Como é possível redefinir a resiliência para a próxima fronteira das vulnerabilidades?

O setor de Mercados de Capitais do setor bancário & destacou-se em nosso estudo pela solidez de sua postura em matéria de segurança cibernética, o que provavelmente reflete o peso das expectativas regulatórias em relação à resiliência operacional, à notificação de incidentes e à supervisão de terceiros. Nos Estados Unidos, os bancos estão sujeitos a requisitos formais de notificação de incidentes de segurança cibernética; já na Europa, a DORA elevou ainda mais os padrões para a gestão de riscos de TIC, testes de resiliência e supervisão de prestadores de serviços essenciais. Mesmo assim, o setor não está imune à próxima onda de vulnerabilidades em cibersegurança, à medida que a IA é cada vez mais integrada à interação com os clientes e aos ambientes de dados, especialmente quando novos recursos são introduzidos por meio de APIs, integrações com parceiros e plataformas tecnológicas compartilhadas.

Principais conclusões do estudo sobre o setor

• O setor de Bancos & e e Mercados de Capitais apresenta visibilidade acima da média em comparação com todos os demais setores.
• No entanto, muitos ativos não contam com cobertura cibernética suficiente, especialmente contas na nuvem e zonas de aterrissagem, assistentes de IA de atendimento ao cliente e provedores de data centers.
• O ritmo acelerado das mudanças pode criar novas vulnerabilidades para o setor. Os ativos do setor de Mercados de Capitais da & apresentam uma frequência de alterações superior à média, o que exige atualizações nos controles de segurança. Por exemplo, 35% m dos entrevistados afirmou que as APIs de open banking e as integrações com parceiros passam por alterações mensais ou mais frequentes, o que exige atualizações nos controles de segurança cibernética.

O modelo operacional da Wealth & Asset Management depende fortemente de prestadores de serviços externos nas áreas de nuvem, SaaS, pesquisa, dados de mercado e serviços de back-office terceirizados. À medida que a IA se expande para o atendimento ao cliente e os fluxos de trabalho internos, o desafio passa a ser a compreensão de um amplo ecossistema de serviços que pode ter acesso a dados confidenciais ou a processos interligados, especialmente porque a detecção mais rápida de vulnerabilidades pode encurtar o caminho desde um provedor externo vulnerável até o movimento lateral para os fluxos de trabalho essenciais e os serviços voltados para o cliente.

Principais conclusões do estudo sobre o setor

• Trinta e dois por cento dos ativos do setor de gestão de ativos da Wealth & se encontram na zona de vulnerabilidade.
• Uma preocupação notável diz respeito aos ecossistemas, já que menos de um quarto dos entrevistados afirmou ter visibilidade sobre os provedores de nuvem, SaaS e de data center, bem como sobre os provedores de pesquisa ou os prestadores de serviços de back-office terceirizados. Isso poderia se tornar mais significativo nos casos em que esses provedores tenham acesso à rede ou ofereçam suporte a fluxos de trabalho essenciais.

O fato de ser um dos principais alvos de ataques cibernéticos representa riscos específicos para o governo & e para as organizações do setor público, que estão sob pressão para modernizar seus serviços, em parte por meio da adoção de IA e da integração de dados a sistemas mais digitais. Ferramentas de IA voltadas para os cidadãos e APIs conectadas a fornecedores podem melhorar a prestação de serviços, mas também introduzem novos pontos de vulnerabilidade. A IA agentiva pode conectar sistemas legados díspares, mas não elimina as vulnerabilidades legadas e pode aumentar o risco devido ao potencial alcance de um agente comprometido. Para as organizações do setor público, o principal desafio é determinar se os controles de segurança estão sendo atualizados com rapidez suficiente em todos os serviços públicos, nos ecossistemas de terceiros e fornecedores (incluindo dados hospedados por fornecedores, dependências de software e prestadores de serviços terceirizados) e nas interfaces conectadas que os esforços de modernização introduzem.

