Os custos ocultos de uma violação de dados que pode se estender por anos

Erros de software e vulnerabilidades costumam abrir caminho para violações de segurança em grande escala por meio de exploração. Essas violações geram custos elevados para a organização, na forma de multas e penalidades financeiras bem conhecidas, mas há vários custos imprevistos que afetam a organização tanto internamente quanto publicamente.

Embora o custo da contenção e da erradicação da violação seja, obviamente, uma necessidade, a perda de receita imprevista e implícita também é um efeito colateral de uma violação de dados. Os efeitos de uma violação de dados abrangem todos os departamentos da organização e também podem afetar as parcerias com fornecedores e prestadores de serviços externos. A perda da confiança dos clientes também pode se estender por anos, o que torna o custo de uma violação de dados mais do que uma despesa monetária imediata. Ela tem efeitos residuais de longa duração sobre funcionários, fornecedores, prestadores de serviços, clientes e relações públicas.

Índice:

1. O que é uma violação de dados?
2. Custos públicos de uma violação de dados
3. Custos privados
4. Custos internos
5. Conclusão

 

O que é uma violação de dados?

Embora a definição de uma violação de dados possa parecer óbvia, ela costuma ser confundida com uma violação de segurança. Uma violação de segurança pode levar a uma violação de dados, mas nem sempre. Por exemplo, um servidor pode ser comprometido quando um invasor consegue travar um aplicativo, causando uma negação de serviço; porém, sem acesso aos dados, o invasor só pode causar prejuízo financeiro devido à falha do aplicativo e ao tempo de inatividade.

Alguns ataques patrocinados por governos têm como objetivo causar uma condição de negação de serviço (DoS) que leve à paralisação de concorrentes ou órgãos governamentais, mas as violações de segurança não trazem os lucros elevados de um vazamento de dados para os invasores que buscam ganhar dinheiro nos mercados da darknet. Um invasor com acesso a dados privados pode vendê-los nos mercados da darknet, usá-los para roubo de identidade a fim de abrir contas de crédito e financeiras, ou utilizá-los em ataques de phishing. Dados corporativos privados são muito mais valiosos, especialmente se forem informações confidenciais ou propriedade intelectual.

Uma violação de segurança pode ir além de um ataque DoS e também resultar no comprometimento de dados. Por exemplo, se um invasor conseguir instalar malware em uma infraestrutura crítica, o software malicioso poderá ser usado para facilitar outros ataques que proporcionem acesso aos dados. As senhas podem ser violadas por meio de ataques de força bruta, proporcionando aos invasores a versão em texto simples das credenciais dos usuários. Campanhas de phishing bem-sucedidas também podem levar ao comprometimento da rede, incluindo ransomware que mantém os dados como reféns em troca de um pagamento em criptomoeda. Em muitos desses casos, a violação começa com um software de servidor sem patches.

 

Custos públicos de uma violação de dados

Uma das maiores consequências imprevistas de uma violação de dados é o dano à reputação da organização perante a opinião pública. A Equifax foi vítima de uma grande violação de dados, na qual os invasores conseguiram extrair milhões de registros pessoais. Anos depois, as pessoas ainda associam a Equifax a uma organização que divulgou a maior parte de seus dados financeiros e números de previdência social aos invasores. Impactos duradouros semelhantes foram observados na violação de dados da Welltok, na qual dados confidenciais de consumidores da área da saúde foram comprometidos, e na violação de dados da HealthEC, que gerou preocupações quanto à exposição de prontuários médicos, forçando os usuários a congelar suas contas e monitorar de perto suas informações financeiras. Grande parte do público perdeu a confiança na Equifax e não confia mais a ela seus dados. Esse efeito colateral de um vazamento de dados pode ser devastador para organizações que precisam da confiança dos usuários para coletar informações para a criação de contas e vendas de produtos.

Após o vazamento de dados da Equifax, a Ponemon realizou um estudo sobre o impacto na reputação pública de uma organização quando ela divulga informações de clientes a cibercriminosos. Eles constataram que as organizações levaram pelo menos 10 meses para se recuperar da reputação negativa perante a opinião pública. O estudo também revelou que 50% das organizações pesquisadas sofreram perda de produtividade e 41% indicaram que perderam a fidelidade dos clientes. O vazamento de dados da MOVEit é outro exemplo recente, no qual organizações em todo o mundo enfrentaram não apenas consequências técnicas, mas também o escrutínio público devido a atrasos na divulgação das informações.

