Um estudo da Associação Brasileira das Companhias Abertas (Abrasca) concluiu que uma parte das maiores empresas do país está distante das recomendações e melhores práticas mundiais de cibersegurança, que envolvem segurança cibernética e privacidade de dados. A pesquisa reuniu respostas de 109 companhias de diversos setores.
A nota média das empresas ficou em 4,9, em uma escala de 0 a 10, o que indica um grau de maturidade mediano em cibersegurança.
A Pesquisa Setorial em Cibersegurança, desenvolvida em conjunto com o The Security Design Lab (SDL) entre maio e agosto deste ano, foi divulgada nesta quarta-feira (13), em evento da Abrasca em São Paulo. Este é o primeiro estudo do Brasil a avaliar a maturidade de companhias listadas na B3 ($B3SA3).
Os setores pesquisados foram: Agronegócio, Educação, Energia, Engenharia, Financeiro, Indústria, Óleo & Gás, Saúde, Serviços, Tecnologia, Telecomunicações e Varejo.
“A importância do tema no mercado de capitais é crescente e sem volta. Deixou de ser um problema de TI e se transformou em um problema para todas as companhias, abertas ou não”, diz Pablo Cesário, presidente-executivo da Abrasca.
Melhores avaliações em cibersegurança
As empresas que alcançaram os maiores índices de compliance em cibersegurança são dos setores da Indústria e Manufatura, Telecomunicações, Óleo & Gás e Financeiro.
Segundo os aplicadores da pesquisa, apesar de não haver uma nota de corte precisa, uma avaliação de 7,5 já é considerada muito boa.
Alexandre Vasconcelos, diretor do Security Design Lab para a América Latina, observa que a nota de 5 sobre 10 obtida na média geral demonstra muito espaço para melhorias, “mas trata-se de um cenário não destoante do que apontam pesquisas globais”.
“Estar em conformidade com as recomendações e melhores práticas em cibersegurança ajuda as companhias a estabelecer medidas de proteção, reduzindo a sua área de exposição contra potenciais ataques”, pontua.
O relatório aponta que 93% das empresas contam com algum mecanismo para detectar ataques cibernéticos e 65% se dizem capazes de identificar e agir em resposta a incidentes para assegurar a continuidade do negócio e suas funções.
Por outro lado, 42% não têm um plano de resposta a incidentes de cibersegurança, 65% não orientam a equipe para lidar e responder a incidentes de cibersegurança e 73% não possuem mecanismos de controle de acesso para sistema OT (Tecnologia Operacional) e ICS (Sistemas de Controle Industrial).
A título de comparação, a última pesquisa “America’s Most Cybersecure Companies”, realizada pela Forbes com 200 empresas dos EUA,identificou que apenas 30% delas têm um executivo de segurança da informação (CISO). A pesquisa brasileira mostrou que este número é superior, chegando a 58% no país.
Casos conhecidos
A Cadeia de Suprimentos tem sido um alvo crescente e preferencial para os criminosos cibernéticos. O estudo aponta que 52% das companhias não implementam gestão de riscos para esta cadeia.
Aproximadamente um quarto das companhias brasileiras relataram perdas financeiras devido a ataques digitais em 2022, segundo pesquisa da Proofpoint. A maioria relata casos de roubo de dados.
O levantamento afirma que 78% das empresas brasileiras tiveram, ao menos, uma experiência de ataque de roubo de dados (phishing) por e-mail em 2022, e 23% delas sofreram perdas financeiras como resultado.
Em 2021, várias empresas e instituições sofreram tentativas de ataques digitais, como Americanas (AMER3), Lojas Renner (LREN3) Banco Pan (BPAN4), JBS (JBSS3) e a Agência Nacional do Petróleo (ANP).
Neste ano, o sistema do Grupo Fleury (FLRY3), de laboratórios de diagnóstico médico, identificou um novo ataque hacker. Em 2021, o grupo já havia sido alvo de um ataque de ransomware.
Aumento de ataques – e custos – para as empresas
Os custos de crimes cibernéticos à economia mundial devem saltar de US$ 3 trilhões por ano em 2015 para US$ 10,5 trilhões em 2025, de acordo com um levantamento elaborado pela Howden.
A empresa identificou que, nos primeiros cinco meses deste ano, comparado ao mesmo período de 2022, houve um aumento de 48% no número de ataques do tipo ransomware (sequestro de dados com cobrança de resgate).
Um relatório da empresa russa de cibersegurança Kaspersky revela que cerca de 88% das empresas que já sofreram um ataque de ransomware admitem que optariam por pagar o resgate caso voltassem a ser atacadas.
Ainda de acordo com levantamento global da Howden, foram pagos em reivindicações de incidentes relacionados a ransomware o equivalente a R$ 247 milhões nos últimos três anos. O setor de saúde foi o mais afetado no período, seguido por empresas de varejo, finanças e serviços.
No Brasil, os incidentes em que foram acionadas apólices de seguros tiveram o pagamento de despesas entre R$ 2 milhões e R$ 65 milhões, frente às reivindicações junto ao mercado local.
Principais resultados da Pesquisa Setorial de Cibersegurança
Veja, a seguir, os principais resultados levantados pela Pesquisa Setorial em Cibersegurança, desenvolvida pela Abrasca em conjunto com o The Security Design Lab (SDL):
- 93% das empresas têm mecanismos para detectar ataques cibernéticos;
- 42% não têm um plano de resposta a incidentes de cibersegurança;
- 38% das companhias não contam com um programa regular de treinamento em segurança da informação;
- 65% das empresas não orientam a equipe para lidar e responder a incidentes de cibersegurança;
- 42% das companhias não possuem um CISO ou posição similar (executivo responsável pela segurança da informação);
- 46% das companhias não possuem um comitê de segurança da informação;
- 51% não possuem uma análise de impacto de negócio;
- 40% não traçam um plano de continuidade de negócio;
- 52% não têm procedimentos para gestão de riscos da cadeia de suprimentos (Supply Chain);
- 52% não implementam mecanismos para evitar danos de cibersegurança originados da cadeia de suprimentos;
- 43% das empresas autenticam em sistemas críticos, utilizando login e senha, e apenas 2% utilizam modernas tecnologias como passwordless (autenticação sem senha);
- 73% não têm mecanismos de autenticação robusto para acesso a sistemas OT (Tecnologia Operacional) e ICS (Sistemas de Controle Industrial);
- 41% dos dispositivos conectados das empresas não implementam proteção de dados em trânsito.