Principais conclusões do estudo sobre o setor

• Onze por cento dos ativos do Setor Público do Governo & encontram-se na zona de vulnerabilidade.
• Este é um dos setores mais sólidos do estudo no que diz respeito à visibilidade e à cobertura de segurança cibernética dos ativos, possivelmente devido a um nível básico mais elevado de segurança nas organizações do setor público &, tendo em vista a maior probabilidade e sensibilidade dos incidentes de segurança cibernética.
• Um possível motivo de preocupação é a IA voltada para o público, já que apenas 31% dos entrevistados afirmaram ter total visibilidade sobre os assistentes de IA utilizados nos serviços prestados aos eleitores, e apenas 18% afirmaram ter controles completos de segurança cibernética sobre eles.
• Os entrevistados do setor público do governo & também relatam visibilidade e cobertura de segurança cibernética abaixo da média em relação às APIs públicas e privadas (apenas 31% relatam visibilidade total e 20% relatam cobertura total), bem como em relação às redes governamentais e à conectividade de backbone (apenas 33% relatam visibilidade total e 24% relatam cobertura total).
• A aceleração dos esforços de modernização interna pode criar novas vulnerabilidades para o setor. Apenas cerca de um terço dos entrevistados afirmou que os portais de atendimento ao público, as APIs públicas e privadas e as plataformas de acesso remoto para prestadores de serviços passam por alterações mensais ou mais frequentes que exigem atualizações nos controles de segurança cibernética.
• Apesar de relatarem uma exposição direta relativamente baixa, os governos podem continuar altamente expostos ao risco cibernético por meio de dependências de infraestruturas críticas que, muitas vezes, são operadas fora do próprio âmbito governamental.

Os operadores de infraestrutura enfrentam um dos exemplos mais evidentes de como os riscos à segurança cibernética estão se aproximando cada vez mais das operações físicas. Os sistemas ferroviários, a infraestrutura de tráfego e os ativos de monitoramento estrutural estão cada vez mais conectados a redes, mas muitos continuam sendo difíceis de monitorar com o mesmo rigor que os sistemas corporativos. A Frontier AI acelera a detecção de vulnerabilidades nesses ambientes, ajudando os adversários a identificar configurações incorretas, autenticação fraca e caminhos de acesso remoto expostos em sistemas de OT e de monitoramento. À medida que a conectividade se expande, as operadoras precisam de um inventário de ativos de ponta a ponta, monitoramento contínuo e segmentação para limitar o alcance de uma invasão.

Principais conclusões do estudo sobre o setor

• Setenta e um por cento dos ativos do setor de infraestrutura se enquadram na zona de vulnerabilidade.
• A elevada proporção de ativos na zona de vulnerabilidade indica que o risco à segurança cibernética da infraestrutura está concentrado em ambientes físicos e operacionais que, muitas vezes, são administrados fora do âmbito governamental, onde a visibilidade ou cobertura limitadas aumentam a probabilidade de que as falhas cibernéticas resultem em interrupção dos serviços públicos ou tenham impactos na segurança.
• Para as operadoras ferroviárias, a sinalização ferroviária, os aparelhos de via e os equipamentos de controle representam uma preocupação significativa, com apenas 9% dos entrevistados afirmando ter total visibilidade sobre esses ativos.
• Outros ativos físicos apresentam baixa visibilidade, incluindo pontes, túneis e sensores de monitoramento estrutural (16% apresentam visibilidade total), bem como semáforos, controladores e equipamentos à beira da estrada (27% apresentam visibilidade total).
• Devido à natureza desse setor, os ativos de infraestrutura apresentam um ritmo de mudança inferior à média, o que oferece uma oportunidade para que as organizações melhorem sua visibilidade e cobertura.

