Ransomware é o principal risco cibernético para as organizações

A Aon divulgou o 2021 Cyber Security Risk Report, que identifica os principais riscos cibernéticos enfrentados pelas organizações, ao mesmo tempo que analisa como estas estão a gerir estas ameaças ao nível da segurança cibernética. Da análise efetuada conclui-se que o ransomware se tornou o principal risco para seguradoras e segurados, tendo registado um aumento de 400% dos episódios de ataque cibernético entre o primeiro trimestre de 2018 e o quarto trimestre de 2020.

A par do crescimento da ameaça por ransomware, o estudo releva também a ainda escassa capacidade de resposta das empresas face a este risco. De acordo com as organizações inquiridas, apenas 31% das empresas afirma ter medidas de resiliência de negócio adequadas ao risco de ransomware. 

O 2021 Cyber Security Risk Report aponta ainda três outros riscos cibernéticos igualmente preocupantes, quer para as empresas visadas, quer para o setor segurador: a rápida evolução digital, o risco proveniente de terceiros e a regulamentação.

Sobre o primeiro ponto, as conclusões do estudo anual da Aon demonstram que apenas duas em cada cinco organizações estão preparadas a enfrentar ameaças emergentes da rápida transformação digital. Já segundo o CyberQuotient Evaluation (CyQu) da Aon, uma métrica que avalia a maturidade do risco cibernético em diferentes domínios das empresas, o mercado demonstra ainda alguma fragilidade ao nível da segurança de aplicações (apenas 17% dos inquiridos assume assegurar esta componente adequadamente), e ao nível do home office, com 40% das empresas a adotar novas políticas de gestão deste novo risco.

Para Marcos Oliveira, Cyber Solutions Manager da Aon Portugal, o cenário é preocupante: “à medida que assistimos ao avançar do processo de transformação digital de diversas organizações globais, e com base nos dados presentes neste novo estudo, conseguimos visualizar que estas mesmas empresas estão ainda longe de uma total resiliência face aos riscos do mundo cyber. Prova disso é o facto das práticas e tecnologias de gestão de risco de segurança cibernética ainda não serem formalizadas e do risco estar a ser gerido de uma forma ad hoc e reativa. Importa perceber que quanto mais avançamos no caminho da evolução digital, maiores e mais frequentes serão os riscos cibernéticos que iremos enfrentar, e por isso é crucial que as empresas desenvolvam uma estratégia de gestão do risco capaz de, mais do que responder ao risco, antecipá-lo”.

Relativamente ao risco proveniente de terceiros, o estudo revela que as organizações não estão prontas para avaliar e gerir estes riscos – só uma em cada cinco organizações relata ter adotado medidas de gestão de terceiros adequadas que objetivam supervisionar fornecedores. Já ao nível da regulamentação, o risco prende-se, sobretudo, ao nível da proteção de dados sensíveis, fator de grande relevo desde a implementação da política de RGPD em Portugal, mas que ainda assim menos de duas a cinco organizações a nível mundial referem ter níveis adequados de preparação para a segurança de dados.

Numa análise aos diferentes setores de atividade, o 2021 Cyber Security Risk Report revela que aqueles que são historicamente vistos como agregadores de dados, bem como as instituições financeiras e empresas de tecnologia, media e telecomunicações, são as que apresentam um desempenho superior à média global da indústria na análise dos quatro riscos cibernético. No caso das instituições financeiras, estas estão permanentemente sob vigilância constante dos reguladores e das leis de privacidade de dados, sendo este um setor experiente quando se trata da ameaça do risco cibernético. No entanto, a mudança para o trabalho remoto trouxe uma nova realidade para estes players: gerir e mitigar vulnerabilidades imprevistas. Por sua vez, os setores da tecnologia, media e telecomunicações estão a aumentar o foco na segurança cibernética, que se pode justificar pelas ameaças recentes de grande proporção que expõem vulnerabilidades em sistemas operacionais globais e cadeias de parceiros.

Ao nível das soluções, o relatório aponta vários caminhos, conforme o risco em questão, mas existe uma estratégia que converge quer ao nível dos riscos cibernéticos, quer em relação a outras ameaças com potencial de impactar os negócios: é essencial identificar os riscos e ameaças cibernéticas; mitigar os riscos de acordo com as melhores práticas de segurança cibernética; preparar-se e estar pronto para novos incidentes; considerar qual a parte do risco a transferir do balanço patrimonial através dos seguros, e, seguidamente, analisar as políticas atuais e disponíveis para garantir que novos riscos são cobertos.

Por fim, o mais recente estudo da Aon identifica aqueles que são considerados pelas empresas os riscos mais críticos no futuro: a inteligência artificial, os pagamentos alternativos, os planos de reforma, as cadeias de fornecimentos de tecnologia e a dark web. Sobre esta previsão, Marcos Oliveira esclarece que, “ainda que o futuro seja incerto ao nível do risco cibernético, uma vez que a evolução tecnológica avança à velocidade da luz, as organizações têm agora a oportunidade de se preparar para o amanhã, isto é, olhar para o futuro e para a constante mudança que o risco cibernético está a enfrentar. Novos riscos surgem diariamente e a monitorização dos mesmos é essencial, assim como conhecer os riscos que maior impacto podem trazer ao negócio, colocando os dados das organizações a descoberto”.