Porque é que uma cultura de cibersegurança é essencial no ambiente empresarial atual?

À medida que o cenário de ameaças cresce, a cibersegurança tornou-se um problema importante para as empresas de todos os sectores. Isto é especialmente verdade para os sectores que lidam com dados sensíveis. Num mundo cada vez mais ligado, as ameaças informáticas estão a multiplicar-se e a tornar-se mais sofisticadas ao longo do tempo. Dado que o erro humano está na origem da maioria das violações da segurança informática, é imperativo implementar uma cultura de cibersegurança sólida na sua empresa.

A importância da cibersegurança para as empresas

Num mundo em que a informação se tornou um ativo estratégico, as empresas são particularmente vulneráveis a ataques de cibercriminosos. Os dados pessoais, financeiros, económicos e estratégicos são agora considerados o “ouro negro” do nosso século. Uma falha na cibersegurança pode ter consequências devastadoras, desde a violação de dados até ao roubo de segredos comerciais.

Paralelamente, os ciberataques podem acarretar custos consideráveis para as empresas. As despesas decorrentes da reparação, do restabelecimento dos sistemas, das coimas regulamentares, dos danos à reputação e dos litígios com as partes interessadas estão longe de ser negligenciáveis.

Atualmente, a cibercriminalidade tem a taxa de crescimento mais rápida a nível mundial, especialmente desde o início da pandemia de Covid-19. Os piratas informáticos são também cada vez mais hábeis e sofisticados, utilizando várias tácticas de phishing, ransomware e engenharia social. A isto acresce a complexidade dos sistemas de informação das empresas, combinando redes internas e aplicações antigas.

Para se protegerem dos vários riscos cibernéticos, as organizações têm de estar preparadas para agir. Depois de ter a segurança técnica sob controlo e de implementar sistemas de gestão da segurança da informação, o próximo passo é considerar atentamente os factores humanos e organizacionais. E para isso, nada melhor do que uma sólida cultura de cibersegurança.

O que é uma cultura de cibersegurança?

De acordo com um inquérito recente da Verizon intitulado “2023 Data Breach Investigations Report”, o erro humano está envolvido em 74% das violações de segurança, seja através de engenharia social, erros ou utilização indevida^[1].  Os funcionários são um alvo fácil e muitas vezes preferido dos cibercriminosos. A segurança da empresa pode ser comprometida por práticas que podem parecer inofensivas para os utilizadores. A abertura de um anexo de correio eletrónico infetado, um simples clique numa ligação maliciosa ou o descarregamento de um ficheiro comprometido podem ter consequências graves.

É por isso que a criação de uma cultura de cibersegurança empresarial se tornou imperativa. Isto significa sensibilizar todos os empregados, bem como outras partes interessadas, como fornecedores e prestadores de serviços, para os riscos cibernéticos e para as boas práticas a adotar preventivamente.

A formação de sensibilização para a cibersegurança ajudará os utilizadores a compreender as questões em jogo, mas, acima de tudo, ensiná-los-á a identificar os riscos, a adotar comportamentos seguros e, em última análise, a reagir rápida e eficazmente em caso de incidente. O objetivo é reduzir o risco de ciberataques e o seu potencial impacto. É assim que se cria uma cultura de cibersegurança eficiente e sustentável, em que a responsabilidade não cabe apenas às equipas dedicadas à cibersegurança e ao seu chefe de segurança da informação, mas a todos os membros da organização. Devidamente formados e sensibilizados para as ciberameaças, os empregados tornam-se então a melhor linha de defesa contra os hackers.

Principais dados

• Em média, cada funcionário recebe 14 mensagens de correio eletrónico malicioso por ano^[2];
• 80% dos funcionários utilizam o seu computador pessoal para trabalhar remotamente, apesar de a maioria estar equipada com um computador de trabalho^[3];
• Em mais de 1/3 das empresas, os funcionários contornam ou desactivam as medidas de segurança remota^[4].

Como implementar uma cultura de cibersegurança?

Uma cultura de cibersegurança eficaz e de longo prazo baseia-se em cinco princípios fundamentais.

1. Compromisso de gestão

O empenhamento da gestão é essencial para estabelecer uma cultura de cibersegurança. Os líderes devem dar o exemplo, seguindo as melhores práticas e apoiando as iniciativas de segurança. Isto envia uma mensagem clara aos empregados sobre a importância da cibersegurança e dos seus valores.

2. Sensibilização dos utilizadores

A segunda etapa consiste em sensibilizar toda a organização para a cibersegurança. O objetivo é fornecer às partes interessadas todas as informações essenciais sobre esta questão estratégica. Os utilizadores têm de ser informados das potenciais ameaças e das melhores práticas de segurança. A sensibilização pode ser feita através de formação, questionários e simulações.

3. Políticas de segurança

As empresas precisam de desenvolver políticas de segurança sólidas para orientar e governar as ações diárias dos funcionários. Estas actuam como salvaguardas em vários tópicos:

• Gestão de senhas;
• Controlo de acesso ao sistema;
• Gestão de dispositivos;
• Proteção de dados sensíveis;
•  

4. Monitorização e gestão de incidentes

A monitorização contínua da atividade de IT e a implementação de planos de gestão de incidentes são essenciais para detetar rapidamente as ameaças e responder de forma eficaz. As empresas precisam de estar preparadas para reagir em caso de incidente de segurança para minimizar os danos. Para envolver ainda mais os utilizadores, podem até incentivá-los a comunicar potenciais falhas de segurança.

5. Melhoria contínua

Obviamente, uma cultura de cibersegurança precisa de evoluir continuamente. As empresas devem avaliar regularmente as suas políticas, processos e conteúdos de formação para se adaptarem a novas ameaças e desenvolvimentos tecnológicos. Paralelamente, os departamentos de IT podem utilizar indicadores para avaliar a eficácia da sua cultura de cibersegurança (número de empregados formados, número de incidentes comunicados, etc.).

A implementação de uma cultura de cibersegurança empresarial tornou-se agora uma necessidade imperativa. Tendo em conta os custos potenciais dos ataques informáticos, a evolução das ameaças e a complexidade do ambiente informático, a questão é fundamental. Ao promover uma cultura de cibersegurança, as empresas adoptam uma abordagem proactiva e eficaz para reforçar a sua segurança e proteger os dados sensíveis. Em última análise, isto promove um ambiente de trabalho em que a vigilância e a preparação face às ciberameaças são parte integrante da rotina diária de todos.

^[1] Verizon, 2023 Data Breach Investigations Report 

^[2] Tessian, Must-Know Phishing Statistics: Updated 2022 

^[3] Kaspersky, Consumer IT Security Risks Report 2021  

^[4] Tessian, Must-Know Phishing Statistics: Updated 2022