Em um mundo de negócios digitalmente transformado e hiperconectado, todos os setores estão em grave risco de ataques cibernéticos. Mas uma estrutura robusta de riscos, seguros e gestão de sinistros podem ajudar a mitigar o impacto, conforme a StrategicRISK, publicação internacional voltada ao gerenciamento de riscos, que tratou do tema recentemente.
“As empresas de todos os setores confiam muito na tecnologia avançada, que apenas dez anos atrás poderia parecer algo de um filme de ficção científica. Invenções como inteligência artificial, internet das coisas (IoT), realidade virtual e drones transformaram a maneira como trabalhamos, vivemos e interagimos com o mundo.
De fato, os benefícios são abundantes – as empresas podem penetrar em mercados que antes estavam fora de seu alcance. A produtividade e a eficiência aumentaram, enquanto os custos de produção e operação diminuíram. Mas a desvantagem, é claro, é que as empresas nunca foram tão vulneráveis a riscos cibernéticos – e as conseqüências de tais ataques são mais difundidas do que poderíamos prever”, alerta a publicação.
Cuidados de saúde
A StrategicRISK destacou pesquisa recente da empresa de segurança Cyclance, que descobriu que o sistema de saúde está arcando com o peso dos ataques de ransomware, que cresceram três vezes mais no ano passado. O setor de Saúde agora recebe 34% das ameaças e, segundo a publicação, “isto não é algo surpreendente, já que os dados médicos são cada vez mais mantidos online, e os procedimentos e diagnósticos dependem fortemente de novas tecnologias. Tudo agora está conectado via internet.”
“Devido à natureza sempre crescente da invasão, as entidades relacionadas à saúde correm maior risco de comprometer os dispositivos conectados à internet, seja perdendo dados confidenciais ou tornando-se inoperáveis, possivelmente por meio de algum tipo de ataque”, declarou o vice-presidente da Allied World à StrategicRISK. “Uma interrupção no uso desses dispositivos críticos resultará em negócios perdidos e, possivelmente, algo pior.”
Fabricação e construção
O texto informa que não é difícil encontrar exemplos da escala de incidentes cibernéticos nos últimos anos. Os ataques do vírus WannaCry em 2017, lembra a StrategicRISK, infectaram milhares de computadores em todo o mundo e quase derrubaram o NHS, National Health System, serviço de saúde pública da Brã-Bretanha. Em maio, pesquisadores de segurança cibernética disseram ter criado um novo malware que os atacantes poderiam usar para atingir um candidato à presidência, a fim de tirá-lo de uma corrida eleitoral.
Naturalmente, a saúde não é o único setor que enfrenta riscos significativos. Fabricação e construção são duas outras indústrias que são particularmente vulneráveis, conforme a publicação. Uma pesquisa da Symantec mostrou que a manufatura estava entre as três principais indústrias-alvo de ataques de spear phishing, por exemplo.
De fato, ambos os setores dependem de tecnologias – máquinas inteligentes, sistemas de armazenamento e instalações de produção – em vários locais. Para Jason Glasgow, vice-presidente de Tecnologia, Privacidade e Práticas de Segurança de Rede dos EUA na Allied World, “dispositivos móveis como smartwatches e drones fornecem monitoramento em tempo real e coleta de dados, enquanto a realidade virtual pode criar simulações de projetos de construção. Essas tecnologias abrem um mundo de oportunidades de segurança, treinamento e eficiência, mas também dão aos atores mal-intencionados acesso potencial a informações valiosas”.
Essa “manufatura flexível”, de acordo com a StrategicRISK, é permitida pela “internet industrial” e espera-se que melhore a eficiência de produção e de recursos em 18% nos próximos cinco anos, além de reduzir os custos em 2,6% a cada ano, segundo a Symantec. No entanto, a interconectividade significa que as empresas são mais vulneráveis. Em particular, quaisquer ataques que causem atrasos substanciais na produção ou nos projetos provavelmente serão extremamente caros para as empresas de manufatura e construção.
A publicação destaca ainda que há também um risco significativo em torno do acesso que essas empresas geralmente têm aos dados confidenciais do cliente. Glasgow explica: “Propriedade intelectual comprometida, como especificações de construção e desenhos arquitetônicos, pode fornecer um roteiro para os criminosos obterem acesso a informações pessoais de identificação valiosas, incluindo contas financeiras e dados de funcionários.” Essas ameaças em evolução significam que todas as indústrias precisam gerenciar melhor os riscos apresentados pela transformação tecnológica.