As organizações dos setores aeroespacial, de defesa & e e de mobilidade parecem possuir uma disciplina mais sólida em matéria de segurança cibernética do que a maioria dos setores, mas ainda enfrentam pressões decorrentes da adoção da IA, de cadeias de suprimentos complexas e do aumento do risco geopolítico. Muitas das funções mais essenciais do setor dependem de parceiros externos, desde a manutenção e o reparo até fornecedores de equipamentos especializados e componentes. A resiliência em matéria de segurança cibernética depende não apenas dos controles internos, mas também do grau de compreensão que as organizações têm da segurança do ecossistema mais amplo ao seu redor, especialmente nos casos em que os próprios fornecedores podem ser alvos de atividades apoiadas pelo Estado.

Principais conclusões do estudo sobre o setor

• Sete por cento dos ativos do setor Aeroespacial, de Defesa & e e Mobilidade se enquadram na zona de vulnerabilidade.
• De modo geral, os entrevistados relatam maior visibilidade e cobertura de segurança cibernética sobre seus ativos em comparação com empresas de outros setores, mas as organizações tendem a ter menos visibilidade sobre seus ecossistemas do que sobre seus demais ativos, incluindo parceiros de manutenção e reparo, parceiros da cadeia de suprimentos de chips e hardware especializados, e fornecedores de aviônicos e componentes. Isso representa uma possível preocupação, uma vez que terceiros são essenciais para as operações nesse setor, especialmente para empresas do setor de defesa, cujos fornecedores podem ser alvos de ataques cibernéticos patrocinados pelo Estado.
• O ritmo acelerado das mudanças pode criar novas vulnerabilidades para o setor. Vinte e dois por cento dos entrevistados afirmaram que as APIs públicas e privadas, o acesso remoto e os servidores intermediários passam por alterações mensais ou mais frequentes que exigem atualizações nos controles de segurança cibernética.

À medida que os ativos industriais se tornam cada vez mais conectados e equipados com inteligência artificial, os fabricantes estão se aventurando cada vez mais em zonas de vulnerabilidade, onde as lacunas de visibilidade e os controles de segurança cibernética ficam para trás em relação à integração operacional. Ao mesmo tempo, a IA de ponta está tornando mais rápido e fácil identificar e explorar essas vulnerabilidades, aumentando o risco para os sistemas essenciais à produção.

Principais conclusões do estudo sobre o setor

• Quarenta e seis por cento dos ativos do setor de Produtos Industriais encontram-se na zona de vulnerabilidade.
• As categorias de ativos mais expostas na zona de vulnerabilidade incluem sistemas e ferramentas de IA, ativos de OT e físicos, e ecossistemas.
• Os robôs industriais e os sistemas de automação se destacam como um ponto fraco, com apenas 20% dos entrevistados afirmando ter visibilidade total sobre eles, e apenas 7% afirmando ter controles completos de segurança cibernética sobre eles. É provável que os pontos cegos e as lacunas de cobertura ganhem maior importância à medida que esses ativos se tornam cada vez mais conectados às redes e integrados à IA.
• As cadeias de suprimentos foram consideradas, com menor frequência, como uma fonte de risco cibernético pelos entrevistados do setor de produtos industriais, em comparação com outros setores. À medida que as empresas do setor industrial buscam maior transparência em suas cadeias de suprimentos, o controle da exposição aos riscos cibernéticos poderá passar a ser priorizado.

As organizações do setor de mineração & Metals operam em ambientes nos quais os riscos à segurança cibernética afetarão cada vez mais os sistemas centrais de produção. À medida que a tecnologia operacional se torna cada vez mais conectada e dependente de software e infraestrutura de rede, a falta de visibilidade e de controles adequados pode gerar riscos operacionais diretos. Esse risco está aumentando à medida que a IA de ponta facilita que adversários encontrem vulnerabilidades em sistemas que, muitas vezes, foram projetados ou há muito tempo considerados seguros, o que reforça a importância de implementar medidas de monitoramento e proteção em torno dos ativos industriais que sustentam a produção.

