Nunca foi tão importante para as empresas a preocupação com a cibersegurança. A transformação digital da economia e das empresas, com a crescente necessidade de estar sempre, aumentou o risco de exposição das vulnerabilidades dos seus bancos de dados.

Com o aumento do valor da informação, e por consequência dos dados, para o sucesso de um negócio, os sistemas corporativos têm se tornado alvo constante de ataques cibernéticos. Passou a ser comum ter preocupações com confidencialidade e garantia de controlo de acesso aos dados de cliente.

Sabemos que poucas empresas portuguesas têm um orçamento adequado, e na dimensão certa, para responder às necessidades de investimento em TI e, menos ainda, em segurança cibernética. O tecido empresarial português, de acordo com os dados da Pordata, é representado em 3,3% por pequenas, entre 11 e 50 empregados, num total aproximado de 43 mil empresas. Representando as microempresas, com menos de 10 empregados, 96% do total.

Apesar da importância e da necessidade de criar resiliência nos sistemas de informação de suporte ao negócio, ainda é uma realidade que o investimento em cibersegurança corporativa continua a ser abordado e debatido, ao nível da alta direção, como um custo de operação.

Independentemente do tamanho da empresa, o desafio é sempre definir quanto gastar e investir em segurança cibernética corporativa. Existem evidências de que é muito mais barato prevenir ataques cibernéticos, e criar resiliência na organização, do que reparar os danos causados por estes, quando ocorrem.

Como já referi em artigos anteriores, quando uma empresa é vítima de ataque cibernético, há danos relacionados com a contenção da ameaça. Mas há outra perda ainda maior: danos relacionados com a reputação e perda de negócios, seja por não adquirir novos clientes ou por perda de quota de mercado.

A cibersegurança não pode ser vista como um custo, não só pela importância de uma empresa manter os seus dados armazenados e seguros, pois isto é uma condição do garante de uma relação de confiança entre o cliente e a organização, mas também pela solidificação da posição da empresa no mercado.

Classificar o valor atribuído à Cibersegurança como um custo, é somente assumir a proteção contra fraudes de forma pontual, esperando pela chegada de momentos de crise para alguma ação corretiva de emergência, e retomando as operações normalmente assim que o problema é contornado. Esta conduta significa apostar numa estratégia que não representa uma solução efetiva e abrangente, visto que não consegue corrigir as vulnerabilidades existentes no negócio, aumentando mesmo as chances de ataques ainda mais severos no futuro.

O foco, nos dias de hoje, deve ser investir em cibersegurança corporativa como um diferencial de mercado, garantindo assim:

• O evitar do comprometimento dos dados
• A confidencialidade de informações críticas
• A transformação de sistemas e tecnologias de informação da empresa,
• A automatização de métodos de proteção de dados e de procedimentos de gestão e correção de incidentes.
• A rotina de produtividade do negócio, assegurando o funcionamento das atividades digitais da empresa,
• O bloquear da adulteração de informação
• E o facilitar a identificação de possíveis erros ou irregularidades nos sistemas.

Mas como definir quanto dinheiro deve ser investido em cibersegurança?

 E como fazer a gestão desse investimento?

Numa consulta à literatura especializada, os especialistas recomendam uma alocação do investimento em cibersegurança corporativa num valor que represente 10% a 15% do total do orçamento em TI, num período a 3 anos.

De acordo com um estudo da Deloitte e do Financial Services Information Sharing and Analysis, os bancos e outras empresas do sector de serviços financeiros gastam 6% a 14% do seu orçamento de TI em cibersegurança. Este é, no nosso entender, um bom parâmetro de referência considerando que o setor financeiro é um dos sectores onde a segurança de informação é um factor crítico, e as entidades bancárias são das instituições mais visadas em ataques cibernéticos e ameaças à segurança dos seus sistemas de informação.

A criação de um orçamento para investimento em cibersegurança corporativa, inicia-se desta forma:

• Levantamento do inventário dos activos
• Definição de um roteiro, alinhado com a legislação e regulamentação aplicado ao sector de actividade económica do seu negócio.
• Avaliação dos processos da organização relativos à gestão e operação dos sistemas de informação: os processos de armazenamento e cópia de segurança dos dados.
• Identificação de parceiros e fornecedores críticos na gestão da informação e operação dos sistemas, quantificando custos externos resultantes do seu envolvimento ou necessidades de renovação de contratação de serviços.

Concluída a avaliação interna das necessidades e âmbito, e tendo uma visão geral dos pontos fortes e fracos da empresa, a equipa tecnologias e sistemas de informação tem identificado o que precisa de ser mais bem protegido.

É o momento de estabelecer as prioridades e um plano de acção, assim como um plano de contingência e mitigação de riscos, utilizando até 50% do orçamento em cibersegurança corporativa, preparando a gestão do investimento numa abordagem de gestão de projeto.

Nas organizações com maior maturidade ao nível de gestão financeira e planeamento estratégico, a orçamentação para o investimento em cibersegurança corporativa pode ser acompanhada por uma análise do ROI da segurança cibernética. O ROI da segurança da informação é um rácio difícil de medir porque não se baseia em ganhos financeiros, mas na valorização de criação de valor pela prevenção de riscos e contenção de danos. Uma avaliação difícil já que as soluções de cibersegurança não trazem um aumento efetivo de receita, e visibilidade nos rácios financeiros da demonstração de resultados.

O valor do investimento em segurança da informação deve ser comprovado a partir de sua capacidade de proteger os ativos do negócio, mitigar riscos, evitar prejuízos de incidentes cibernéticos, evitar perdas intelectuais e financeiras e atender aos requisitos legais e às conformidades com a regulação.

A defesa dos investimentos em sistemas e tecnologias de informação, e em particular na cibersegurança corporativa, tem uma maior aderência e percepção pela análise e medição do risco de não investir.

Na Tecnologias Imaginadas podemos ajudar a encontrar esse rácio, ou o cálculo do investimento necessário em Cibersegurança mais adequado à sua empresa.

Com o nosso serviço de Consultoria em Cibersegurança, garantimos:

• Diagnóstico de segurança
• Aconselhamento de um roteiro para maturidade em cibersegurança,
• Análise de vulnerabilidades, que ajudem a determinar o seu orçamento ideal de segurança cibernética corporativa.

Fale connosco e comece já a proteger a sua empresa, trabalhadores e clientes.