A RSA, divisão de segurança da EMC, divulga seu primeiro “Índice de Deficiências em Segurança Cibernética”, estudo sobre maturidade em segurança cibernética, realizada com mais de 400 profissionais de segurança em 61 países.
A pesquisa permitiu que os participantes avaliassem a maturidade de seus próprios programas de segurança cibernética utilizando o Cybersecurity Framework (CSF), do NIST, como parâmetro. A pesquisa oferece uma valiosa visão global da maturidade e das práticas de segurança em uma série de regiões, setores e tamanhos de organizações.
Embora geralmente se imagine que as grandes organizações têm os recursos para montar uma defesa cibernética mais substancial, os resultados da pesquisa indicam que o tamanho não é determinante na maturidade em segurança cibernética, e aproximadamente 75% de todos os participantes reportaram níveis insuficientes de maturidade em segurança.
“Essa pesquisa demonstra que os profissionais de segurança continuam a despejar grandes volumes de dinheiro em firewalls de última geração, antivírus e proteção sofisticada contra malware, na esperança de bloquear ameaças avançadas. Apesar dos investimentos nessas áreas, contudo, as organizações ainda estão comprometidas, como sempre. Precisamos mudar a forma de pensar em segurança, e isso começa reconhecendo que nenhum produto resolverá tudo, e que é preciso dar mais atenção ao monitoramento e à resposta”, diz Amit Yoran, presidente da RSA.
Na avaliação da RSA, a falta de maturidade geral não surpreende, pois muitas organizações pesquisadas relataram incidentes de segurança que resultaram em perda ou dano em suas operações nos últimos 12 meses. O recurso mais maduro revelado na pesquisa geral estava na área de “Proteção”.
Os resultados da pesquisa indicam que os gastos e o foco em segurança continuam desalinhados e orientados por enfoques desatualizados, já que as organizações continuam a se concentrar pesadamente em controles de segurança voltados para prevenção, em vez de detecção e resposta. Além disso, a maior fraqueza das organizações pesquisadas é a capacidade de quantificar, avaliar e minimizar os riscos de segurança cibernética, com 45% delas descrevendo seus recursos nessa área como não existentes ou improvisados e apenas 21% informando que são maduras nessa área. Esse déficit torna difícil ou impossível priorizar a segurança e o investimento, atividades fundamentais para qualquer organização que esteja buscando aprimorar seus recursos de segurança.
Contrariando as expectativas, a pesquisa demonstra que o tamanho de uma organização não é indicador de maturidade. Na verdade, 83% das organizações pesquisadas e que têm mais de 10 mil funcionários, classificaram seus recursos como menos do que “desenvolvidos” em maturidade geral. Esse resultado sugere que, apesar de terem mais recursos, as organizações talvez estejam mais concentradas em amadurecer controles de segurança menos impactantes ou, por serem alvos mais visados, reconhecem mais do que a maioria a necessidade de contar com recursos mais maduros.
Os resultados também foram contrários às expectativas nas organizações de serviços financeiros, um setor frequentemente citado como líder em termos de maturidade em segurança devido ao fato de enfrentar um volume maior, e mais sofisticado, de ataques cibernéticos do que outros setores. No entanto, apesar do senso comum, as organizações de serviços financeiros pesquisadas não se avaliam como o setor mais maduro, com apenas um terço se classificando como bem preparado. Os operadores de infraestrutura essencial, que são o público-alvo original do CSF, precisarão fazer avanços significativos em seus níveis atuais de maturidade.
As companhias do setor de telecomunicações relataram o nível de maturidade mais alto, com 50% dos participantes tendo desenvolvido recursos ou se beneficiado deles, enquanto o governo ficou em último lugar entre os setores pesquisados, com apenas 18% dos participantes classificando-se como desenvolvidos ou beneficiados.
Apesar do fato de o CSF ter se originado nos Estados Unidos, a maturidade informada das organizações nas Américas ficou abaixo da das regiões APJ e EMEA. As empresas da região APJ relataram as estratégias de segurança mais maduras, com 39% avaliadas como desenvolvidas ou beneficiadas em maturidade geral, enquanto apenas 26% das organizações da região EMEA e 24% das organizações das Américas se classificaram como tal.
Acesse os outros sites da VideoPress
Portal Vida Moderna – www.vidamoderna.com.br
Radar Nacional – www.radarnacional.com.br