Principais conclusões do estudo sobre o setor

• Sessenta e sete por cento dos ativos do setor de Mineração & e Metais se enquadram na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: sistemas e ferramentas de IA, ativos digitais não relacionados à IA, infraestrutura de rede, ativos e ecossistemas de OT e físicos.
• Os sistemas de controle industrial representam um grande ponto fraco: apenas 18% dos entrevistados afirmaram ter visibilidade total sobre as aplicações de PLC e SCADA, e apenas 11% afirmaram ter controle cibernético total sobre elas.
• A infraestrutura de rede de TI apresenta uma lacuna semelhante, com apenas 18% dos entrevistados afirmando ter visibilidade total sobre ela e apenas 16% afirmando ter controle cibernético total sobre ela.

As empresas dos setores de petróleo &, gás e produtos químicos gerenciam os riscos de segurança cibernética em operações de campo distribuídas, ambientes de controle e amplas redes de prestadores de serviços e fornecedores. À medida que esses ambientes se tornam mais conectados, as consequências da visibilidade insuficiente ou de controles inadequados aumentam rapidamente. A Frontier AI agrava esse risco ao facilitar a identificação de vulnerabilidades exploráveis em sistemas de controle e ativos de apoio que, muitas vezes, foram projetados com foco na disponibilidade e na segurança, e não para suportar a exposição contínua a invasões cibernéticas avançadas, o que ressalta a importância de proteger os ambientes de campo e de dutos com o mesmo rigor que o restante da empresa.

Principais conclusões do estudo sobre o setor

• Cinquenta e sete por cento dos ativos do setor de Petróleo & Gás e Produtos Químicos se encontram na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: ativos digitais não relacionados à IA, infraestrutura de rede, ativos em nuvem, ativos físicos, ativos de dados e ecossistemas.
• As aplicações SCADA e de controle para instalações de campo e dutos constituem uma preocupação significativa, com apenas 18% dos entrevistados afirmando ter visibilidade total sobre elas e apenas 13% afirmando dispor de controles completos de segurança cibernética sobre elas.
• O hardware de controle industrial está potencialmente em risco, com apenas 18% dos entrevistados afirmando ter visibilidade total sobre os PLCs e os sistemas de segurança, e apenas 4% afirmando ter controles completos de segurança cibernética sobre eles.

Energia & As empresas do setor de serviços públicos enfrentam um ambiente de segurança cibernética marcado por uma cadeia de valor cada vez mais descentralizada, ativos operacionais cada vez mais conectados, infraestrutura legada de longa duração e riscos geopolíticos persistentes. À medida que as redes elétricas passam de um pequeno número de usinas centralizadas para um amplo ecossistema de ativos distribuídos, a superfície de ataque cibernético cada vez maior gera novos riscos. Um ataque coordenado às plataformas digitais, redes de comunicação ou usinas virtuais que orquestram recursos energéticos distribuídos poderia ser mais desestabilizador do que o comprometimento de uma única usina física.

A isso se soma uma integração mais profunda entre TI e OT e uma visibilidade limitada nos ambientes operacionais. À medida que atores apoiados pelo Estado continuam a ter como alvo infraestruturas críticas, a IA de ponta fortalece ainda mais o lado dos atacantes, facilitando a identificação de pontos fracos em sistemas que, historicamente, eram considerados seguros por serem especializados, isolados ou de difícil acesso. Para as empresas de serviços públicos, a prioridade está mudando da proteção de ativos individuais para o desenvolvimento de visibilidade, controle e resiliência em redes OT, dispositivos de borda, comunicações de campo e ecossistemas de terceiros que, cada vez mais, sustentam o fornecimento confiável de energia.

