95% das falhas em TI resultam de erro humano, aponta estudo

O Custo das Vulnerabilidades Internas nas Empresas

Uma pesquisa da Mimecast revelou que, em 2024, 95% das falhas de segurança nas empresas foram causadas por erros de funcionários, e não por hackers sofisticados. O estudo indica que apenas 8% dos colaboradores são responsáveis por 80% dos incidentes, enquanto os cibercriminosos exploram vulnerabilidades conhecidas e não corrigidas. O custo médio de um vazamento causado por insiders chega a US$ 13,9 milhões, evidenciando a necessidade urgente de investimentos em treinamento e cultura de segurança nas organizações.

O setor de TI enfrenta um paradoxo: apesar dos altos investimentos em ferramentas de proteção contra ameaças externas, a principal vulnerabilidade ainda está dentro das empresas. Dados mostram que a maioria das falhas de segurança é resultado de equívocos humanos, o que destaca a importância de uma gestão eficaz de vulnerabilidades.

O Impacto Financeiro das Falhas de Segurança

As consequências financeiras das falhas de segurança são alarmantes. Um único incidente de vazamento pode custar, em média, US$ 13,9 milhões às organizações. No Brasil, as empresas enfrentam perdas anuais estimadas em R$ 22 bilhões devido a violações de segurança. Além disso, vulnerabilidades de dia zero representam menos de 0,1% dos ataques, pois hackers preferem explorar brechas já documentadas que permanecem sem correção.

O tempo médio para corrigir falhas de segurança é de 32 dias, durante os quais os sistemas ficam vulneráveis a ataques que poderiam ser evitados com uma gestão adequada.

Por Que Hackers Preferem Vulnerabilidades Conhecidas

A estratégia dos cibercriminosos é focada em eficiência. Descobrir novas vulnerabilidades demanda tempo e recursos, enquanto explorar falhas já documentadas oferece um retorno rápido com menor esforço. Dados indicam que 60% das violações corporativas têm o fator humano como ponto de partida, com phishing e credenciais fracas sendo as principais causas.

Além disso, apenas 54% das falhas de segurança identificadas são completamente resolvidas, deixando muitas vulnerabilidades parcialmente corrigidas ou ignoradas, o que facilita a ação de invasores.

A Gestão Inadequada de Vulnerabilidades

A falta de informação não é o problema; milhares de vulnerabilidades são descobertas anualmente. O desafio está na implementação de processos eficazes para correção e na priorização correta dos riscos. Muitas organizações subestimam a importância do treinamento contínuo, o que é crucial para que os colaboradores compreendam as consequências de suas ações no ambiente digital.

A cultura de cibersegurança ainda é incipiente na maioria das empresas, onde a responsabilidade é vista como exclusiva da equipe de TI, quando deveria ser um compromisso compartilhado por todos os colaboradores.

Estratégias Para Reduzir Falhas de Segurança Humanas

Especialistas sugerem uma abordagem multifacetada para a segurança. Programas de conscientização devem ser contínuos, e simulações de phishing podem ajudar a identificar colaboradores vulneráveis, oferecendo treinamento direcionado. A autenticação multifator é uma medida eficaz para reduzir o risco de comprometimento de credenciais.

A automação dos processos de correção de vulnerabilidades também é essencial, pois acelera a resposta e diminui a dependência de ações manuais, reduzindo a janela de exposição a ataques.

O Futuro da Segurança Corporativa

O futuro aponta para uma integração entre segurança e experiência do usuário. Soluções que dificultam o trabalho cotidiano tendem a ser contornadas, criando novas vulnerabilidades. Investimentos em tecnologias de detecção comportamental são fundamentais para identificar atividades anômalas antes que se tornem incidentes.

A responsabilização por falhas de segurança deve ser equilibrada com uma cultura de aprendizado, evitando punições excessivas que podem levar à ocultação de erros. É crucial que as lideranças de TI reconheçam que a tecnologia sozinha não é suficiente; a combinação de ferramentas adequadas, processos bem definidos e pessoas capacitadas é a base para uma defesa eficaz contra ameaças cibernéticas.

Fonte por: Its Show