ROI de Formação de Sensibilização para a Segurança: Parte 3 de 3

Partilhar

20 de Dezembro de 2022
Roy Zur, CEO da ThriveDX for Enterprise

Nas nossas duas séries anteriores sobre o ROI da Formação de Sensibilização para a Segurança, fornecemos uma visão geral dos motivos a formação de sensibilização para a segurança deve ser uma prioridade (Parte 1), tendo em conta os benefícios monetários, bem como as formas para ter um impacto positivo e mudar a consciência de segurança dos empregados (Parte 2) dentro da sua própria empresa.

Na ThriveDX, passámos o último ano a alinhar a nossa missão e as nossas soluções com a mudança do panorama da cibersegurança, onde o risco humano continua a ser a ameaça número um para as empresas em todo o mundo. Para tal, fizemos da segurança do factor humano uma prioridade, indo além da sensibilização para proporcionar formação que tenha um verdadeiro impacto no comportamento dos empregados. Como Gartner assinalou na sua 2022 Relatório Top Trendso facto de que as violações de dados continuam a atormentar as organizações prova que a formação tradicional de sensibilização para a segurança é quebrada.

Visão geral

Na Parte 3 da nossa série ROI Security Awareness Training Training, gostaria de explorar onde os programas tradicionais de sensibilização para a segurança têm ficado aquém das expectativas e propor um plano de como podemos corrigir o navio para realmente efectuar mudanças, criando empresas mais seguras e, em última análise, um mundo digital mais seguro para todos nós. Como se pode ler, algumas pequenas mudanças podem resultar em grandes impactos.

O Grande Quadro: O ROI na Cibercultura em Evolução

A formação de sensibilização para a segurança tem evoluído dramaticamente desde o início dos anos 2000. Nessa altura, a maioria das empresas não confiava apenas em dados digitais e sistemas informáticos para gerir os seus negócios. Os vírus informáticos que podiam replicar-se e propagar-se a outros computadores eram a principal preocupação, pelo que o foco era a tecnologia que podia manter dados importantes em segurança. Faltou em grande parte a contribuição dos seres humanos para a ciber-segurança.

Avança rapidamente uma década para encontrar empresas que quebram as suas dependências em computadores de secretária e processos baseados em papel e abraçam computadores portáteis, smartphones, e outras tecnologias móveis. Os esquemas "simples" de hacking de meados dos anos 2000 e início dos anos 2010 começaram a dar lugar à monetização da informação e dos dados, à medida que os cibercriminosos aprendiam que podiam lucrar com o roubo e a venda de informação pessoal online. Como resultado, os ataques a organizações em sectores de infra-estruturas críticas aumentaram de menos de dez em 2013 para quase 400 em 2020, um aumento de 3900% (Gartner).

Devido a estes aumentos, a ciber-segurança está agora a tornar-se uma questão do Conselho de Administração. Na sua 2022 Inquérito do Conselho de Administração da Gartner88% dos membros do conselho classificaram a ciber-segurança como um risco empresarial; enquanto apenas 12% chamaram-lhe um risco tecnológico. Os líderes de segurança, incluindo CIO's e CISO's, são agora responsabilizados pela ciber-segurança, e por quaisquer violações daí resultantes, num mínimo de 85% das organizações (link para o inquérito Gartner 2021).

Hoje em dia, os ataques cibernéticos que atentam contra o factor humano são predominantes e cada vez mais sofisticados, demonstrando a necessidade vital de sensibilização para a segurança. De facto, 93 a 97% dos ciberataques acontecem por negligência humana a um custo médio de 4,35 milhões de dólares por violação (IBM) - em comparação com 3,66 milhões de dólares apenas há quatro anos (2022 Custo das Ameaças Internas Relatório Global). Com dois terços das empresas a reportarem entre 21 e 40 incidentes por ano, as perdas financeiras para uma empresa podem rapidamente aumentar.

A análise custo-benefício num relance

Uma análise custo-benefício honesta da formação de sensibilização para a segurança pode parecer algo parecido com isto: Quando se subtrai a despesa de um curso de formação de sensibilização para a segurança a uma média de $50K, poupa-se $4,3 milhões porque o custo médio de uma violação de dados é de $4,35 milhões(IBM).

