Humanidades
Que lições sobre resiliência cibernética podem ser aprendidas com os ataques nas ruas principais do Reino Unido?
A saga em curso destaca a importância estratégica não apenas de proteger as principais operações comerciais contra ameaças cibernéticas, mas também de minimizar os impactos de incidentes cibernéticos...
Por
Oxford - 16/05/2025
Os recentes ataques cibernéticos de grande repercussão demonstram a necessidade crucial de as empresas cultivarem a resiliência cibernética: uma abordagem organizacional ampla para a segurança que vá além da segurança cibernética tradicional. Crédito da imagem: Pakin Jarerndee, Getty Images.
A Dra. Patricia Esteve-Gonzalez, do Centro de Capacidade de Segurança Cibernética Global (GCSCC) da Universidade de Oxford , Departamento de Ciência da Computação, e Luna Rohland, do Centro de Segurança Cibernética do Fórum Econômico Mundial, descrevem como as organizações podem adotar uma abordagem estratégica para minimizar os impactos de ataques cibernéticos.
Desde o fim de semana da Páscoa, a Marks & Spencer (M&S), uma das maiores varejistas de rua do Reino Unido, vem lidando com as consequências de um ataque cibernético às suas operações comerciais. Isso forçou a empresa a suspender pedidos online, levou à escassez de produtos nas prateleiras, aumentou a demanda de trabalho dos funcionários e reduziu o valor das ações em £ 750 milhões.
Mesmo três semanas depois, ainda não há indicação de quando essas interrupções terminarão e quando a M&S poderá retornar às atividades normais. Essa incerteza ameaça não apenas continuar impactando os lucros, mas também causar danos duradouros à reputação e minar a confiança da marca.
A saga em curso destaca a importância estratégica não apenas de proteger as principais operações comerciais contra ameaças cibernéticas, mas também de minimizar os impactos de incidentes cibernéticos significativos quando eles ocorrem. Essa dupla abordagem é conhecida como resiliência cibernética e é objeto de uma nova pesquisa entre o Centro Global de Capacidade de Segurança Cibernética (GCSCC) e o Centro de Segurança Cibernética do Fórum Econômico Mundial .
O que é resiliência cibernética?
A resiliência cibernética é uma abordagem organizacional ampla à segurança que vai além da segurança cibernética tradicional, reconhecendo que nenhuma organização é mais capaz de ser 100% segura. Ela incentiva as organizações a assumir que incidentes significativos, como o ataque da M&S, ocorrerão e a implementar medidas (pré, durante e pós-incidente) que lhes permitam absorver, recuperar e aprender com os eventos.
A abordagem desafia as entidades a considerarem as diversas maneiras pelas quais são vulneráveis e como podem limitar os potenciais impactos. Isso pode envolver garantir que as operações normais possam continuar quando ocorrerem interrupções no sistema ou limitar os danos que podem surgir de um comprometimento da confidencialidade dos dados, como minimizar o impacto na reputação.
Organizações líderes estão migrando para a resiliência cibernética como prioridade estratégica para limitar o impacto de incidentes cibernéticos diante dos desafios crescentes. De acordo com o Relatório Global de Perspectivas de Cibersegurança do Fórum Econômico Mundial de 2025, 72% das organizações observaram um aumento nos riscos de cibersegurança para suas operações entre 2024 e 2025. Essa tendência é exacerbada por ataques aprimorados por IA, que são mais sofisticados e escaláveis, tensões geopolíticas crescentes e um cenário de risco imprevisível na cadeia de suprimentos, além de outros fatores.
Em um sentido visual, organizações ciber-resilientes são aquelas que sabem como reduzir o círculo de impacto:
Gráfico demonstrando o impacto de um ataque cibernético como uma curva em forma de AV com os estágios de incidente, absorção e recuperação.
Adaptado pelo Fórum Econômico Mundial e pela Universidade de Oxford de Linkov, I., & Trump BD (2019). "A ciência e a prática da resiliência: Risco, sistemas e decisões." Capítulo 6, Springer. https://doi.org/10.1007/978-3-030-04565-4
Como a resiliência cibernética pode ser alcançada?
Alcançar a resiliência cibernética é um processo complexo e contínuo que exige mais do que uma única ação ou ferramenta. A resiliência não pode ser padronizada e as ações específicas que cada organização toma para fortalecer sua resiliência cibernética variam dependendo do contexto.
No entanto, lições podem ser extraídas das experiências de linha de frente e dos aprendizados práticos das organizações. Esta pesquisa mais recente, realizada entre o GCSCC e o Fórum Econômico Mundial, descreve as práticas utilizadas por líderes cibernéticos globais para aprimorar a resiliência cibernética de suas organizações. O Cyber Resilience Compass visa compartilhar essas práticas com outras organizações e as categoriza em sete áreas interrelacionadas para estabelecer e aprimorar a resiliência:
Liderança : definir metas, tomar decisões e fornecer direção em relação à segurança cibernética.
Governança, Risco e Conformidade : trata de mecanismos para gerenciar riscos e atender aos requisitos de conformidade.
Pessoas e Cultura : estratégias e práticas para construir e reter uma força de trabalho.
Processos de negócios : abordagens para priorizar, projetar, implementar e adaptar funções.
Sistemas Técnicos : abordagens para projetar, implantar e manter ferramentas e controles de Tecnologia da Informação, Tecnologia Operacional, nuvem e segurança cibernética.
Gestão de Crises : componentes usados para responder e se recuperar de incidentes e outras crises que afetam sua resiliência.
Gestão de ecossistemas : abordagem de uma organização ao seu ecossistema mais amplo, incluindo sua cadeia de suprimentos, clientes, concorrentes e reguladores.
"A resiliência cibernética não deve ser vista como um ideal, mas sim como um imperativo organizacional. As empresas devem assumir que serão a próxima vítima de um incidente cibernético significativo, e os líderes devem agir para se preparar, absorver, responder e aprender com os incidentes de forma adequada."
As partes interessadas devem considerar estas áreas transversais sugeridas para adotar de forma abrangente uma abordagem de resiliência cibernética em suas organizações. Baseadas em insights coletados por especialistas cibernéticos renomados em diversas regiões e setores, cada categoria define o que resiliência significa naquela área específica e lista exemplos de práticas específicas que as organizações têm aplicado para aprimorar sua resiliência. Essas práticas são ainda respaldadas por estudos de caso reais ilustrativos fornecidos por especialistas.
Em última análise, o objetivo do Cyber Resilience Compass não é apenas fornecer insights estáticos, mas se tornar um veículo para a troca de experiências de linha de frente — uma ferramenta dinâmica que serve como referência para que os líderes cibernéticos aprimorem suas estratégias de resiliência cibernética.
Atendendo às lições das ruas principais
Embora ainda não conheçamos todos os fatos sobre os recentes ataques cibernéticos da M&S, eles forneceram mais um exemplo dos custos de uma abordagem tradicional à segurança cibernética. Felizmente, por meio de recursos como o Cyber Resilience Compass , as organizações também estão equipadas com exemplos práticos de como adaptar sua abordagem em um ambiente complexo e em evolução.
No mundo digitalmente dependente de hoje, a resiliência cibernética não deve ser vista como um ideal, mas sim como um imperativo organizacional. As empresas devem assumir que serão a próxima vítima de um incidente cibernético significativo, e os líderes devem agir para se preparar, absorver, responder e aprender com os incidentes adequadamente. Se não o fizerem, é apenas uma questão de quando serão a próxima manchete de advertência, e não se ...
