos com a cultura consolidada dentro da sede da empresa. Restrições orçamentárias nem sempre permitem que soluções de alto custo como o SASE (Secure Access Service Edge) sejam implementadas. Tenho visto, no Brasil, crescer a cada dia a adoção de soluções de SD-WAN (rede geograficamente distribuída definida por software) em conjunto com soluções de acesso remoto seguro (Secure Mobile Access) que garantem a proteção do usuário remoto.
O interesse por soluções de segurança de EndPoint também tem avançado muito – são plataformas que, implementadas no computador do usuário remoto, garantem o alinhamento deste dispositivo às políticas de segurança da organização. Mais do que configurar uma VPN pessoal entre o colaborador remoto e o data center on-premises ou na nuvem, o SMA atua como um portal que dá acesso à todas as aplicações de produtividade do usuário. Isso acontece independentemente de onde a pessoa esteja.
Basta, por exemplo, abrir o navegador no celular, utilizar o link da organização, passar pelas autenticações, e o usuário será direcionado ao seu portal personalizado. Outra solução de segurança que tem garantido a proteção de ambientes híbridos de trabalho é o CAS (Cloud App Security). No caso de um usuário que utiliza, por exemplo, o Office 365 (ferramenta de produtividade que roda na nuvem da Microsoft, a Azure) ou mesmo o G-Suite do Google – o CAS evita o upload de dados confidenciais e o compartilhamento não autorizado de dados.
Depois de tudo o que vivemos em 2022, fica claro que a proteção das organizações exige o engajamento de todos – colaboradores, líderes de negócios, parceiros e fornecedores. Em 2023, vencerá quem entender este fato, derrubar os silos e trabalhar sem cessar para disseminar entre todos os stakeholders as melhores práticas de segurança digital.
(*) – É Diretor da SonicWall América Latina e Caribe (onicwall.com/pt-br/).
