Embora a maioria das organizações (67%) enfrente ameaças crescentes ao seu ambiente de segurança de informação, mais de um terço (37%) não tem informação em tempo real sobre como combater as ameaças de ciber-crime, revela o estudo anual da EY Global Information Security Survey, Get Ahead of Cybercrime, que este ano entrevistou 1.825 organizações de 60 países.
Falta às empresas agilidade, orçamento e/ou competências para enfrentar as vulnerabilidades conhecidas e consequentemente preparar uma abordagem eficaz em situações de um ataque informático. Quarenta e três por cento dos entrevistados para o estudo refere que o orçamento de segurança de informação da sua empresa não vai sofrer actualização nos próximos doze meses, uma melhoria marginal face a 2013, quando 46% dos entrevistados admitiu que não iria alterar orçamentos.
A falta de recursos qualificados é apontada por mais de metade (53%) dos entrevistados como um dos principais desafios para o seu programa de segurança de informação. Apenas 5% considera ter uma equipa dedicada com as competências necessárias para abordar estes temas de ciber-segurança. Estes mantém-se praticamente constantes face ao ano anterior, em que 50% dos entrevistados destacou a falta de recursos qualificados e apenas 4% afirmou ter uma equipa dedicada ao tema.
Quando questionados sobre a principal causa de falha de segurança na empresa, 38% dos entrevistados identifica os colaboradores não informados e/ou pouco cuidados. Como segunda e terceira principais falhas, o estudo indica “os mecanismos de controlo da segurança de informação desactualizados e/ou ineficazes” (35%) e os novos riscos resultantes do recurso à Cloud (17%). Quanto às ameaças, os participantes no estudo apontam como mais preocupantes o “furto de informação financeira” (28%), o “perturbar ou pôr em causa a imagem da organização” (25%) e o “roubo de propriedade intelectual ou dados” (20%).
Este ano o estudo leva a concluir que as organizações necessitam de fazer um melhor trabalho na antecipação aos ataques ao seu ambiente, uma vez que já não é possível evitar todas os ataques efectuados e as ameaças são provenientes de fontes com cada vez mais recursos e bem financiadas.
O estudo anual da EY Global Information Security Survey, Get Ahead of Cybercrime recomenda às organizações que olhem o tema da ciber-segurança como uma vantagem competitiva, o que requer manter a organização em constante alerta, antecipando novas ameaças e mantendo a “vítima” em constante estado de ansiedade. Para tal, o estudo sugere:
- Permaneça alerta para novas ameaças: A liderança deve abordar as ameaças e riscos informáticos como um aspecto chave do negócio, e deve por em prática um processo de decisão dinâmico que permita uma acção interventiva rápida.
- Compreenda os cenários de ameaça: Enquanto alvo, as organizações devem ter uma consciência abrangente do amplo cenário de ameaças, e de como este se relaciona com a organização, e investir em intelligence associada às ciber-ameaças.
- Conheça as “jóias da coroa”: Deve haver um entendimento comum a toda a organização do que são os activos mais valiosos para o negócio, e de como podem/devem ser priorizados e protegidos.
- Concentre-se no incidente e responda à crise: Teste regularmente a capacidade de resposta da organização.
- Aprenda e evolua: a segurança cibernética forense é uma peça fundamental do puzzle. As organizações devem estudar ao detalhe os dados de incidentes e ataques, devem manter e explorar novas relações de colaboração e actualizar a sua estratégia regularmente.
Ken Allan, líder global da EY para a área de Segurança de Informação acrescenta: “Além de ameaças internas, as organizações precisam de pensar no seu ecossistema de negócio de forma global e no modo como as relações com fornecedores e terceiros podem afectar a sua postura de segurança. Uma organização só começa a colher os benefícios reais do seu investimento em ciber-segurança após alcançar um estádio avançado de prontidão para a mesma. Só desenhando e construindo um programa de segurança que seja capaz de se adaptar à mudança é possível às empresas e organizações fazerem frente ao crime-cibernético, isto sem esquecer a necessidade de adicionar e preparar antecipadamente os recursos”.
