O principal investimento que as empresas têm de fazer para responder para responder ao aumento significativo do risco cibernético é na literacia, para criarem uma cultura de segurança que ajude a minimizar oportunidades para incidentes. O conhecimento é a base em que assentarão as soluções tecnológicas.
“A literacia é fundamental, pois o reconhecimento de que a cibersegurança é uma questão da maior importância para a atividade das empresas, e para a continuidade do negócio, terá de ser o primeiro passo para se consciencializarem das suas fragilidades e da necessidade de aumentar os níveis de cibersegurança”, diz ao Jornal Económico (JE) o presidente da Associação Empresarial de Portugal, Luís Miguel Ribeiro.
Isto é verdade para todo o tipo de empresas, independentemente do tamanho, maturidade, e disponibilidade para o risco, mas para as pequenas e médias empresas (PME) é essencial.
“A AEP tem vindo a aumentar a oferta de ações de formação nestas áreas para as empresas, ações essas que têm tido uma procura crescente por parte do tecido empresarial”, diz Luís Miguel Ribeiro. “Mesmo assim, temos a perceção de que ainda há muitas empresas que, apesar de considerarem a cibersegurança como uma preocupação, não estão cientes sobre o que devem fazer para se posicionarem de forma mais segura nas questões digitais”, acrescenta.
“Investir na formação das pessoas para antecipar ou evitar comportamentos de risco, planos de continuidade de negócio atualizados, backups regulares, autenticação forte, são bons pontos para começar” a dar resposta ao aumento do risco, aponta Jorge Libório, partner e Cybersecurity Leader da EY.
A necessidade de conhecimento não se esgota, no entanto, na sensibilização para o risco cibernético e na formação, tanto dos colaboradores como da gestão de topo. “As empresas deverão começar por mapear claramente os seus ativos críticos e inventariá-los. Dependendo da sua criticidade e prioridade, deverão ser adotadas medidas e controlos proporcionais ao risco identificado”, diz Jorge Libório.
Temas como a gestão da continuidade de negócio, implementação de princípios zero trust, o que significa nunca confiar em dados históricos ou contextos passados e verificar sempre a necessidade de novos acessos, a formação, assim como seguir boas práticas de cibersegurança, como a utilização de autenticação multifator e correção de vulnerabilidades, deverão ser prioridades.
Libório aponta que quadros como a ISO 27001 (norma internacional de referência para um sistema de gestão de segurança da informação), o NIST CSF (guia para gestão de cibersegurança para a indústria, entidades públicas e outras organizações), ou até mesmo o Quadro Nacional de Referência de Cibersegurança poderão ser utilizados como base para a identificação, não só dos requisitos, mas também dos controlos a implementar.
Processo em curso
O processo de adaptação tem de ser contínuo, não termina. “Precisamos de adaptar continuamente a nossa postura, ferramentas e estratégias”, referem ao JE os responsáveis da Agência da União Europeia para a Cibersegurança (ENISA, no acrónimo em inglês). E aqui entram as parcerias, o unir forças. Não se trata unicamente da colaboração entre os Estados-membros da UE, as instituições europeias e os setores público e privado, que a ENISA identifica como “vital para enfrentar as ameaças emergentes no mundo interligado de hoje”, mas também na capacidade das empresas recorrerem ao mercado para colmatar limitações.
“Para atividades de monitorização e mesmo compliance, regimes de outsourcing, num modelo as a service, podem ser uma forma mais efetiva e eficiente de endereçar o risco”, refere Libório.
Rui Guedes Henriques, partner de Managed Services da EY reforça esta mesma ideia: “Num contexto em que as ameaças cibernéticas evoluem a um ritmo acelerado, é essencial que as empresas adotem proactivamente uma postura preventiva e colaborativa”, diz. Ou seja, preparar para os desafios da cibersegurança não passa apenas por investir em tecnologia, mas também por adotar modelos operacionais que promovam a partilha de recursos técnicos, como infraestrutura, soluções de monitorização e resposta a incidentes, competências especializadas e intelligence como indicadores de ameaça e boas práticas.
“Neste contexto, oc Cyber Managed Services assumem um papel estratégico na forma como as empresas enfrentam os riscos cibernéticos. Ao recorrer a parceiros com experiência comprovada, é possível garantir uma proteção robusta, escalável e adaptada à complexidade do ambiente digital atual”, afirma. “Esta abordagem permite às organizações focarem-se no seu negócio core, enquanto beneficiam de uma vigilância permanente, evitam investimentos excessivos, obtêm uma redução de custos operacionais, uma maior agilidade na gestão de incidentes e uma resposta mais eficaz e contínua às exigências da segurança digital”, acrescenta.
