No ano passado, as empresas foram obrigadas a adaptar rapidamente as suas abordagens tecnológicas com muitas empresas a incentivar ou a exigir que os colaboradores trabalhassem a partir de casa, e 60% das organizações a avançar para atividades baseadas em cloud durante a pandemia. As conclusões do estudo divulgadas hoje sugerem que a segurança pode ter ficado para trás destas rápidas e necessárias alterações de TI, dificultando a capacidade das organizações de responderem a violações de dados.  

O estudo anual “Cost of a Data Breach Report”, conduzido pelo Instituto Ponemon e patrocinado e analisado pela IBM Security, identificou as seguintes tendências entre as organizações estudadas:

• Impacto do trabalho remoto:  A rápida mudança para operações remotas durante a pandemia parece ter levado a violações de dados com um maior índice de custos. As infrações custam em média mais de um milhão de dólares a mais, sendo que o trabalho remoto foi indicado como uma das razões (4,96 vs. 3,89 milhões de dólares.)
• As violações de dados no setor da saúde aumentaram: As indústrias que enfrentaram enormes alterações operacionais durante a pandemia (saúde, retalho, hotelaria e distribuição) também registaram um aumento substancial dos custos de violação de dados ano após ano. As violações em cuidados de saúde são, de longe, as mais dispendiosas, 9.23 milhões de dólares por incidente – um aumento de 2 milhões de dólares em relação ao ano anterior.
• Credenciais comprometidas levaram a dados comprometidos: As credenciais de utilizador roubadas foram a causa mais comum de violações maliciosas no estudo. Ao mesmo tempo, os dados pessoais dos clientes (como nome, e-mail, password) foram o tipo de informação mais exposto em violações de dados – com 44% de violações, incluindo este tipo em concreto. A combinação destes fatores pode causar um efeito espiral, com violações do nome de utilizador/password que proporcionam aos atacantes uma vantagem para futuras violações adicionais de dados.
• Abordagens modernas reduziram custos:  A adoção de IA, analítica de segurança e encriptação foram os três principais fatores atenuantes para reduzir o custo de uma violação, poupando às empresas entre 1,25 milhões e 1,49 milhões de dólares em comparação com aqueles que não utilizavam significativamente estas ferramentas. Nas violações de dados cloud based estudadas, as organizações que tinham implementado uma abordagem de cloud híbrida apresentaram custos de violações de dados mais baixos (3,61 milhões de dólares) do que aqueles que tinham maior aposta numa cloud pública (4,80 milhões de dólares) ou numa abordagem de cloud privada (4,55 milhões de dólares).

"Os custos mais elevados de violação de dados são mais uma despesa para as empresas na sequência das mudanças rápidas de tecnologia implementadas durante a pandemia", afirma Chris McCurdy, Vice President and General Director, IBM Security. "Embora os custos de violação de dados tenham atingido um valor recorde no último ano, o estudo também deu sinais positivos sobre o impacto das táticas de segurança modernas, como a IA, a automação e a adoção de uma abordagem de 'zero trust' – o que pode compensar na redução do custo destes incidentes mais adiante."

Impacto do trabalho remoto e da mudança para a cloud nas violações de dados

Com a sociedade mais inclinada para as interações digitais durante a pandemia, as empresas abraçaram o trabalho remoto e a cloud. O estudo constatou que estes fatores tiveram uma resposta significativa no impacto da violação de dados. Quase 20% das organizações inquiridas relataram que o trabalho remoto foi um fator na violação de dados, e estas violações acabaram por custar às empresas 4,96 milhões de dólares.

As empresas que sofreram uma violação durante um projeto de migração para a cloud tiveram um custo 18,8% superior à média. No entanto, o estudo também conclui que aqueles que estavam mais avançados na sua estratégia global de modernização da cloud (fase "madura") foram capazes de detetar e responder a incidentes de forma mais eficaz – em média 77 dias mais rápido do que os que estavam  em  fase inicial  de adoção. Adicionalmente, nas violações de dados cloud based estudadas, as empresas  que tinham implementado uma abordagem de cloud híbrida tinham custos de violações de dados mais baixos (3,61 milhões de dólares) do que aqueles que tinham uma cloud principalmente pública (4,80 milhões de dólares) ou uma abordagem de cloud privada (4,55 milhões de dólares).