Principais conclusões do estudo sobre o setor

• Energia & O setor de serviços públicos é um dos mais expostos. Setenta e um por cento dos entrevistados são classificados como “Empresas Vulneráveis” (o grupo de entrevistados com desempenho inferior), e 46% m dos ativos do setor se enquadram na zona de vulnerabilidade, o que indica uma ampla exposição em toda a base de ativos do setor.
• Os pontos mais vulneráveis estão localizados na periferia operacional da rede. Apenas 16% declaram ter visibilidade total sobre medidores inteligentes e equipamentos de comunicação de campo, e apenas 16% declaram ter cobertura completa de segurança cibernética. As redes de comunicação das subestações estão igualmente expostas, com 18% visibilidade total e 16% cobertura total.
• As lacunas de visibilidade e controle na área de TI representam um risco à resiliência. Apenas 20% possuem visibilidade total sobre as redes de tecnologia operacional (OT) para geração, transmissão e distribuição, enquanto apenas 24% relatam cobertura completa de segurança cibernética — uma lacuna crítica, à medida que os ambientes operacionais se tornam cada vez mais conectados aos sistemas corporativos, às plataformas em nuvem e às ferramentas baseadas em inteligência artificial.
• Os controles cibernéticos não estão acompanhando o ritmo das mudanças nos ativos. Apenas 4% conseguem implementar integralmente os controles necessários em um ativo recém-provisionado em até 12 horas, enquanto 78% levam de um a 30 dias — um atraso significativo para um setor que vem incorporando dispositivos conectados, ativos de energia distribuída e integrações de terceiros.
• A IA e a geopolítica amplificam um modelo operacional que já se encontrava vulnerável. 80% concordam que a competição geopolítica em torno das tecnologias de IA está aumentando o risco externo à segurança cibernética; no entanto, apenas 38% afirmam estar bem preparados para ameaças relacionadas à IA e apenas 29% para ameaças decorrentes da geopolítica, o que reforça a necessidade de tratar a resiliência da segurança cibernética como parte da confiabilidade da rede elétrica.

Mídia & As empresas do setor de entretenimento estão utilizando cada vez mais a IA para aprimorar o planejamento de conteúdo, as previsões e o engajamento do público. Ao mesmo tempo, seu ecossistema operacional está se tornando cada vez mais interconectado, gerando riscos à segurança cibernética que podem ter origem em diversos órgãos, na tecnologia de publicidade ( ), em parceiros de distribuição e nos fluxos de trabalho de conteúdo, bem como nas próprias plataformas da organização. À medida que a IA de ponta aprimora a velocidade e a qualidade da detecção de vulnerabilidades, ela pode encurtar o caminho entre uma plataforma externa ou ferramenta de fluxo de trabalho vulnerável e uma exposição mais ampla da empresa, especialmente em ambientes em que a receita, o engajamento do público e a entrega de conteúdo dependem de um amplo conjunto de parceiros.

Principais conclusões do estudo sobre o setor

• Quarenta e três por cento dos ativos do setor de Mídia & e Entretenimento se encontram na zona de vulnerabilidade.
• Categorias de ativos na zona de vulnerabilidade: sistemas e ferramentas de IA, ativos digitais não relacionados à IA, infraestrutura de rede, ativos e ecossistemas de OT e físicos.
• Os entrevistados relatam ter maior visibilidade sobre os ativos tradicionais geradores de receita, sendo que 45% afirmam ter visibilidade total sobre as plataformas de engajamento com o cliente e 48% afirmam ter visibilidade total sobre as plataformas de hospedagem e distribuição de conteúdo.
• A visibilidade é menor no que diz respeito a potenciais fontes de receita futuras, com apenas 25% dos entrevistados afirmando ter visibilidade total sobre o uso da IA para a demanda por conteúdo e previsão de público, e 48% declarando ter visibilidade limitada ou nenhuma visibilidade sobre o uso da IA para gerenciamento de multidões, segurança e previsão de incidentes.

