Por que melhorar as operações de segurança (SecOps) pode economizar dinheiro

As operações de segurança são um elemento essencial do ambiente tecnológico corporativo — mas, às vezes, podem ser deixadas de lado, à medida que as organizações se concentram na adoção das soluções tecnológicas mais recentes.

Em um ano como 2020, em que há tantas mudanças na forma como o trabalho é realizado e a tecnologia é disponibilizada, as operações de segurança (ou SecOps) podem simplesmente ser deixadas de lado — sem receber o investimento de que precisam.

O SecOps raramente é negligenciado de propósito — trata-se mais de uma questão de recursos, em que organizações, sejam elas pequenas ou grandes, colocam as questões de segurança em segundo plano, preferindo destinar recursos para investir em novas tecnologias ou em outras áreas.

Mas essa pode ser uma abordagem contraproducente, já que ignorar ou negligenciar o panorama de ameaças pode acabar custando muito mais caro do que um investimento modesto, porém suficiente, em SecOps. Em outras palavras, aprimorar suas operações de segurança (SecOps) pode economizar dinheiro — continue lendo para descobrir por quê.

Conteúdo:

1. A SECOPS ESTÁ SE TORNANDO CADA VEZ MAIS FUNDAMENTAL
2. A resposta está nos números
3. Falta de preocupação e preparação
4.OS RISCOS E CUSTOS DE NEGLIGENCIAR O SECOPS
5. Exemplos reais de violações que custaram caro
6. Uma análise detalhada dos riscos
7. O QUE VOCÊ PRECISA FAZER PARA ADOTAR O SECOPS DA MANEIRA CERTA
8. CORRIJA SEU SECOPS, ECONOMIZE DINHEIRO

A área de segurança operacional (SecOps) está se tornando cada vez mais essencial

Os avanços tecnológicos trazem uma série de benefícios — novos recursos, maior eficiência e assim por diante. No entanto, a tecnologia pode estar sujeita a falhas de segurança, e quanto mais uma organização depende da tecnologia, mais vulnerável ela se torna a agentes mal-intencionados que tentam se aproveitar dessas vulnerabilidades.

A resposta está nos números

Não é difícil encontrar evidências que apontem para uma explosão no número de vulnerabilidades. Considere os números citados no Banco de Dados Nacional de Vulnerabilidades. Ao longo dos últimos dez anos, o número de vulnerabilidades relatadas anualmente oscilou entre 4.000 e 8.000 por ano.

Mas isso mudou rapidamente – e a mudança ocorreu por volta de 2017. Somente naquele ano, houve um enorme aumento no número de vulnerabilidades relatadas – chegando a 14.000. Esse nível elevado se manteve nos anos seguintes e, em 2020, foram registrados mais de 18.000 relatos.

Cada uma dessas inúmeras vulnerabilidades pode levar a uma possível violação de segurança. Afinal, a empresa de segurança cibernética Imperva aponta que quase metade das falhas encontradas em softwares tem uma exploração disponível ao público — e, portanto, aos hackers.

Isso inclui mais de 170 vulnerabilidades identificadas no kernel do Linux somente em 2019. Não se trata apenas de uma questão de estatística: há um risco real associado a cada uma dessas vulnerabilidades, mesmo quando ainda não há um código de exploração disponível publicamente.

Falta de preocupação e preparação

É evidente que as questões de segurança de TI e as vulnerabilidades estão se tornando um problema cada vez maior. Veja-se, por exemplo, este relatório, que mostra que as ameaças à segurança informática cresceram rapidamente ao longo de todo o ano de 2020. As organizações podem ter dificuldade em acompanhar essa evolução — em parte porque a área de SecOps representa apenas mais uma demanda sobre um conjunto finito de recursos de TI.

Também é verdade que, para muitas organizações, os riscos de segurança são riscos invisíveis — a situação da segurança cibernética só se torna um problema visível quando ocorre uma violação e quando se sofre uma perda visível. Trata-se de uma abordagem perigosa para economizar dinheiro e, no fim das contas, equivale a apostar na sorte para evitar ser hackeado.

