Os problemas de cibersegurança são reais e se tornam cada vez mais frequentes no cotidiano de pessoas, empresas e mídia. A quantidade de incidentes aumentou consideravelmente após a covid-19, com a adoção em massa do trabalho remoto. É uma triste realidade em um momento de crise humanitária global.
Empresas são os alvos favoritos dos hackers, cujos ataques podem interromper operações inteiras por horas ou dias, causando perdas financeiras e de clientes, e danos de imagem. Os custos globais ligados ao cibercrime podem chegar a US$ 10,5 trilhões até 2025, segundo a empresa Cybersecurity Ventures.
Um ataque cibernético sofrido por uma empresa americana de serviços financeiros em 2017 gerou a exposição de dados de mais de 140 milhões de pessoas, a um custo estimado de US$ 1,4 bilhão. A causa foi uma vulnerabilidade já conhecida no portal de reclamações da empresa, nunca devidamente tratada.
Em 2021, um ataque a uma operadora americana de óleo e gás levou ao fechamento dos gasodutos por seis dias. Milhares de consumidores foram afetados pela escassez de combustível ou por mudanças em horários de voo. A origem do incidente foi uma conta de acesso à rede privada virtual (VPN) que não estava mais em uso, mas continuava acessível e com procedimentos de autenticação frágeis. Um mês depois, o ataque foi contra uma empresa brasileira do ramo alimentício, que reduziu sua produção em cerca de 20% nos dias posteriores ao ataque. Ambas as companhias pagaram para recuperarem seus dados e evitarem maiores problemas a seus clientes.
Se antes o impacto atingia a exposição de dados pessoais, estes dois últimos casos mostram que a interrupção de cadeias de fornecimento gera consequências ainda mais graves. O que leva os hackers a demandarem valores muito mais altos para devolverem os dados roubados e permitirem a regularizacão das operações. Outro ponto de atenção é que a infraestrutura atual de um gasoduto ou de uma planta industrial é digital e conectada, e sistemas controlam suas operações. Isso significa que esses ativos, e não somente os que tratam da administração da empresa, são suscetíveis aos ataques cibernéticos.
No Brasil, estamos especialmente vulneráveis. O relatório Panorama de Ameaças 2021 da Kaspersky mostra que os ciberataques no país cresceram 23% nos oito primeiros meses do ano; quase 1,4 mil ataques por minuto. A principal fonte de incidentes é o phishing – fraude que consiste em comunicações falsas em nome de empresas que são enviadas para as pessoas que revelam informações relevantes, pessoais ou corporativas. O relatório indica que 15,4% dos internautas brasileiros reportaram alguma tentativa de ataque.
Incidentes de segurança acontecem desde o início da internet. O primeiro ataque cibernético reportado foi em 1988, mas não tinha intenções criminosas. A curiosidade do estudante de gradução Robert Morris sobre o tamanho da internet afetou 6 mil computadores, o equivalente a 10% da internet na época.
Segundo o comentarista político americano Thomas Friedman, os anos 2007-2008 foram um ponto de inflexão da tecnologia, com uma avalanche de inovações hoje incorporadas ao nosso dia-a-dia – iPhone, Android, Kindle, entre outros. Trouxe também a aceleração dos crimes cibernéticos. Afinal, tudo que está conectado pode ser potencialmente hackeado.
Ferramentas e técnicas para prevenção de ataques cibernéticos evoluíram muito nos últimos anos, inclusive com o uso de inteligência artificial. E cresceu também a alocação de recursos. O orçamento mundial de cibersegurança deve passar de US$ 262,4 em 2021 para US$ 458,9 bilhões em 2025, segundo a Cybersecurity Ventures. Apesar disso, nenhuma empresa está completamente blindada. A razão é explicada em um estudo do BCG, que indica 77% das violações de segurança associadas a erros humanos ou processos inadequados.
E uma das constatações do Barômetro da Segurança Digital 2021, pesquisa encomendada pela Mastercard que entrevistou tomadores de decisão da área de tecnologia de diversos setores, foi que, embora as empresas reconheçam a importância do tema, as políticas de segurança digital e o treinamento dos funcionários ainda não estão desenvolvidos de forma aprofundada.
### Cultura de cibersegurança
Matthew Doan, do BCG Platinion nos Estados Unidos, propõe três ações para se colocar em prática a cultura de cibersegurança1:
– __Alinhar__ cibersegurança com a estratégia e objetivos de negócio.
– __Posicionar__ cibersegurança de forma a ter influência na organização.
– __Designar o líder__ de cibersegurança adequado para a empresa.
Uma cultura de cibersegurança deve permear toda a empresa: todos os profissionais devem criar, usar e manter ativos digitais de forma segura durante todo o seu ciclo de vida. Ainda é comum ver organizações tratarem a cibersegurança como uma atividade de backoffice, cujo time representa uma “polícia que atrasa a inovação”. A baixa prioridade de cibersegurança pode ter sido suficiente em um tempo de ameaças mais raras e menos perigosas do que as que vivenciamos hoje.
Para que sejam bem entendidas e adotadas por todos, as políticas de segurança digital devem ser claramente definidas e comunicadas para os profissionais, diferenciando os conteúdos de acordo com seus perfis e níveis de responsabilidade. O processo de educação é contínuo, pois ameaças e técnicas para evitá-las evoluem o tempo todo.
Uma cultura equitativa, propositiva e colaborativa ajuda a criar um ambiente propício para a segurança, em que as pessoas se sintam confortáveis para apontar problemas e propor soluções, independentemente de estruturas organizacionais ou hierárquicas. A colaboração é imprescindível para se ter uma visão multidisciplinar, que favoreça a resolução mais eficaz de incidentes.
Deve-se reconhecer e recompensar as pessoas por adotarem melhores práticas, assim como advertir ou punir a violação deliberada das políticas de segurança em vigor. O desafio e a complexidade do tema tornam importante entender e aceitar falhas, em um contínuo processo de aprendizado da empresa.
Cibersegurança é mais uma jornada do que um destino e exige uma liderança diligente e resiliente. É da natureza humana achar que os problemas só acontecem com os outros, mas as estatísticas mostram que a probabilidade de ataques cibernéticos ocorrerem em qualquer organização é cada vez maior. Com tal perspectiva, estar bem preparado é uma receita antiga, mas continua sendo a melhor alternativa.
