Pesquisa com profissionais de TI e segurança, analisada pela Everpure, expõe a distância entre manter backups e conseguir restaurar dados confiáveis. Para bancos, demora ameaça pagamentos, canais digitais e acesso às contas.
Em um ataque cibernético, interromper a invasão pode ser apenas o começo do problema. Depois de conter a ameaça, as organizações ainda precisam identificar dados comprometidos, localizar cópias confiáveis, reconstruir sistemas e validar se as aplicações podem retornar sem provocar uma nova contaminação.
Esse processo pode levar, em média, 12 dias no caso de aplicações de missão crítica, segundo dados do estudo The State of Cyber Resilience, do Instituto Ponemon, apresentados em uma análise da Everpure sobre resiliência operacional no setor financeiro.
O levantamento original ouviu 620 profissionais de TI e segurança nos Estados Unidos. Portanto, o prazo de 12 dias não representa uma medição realizada exclusivamente com bancos. A Everpure utiliza o resultado para alertar sobre os riscos que uma recuperação demorada pode provocar em instituições financeiras, nas quais alguns minutos de indisponibilidade já podem comprometer pagamentos, transferências e acesso às contas.
De acordo com a pesquisa, 36% dos dados armazenados pelas organizações são classificados como de missão crítica. O número amplia a pressão sobre as estratégias de recuperação: não basta possuir uma cópia de segurança se ela estiver desatualizada, comprometida ou não puder ser restaurada dentro do tempo exigido pelo negócio.
Recuperar dados já representa 31% do custo dos ataques
O levantamento mostra que 31% do custo total do ataque cibernético mais significativo enfrentado pelas organizações pesquisadas estava relacionado à recuperação de cópias atualizadas dos dados críticos.
O resultado coloca a restauração no centro da estratégia de segurança. Durante anos, boa parte dos investimentos foi direcionada à prevenção, ao monitoramento e à tentativa de impedir o acesso dos criminosos. Esses controles continuam necessários, mas não eliminam a possibilidade de uma invasão bem-sucedida.
Quando o incidente acontece, a organização precisa saber até qual ponto os dados permanecem íntegros, quais aplicações foram afetadas e que cópia pode ser utilizada sem reintroduzir códigos maliciosos no ambiente.
O desafio aumenta em estruturas híbridas e multicloud. Apenas 41% dos participantes afirmaram conseguir gerenciar consistentemente os dados distribuídos entre diferentes ambientes. Bancos, por exemplo, podem manter informações em data centers próprios, nuvens públicas, plataformas terceirizadas, sistemas legados e estruturas utilizadas por parceiros.
Essa fragmentação dificulta identificar dependências e estabelecer uma sequência segura de recuperação.
Recuperação de desastre não é igual à recuperação cibernética
Os planos tradicionais de recuperação de desastres foram criados principalmente para responder a falhas de hardware, quedas de energia, problemas em data centers e indisponibilidades técnicas. Nesses casos, a organização geralmente conhece a causa e pode transferir a operação para outro ambiente.
Um ataque cibernético cria um problema diferente. O ambiente secundário pode ter sido comprometido, credenciais administrativas podem estar sob controle dos invasores e cópias de segurança podem conter o mesmo malware presente nos sistemas principais.
A replicação automática, considerada uma vantagem em falhas convencionais, pode disseminar arquivos corrompidos ou criptografados para outros ambientes.
“O que muitos bancos ainda entendem como resiliência, recuperação de desastres e mecanismos de failover foi desenvolvido para indisponibilidades, não para ataques cibernéticos”, afirma Douglas Wallace, diretor regional de Vendas da Everpure para a América Latina e o Caribe.
Por isso, a recuperação cibernética precisa incluir cópias imutáveis, ambientes isolados, validação da integridade dos dados, controle das credenciais e testes periódicos. Uma cópia imutável reduz o risco de alteração, mas não garante, sozinha, que o conteúdo esteja livre de ameaças. O ponto de restauração também precisa ser analisado e validado.
Conceito prioriza o banco mínimo viável
Diante da dificuldade de restaurar todos os sistemas simultaneamente, a Everpure apresenta o conceito de Minimum Viable Bank — ou banco mínimo viável.
A abordagem define o menor conjunto de serviços, aplicações, dados e dependências que precisa ser recuperado para que a instituição continue oferecendo suas funções essenciais durante uma crise.
Entre as possíveis prioridades estão:
- Processamento de pagamentos e transferências;
- Acesso dos clientes às contas;
- Aplicativos e canais bancários digitais;
- Sistemas centrais de processamento bancário;
- Operações de negociação e liquidação;
- Controles de segurança e gestão de identidades;
- Informações necessárias ao cumprimento regulatório;
- Sistemas dos quais outras aplicações críticas dependem.
