Eis como calcular o retorno do investimento (ROI) da formação dos teus colaboradores numa campanha de sensibilização para a segurança.
Um estudo do Departamento de Cultura, Media e Desporto (DCMS) revelou que 39% das empresas do Reino Unido foram alvo de um ciberataque em 2022. O custo destas violações não é de desprezar. O relatório do DCMS calculou que o impacto financeiro de um único ciberataque custou a uma empresa de média dimensão 19 400 libras. Quando pensas que as organizações estão diariamente sob a ameaça de ciberataques, isto é motivo de preocupação.
A formação em sensibilização para a segurança é uma das medidas que pode reduzir a probabilidade de um ataque acontecer ou avançar. Isso traduz-se numa redução dos custos associados a um ataque. Mas será que o risco de um ataque compensa o custo de realizar essa formação?
Elementos a ter em conta ao calcular o ROI de uma campanha de sensibilização para a segurança
Antes de começares a pensar se «vale a pena investir na formação em segurança», é preciso fazer um inventário dos aspetos envolvidos. Um ataque de cibersegurança e/ou uma violação de dados envolve muitos fatores, cada um com custos tangíveis e intangíveis.
Aqui tens uma visão geral de alguns dos custos mais prováveis de um ciberataque:
A perda financeira direta resultante de um ciberataque
O impacto direto de um ciberataque depende tanto do tipo de ciberataque como da organização. Por exemplo, um ataque de ransomware pode implicar o pagamento de um resgate (embora o pagamento não seja uma estratégia recomendada). No entanto, vale a pena referir que os montantes dos resgates têm vindo a aumentar nos últimos anos.
Um relatório da Nordlocker revelou um aumento de 78% no valor médio pago em casos de ransomware, elevando o resgate para a impressionante quantia de 541 010 dólares (478 000 libras).
Os custos decorrentes de um ciberataque também podem incluir danos nos sistemas de TI, o tempo gasto a resolver o problema e ações coletivas: no Reino Unido, o número de ações coletivas após um ciberataque aumentou 120% entre 2018 e 2020.
O custo médio de um ciberataque deve ser tido em conta no cálculo do retorno sobre o investimento (ROI) de uma campanha de sensibilização para a segurança. No entanto, isso também deve refletir o número médio de ataques por ano. De acordo com o relatório do DCMS, 31% das empresas e 26% das instituições de caridade estimam que foram atacadas pelo menos uma vez por semana.
Tempo e trabalho necessários para conter uma falha de segurança
Uma das consequências de um ciberataque é a dificuldade em localizar a cadeia de exploração e conter os danos. Um relatório da IBM sobre o custo de uma violação de dados revelou que, em 2022, o tempo médio para conter uma violação foi de 277 dias. Durante esse tempo, os custos vão-se acumulando.
Deves incluir o tempo de inatividade dos sistemas de TI, o apoio técnico e as perdas de produtividade estimadas no teu cálculo do ROI de uma campanha de sensibilização para a segurança.
Prejuízo à reputação
Os danos à reputação são intangíveis e, por isso, difíceis de quantificar. No entanto, há muitos fatores que entram em jogo depois de um ciberataque que resulte numa reputação negativa. Entre eles está uma perda geral de confiança que afeta os clientes, o preço das ações e o ecossistema de parceiros.
Esta perda de confiança é especialmente grave quando os clientes abandonam uma empresa na sequência de uma violação de segurança. Um estudo da YouGov e da Okta revelou que 88% dos clientes deixam de utilizar os serviços de uma empresa se acharem que esta não é de confiança para proteger os seus dados.
Os danos à reputação são difíceis de quantificar e, por isso, de incluir numa equação, mas podes ter alguns dados sobre a perda de clientes através de soluções de inteligência empresarial (BI).
Incumprimento e multas
Várias normas de proteção de dados, incluindo a PCI-DSS e o RGPD, exigem ou incentivam fortemente a realização de formação em sensibilização para a segurança. Por isso, se conseguires demonstrar que a tua organização recorre a essa formação, qualquer ação regulatória posterior deverá ter isso em conta.
