O relatório de 2024 da Pentera revela centenas de eventos de segurança por semana, destacando a importância da validação contínua

Nos últimos dois anos, uma situação chocante 51% das organizações pesquisadas num relatório líder do setor foram comprometidas por um ataque cibernético. Sim, mais da metade.

E isto, num mundo onde as empresas implementam uma média de 53 soluções de segurança diferentes para salvaguardar o seu domínio digital.

Alarmante? Absolutamente.

Uma pesquisa recente com CISOs e CIOs, encomendada pela Pentera e conduzida pela World Surveyz Analysis, oferece uma visão quantificável deste campo de batalha em evolução, revelando um forte contraste entre os riscos crescentes e as restrições orçamentais cada vez mais rigorosas sob as quais os profissionais de segurança cibernética operam.

Com este relatório, a Pentera mais uma vez usou uma lupa para analisar o estado dos testes de pentes para lançar seu relatório anual sobre as práticas atuais de testes de pentes. Envolvendo-se com 450 executivos de segurança da América do Norte, LATAM, APAC e EMEA – todos em cargos de vice-presidente ou C-level em organizações com mais de 1.000 funcionários – o relatório traça um quadro atual das práticas modernas de validação de segurança em toda a empresa.

As principais conclusões incluem:

• O impacto de uma violação é alto:
• 43% relataram tempo de inatividade não planejado
• 36% relataram exposição de dados
• 31% relataram perdas financeiras
• À medida que o Conselho de Administração (BoDs) se torna mais consciente do ciberespaço, mais de 50% dos CISOs agora compartilham seus relatórios de pentesting com seus BoDs.
• Há uma lacuna notável entre a taxa de mudança nos ambientes de TI e a frequência dos testes de segurançadeixando os ativos digitais das organizações sem serem testados por longos períodos de tempo.
• Com uma média de 500 eventos de remediação por semana, a priorização eficaz é um dos fatores mais importantes para as equipes de segurança.

As violações de segurança persistem apesar dos investimentos

O relatório de 2024 revela que as empresas têm uma média de 53 soluções de segurança, mas estão a lutar para manter a tríade Confidencialidade, Integridade, Disponibilidade (CIA). Como parte das políticas e práticas de segurança, esta tríade protege os sistemas de informação e os dados contra diversas ameaças, garantindo que as informações sejam seguras, confiáveis ​​e acessíveis às pessoas certas.

Esta realidade é sublinhada pelo facto de 51% dos CISOs inquiridos terem admitido uma violação de segurança cibernética nos últimos dois anos. Essas violações levaram a interrupções operacionais significativas, incluindo tempo de inatividade não planejado, exposição de dados e perdas financeiras. Apenas 7% das empresas evitou impacto substancial resultante de uma violação. Estes incidentes demonstram a importância de ter fortes defesas de segurança cibernética.

As empresas experimentaram uma distribuição quase igual de ataques em toda a sua infraestrutura de TI; incluindo dispositivos remotos, ambientes locais e em nuvem, apontando para a necessidade de testar e proteger regularmente cada um desses domínios. O perfil elevado da nuvem como alvo de ataque é consistente com outros relatórios do setor. O Relatório World de Ameaças da Crowdstrike para 2024 relatou um aumento de 75% nas intrusões na nuvem em relação ao ano anterior. Eles projetaram que nos próximos anos, à medida que mais organizações progredirem em seus esforços de migração para a nuvem e mudarem para implantações predominantemente em nuvem ou nativas em nuvem, esse número aumentará.

Maior envolvimento do executivo e da diretoria

À luz das violações de alto perfil que chegam às manchetes, há um aumento notável na supervisão da segurança cibernética por parte do topo. Mais da metade dos CISOs agora reportam regularmente os resultados dos testes de invasão aos seus conselhos de administração, destacando a importância estratégica da segurança cibernética para a empresa. Os CISOs estão usando cada vez mais relatórios de pentest como forma de comunicar melhor os riscos de segurança cibernética às suas equipes executivas e conselhos.

Adicionalmente, 31% dos CISOs compartilham resultados de pentest com clientes, reconhecendo a importância da transparência na gestão de riscos de terceiros e da cadeia de abastecimento. A adoção desta prática não só cria confiança, mas também promove uma cultura de abertura sobre os desafios e medidas de segurança cibernética.

Fechando a lacuna do Pentesting

A pesquisa destaca uma lacuna desconcertante entre a frequência das mudanças no ambiente de TI e a cadência dos testes de segurança. Embora 73% das organizações relatem fazer alterações trimestrais na TI, apenas 40% acompanham esse ritmo com seus esforços de pentesting. Isso deixa as organizações expostas ao risco por longos períodos.

Na médiaas empresas dedicam US$ 164.400 ao pentesting guide, representando 12,9% do seu orçamento anual de segurança de TI. Com 60% das organizações realizando testes de pentes duas vezes por ano, no máximo, este é um grande investimento e uma parte considerável do orçamento para uma atividade de segurança que fornece apenas uma avaliação instantânea da postura de segurança. Dada a importância dos testes de invasão para melhorar a resiliência da TI, vale a pena considerar soluções que forneçam testes de invasão contínuos e escaláveis.

Patch Excellent não é realista

Além das atividades de remediação, as equipes de segurança recebem um conjunto diversificado de responsabilidades que as levam ao limite.

Neste contexto, as empresas são inundadas com eventos de segurança. Com mais de 60% das empresas relatando que recebem pelo menos 500 incidentes que exigem correção semanalmente, a perfeição do patch nunca foi tão ilusória. Está cada vez mais claro que a arte da priorização é algo que as equipes de segurança precisarão aprender para manter suas organizações bem protegidas. As equipes de segurança que forem capazes de compreender com eficiência o contexto de uma vulnerabilidade, seus controles de compensação e os dados aos quais ela leva serão as únicas a permanecer no jogo.

O que essas descobertas significam?

A Pesquisa State of Pentesting de 2024, realizada pela Pentera, destaca um momento crítico para a segurança cibernética: à medida que as ameaças continuam a evoluir, muitas soluções de segurança não conseguem mitigá-las, exigindo que os CISOs validem de forma mais consistente a segurança de sua infraestrutura.

Os insights desta pesquisa não são apenas estatísticas: são um apelo à ação para práticas de segurança cibernética melhores e mais eficientes, alinhadas com as realidades financeiras e operacionais do nosso tempo.

Revele as principais conclusões da Pesquisa State of Pentesting de 2024 neste webinar. Junte-se a nós enquanto exploramos as descobertas, discutimos estratégias para gerenciar a segurança cibernética, priorizamos tarefas e aprendemos como comunicar sua postura de segurança à liderança de maneira mais eficaz.

Faça o obtain do Pesquisa sobre o estado do pentesting de 2024 ou Registre-se aqui para participar do webinar ao vivo.