Como é que se pode redefinir a resiliência para a próxima fronteira das vulnerabilidades?

O setor de Banking & Capital Markets destacou-se no nosso estudo pela solidez da sua postura em matéria de cibersegurança, o que provavelmente reflete o peso das expectativas regulatórias em matéria de resiliência operacional, comunicação de incidentes e supervisão de terceiros. Nos Estados Unidos, os bancos estão sujeitos a requisitos formais de notificação de incidentes de cibersegurança e, na Europa, a DORA elevou ainda mais os padrões em matéria de gestão de riscos das TIC, testes de resiliência e supervisão dos prestadores de serviços críticos. Mesmo assim, o sector não está imune à próxima onda de vulnerabilidades em matéria de cibersegurança, à medida que a IA é cada vez mais integrada na interação com os clientes e nos ambientes de dados, especialmente nos casos em que são introduzidas novas funcionalidades através de APIs, integrações com parceiros e plataformas tecnológicas partilhadas.

Principais conclusões do estudo sobre o sector

• O setor de Banking & Capital Markets apresenta uma visibilidade superior à média, em comparação com todos os outros setores.
• No entanto, muitos ativos dispõem de uma cobertura cibernética insuficiente, especialmente contas na nuvem e zonas de aterragem, assistentes de IA de atendimento ao cliente e fornecedores de centros de dados.
• O ritmo acelerado da mudança poderá criar novas vulnerabilidades para o setor. Os ativos de Banking & Capital Markets apresentam uma frequência de alterações superior à média, o que exige atualizações nos controlos de segurança. Por exemplo, 35% dos inquiridos afirmaram que as APIs de banca aberta e as integrações com parceiros sofrem alterações mensais ou mais frequentes que exigem atualizações nos controlos de cibersegurança.

O modelo operacional da Wealth & Asset Management depende fortemente de fornecedores externos nas áreas de cloud, SaaS, investigação, dados de mercado e serviços de back-office externalizados. À medida que a IA se expande para o atendimento ao cliente e os fluxos de trabalho internos, o desafio passa a residir na compreensão de um vasto ecossistema de serviços que pode ter acesso a dados sensíveis ou a processos interligados, especialmente porque a deteção mais rápida de vulnerabilidades pode encurtar o caminho desde um fornecedor externo vulnerável até ao movimento lateral para os fluxos de trabalho centrais e os serviços de atendimento ao cliente.

Principais conclusões do estudo sobre o sector

• Trinta e dois por cento dos ativos do setor de Wealth & Asset Management encontram-se na zona de vulnerabilidade.
• Uma preocupação notável reside nos ecossistemas, com menos de um quarto dos inquiridos a afirmar que tinham visibilidade sobre os fornecedores de serviços na nuvem, de SaaS e de centros de dados, bem como sobre os fornecedores de serviços de investigação ou os prestadores de serviços administrativos externalizados. Isto poderá assumir maior importância nos casos em que esses prestadores tenham acesso à rede ou apoiem fluxos de trabalho críticos.

O facto de ser um dos principais alvos de ciberataques acarreta riscos específicos para as organizações do setor público &, que se encontram sob pressão para modernizar os seus serviços, nomeadamente através da adoção da IA e da integração de dados em sistemas mais digitais. As ferramentas de IA destinadas aos cidadãos e as APIs ligadas aos fornecedores podem melhorar a prestação de serviços, mas também introduzir novos pontos de exposição. A IA agentic pode ligar sistemas legados díspares, mas não elimina as vulnerabilidades legadas e pode aumentar o risco devido ao potencial alcance de um agente comprometido. Para as organizações do setor público, o principal desafio reside em saber se os controlos de segurança estão a ser atualizados com a rapidez necessária em todos os serviços públicos, nos ecossistemas de terceiros e fornecedores (incluindo dados alojados por fornecedores, dependências de software e prestadores de serviços externalizados) e nas interfaces conectadas que os esforços de modernização introduzem.

