Com a temporada de lucros se aproximando, as organizações enfrentam uma batalha constante entre crescimento e eficiência. É um pêndulo de vai e vem que oscila entre mudanças macro, resultados comerciais, desafios e sucesso. As empresas estão continuamente questionando se devem acelerar os gastos com marketing, procurar maneiras de cortar custos e avaliar se seu orçamento atual está efetivamente voltado para gerar um retorno sobre o investimento (ROI) apropriado. Normalmente, em salas de diretoria e equipes de liderança, os sistemas gerais e administrativos (G&A) são considerados despesas gerais: um elemento de custo necessário para mitigar riscos e atender aos padrões de conformidade, em vez de um que gere um retorno.
As empresas geralmente têm um orçamento relativamente grande de TI e segurança, mas apenas um punhado de pessoas na organização normalmente sabe como esse orçamento é realmente usado. Infelizmente, ainda menos pessoas conseguem realmente identificar o ROI de cada parte da pilha que compila esse orçamento. Para empresas que tentam definir um orçamento de segurança cibernética apropriado , pensar no ROI não deve ser uma reflexão tardia, mas sim um ponto de partida. Gastar US$ 100.000 por ano pode parecer muito, mas é um bom investimento se evitar US$ 1 milhão em perdas anuais por ataques cibernéticos.
Sim, a segurança cibernética definitivamente vale o investimento. Aqui estão alguns motivos pelos quais é crucial investir em segurança cibernética:
- Proteção de Dados Sensíveis: Empresas e indivíduos armazenam uma quantidade cada vez maior de dados pessoais e sensíveis online. Investir em segurança cibernética ajuda a proteger esses dados contra acesso não autorizado, roubo e uso indevido.
- Prevenção de Ataques Cibernéticos: A cada ano, o número e a sofisticação dos ataques cibernéticos aumentam. Investimentos em segurança cibernética ajudam a prevenir esses ataques, minimizando o risco de interrupções nos serviços, roubo de informações ou danos à reputação.
- Conformidade Regulatória: Muitas indústrias são regulamentadas por leis que exigem proteção adequada de dados. Investir em segurança cibernética ajuda as empresas a cumprir esses requisitos legais e evitar penalidades.
- Continuidade dos Negócios: Um incidente de segurança cibernética pode interromper operações comerciais, causar perda de receita e prejudicar a confiança dos clientes. Investir em segurança ajuda a garantir a continuidade dos negócios mesmo após um incidente.
- Reputação da Marca: A confiança dos clientes é crucial para qualquer negócio. Um vazamento de dados ou outro incidente de segurança pode danificar gravemente a reputação de uma marca. Investir em segurança cibernética demonstra compromisso com a proteção dos dados dos clientes.
- Inovação Segura: À medida que as empresas adotam tecnologias emergentes como IoT (Internet das Coisas) e IA (Inteligência Artificial), os riscos de segurança aumentam. Investimentos em segurança cibernética permitem a inovação de maneira segura e sustentável.
- Redução de Custos a Longo Prazo: Embora o investimento inicial em segurança cibernética possa parecer significativo, os custos associados a um incidente de segurança podem ser muito maiores. Investir em medidas preventivas pode resultar em economia a longo prazo.
Por que a segurança cibernética é imune à recessão
Empresas de todos os tamanhos são suscetíveis a ataques cibernéticos, não importa quantas camadas de defesa tenham em vigor. De acordo com uma pesquisa da Harvard Business Review, organizações com 10.000 ou mais funcionários normalmente mantêm quase 100 ferramentas de segurança — mas, apesar disso, até mesmo empresas globais bem estabelecidas continuam a ser vítimas de ataques cibernéticos. A triste verdade é que simplesmente não é possível impedir 100% dos ataques. Como resultado, a maioria das organizações está começando a mudar seu pensamento da prevenção para um foco em limitar o dano potencial que um ataque pode causar e entender melhor onde estão suas vulnerabilidades reais.
CIOs, CISOs e o restante de uma equipe de liderança são os responsáveis finais por proteger os ativos de suas empresas. As organizações gastam milhões de dólares em segurança cibernética anualmente, já que o mercado geral de segurança está caminhando para US$ 300 bilhões em mercado total endereçável (TAM). Com isso em mente, os CISOs estão buscando mais flexibilidade de orçamento para garantir que estejam atingindo as metas de suas empresas. À medida que o número de ataques cibernéticos aumenta e esses ataques se tornam mais sofisticados, muitos CISOs ainda lutam para responder a perguntas básicas sobre se suas empresas são seguras e quão bem protegidos seus ativos realmente estão.
