Contente
- As perdas são surpreendentes
- A questão do desempenho patrimonial a longo prazo
- Reações a um incidente de segurança cibernética
- Sem erros, sem estresse - seu guia passo a passo para criar software que muda vidas sem destruir sua vida
Fonte: iStock
Leve embora:
Aqui, examinamos as repercussões duradouras dos ataques cibernéticos, especificamente os danos de curto e longo prazo causados aos preços das ações e como a gerência sênior e os membros do conselho estão agora diretamente envolvidos nas medidas preventivas e reacionárias ao lidar com ataques cibernéticos.
A segurança cibernética é um assunto difundido para a TI, mas hoje os ataques cibernéticos estão afetando uma grande quantidade de indivíduos fora da TI. As violações de dados podem afetar a vida de pessoas cujas informações pessoais são roubadas por anos após o incidente ter sido esquecido. Em outros casos, informações proprietárias podem ser roubadas, eliminando vantagens competitivas para unidades de negócios internas e divisões de produtos. Os ataques de ransomware e DDoS podem interromper as operações e os serviços comerciais de clientes e fornecedores por dias e semanas a fio. Além disso, a escala de alguns ataques cibernéticos hoje está afetando ganhos e lucros, enquanto manchando severamente a imagem corporativa das pessoas atingidas. (2017 foi um ano marcante para o crime cibernético, mas saiba o que as empresas estão fazendo para combatê-lo no Cybercrime 2018: The Enterprise Strikes Back.)
Como resultado, esses incidentes estão, pelo menos no curto prazo, depreciando os preços das ações, o que afeta os acionistas e, como resultado, estão tocando alarmes nas salas de reuniões das empresas. De acordo com a pesquisa de 2016 da Deloitte / Society for Corporate Governance, a cibersegurança foi classificada como o risco número um em que os conselhos se concentram atualmente. Como evidência adicional, de acordo com o Manual de Diretores da NACD sobre Supervisão de Riscos Cibernéticos, menos de 40% dos diretores corporativos relataram que os riscos de segurança cibernética eram rotineiramente cobertos nas reuniões do conselho em 2014. Em 2017, esse número era de 90%.
As perdas são surpreendentes
As preocupações com a cibersegurança nas salas de reuniões corporativas são bem fundamentadas com base em algumas das ameaças em 2017 enfrentadas pelas grandes corporações.
- A Nuance Communications é uma importante provedora de ferramentas de voz e idioma com sede em Burlington, Massachusetts, que produz um conjunto de serviços de ditado e transcrição que atende a mais de 500.000 médicos e 10.000 unidades de saúde. Esses serviços permitem que os médicos determinem notas pelo telefone. A empresa foi atingida pelo ataque global Petya em 27 de junho, interrompendo suas operações principais por três a cinco semanas, forçando a empresa a oferecer alternativas de serviço de ditado aos clientes afetados pela interrupção. Foram necessárias cinco semanas para restaurar totalmente todos os seus serviços em nuvem. Como quase metade da receita da empresa vem desses produtos, a empresa anunciou no final de julho que o ataque afetaria negativamente os ganhos trimestrais. As ações caíram quatro por cento imediatamente após o anúncio e as negociações foram interrompidas naquela manhã.
- No final de setembro, testemunhamos uma das maiores violações de dados da história, na qual os dados pessoais de 145,5 milhões de americanos foram roubados na agora notória violação de Equifax. Para agravar a provação, os altos executivos demoraram a divulgar o incidente e as etapas iniciais para resolver o problema foram mal concebidas. Equifax se tornou alvo de piadas e críticas intensas durante as semanas após o ataque. Suas ações caíram 30% em uma semana, chegando ao fundo depois de cair mais 15%. As perdas patrimoniais durante esse período totalizaram mais de US $ 4 bilhões. Somente os custos de limpeza foram de US $ 87,5 milhões e a Equifax registrou uma queda de 27% no lucro líquido do terceiro trimestre. (A violação do Equifax foi causada por uma vulnerabilidade de terceiros. Saiba mais em Qualitativo versus Quantitativo: hora de mudar Como avaliamos a gravidade das vulnerabilidades de terceiros?)
As perdas surpreendentes dos ataques cibernéticos não apareceram repentinamente em 2017. Em 2011, os custos de crimes cibernéticos para empresas nos EUA totalizaram US $ 9 bilhões. Em 2015, esses custos atingiram mais de US $ 400 bilhões e subiram para US $ 600 bilhões em 2016. Prevê-se que os ataques cibernéticos custem às empresas quase US $ 2 trilhões até 2019. Os valores associados aos ataques cibernéticos são chocantes e o público está começando a perceber. Além disso, os investidores estão cada vez mais informados sobre as interrupções e os custos gigantescos envolvidos em um ataque cibernético hoje.
