Custo médio global de violações de dados atinge máximo histórico

As violações de dados estão mais dispendiosas, têm mais impacto do que nunca e o custo médio global de uma violação de dados atingiu um máximo histórico de 4,35 milhões de dólares entre as organizações. Os dados são da IBM Security, que divulgou o estudo anual Cost of a Data Breach Report.

Com estes custos a aumentarem quase 13% nos últimos dois anos, as conclusões sugerem que os incidentes podem estar a contribuir para o aumento dos custos de bens e serviços. De facto, 60% das organizações entrevistadas aumentaram os preços dos seus produtos ou serviços devido a estas quebras de segurança, num momento em que o custo dos bens já está a subir em todo o mundo devido à inflação e a problemas relacionados com a cadeia de valor.

A perpetuação dos ciberataques, também, está a dar algumas luzes sobre o efeito significativo que as violações de dados estão a ter nas empresas, com o estudo da IBM a identificar que 83% das organizações inquiridas sofreram mais do que uma violação de dados desde que foram criadas. Outro fator que aumenta ao longo do tempo são os efeitos pós-violações nestas organizações, que se prolongam muito tempo depois de ocorrerem, uma vez que quase 50% dos custos de violação são incorridos mais de um ano após a sua ocorrência.

Outras conclusões do relatório da IBM indicam que quase 80% das organizações de infraestruturas críticas estudadas ainda não adotam estratégias de zero trust, vendo os custos médios de violação aumentarem para 5,4 milhões de dólares – um aumento de 1,17 milhões de dólares em relação às que o fazem. Sendo que 28% de violações entre estas organizações foram ransomware ou ataques destrutivos.

As vítimas de ransomware identificadas no estudo que optaram por pagar as exigências de resgate dos atacantes reduziram apenas 610 mil dólares os custos médios de violação em comparação com aquelas que optaram por não pagar – sem incluir o custo do resgate. Considerando o elevado custo dos pagamentos de resgate, o custo financeiro pode aumentar ainda mais, sugerindo que simplesmente pagar o resgate pode não ser uma estratégia eficaz.

As organizações participantes que implementam totalmente IA de segurança e automação incorreram em média em 3.05 milhões de dólares a menos em custos de violação comparando com as organizações entrevistadas que não adotaram essa tecnologia – a maior economia de custos observada no estudo. Já 43% das organizações estudadas estão em fase inicial ou não começaram a aplicar práticas de segurança nos seus ambientes de cloud, observando mais de 660 mil dólares em média em custos de violação mais elevados do que as organizações inquiridas com segurança madura em todos os seus ambientes de cloud.

“As empresas precisam colocar as suas defesas de segurança no ataque e derrotar os invasores. É hora de impedir que o adversário alcance os seus objetivos e começar a minimizar o impacto dos ataques. Quanto mais  empresas tentam aperfeiçoar o seu perímetro em vez de investir em detecção e resposta, mais violações podem provocar o aumento do custo de vida”, afirma Charles Hendersen, Global Head of IBM Security X-Force. “Este relatório mostra que as estratégias certas aliadas às tecnologias certas podem ajudar a fazer toda a diferença quando as empresas são atacadas”, acrescenta.

O Cost of a Data Breach Report 2022 baseia-se numa análise aprofundada das violações de dados no mundo real, vividas por 550 organizações globalmente, entre março de 2021 e março de 2022. A investigação, que foi patrocinada e analisada pela IBM Security, foi conduzida pelo Ponemon Institute.

As preocupações com o ataque a infraestruturas críticas parecem estar a aumentar globalmente ao longo do último ano, com as agências de cibersegurança de muitos governos a pedirem vigilância contra ataques disruptivos. O relatório da IBM revela que o ransomware e os ataques destrutivos representaram 28% das violações entre as organizações de infraestruturas críticas estudadas, destacando como os atores de ameaças procuram fraturar as cadeias de valor globais que dependem destas organizações. Isto inclui serviços financeiros, empresas industriais, de transportes e de cuidados de saúde, entre outras.

Os dados notam que apenas 21% das organizações de infraestruturas críticas estudadas adotam um modelo de segurança de zero trust. A somar a isso, 17% das violações a organizações de infraestruturas críticas foram causadas por um parceiro de negócio ter sido inicialmente comprometido, destacando os riscos de segurança que os ambientes de excesso de confiança representam.

Mais, as empresas que pagaram pedidos de resgate tiveram menos 610 mil dólares em custos médios de violação em comparação com as que optaram por não pagar – sem incluir o valor do resgate pago. No entanto, ao contabilizar o pagamento médio do resgate, que segundo a Sophos atingiu os 812 mil dólares em 2021, as empresas que optarem por pagar o resgate poderão ter custos totais mais elevados - ao mesmo tempo que, inadvertidamente, estão a financiar futuros ataques de ransomware com capital que poderia ser alocado aos esforços de reparação e recuperação.

A persistência do ransomware, apesar dos esforços globais significativos para o impedir, é alimentada pela industrialização do cibercrime. A IBM Security X-Force descobriu que a duração dos ataques de ransomware das empresas estudadas mostra uma queda de 94% nos últimos três anos – de mais de dois meses para pouco menos de quatro dias. Os ciclos de vida de ataque exponencialmente mais curtos podem provocar ataques de maior impacto, uma vez que quem está a responder a estes inicidentes fica com janelas de oportunidade muito curtas para detetar e conter ataques. 

Com o "tempo para o resgate" a cair para uma questão de horas, é essencial que as empresas priorizem testes rigorosos aos seus manuais de resposta a incidentes (IR) com antecedência, reflete a IBM. Contudo, o relatório afirma que 37% das organizações estudadas que têm planos de resposta a incidentes não os testam regularmente.

O relatório também apresentou os ambientes de cloud híbrida como a infraestrutura mais prevalente (45%) entre as organizações estudadas. Com uma média de 3,8 milhões de dólares em custos de violação, as empresas que adotaram um modelo de cloud híbrida observaram custos de violação mais baixos em comparação com empresas com um modelo de cloud exclusivamente público ou privado, que tiveram, respetivamente, 5,02 milhões de dólares e 4,24 milhões de dólares, em média. De facto, os adotantes de cloud híbrida estudados foram capazes de identificar e conter violações de dados 15 dias mais rápido, em média, do que a média global de 277 dias para os participantes.

O relatório destaca que 45% das violações estudadas ocorreram na cloud, sublinhando a importância da segurança nesse ambiente. No entanto, 43% das organizações do relatório afirmaram que estão apenas numa fase inicial ou não começaram a implementar práticas de segurança para proteger os seus ambientes cloud, observando custos de violação mais elevados. As empresas estudadas que não implementaram práticas de segurança em todos os seus ambientes de cloud exigiram uma média de 108 dias a mais para identificar e conter uma violação de dados do que aquelas que aplicaram consistentemente práticas de segurança em todos os seus domínios.