Principais conclusões do estudo sobre o sector

• Onze por cento dos ativos do Government & Public Sector encontram-se na zona de vulnerabilidade.
• Este é um dos sectores mais sólidos do estudo no que diz respeito à visibilidade e à cobertura de cibersegurança dos ativos, o que se deve, potencialmente, a um nível de segurança de base mais elevado nas organizações do setor público &, tendo em conta a maior probabilidade e sensibilidade dos incidentes de cibersegurança.
• Um possível motivo de preocupação é a IA destinada ao público, tendo apenas 31% dos inquiridos afirmado ter total visibilidade sobre os assistentes de IA utilizados nos serviços prestados aos eleitores, e apenas 18% afirmado dispor de controlos de cibersegurança completos sobre os mesmos.
• Os inquiridos do Government & Public Sector também referem uma visibilidade e uma cobertura de cibersegurança inferiores à média no que diz respeito às API públicas e privadas (apenas 31% referem visibilidade total e 20% referem cobertura total), bem como nas redes governamentais e na conectividade da rede principal (apenas 33% referem visibilidade total e 24% referem cobertura total).
• A aceleração dos esforços de modernização interna poderá criar novas vulnerabilidades para o setor. Apenas cerca de um terço dos inquiridos afirmou que os portais de atendimento ao público, as APIs públicas e privadas e as plataformas de acesso remoto para prestadores de serviços são alvo de alterações mensais ou mais frequentes que exigem atualizações nos controlos de cibersegurança.
• Apesar de reportarem uma exposição direta relativamente baixa, os governos podem continuar altamente expostos ao risco cibernético devido à dependência de infraestruturas críticas que, muitas vezes, são geridas fora do próprio âmbito governamental.

Os operadores de infraestruturas enfrentam um dos exemplos mais evidentes de como os riscos de cibersegurança se estão a aproximar cada vez mais das operações físicas. Os sistemas ferroviários, as infraestruturas de tráfego e os ativos de monitorização estrutural estão cada vez mais ligados a redes, mas muitos continuam a ser difíceis de monitorizar com o mesmo rigor que os sistemas empresariais. A Frontier AI acelera a deteção de vulnerabilidades nestes ambientes, ajudando os adversários a identificar configurações incorretas, autenticação fraca e vias de acesso remoto expostas em sistemas de tecnologia operacional (OT) e de monitorização. À medida que a conectividade se expande, os operadores necessitam de um inventário de ativos de ponta a ponta, de uma monitorização contínua e de segmentação para limitar o alcance de uma intrusão.

Principais conclusões do estudo sobre o sector

• Setenta e um por cento dos ativos do setor das infraestruturas encontram-se na zona de vulnerabilidade.
• A elevada percentagem de ativos na zona de vulnerabilidade indica que o risco de cibersegurança das infraestruturas se concentra em ambientes físicos e operacionais que, muitas vezes, são geridos fora do âmbito governamental, onde a visibilidade ou a cobertura limitadas aumentam a probabilidade de que as fragilidades cibernéticas se traduzam em perturbações dos serviços públicos ou tenham impactos na segurança.
• Para os operadores ferroviários, a sinalização ferroviária, os aparelhos de via e os equipamentos de controlo constituem uma preocupação significativa, tendo apenas 9% dos inquiridos afirmado terem total visibilidade sobre estes ativos.
• Outros ativos físicos apresentam baixa visibilidade, incluindo pontes, túneis e sensores de monitorização estrutural (16% apresentam visibilidade total), bem como semáforos, controladores e equipamento de beira de estrada (27% apresentam visibilidade total).
• Devido à natureza deste setor, os ativos de infraestruturas apresentam um ritmo de mudança inferior à média, o que constitui uma oportunidade para as organizações melhorarem a visibilidade e a cobertura.

