Calcular o elevado custo das violações de dados em 2021

Quando falamos de fugas de dados, é comum referirmo-nos apenas aos «registos» que ficaram expostos. O problema é que, se não tivermos em conta o custo dessas fugas, fica-nos a faltar contexto. Afinal, há poucas ilustrações mais claras do impacto nos negócios do que o quanto isso afeta os resultados financeiros.

Neste artigo, vamos falar sobre:

• Por que é que ocorrem fugas de dados.
• Principais fatores que influenciam os custos das violações de dados.
• Custo médio de uma violação de dados.
• Exemplos de fugas de dados em 2020 e 2021.
• Quanto é que estas violações de dados poderão ter custado.
• O que a tua organização pode fazer para atenuar o impacto.

(Se não tiveres muito tempo, há um resumo «tl;dr» no final do artigo)

Por que é que ocorrem fugas de dados?

Temos três categorias principais de causas de fugas de dados: erro humano, ataque malicioso e falhas do sistema.

Mas, graças a um relatório da IBM Security sobre os custos das violações de dados, dá para ver que raramente a culpa é só da parte técnica. Não, em 75% dos casos, a culpa é da parte humana que usa a tecnologia. Seja por erro humano, seja por algum tipo de ataque malicioso.

Fonte: Relatório sobre o Custo das Violações de Dados de 2020, IBM Security

Se olharmos um pouco mais de perto à categoria dos ataques maliciosos, percebemos que as configurações de nuvem mal feitas e as palavras-passe fracas são, em grande parte, as culpadas. Na verdade, ambas as situações podem ser evitadas com formação regular sobre sensibilização para a segurança e uma política de segurança eficaz.

Fonte: Relatório sobre o Custo das Violações de Dados de 2020, IBM Security

A complexidade dos sistemas de segurança modernos levou, sem dúvida, a um aumento dos desafios enfrentados pelas equipas de segurança. À medida que diferentes departamentos da organização precisam de recorrer a mais software externo, isso abre mais um vetor de ameaça contra o qual é preciso proteger-se. Também é difícil ignorar os ataques de phishing como um potencial vetor de ameaça, já que representam 14% das violações de dados maliciosas.

Calcular o custo das violações de dados

Há muitos fatores a ter em conta se quisermos tentar calcular quanto é que uma violação de dados provavelmente vai custar, mas, basicamente, podemos dividir isso em quatro principais categorias de custos:

• Detecção e escalonamento: é tudo o que uma empresa faz para detetar uma violação, como serviços de auditoria, por exemplo.
• Aviso: assim que uma organização perceber que há um problema, tem de comunicar não só com os titulares dos dados, mas também com as entidades reguladoras, especialistas jurídicos e consultores em matéria de regulamentação.
• Perdas de negócios: dependendo da natureza da violação, uma organização pode sofrer um período de inatividade que afeta as receitas e, a longo prazo, terá de lidar com os danos à imagem da marca.
• Resposta ex post: depois de a violação ter ocorrido e de os utilizadores afetados terem sido notificados, surge uma enxurrada de perguntas, possíveis custos legais, multas e, talvez, ofertas e descontos para recuperar um pouco daquela reputação manchada.

Para além desses principais centros de custo, há mais alguns fatores que podemos ter em conta. Por exemplo, o custo por registo varia consoante o país e o setor, sendo os registos de saúde dos EUA os mais caros.

Depois, há a questão do próprio tipo de dados. As informações pessoais identificáveis (PII) dos clientes são o tipo de dados mais dispendioso e, de longe, o mais vulnerável. Mas, de um modo geral, podemos ver que o custo médio por registo, tanto em violações de dados de pequena como de grande dimensão, chega aos inquietantes 146 dólares.

Fonte: Relatório sobre o Custo das Violações de Dados de 2020, IBM Security

Dizemos «de pequeno a grande» porque há outro fator de custo relacionado com a escala:

A temida«mega-violação».

Qualquer violação que envolva mais de 1 milhão de registos é definida como uma mega violação; representa o pior cenário possível para as organizações envolvidas. São também estas as violações de que mais se ouve falar, simplesmente porque são de grande dimensão.

Fonte: Relatório sobre o Custo das Violações de Dados de 2020, IBM Security

Por serem tão vastas, também têm de ser analisadas separadamente das violações, das mais pequenas às maiores; caso contrário, acabariam por distorcer os números.

Violações de dados recentes e quanto custam

Com base nos números acima, podemos estimar quanto custaram a estas empresas algumas das violações de dados mais mediáticas.

Sem nenhuma ordem específica, aqui fica uma visão geral de algumas das maiores fugas de dados que vimos nos últimos 12 meses ou mais, e quanto custaram.

533 milhões - Facebook, 3 de abril de 2021

Custo estimado: 3,7 mil milhões de dólares

Tipo de dados expostos: números de telefone, data de nascimento, localizações (incluindo dados históricos), nome completo e alguns endereços de e-mail.

No início de abril de 2021, soube-se que as informações pessoais de mais de meio bilião de utilizadores do Facebook tinham sido divulgadas. O Facebook recusou-se a notificar os utilizadores afetados (talvez como medida de redução de custos, já que sabemos que a notificação e a resposta posterior são dois dos principais centros de custo) depois de os seus dados terem sido extraídos através da exploração de uma vulnerabilidade numa funcionalidade que já foi descontinuada.