O conceito não significa operar permanentemente com uma estrutura reduzida. Trata-se de estabelecer uma ordem de recuperação para o período de crise. Primeiro, a instituição retoma os serviços indispensáveis. Depois, avança para sistemas de menor urgência até reconstruir toda a operação.
Essa priorização exige que áreas de tecnologia, segurança, riscos, negócios, jurídico, atendimento e alta administração decidam antecipadamente o que não pode parar.
Bancos precisam mapear dependências antes do ataque
A recuperação de uma aplicação não garante que o serviço voltará a funcionar. Um aplicativo bancário, por exemplo, pode depender de sistemas de autenticação, bases cadastrais, processamento de transações, integração com o Pix, redes de telecomunicações e serviços oferecidos por terceiros.
Se uma dessas dependências continuar indisponível, o sistema poderá parecer recuperado tecnicamente, mas permanecer inutilizável para o cliente.
Um plano voltado ao banco mínimo viável precisa responder a perguntas como:
- Quais serviços devem voltar primeiro?
- Quanto tempo cada operação pode permanecer indisponível?
- Quais dados e sistemas sustentam esses serviços?
- Onde estão as cópias confiáveis?
- Como comprovar que os dados recuperados estão íntegros?
- Quem autoriza o retorno da aplicação?
- Quais procedimentos manuais podem ser adotados temporariamente?
- Como evitar que a recuperação provoque uma reinfecção?
- Quais fornecedores participam da retomada?
- Que evidências precisam ser preservadas para auditorias e reguladores?
Sem esse mapeamento, as equipes podem desperdiçar as primeiras horas de uma crise discutindo prioridades que deveriam ter sido definidas anteriormente.
Regulação brasileira exige testes e resposta a incidentes
No Brasil, a Resolução CMN nº 4.893 estabelece requisitos de segurança cibernética para instituições financeiras. Para instituições de pagamento autorizadas pelo Banco Central, regras semelhantes estão presentes na Resolução BCB nº 85.
O arcabouço determina a existência de políticas de segurança cibernética, planos de resposta a incidentes, controles sobre serviços de nuvem, classificação da relevância dos dados e testes de continuidade considerando cenários de indisponibilidade.
As normas também exigem acompanhamento, produção de relatórios e participação da alta administração. O objetivo é evitar que segurança e recuperação permaneçam restritas às equipes técnicas.
O prazo médio de 12 dias identificado pelo Instituto Ponemon não representa uma tolerância regulatória para bancos brasileiros. Cada instituição precisa definir tempos de recuperação compatíveis com a criticidade de seus serviços e demonstrar que possui capacidade operacional para cumpri-los.
Resiliência passa a ser capacidade de negócio
Ataques cibernéticos não afetam apenas servidores e bancos de dados. Uma interrupção prolongada pode impedir clientes de movimentar recursos, comprometer empresas que dependem de pagamentos, gerar reclamações, aumentar perdas financeiras e provocar questionamentos dos reguladores.
A confiança também entra nessa equação. Quando um banco permanece indisponível, o cliente não acompanha as etapas técnicas da recuperação. Ele percebe apenas que não consegue acessar o próprio dinheiro ou realizar uma operação necessária.
Por isso, a resiliência cibernética passa a ser tratada como uma capacidade de negócio. O objetivo não é somente impedir ataques, mas reduzir o impacto, recuperar dados confiáveis e manter os serviços mais importantes durante a crise.
A reportagem “Resiliência vira prioridade na cibersegurança” já mostrou que as empresas começam a abandonar a expectativa de proteção absoluta. A pergunta estratégica deixa de ser apenas como evitar uma invasão e passa a incluir quanto tempo a organização levará para voltar a operar.
Como interpretar os números
O estudo The State of Cyber Resilience, conduzido pelo Instituto Ponemon e divulgado pela Everpure, ouviu 620 profissionais de TI e segurança nos Estados Unidos.
Os dados de 12 dias para recuperação, 36% de informações classificadas como críticas, 31% dos custos ligados à restauração e 41% de confiança na gestão de ambientes distribuídos referem-se ao conjunto de organizações pesquisadas — não exclusivamente a bancos.
A aplicação desses resultados ao setor financeiro faz parte da análise da Everpure sobre o conceito de Minimum Viable Bank.
Leia também | Cibersegurança e continuidade operacional
- Resiliência vira prioridade na cibersegurança
- Dados orientam investimentos em qualidade de software
- Computação quântica já pressiona segurança digital
- CISO vira peça-chave na estratégia digital
- IA versus IA: a nova fronteira da cibersegurança nas empresas