As organizações dos setores Aerospace, Defense & Mobility parecem possuir uma disciplina de cibersegurança mais sólida do que a maioria dos setores, mas continuam a enfrentar pressões decorrentes da adoção da IA, de cadeias de abastecimento complexas e de um risco geopolítico acrescido. Muitas das funções mais essenciais do setor dependem de parceiros externos, desde a manutenção e reparação até aos fornecedores de equipamento especializado e de componentes. A resiliência em matéria de cibersegurança depende não só dos controlos internos, mas também do grau de compreensão que as organizações têm da segurança do ecossistema mais alargado que as rodeia, especialmente nos casos em que os próprios fornecedores possam ser alvo de atividades apoiadas pelo Estado.

Principais conclusões do estudo sobre o sector

• Sete por cento dos ativos do setor Aerospace, Defense & Mobility encontram-se na zona de vulnerabilidade.
• De um modo geral, os inquiridos referem uma melhor visibilidade e cobertura de cibersegurança dos seus ativos do que as empresas de outros setores, mas as organizações tendem a ter menos visibilidade sobre os seus ecossistemas do que sobre os seus outros ativos, incluindo parceiros de manutenção e reparação, parceiros da cadeia de abastecimento de chips especializados e hardware, e fornecedores de aviónica e componentes. Esta é uma potencial fonte de preocupação, uma vez que os terceiros são fundamentais para as operações neste setor, em particular para as empresas do setor da defesa, cujos fornecedores podem ser alvo de ciberataques patrocinados pelo Estado.
• O ritmo acelerado da mudança poderá criar novas vulnerabilidades para o setor. Vinte e dois por cento dos inquiridos afirmaram que as APIs públicas e privadas, o acesso remoto e os servidores de transição são alvo de alterações mensais ou mais frequentes que exigem atualizações nos controlos de cibersegurança.

À medida que os ativos industriais se tornam cada vez mais conectados e equipados com inteligência artificial, os fabricantes estão a avançar cada vez mais para zonas de vulnerabilidade, onde as lacunas de visibilidade e os controlos de cibersegurança ficam aquém da integração operacional. Ao mesmo tempo, a IA de ponta está a tornar mais rápido e fácil identificar e explorar essas vulnerabilidades, aumentando o risco para os sistemas que estão no cerne da produção.

Principais conclusões do estudo sobre o sector

• Quarenta e seis por cento dos ativos do setor dos Produtos Industriais encontram-se na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: sistemas e ferramentas de IA, ativos de OT e físicos, e ecossistemas.
• Os robôs industriais e os sistemas de automação destacam-se como um ponto fraco, com apenas 20% dos inquiridos a afirmarem que tinham total visibilidade sobre os mesmos e apenas 7% a afirmarem que dispunham de controlos completos de cibersegurança sobre os mesmos. É provável que os pontos cegos e as lacunas de cobertura venham a assumir maior importância, à medida que estes ativos se tornam cada vez mais ligados às redes e integrados com a IA.
• As cadeias de abastecimento foram consideradas, com menor frequência, como uma fonte de risco cibernético pelos inquiridos do setor dos produtos industriais, em comparação com outros setores. À medida que as empresas do setor industrial procuram uma maior transparência nas suas cadeias de abastecimento, o controlo da exposição ao risco cibernético poderá passar a ser uma prioridade.

As organizações do setor mineiro & Metals operam em ambientes em que os riscos de cibersegurança irão afetar cada vez mais os sistemas centrais de produção. À medida que a tecnologia operacional se torna cada vez mais interligada e dependente de software e de infraestruturas de rede, uma visibilidade e controlos insuficientes podem criar riscos operacionais diretos. Esse risco está a aumentar, uma vez que a IA de ponta facilita aos adversários a identificação de vulnerabilidades em sistemas que, muitas vezes, foram concebidos ou há muito considerados seguros, o que reforça a importância de implementar medidas de monitorização e proteção em torno dos ativos industriais que sustentam a produção.

