Um relatório global, encomendado pela IBM Security e conduzido pelo Instituto Ponemon, e divulgado nesta terça-feira, 23/07, revela que o custo de uma invasão de dados aumentou 12% nos últimos cinco anos passando para US$ 3,92 milhões, em média[1]. O aumento nas despesas é decorrente do impacto financeiro plurianual das violações, da ampliação de regulamentações e do complexo processo de resolução de ataques criminosos.
O levantamento aponta ainda que consequências financeiras de uma violação de dados podem ser maiores para pequenas e médias empresas. No estudo, organizações com menos de 500 funcionários sofreram perdas de mais de US$ 2,5 milhões em média – um montante potencialmente devastador, pois o faturamento destas está em torno de US$ 50 milhões ou menos em receita anual.
O estudo também analisou o custo de violações de dados em diferentes indústrias e regiões, descobrindo que as violações de dados nos Estados Unidos são muito mais caras, custando US$ 8,19 milhões, ou mais que o dobro da média do estudo. Esse valor aumentou 130% nos últimos 14 anos do estudo, com US$ 3,54 milhões em 2006.
No Brasil, o relatório aponta que o custo médio de uma violação de dados é de US$ 1,35 milhão (R$ 5,4 milhões), um aumento de 18,93% em relação ao ano anterior. O estudo também observou um aumento no número de dias para identificar a violação de dados, que subiu de 240 para 250, e para conter a violação, que cresceu de 100 para 111 dias, em comparação a 2018.
Pela primeira vez este ano, o relatório também analisou o impacto financeiro de uma violação de dados no longo prazo, concluindo que seus efeitos serão percebidos por anos. Enquanto uma média de 67% dos custos de violação de dados são percebidos no primeiro ano, 22% acumulam para o segundo e 11% vão além de dois anos após uma invasão. Os gastos foram maiores no segundo e no terceiro ano para organizações em ambientes altamente regulamentados, como saúde, energia, farmacêutico e serviços financeiros.
“O cibercrime equivale a perdas significativas para as empresas. As organizações enfrentaram a perda ou o roubo de mais de 11,7 bilhões de registros nos últimos três anos e precisam estar cientes do impacto financeiro e na reputação que uma violação de dados pode gerar. Mais do que nunca, empresas de todos os tamanhos e setores precisam se prevenir e se concentrar em como gerenciar esse risco e reduzir esses custos”, diz João Rocha, Diretor de Cybersecurity da IBM Brasil.
O estudo é feito com base em entrevistas detalhadas com mais de 500 empresas em todo o mundo, incluindo o Brasil, que sofreram violação no último ano. [2] A análise leva em conta centenas de fatores de custo, incluindo atividades legais, regulamentares e técnicas para a perda de valor de marca, clientes e produtividade dos funcionários.
Algumas das principais descobertas do relatório deste ano incluem:
Ataques maliciosos – mais comuns e caros: mais de 50% das violações de dados no estudo resultaram de ciberataques maliciosos, custando às empresas US$ 1 milhão a mais em média do que as originadas de causas acidentais.
Mega violações levam a mega prejuízos: embora menos comuns, as violações de mais de 1 milhão de registros custam às empresas uma perda projetada de US$ 42 milhões. Já as de 50 milhões de registros podem custar às empresas US$ 388 milhões.[3]
A prática leva à perfeição: empresas com uma equipe e plano de resposta aos incidentes obtiveram uma redução de US$ 1,23 milhão nos custos de violação de dados, em média, em relação aos que não tinham nenhuma medida em vigor.
O dobro nos EUA: o custo médio de uma violação nos Estados Unidos é de US$ 8,19 milhões, mais que o dobro da média mundial.
Violações de serviços de saúde custam mais: pelo 9º ano consecutivo, as organizações de saúde tiveram o maior custo de uma violação – quase US$ 6,5 milhões em média (mais de 60% do que outras indústrias).
Ataques maliciosos representam uma ameaça crescente e violações acidentais ainda são comuns
O estudo constatou que as violações de dados originadas por um ataque malicioso não são apenas a causa mais comum de uma violação, mas também a mais cara. Elas custaram às empresas US$ 4,45 milhões, em média, mais de US$ 1 milhão além do que as originadas de causas acidentais, como falha no sistema e erro humano. Essas violações são uma ameaça crescente, à medida que a porcentagem de ataques maliciosos ou criminosos subiu de 42% para 51% nos últimos seis anos do estudo (um aumento de 21%).
Considerando isso, violações inadvertidas de erros humanos e falhas no sistema ainda eram a causa de quase metade (49%) das violações de dados no relatório, custando às empresas US$ 3,5 e US$ 3,24 milhões, respectivamente. As violações de erros humanos e de máquina representam uma oportunidade de melhoria, pois podem ser enfrentadas por meio de treinamento de conscientização de segurança para funcionários, investimentos em tecnologia e serviços de teste para identificar violações acidentais desde o início. Uma área específica de preocupação é a configuração incorreta de servidores em nuvem, que contribuiu para a exposição de 990 milhões de registros em 2018, representando 43% de todos os registros perdidos do ano, de acordo com o relatório IBM X-Force Threat Intelligence Index[4].
Ter uma equipe de resposta a incidentes permanece como principal fator de economia de custos
Nos últimos 14 anos, o Instituto Ponemon analisou fatores que aumentam ou reduzem o custo de uma violação e descobriu que a velocidade e a eficiência com que uma empresa responde a uma violação têm um impacto significativo no custo total.
O relatório deste ano constatou que o ciclo de vida médio de uma violação foi de 279 dias – com as empresas levando 206 dias para identificar uma invasão após a ocorrência e um prazo adicional de 73 dias para contê-la. No entanto, as empresas que conseguiram detectar e conter uma violação em menos de 200 dias gastaram US$ 1,2 milhão a menos.
Além de ajudar a reduzir o tempo de resposta das empresas, ter uma equipe de resposta a incidentes no local e realizar testes extensivos de planos de resposta foram dois dos três principais fatores de economia de custos examinados no estudo. As empresas que colocaram em prática essas duas medidas reduziram cerca de US$ 1,23 milhão dos custos totais para uma violação de dados em comparação com aquelas que não tiveram nenhuma medida em vigor.
FONTE: Convergência Digital
