Qualquer organização que gere riscos de cibersegurança enfrenta um desafio avassalador. Diariamente, são identificadas e divulgadas online questões de segurança; as medidas de mitigação podem demorar semanas a ser implementadas e as ameaças podem ter origem além-fronteiras. As melhores práticas com um âmbito muito restrito podem tornar-se um risco da noite para o dia.
Práticas de segurança rigorosas e inflexíveis podem mitigar o risco de roubo ou intrusões, mas podem comprometer a eficiência e a capacidade de resposta. Os riscos podem passar despercebidos até se tornarem um problema, e mesmo as cadeias de abastecimento de confiança e aparentemente seguras podem ser perturbadas ou comprometidas.
Os limites que definem as operações seguras estão em constante mudança, uma vez que mesmo as tecnologias existentes exigem novas avaliações de segurança. Não basta realizar uma análise de risco pontual das possíveis ameaças aquando da integração de novas práticas ou ativos. Recomendamos que as organizações determinem regularmente o âmbito e as implicações comerciais dos ciberataques. Além disso, a capacidade de quantificar e categorizar o risco pode tornar o desenvolvimento de uma cultura de gestão de risco um exercício concreto, com métricas e objetivos claramente definidos.
Determinar de que forma cada processo e prática gere o risco e aumente a resiliência operacional é mais fácil com uma abordagem integrada de gestão de riscos em matéria de segurança. Os líderes na área da gestão integrada de riscos têm vindo a expandir as suas capacidades de mitigação de riscos com novas ferramentas que permitem a coordenação dos processos de segurança. Descubra como proteger a sua organização com defesas robustas contra riscos, lendo o nosso relatório«O Estado da Gestão Integrada de Riscos».
Todos os riscos estão interligados e a sua abordagem à segurança também deve estar
No mundo físico, uma defesa perimetral robusta pode mitigar as perdas, permitindo, ao mesmo tempo, que as empresas operem dentro dos perímetros protegidos de uma instalação. No entanto, as defesas perimetrais de cibersegurança têm sido, desde há muito, problemáticas devido à própria natureza dos riscos e ameaças digitais. Quando tudo depende da impenetrabilidade de uma firewall ou do sigilo de uma palavra-passe, tudo fica em risco se a firewall for violada ou se a palavra-passe for comprometida.
Quando a pandemia global da COVID-19 levou ao encerramento dos locais de trabalho, as oportunidades para ciberataques dispararam. As organizações que não dispunham de uma abordagem de segurança integrada face às ciberameaças ficaram mais vulneráveis a ataques quando a sua força de trabalho ficou distribuída por um leque de configurações de segurança de rede. Quando uma avalanche de trabalhadores remotos começou a aceder a recursos sensíveis através de redes domésticas, muitas organizações recorreram às VPN para permitir que o pessoal estabelecesse ligações seguras às redes protegidas da organização.
Infelizmente, isto cria tantos pontos de vulnerabilidade de segurança quantos forem os colaboradores que acedem remotamente à rede da organização. Por exemplo, o ataque de ransomware à Colonial Pipeline utilizou credenciais de acesso a uma rede privada virtual para paralisar as operações da Colonial Pipeline Company.[1] Um único ponto de falha levou a perturbações nas operações críticas para a missão da empresa.
Defesas reforçadas contra perturbações
O conceito de defesa em profundidade existe há décadas e consiste em adicionar camadas de proteção sempre que possível e viável. Uma abordagem integrada de gestão de riscos em matéria de segurança baseia-se nesse conceito, interligando processos e dados de outras funções relacionadas com o risco, uma vez que cada parte de uma operação constitui um potencial problema de segurança ou uma fonte de risco.
A chave para conceber e manter uma abordagem integrada de gestão de riscos em matéria de segurança consiste em garantir que todo o processo esteja alinhado com a resiliência operacional. A capacidade de manter as operações em funcionamento apesar de eventuais perturbações deve ser a principal força motriz por trás da sua abordagem de segurança. Um em cada cinco inquiridos no inquérito «RSA Digital Risk 2020» afirmou que está a dar prioridade ao alinhamento entre a resiliência empresarial e as abordagens de gestão de riscos empresariais nos próximos dois anos.
Com uma abordagem integrada de gestão de riscos em matéria de segurança, as diferentes áreas de uma organização podem gerir os seus riscos de forma a reforçar a resiliência operacional global. Os esforços das áreas de TI e segurança articulam-se com a conformidade regulamentar e corporativa, a gestão de terceiros e outras partes interessadas, de modo a criar um programa reforçado de gestão de riscos.
Risco e resposta granulares
Recomendamos que as organizações elaborem um panorama completo dos riscos relacionados com a tecnologia e a segurança digital e compreendam os seus impactos financeiros. Sem saber de que forma uma violação de dados irá perturbar as operações, pode revelar-se impraticável avaliar o nível adequado de esforço e capital a investir em precauções e contramedidas. Um processo e uma taxonomia bem definidos, que quantifiquem o impacto dos riscos, podem ajudar a alinhar as práticas de gestão de riscos com os objetivos da organização.
Sem uma abordagem integrada de gestão de riscos em matéria de segurança, um único risco de segurança pode propagar-se pelos ativos de uma organização. Com cada vez mais elementos a serem digitalizados, automatizados e controlados por meio de tecnologia conectada, uma violação de dados pode até mesmo resultar na interrupção das operações físicas.
Quando a resiliência operacional depende da eficácia de uma única medida, essa defesa torna-se tão crucial que se torna difícil quantificar as consequências do seu comprometimento. Uma estratégia de segurança baseada na gestão integrada de riscos e na defesa em profundidade permite avaliações de risco detalhadas de qualquer prática ou processo específico.
A crescente necessidade de práticas de segurança baseadas na defesa em profundidade impõe uma nova responsabilidade no panorama da gestão de riscos. Embora a integridade de um único sistema de defesa perimetral possa ser avaliada com base nas práticas existentes no setor, a enorme densidade das medidas de segurança exige novos processos para monitorizar e controlar as práticas de gestão de riscos de uma organização.
A pandemia revelou pontos fracos que, até então, tinham sido ignorados ou não abordados em muitas organizações. O nosso inquérito sobre riscos digitais de 2020 revelou que quase 75 % dos inquiridos esperam que as suas iniciativas digitais ganhem impulso devido às perturbações e mudanças ocorridas ao longo do último ano.
Embora parte desta aceleração implique a expansão de abordagens e práticas já existentes, novos processos destinados a dar resposta ao perfil de risco cada vez mais abrangente podem ajudar uma organização a adaptar-se às mudanças do ambiente. Os programas de risco operacional devem reunir informações sobre os riscos, para que seja possível compreender melhor a sua situação de risco, determinar mais facilmente como gerir os riscos e perceber a inter-relação destes riscos com todo o negócio.
A gestão integrada de riscos no futuro
As abordagens abrangentes à resiliência operacional exigem auditorias detalhadas às vulnerabilidades em todas as vertentes de uma estratégia de gestão de riscos. A maioria dos nossos clientes prevê que o seu perfil de risco venha a aumentar significativamente nos próximos dois anos. Trabalhamos com as organizações para gerir o seu perfil de risco em expansão através da nossa poderosa plataforma integrada de gestão de riscos. Para descobrir como as organizações que utilizam uma abordagem de segurança em malha estão a superar a concorrência mesmo em tempos de perturbação, leia o nosso livro branco, «O Estado da Gestão Integrada de Riscos».
[1] https://www.bloomberg.com/news/articles/2021-06-04/hackers-breached-colonial-pipeline-using-compromised-password