Investigação Osterman decompõe os custos directos antes e depois da formação de sensibilização para a segurança de uma empresa com mais de 1000 empregados em $488,80 antes e $110,21 depois. A sua investigação também descobriu que o orçamento global de formação de sensibilização para a segurança em 2018 era de 137 dólares por empregado, crescendo para 156 dólares por empregado em 2019, com a média de gastos dos empregados em formação inferior a 18 minutos por mês em meados de 2018. Este número saltou para quase 23 minutos em 2019 e 26 minutos em meados de 2020.

O lado da poupança da equação inclui custos mais baixos para a remediação de incidentes. Menos quantificáveis são os custos potencialmente devastadores da perda de clientes, danos à avaliação e reputação da empresa na bolsa de valores, multas regulamentares, e mais.

Quais são as probabilidades de um ataque?

As probabilidades de o comportamento arriscado dos empregados poder iniciar uma quebra de segurança na sua empresa aumentaram apenas nos últimos anos, de acordo com a pesquisa ROI publicada no último Mimecast Estado da segurança do correio electrónico inquérito. Só os ataques de Phishing aumentaram 63% desde o início da pandemia de COVID-19 e os empregados estão a clicar em três vezes mais e-mails maliciosos do que antes, muitas vezes baixando a sua guarda enquanto trabalham a partir de casa.

Porque falham os esforços de Ciber-segurança

A formação de sensibilização para a segurança não se trata apenas de evitar ameaças e violações de segurança, mas de evitar as perdas significativas que podem resultar na ausência de formação adequada. Ao decidir onde, quando, e como investir na prontidão de segurança, é fundamental garantir que os seus empregados tenham a informação e os conhecimentos necessários para melhor se defenderem contra ataques.

Infelizmente, apenas 25% das organizações dedicam anualmente duas ou mais horas à formação formal em phishing e apenas 20% realizam mais de sete simulações por ano (ThriveDX Global Cybersecurity Awareness Study 2022).

As abordagens tradicionais à formação de sensibilização para a segurança provaram ser um esgotamento de recursos, tempo e dinheiro. QueÉ por isso que é tão importante investir na formação correcta de sensibilização para a segurança - em todos os níveis da organização. Na ThriveDX, com a nossa Soluções de Segurança Cibernética Ponta-a-Ponta para o Factor Humano, vamos além da sensibilização com a nossa formação para incluir uma abordagem holística. Como já foi referido anteriormente nesta série, e sublinhado no estudo ThriveDX, abordar o factor humano é o que proporciona um maior ROI sobre os gastos em ciber-segurança de uma organização.

A formação de consciência de segurança da ThriveDX é uma formação de factor humano que oferece soluções relevantes e realistas, soluções totalmente personalizáveis, múltiplos tipos de simulações de ataque, relatórios em tempo real, e completa privacidade de dados. É o que torna o modelo de formação adaptativa contínua do ThriveDX uma solução galardoada.

Pequenas Alterações Podem Proporcionar Grandes Recompensas

Todos os departamentos da sua organização estão em risco de ciberataques devido a uma formação ciber-segurança inadequada, cultura ciber-segurança deficiente, e vulnerabilidades relacionadas com antigos funcionários. A sua educação em segurança deve, portanto, focalização na promoção da mudança de comportamento a todos os níveis.

Só na C-Suite, 76% dos CEOs admitem contornar os protocolos de segurança para fazer as coisas mais rapidamente, sacrificando a segurança pela velocidade. Eis como mesmo pequenas mudanças de comportamento em apenas uma área podem reduzir os riscos cibernéticos e proteger melhor o seu negócio.