Principais conclusões do estudo sobre o sector

• Sessenta e sete por cento dos ativos do setor da Mineração & e e Metais encontram-se na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: sistemas e ferramentas de IA, ativos digitais não relacionados com a IA, infraestrutura de rede, ativos físicos, ativos de dados e ecossistemas.
• Os sistemas de controlo industrial constituem um ponto fraco significativo, com apenas 18% dos inquiridos a afirmarem que tinham total visibilidade sobre as aplicações PLC e SCADA, e apenas 11% a afirmarem que dispunham de controlos cibernéticos completos sobre as mesmas.
• A infraestrutura de rede OT apresenta uma lacuna semelhante, com apenas 18% dos inquiridos a afirmarem que tinham visibilidade total sobre a mesma e apenas 16% a afirmarem que dispunham de controlos cibernéticos completos sobre a mesma.

As empresas dos setores do petróleo &, do gás e dos produtos químicos gerem os riscos de cibersegurança em operações de campo distribuídas, ambientes de controlo e vastas redes de subcontratantes e fornecedores. À medida que estes ambientes se tornam mais interligados, as consequências de uma visibilidade insuficiente ou de controlos deficientes agravam-se rapidamente. A Frontier AI agrava esse risco ao facilitar a identificação de vulnerabilidades exploráveis nos sistemas de controlo e nos ativos associados, que, na maioria das vezes, foram concebidos a pensar na disponibilidade e na segurança, e não na exposição contínua a intrusões cibernéticas avançadas, o que reforça a importância de proteger os ambientes de campo e de condutas com o mesmo rigor que o resto da empresa.

Principais conclusões do estudo sobre o sector

• Sessenta e sete por cento dos ativos do setor do Oil & Gas and Chemicals encontram-se na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: ativos digitais não relacionados com a IA, infraestrutura de rede, ativos na cloud, ativos físicos, ativos de dados e ecossistemas.
• As aplicações SCADA e de controlo para instalações no terreno e oleodutos constituem uma preocupação significativa, tendo apenas 18% dos inquiridos afirmado terem total visibilidade sobre as mesmas e apenas 13% afirmado disporem de controlos de cibersegurança completos sobre as mesmas.
• O hardware de controlo industrial encontra-se potencialmente em risco, tendo apenas 18% dos inquiridos afirmado ter total visibilidade sobre os PLC e os sistemas de segurança, e apenas 4% afirmado dispor de controlos de cibersegurança completos sobre os mesmos.

As empresas do setor Power & Utilities enfrentam um ambiente de cibersegurança marcado por uma cadeia de valor cada vez mais descentralizada, ativos operacionais cada vez mais interligados, infraestruturas antigas de longa duração e riscos geopolíticos persistentes. À medida que as redes de energia passam de um pequeno número de centrais elétricas centralizadas para um vasto ecossistema de ativos distribuídos, a superfície de ataque cibernético em expansão cria novos riscos. Um ataque coordenado às plataformas digitais, às redes de comunicações ou às centrais elétricas virtuais que coordenam os recursos energéticos distribuídos poderá ser mais desestabilizador do que a violação de uma única central física.

A esta situação acresce uma integração mais profunda entre as tecnologias da informação (TI) e as tecnologias operacionais (TO), bem como uma visibilidade limitada nos ambientes operacionais. À medida que os atores apoiados pelo Estado continuam a visar infraestruturas críticas, a IA de ponta reforça ainda mais o lado dos atacantes, facilitando a identificação de pontos fracos em sistemas que, historicamente, se supunha serem seguros por serem especializados, isolados ou de difícil acesso. No caso das empresas de serviços públicos, a prioridade está a passar da proteção de activos individuais para o reforço da visibilidade, do controlo e da resiliência em todas as redes OT, dispositivos de perifeia, comunicações no terreno e ecossistemas de terceiros que, cada vez mais, sustentam o fornecimento fiável de energia.

