financeiras e reflete negativamente na imagem dos fornecedores,de forma a levar à perda de confiança e à afetar profundamente os negócios. Nesse sentido, recomenda-se o estabelecimento de requisitos mínimos de segurança cibernética em contratos por parte dos órgãos e entidades do Governo, o que exerceria dupla função: a primeira, de aprimorar a segurança cibernética do setor público e, a segunda, de incentivar uma segurança mais efetiva em todo o mercado, que para comercializar com o Governo, deverá atentar para esses requisitos na prestação de serviços e na venda de equipamentos. Na elaboração dos instrumentos contratuais, recomenda-se que os entes governamentais, no estabelecimento desses requisitos, assegurem que sejam orientados para o mercado, coerentes com o universo privado nacional e alinhados aos padrões internacionalmente conhecidos. A proteção às infraestruturas críticas, por sua relevância, merece abordagem específica. No Brasil, essas organizações a serem protegidas, escopo desta Estratégia, são as pertencentes ao setor de Telecomunicações, ao setor de Transportes, ao setor de Energia, ao setor de Água e ao setor Financeiro. Não obstante o setor de Saúde não tenha sido contemplado no rol de infraestruturas críticas, podemos considerá-lo em âmbito análogo, uma vez que suas instituições representantes prestam serviços essenciais à sociedade. A elas, portanto, consideramos válidas e adequadas as mesmas recomendações sobre segurança cibernética dedicadas aos outros cinco setores abordados por estaEstratégia. De modo semelhante destaca-se a relevância estratégica da indústria farmacêutica, e o impacto que ataques cibernéticos bem sucedidos podem causar sobre ela e sobre a sociedade brasileira. Segundo o Portal CSO42, as organizações farmacêuticas são alvos preferenciais para o crime cibernético, principalmente em virtude da possibilidade de obtenção de propriedade intelectual relacionada aos processos de negócios, que podem fornecer lucrativa vantagem competitiva. O Decreto nº 9.573, de 22 de novembro de 201843, aprovou a Política Nacional de Segurança das Infraestruturas Críticas Nacionais. Essa Política visa garantir a segurança e a resiliência das infraestruturas críticas do País e a continuidade da prestação de seus serviços. Nesse sentido, estabelece o Sistema Integrado de Dados de Segurança de Infraestruturas Críticas, a Estratégia Nacional de Segurança de Infraestruturas Críticas e o Plano Nacional de Segurança de Infraestruturas Críticas. Em seus princípios, a mencionada Política aponta a importância da prevenção e da precaução, com base em análise de riscos, que reflete na necessidade da adoção de procedimentos de segurança em todas as suas vertentes, inclusive na de segurança cibernética. Essa, em muitos casos, é considerada vital para o pleno funcionamento das infraestruturas críticas e como garantia de prestação adequada dos serviços para toda a sociedade brasileira. Em 2018, os riscos dos ataques cibernéticos cresceram significativamente, em especial as violações de informações acessadas por fornecedores terceirizados e o furto de informações (informações pessoais identificáveis, propriedade intelectual e segredos comerciais). Segundo o estudo “2018 Cost of Data Breach Study: Global Overview”44, realizado pela IBM em parceria com o Instituto Ponemon, observou-se, em 2018, um aumento de 350% em ataques de ransomware, verificou-se uma expansão de 250% em ataques de spoofing ou de comprometimento de e-mail comercial e constatou-se um acréscimo de 70% em ataques de spear-phishing nas empresas de modo geral. O custo médio de uma violação de dados cibernéticos aumentou de US$ 3.620.000,00 (três milhões seiscentos e vinte mil dólares) em 2017 para US$ 3.860.000,00 (três milhões oitocentos e sessenta mil dólares) em 2018. No Brasil, o custo médio de uma violação chegou a US$ 1.240.000,00 (um milhão duzentos e quarenta mil dólares). As ameaças cibernéticas acima descritas têm o escopo de alcançar grande número de organizações, inclusive as representantes das infraestruturas críticas, que, por prestarem serviços essenciais à sociedade, possuem elevado nível de criticidade. Por isso, essas organizações necessitam de meios para identificar, proteger, detectar, avaliar, responder, recuperar e assim gerenciar o risco das ameaças cibernéticas, e também de ferramentas de automação de segurança que usam inteligência artificial e aprendizado de máquina, que permitam analisar, identificar e conter os ataques cibernéticos. Os principais tipos de ameaças contra as infraestruturas críticas são ataques de phishing, negação de serviço em larga escala, vazamentos de informações privadas ou institucionais, espionagem cibernética e a interrupção de serviços. Nesse contexto, ressalta-se que a quantidade e a pluralidade de dispositivos e aplicações, especialmente os pertencentes à categoria de IoT, apresentam-se como um desafio para as infraestruturas críticas, considerada a necessidade de equilíbrio entre segurança, privacidade e o não confinamento de recursos para garantia do fomento ao ambiente de inovação. Verifica-se, ainda, que em todas as abordagens de gerenciamento de riscos cibernéticos, em sistemas ou em