Leva actualmente uma média de 277 dias para identificar e conter uma quebra de dados. Uma melhor formação de sensibilização para a segurança nas TI e Segurança que promova a identificação de incidentes e medidas de mitigação pode ajudar a conter uma violação dentro de 200 dias ou menos para poupar uma média de $1,12M.
A criação de uma equipa de Resposta a Incidentes para testar regularmente as RI da sua empresa pode proporcionar uma poupança média de custos de $2,66M.
As credenciais roubadas ou comprometidas não são apenas a causa mais comum de uma violação de dados, mas aos 327 dias, levam o tempo mais longo a identificar. Com formação contínua e adaptativa para funcionários de RH, o seu negócio tem o potencial de poupar 150.000 dólares caso ocorra uma violação.

Os números são cortesia de IBM.

O resultado final

A segurança é da responsabilidade de todos. Basta um empregado clicar num link malicioso, ver um anexo infectado, ou partilhar informação sensível para que toda a sua empresa seja posta em perigo.

A boa notícia é de 58% das organizações inquirido por ThriveDX dizem ter agora regulamentos de sensibilização incorporados nas suas estratégias de TI e 65% querem expandir ainda mais os seus programas de sensibilização no futuro. A ciber-segurança está a ir na direcção certa.

De acordo com um novo relatório de pesquisa de mercado publicado pela Global Market Estimates, prevê-se que o mercado global de formação de sensibilização para a cibersegurança cresça de 1.854,9 milhões de dólares em 2022 para 12.140,0 milhões de dólares em 2027 e que cresça a uma CAGR de 45,6% entre 2022 e 2027. O relatório cita a tendência crescente da penetração da Internet nos países em desenvolvimento e subdesenvolvidos; a crescente adopção de aparelhos de uso fácil, smartphones e dispositivos amovíveis; o aumento de esquemas relacionados com a COVID-19; guerras recentes; e-mails falsos; e ataques maliciosos a PMEs e empresas em fase de arranque como alguns dos factores que impulsionam o crescimento do mercado.

Em Resumo

Em termos simples, a formação de sensibilização para a segurança sustentável pode proporcionar um ROI significativo e pagar-se a si própria num curto período de tempo. Para um investimento relativamente pequeno, ajuda a assegurar que a sua firewall humana está preparada para reconhecer e responder às últimas ameaças. Para mais informações sobre os programas de formação em segurança empresarial ThriveDX, por favor visite-nos aqui.

Roy Zur, um empresário em série, é fundador e CEO da Divisão Empresarial da ThriveDX, a empresa de educação global empenhada em transformar vidas através da formação e soluções digitais de competências. Em Agosto de 2021, ThriveDX adquiriu a Cybint Solutions, onde também serviu como CEO desde a fundação da empresa em 2014. Roy é um veterano de 15 anos da abalada Unidade 8200 da Força de Defesa Israelita, onde serviu como Major, o que lhe incutiu desde cedo uma paixão por abordar o "factor humano" da formação em cibersegurança - actualmente a vulnerabilidade #1 em toda a paisagem de ameaça.

Além de dirigir a visão da Divisão Empresarial da ThriveDX, Roy serve como professor adjunto de gestão de risco em ciber-segurança na IDC Herzliya em Israel. É também fundador e Presidente do Instituto Israelita sem fins lucrativos para a Política e Legislação, e membro do Conselho Empresarial da Forbes.

Proteja a sua Organização contra Phishing

Partilhar

Explorar mais recursos

Artigo

9 Dicas mais importantes de Cibersegurança para os seus Empregados

As organizações estão inundadas com dicas de segurança cibernética - mas quais são as mais importantes

Artigo

8 Ameaças Cibernéticas de Segurança Móvel que Deve Levar a Sério

Entre 80 a 90% das aplicações móveis contêm uma vulnerabilidade de segurança. Saiba mais sobre a

Artigo

Zoom Cybersecurity and Privacy Strategies

O crescimento do Zoom durante e após a Covid acelerou o trabalho em áreas remotas. No entanto, a videoconferência

Artigo

8 Razões Surpreendentes Hackers Alvo das Escolas

Os hackers têm como alvo as escolas por uma série de razões. Para roubar dados de investigação, aprender segredos comerciais

A sua Fonte Fidedigna para a Educação Cibernética

Inscreva-se na newsletter trimestral da ThriveDX para receber informação sobre as últimas tendências de segurança cibernética, tomadas de peritos, notícias de segurança e recursos gratuitos.