Um estudo mostra que quase metade dos executivos globais não se sente bem preparado para um ataque cibernético. E isso apesar do fato de que eles também dão alta prioridade à segurança cibernética. Embora os executivos alemães sejam os melhores em avaliar vulnerabilidades cibernéticas, eles precisam trabalhar em seu relacionamento com o CISO.
A Proofpoint, Inc., uma das empresas líderes em segurança cibernética e conformidade da próxima geração, e a segurança cibernética no MIT Sloan (CAMS), um consórcio de pesquisa interdisciplinar, publicaram seu estudo "Cybersecurity: The 2022 Board Perspective". O relatório captura o que os líderes empresariais percebem como os maiores desafios e riscos enfrentados por sua organização.
Cibersegurança no topo da lista
A questão da segurança cibernética está no topo da agenda da gestão da empresa. 77 por cento dos participantes confirmam que a cibersegurança é uma prioridade na gestão da sua empresa. 76% discutem o assunto pelo menos uma vez por mês. 75% dos participantes acreditam ter uma compreensão completa dos riscos sistêmicos que suas organizações enfrentam e 76% afirmam ter feito investimentos adequados em segurança cibernética.
Executivos não se sentem bem preparados
Em muitos casos, esse otimismo parece inadequado ou baseado em erros de julgamento. Por exemplo, quase dois terços (65%) dos entrevistados acreditam que sua organização corre o risco de um grande ataque cibernético nos próximos 12 meses. Quase metade (47%) acredita que sua organização não está preparada para um ataque direcionado. E apenas dois terços da alta administração classificam o erro humano como a vulnerabilidade de segurança cibernética número um, apesar do Fórum Econômico Mundial ter descoberto que esse fator gera 95% de todos os incidentes de segurança cibernética. Na avaliação do risco decorrente de erro humano, os executivos alemães se saem melhor. 80% deles classificam esse fator como sua maior vulnerabilidade cibernética. Este é o valor mais alto em todos os países examinados.
600 executivos na pesquisa
O estudo Cybersecurity: The 2022 Board Perspective examina as respostas de 600 executivos em organizações com 5.000 ou mais funcionários em vários setores. Em agosto de 2022, 50 membros do conselho foram entrevistados em cada um dos 12 países: EUA, Canadá, Reino Unido, França, Alemanha, Itália, Espanha, Austrália, Cingapura, Japão, Brasil e México.
O relatório examina três áreas principais: as ameaças cibernéticas e os riscos enfrentados pelo gerenciamento, seu nível de preparação para combater essas ameaças e seu alinhamento com os CISOs (Chief Information Security Officers) em comparação com suas avaliações que a Proofpoint analisou em seu Voice of the CISO 2022 relatório. Há uma discrepância significativa entre as duas perspectivas quando se trata de avaliar riscos cibernéticos, consequências e ameaças.
O cenário de ameaças deve ser entendido
“É encorajador ver que a segurança cibernética é finalmente o foco das conversas da diretoria. No entanto, nosso relatório mostra que a liderança ainda tem um longo caminho a percorrer quando se trata de entender o cenário de ameaças e preparar suas organizações para ataques cibernéticos”, comentou Lucia Milică, vice-presidente e CISO residente global da Proofpoint. “Uma das maneiras pelas quais a administração pode melhorar sua preparação é envolvendo-se com seus CISOs. A relação entre a alta administração e os CISOs é fundamental para proteger pessoas e dados, e ambos os lados devem se esforçar para se comunicar e colaborar de forma mais eficaz para garantir o sucesso dos negócios.”
