O Fórum Econômico Mundial publica anualmente o ranking das maiores ameaças aos negócios no curto e longo prazos. No ranking de 2024, a insegurança cibernética aparece na quarta posição no curto prazo e, no longo prazo, aparece em oitavo lugar. A ameaça representada pela insegurança cibernética varia em intensidade de acordo com o segmento em que cada empresa atua e é, sem dúvida, crítica para empresas de tecnologia e de base digital.
A produção intensiva de propriedade intelectual, a dependência de dados como matéria-prima e a infraestrutura física para rodar as soluções são peculiaridades do segmento de tecnologia da informação e serviços e são fatores determinantes para a exposição das empresas do setor aos riscos de cibersegurança.
As ameaças digitais são especialmente maiores para o segmento das TICs e empresas de base digital também por conta da responsabilidade jurídica das empresas desse segmento por vícios de produto e serviços que possam vir a prejudicar os consumidores e clientes empresariais. Os primeiros pela desproporcional vulnerabilidade na relação com essas empresas e os demais pela natureza dos danos experimentados, que podem representar a necessidade de ressarcimento de lucros cessantes por paradas produtivas, por exemplo.
Outra questão é que, em geral, quem tem time técnico focado na produção dos produtos e serviços pensa que está bem servido de conhecimento adequado para a solução de problemas, proteção contra ameaças externas e a conscientização do pessoal. Entretanto, pode ser que essa excessiva confiança seja justamente o comportamento de risco a ser explorado por potenciais invasores. Isso porque os conhecimentos em cibersegurança não são exatamente os mesmos que os conhecimentos necessários para o desenvolvimento, implementação e operação de aplicações e outras soluções de tecnologia.
A mão-de-obra em tecnologia da informação é tão variada e tão multidisciplinar que raramente quem olha de fora consegue compreender o que ocorre dentro de uma equipe técnica. Mesmo quem trabalha com TI pode precisar de ajuda para identificar o tipo de conhecimento necessário para a proteção da empresa. Faz parte da descoberta originária da gestão de riscos estratégicos olhar com cuidado para o conjunto de saberes necessário para formar uma camada de proteção adequada ao negócio.
Já quem integra o time de tomada de decisão de negócio precisa compreender que cibersegurança é tão essencial quanto o próprio funcionamento da solução oferecida ao mercado. Se a solução funciona, mas funciona com vulnerabilidades básicas, melhor nem entrar em produção. Daí a necessidade de se atentar para a segurança desde a concepção das soluções.
Quando se fala em segurança de uma aplicação, deve-se considerar a hospedagem, os meios pelos quais a solução será acessada, as alçadas de administração, os dispositivos que vão acessá-la, os perfis de acesso dos usuários finais, os tipos de transações realizados, enfim, todo o cenário futuro de produção da solução deve ser desenhado considerando suas potenciais vulnerabilidades.
A segurança deve ser considerada ao longo de todo o ciclo de vida da aplicação. A começar pela delimitação do escopo de desenvolvimento, a segurança deve ser prevista como requisito essencial, sobretudo para aplicações desenvolvidas para transações financeiras e mercados regulados. Se a aplicação transaciona valores em dinheiro ou quaisquer outros ativos financeiros, há chances altas de que alguma regra de segurança prevista em legislação ou regulação seja aplicável e deva ser considerada como requisito desde a concepção.
Durante o desenvolvimento da aplicação, é recomendável que módulos de segurança sejam incluídos, quer sejam soluções integradas de parceiros, quer sejam desenvolvidos pela própria equipe de projeto. É o exemplo dos sistemas antifraude, que atuam na identificação e bloqueio de potenciais transações fraudulentas realizadas através da aplicação.
Na fase de teste, é recomendável considerar a possibilidade de realizar avaliações de vulnerabilidades e testes de intrusão, os famosos pentests, que simulam tentativas não autorizadas aos sistemas que fazem parte da solução. É melhor conhecer as vulnerabilidades antes da produção para evitar potenciais prejuízos, tanto para os clientes finais, quanto para o provedor da solução.
Durante o uso da solução, o provedor precisa pensar na disponibilização de suporte técnico para potenciais problemas envolvendo questões de segurança, além do suporte relativo às funcionalidades esperadas para a solução. Afinal, o cliente final não saberá identificar a natureza do incidente quando ele ocorrer. Em caso de desconhecimento dos conceitos básicos de segurança, é possível que nem o próprio provedor da solução seja capaz de reconhecer se a natureza do incidente é de segurança ou não.
Por fim, não se pode esquecer que as soluções são dinâmicas e podem vir a apresentar desafios de segurança no decorrer do uso. Isso sem contar com a crescente especialização dos agentes de ameaças cibernéticas, que conseguem encontrar brechas com mais facilidade à medida que escalam suas atividades. Para tanto, é essencial que uma boa operação de segurança seja armada e que os ativos críticos de TI sejam constantemente monitorados.
Se seu negócio é a oferta de soluções de tecnologia, a gestão estratégica de riscos deve considerar todo o ciclo de vida das aplicações que sua empresa produz. Caso contrário, abalos na disponibilidade, na integridade e na confidencialidade das suas soluções e dos dados nelas transacionados podem trazer impactos negativos importantes para a empresa, como a perda de contratos, danos reputacionais, gastos imprevistos com a correção de problemas e até processos judiciais com potencial necessidade de indenizar seus clientes por lucros cessantes e perdas e danos.
