Siga estes passos para mitigar os riscos operacionais.

O risco operacional, definido como o risco de perdas causadas por interrupção das operações de uma organização ou falhas em pessoas, processos ou tecnologia, é uma preocupação fundamental para equipes de segurança global e seguradoras. Ransomware e esquemas de phishing continuam apresentando riscos significativos. Embora as violações de dados por ransomware tenham diminuído 16% do terceiro trimestre de 2022 para o quarto trimestre de 2021, dados do mercado de seguros cibernéticos e de erros e omissões (E&O) mostram que no primeiro trimestre de 2023 houve um aumento no ransomware e a frequência de eventos aumentou em 49%. O phishing e o spear phishing também aumentaram significativamente no início de 2023, de acordo com a equipe de segurança cibernética da Aon. A sofisticação dessas técnicas torna mais fácil para os atacantes se disfarçarem e mais desafiador para as vítimas distinguirem o que é legítimo do que é ilegítimo.

As organizações devem planejar para o pior cenário de ataque. Por exemplo, o que acontece se a rede da empresa ficar completamente inativa? Como o negócio será apoiado e sustentado? A empresa possui um modelo de resiliência capaz de gerenciar esse processo? Como a empresa manterá os clientes em segurança, mesmo que isso represente custos em oportunidades de negócio? Essas perguntas são componentes críticos do planejamento de continuidade dos negócios (BCP) e da gestão de continuidade dos negócios (BCM). Os dados do CyQu da Aon revelaram que, em todas as regiões, o nível de BCM dos clientes permaneceu estável entre 2020 e 2022 e está em um nível básico. É necessário mais foco no planejamento de cenários de interrupções operacionais. Embora seja fundamental implementar controles técnicos na empresa para evitar ransomware, igualmente importante é a preparação para interrupções em todas as operações comerciais.

As organizações devem planejar para o pior cenário de ataque. Por exemplo, o que acontece se a rede da empresa ficar completamente inativa? Como o negócio será apoiado e sustentado? A empresa possui um modelo de resiliência capaz de gerenciar esse processo? Como a empresa manterá os clientes em segurança, mesmo que isso represente custos em oportunidades de negócio? Essas perguntas são componentes críticos do planejamento de continuidade dos negócios (BCP) e da gestão de continuidade dos negócios (BCM). Os dados do CyQu da Aon revelaram que, em todas as regiões, o nível de BCM dos clientes permaneceu estável entre 2020 e 2022 e está em um nível básico. É necessário mais foco no planejamento de cenários de interrupções operacionais. Embora seja fundamental implementar controles técnicos na empresa para evitar ransomware, igualmente importante é a preparação para interrupções em todas as operações comerciais.

Resultados de dados sobre os Controles de Bandeira Vermelha Suplementares para Ransomware: Relatório dos Clientes da Aon.

Os clientes relataram uma melhoria agregada na implementação de controles críticos em 2022 em relação a 2021, em relação a esses controles priorizados pelas seguradoras. Nos Estados Unidos, as indústrias que relataram o progresso mais significativo nos controles críticos de TI foram a construção (+10%), manufatura (+9%) e finanças e seguros (+7%). Para se manterem competitivas globalmente, as empresas de manufatura estão migrando para processos mais digitalizados e integrados de Internet das Coisas (IoT), tanto dentro das fábricas quanto em suas cadeias de suprimentos, o que está relacionado com esse compromisso com a maturidade do risco operacional. A indústria da construção é semelhante. Muitas empresas começaram a usar tecnologias IoT para aprimorar a segurança no local de trabalho e gerenciar o progresso. Essa digitalização amplia a superfície de ataque. As equipes de construção também migraram dos fluxos de trabalho em papel para a nuvem, introduzindo novas vulnerabilidades e oferecendo uma excelente oportunidade para ransomware e esquemas de phishing. Na região EMEA e no Reino Unido, os dados de 2022 mostraram que as indústrias de manufatura e construção têm menor sofisticação na maturidade dos controles críticos de TI, sendo que a construção relatou deficiências em mais da metade desses controles.

As organizações concentraram seus esforços em reforçar os controles críticos de backup em 2022, com 61% dos controles implementados em 2022 em comparação com 55% em 2021. No entanto, ao analisar os dados de forma mais detalhada, revela-se uma lacuna. Quase 90% das empresas nos Estados Unidos relataram não armazenar backups na nuvem, e 70% não armazenam backups fora do local ou não têm backups imutáveis. A segurança dos backups continua sendo uma preocupação prioritária, e com razão. O ransomware evoluiu para atacar os próprios backups, aumentando o risco dos dados. Backups imutáveis são essenciais para empresas que dependem da segurança e integridade dos dados pelos quais são responsáveis. Somente os backups imutáveis fornecem uma cópia limpa e recente dos dados, que permite uma recuperação rápida e uma proteção eficiente.

A resiliência dos negócios continuou sendo uma preocupação prioritária para os clientes em 2022. As seguradoras passaram de perguntas simplistas de caixa de seleção, como perguntar se a organização possui backups, para perguntar como é a sua resiliência. As empresas devem comprovar que seus processos de negócios podem suportar o impacto de uma violação cibernética. Os clientes das indústrias de manufatura (67% vs. 59% em 2021) e construção (66% vs. 55% em 2021) relataram a melhoria mais significativa nos controles críticos relacionados à resiliência. Ao examinar as diferenças entre o tamanho das empresas, as empresas de médio porte e as pequenas e médias empresas relataram mais frequentemente a falta de controles de resiliência dos negócios em comparação com as empresas de grande porte e multinacionais. No entanto, essa tendência se reverteu para a segurança de endpoints, onde as ferramentas de detecção e resposta de endpoints não cobrem todos os pontos de extremidade de tecnologia da empresa e das empresas multinacionais. De forma alarmante, mais da metade das organizações clientes relataram a falta de exercícios de simulação como parte do planejamento de continuidade dos negócios, e mais de um terço relatou a falta de planejamento de resposta a incidentes.