Segurança cibernética é uma prioridade para as nossas organizações. Será mesmo?
*Por Leonardo Lemes
“A segurança
cibernética ganha cada vez mais espaço”, “a segurança da informação é um pilar
estratégico das organizações” e, finalmente, “o executivo responsável pela área
ganhou de forma definitiva um assento na alta administração”. Provavelmente,
você já viu todas essas afirmações na capa daquela revista ou mídia on-line
especializada de sua preferência, mas será mesmo que isso é verdade? Será que
as nossas instituições estão maduras o suficiente para discutir o tema e tomar
as ações necessárias? Ou a realidade é que muitas empresas não possuem
processos estabelecidos, não dispõem de equipes dedicadas ao assunto e que os
investimentos em tecnologia de segurança, quando existem, ou não são
suficientes ou são equivocados?
Ainda que o tema esteja
na pauta de muitas empresas, tenha ganho cada vez mais relevância ao longo dos
últimos anos e que, de fato, deveria fazer parte da estratégia das
organizações, o número cada vez maior de incidentes de segurança amplamente
divulgado pelos meios de comunicação nos confronta com uma realidade distinta
daquela que o título deste artigo sugere. O desafio é muito maior do que o
espaço que disponho, portanto, convido o leitor a refletir sobre três aspectos
importantes, quando o assunto é investimento em segurança cibernética.
O primeiro aspecto está
relacionado a quais investimentos priorizar. Invista na proteção daquele que é
um dos, se não, o principal ativo da sua empresa. Estou me referindo aos
produtos e serviços que sua empresa oferece no mercado. Para isso, é imperativo
disseminar a cultura e as práticas do security
by design entre os times responsáveis pela criação de produtos e
serviços. Quanto mais cedo incorporarmos a segurança ao ciclo de
desenvolvimento de produtos e serviços, maiores os ganhos para as organizações,
pois é mais barato prevenir do que remediar as consequências de um incidente.
E, ao contrário do que muitos profissionais acreditam, medir o retorno desse
investimento não é tão difícil assim.
Por exemplo, a
segurança cibernética é um habilitador para o digital, não há como evoluir uma
linha de produção nos moldes da indústria 4.0 sem que security seja um elemento
central. Então, ao desenhar uma linha de produção conectada a sistemas
ciberfísicos e que interligue a cadeia de suprimentos, analise os riscos da
exposição desses sistemas fim a fim, pense nos pilares de proteção e desenhe
uma arquitetura que reduza ao máximo os riscos aos quais possa estar
suscetível.
Uma vez que a
organização tenha incorporado práticas de segurança ao ciclo de desenvolvimento
de seus produtos e serviços, terá reduzido significativamente sua exposição.
Mas, como sabemos, não há garantias de segurança máxima, portanto, invista em
capacidade de resposta e seja crítico e estratégico. Temos visto muitos
incidentes, entre eles os que envolvem ransomware e vazamento de dados, e um
fator crítico para responder a eventos como esses é o tempo, portanto, invista
em tecnologias que lhe permitam identificar e responder rapidamente às ameaças
cibernéticas.
As organizações
deveriam optar por soluções integradas, que permitam a visualização rápida da
linha de atuação do atacante, capacidade de automação de procedimentos de
resposta e, de preferência, com inteligência suficiente para interromper a
ameaça o mais breve possível.
Se a sua organização já
definiu processos para incorporar práticas de segurança aos produtos e
serviços, investiu em tecnologia para aprimorar a capacidade de resposta a
incidentes, então não se esqueça de um dos pilares dessa área: as pessoas.
Embora a educação e a conscientização sejam o cerne de qualquer estratégia de
segurança, o aspecto que pretendo destacar é a capacitação do time de
segurança. Sim, é preciso definir uma equipe, ou melhor, times para a área de
segurança, e nesse momento não importa se será um time próprio ou se a opção
será por um serviço gerenciado, mas é fundamental que a empresa tenha em suas
linhas de defesa pessoas qualificadas, bem treinadas e, claro, com remuneração
adequada, condizente com a realidade do mercado e com as perspectivas.
Aprimorar a postura de
segurança cibernética demanda planejamento e investimentos, e garantir os
recursos necessários para tanto é a maior evidência de comprometimento da alta
administração. Ao não prover esses recursos, a liderança estará negligenciando
uma ameaça real, e que tem a capacidade de comprometer a continuidade das
operações da organização.
*Leonardo Lemes é sócio-diretor da Service IT
Nenhum comentário