Para responder com precisão a essas perguntas, os CISOs precisam ser capazes de medir e demonstrar continuamente a eficácia cibernética para a liderança. Eles precisam ilustrar riscos, validar controles, entender exposições mapeadas para estruturas de segurança e racionalizar gastos com segurança enquanto gerenciam custos. As boas notícias para as equipes de segurança? A segurança cibernética sempre será crítica para as empresas. Mesmo em tempos mais difíceis, as empresas sempre precisarão investir em soluções de segurança cibernética para manter seus dados e outros ativos seguros. Contanto que as equipes de segurança possam usar dados para justificar quais soluções são essenciais para suas operações, a segurança cibernética é efetivamente à prova de recessão.
Estabelecendo um plano de jogo de orçamento de segurança cibernética
Com os requisitos de relatórios lançados recentemente pela Security Exchange Commission (SEC) para lidar com incidentes cibernéticos, os registrantes devem divulgar no novo Item 1.05 do Formulário 8-K qualquer incidente de segurança cibernética que a SEC determine ser material. As empresas também devem descrever os aspectos materiais da natureza, escopo e momento do incidente, juntamente com seu impacto no registrante. As divulgações do Formulário 10-K e do Formulário 20-F serão devidas a partir dos relatórios anuais para os anos fiscais que terminam em ou após 15 de dezembro de 2023. As divulgações do Formulário 8-K e do Formulário 6-K serão devidas a partir do último dos 90 dias após a data de publicação no Federal Register ou 18 de dezembro de 2023.
Essas informações não aparecem magicamente, e coletá-las requer ter os recursos certos em vigor não apenas para detectar potenciais incidentes de segurança, mas documentar efetivamente tanto o curso traçado pelo invasor quanto os esforços de mitigação realizados pela organização. Isso significa que é essencial que as organizações tenham visibilidade total em seus ambientes digitais, com recursos de monitoramento contínuo que possam detectar e documentar mudanças conforme elas ocorrem. Esses recursos de visibilidade e monitoramento contínuos não apenas permitem que as empresas sigam novas diretrizes de conformidade, mas também ajudam a estabelecer uma base sólida sobre a qual construir um programa de segurança cibernética bem-sucedido. Ao mapear efetivamente seus ambientes digitais e testá-los para vulnerabilidades conhecidas, as organizações podem ter uma visão mais precisa de seu perfil de risco exclusivo e entender melhor as etapas que precisam seguir para melhorar sua postura de segurança.
Na prática, isso significa que os líderes devem primeiro fazer um inventário de seus ativos de dados e seu valor para a empresa. Em seguida, eles devem considerar o que precisam fazer para cumprir com as regulamentações do setor que podem se aplicar aos seus negócios, como a HIPAA da área da saúde ou o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia. Eles precisam de novas soluções para permitir visibilidade adicional? Proteções de endpoint mais fortes ? Recursos expandidos de gerenciamento de identidade? Depois que tiverem um entendimento firme de quais são seus objetivos e as etapas necessárias para alcançá-los, os líderes devem analisar qual é o orçamento geral de TI de sua empresa. Se o que uma empresa precisa é de cerca de 20-25% ou menos do seu orçamento geral de TI, então você provavelmente tem um número útil para começar. Depois que isso for concluído, é hora de se aprofundar na avaliação e verificação do que está funcionando e do que não tem ROI. Só porque uma empresa gasta dinheiro não significa que o dinheiro está sendo gasto nos lugares certos.
Alinhando a segurança com os negócios
Essa responsabilidade recairá amplamente sobre os ombros do CISO ou do CTO, e eles precisarão ser capazes de efetivamente declarar e demonstrar seu caso ao CFO, COO, CEO e outras partes interessadas. Dado que a maioria dos líderes empresariais tende a pensar em termos de como suas decisões impactam os resultados financeiros do negócio, é importante ser capaz de articular adequadamente o ROI que os investimentos em segurança cibernética podem ter. Quer esses retornos venham na forma de eliminação de soluções redundantes, simplificação de processos de segurança ou prevenção de violações dispendiosas, enquadrar as coisas em um contexto empresarial é a maneira mais eficaz de garantir que os líderes de segurança e os tomadores de decisão empresariais possam se alinhar em suas iniciativas.
Em resumo, a segurança cibernética não é apenas uma medida preventiva, mas uma necessidade crítica para proteger dados, operações comerciais e a reputação da marca. Portanto, o investimento em segurança cibernética deve ser considerado uma prioridade para empresas e indivíduos que operam no ambiente digital de hoje.
