Relatório WEF 2024: Segurança cibernética na vanguarda, confiança zero vista como crítica para a reconstrução da confiança

O melhor lugar para o Fórum Económico Mundial (FEM) alcançar o seu tema principal deste ano de reconstrução da confiança é começar pela segurança cibernética, pelas defesas cibernéticas e pela resiliência cibernética.

O seu mais recente relatório global de perspetivas de segurança cibernética para 2024 fornece informações sobre as lacunas crescentes na desigualdade cibernética, no seguro cibernético, na escassez de competências cibernéticas, na obtenção de resiliência cibernética e na construção de um ecossistema cibernético melhor. Ser prescritivo sobre como colmatar essas lacunas com confiança zero tornaria o relatório de visão de segurança cibernética do FEM completo.

A Accenture e o WEF colaboraram no estudo com base em entrevistas com executivos seniores de 49 países. As principais conclusões incluem:

• A geopolítica e a sua instabilidade contínua são os principais impulsionadores da cibersegurança a nível global. Um total de 70% dos líderes afirmam que este fator influencia a estratégia de segurança cibernética da sua organização.

• Os invasores terão vantagem quando se trata da geração de IA. Aproximadamente metade acredita que a geração AI será a tecnologia mais influente na segurança cibernética nos próximos dois anos. Um pouco mais da maioria, 55,9%, acredita que a geração AI proporcionará uma vantagem cibernética geral aos atacantes, enquanto 35,1% acredita que permanecerá equilibrada para os defensores. 27% dos diretores de segurança da informação (CISOs) entrevistados usarão IA generativa em seus SOCs para fornecer enriquecimento de dados de alertas e incidentes. A maioria dos líderes de segurança cibernética vê as empresas perdendo a guerra da IA.

• Os líderes estão preocupados com o fato de os LLMs se tornarem mais armados, juntamente com o uso da Gen AI para criar ferramentas e aplicativos de ataque. A Venturebeat continua vendo essa tendência se acelerar, validando o fato de que a era dos LLMs armados chegou. Os líderes também estão preocupados com a forma como a geração de IA e LLMs estão sendo usados ​​para criar produtos e serviços de ataque, incluindo ransomware como serviço e FraudGPT. Os invasores estão usando o ChatGPT para ajustar os ataques de engenharia social em grande escala e extrair os dados para lançar ataques de phishing de baleias. O Relatório sobre o estado de preparação para a segurança de 2023 da Ivanti descobriu que quase um em cada três CEOs e membros da alta administração foram vítimas de golpes de phishing, seja clicando no mesmo link ou enviando dinheiro.

• Quase todos os líderes seniores conhecem um colega do setor cuja empresa foi violada. A grande maioria das organizações, 98%, tem um relacionamento com pelo menos um terceiro que sofreu uma violação nos últimos dois anos.

• A grande maioria dos líderes, 73%, afirma que está a enfatizar os fundamentos da segurança cibernética para colmatar lacunas de segurança. Uma pequena percentagem, 13%, acredita que o erro humano será a principal razão pela qual ocorrerá uma violação nas suas organizações nos próximos doze meses.

Acabar com o défice de confiança precisa de começar com confiança zero

Não prestar atenção à confiança zero e à segurança cibernética é a maior ameaça à confiança de qualquer empresa no longo prazo. Dezenas de empresas nunca denunciam ataques de ransomware, especialmente na indústria, porque querem manter a confiança dos seus fornecedores, investidores e clientes. Enquanto isso, o ransomware varre setores inteiros e dizima empresas menores que não investem em segurança cibernética.

Os ataques de ransomware dispararam no ano passado, assim como novos ataques de engenharia social que aproveitaram a confiança inerente que os help desks tinham nos hackers que ligavam e se faziam passar por seus colegas para obter credenciais de login. Os atacantes estatais estão a aperfeiçoar a sua estratégia para lançar ataques lucrativos de ransomware destinados a roubar milhares de milhões de bitcoins para financiar os seus programas de mísseis e criar vastas redes subterrâneas para lavar criptomoedas.

“A defesa contra ransomware não é algo que você faz quando está sob ataque. A defesa contra ransomware se parece muito com fazer a segurança corretamente, em todo o seu ambiente, todos os dias – desde o gerenciamento de identidades e segredos até o provisionamento de infraestrutura, até o gerenciamento de proteção de dados e backups ‘, aconselhou Merritt Baer, ​​​​CISO de campo, Lacework, durante uma entrevista VentureBeat no final ano passado .

A aposta total na confiança zero começa com a suposição de que as redes e a infraestrutura já foram violadas e que a intrusão precisa ser contida. Presumir que uma grande variedade de tentativas de violação e ataques de ransomware são inevitáveis ​​é um dos pilares da confiança zero.

Ao assumir que todos os dispositivos, endpoints, identidades, sistemas e usuários não são confiáveis ​​por padrão e exigem autenticação e validação contínua, a confiança em cada usuário, sessão e solicitação de recurso é alcançada. O padrão NIST 800-207 fornece uma estrutura útil para organizações que desejam adotar a estrutura.