Proteção
Uma maneira de se proteger contra essas ameaças, segundo a StrategicRISK, é através da cobertura de seguro, que indica estar evoluindo, para melhor. “Atualmente, as apólices podem proteger os negócios de qualquer coisa, desde a falta de controles de segurança, roubo de dados e interrupção de negócios de fornecedores de primeira e de terceiros devido a um ataque relacionado a cyber”.
“Como uma empresa-alvo, é crucial que você tenha cobertura de interrupção de negócios para interrupções cibernéticas. Outra cobertura cibernética em evolução é a interrupção contingente de negócios, que fornece cobertura para uma entidade não-alvo quando seus negócios são afetados pelo ataque a um de seus prestadores de serviços e / ou produtos”, afirma.
A StrategicRISK informa que há também uma expectativa crescente entre funcionários, clientes e reguladores de que as empresas devem mitigar as violações cibernéticas em primeiro lugar. A falha em obter a cobertura de seguro apropriada pode levar a multas caras (por exemplo, violação dos regulamentos GDPR) e a danos à reputação e perda de negócios.
“Nossa crescente dependência da tecnologia expõe todas as partes interessadas ao aumento do risco. As empresas podem atenuá-lo desenvolvendo planos de segurança de dispositivos móveis e violações cibernéticas e fornecendo treinamento adequado para todos os funcionários sobre medidas e responsabilidades de segurança cibernética”, conclui Glasgow.
“Algumas apólices cibernéticas oferecem suporte proativo e de gerenciamento de risco com valor agregado. Isso pode servir como um tremendo recurso, especialmente para empresas que não têm experiência em segurança da informação. Trabalhar com um agente de seguros que tenha experiência comprovada em segurança cibernética e familiaridade com os riscos exclusivos apresentados é a melhor maneira de as empresas garantirem que estejam adequadamente cobertas ”, orienta a publicação.
StrategicRISK dá cinco lições de segurança
A StrategicRISK orienta que as empresas a adotarem uma estratégia robusta de gerenciamento de riscos de segurança cibernética e aproveitem o tempo para entender as exposições, incluindo:
Acesso a informações confidenciais do cliente
Embora sua empresa não possa armazenar os tipos de informações pessoais que os hackers consideram desejáveis (por exemplo, cartões de crédito ou registros financeiros), você ainda pode ter acesso às informações confidenciais de seus clientes. A propriedade intelectual comprometida, como especificações de construção e desenhos arquitetônicos, pode fornecer um roteiro para os criminosos obterem acesso a informações de identificação pessoais valiosas, incluindo contas financeiras e dados de funcionários. Assim como qualquer outra empresa, se você tiver acesso a esse tipo de informação confidencial, estará vulnerável a phishing, ransomware e outras formas comuns de ataque cibernético.
Exposição à interrupção de negócios
Ataques cibernéticos podem resultar em interrupção de negócios, o que pode sair muito caro. Rupturas potenciais devem ser incorporadas em um plano de gerenciamento de riscos. Se ocorrer uma violação, as empresas devem ter um plano de contingência para garantir que os projetos não sejam atrasados.
Maior dependência da tecnologia
As empresas estão adotando cada vez mais novas tecnologias para melhorar a segurança e a eficiência. Tecnologias aplicadas em processos e segurança de sistemas corporativos oferecem inumeros benefícios, mas também abrem oportunidades para que agentes mal-intecionados possam ter acesso a dados importantes da organização em casos de ataques cibernéticos.
Responsabilidade de terceiros
Como fornecedores terceirizados para clientes, que também usam fornecedores terceirizados e subcontratados, as empresas estão expostas ao risco de responsabilidade de violação de partes interessadas por todos os lados. Um exemplo é o ataque cibernético de 2013 em um grande varejista americano, no qual um pequeno prestador de serviços de AVAC (manutenção de ar condicionado) sofreu uma violação de dados. Os hackers obtiveram acesso às credenciais de rede que o contratado usava para acessar remotamente a rede do varejista, resultando em uma violação das informações de cartão de crédito e débito para dezenas de milhões de clientes nos EUA. Este contratante poderia ter sido responsabilizado pelos danos sofridos pelos clientes.
Descobertas de reclamações
Reclamações decorrentes de violações são resultado de vários tipos de ataques, incluindo ransomware, phishing e engenharia social, em que criminosos enviam e-mails supostamente empregados ou parceiros de negócios confiáveis para obter informações confidenciais ou roubar dinheiro. Esses ataques podem ser de criminosos com motivações financeiras, concorrentes tentando roubar informações ou criminosos buscando criar caos por outras razões.
*Acesse o portal da Strategic Risk Global e confira o artigo original em Inglês