O mercado de segurança da informação é economicamente ineficaz, ou seja, contraria a regra da melhor alocação possível de recursos. A Forbes aponta que serão gastos US$ 93 bilhões em segurança da informação em 2018, um aumento de 14% em relação a 2014. Mesmo assim, ataques devastadores contra grandes empresas e ameaças globais como WannaCry dominaram as manchetes. O Centro de Estudos Estratégicos e Internacionais acompanha ataques cibernéticos significantes e aponta o aumento de casos em 230% desde 2014. Isso significa que pagamos 14% mais para deter um problema que cresceu 230%. Esta soa como uma indústria eficiente?
A principal causa dessa ineficiência é a má alocação de recursos. Devemos examinar como um antivírus antigo cria respostas para novas ameaças: cada inovação adiciona uma camada de proteção à última. Embora compreensível esse método não é muito eficaz, pois cria soluções de segurança mais pesadas e que exigem mais recursos do sistema. Cada minuto para processar dados adicionais é um tempo precioso desviado do negócio.
O ataque global do ransomware WannaCry fez manchetes em 2017. Três dias depois foi publicado o aumento das ações de empresas de segurança cibernética. Em seguida, os ataques do NotPetya atingiram a Ucrânia antes de se espalharem para outros 64 países. Dois dias depois, a NASDAQ informou o disparo das ações dessas empresas.
Embora seja contraditório, as empresas de segurança da informação se beneficiam das violações. Alguém pode pensar que esse aumento reflete a preocupação de empresários em proteger seus sistemas. Se esse fosse o caso do WannaCry, o que explicaria a mesma reação do mercado quando ocorreu o NotPetya?
Uma indústria que fornece computação segura não deve se beneficiar de falhas. O público confia nessas empresas para protegê-lo de malwares, mas essa confiança não parece merecida.
Em suma, a natureza reativa da segurança da informação levou à criação de soluções multicamadas ineficazes. As empresas adotaram uma filosofia de que violações são inevitáveis, gerando uma cultura de mediocridade e apatia e, como lucram com essa situação, têm um bom motivo para não mudarem.
O futuro da segurança da informação pede soluções proativas, preventivas e leves, e não um ciclo sem fim de novas defesas sobre os restos quebrados da última. A menos que a visão do mercado mude, essa situação tende a continuar.