Principais conclusões do estudo sobre o sector

• O setor da Power & Utilities é um dos setores mais expostos. Setenta e um por cento dos inquiridos são classificados como "Empresas Vulneráveis" (o grupo de inquiridos com pior desempenho), e 46% m dos ativos do setor encontram-se na zona de vulnerabilidade, o que indica uma exposição generalizada em toda a base de ativos do sector.
• Os pontos mais vulneráveis situam-se na periferia operacional da rede. Apenas 16% referem ter visibilidade total sobre os contadores inteligentes e os equipamentos de comunicação no terreno, e apenas 16% referem ter uma cobertura completa em matéria de cibersegurança. As redes de comunicações das subestações encontram-se igualmente expostas, com 18% visibilidade total e 16% cobertura total.
• As lacunas em termos de visibilidade e controlo da OT criam riscos para a resiliência. Apenas 20% dispõem de visibilidade total sobre as redes OT de produção, transmissão e distribuição, enquanto apenas 24% referem ter uma cobertura total em matéria de cibersegurança, o que constitui uma lacuna crítica à medida que os ambientes operacionais se tornam cada vez mais interligados com os sistemas empresariais, as plataformas na nuvem e as ferramentas baseadas em IA.
• Os controlos cibernéticos não estão a acompanhar o ritmo das alterações nos ativos. Apenas 4% conseguem implementar na íntegra os controlos necessários num ativo recém-provisionado no prazo de 12 horas, enquanto 78% demoram entre um e 30 dias, um atraso significativo para um setor que está a adicionar dispositivos conectados, ativos de energia distribuída e integrações de terceiros.
• A IA e a geopolítica amplificam um modelo operacional já vulnerável. 80% concordam que a concorrência geopolítica em torno das tecnologias de IA está a aumentar o risco externo de cibersegurança; no entanto, apenas 38% afirmam estar bem preparados para as ameaças relacionadas com a IA e apenas 29% para as ameaças decorrentes da geopolítica, o que reforça a necessidade de considerar a resiliência em matéria de cibersegurança como parte integrante da fiabilidade da rede.

As empresas do sector do entretenimento estão a recorrer cada vez mais à IA para melhorar o planeamento de conteúdos, as previsões e o envolvimento do público. Ao mesmo tempo, o seu ecossistema operacional está a tornar-se cada vez mais interligado, criando riscos de cibersegurança que podem ter origem em diversas entidades, tais como a, (adtech), os parceiros de distribuição e os fluxos de trabalho de conteúdos, bem como nas próprias plataformas da organização. À medida que a IA de ponta melhora a velocidade e a qualidade da deteção de vulnerabilidades, pode encurtar o caminho entre uma plataforma externa ou ferramenta de fluxo de trabalho vulnerável e uma exposição mais ampla da empresa, especialmente em ambientes em que as receitas, o envolvimento do público e a distribuição de conteúdos dependem de um vasto conjunto de parceiros.

Principais conclusões do estudo sobre o sector

• Quarenta e três por cento dos ativos do sector do retalho encontram-se na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: sistemas e ferramentas de IA, ativos digitais não relacionados com a IA, infraestrutura de rede, activos físicos, ativos de dados e ecossistemas.
• Os inquiridos referem ter uma melhor visibilidade sobre os ativos tradicionais geradores de receitas, com 45% a afirmarem que tinham total visibilidade sobre as plataformas de interação com os clientes e 48% a afirmarem que tinham total visibilidade sobre as plataformas de alojamento e distribuição de conteúdos.
• A visibilidade é menor no que diz respeito a potenciais motores de receitas futuras, com apenas 25% dos inquiridos a afirmarem que tinham total visibilidade sobre a IA no que se refere à procura de conteúdos e à previsão de audiências, e 48% a indicarem que têm uma visibilidade limitada ou nula sobre a IA no que se refere à gestão de multidões, à segurança e à previsão de incidentes.