250 milhões - Microsoft, 22 de janeiro de 2020

Custo estimado: 1,8 mil milhões de dólares

Tipo de dados expostos: endereços de e-mail, endereços IP, registos de chat.

O ano de 2020 mal tinha começado quando a Microsoft anunciou uma grande falha de segurança. Embora não tenham divulgado números, as estimativas apontam para 250 milhões de registos expostos. Esses registos continham endereços de e-mail e IP, bem como registos de conversas entre a equipa de apoio ao cliente e os clientes. A Microsoft admitiu que esta violação foi resultado de uma «configuração incorreta de uma base de dados interna de apoio ao cliente».

9 milhões - EasyJet, 12 de maio de 2020

Custo estimado: 50 milhões de dólares

Tipo de dados expostos: cartões de crédito e de débito não

Em maio de 2020, a EasyJet anunciou que 9 milhões de registos de clientes tinham sido «acessados» no que descreveram como um «ataque cibernético altamente sofisticado». Este ataque surgiu numa altura complicada para a EasyJet, já que o impacto da pandemia estava a começar a fazer-se sentir e envolvia dados de cartões de crédito. Isso também levou 10 000 pessoas a juntarem-se a uma ação judicial contra a EasyJet. Dependendo do resultado deste caso, a estimativa de 50 milhões de dólares pode chegar aos milhares de milhões, já que cada uma das vítimas pode ter direito a 2 500 dólares.

5,2 milhões - Marriott, 31 de março de 2020

Custo estimado: 50 milhões de dólares

Tipo de dados expostos: nomes, morada, alguns números de telefone e e-mails

A gigante hoteleira Marriott revelou que os dados de 5,2 milhões de hóspedes foram expostos depois de uns hackers terem conseguido os dados de acesso de dois funcionários. Isto veio somar-se a uma violação anterior, em 2018, quando uma das subsidiárias da Marriott foi alvo de um ataque informático, que revelou milhões de números de passaporte e registos de cartões de crédito não encriptados.

O que é que a tua organização pode fazer para atenuar o impacto?

É evidente que as organizações, sejam elas quais forem, não estão totalmente imunes. Seja por descuido ou por intenção maliciosa, quando há pessoas a interagir com máquinas, vai haver sempre pontos fracos.

Também vais ter pessoas dispostas e capazes de explorar esses pontos fracos.

Mas nem tudo é desgraça e tristeza, porque há imensas coisas que a tua organização pode começar a fazer já para reduzir a probabilidade de uma violação de dados.

Fonte: Relatório sobre o Custo das Violações de Dados de 2020, IBM Security

• Testes de resposta a incidentes: Saber o que fazer quando o pior acontece pode poupar à tua organização mais de 230 000 dólares. As ferramentas de gestão de incidentes ajudam-te a coordenar todas as partes envolvidas, dando-te uma visão geral do ciclo de vida de um incidente quando este ocorre. Mas também é essencial que ponhas tudo isso à prova com ataques simulados. Não é só a equipa de TI que precisa de participar nos testes. Toda a gente, desde os vendedores até ao pessoal de apoio, deve estar envolvida. Especialmente tendo em conta a natureza em constante evolução de ameaças como o phishing e o ransomware. 96% das violações de dados têm origem no e-mail, mas realizar ataques de phishing simulados para preparar a tua equipa não tem de ser dispendioso nem demorado.

• Formação em sensibilização para a segurança: O aumento do trabalho remoto trouxe mais um risco, já que os colaboradores usam dispositivos e ligações potencialmente inseguros para aceder a dados confidenciais. Por isso, agora mais do que nunca, a formação em cibersegurança para os colaboradores pode ajudar a reduzir os riscos (e os custos potenciais) de fugas de dados.

• Criptografia abrangente: Muitas violações de dados de grande repercussão envolveram casos em que dados confidenciais foram armazenados em ficheiros não encriptados, com palavras-passe e dados de cartões de crédito, por vezes, simplesmente lá, sem hash, em texto simples. Implementar a encriptação em toda a empresa pode ter um impacto enorme, mas depende ainda assim de os teus colaboradores estarem a par das novidades. O que nos leva diretamente à próxima solução.

• Gestão de políticas: Para que soluções como a encriptação funcionem, é preciso ter uma política de cibersegurança eficaz em vigor e, mais importante ainda, garantir que toda a gente sabe o que deve fazer. As abordagens tradicionais à gestão de políticas envolvem, muitas vezes, o departamento de RH a ter de andar atrás dos membros da equipa, a enviar e-mails cada vez mais irritados a perguntar se leram e compreenderam a nova política de cibersegurança. E, se o tal membro da equipa a leu, pode, por favor, assiná-la e devolvê-la? Por favor? Em vez disso, ao implementar uma plataforma de gestão de políticas de cibersegurança, a tua organização pode identificar lacunas no conhecimento dos colaboradores, deficiências nas políticas e manter os custos das violações de dados ao mínimo.

Resumo

• Podem ser extremamente caras: a nível mundial, as violações de dados custam às organizações, em média, 2,8 milhões de libras por violação
• A maioria das violações de dados é maliciosa: mais de metade de todas as violações de dados resulta de algum tipo de atividade maliciosa.
• Como a mãe sempre dizia: «A preparação e o planeamento antecipados evitam maus resultados»: ter uma equipa de resposta a incidentes, testar o teu plano de resposta a incidentes, usar encriptação e formar os teus utilizadores são algumas das medidas que mais impacto têm.