Estratégia de segurança reativa representa um desafio significativo para CISOs

Nova pesquisa da F5 revela que apenas 51% das empresas têm uma estratégia de segurança de TI estabelecida

CINGAPURA – Hoje, durante a Semana Internacional de Cibersegurança de Cingapura, F5 Networks (NASDAQ: FFIV) divulgou um relatório abrangente sobre a evolução da função do CISO e as abordagens de segurança de TI adotadas por organizações em todo o mundo diante do atual cenário de ameaças em constante transformação. O relatório conclui que, à medida que a segurança de TI se torna cada vez mais prioritária, a influência dos CISOs nas empresas aumenta; no entanto, em muitas organizações, a estratégia de segurança ainda é predominantemente reativa e não está alinhada às funções de negócios.

Conduzido pelo Ponemon Institute, o estudo se baseia em entrevistas com profissionais seniores de segurança de TI de 184 empresas em sete países: Estados Unidos, Reino Unido, Alemanha, Brasil, México, Índia e China.

“Esta pesquisa oferece uma perspectiva única sobre como os CISOs estão atuando no desafiador ambiente atual”, afirmou Mike Convertino, diretor de Segurança da Informação da F5. “Está claro que os CISOs estão avançando na forma como conduzem a função de segurança e no papel de liderança que estão assumindo nas empresas. No entanto, em muitas organizações, a segurança de TI ainda não desempenha o papel estratégico e proativo necessário para proteger plenamente os ativos e se defender contra ataques cada vez mais sofisticados e frequentes.”

Principais conclusões

• Aumento da responsabilidade dos CISOs – Embora os CISOs tenham diferentes graus de influência sobre a alta administração de suas organizações, a maioria exerce um papel importante na gestão dos riscos de cibersegurança de suas empresas, e seu impacto está aumentando. Sessenta e oito por cento dos entrevistados afirmam que os CISOs têm a palavra final sobre todos os gastos com segurança de TI, enquanto um número ligeiramente menor (64%) diz que eles têm influência direta e autoridade sobre todas as despesas com segurança em suas organizações. Oitenta e sete por cento dos entrevistados afirmam que o orçamento de segurança de TI aumentou significativamente (18%), aumentou um pouco (29%) ou permaneceu inalterado (40%).
  
• Falta de alinhamento com os negócios – Uma estratégia de segurança de TI que abranja toda a empresa ainda é muito rara. Cinquenta e oito por cento dos entrevistados afirmam que a segurança de TI é uma função independente, e apenas 22% dizem que ela está integrada a outras equipes de negócios, enquanto 45% afirmam que sua área de segurança não tem linhas de responsabilidade claramente definidas. Setenta e cinco por cento dos entrevistados dizem que, devido à falta de integração com as áreas de negócios, disputas internas e problemas de isolamento entre departamentos exercem uma influência significativa (36%) ou alguma influência (39%) sobre as táticas e estratégias de segurança de TI.
  
• O reconhecimento da segurança como prioridade de negócios ocorre de forma reativa – Sessenta por cento dos entrevistados acreditam que suas organizações consideram a segurança uma prioridade de negócios, mas apenas 51% afirmam que sua organização possui uma estratégia de segurança de TI e, entre esses, somente 43% dizem que essa estratégia é analisada, aprovada e apoiada por outros executivos de nível C. Os resultados indicam que as mudanças nos programas de segurança são, em grande parte, reativas, sendo os vazamentos de dados relevantes (45%) e os ataques cibernéticos (43%) os dois principais eventos que chamam a atenção de outros altos executivos.
  
• Crises impulsionam a influência junto à liderança executiva – Sessenta e cinco por cento dos entrevistados afirmam que os CISOs se comunicam diretamente com os altos executivos, mas raramente essas conversas envolvem uma discussão estratégica sobre todas as ameaças à organização. Os entrevistados também reconheceram que a comunicação com os executivos sobre incidentes de segurança é limitada: 46% afirmaram que apenas violações de dados relevantes e ataques cibernéticos são comunicados ao CEO e ao conselho de administração, enquanto apenas 19% relatam a esse grupo todas as violações de dados.
  
• A IA é uma solução em potencial para as necessidades de pessoal – A escassez de profissionais de segurança de TI continua sendo uma grande preocupação para os CISOs. O número médio de profissionais de segurança de TI aumentará de 19 para 32 funcionários em tempo integral (ou equivalente) nos próximos dois anos, e quase metade dos entrevistados (42%) considera que sua equipe atual não é suficiente. Cinquenta e oito por cento afirmam ter dificuldade para contratar profissionais de segurança qualificados, sendo os maiores desafios identificar e recrutar candidatos qualificados (56%) e não conseguir oferecer salários compatíveis com o mercado (48%). Esses desafios estão levando as empresas a buscar outras soluções: metade dos entrevistados (50%) acredita que o aprendizado de máquina e a inteligência artificial podem suprir a falta de pessoal, e 70% acreditam que essas tecnologias serão importantes para suas funções de segurança de TI daqui a dois anos.

Sobre a F5

A F5 (NASDAQ: FFIV) torna os aplicativos mais rápidos, inteligentes e seguros para as maiores empresas, prestadores de serviços, governos e marcas de consumo do mundo. A F5 oferece soluções de nuvem e segurança que permitem às organizações adotar a infraestrutura de aplicativos de sua preferência sem abrir mão da velocidade e do controle. Para mais informações, acesse f5.com. Você também pode seguir @f5networks no Twitter ou visitar nossas páginas no LinkedIn e no Facebook para saber mais sobre a F5, seus parceiros e suas tecnologias.

F5 é uma marca comercial ou marca de serviço da F5 Networks, Inc. nos Estados Unidos e em outros países. Todos os demais nomes de produtos e empresas aqui mencionados podem ser marcas comerciais de seus respectivos proprietários.

###

Este comunicado à imprensa pode conter declarações prospectivas relacionadas a eventos futuros ou ao desempenho financeiro futuro que envolvem riscos e incertezas. Essas declarações podem ser identificadas por termos como "pode", "irá", "deveria", "espera", "planeja", "prevê", "acredita", "estima", "prediz", "potencial" ou "continuar", bem como pela forma negativa desses termos ou por termos semelhantes. Essas declarações são apenas previsões, e os resultados reais podem diferir substancialmente dos previstos nelas em razão de diversos fatores, incluindo aqueles identificados nos documentos apresentados pela empresa à SEC.