As soluções de cibersegurança são mais procuradas do que nunca. Mas a falta de trabalhadores qualificados e de know-how torna a operação uma tarefa insuperável para muitas empresas sem ajuda externa.
Por Richard Ruf
Há muito tempo que é evidente: a cibercriminalidade deixou para trás o mundo da ficção científica. Particulares, empresas e instituições governamentais estão cada vez mais a tornar-se alvos de ataques através da Internet. “A situação da segurança informática chegou a um ponto alto”, destaca o Gabinete Federal de Segurança da Informação (BSI) no seu relatório sobre o estado da segurança informática na Alemanha em 2022.
As empresas alemãs também sentem a crescente ameaça dos cibercriminosos: quase 77% relatam um número crescente de incidentes cibernéticos em 2022 em comparação com o ano anterior, como mostra o estudo “Cybersecurity 2022” realizado pela CIO, CSO e COMPUTERWOCHE em cooperação com a Arctic Wolf, Damovo e AWS. De acordo com outro estudo, os danos causados pela cibercriminalidade só em 2022 estão estimados em mais de 200 mil milhões de euros.
Como podem as empresas acompanhar este rápido desenvolvimento, tendo em conta o risco em constante crescimento? Como muda o papel dos prestadores de serviços de segurança quando há falta de pessoal e de conhecimentos técnicos nos departamentos de TI das empresas devido à escassez de trabalhadores qualificados? O painel de peritos da COMPUTERWOCHE discutiu o tema da Segurança como Serviço (SECaaS).
Maior aceitação e atenção na gestão
A boa notícia é que o debate há muito que chegou ao coração das empresas, existe um consenso a este respeito. Isto deve-se sobretudo ao facto de a visibilidade do tema ter aumentado consideravelmente. Nos últimos anos, tem havido repetidas notícias sobre empresas bem conhecidas que têm sido vítimas de cibercriminosos – incluindo Adobe, Sony e eBay. Mas o diálogo entre empresas também cria uma maior consciência da segurança informática e assegura uma melhor perceção da sua própria configuração.
Assim, onde há anos a falta de sensibilização dificultou as discussões sobre as medidas de segurança cibernética necessárias, muitos decisores têm agora frequentemente uma visão holística do tema. “Estamos a assistir a uma maior aceitação e consciencialização da questão da segurança entre os gestores”, explica Florian Macher, Team Leader Infrastructure & Workplace Security na Bechtle. A procura de serviços de segurança tem aumentado de forma maciça nos últimos anos.
Setor privado mais à frente do que público
No entanto, os peritos veem grandes diferenças a este respeito entre os setores privado e público. Embora as empresas privadas tenham compreendido amplamente a necessidade da cibersegurança, esta consciencialização nem sempre parece ter-se instalado nas instituições públicas. O diretor executivo da Consulting4IT, Mirko Oesterhaus, está preocupado com esta situação, uma vez que as empresas públicas são um alvo particularmente popular, especialmente tendo em conta a situação política global. “Ali, não são indivíduos ou empresas que são atacados, mas estados com recursos praticamente inesgotáveis”, descreve Oesterhaus. Se os ataques estatais se tornassem a regra, toda a segurança informática seria virada de cabeça para baixo.
Para além da falta de responsabilidade e da menor urgência económica no sector público, o painel de peritos cita a falta de flexibilidade como a principal razão. Embora a vontade de agir exista nalguns casos nos departamentos de TI da instituição, os longos processos de tomada de decisão e os concursos lentos asseguram frequentemente que as empresas públicas se movimentam demasiado lentamente na área da cibersegurança.
Escassez de trabalhadores qualificados aumenta procura de serviços de consultoria e gestão
Outro problema, porém, afeta tanto as empresas privadas como as públicas: a falta de trabalhadores qualificados. Porque, para tornar o conjunto de ferramentas cada vez mais complexo gerível, as empresas precisam não só de tecnologias fiáveis, mas sobretudo de recursos humanos suficientes nos departamentos de TI. E é precisamente isso que muitas vezes falta.
Por esta razão, o papel dos fornecedores de segurança como um serviço está a mudar cada vez mais. Há muito tempo que os clientes não só pedem soluções, como também recorrem cada vez mais ao know-how dos prestadores de serviços. Peter Lehmann, especialista de vendas internas para a segurança na Dell Technologies, afirma: “Os clientes são confrontados com um enorme grau de complexidade e apercebem-se de que já não conseguem lidar com ela em termos de pessoal.
