Cibersegurança: Evolução é real mas o caminho ainda é longo

A cibersegurança é hoje – ou pelo menos devia ser – um tema central para qualquer organização. Quanto mais se intensifica o caminho rumo à digitalização total dos processos de negócio e mais se materializa o potencial da transformação digital, mais se multiplicam as ameaças, as possíveis vulnerabilidades e as portas de entrada para possíveis problemas na organização. 

Internet das Coisas, Inteligência Artificial, Big Data, Computação Quântica… A cada dia parece haver uma nova (e boa) razão para reforçar a aposta na tecnologia, sob pena de perder terreno para a concorrência. 

A evolução tem sido tão expressiva que Rui Serapicos, managing partner da Cionet Portugal, afirma mesmo que nos dias que correm «o efeito dos negócios digitais é de tal maneira amplo e profundo – tanto em potenciais vulnerabilidades como em perímetro de exposição a ataques – que uma estratégia de cibersegurança tornou-se mais do que essencial, obrigatória». O que nem por isso significa que todas as empresas em Portugal já tenham uma. Muito pelo contrário.  

A maratona vai a meio 

Nos últimos anos a evolução tem sido significativa, no que se refere à consciência do problema. Este é um facto confirmado por vários indicadores e pela experiência de quem está há vários anos no terreno, mas continua a haver muito por fazer. 

Fazendo uma retrospetiva aos mais de 20 anos passados no sector, Orlando Fontan, leanchange manager, especialista em segurança e docente, recorda que «o roubo de informação e mesmo de dados de clientes era de tal forma que muitas das organizações iniciaram o processo de recrutamento de colaboradores com skills de cibersegurança», mesmo no ambiente de pouca sensibilidade para o tema e de grandes obstáculos para quem já trabalhava na área. 

A realidade foi mudando e «neste momento as organizações estão mais sensibilizadas e preparadas […] nas grandes empresas o tema cibersegurança já está hoje bem presente nas suas comissões executivas» garantindo uma boa visibilidade e uma resposta mais alinhada com as necessidades do negócio, contínua o responsável, mesmo admitindo que há ainda um longo caminho a percorrer. 

Iniciativas da sociedade civil têm impacto 

Jorge Pinto, presidente da AP2SI, partilha da mesma opinião e reconhece que houve uma progressão importante no país em torno deste tema na última década, muito influenciada, acredita o responsável, pela proliferação de estruturas na sociedade que abordam o assunto e ajudaram a melhorar a sua perceção. Incluindo a AP2SI neste leque, o responsável dá outros exemplos, como o do surgimento do Centro Nacional de Cibersegurança, de projetos como a Internet Segura e os Miúdos Seguros na Net, ou até a existência por parte do SIS, há vários anos, de um Programa de Segurança Económica para consciencializar as empresas dos riscos nos seus sectores. 

Leia também: Cibersegurança (ainda à) conquista de um papel principal nas empresas em Portugal

Mas mesmo com muito caminho já feito, é unânime que há muito caminho a percorrer. «Hoje em dia, a maioria das grandes organizações envolvidas em negócios digitais deveriam garantir a função crítica: responsável pelo risco digital. Mas na realidade isso não acontece, em parte por limitações orçamentais e por outro lado pela baixa visibilidade dos riscos de cibersegurança que as empresas têm», sublinha Rui Serapicos. Junta-se a dificuldade de acesso a especialistas de cibersegurança e estão criadas as condições para que muitas organizações continuem sem ter uma estratégia documentada ou sequer definida de cibersegurança, alerta.

Entre as empresas já com este passo garantido, é a falta de orçamento dedicado que continua a ser um dos maiores constrangimentos, «em parte porque os executivos das empresas portuguesas estão mais sensíveis a temas de negócio do que aos de cibersegurança», aponta Rui Serapicos. 

Três obstáculos à eficácia das estratégias de cibersegurança  

Contas feitas, na visão da AP2SI são três os principais fatores que ainda condicionam as empresas portuguesas, no que se refere à cibersegurança: a ausência de estratégias estruturadas de gestão de riscos; entender a segurança apenas como um tópico tecnológico e a falta de conhecimento e sensibilidade para o tema, que ainda existe entre quadros da administração.

Sobre a questão do risco, vale a pena referir que uma estratégia de segurança alinhada com a estratégia global da empresa pressupõe a identificação e quantificação de riscos, definição de estratégias de mitigação ou aceitação, respetiva monitorização e revisão. «No entanto a cultura empresarial portuguesa não tem, nas suas bases, uma cultura de gestão do risco», lamenta Jorge Pinto. Nos últimos anos o tema ganhou destaque, mas na prática os resultados são tímidos.

Já a compreensão do tema da cibersegurança, como meramente tecnológico, é relevante sobretudo porque continuará a limitar estratégias e âmbitos de atuação, acredita o responsável da AP2SI. 

Nas grandes empresas, faz com que o tema se mantenha limitado às áreas de atuação dos departamentos de TI. Nas PMEs impede que seja visto como mais do que um custo e mantém fora da agenda a formação regular dos colaboradores em cibersegurança.

---