John Kindervag, que criou a estrutura de confiança zero enquanto estava na Forrester, disse à VentureBeat em uma série de entrevistas no ano passado que “você começa com uma superfície protegida. Eu vi, e se você ainda não viu, é chamado de curva de aprendizado de confiança zero. Você não começa com uma tecnologia, e esse é o mal-entendido disso. É claro que os fornecedores querem vender a tecnologia, então (dizem eles) você precisa começar com a nossa tecnologia. Nada disso é verdade. Você começa com uma superfície protegida e então descobre (a tecnologia).”

Tornando a visão do WEF completa com confiança zero

Levando a pesquisa perspicaz da Accenture e do WEF um passo adiante para ajudar a preencher as lacunas que drenam a confiança das organizações, indústrias e relacionamentos com clientes, a VentureBeat concluiu uma análise dos dados da pesquisa usando princípios de confiança zero.

Veja a seguir como e onde a visão do FEM para a segurança cibernética precisa ser fortalecida com confiança zero:

Proteger as cadeias de fornecimento de software com uma estrutura de confiança zero precisa ser uma prioridade mais alta – “Quando se trata da cadeia de abastecimento, que é uma das áreas que exige mais colaboração, 54% das organizações não conseguem compreender suficientemente a vulnerabilidade cibernética na sua cadeia de abastecimento – e isso fica evidente”, escreve o WEF. “A lacuna de maturidade cibernética entre grandes corporações e médias/pequenas empresas está constantemente a aumentar, criando um risco sistémico de segurança na cadeia de abastecimento. As empresas globais devem ter um papel mais importante na elevação da fasquia para os seus parceiros mais pequenos, para evitar que se tornem vetores de ameaças”, afirmou Christophe Blassiau, Vice-Presidente Sénior de Cibersegurança e Segurança de Produtos, CISO Global e CPSO, da Schneider Electric.

Acesso com menor privilégio. Um elemento central do padrão de confiança zero, o WEF relata a crescente importância da resiliência cibernética. A ação para obter maior resiliência começa pela concessão do acesso menos privilegiado necessário para cada sessão.

Microssegmentação. O que está em jogo para obter uma estrutura de confiança zero correta é considerado um dos aspectos mais difíceis de qualquer iniciativa de confiança zero para ser implementada em escala. “Você não será capaz de dizer às pessoas com credibilidade que fez uma jornada Zero Trust se não fizer a microssegmentação”, disse Holmes durante um webinar da Illumio intitulado A hora da microssegmentação é agora. “Se você tem uma rede física em algum lugar, e eu estava conversando recentemente com alguém, eles fizeram uma ótima citação, eles disseram: ‘O ano 2000 global sempre terá uma rede física para sempre.’ E eu pensei: “Quer saber? Eles provavelmente estão certos. Em algum momento, você precisará microssegmentar isso. Caso contrário, você não terá confiança zero.”

Autenticação multifator (MFA). Para acertar o MFA, você precisa começar projetando-o em fluxos de trabalho e minimizando o impacto nas experiências do usuário. A VentureBeat aprendeu que os CIOs e CISOs estão promovendo a conscientização sobre segurança baseada em identidade, ao mesmo tempo em que consideram como as tecnologias sem senha podem aliviar a necessidade de MFA de longo prazo. Os principais provedores de autenticação sem senha incluem Zero Sign-On (ZSO) da Ivanti, Microsoft Azure Active Directory (Azure AD), OneLogin Workforce Identity, Thales SafeNet Trusted Access e Windows Hello for Business. A aplicação do gerenciamento de identidade em dispositivos móveis tornou-se um requisito fundamental, à medida que mais forças de trabalho permanecerão virtuais.

Monitoramento e Avaliação Contínua. O relatório sublinha a necessidade de prosseguir a monitorização e avaliação contínuas, concluindo que 29% das organizações relataram ter sido materialmente afetadas por um incidente cibernético nos últimos 12 meses. Como Jeetu Patel, EVP e Gerente Geral de Segurança e Colaboração da Cisco escreve em seu recente artigo no WEF: “A IA pode aprender com vastos volumes de dados para compreender indicadores de comportamento malicioso. A IA pode então analisar o tráfego criptografado para inferir comportamentos anômalos quase em tempo real e tomar automaticamente as ações apropriadas.” Ter esse nível de visibilidade é essencial para acertar a confiança zero.

A confiança zero pode ser confiável em um acelerador de negócios. Em última análise, a segurança cibernética é uma decisão de negócios. Em 2024, será avaliado mais do que nunca em termos do seu potencial de redução de riscos e capacidade de contribuir para o crescimento das receitas. Os orçamentos de cibersegurança enfrentarão um novo escrutínio em 2024, que terá efeitos repercutidos em toda a indústria.

Os líderes de segurança precisam de se esforçar para criar uma estrutura unificada que possa adaptar-se e flexibilizar-se à medida que as suas necessidades de segurança e governação mudam. A confiança zero tem sido eficaz no cumprimento de ambos os objetivos.

Buscar a confiança zero e garantir que cada endpoint, dispositivo, rede e identidade sejam confiáveis ​​são requisitos fundamentais para acelerar o crescimento de uma empresa. É hora de pensar nos investimentos em segurança cibernética como essenciais para as experiências dos clientes e para a preservação das receitas. A confiança é o catalisador do crescimento e acertar é fundamental para qualquer negócio crescer em 2024.