À medida que as organizações de tecnologia implementam a IA em seus produtos, ferramentas internas e experiências do cliente, elas estão potencialmente expondo mais softwares, APIs e fluxos de dados a riscos cibernéticos. Avanços recentes na IA de ponta demonstraram que os invasores podem identificar pontos fracos e desenvolver exploits mais rapidamente do que antes, o que ressalta a importância de saber onde a IA está implantada e quais dados ela utiliza. Essa pressão é amplificada pela dependência de softwares, plataformas em nuvem e serviços de terceiros incorporados, o que amplia o número de pontos de acesso à empresa e torna mais difícil manter os controles alinhados às mudanças nos produtos e serviços.

Principais conclusões do estudo sobre o setor

• Dezoito por cento dos ativos do setor de seguros encontram-se na zona de vulnerabilidade.
• Quase metade das empresas do setor de tecnologia declara ter gastos anuais com segurança cibernética superiores a US$ 100 milhões (em comparação com 31% em outros setores). Mais notavelmente, as empresas do setor de tecnologia destinam 20% de seu orçamento total de segurança cibernética à IA, em comparação com 14% em outras áreas.

• O paradoxo da visibilidade: embora 45% dos entrevistados do setor de tecnologia afirmem ter visibilidade total sobre 91%–100% dos ativos (em comparação com apenas 6% e de outros setores), o quadro muda quando se analisam as categorias de ativos. Em particular, os ecossistemas (22%), os sistemas e ferramentas de IA (26%) e a OT e os ativos físicos (28%) apresentam baixa visibilidade. Considerando que as empresas de tecnologia atuam no mercado por meio de ecossistemas, isso oferece oportunidades para um maior controle no monitoramento de fornecedores, na governança do acesso de terceiros, na gestão de riscos de data centers e provedores de nuvem, bem como na resiliência do ecossistema.

• Atualmente, os sistemas e ferramentas de IA são os ativos das organizações de tecnologia com maior probabilidade de se encontrarem na zona de vulnerabilidade.
• Oitenta e três por cento dos entrevistados do setor de tecnologia acreditam que as ameaças cibernéticas baseadas em tecnologia quântica se tornarão um risco real nos próximos cinco anos. Embora algumas empresas de tecnologia indiquem que estão preparadas, este é o momento de iniciar discussões no âmbito do conselho administrativo e do CISO.

As empresas de telecomunicações estão gerenciando os riscos de segurança cibernética em grandes redes interconectadas, aplicativos voltados para o cliente e ecossistemas de fornecedores. Essa vulnerabilidade está se tornando cada vez mais importante, à medida que a IA de ponta reduz o esforço necessário para identificar e explorar pontos fracos, enquanto atores apoiados por Estados continuam a ter como alvo a infraestrutura de comunicações para fins de espionagem e possíveis perturbações. Para as empresas de telecomunicações, isso aumenta a importância de uma forte visibilidade não apenas dos ativos da rede central, mas também dos canais de atendimento ao cliente e das relações com terceiros, pois pontos fracos nesses ambientes podem proporcionar aos invasores um ponto de partida para movimentos laterais que são difíceis de detectar e demoram a ser contidos.

Principais conclusões do estudo sobre o setor

• Trinta e dois por cento dos ativos do setor de telecomunicações se encontram na zona de vulnerabilidade.
• Os entrevistados apresentam maior visibilidade e cobertura sobre os ativos mais essenciais para as operações da rede, incluindo estações rádio-base, torres, aparelhos de rádio e antenas, além de APIs públicas e privadas. Por outro lado, é mais provável que os ativos ecossistêmicos se enquadrem na zona de vulnerabilidade.
• Muitos ativos voltados para o cliente enfrentam problemas de segurança cibernética, sendo que apenas 28% dos entrevistados afirmaram ter visibilidade total sobre os aplicativos de contas na web e em dispositivos móveis, e apenas 20% afirmaram ter cobertura completa de segurança cibernética sobre eles.
• Os modems e roteadores dos clientes também são motivo de preocupação, já que apenas 28% dos entrevistados afirmaram ter visibilidade total sobre eles, e apenas 35% afirmaram ter cobertura completa de segurança cibernética para esses dispositivos.