Regulação e ataques cibernéticos forçam companhias de capital aberto a investirem em cibersegurança
Em meio a um constante aumento do número de ataques cibernéticos no país e uma mudança de perfil dessas ameaças, que ficam cada vez mais sofisticadas e podem gerar interrupções na cadeia de suprimento e grandes prejuízos financeiros, empresas brasileiras de capital aberto passam a olhar mais atentamente para a cibersegurança. O resultado é uma ampliação dos investimentos na área.
Segundo dados da TrendMicro, multinacional de cibersegurança, em 2023 o Brasil enfrentou um aumento significativo nos ataques cibernéticos, como phishing e fraude digital. No período, os ciberataques tiveram recorde no país, totalizando 161 bilhões de ameaças bloqueadas, crescimento de 10% comparado ao ano anterior. Entre os setores mais afetados pelos ataques de 2019 a 2023, estão o bancário, a indústria, a saúde, o governo e a educação.
Saiba identificar, avaliar e investir em startups com potencial disruptivo no curso Corporate Venture Capital
No segundo trimestre de 2024, os ciberataques continuaram ganhando terreno mundialmente, com o Brasil sendo um dos principais alvos, de acordo com dados da Check Point Research, especializada em proteção contra ciberameaças, que compila dados semanais. No país, houve um aumento de 67% dos ciberataques, com 2.754 tentativas por semana.
As ameaças digitais afetam principalmente setores que dispõem de informações sensíveis, o que reforça a necessidade de aumentar os investimentos em cibersegurança. Há poucos anos, companhias como a JBS, uma gigante da Bolsa de Valores, inclusive, sofreu um ataque que levou a uma interrupção significativa na cadeia de suprimentos, que obrigou a companhia a pagar um resgate para restaurar os sistemas.
“As companhias de capital aberto, especialmente aquelas operando em setores críticos como energia e telecomunicações, enfrentam uma variedade de ataques cibernéticos que podem afetar severamente suas operações”, destaca Marcelo Branquinho, CEO da TI Safe, empresa de segurança cibernética industrial no Brasil.
Alguns dos mais comuns, segundo o CEO, incluem ransomware, que criptografa os dados da empresa, exigindo um resgate para liberar o acesso, como foi o caso da JBS, em 2021. Para empresas de capital aberto, o impacto pode incluir interrupções operacionais, perda de receita e danos à reputação, além de potenciais multas e processos legais. Também há os famosos phishing e spear phishing, direcionados principalmente a funcionários, visando roubar credenciais ou instalar malware, que podem resultar em violações de dados sensíveis e comprometer informações confidenciais que podem afetar o preço das ações e a confiança dos investidores. Outros ataques são os DDoS (Distributed Denial of Service, na tradução livre, ataque de negação de serviço) visam sobrecarregar os sistemas de uma empresa, tornando-os indisponíveis; e os Exploits de Vulnerabilidades em Sistemas de Controle Industrial (ICS), que, especificamente para empresas de infraestrutura crítica, como as do setor elétrico, podem interromper operações essenciais, como o fornecimento de energia. “O impacto pode ser catastrófico, com possíveis implicações de segurança nacional e graves consequências financeiras e regulatórias”, diz Branquinho.
Mais recentemente, em julho, o mercado sofreu um impacto em larga escala que, embora não tenha sido derivado de um ataque cibernético, envolve questões de cibersegurança e investimento em tecnologia. O chamado “apagão cibernético global”, gerado por uma falha na atualização de sistema da Crowdstrike, que fornece soluções antivírus conectadas à internet, fez o sistema operacional Windows, da Microsoft, cair, afetando empresas no mundo todo. A falha gerou, inclusive, uma queda nas Bolsas de Valores e sistemas de corretoras. Segundo estimativas do Anderson Economic Group, os prejuízos com o evento poderiam facilmente ultrapassar US$ 1 bilhão. Uma estimativa da seguradora Parametrix, excluindo a Microsoft, aponta que o evento pode ter gerado um prejuízo de US$ 5,4 bilhões para as empresas da Fortune 500, que compila as companhias mais valiosas da Bolsa dos EUA.
