Por IDG Now!

Em um documento acadêmico a ser apresentado no próximo mês na Universidade de Cambridge, na Inglaterra, um time de pesquisa fará um alerta surpreendente sobre como as empresas deveriam gastar suas verbas para segurança de TI.

Os três pesquisadores, da Universidade Atlantic, em Orlando, revisaram a maneira como as companhias podem descobrir suas vulnerabilidades, analisaram brechas e calcularam o risco potencial de danos.

O documento, chamado "Economia do Investimento de Segurança de Informação no Caso de Ataques Simultâneos", divide as ameaças em duas categorias: ataques distribuídos, que vêm na forma de vírus, spywares e spams, e ataques focados, como os de um hacker, disse o professor Qing Hu.

Os pesquisadores descobriram, pelas equações e análises de riscos, contradições pouco intuitivas para abordagens de segurança corporativa.

Gastar dinheiro tentando proteger a rede de todos os ataques não é necessariamente a abordagem certa se um tipo de brecha causa mais danos que outro. A perda de informações de clientes por uma companhia financeira, por exemplo, pode ser impressionante, disse Derrick Huang, professor-assistente da companhia.

"Não importa o quanto seja gasto em segurança, a verba é sempre relativamente baixa para perdas em potencial", disse Huang. "Neste caso, gastar grande parte do dinheiro para proteger a companhia contra spams e vírus não tem nenhum sentido".

Segundo Hu, "o modelo inteiro é baseado no princípio da minimização do risco de segurança, com o risco definido pela probabilidade de uma brecha, modificado pela perda causada pela falha".

A abordagem "dos ovos em uma cesta" pode causar problemas a administradores de TI, mas o estudo mostra que, com verbas limitadas, se proteger de apenas um ataque pode ser o caminho mais prudente. Ataques definidos têm se mostrado cada vez mais danosos financeiramente que ataques distribuídos.

"Estamos propondo que as companhias devessem olhar para as vulnerabilidades do sistema, e, se estiverem em um cenário de alto risco e muitas brechas, deveriam, de verdade, gastar mais dinheiro em ataques focados para prevenir hackers", disse Hu.

Em um sentido mais amplo, o governo norte-americano empregou esta estratégia logo após os ataques terroristas de 11 de setembro. Subsequentemente, o governo teve que investir pesadamente em segurança de aeroportos, disse Ravi Behara, professor associado co-autor do estudo.