É preciso alinhar negócios e cibersegurança, diz WEF

Será que a percepção em relação às ciberameaças de executivos de negócios e líderes de segurança é a mesma? Parece que não é, de acordo com do recente relatório anual The Global Cybersecurity Outlook 2022 do Fórum Econômico Mundial (WEF). Um dos resultados desse estudo mostra que 80% dos responsáveis pela cibersegurança consideram ransomware um “perigo” ou uma “ameaça”. No entanto, de outro lado, diretores de áreas de negócios pensam que suas empresas estão seguras e dão indícios de ignorar, por exemplo, o fato de o preço médio das ações de empresas hackeadas apresentar um queda de 3% NASDAQ mesmo seis meses após o evento.

Outros números reforçam a diferença de visão das duas áreas. Cerca de 92% dos executivos de negócios afirmam que a resiliência cibernética faz parte das estratégias de gestão de riscos corporativos, porém apenas 55% dos líderes de cibersegurança concordam com isso. Divergências como essa, resultado de prioridades e políticas incongruentes, podem deixar as organizações mais vulneráveis a ataques.

Segundo a pesquisa, quase dois terços reconhecem ser difícil reagir a incidentes cibernéticos devido à falta de competências em suas equipes. Talvez ainda mais preocupante seja o fato de serem necessários, em média, 280 dias para identificar e enfrentar ciberataques. Menos de um quinto dos líderes de cibersegurança confiam que suas organizações sejam resilientes do ponto de vista cibernético. E as três principais preocupações que tiram o sono deles à noite são:

• Eles não consultados durante as decisões de negócios e enfrentam dificuldades para ter apoio e conseguir priorizar os riscos cibernéticos.
• Recrutar e reter talentos é outra grande preocupação. Executivos de negócios parecem não se dar conta de que não ter equipes bem treinadas para combater ciberataques é uma de suas principais vulnerabilidades.
• Quase nove em cada 10 enxergam as pequenas e médias empresas como o elo mais fraco da cadeia – 40% dos entrevistados foram afetados negativamente por um incidente de cibersegurança cibernética em seus ecossistemas.

Propostas para aumentar resiliência

A pesquisa destaca que, para desenvolver programas de cibersegurança mais eficientes, favoráveis aos negócios e resilientes, é preciso cultivar uma compreensão mais profunda das operações da organização, tanto horizontalmente (funções essenciais para os negócios que exigem mais atenção e proteção) quanto verticalmente (princípios e medidas de cibersegurança cibernética abordar os riscos intoleráveis).

Para isso, líderes de cibersegurança devem interagir regularmente com diferentes unidades de negócios, envolvendo-as no desenvolvimento de estratégias. Simultaneamente, seus pares nas diferentes unidades de negócios devem envolver os líderes de cibersegurança em suas conversas para garantir que a cibersegurança não seja um elemento incluído tardiamente nas decisões. Ambos os grupos precisam criar e manter uma boa comunicação bidirecional.

Além disso, a alta diretoria das organizações devem garantir apoio aos líderes das área de cibersegurança fornecendo não apenas orçamento suficiente, mas participação nas decisões de negócios, alinhando as metas de ambas áreas e incluindo, por exemplo, a resiliência cibernética em  KPIs (indicadores-chave de desempenho).

O estudo também destaca que é preciso encontrar soluções inovadoras para atrair mais profissionais para a área de cibersegurança e assim suprir a escassez de mão de obra qualificada, uma ameaça real para a continuidade dos negócios e também para a defesa nacional dos países. Buscando dar uma contribuição, o próprio o Learning Hub do WEF dá acesso a módulos gratuitos de treinamento em cibersegurança, informações sobre carreiras e entrevistas com especialistas. Ressaltou-se ainda a importância de parceiras e uma plataforma comum para facilitar o trabalho comum em um ecossistema mais resiliente – o valor das parcerias foi confirmado por mais de 90% dos entrevistados, que relataram ter recebido insights valiosos de grupos e/ou parceiros externos.

E para tentar aliviar as justificadas preocupações vulnerabilidades na cadeia de suprimentos – 58% dos entrevistados acham que seus fornecedores são menos resilientes do que suas próprias organizações, é preciso atuar em três frentes, segundo o WEF:

• Mapear as redes completamente, incluindo todos os endpoints;
• Fortalecer relações com quem se trabalha no ecossistema;
• Investir seus recursos não apenas na prevenção, mas também na resiliência;

E, como nem mesmo as organizações maiores e mais ricas em recursos estão livres dos ataques, a ordem é investir em resiliência cibernética ao máximo, ou seja, a capacidade de se antecipar aos incidentes, mas também de se recuperar rapidamente de eventuais interrupções das operações. Segundo Robert Silvers, subsecretário de Política e Planos de Estratégia do Departamento de Segurança Interna dos Estados Unidos, “as empresas não estando sendo julgadas pelo fato de terem sido atingidas por um ataque cibernético, mas pelo caráter de sua resposta”.