É possível proteger a informação quando os recursos são escassos? – #02 STRONG POINT.

É possível proteger a informação quando os recursos são escassos?

A segurança da informação começa na gestão de risco e dos recursos disponíveis.

A informação é hoje um dos ativos mais valiosos de qualquer organização, independentemente da sua dimensão ou setor de atividade. Todas dependem diariamente da disponibilidade, integridade e confidencialidade dos seus dados para manterem a sua atividade, protegerem os seus clientes e assegurarem a sua reputação. Mas apesar de todos reconhecerem a importância da cibersegurança e da proteção da informação, a realidade é que a maioria das organizações continua a enfrentar um problema transversal: a escassez de recursos.

Quando se fala em recursos escassos, pensa-se frequentemente apenas na falta de orçamento. Porém, a realidade é muito mais abrangente: faltam profissionais especializados, falta tempo para implementar medidas de Segurança, faltam competências técnicas dentro das organizações e, muitas vezes, falta até consciência do risco por parte da gestão. Proteger não significa eliminar totalmente o risco. Nenhuma organização, independentemente da dimensão do seu investimento, consegue garantir uma Segurança absoluta. O objetivo da Segurança da informação nunca foi impedir os incidentes, mas sim reduzir a probabilidade da sua ocorrência e minimizar os seus impactos. Esta mudança de paradigma é essencial para compreender que a gestão do risco é muito mais importante do que a simples aquisição de tecnologia.

Os incidentes mais graves ocorridos nos últimos anos demonstram que os orçamentos milionários, não garantem por si só, a Segurança da informação. Diversas organizações tecnologicamente avançadas sofreram ataques devastadores apesar dos elevados investimentos realizados. Em muitos casos, a causa esteve relacionada não com a falta de tecnologia, mas com falhas humanas, processos deficientes ou decisões de gestão inadequadas. Curiosamente, algumas pequenas e médias empresas conseguem atingir níveis de maturidade superiores aos de grandes organizações racionalizando os recursos disponíveis. Em vez implementarem todas as medidas disponíveis, concentram-se naquilo que realmente reduz o risco.

O primeiro investimento de qualquer organização tem de ser na sensibilização das Pessoas. Continuamos a assistir a situações em que Colaboradores clicam em mensagens de phishing, reutilizam palavras-passe, partilham credenciais ou enviam informação confidencial através de canais inseguros. A formação contínua representa por isso, um dos investimentos com maior retorno na área da Segurança da informação. E, contrariamente ao que se imagina, não necessita de ser dispendiosa: sessões curtas, campanhas de sensibilização, simulações de phishing e pequenas ações de comunicação interna conseguem alterar significativamente a cultura organizacional.

Outro erro frequente consiste em acreditar que proteger a informação implica adquirir as soluções tecnológicas mais sofisticadas do mercado. Naturalmente que a tecnologia desempenha um papel fundamental, mas apenas se responder aos riscos efetivamente identificados. Uma organização com recursos limitados beneficia muito mais de possuir cópias de Segurança testadas, autenticação multifator, uma boa política de gestão de acessos, atualizações regulares dos sistemas e uma monitorização básica tipo Cyberscan dos seus ativos, do que investir em soluções mais complexas que dificilmente conseguirá configurar, administrar ou manter. Na Segurança da informação, a simplicidade bem implementada supera frequentemente a complexidade mal gerida.

A gestão baseada no risco constitui outro princípio essencial. Quando os recursos são escassos, torna-se impossível proteger tudo com o mesmo nível de prioridade. É precisamente por isso que normas internacionais como a ISO 27001 ou metodologias de gestão de risco como a ISO 31000 defendem uma abordagem baseada na identificação dos ativos críticos e dos riscos mais relevantes. Nem toda a informação possui o mesmo valor. Nem todos os sistemas têm o mesmo impacto para o negócio. Nem todos os processos exigem o mesmo nível de proteção. Saber identificar aquilo que é verdadeiramente crítico permite direcionar os recursos disponíveis para onde produzem maior benefício.

Outro aspeto frequentemente negligenciado é a importância da preparação para resposta a incidentes. Muitas organizações concentram todos os esforços na prevenção e esquecem-se de preparar a resposta quando, inevitavelmente, ocorre um incidente. Ter procedimentos definidos, Equipas com responsabilidades claras, contactos atualizados, planos de comunicação, cópias de Segurança funcionais e exercícios periódicos pode reduzir drasticamente o tempo de recuperação após um ataque informático. A resiliência é hoje tão importante como a prevenção: a capacidade de uma organização mede-se não só pela aptidão para evitar ataques, mas também pela rapidez com que recupera. A escassez de recursos pode, além disso, estimular a inovação. A necessidade de fazer mais com menos favorece a automatização, os serviços partilhados, a computação em cloud e a adoção de ferramentas simples, maduras e bem mantidas, capazes de proporcionar níveis elevados de Segurança a custos reduzidos. A sua eficácia depende, porém, da escolha de soluções fiáveis, da atualização regular e de uma gestão adequada. Acima de tudo, este contexto obriga os responsáveis a avaliar continuamente onde cada euro investido permite reduzir mais o risco.

Nos próximos anos, desafios como a inteligência artificial, a crescente sofisticação dos ataques, a proliferação de dispositivos ligados à Internet e o aumento das obrigações regulatórias, como a Diretiva NIS 2, irão aumentar significativamente a pressão sobre organizações de todas as dimensões. Contudo, esta evolução não significa que apenas quem dispõe de grandes orçamentos estará protegido. A verdadeira diferença continuará a residir na qualidade da liderança, na cultura organizacional, na gestão do risco e na capacidade de tomar decisões fundamentadas.

Em última análise, proteger a informação quando os recursos são escassos não é apenas possível: é uma necessidade absoluta. A questão não é quanto dinheiro uma organização possui para investir, mas sim como escolhe investir os recursos de que dispõe. A Segurança da informação não começa com tecnologia. Começa com conhecimento, planeamento, responsabilidade e compromisso. São estes os recursos que, mesmo sendo intangíveis, produzem o maior retorno e permitem construir organizações verdadeiramente resilientes.

Num contexto em que as ameaças evoluem diariamente e os recursos dificilmente acompanharão esse ritmo, vencerão não as organizações que mais gastarem, mas aquelas que melhor compreenderem que a Segurança é, acima de tudo, uma questão de inteligência na gestão do risco e de utilização criteriosa dos recursos disponíveis.

Clique aqui para subscrever a newsletter STRONG POINT, disponível através da nossa página de LinkedIn.

Vasco Martins dos Santos – Diretor Consultoria de Risco.