À medida que as organizações do sector tecnológico vão implementando a IA nos seus produtos, ferramentas internas e experiências dos clientes, estão potencialmente a expor mais software, APIs e fluxos de dados a riscos cibernéticos. Os recentes avanços na IA de ponta demonstraram que os atacantes conseguem identificar pontos fracos e desenvolver exploits mais rapidamente do que antes, o que reforça a importância de saber onde a IA está implementada e a que dados tem acesso. Essa pressão é amplificada pela dependência de software, plataformas na nuvem e serviços incorporados de terceiros, o que aumenta o número de vias de acesso à empresa e torna mais difícil manter os controlos alinhados com a forma como os produtos e serviços estão a evoluir.

Principais conclusões do estudo sobre o sector

• Dezoito por cento dos ativos do setor dos seguros encontram-se na zona de vulnerabilidade.
• Quase metade das empresas do setor tecnológico declara despesas anuais com cibersegurança superiores a 100 milhões de dólares (em comparação com 31% noutros setores). Mais notavelmente, as organizações do setor tecnológico destinam 20% do seu orçamento global de cibersegurança à IA, em comparação com 14% noutros setores.

• O paradoxo da visibilidade: embora 45% dos inquiridos do setor tecnológico afirmem ter visibilidade total sobre 91%–100% dos ativos (em comparação com apenas 6% e de outros sectores), o panorama altera-se quando se analisam as categorias de ativos. Em particular, os ecossistemas (22%), os sistemas e ferramentas de IA (26%) e as tecnologias operacionais (OT) e os ativos físicos (28%) apresentam baixa visibilidade. Tendo em conta que as empresas tecnológicas atuam no mercado através de ecossistemas, isto apresenta oportunidades para um maior controlo no que diz respeito à monitorização de fornecedores, à governação do acesso de terceiros, à gestão de riscos dos centros de dados e dos fornecedores de serviços na cloud, bem como à resiliência do ecossistema.

• É muito provável que os sistemas e ferramentas de IA se enquadrem na zona de vulnerabilidade.
• Oitenta e três por cento dos inquiridos do sector tecnológico consideram que as ameaças cibernéticas baseadas na tecnologia quântica se tornarão um risco real nos próximos cinco anos. Embora algumas empresas do sector tecnológico indiquem que estão preparadas, é agora que se deve começar a realizar debates a nível do conselho de administração e do CISO.

As organizações de telecomunicações estão a gerir os riscos de cibersegurança em redes extensas e interligadas, em aplicações destinadas aos clientes e em ecossistemas de fornecedores. Essa exposição está a tornar-se cada vez mais importante, uma vez que a IA de ponta reduz o esforço necessário para identificar e explorar pontos fracos, enquanto os actores apoiados pelo Estado continuam a visar as infraestruturas de comunicações para fins de espionagem e potenciais perturbações. Para as empresas de telecomunicações, isto realça a importância de uma forte visibilidade, não só em relação aos activos da rede central, mas também aos canais de atendimento ao cliente e às relações com terceiros, uma vez que as vulnerabilidades nesses ambientes podem proporcionar aos atacantes um ponto de partida para um movimento lateral que é difícil de detetar e demorado a conter.

Principais conclusões do estudo sobre o sector

• Trinta e dois por cento dos ativos do sector das telecomunicações encontram-se na zona de vulnerabilidade.
• Os inquiridos dispõem da maior visibilidade e cobertura sobre os activos mais essenciais para as operações da rede, incluindo estações de base, torres, equipamentos de rádio e antenas, bem como APIs públicas e privadas. Por outro lado, é muito provável que os ativos ecossistémicos se enquadrem na zona de vulnerabilidade.
• Muitos recursos que interagem diretamente com os clientes enfrentam problemas de cibersegurança, sendo que apenas 28% dos inquiridos afirmaram ter visibilidade total sobre as aplicações de gestão de contas na Web e em dispositivos móveis, e apenas 20% afirmaram dispor de cobertura total de cibersegurança sobre as mesmas.
• Os modems e routers dos clientes também constituem motivo de preocupação, uma vez que apenas 28% dos inquiridos afirmaram ter total visibilidade sobre os mesmos e apenas 35% afirmaram dispor de cobertura total de cibersegurança para os mesmos.