Como os agentes mal-intencionados utilizam cada vez mais a automação para tentar identificar organizações vulneráveis, essa aposta é imprudente. Muitas vezes, nem sequer é uma questão de recursos; na verdade, trata-se simplesmente de uma negligência em relação às estratégias de segurança cibernética.

Aqui está um exemplo simples. O Ponemon Institute constatou que 60% das vítimas de um ataque cibernético bem-sucedido foram afetadas devido a um erro que poderia ter sido evitado: a falta de aplicação de uma correção para uma vulnerabilidade conhecida, para a qual já existia uma correção perfeitamente eficaz.

Existem várias razões pelas quais a postura de segurança cibernética de uma organização pode apresentar deficiências em aspectos fundamentais:

• • As ferramentas disponíveis simplesmente não são utilizadas. É possível mitigar com eficácia uma ampla gama de ameaças cibernéticas utilizando ferramentas comumente disponíveis. Desde firewalls de rede e de aplicativos até varreduras automatizadas de penetração e aplicação de patches em tempo real. No entanto, devido à falta de conscientização ou simplesmente à falta de empenho, essas ferramentas nem sempre são implantadas.
  • Liderança ausente. Por que ferramentas óbvias e amplamente disponíveis não são utilizadas? Muitas vezes, isso se deve à falta de liderança — em que os executivos de alto escalão simplesmente nunca promovem uma agenda que priorize a segurança em toda a organização. Isso pode ocorrer, às vezes, porque os executivos veem a segurança cibernética como uma responsabilidade exclusiva do departamento de TI, quando, na realidade, hoje em dia, as operações de segurança (SecOps) são uma questão que abrange toda a organização.
  • Prioridades conflitantes. Os departamentos de tecnologia podem falhar em suas obrigações de segurança cibernética, em parte porque as equipes técnicas têm como missão garantir a disponibilidade da TI — e não tanto a imposição de restrições à TI. Em outras palavras, as restrições decorrentes das medidas de segurança da TI podem frustrar os esforços para implementar soluções tecnológicas e tornar a tecnologia acessível.
  • Os esforços não são completos. Para ser justo, muitas organizações se empenham seriamente para se proteger contra ameaças cibernéticas, mas, muitas vezes, as atividades de segurança cibernética simplesmente não são completas o suficiente. No entanto, basta um pequeno deslize para que os hackers aproveitem a oportunidade. Mais uma vez, ferramentas como a automação podem ajudar a transformar um esforço sólido em um esforço completo.
  • Falta uma cultura de segurança cibernética. Um dos elementos-chave de uma iniciativa abrangente de segurança cibernética é a mentalidade dos funcionários que trabalham na organização. Em outras palavras, as operações de segurança (SecOps) se tornam muito mais eficazes quando todos trabalham em conjunto, tendo a importância da segurança cibernética sempre em primeiro plano.

Não é que as organizações ignorem a ameaça à segurança cibernética, mas a falta de recursos, prioridades conflitantes e uma liderança que não está suficientemente focada na segurança cibernética podem, em conjunto, fazer com que as operações de segurança (SecOps) não recebam a atenção necessária.

Os riscos e custos de negligenciar as operações de segurança (SecOps)

Algumas das razões descritas acima estão intimamente ligadas à gestão de custos — e a gestão de custos não é uma prioridade descabida. No entanto, os riscos decorrentes da negligência nas operações de segurança (SecOps) podem acarretar custos muito reais, que são muito maiores do que a economia gerada pelo corte nos orçamentos de SecOps.

Desde as perdas diretas causadas por um ataque cibernético até os danos à reputação e os custos relacionados à não conformidade, os custos de uma violação de segurança podem ser enormes.

Exemplos reais de violações que geraram altos custos

Isso está claramente resumido no Relatório da IBM sobre o Custo de uma Violação de Dados de 2020 – a empresa constatou que o custo típico de uma violação é de US$ 3,86 milhões, enquanto as empresas geralmente levam até 280 dias para tentar identificar e conter um ataque cibernético.

