O relatório “The State of Vulnerability Management: Insights from IT and Cybersecurity Professionals”, elaborado pela Tenable, destaca que apenas 4 em cada 10 empresas consideram que são eficazes no gerenciamento de suas vulnerabilidades, enquanto um número semelhante usa métodos manuais para corrigi-las. Embora muitas organizações tenham feito progressos na identificação de riscos, os processos de priorização e correção de vulnerabilidades têm áreas significativas para melhoria.
O documento também destaca a importância de abordar vulnerabilidades por meio de uma abordagem abrangente que inclui três fases principais: identificação, priorização e correção. Embora a maioria das organizações relate progresso na primeira fase, os resultados indicam baixa eficácia nas duas últimas, deixando muitas empresas expostas a ameaças críticas.
Identificação: uma força com espaço para melhorias
67% das organizações realizam varreduras frequentes para identificar vulnerabilidades, mostrando desempenho positivo nesta fase. No entanto, as organizações enfrentam alguns obstáculos. 58% classificaram a cobertura (a extensão da detecção de vulnerabilidades) e a precisão (preocupações com falsos positivos ou negativos) como desafios urgentes.
Esses desafios indicam que as ferramentas atuais de varredura de vulnerabilidades podem não estar atendendo às expectativas. Desafios como cobertura limitada, falsos positivos e falta de visibilidade na superfície de ataque revelam a necessidade de adotar ferramentas mais avançadas que melhorem a precisão e o escopo da detecção. A migração de ferramentas de varredura básicas para plataformas de gerenciamento de vulnerabilidades mais robustas pode melhorar muito as práticas de identificação.
Priorização: a necessidade de evoluir os métodos tradicionais
O relatório observa que apenas 40% das empresas acreditam que gerenciam efetivamente a priorização de vulnerabilidades. No entanto, a dependência de métodos tradicionais limita a capacidade de avaliar o risco real para o negócio. Em vez de impulsionar melhorias, essas abordagens podem revelar que há muitas vulnerabilidades que exigem atenção, um problema citado por metade dos entrevistados. Das empresas que priorizam vulnerabilidades, 47% ainda utilizam metodologias obsoletas ou proprietárias, e 60% delas investem mais de 50% do seu tempo nesse processo.
Muitas vezes, quando uma organização determina que um método de priorização inicial não está produzindo os resultados desejados, ela tenta um segundo ou terceiro método. O uso de múltiplas abordagens para priorização, um problema relatado por 79% dos entrevistados, torna essa fase ainda mais complicada. Além disso, 63% das organizações citam a integração de inteligência de ameaças como um dos principais desafios, enquanto mais de 50% enfrentam o grande número de vulnerabilidades classificadas como críticas ou de alta prioridade.
Correção: A fase mais desafiadora
A correção de vulnerabilidades continua sendo o maior desafio para as organizações, com apenas 9% delas se considerando eficazes neste estágio. Quando questionadas sobre os principais desafios, mais da metade das organizações (51%) citou priorizar qual vulnerabilidade abordar primeiro como sua maior preocupação. Fatores como dependência de processos manuais, ferramentas ad hoc e falta de automação são os principais obstáculos.
Atualmente, 74% das empresas usam pelo menos três ferramentas diferentes para corrigir vulnerabilidades, incluindo software de emissão de tickets (68%), ferramentas de colaboração (66%) e métodos ad hoc e manuais (34%), como planilhas (34%), cálculos ou e-mails, o que aumenta o risco de erros e atrasos nas soluções. No entanto, há sinais de progresso: 95% das empresas têm planos de reduzir processos manuais, com 65% priorizando a automação nos próximos 12 meses.
“A escassez de recursos especializados, orçamentos limitados e a sofisticação crescente dos ataques apresentam um cenário desafiador para organizações na América Latina. É crucial adotar abordagens inovadoras que otimizem processos e melhorem a capacidade de resposta a ameaças. Adotar abordagens abrangentes e alavancar tecnologias emergentes de forma segura permitirá que as organizações na região estejam mais bem preparadas para enfrentar os desafios de um ambiente digital em constante evolução”, disse Hermes Romero, Diretor para América Central, América do Sul e Caribe da Tenable.
O relatório destaca que, embora as empresas tenham feito progressos na identificação de vulnerabilidades, elas devem se concentrar em melhorar seus processos de priorização e correção. Isso permitirá que as organizações não apenas mitiguem os riscos, mas também se adaptem ao ambiente de ameaças em constante mudança, garantindo sua sustentabilidade e sucesso a longo prazo.
