“A Europa, como um todo, e Portugal não é exceção, precisa de mais ciber-resiliência”

Colocar a cibersegurança no centro do negócio do Canal começa a ser uma prioridade para muitos Parceiros. Com base nesta premissa, o Channel On contou com uma mesa-redonda sobre o tema, que juntou João Mota, CTO da Quantinfor, Miguel Barreiros, Victor Andrade, CEO da Prologin, e Duarte Lopes, Diretor da CyberInspect para abordar a segurança como um serviço.

No ponto de partida que implica vender a cibersegurança e demonstrar onde está o valor para o negócio, João Mota começou por referir que a tecnologia não é o primeiro ponto de um “pitch” junto do cliente, mas sim a abordagem e o conhecimento sobre o risco do negócio para o cliente quando o serviço é interrompido. “A cibersegurança já não é o mesmo que era há dez anos – estamos muito mais focados na questão da deteção e resposta”, refere, acrescentando que o objetivo deve passar sempre pela perceção do negócio e das necessidades do cliente.

Quando o tema é escalar o negócio de segurança, Miguel Barreiros refere que é necessário “encarar esta área de negócio como o el dorado do IT”, uma vez que esta é a atual tendência do mercado.

Ainda assim, os Parceiros continuam a cometer alguns erros na passagem dos projetos para a prática consolidada. “Um dos principais erros é precisamente o deslumbramento, ou seja, pensar que está ali o negócio que nos vai tornar altamente lucrativos”, afirma Miguel Barreiros.

O especialista defende que é também necessário ter em conta o talento e o “ justo valor das pessoas”, numa área que sofre pela não continuidade de determinados projetos, à boleia das respetivas margens. Miguel Barreiros relembra que nem todos os projetos resultam em “grandes margens”, e que é necessário encontrar um equilíbrio, desconstruindo a ideia de que a cibersegurança é a solução para “todos os problemas económicos”.

Para lá da resposta reativa: uma visão mais preventiva

Quando os clientes escolhem apenas uma solução para resolver determinado problema, sem apostarem verdadeiramente num modelo recorrente de segurança, o plano de ação da Prologin passa, num primeiro momento, por “ajudar o cliente” a “apagar o incêndio”. Na fase seguinte, o plano visa sobretudo consciencializar o cliente sobre as possíveis consequências “bastante graves” que o ataque/problema poderia ter gerado. No entanto, a realidade continua a mostrar que os clientes sofrem com problemas que podem repetir-se, sem que haja uma aposta na prevenção logo após o primeiro alerta.

“Já tivemos vários casos em que os acidentes foram graves. E já tínhamos alertado [os clientes] para a adoção de um serviço de apoio. Nunca optaram”, partilha Vítor Andrade que, mesmo perante episódios como este, reforça a linha de ação: “é continuar a evangelizar o mercado, reforçar o que é que se tem de fazer e esperar que os clientes também evoluam um pouco nesse sentido”.

Na tarefa de consciencializar, o Canal também tem uma palavra a dizer sobre o valor das oportunidades em cibersegurança. Na perspetiva de Duarte Lopes, Director da CyberInspect, quando o tema é mais prático, nomeadamente com questões de capacitação e aceleração comercial, ainda existe algum caminho a percorrer pelo ecossistema de Parceiros sobre o real valor da cibersegurança. “Esta é das principais oportunidades que o setor tem”, garante, acrescentando ainda a camada de temas como a inteligência artificial e a regulação que contribuem também para colocar o tema no roadmap dos Parceiros.

Duarte Lopes considera que muitos Parceiros reconhecem a importância da cibersegurança de forma teórica, mas continuam a mostrar resistência ao investimento necessário para desenvolver competências e equipas especializadas. “Há aversão ao risco, há uma grande concentração naquilo que é o negócio hoje e não naquilo que pode ser o negócio amanhã, e isso faz com que, se não investir, se não me capacitar, se não contratar equipas, obviamente que a minha capacidade de explorar oportunidade vai ser limitada”.

O cerne da questão do investimento em cibersegurança

Na Quantinfor, o surgimento de novos clientes implica uma auditoria à área da cibersegurança, de forma a recolher as informações necessárias.

