Líderes empresariais menos confiantes nas suas capacidades de cibersegurança

As consequências de quase três anos disruptivos resultaram num menor sentimento de confiança na maioria dos líderes empresariais no que concerne a sua capacidade de gerir riscos cibernéticos, em comparação com há dois anos. Esta é uma das principais conclusões do estudo The State of Cyber Resilience, desenvolvido pela Marsh e pela Microsoft, que inquiriu mais de 660 decisores a nível global, e que analisa como estes riscos são percecionados por várias funções e líderes das organizações, nomeadamente cibersegurança e IT, gestão de risco e seguros, financeiro e liderança executiva.

Segundo o relatório, a confiança que os líderes têm nas capacidades de gestão de risco das suas organizações - incluindo a capacidade de compreender e avaliar as ameaças cibernéticas, mitigar e prevenir os ataques cibernéticos, bem como de os gerir e responder - quase não sofreu alterações desde 2019. Enquanto, há dois anos, 19,7% dos inquiridos indicaram estar muito confiantes com as capacidades cibernéticas das suas empresas, em 2022, apenas 19% se identificaram com a afirmação.

Luís Sousa, Cyber Specialist da Marsh Portugal, refere que “tendo em conta o constante aumento de ataques de ransomware e as inúmeras ameaças que surgem, não é surpreendente que, em comparação com 2019, muitas organizações não se sintam mais confiantes com a sua capacidade para dar resposta aos riscos cibernéticos”. Além disso, muitas organizações ainda têm dificuldade em compreender os riscos que os seus fornecedores e as cadeias de fornecimento digital sinalizam como parte das suas estratégias de segurança cibernética. Apenas 43% dos respondentes afirmaram ter realizado uma avaliação de risco aos seus fornecedores ou às cadeias de fornecimento.

O estudo destaca oito tendências-chave dos riscos cibernéticos.

1. As metas corporativas focadas no paradigma cibernético devem estar alinhadas com a construção de uma resiliência cibernética na empresa, em detrimento de se fazer a simples prevenção de incidentes, pois toda a organização pode estar na iminência de um ciberataque. 73% das empresas disseram já ter sofrido um ciberataque.
2. O ransomware é considerado a principal ameaça cibernética enfrentada pelas empresas, mas não é a única. Outras ameaças predominantes incluem phishing/engenharia social, violações de privacidade e interrupção de negócios devido a ataques de um fornecedor externo.
3. Os seguros são uma parte importante da estratégia de gestão de riscos cibernéticos e influenciam a adoção de melhores práticas e de uma melhor capacidade de controlo. 61% disseram que a sua empresa investe em algum tipo de cobertura de seguro cibernético.
4. A adoção de mais ferramentas de controlo da segurança cibernética resulta em classificações mais altas de saúde cibernética. Apenas 3% dos inquiridos classificaram a saúde cibernética de sua empresa como excelente.
5. As organizações demoram a medir o risco cibernético em termos financeiros, o que prejudica a sua capacidade de comunicar efetivamente as ameaças cibernéticas para toda a empresa. Apenas 26% dos respondentes disseram que a sua organização recorre a medidas financeiras para gerir riscos cibernéticos. 
6. O investimento na mitigação de riscos cibernéticos continua a aumentar, embora as prioridades dos gastos variem por toda a empresa. 64% disseram que a motivação para aumentar o investimento em cibersegurança foi terem sofrido um ciberataque.
7. As novas tecnologias precisam de ser avaliadas e monitorizadas continuamente e não apenas durante o período de testes anterior à sua implementação. 54% das empresas disseram que não fazem monitorização do risco de novas tecnologias depois da fase de implementação. 
8. As empresas realizam muitas ações de cibersegurança, no entanto negligenciam profundamente os seus fornecedores e cadeias digitais de fornecimento. Apenas 43% realizaram uma avaliação de risco do seu fornecedor/cadeia de fornecimento.

Adicionalmente, o estudo indica que apenas 41% das organizações olham além da cibersegurança e dos seguros e procuram envolver as funções de legal, planeamento corporativo, financeiro, de operações ou de gestão da cadeia de fornecimento no desenvolvimento dos planos de risco cibernético. Mais, 38% dos inquiridos disseram que a sua organização recorre a métodos quantitativos para medir a exposição ao risco cibernético, o que é uma etapa crucial para entender como é que os ataques cibernéticos e outros fenómenos podem gerar volatilidade. Este é um fator que melhorou face a 2019, quando apenas três em cada dez entrevistados (30%) afirmaram o mesmo.

“Os riscos cibernéticos existem na maioria das organizações. O combate eficaz às ameaças cibernéticas precisa ser uma meta traçada por toda a empresa, de forma que se crie uma resiliência cibernética comum, em detrimento de investimentos singulares de prevenção de incidentes ou de defesa cibernética. Uma maior comunicação entre toda a empresa pode ajudar a preencher as lacunas atualmente existentes, a aumentar a confiança e a proporcionar mais e melhor informação para a tomada de decisões estratégicas relacionadas com ameaças cibernéticas”, conclui Luís Sousa.