A questão do desempenho patrimonial a longo prazo
Embora exista pouca dúvida de que os mercados de ações possam martelar uma empresa de capital aberto nos dias que se seguem a uma violação de dados, há evidências mistas sobre se os incidentes de segurança cibernética têm ou não um efeito negativo sustentador a longo prazo. Um estudo divulgado pela empresa de consultoria de TI CGI e Oxford Economics mostrou que as violações da segurança cibernética corroem os preços das ações da empresa em aproximadamente 1,8% permanentemente. O estudo envolveu 65 empresas que sofreram uma violação envolvendo centenas de milhares de registros ou mais desde 2013. O custo total para os acionistas das 65 empresas do estudo foi de mais de US $ 52 bilhões. A conclusão do relatório foi que os investidores de uma empresa típica do FTSE 100 estão definitivamente em pior situação após uma violação por um período prolongado.
Outro estudo realizado pela Compairtech no ano passado produziu resultados semelhantes. O estudo envolveu 24 empresas de capital aberto, como Target e Yahoo, que foram vítimas de uma violação de dados envolvendo pelo menos 1 milhão de registros. Os resultados do estudo mostraram o seguinte:
- As ações sofreram, em média, uma queda imediata no preço das ações após uma quebra de 0,43%, quase igual à sua volatilidade média diária.
- A longo prazo, os preços das ações continuam a subir em média, mas em um ritmo muito mais lento. Houve um aumento de 45,6% no preço das ações nos três anos anteriores à violação e apenas 14,8% nos três anos seguintes. A volatilidade diária foi praticamente a mesma nos dois períodos.
- Empresas quebradas tendem a ter um desempenho inferior ao da NASDAQ. Eles recuperam para o nível de desempenho do índice após 38 dias em média, mas após três anos a NASDAQ finalmente os supera em uma margem de mais de 40%.
Um estudo recente realizado pela Universidade de Georgetown, no entanto, mostra pouca correlação entre violações de segurança e desempenho patrimonial a longo prazo. O estudo envolveu um conjunto de dados de 235 empresas com violações de dados registradas desde 2005. As empresas representavam todos os setores, incluindo consumidores discricionários, financeiros, cuidados de saúde e tecnologia. O estudo não relatou disparidade significativa entre o pré e o pós-desempenho após 90 dias após a violação. Os autores do estudo concluíram que as perdas envolvendo o impacto de violações de dados no estoque da empresa parecem ser altamente dependentes de muitas variáveis exclusivas da empresa. Outro estudo publicado na Harvard Business Review em 2015 concluiu que, embora os preços das ações caiam consideravelmente nos dias seguintes a um ataque como o da Home Depot, os preços das ações começam a se recuperar após duas semanas em média e se comportam normalmente com base nas condições de mercado. O estudo constatou que os serviços financeiros estatais, os serviços de saúde e as empresas globais de telecomunicações sofreram os danos mais duradouros.
Reações a um incidente de segurança cibernética
Na política, há o velho ditado de que o encobrimento é muito pior que o crime. Esse também pode ser o caso de ataques cibernéticos. Um caso em questão foi o TalkTalk, provedor de telefonia e banda larga do Reino Unido, que sofreu uma violação de dados envolvendo 4 milhões de seus clientes em 2015. As ações caíram mais de 10% nos primeiros dois dias. A gerência foi muito criticada nos meses seguintes por ter lidado mal com a situação, o que contribuiu para a perda de mais de 90.000 clientes. As ações não se recuperaram da mesma forma que as dos estudos da Universidade de Georgetown e Harvard.
Sem erros, sem estresse - seu guia passo a passo para criar software que muda vidas sem destruir sua vida
Você não pode melhorar suas habilidades de programação quando ninguém se importa com a qualidade do software.
Essa é a mesma razão pela qual o peso da responsabilidade de manter uma organização a salvo de ameaças cibernéticas, bem como a reação a uma, é colocado no CEO, CIO / CTO / CSO e na equipe executiva. A cibersegurança não é mais um “problema de TI”. É uma questão que deve envolver a gerência sênior e o conselho de administração ao qual reportam. Duas coisas parecem certas - os ataques só aumentarão nos próximos anos e os custos desses ataques certamente aumentarão junto com eles.