O estudo de segurança cibernética da Proofpoint e CAMS lança luz sobre as tendências globais, bem como as diferenças específicas da indústria e da região entre os líderes empresariais. Os principais resultados incluem:
- Há uma desconexão entre a alta administração e os CISOs ao avaliar o risco representado pelos cibercriminosos
65% dos líderes C-suite acreditam que sua organização corre o risco de um grande ataque cibernético nos próximos 12 meses, em comparação com 48% dos CISOs. Na Alemanha, até 70% da administração assume que sua empresa corre o risco de um ataque cibernético significativo nos próximos 12 meses, em comparação com 40% dos CISOs alemães. - Apesar da maior consciência dos perigos e dos respectivos orçamentos, as organizações estão insuficientemente preparadas
75% dos entrevistados globais acreditam que entendem os riscos sistêmicos de sua organização, 76% acreditam que investiram adequadamente em segurança cibernética, 75% acreditam que seus dados estão adequadamente protegidos e 76% discutem pelo menos uma vez por mês sobre segurança cibernética. No entanto, esses esforços parecem insuficientes, com 47% dos entrevistados acreditando que sua organização não está preparada para lidar com um ataque cibernético nos próximos 12 meses. Na Alemanha, isso chega a 50%. - Em contraste com seus pares em todo o mundo, a equipe de gerenciamento de organizações alemãs avalia as consequências mais graves de um ataque cibernético bem-sucedido de maneira semelhante a seus CISOs
A divulgação de dados internos encabeça a lista de preocupações de gerenciamento para organizações em todo o mundo (37%), seguida de perto por danos à reputação (34%) e perda de receita (33%). Essas preocupações contrastam fortemente com as dos CISOs, que estão mais preocupados com o tempo de inatividade significativo, a interrupção dos negócios e o impacto nas avaliações dos negócios. Na Alemanha, por outro lado, a administração e os CISOs concordam: o tempo de inatividade significativo está no topo da lista de preocupações para ambos. - A relação entre membros do conselho e CISOs precisa ser melhorada
Existe uma enorme lacuna entre as perspectivas de executivos e CISOs em todo o mundo: enquanto 69% dos executivos dizem que se comunicam com seus CISOs como iguais, apenas 51% dos CISOs concordam. Na Alemanha, essa discrepância é ainda mais acentuada: 89% dos executivos se consideram iguais a seu CISO (o valor mais alto entre todos os países pesquisados), mas apenas 48% dos CISOs na Alemanha têm a mesma opinião. - Existe um amplo consenso entre a alta administração e os CISOs sobre os diferentes tipos de ameaças
Globalmente, os membros da administração citaram a fraude de e-mail/comprometimento de e-mail comercial (BEC) como sua principal preocupação (41%), seguido por comprometimento de contas na nuvem (37%) e ransomware (32%). Embora a fraude por e-mail/BEC e os comprometimentos de contas na nuvem também sejam uma preocupação para os CISOs, ao contrário do C-suite, eles veem os internos como a maior ameaça. Executivos na Alemanha citaram o comprometimento de contas na nuvem como sua principal preocupação (50%), seguido por negação de serviço distribuído (DDoS, 44%) e ransomware (40%). Os CISOs alemães também classificaram essas ameaças como suas três principais preocupações. - Os gerentes estão se tornando cada vez mais confortáveis com as exigências das autoridades supervisoras
80% dos entrevistados globais acham que as organizações devem ser obrigadas a relatar um ataque cibernético grave aos reguladores dentro de um prazo razoável, e apenas 6% discordam. Na Alemanha, 78 por cento têm uma opinião positiva sobre tal requisito de relatório, e nenhum dos entrevistados se manifestou contra isso.
“Os líderes desempenham um papel fundamental na cultura e na postura de segurança cibernética de suas organizações. Eles têm responsabilidade fiduciária e regulatória por suas organizações. Portanto, eles precisam entender as ameaças de segurança cibernética que suas organizações estão enfrentando, bem como a estratégia que suas organizações estão adotando para se tornarem resilientes cibernéticas”, explica o Dr. Keri Pearlson, diretora executiva de segurança cibernética do MIT Sloan (CAMS). “Um melhor alinhamento das prioridades de segurança cibernética entre CISOs e executivos ajudará muito a melhorar a proteção e a resiliência de suas organizações”.
Mais em proofpoint.com
Sobre o Proofpoint A Proofpoint, Inc. é uma empresa líder em cibersegurança. O foco da Proofpoint é a proteção dos funcionários. Porque estes representam o maior capital para uma empresa, mas também o maior risco. Com um conjunto integrado de soluções de segurança cibernética baseadas em nuvem, a Proofpoint ajuda organizações em todo o mundo a interromper ameaças direcionadas, proteger seus dados e educar os usuários corporativos de TI sobre os riscos de ataques cibernéticos.