Credenciais comprometidas são um risco crescente

O relatório também esclarece um problema crescente em que os dados dos consumidores (incluindo credenciais) estão a ser comprometidos em violações de dados, podendo ser utilizados para propagar novos ataques. Com 82% dos indivíduos inquiridos a admitir que reutilizam palavras-passe, as credenciais comprometidas representam uma causa e efeito de violação de dados, criando um risco combinado para as empresas.

• Dados Pessoais Expostos: Quase metade (44%) das infrações analisadas expuseram os dados pessoais dos clientes, tais como nome, e-mail, palavra-passe, ou mesmo dados de cuidados de saúde – o tipo mais comum de violação de dados registado.
• Customer PII Mais Caro: A perda de Informações de Identificação Pessoal (PII) do cliente foi também a mais cara em comparação com outros tipos de dados (180 dólares por informação perdida ou roubada vs 161 dólares da média geral).  
• Método de Ataque Mais Comum: Credenciais de utilizador comprometidas foram o método utilizado mais comum como ponto de entrada pelos atacantes, representando 20% das infrações estudadas.
• Mais tempo para Detetar & Conter: As infrações resultantes de credenciais comprometidas demoraram mais tempo a detetar – demorando uma média de 250 dias a identificar (vs. 212 para a violação média).

Empresas que se modernizaram tinham custos de violação mais baixos

Embora algumas mudanças de TI durante a pandemia aumentassem os custos de violação de dados, as organizações que disseram não implementar quaisquer projetos de transformação digital para modernizar as suas operações comerciais durante a pandemia tiveram custos mais elevados de violação de dados. O custo de uma violação foi 750 mil dólares superior à média em organizações que não tinham sofrido qualquer transformação digital devido à COVID-19 (16,6% superior à média).

As empresas estudadas que adotaram uma abordagem de segurança zero trust estavam mais bem posicionadas para lidar com violações de dados. Esta abordagem funciona no pressuposto de que as identidades dos utilizadores ou a própria rede podem já estar comprometidas, baseando-se em IA e analítica para validar continuamente as ligações entre utilizadores, dados e recursos. As organizações com uma estratégia de zero trust madura tinham um custo médio de violação de dados de 3,28 milhões de dólares – um custo 1,76 milhões de dólares inferior àqueles que não tinham implementado esta abordagem.

O relatório constatou ainda que mais empresas estavam a implementar automação de segurança em comparação com anos anteriores, o que levou a uma significativa poupança de custos. Cerca de 65% das empresas pesquisadas reportaram que estavam a implementar parcial ou totalmente a automação dentro dos seus ambientes de segurança, contra os 52% de há dois anos. As organizações com uma estratégia de automação de segurança "totalmente implementada" tiveram um custo médio de violação de apenas 2,90 milhões de dólares – enquanto as que não tinham automação experimentaram mais do dobro do custo em 6,71 milhões de dólares.

Os investimentos em equipas e planos de resposta a incidentes reduziram os custos de violação de dados. As empresas com uma equipa de resposta a incidentes que também testaram o plano em questão, tiveram um custo médio de violação de 3,25 milhões de dólares, enquanto que aquelas que não implementaram nenhum dos dois, tiveram um custo médio de 5,71 milhões de dólares (representando uma diferença de 54,9%).

Conclusões adicionais do relatório de 2021 

Tempo para responder: O tempo médio para detetar e conter uma violação de dados foi de 287 dias (212 para detetar, 75 para conter) – o que é mais uma semana face aos dados apresentados no relatório do ano anterior.

Mega infrações: O custo médio de uma mega violação foi de 401 milhões de dólares, por infrações entre 50 milhões e 65 milhões de registos. Isto é quase 100x mais caro do que a maioria das infrações estudadas no relatório (que passou de 1.000-100.000 registos.)

Indústria: As quebras de dados nos cuidados de saúde foram as mais caras por indústria (9,23 milhões de dólares), seguidas pelo setor financeiro (5,72 milhões de dólares) e produtos farmacêuticos (5,04 milhões de dólares). Embora mais baixos nos custos globais, o retalho, os meios de comunicação social, a hotelaria e o setor público registaram um grande aumento dos custos face ao ano anterior.

Por país/região: Os EUA tiveram as quebras de dados mais dispendiosas com um montante de 9,05 milhões de dólares por incidente, seguidos do Médio Oriente (6,93 milhões de dólares) e do Canadá (5,4 milhões de dólares).