Há um verdadeiro caos de governança na segurança da informação, afirma IBM
A discussão de temas de segurança escala hierarquias corporativas. O tópico ganhou ainda mais atenção depois que casos emblemáticos vieram a público recentemente, expondo brechas em empresas “teoricamente” sólidas e derrubando CEOs mundo afora. O contexto pede uma revisão completa da forma de proteção das companhias.
“Há um verdadeiro caos de governança na segurança da informação”, sintetiza André Pinheiro, líder de serviços de segurança da IBM, observando que o ambiente empresarial é forrado de ferramentas de diversos fornecedores que não conversam entre si e, consequentemente, não conseguem deter o ímpeto dos hackers.
A gigante de TI estima que o custo médio de uma violação de dados nos Estados Unidos gira na casa dos US$ 6,5 milhões e leva 256 dias para ser detectado. No Brasil, o rombo causado por uma única violação de dados pessoais críticos é de R$ 3,9 milhões. Já o custo médio de um único registro de perda ou roubo de dados custa R$ 175.
Há motivos para preocupação. Um levantamento da Big Blue aponta que 44% dos líderes de segurança (CISOs, na sigla em inglês) acreditam que as grandes nuvens computacionais corporativas vão sofrer algum tipo de violação significativa no futuro. Além disso, 33% das empresas não testam seus apps contra vulnerabilidades.
A IBM observa três desafios que rondam o dia a dia dos gestores empresariais. O primeiro é focar ações de proteção em temas estratégicos, transformando um programa baseado em compliance em um orientado a gestão de riscos. Outro tópico é sobre comunicar prioridades para gerar sensibilidade e priorizar questões de proteção.
Por fim, há a necessidade de tornar as estratégias corporativas de cibersegurança “consumíveis”. Ou seja, colocá-las nos processos e nas atividades diárias das empresas. Afinal, muito se fala que o usuário é o elo mais fraco na cadeia de proteção.
A provedora observa que, frente aos desafios listados, os CISOs têm priorizado seus esforços em trabalhar o conceito de framework de proteção, seguido por uma postura de análise de históricos para tentar prever o futuro e adoção de melhores práticas da vertical onde a companhia atua.
A IBM listou cinco elementos-chave dos programas estratégicos de cibersegurança
1. Considerar prioridades, bens ativos e processos de negócio.
2. Documentar estratégias, objetivos e metas formais de cibersegurança.
3. Definir um framework formal de controles de gerenciamento de riscos.
4. Avaliar e priorizar lacunas em estados atuais e desejados em cada controle.
5. Construir um plano para lidar, monitorar e reavaliar as lacunas de controle priorizadas.
Fonte: Felipe Dreher, Computerworld.com.br