As empresas que armazenam informações privadas devem preservar a confiança de todas as formas possíveis; caso contrário, isso pode significar um êxodo em massa de clientes fiéis. Além de evitar uma violação de dados, a maneira como a organização lida com ela também afeta a confiança dos clientes. Quanto mais cedo os clientes forem informados sobre a violação, melhor será para a reputação da empresa. Organizações que ocultam a violação por meses perdem essa valiosa confiança e podem sofrer uma perda de fidelidade dos clientes se a violação ficar oculta por tempo demais. Notificar uma violação dentro de um prazo razoável também é uma responsabilidade de conformidade perante muitos dos órgãos reguladores padrão.

Em muitos cenários de violação de dados, a exfiltração e a corrupção de dados dependem de malware. A exploração de vulnerabilidades de software geralmente ocorre em versões desatualizadas e sem patches, seja no sistema operacional, em ferramentas de terceiros ou em softwares personalizados que apresentam vulnerabilidades desconhecidas. Quando os clientes tomam conhecimento dos detalhes de uma violação de dados ou de vazamentos causados por sistemas sem patches, qualquer gestão inadequada da aplicação de patches pode prejudicar a confiança. Se o gerenciamento padrão de atualizações não for implementado, é provável que os clientes não confiem que isso será feito no futuro. Esse fator costuma afetar grandes empresas de tecnologia, instituições financeiras e qualquer outra organização que armazene grandes quantidades de dados de usuários.

No prazo de um dia após o anúncio de uma violação de dados, observou-se, em média, uma queda de 7,5% na valorização das ações das empresas de capital aberto. Os pesquisadores também observaram uma perda de US$ 5,4 bilhões na capitalização de mercado por empresa e um tempo de recuperação de 46 dias para que os preços das ações voltassem ao normal. A queda nas ações e a imagem pública negativa também afetam as relações com fornecedores e as parcerias. Se não for possível confiar na organização no que diz respeito aos dados, muitas parcerias essenciais podem ser destruídas.

 

Custos privados

Muitos dos custos públicos que afetam as organizações após uma violação de dados de grande repercussão, como as da Equifax ou da Target, também afetam a receita privada e a avaliação da empresa. À medida que os preços das ações caem, a própria empresa é afetada, mas há vários custos privados associados a uma violação de dados. O Relatório sobre o Custo de uma Violação de Dados 2020, da Ponemon, estima que o custo médio global seja de US$ 3,86 milhões. Após a ocorrência da violação, o próximo passo é colocar em prática um bom plano de resposta a incidentes, e muitas organizações não dispõem de um plano adequado para conter e erradicar a ameaça.

Organizações sem uma equipe dedicada à resposta a incidentes precisam terceirizar o serviço para obter ajuda em caso de violação. Isso faz com que o invasor tenha mais tempo para extrair mais dados. Para uma resposta imediata, muitas organizações precisam desativar serviços críticos a fim de impedir a extração de dados do sistema comprometido. A desativação imediata desses serviços resulta em perda de produtividade para os funcionários internos e de receita proveniente de portais voltados para o cliente. Isso também pode levar à corrupção de dados e a reclamações de longo prazo por parte de clientes que não conseguem fazer pedidos.

As equipes de resposta a incidentes custam centenas de dólares por hora, além de quaisquer despesas de viagem. As organizações podem gastar milhares de dólares com uma equipe para eliminar e investigar um incidente, caso não disponham de uma equipe dedicada para lidar com a situação. A maioria dos profissionais de TI não está qualificada para eliminar completamente uma ameaça da infraestrutura, especialmente se o incidente envolver ameaças persistentes avançadas (APTs).

Após a eliminação da ameaça, a maioria das organizações precisa atualizar sua infraestrutura, seja de hardware, software ou ambos. As “lições aprendidas” constituem a etapa final padrão na resposta a incidentes e na recuperação de desastres, e vêm acompanhadas da constatação de que um único componente da estratégia de segurança cibernética da organização não é suficiente para impedir as ameaças. Estratégias mais eficazes poderiam incluir a educação dos usuários para impedir ataques de phishing, o uso de softwares antimalware mais eficazes, a correção de configurações incorretas ou um gerenciamento mais adequado de patches para softwares desatualizados que levaram à exploração da vulnerabilidade.

O efeito cascata afeta todos os aspectos da empresa. A resposta a incidentes ajudará a lidar com o arquivamento de arquivos e registros de auditoria a serem entregues às autoridades para investigação; mas, enquanto isso, qualquer sistema desativado para evitar danos adicionais impedirá que os funcionários sejam produtivos e, potencialmente, prejudicará as vendas aos clientes.