Antes de analisarmos os possíveis riscos e custos das violações cibernéticas, vamos dar uma olhada em alguns exemplos reais que ilustram como as organizações podem acabar gastando quantias vultosas para remediar uma violação cibernética.

Primeiro, em 2019, a Capital One sofreu um ataque cibernético que afetou mais de cem milhões de clientes da empresa. O custo para a Capital One foi estimado em mais de US$ 100 milhões, podendo chegar a US$ 150 milhões.

Outro caso extremamente oneroso envolveu o Yahoo, quando, em 2016, a empresa teve que admitir que hackers romperam suas defesas cibernéticas. Esse único ataque afetou mais de três bilhões de contas do Yahoo, e os dados roubados incluíam desde nomes até datas de nascimento e informações de contato.

Quando a Verizon adquiriu posteriormente o Yahoo, a empresa pagou centenas de milhões a menos do que teria pago devido ao dano à reputação sofrido pelo Yahoo.

Ataques cibernéticos onerosos afetam empresas em todo o mundo – outro exemplo é a British Airways, que teve que pedir desculpas a 500 mil de seus passageiros quando um código JavaScript de terceiros utilizado pela empresa permitiu que um hacker obtivesse acesso ilícito aos sistemas da British Airways. Embora a companhia aérea tenha tido que pagar US$ 25 milhões em multas, o dano à reputação foi muito maior – incluindo a perda de receita.

Uma análise detalhada dos riscos

Não se trata apenas do roubo de algo valioso em uma violação — os riscos de uma violação cibernética vão muito além disso. Aqui estão apenas alguns dos principais problemas que as empresas enfrentam quando não levam o SecOps a sério o suficiente:

• Custos imediatos. A correção de uma violação cibernética bem-sucedida pode ter um custo proibitivo, como ilustramos na seção anterior. Não se trata apenas dos danos aos recursos tecnológicos que precisam ser reparados — a imagem pública de uma organização também precisa ser restaurada, e os custos para isso podem ser astronômicos.
• Perda de receita. Uma imagem pública negativa afetará a receita, agravando a perda de receita sofrida durante e logo após um ataque. Além de quaisquer multas ou consequências legais, a perda de receita pode rapidamente superar a economia obtida ao tentar minimizar os gastos com operações de segurança (SecOps).
• Riscos legais e de conformidade. Diversas leis atuam em conjunto com os regimes de conformidade para garantir que as organizações mantenham os dados dos clientes em segurança. Uma violação cibernética pode acarretar graves implicações legais e de conformidade — e, em alguns casos em que as regulamentações são particularmente rigorosas, uma organização pode perder totalmente sua capacidade de exercer suas atividades comerciais.

Uma única violação bem-sucedida pode resultar em um valor financeiro que exceda amplamente o investimento necessário para manter uma operação de segurança cibernética consistente, completa e sólida. Será que essa violação chegará a ocorrer? Essa é outra questão — mas os riscos, mesmo assim, são muito reais e iminentes.

O que você precisa fazer para implementar corretamente o SecOps

Em primeiro lugar, tentar economizar cortando os orçamentos destinados à segurança cibernética nunca é uma boa ideia. Mostramos de forma detalhada como os ataques cibernéticos podem ter um custo altíssimo — a ponto de uma organização ter que interromper suas operações.

Trata-se, essencialmente, de uma falsa economia, uma economia que não passa de uma ilusão. Uma boa operação de segurança (SecOps) não custa uma fortuna; portanto, o mais importante é definir corretamente o orçamento para a SecOps.

