Falta de segurança de fornecedores aumenta custos das grandes empresas
Os incidentes de cibersegurança que afetam empresas por meio de fornecedores com quem elas compartilham dados se tornaram as violações de dados corporativos mais caras em 2021. É o que revela a edição mais recente do relatório anual de economia da segurança de TI, da Kaspersky.
O impacto financeiro médio desses eventos em grandes corporações chegou a US$ 2 milhões em 2021, tornando-se o tipo de incidente mais custoso.
Segundo a Kaspersky, ataques em que empresas internacionais são afetadas por meio de seus prestadores de serviços tornaram-se uma tendência. A empresa lembra que habitualmente os dados de negócios são distribuídos por vários terceiros, incluindo provedores de serviços, parceiros, fornecedores e subsidiárias.
A pesquisa indica que quase um terço (28%) das grandes organizações sofreram ataques envolvendo dados compartilhados com fornecedores. Esse número quase não mudou desde o relatório de 2020 (quando era 29%). O impacto financeiro desse formato também continua o mesmo do ano passado: US$ 2 milhões. Mas, naquele momento, estava em 13º lugar na classificação dos prejuízos médios de todas as formas de ataque.
“A gravidade dos ataques de cibersegurança destaca a necessidade de as organizações considerarem o risco de violações envolvendo dados compartilhados com fornecedores ao avaliar os requisitos de cibersegurança de suas empresas. A pandemia mudou o cenário das ameaças, e as organizações devem estar preparadas para se adaptar”, diz Evgeniya Naumova, vice-presidente executiva de negócios corporativos da Kaspersky.
Ela pontua que as empresas devem classificar os fornecedores com base no tipo de trabalho que fazem e na complexidade do acesso que recebem (se lidam ou não com dados sigilosos e infraestrutura), e aplicar requisitos de segurança correspondentes.
“As empresas devem garantir que compartilham dados apenas com terceiros confiáveis e estender os requisitos de segurança existentes aos fornecedores. Em caso de transferências de dados ou informações confidenciais, isso significa que devem ser solicitadas documentação e certificações (como SOC 2) dos fornecedores para confirmar que podem trabalhar nesse nível. Em casos de extremo sigilo, recomendamos realizar uma auditoria preliminar de conformidade do fornecedor antes de firmar qualquer contrato”, comenta Naumova.
Comparação
Outros tipos de ataque surtem menos impacto financeiro nas empresas, como ataques a serviços bancários online (US$ 938.000 dólares); infecção por malware em dispositivos de funcionários (US$ 871.000 dólares) e ataques dirigidos (US$ 788.000 dólares).
A boa notícia é que o impacto financeiro médio de qualquer ataque também diminuiu. Houve uma redução de 15% em relação aos resultados do ano passado: US$ 686.000 em 2021 vs. US$ 1 milhão em 2020, e caiu ainda mais em comparação com o número de 2017 (US$ 558 mil).
A Kaspersky acredita que isso se deve a investimentos anteriores vitoriosos em medidas de prevenção e atenuação para as empresas latino-americanas. Outra possibilidade é que o custo médio tenha sido afetado pelo fato de as empresas estarem menos propensas a informar violações de dados neste ano: 37% conseguiram evitar fazê-lo, em comparação com apenas 21% em 2020.
Além disso, avalia a Kaspersky, empresas financeiramente vulneráveis podem relutar em reservar tempo e dinheiro para uma investigação criminosa ou arriscar danos à sua reputação caso uma violação se torne pública.
