Quase metade das empresas não mudam estratégia de segurança mesmo após sofrerem um ataque

O 2018 CyberArk Global Advanced Threat Landscape revela uma elevada imaturidade das empresas em relação à cibersegurança. De acordo com o relatório, 89% das empresas não têm as suas estruturas de IT e os dados críticos totalmente protegidos, a menos que as contas e as credenciais privilegiadas, e as informações confidenciais, estejam protegidas. Os profissionais de segurança das TI inquiridos indicaram que a proporção de utilizadores que têm privilégios administrativos nos seus dispositivos de endpoint aumentaram de 62% no inquérito de 2016 para 87% em 2018 – uma subida de 25% e talvez indicativa das exigências dos funcionários em matéria de flexibilidade, em detrimento das melhores práticas de segurança.

O relatório indica ainda que cerca de metade dos profissionais de segurança das TI (46 por cento) raramente mudam substancialmente a sua estratégia de segurança, mesmo depois de terem sofrido um ciberataque.

“Há que compreender como surge um ataque à segurança das contas privilegiadas e como coloca a empresa em risco. O sucesso no combate à inércia requer uma liderança forte, responsabilidade, estratégias de segurança, claramente definidas e comunicadas, e a capacidade de adotar uma mentalidade de ‘pensar como um atacante’”, afirma António Dias, consultor de Soluções de Segurança da Cesce SI.

A ameaça que mais preocupa as empresas é o phishing (56%), seguido das ameaças internas (51%), ransomware ou malware (48%), contas privilegiadas ou desprotegidas (42%) e dados desprotegidos armazenados na cloud (41%). Porém, as conclusões da sondagem sugerem que a inércia em matéria de segurança já está enraizada em muitas empresas. Quase metade (46%) das empresas não conseguem impedir que os atacantes entrem nas redes internas; 36% referem que credenciais administrativas são guardadas em documentos Word ou em Excel, nos PCs da empresa; e 50% admitem que a privacidade ou informações de identificação pessoal dos seus clientes poderão estar em risco, porque os seus dados não se encontram protegidos para além do que é necessário e legalmente exigido.

Vencer a inércia em matéria de cibersegurança está a tornar-se um ponto central na estratégia e no comportamento organizacional, e não algo que se impõe pelas necessidades comerciais. Segundo o inquérito, 86% dos profissionais de segurança nas TI consideram que a segurança deve ser um tópico de discussão regular ao nível da direção. Contudo, apenas 44% disseram reconhecer ou recompensar os funcionários que ajudem a impedir uma violação de segurança informática e só 8% realizam exercícios Red Team contínuos, para identificar vulnerabilidades críticas e identificar respostas eficazes.

Junta-se a este cenário o facto de 46% das empresas não alterarem as suas estratégias de segurança, mesmo após terem sido alvo de algum tipo de ciberataque.