Muitas empresas estão a dar-se conta de que a tecnologia por si só não conduz ao resultado desejado, afirmam os especialistas. A formação e sensibilização dos funcionários, bem como o recrutamento adequado de novos colegas, são também parte integrante do funcionamento da segurança informática. “Especialmente quando os clientes migram para a nuvem, estão muitas vezes ocupados a assegurar-se de que o sistema funciona de todo. A consequência: a segurança ocupa um lugar secundário porque os empregados necessários com a especialização correspondente estão demasiado envolvidos ou faltam”, explica Ibrahim Koese, parceiro associado da Spike Reply. Por conseguinte, os prestadores de serviços são obrigados a assumir estas tarefas e a prestar apoio.
Hannes Hahn, consultor & auditor na Rödl & Partner, também vê uma necessidade crescente de consultoria e gestão entre os clientes. Os orçamentos para ferramentas técnicas estão frequentemente disponíveis, mas não para novas contratações. “Nós, prestadores de serviços, já não podemos apenas oferecer a tecnologia, mas devemos também fornecer as capacidades de gestão necessárias”, explica Hahn.
Alargar o know-how interno externamente
Então os fornecedores da SECaaS irão substituir, a longo prazo, os peritos em segurança nos departamentos de TI? Para Cornelius Kölbel, sócio-gerente, CEO e proprietário da NetKnights, tal questão não se coloca de todo. Trata-se antes de criar despedimentos. “É muito difícil para as empresas preverem quanto tempo podem reter o know-how interno. Os prestadores de serviços externos, por outro lado, são um recurso de conhecimento permanentemente planificável”, acrescenta Kölbel. O objetivo, diz ele, deve ser o de expandir o know-how externo em vez de eliminar o interno.
Ele recebe o acordo de Michael Herfordt, gestor de projetos / Consultor Sénior da DATAGROUP Business Solutions, que também vê as vantagens da externalização parcial. “As empresas consultam consultores fiscais externos, mesmo que o conhecimento necessário esteja disponível no departamento de contabilidade. Este é também o caso da segurança informática”, diz Herfordt. Claro que também há clientes que externalizam completamente a operação da sua segurança. Hoje mais do que nunca, os fornecedores de SaaS têm de ser capazes de reagir de forma flexível aos mais diversos requisitos e satisfazer os clientes onde estes se encontram.
Dificilmente controlável sem ajuda externa
Já não é suficiente que os prestadores de serviços de segurança simplesmente forneçam boas tecnologias. Consultoria, operação e apoio são requisitos essenciais que têm de preencher, uma vez que os clientes já não são muitas vezes capazes de os mapear por completo. Isto levanta inevitavelmente a questão de saber se a digitalização pode ser gerida de todo sem fornecedores de serviços de segurança. Os peritos respondem a esta questão com um claro não.
Ramon Weil, fundador e CEO da SECUINFRA, vê a necessidade de fornecedores de segurança simplesmente porque as autoridades são frequentemente impotentes no caso da cibercriminalidade. Se os criminosos invadissem uma loja de departamentos com um camião e limpassem a loja, a polícia estaria no local imediatamente. “Na Internet, algo assim acontece todos os dias e a polícia não está em condições de ajudar em nada”, explica Weil. É por isso que as empresas têm de criar um sistema de segurança funcional, o que muitas vezes não é viável, tendo em conta as exigências tecnológicas e de pessoal. Nestes casos, os prestadores de serviços de segurança modernos atuam como um serviço de segurança privado na rede.
O perito da Bechtle, Florian Macher, refere que a transformação digital afeta toda a substância do negócio e, portanto, já agrupa muitos recursos. Para muitas empresas, é simplesmente inviável construir um cenário de segurança de ponta para além disso. Macher tem a certeza de que os fornecedores de SaaS continuarão a desempenhar um papel extremamente importante para as empresas no futuro: “Os fornecedores de serviços de segurança agregam conhecimentos e experiência. Isto coloca-os numa posição que lhes permite fornecer um valor acrescentado relevante aos seus clientes”.
A necessidade de segurança informática de alto desempenho continuará, portanto, a tornar-se mais urgente no futuro, e o papel dos fornecedores de serviços será ainda mais complexo. As empresas e os fornecedores de SaaS devem aproximar-se cada vez mais para dominar os desafios na área da segurança cibernética.