No entanto, ao calcular o ROI de uma campanha de sensibilização para a segurança, deves ter em conta o custo típico de uma multa por incumprimento no teu setor.
Podes consultar no Gabinete do Comissário da Informação (ICO) o valor das multas que podem afetar a tua empresa na sequência de uma violação de dados. Por exemplo, o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018 (DPA 2018) estabelecem uma multa máxima de 17,5 milhões de libras ou 4% do volume de negócios global anual.
Prémios de seguro
De acordo com um estudo da seguradora Hiscox, 63% das empresas do Reino Unido planeiam contratar um seguro cibernético como parte da sua estratégia. Além disso, os prémios podem ser reduzidos se diminuíres o risco através da formação dos funcionários em matéria de sensibilização para a segurança.
Inclui o custo do seguro cibernético no retorno sobre o investimento (ROI) de uma campanha de sensibilização para a segurança, como parte dos custos globais da tua estratégia de segurança.
Outros custos relacionados com o ROI incluem:
- O custo do pacote de formação e de quaisquer funcionalidades adicionais, como a formação em simulação de phishing.
- Custos administrativos relacionados com a gestão do programa.
- Tempo perdido porque um colaborador esteve a fazer exercícios de formação em sensibilização para a segurança.
Como calcular o ROI da formação em cibersegurança
Assim que tiveres os dados, podes inseri-los numa equação de ROI. Felizmente, já há quem tenha investigado como criar uma equação para a Formação em Consciência de Segurança.
Uma equação do ROI, na sua forma mais simples, fica assim:
ROI = Como calcular o ROI das campanhas de sensibilização para a segurança
Onde:
R = Retorno (Benefício)
I = Investimento (Custo)
No entanto, como já viste, calcular o R e o I no que diz respeito à segurança é mais complicado, pois existem custos intangíveis, como os danos à reputação.
Felizmente, quem trabalha no setor da segurança já analisou a complexidade de calcular o retorno do investimento (ROI) na formação em segurança. O Michael Coden, por exemplo, recorre a estudos do Instituto de Tecnologia de Massachusetts (MIT).
Um estudo do MIT baseia o cálculo dos custos dos incidentes de cibersegurança nas etapas que conduzem a um incidente de cibersegurança. Esta investigação foi utilizada para desenvolver um quadro conhecido como STACHT. Com base neste quadro, a Coden desenvolveu uma equação para o ROI de projetos de cibersegurança (como campanhas de formação em sensibilização para a segurança) que inclui:
Onde:
Probabilidade de uma violação (PC) = ameaças multiplicadas por vulnerabilidades
Impacto de um compromisso (IC) = ativo multiplicado pelas perdas, caso ocorra um compromisso
A equação de Coden é utilizada em cada projeto e indica o ROI provável com base nas estimativas.
Uma perspetiva mais qualitativa do retorno do investimento nas campanhas de sensibilização para a segurança
Tem em conta que calcular o ROI da formação em sensibilização para a segurança pode não se resumir a inserir dados numa equação. Em vez disso, basta fazer uma lista dos custos e impactos potenciais de um ciberataque para demonstrar que a formação em sensibilização para a segurança vale a pena.
Os seres humanos continuam a ser o alvo dos cibercriminosos; se houver alguma forma de quebrar este ciclo, isso vai, naturalmente, levar a uma redução do risco e dos custos.
Um relatório da Osterman descreveu a formação em cibersegurança como «essencial» na prevenção de ciberataques. O relatório destaca a eficácia da formação em segurança, com dados que mostram, por exemplo, que apenas 11% dos colaboradores conseguiam identificar um e-mail de phishing antes da formação, mas, depois da formação, 64% conseguiram detetar tentativas de phishing. Evidências como esta podem ser super eficazes na hora de avaliar os benefícios de realizar uma campanha de sensibilização para a segurança.