Uma equipe de SecOps bem financiada é, obviamente, uma questão tanto estratégica quanto prática. Aqui estão alguns pontos estratégicos que você precisa acertar para garantir operações com segurança cibernética:

• • Equipes dedicadas à operação do SecOps. Mencionamos anteriormente que deixar a segurança cibernética a cargo das equipes de TI pode gerar objetivos conflitantes. Para garantir que a segurança cibernética e a disponibilidade nunca entrem em conflito, vale a pena assegurar que o SecOps seja isolado — se possível, dedicando uma equipe exclusivamente à segurança cibernética.
  • Equipes vermelha e azul. Para uma abordagem mais completa da segurança cibernética, vale a pena considerar a separação entre os membros da equipe (vermelha), que se concentram em testar e desafiar a segurança cibernética, e os membros da equipe (azul), que montam as defesas. Essa é uma maneira mais robusta de conduzir as operações de segurança (SecOps).
  • Trabalhe com executivos de alto escalão. As operações de segurança são mais eficazes quando impulsionadas pela alta administração; ao envolver os executivos de alto escalão nas operações de segurança (SecOps), você pode garantir que a liderança e a cultura que impulsionam práticas consistentes de segurança cibernética se disseminem desde os níveis mais altos até os níveis mais baixos.
  • Busque ajuda. A complexidade da segurança cibernética cresceu a tal ponto que é improvável que os especialistas internos sejam capazes de atender a todas as suas necessidades. Desde ferramentas externas até consultores de segurança cibernética, considere investir em especialistas externos para fortalecer suas operações de segurança (SecOps).

Dito isso, o SecOps não se resume apenas à estratégia. O SecOps é, essencialmente, uma questão prática, e sugerimos que você destine recursos para garantir que os seguintes requisitos do SecOps sejam atendidos:

• • Gerenciamento eficaz. Compreender quais tecnologias estão em uso e gerenciá-las de forma eficaz é um dos principais objetivos das operações de segurança (SecOps) – faça um inventário de seu parque de TI e identifique onde estão os riscos potenciais.
  • Invista em um SOC. Um centro de operações de segurança (SOC) é um reforço para sua equipe de segurança que ajuda a monitorar e reagir a ameaças cibernéticas — utilizando informações em tempo real e ferramentas de visualização para detectar ameaças. Operações de segurança (SecOps) bem estruturadas devem impedir a entrada de muitos invasores, mas sinalizar um ataque em andamento é igualmente importante — quanto mais rápido você detectar um invasor, menor será a chance de sofrer perdas de real gravidade.
  • Invista em seus esforços. Seja em pessoal ou em aplicativos de segurança, sua equipe de SecOps só terá um bom desempenho se sua organização dedicar recursos financeiros suficientes a ela. Um investimento relativamente modesto em recursos práticos para o dia a dia pode evitar violações extremamente onerosas no futuro.
  • Consistência nos processos e nas políticas. No que diz respeito à liderança e à cultura de segurança cibernética, a consistência nos processos e nas políticas de uma organização é outra medida prática fundamental, pois elimina brechas de vulnerabilidade.
  • Aplicação contínua de patches. Por fim, um dos aspectos práticos mais importantes das operações de segurança (SecOps) é a aplicação consistente e contínua de patches, que garante que as vulnerabilidades sejam corrigidas assim que forem descobertas. A aplicação de patches em tempo real e automatizada, sempre que possível, ajudará a garantir a continuidade desse processo – e liberará recursos da equipe de TI para outras finalidades.

Essas medidas estratégicas e práticas irão impulsionar suas operações de segurança (SecOps) – sem custar uma fortuna.

Melhore suas operações de segurança (SecOps) e economize dinheiro

À primeira vista, esse argumento pode parecer estranho. Afinal, reforçar as operações de segurança cibernética exigirá um aumento nos gastos. No entanto, já deixamos claro como os riscos de segurança podem se transformar em violações muito onerosas.

É possível que sua organização nunca seja vítima de crimes cibernéticos, mas essa possibilidade é cada vez menor se ela não contar com operações de segurança (SecOps) adequadas e otimizadas. Por outro lado, investir muito pouco em segurança cibernética aumenta tanto o risco que é provável que sua organização acabe gastando mais para remediar uma violação de segurança do que jamais teria gasto com as operações de segurança.

Portanto, destine os recursos necessários e utilize todas as ferramentas de segurança cibernética à sua disposição — desde a liderança e a cultura organizacional até ferramentas de software, como verificadores de vulnerabilidades e aplicação automatizada de patches em tempo real.