PUBLICIDADE
No Brasil, durante o evento, gigantes como XP, Bradesco e Azul foram impactadas. Rapidamente, as companhias divulgaram ao mercado atualizações sobre o impacto em suas operações e seu reestabelecimento, em linha com as exigências da Comissão de Valores Mobiliários (CVM). O regulador, embora não tenha uma regra específica sobre o tema, dispõe sobre o dever dos emissores de valores mobiliários, em seu formulário de referência (FRE), divulgar os riscos relevantes dentre os quais poderão ser considerados, sempre que for o caso, os riscos cibernéticos, na Resolução 80, e estabelece princípios gerais que orientam as empresas sobre quais informações devem ser divulgadas ao mercado.
Preocupação crescente
Segundo a pesquisa Pulse de junho de 2024, de líderes de CRO e gestão de riscos da PwC, duas das principais preocupações dos executivos incluem a disrupção tecnológica, que 71% dizem ser um risco moderado ou sério para sua empresa, seguida por ataques cibernéticos mais frequentes e/ou mais amplos (67%).
A boa notícia é que os líderes de risco entendem o desafio e estão priorizando as ações de resiliência necessárias. Mas mover a organização da conscientização para a ação exigirá a execução de prioridades estratégicas de gerenciamento de risco, de acordo com a pesquisa da PwC.
Já localmente, “o Brasil tem aumentado gradativamente o investimento em segurança cibernética, especialmente entre as empresas de capital aberto que operam em setores regulados. Esses investimentos incluem adaptação às Normas, como a IEC 62443, e às regulamentações locais como a RO-CB.BR.01 da ONS; Tecnologia de Ponta, como firewalls de próxima geração, sistemas de detecção de intrusões (IDS), e soluções de monitoramento contínuo via SOCs industriais (ICS-SOC), e investimento em capacitação e treinamento”, diz Branquinho, da TI Safe.
Apesar da preocupação crescente com o tema, há obstáculos no caminho para gerenciar melhor esses riscos. O levantamento da PwC aponta que pressões financeiras estão limitando o financiamento para identificação de riscos emergentes (73%), o monitoramento avançado de riscos (75%) e serviços de terceiros (71%). Além disso, apenas cerca de um terço dos líderes de risco são incluídos em decisões-chave de resiliência em torno de operações, tecnologia e gerenciamento de TI.
Já no Brasil, os desafios em relação à cibersegurança, especificamente, incluem a defasagem tecnológica em comparação com nações mais avançadas, com muitas empresas ainda em processo de digitalização, o que expõe tanto sistemas legados quanto novos a vulnerabilidades; a falta de Profissionais especializados em cibersegurança, particularmente no setor de TO e desafios de Governança. “Muitas empresas ainda estão desenvolvendo suas políticas de governança de cibersegurança, o que é crucial para assegurar conformidade regulatória e proteção adequada contra ameaças cibernéticas”, aponta Branquinho.
Para superar os desafios e mitigar esses riscos de cibersegurança, tentando nivelar a equação e se alinhar com os padrões internacionais, segundo o CEO da TI Safe, as empresas brasileiras de capital aberto têm adotado sistemas de proteção, como firewalls de última geração, segmentação de redes operativas, e soluções de Zero Trust específicas para ambientes industriais; implementado frameworks de segurança baseados em normas internacionais como a IEC 62443 (série de padrões que abordam a segurança cibernética para tecnologia operacional em sistemas de automação e controle), além de atender às regulamentações locais, como as da ANEEL e ONS.
“Esse investimento e foco em cibersegurança são fundamentais para que as empresas brasileiras de capital aberto possam reduzir os riscos e aumentar a resiliência contra ataques cibernéticos, equiparando-se aos padrões internacionais de segurança”, diz Branquinho. Os investimentos vêm em boa hora. Segundo avaliação da Cybersecurity Ventures, os ataques hackers devem causar um impacto de US$ 10,5 trilhões na economia global até 2025.