No momento de guiar os clientes sobre os investimentos em cibersegurança, e tendo em conta que não é possível garantir que o cliente esteja 100% seguro, João Mota reconhece que as pequenas e médias empresas “não têm uma capacidade de investimento” como outras empresas noutros países, o que, por si só, cria um filtro sobre prioridades e sobre “o que já era necessário ontem, o que é necessário hoje e o que é que podemos adiar para amanhã”.

Perante um ataque, “tentamos minimizar o tempo, a partir do momento em que o cliente é atacado, até à recuperação, para que ele não perca os dados que tem – e isso é a parte fundamental –, sempre com os olhos postos no negócio do cliente”, reitera.

O debate no Canal

Na hora de escolher se o Parceiro deve especializar- se num determinado fabricante ou optar por trabalhar multifabricantes, Miguel Barreiros considera que não existem caminhos certos ou errados, com a decisão a depender, sobretudo, do posicionamento.

“Há a tendência para os que se especializam serem um bocadinho monocórdicos; eu acredito na qualidade mais do que na especialização”, explica, acrescentando que, no outro lado do espetro, “ser um bom generalista é fundamental, é útil e também não é fácil”, visto que exige também “alguma especialização”.

Quando o que está em causa é a arquitetura de segurança e a estratégia de segurança de informação de determinada organização, Miguel Barreiros aponta para as dificuldades que surgem ao trabalhar com um único fabricante. “Vai ser muito complicado. Até pode ser possível; no entanto, vai ter de ser por opção – porque ganhamos na gestão, na centralização, na facilidade –, e não por limitação”, frisa.

No fundo, não será possível vender tudo e implementar tudo, mas o especialista também considera que “ficar por um stack único” pode ser redutor.

NIS 2: um acelerador de oportunidades ou investimento desperdiçado?

Com a criação de serviços de segurança a posicionar-se como uma oportunidade de crescimento para o Canal, a entrada em vigor da NIS2, em abril deste ano, surge aqui como um catalisador. Abre-se, assim, “uma oportunidade de negócio”, sobretudo para as empresas que “deverão aproveitar para evoluir para o passo seguinte”, incentiva Victor Andrade.

Na perspetiva do CEO, existem três tipos de clientes com abordagens distintas ao novo Regime Jurídico da Cibersegurança: “Aquele que já avançou e que já está a implementar tudo o que é processos e tecnologia, mas isso é uma minoria, são empresas muito grandes; depois existe um outro tipo de clientes que sabe que existe [NIS2], estão à espera de alguma coisa e estão a estudar a situação; e depois existe a grande maioria que, talvez um pouco por culpa do que aconteceu com o RGPD, pense que isto não vai dar em nada e que não vai haver fiscalização”.

Na conclusão da intervenção, Victor Andrade reafirma a necessidade de pensar na NIS2 numa ótica de processos, sobretudo porque se apresenta como uma oportunidade para Parceiros e clientes.

A visão de Duarte Lopes é clara – ignorar a oportunidade que a NIS2 cria seria “desperdiçar uma oportunidade de negócio”. “A Europa, como um todo, e Portugal não é exceção, precisa de mais ciber-resiliência, não só por causa do tema do cibercrime, mas pelo tema da geopolítica. Portanto, nós aceitarmos, como setor, um papel menor a promover a NIS2 e a ajudar os clientes finais a implementar a NIS2, parece-me um erro”, esclarece.

O Diretor da CyberInspect defende que “cada ator do sistema tem de fazer a sua parte”, incluindo o regulador, que deverá assumir o seu papel “com pragmatismo, velocidade e clareza”.

Se, por um lado, os prestadores de serviço, a par dos fabricantes, devem ajudar os clientes “a perceber a jornada de capacitação” neste período de transição de dois anos, por outro os clientes finais, “têm de estar mais disponíveis para investirem e para se capacitarem e para fazerem a jornada com a nossa ajuda”, conclui. A oportunidade que a cibersegurança representa para o Canal foi consensual entre os participantes da mesa-redonda que consideram, ainda assim, que o crescimento está dependente da capacidade dos Parceiros para investirem em competências e ajudarem os clientes a encarar a segurança como um processo contínuo e não como uma resposta pontual a incidentes.