Como medir e evidenciar a clientes o empenho em cibersegurança da sua Organização?

A viragem de cada ano civil marca um apelo a uma reflexão do balanço do nosso estado, individual ou empresarial:

• o que somos e o que queremos ser;

• que “marca” que estamos a deixar no mundo

• que “mecanismos de proteção” temos implementados para os riscos e ameaças com que estamos confrontados

E mesmo que os 365 dias não cheguem para alinharmos todas as nossas expectativas, e ainda menos para as levarmos à prática, temos sempre uma nova oportunidade no ano seguinte.

Gostamos de pensar assim, com uma atitude positiva, e de ajudar os nossos clientes nesse sentido.

Ora, um dos riscos em maior crescimento e com impacto cada vez mais preocupante, é o que respeita aos ciberataques. Existem por demais evidências de que é muito mais barato prevenir ataques cibernéticos do que reparar os danos causados por estes. Quando uma empresa é vítima de ataque cibernético, há custos relacionados com a contenção da ameaça, recuperação de dados e sistemas e eventuais pagamentos de resgates, bem como de lucros cessantes pela paralisação temporária da atividade que tantas vezes é originada. E, em muitos casos, extorsões de dinheiro da Empresa ou de seus Colaboradores. Mas há perdas potencialmente ainda maiores: danos relacionados com a reputação e perda de negócios, seja por dificultar a aquisição de novos clientes, seja pela perda de atuais, devido à quebra de confiança na capacidade da empresa

No relatório relativo a 2021 da Cisco, um dos maiores fornecedores mundiais de sistemas de cibersegurança, reportam que 41% das empresas inquiridas (estudo mundial) referiram ter sofrido um incidente ou perda grave nos últimos 2 anos e o mesmo estudo lista os principais impactos dos ataques ocorridos:

Sendo o principal método o ransomware - pedido de resgate para desbloquear sistemas / imagens comprometedoras, bases de dados, entre outros -  é importante tomar nota da magnitude e  importância das perdas envolvidas e que têm vindo a agravar-se comfrequência. O estudo do impacto mundial organizado pela Cybereason, concluiu que 73% das organizações inquiridas foram alvo de um ataque com pedido de resgate nos últimos 2 anos ( 28% optou por pagar, mas 80% destas foi alvo de segundo ataque).

Naturalmente, que por uma questão de imagem, as empresas que não estão obrigadas a divulgar não o fazem e daí ser tão importante acompanhar estes estudos para um entendimento concreto desta dura realidade que marca os dias de hoje.

A cibersegurança não pode mais ser vista apenas como um custo, mas como uma garantia de normal continuidade de negócio e de imagem no mercado, que cada vez mais é exigida por clientes, acionistas e até fornecedores.

Quais as obrigatoriedades legais já existentes?

Em 2016, surgiu a diretiva europeia que visa um nível mínimo de segurança em toda a União (EU 2016/1148), e que força das evidências, tem vindo a originar regulamentação europeia e nacional intensificadas. Essa mesma diretiva foi transposta para Portugal em 2018 (Lei 46/2018 de 13 de agosto) e regulava sobretudo ao nível da notificação de incidentes e para serviços mais críticos, níveis mínimos de segurança. Mais recentemente, surgiu o DL 65/2021 de 30 de julho, que vem especificar mais em concreto os requisitos.

Ainda que se apliquem de forma obrigatória, para já, a setores como Administração Pública, operadores de infraestruturas críticas e de serviços essenciais e prestadores de serviços digitais (e com algumas exceções), esta legislação refere as boas práticas de governance genérica do risco:

• Diagnóstico uma vez por ano

• Ponto de contacto permanente

• Responsável de segurança cibernética e da informação

• Inventário de Ativos

• Plano de segurança

• Relatório Anual

A Crowe tem uma unidade de consultoria de apoio à implementação destas normas, bem como às certificações ISO - Information Security Management ISO/IEC 27001/27002, mas se esta ainda não lhe for exigida (ou até como primeiro passo desta), faz todo o sentido e trar-lhe-á outra tranquilidade, começar por um diagnóstico/assessment independente.

As certificações de organizações em matéria de cibersegurança começam cada vez mais a ser impostas por clientes em diversos setores, e são naturalmente mais caras e morosas.

O Crowe Cybersecurity Heath Check nasceu para dar resposta a uma necessidade de as empresas aferirem a resiliência e maturidade de segurança cibernética das suas organizações, pois só conhecendo com detalhe o que ainda pode ser otimizado se pode decidir e priorizar eficazmente novas medidas e budgets. 

Transcrevemos em seguida o os conceitos basilares de segurança cibernética pelo Quadro Nacional de Referência para a Cibersegurança - QNRC, do Centro Nacional de Cibersegurança_ CERT.PT

De forma imparcial e independente face aos fornecedores de soluções de cibersegurança , o Crowe Cybersecurity Heath Check responde ao passo mais elementar, escrutinando o estágio atual dos mecanismos e procedimentos de cibersegurança efetivamente operacionais, através de um conjunto de técnicas evoluídas e com base num acompanhamento profundo das melhores práticas e dos tipos de ataques e vírus que vêm sendo usados no cibercrime nas geografias e setores envolvidos. São muito raros os diagnósticos verdadeiramente independentes, sendo que os mais publicitados no mercado são feitos por vendedores de soluções de cibersegurança.

Quais são as principais ameaças à cibersegurança?

Uma ameaça tem o potencial de poder criar impactos e consequências negativas nos ativos da organização (que podem ser informações, processos, sistemas, pessoas, entre outros). Estas ameaças à segurança do sistema podem surgir de dentro ou de fora da organização, e podem ser de origem natural ou humana, e serem acidentais ou mesmo intencionais.

O Crowe Cybersecurity Heath Check vem dar visibilidade global nestas várias categorias de riscos, ameaças, lacunas e exposições, ao compreender o seguinte passo:

• Diagnóstico de ciber segurança, originando um relatório detalhado e um score reconhecido internacionalmente, cujo rating enquadra face ao setor, geografia, dimensão da empresa e outros critérios que definem o seu risco envolvente.

Este diagnóstico inclui:

• Pen tests (testes de penetração, simulando ataques de fontes maliciosas e estimando os respetivos impactos)

• Análise de vulnerabilidades em toda a estrutura IT, recorrendo nomeadamente técnicas de última geração, que aferem o grau de disponibilidade, integridade e segurança da informação.

• Aconselhamento de medidas de otimização da resiliência e maturidade em cibersegurança (medidas de prevenção e cultura anti ciberataque/ capacitação digital)

Comece o ano “comme il faut”, usando o centro mundial de competências ciber do Grupo Crowe.