Como exemplo de como um sistema invadido pode afetar toda a organização, considere o que acontece quando um servidor de banco de dados é infectado por malware ou quando um invasor consegue lançar um ataque persistente de cross-site scripting (XSS). No XSS persistente, os dados são corrompidos e podem ser usados para obter acesso a sistemas internos. Com o malware, o banco de dados pode estar enviando dados para um servidor controlado pelo invasor, concedendo a ele acesso remoto ao sistema ou, potencialmente, criptografando arquivos por meio de ransomware. Mesmo a recuperação a partir de um backup leva tempo e causa tempo de inatividade enquanto o sistema se recupera. Em grandes empresas, o tempo de inatividade, mesmo que seja de apenas um dia, pode custar à empresa milhares de dólares em receita perdida e perda de produtividade dos funcionários. A perda inicial de receita pode, então, ser percebida meses depois.

 

Custos internos

A maioria dos pesquisadores aborda os efeitos de uma violação de dados sobre a receita da empresa, os preços das ações, a perda de clientes e os custos de resposta a incidentes, mas o que eles não discutem são os efeitos sobre as relações interpessoais entre os funcionários e a equipe de TI. Como uma violação de dados é um evento divulgado publicamente, os funcionários tomam conhecimento do problema e devem ser incluídos nas mudanças nos processos organizacionais e nos treinamentos.

Se a base do ataque tiver sido uma campanha de phishing, os funcionários visados que foram vítimas do ataque devem receber treinamento para identificar mensagens maliciosas e denunciá-las. Não é incomum que os funcionários confiem no departamento de TI para protegê-los contra malware e softwares maliciosos; portanto, mesmo no caso de uma campanha de phishing que tenha resultado em uma violação de dados bem-sucedida, os funcionários podem perder a confiança na empresa, especificamente no departamento de TI. A perda de confiança pode ser ainda mais grave se a falha na proteção da infraestrutura tiver sido causada por configurações incorretas, infraestrutura antimalware ineficiente ou um erro da equipe de TI.

Os profissionais de TI e segurança sabem que nenhuma estratégia de segurança cibernética reduz o risco em 100%, mas os funcionários internos não têm consciência de como as ameaças cibernéticas funcionam. Qualquer violação de dados resultará em uma mudança nos procedimentos, o que geralmente aumenta a sobrecarga no processo do usuário. Esses procedimentos podem incluir uma alteração nos sistemas de segurança que afete a forma como os funcionários fazem a autenticação no sistema, uma mudança nos processos manuais ou treinamentos adicionais obrigatórios. Qualquer sobrecarga significativa na produtividade diária de um funcionário encontrará certa resistência, inclusive por parte da gerência. A perda de confiança pode levar a dificuldades para obter aprovação para uma mudança na forma como os processos atuais são executados.

A implementação de novos sistemas e procedimentos de segurança cibernética já é difícil, pois a maioria dos funcionários não quer realizar etapas adicionais para garantir a segurança; no entanto, uma violação de dados pode fazer com que os funcionários percam a confiança nos sistemas novos e existentes, o que, em última instância, pode levar à omissão de procedimentos e ao aumento do risco. O treinamento e a educação em segurança cibernética ajudam a reduzir o risco, mas leva tempo para coordenar e agendar as sessões. Os funcionários, incluindo os executivos, precisam reservar um tempo do seu dia para participar dos treinamentos.

 

Conclusão

Embora as empresas estejam cientes de que seus dados são valiosos, a forma como gerenciam os riscos cibernéticos afeta diretamente a probabilidade de ocorrer uma violação. As violações de dados resultam em anos de recuperação, tanto em termos financeiros quanto no que diz respeito à reconquista da confiança dos usuários. A maioria das organizações concentra-se nos prejuízos financeiros imediatos, mas os danos de longo prazo afetarão a receita e outros custos por muitos anos.

A mitigação de vulnerabilidades antes que elas sejam exploradas é a melhor maneira de reduzir o risco de uma violação. Isso implica a adoção de boas práticas ao lidar com a aplicação de patches e a manutenção. Com a aplicação de patches em tempo real, sua organização ganha um nível de conveniência e agilidade na aplicação de patches sem reinicialização em servidores vulneráveis e desatualizados. Em vez de esperar semanas para aplicar patches em servidores vulneráveis, deixando-os expostos às explorações mais recentes, a aplicação de patches em tempo real atualiza o software do servidor e o sistema operacional assim que os fornecedores lançam as atualizações. O KernelCare oferece a aplicação de patches em tempo real para as principais distribuições Linux e pode reduzir a janela de oportunidade em servidores sem patches. Basta implantar o KernelCare com a ferramenta de orquestração de sua escolha e aproveitar os benefícios da aplicação de patches em tempo real para reduzir riscos e proteger seus servidores contra as mais recentes ameaças cibernéticas e explorações.