O Brasil possui um desempenho abaixo de potências, como a Alemanhã, Japão, América do Norte (Estado Unidos e Canadá), Europa e Índia quando o assunto é cibersegurança. O estudo BR Cyber Threat Landscape, conduzido pela Bitsight, empresa representada no país pela JC2SEC, apresenta um diagnóstico de vulnerabilidades específicas em servidores Apache e da proliferação de malwares em dispositivos domésticos – especialmente Android – que comprometem a segurança nacional. Para as empresas, o maior desafio brasileiro não é a falta de monitoramento, mas a capacidade de converter visibilidade de risco em ações concretas de mitigação.
O estudo aponta que o Brasil apresenta uma maturidade cibernética intermediária, aproximando-se de economias como Japão e Índia, mas permanecendo abaixo dos pilares de referência da América do Norte e Europa. O levantamento também incluiu a China, sendo este país a pior média entre os seis países estudados.
Ao alinhar todos os países e avaliar de quatro segmentos – saúde, tecnologia, educação e financeiro –, o Brasil fica ligeiramente abaixo da Índia, na média, e acima da China. Com relação aos demais – América do Norte, Alemanha e Japão – o país está abaixo.
Em uma comparação com a América do Norte, o Brasil fica 25 pontos atrás, em média. E, com relação à Europa, a diferença média é de 16 pontos. Em todos os setores analisados, o país está abaixo. A maior diferença está no setor financeiro: 40 pontos. América do Norte e Europa estão empatados com 760 pontos enquanto o Brasil está com 720.
Já a Saúde é o setor com a menor distância. Enquanto as duas potências estão também empatadas com 740 pontos, o Brasil está com 730, ficando somente a 10 pontos de diferença.
Por outro lado, educação e telecomunicações são dois setores em que o Brasil apresenta o pior desempenho, ainda na comparação com América do Norte e Europa.
“Telecom tem o componente do gigantismo do setor. E, nesse caso, algumas infraestruturas não são geridas pela operadora. Isso, então, não significa que uma grande operadora de celular do Brasil tenha uma nota ruim, mas, eventualmente, é possível discernir a nova corporativa e a infraestrutura hospedada naquela empresa e que pode baixar a sua nota”, explica Carlos Alberto Costa, CEO da JC2Sec, durante apresentação do estudo para a imprensa.
O estudo
A Bitsight fornece notas que variam de 250 a 900 e se assemelham a um score de crédito para apresentar a reputação da empresa. Na primeira categoria, a básica, a pontuação vai de 250 a 630; a intermediária, de 640 a 730; e a avançada, de 740 a 900. Ou seja, o Brasil está entre 640 e 730 pontos.
A empresa que realiza o estudo observa 25 vetores, como certificados, portas abertas, aplicações de web, vulnerabilidades, sendo que cada um possui um peso relativo.
Para o estudo encomendado pela JC2Sec, a Bitsight avaliou a exposição em oito setores críticos: saúde, financeiro, serviços, energia e recursos, tecnologia, indústria, educação e telecomunicações. O levantamento revela que o país concentra mais da metade dos incidentes digitais da América Latina.
Vale dizer que a Bitsight avalia qualquer tipo de empresa – seja pequena, média ou grande – que tenha uma “pegada digital”, ou seja, que precise de um domínio ou IP. São 40 milhões de empresas no mundo, e 400 bilhões de eventos de segurança são processados diariamente em aproximadamente 4 bilhões de de endereços de IPv4 e IPv6 pesquisáveis. A Bitsight também observa mais de 250 milhões de hostnames e, na dark web, é capaz de investigar mais de 7 milhões de itens de inteligência e mais de 1 mil fontes underground monitoradas.
Cibersegurança: como melhorar
Para Costa, é essencial que governos tenham uma preocupação com as infraestruturas críticas.
“Costumo brincar que, no Brasil, o tem três formas de o cara investir em segurança. O primeiro é quando tem um regulador brigando, um Banco Central etc. O segundo é quando ele é atacado, ou ele ou a empresa do lado é atacado, aí ele se motiva, desperta para aquele assunto e tal. E um terceiro que vem acontecendo muito, é que cada vez mais os investidores, ao decidir comprar uma empresa, botar dinheiro, ele está preocupado com essa maturidade de cibersegurança. Porque o dinheiro dele pode estar em risco (16:27) se a empresa não tem boas práticas de ciber”, explica o executivo.
Não à toa, a JC2Sec tem sido demandada por análises para investidores.
Outro ponto observado pelo CEO da JC2Sec é que as companhias precisam exigir boas práticas em cibersegurança a seus fornecedores. “Quando falamos da cadeia de suprimentos, as grandes empresas têm de ter um papel hoje de fomentar o seu ecossistema para que todo o mundo na cadeia se beneficie e melhore”, explica.
Para Larissa Brito, account executive da Bitsight, acredita que a cibersegurança é uma questão coletiva e que, quando uma empresa aprimora suas salvaguardas, ela contribui para melhorar o ecossistema e a cadeia de suprimentos. Seu aprimoramento e evolução acabam impactando toda a cadeia daquele setor. Brito também lembra que a cibersegurança deixou de ser uma questão de TI. “Hoje em dia, a cibersegurança é uma questão financeira, de reputação de marca, é muito mais complexo do que apenas um bracinho do setor de TI”, resume.
