FEBRABAN e 28 bancos promovem 2ª Semana da Segurança Digital

A FEBRABAN – Federação Brasileira de Bancos e mais 28 bancos associados realizam entre os dias 25 e 31 de outubro a 2ª edição da Semana da Segurança Digital com o objetivo de promover a conscientização da sociedade para o uso da internet e os serviços digitais de forma segura.

Durante este período, os participantes divulgarão dicas de como se prevenir dos principais golpes e fraudes digitais. Cada participante desenvolverá livremente suas ações de conscientização para seus clientes, usando as hashtags #SegurançaDigital, #SemanadaSegurançaDigital e #CompartilheSegurançaDigital.

Participam da Semana da Segurança Digital os bancos: Agibank, Banco ABC, Banco de Brasília (BRB), Banco do Brasil, Banco do Nordeste, Banco Fibra, Banese, Banestes, Banpará, Banrisul, BMG, Bradesco, BS2, BTG Pactual, BV, C6 Bank, Daycoval, Inter, Itaú, Mercantil, Original, Pan, Pine, Rendimento, Safra, Santander, Sicoob e Sicredi.

Na FEBRABAN, as informações estarão disponíveis no site http://antifraudes.febraban.org.br/ e nas redes sociais da Federação – Youtube, Facebook, Twitter, Linkedln e Instagram. No site antifraudes, também será publicada a Cartilha de Engenharia Social (técnica que manipula o usuário para que ele forneça informações confidenciais) com dicas de como se proteger dos principais golpes.

No próximo dia 30, a entidade também promoverá a live “Aumento dos crimes cibernéticos e a Educação Digital” pela plataforma noomis (http://noomis.febraban.org.br), às 14h30. Participarão Adriano Volpini, diretor da Comissão Executiva de Prevenção a Fraudes da FEBRABAN; Erik Siqueira, agente da Polícia Federal; e Aldo Albuquerque, sócio-diretor da Tempest Security Intelligence.

“Mais uma vez, o setor bancário brasileiro se alinha a ações similares desenvolvidas durante todo o mês de outubro tanto nos Estados Unidos, desde 2003, como na Europa, desde 2012, e que envolvem vários setores da economia”, afirma Isaac Sidney, presidente da FEBRABAN. “Com a nossa ação de conscientização, queremos ajudar o consumidor a usar cada vez mais suas informações de modo seguro no ambiente digital”, acrescenta.

Neste ano, os participantes irão divulgar dicas de como se prevenir dos principais golpes e fraudes digitais nos seguintes temas:

• Home Office

• E-mails Falsos e Páginas Falsas (Phishing)

• Rede Sociais e Privacidade de Dados

• Senhas e Autenticação Segura

• Pix- Sistema de Pagamento Instantâneo

Adriano Volpini, da Comissão Executiva de Prevenção a Fraudes da FEBRABAN, afirma que um dos grandes objetivos da Semana da Segurança Digital também é ajudar a criar uma forte cultura de proteção de dados no Brasil.

“A população tem um comportamento de segurança no mundo digital diferente do mundo físico, em que as pessoas já se acostumaram a tomar cuidados com carteiras, pertences e celulares, quando estão em locais públicos e de grande movimentação. É preciso ter a mesma conduta para o mundo digital”, afirma.

Além de ações de conscientização como a Semana da Segurança Digital, os bancos brasileiros atuam em várias frentes com o objetivo de contribuir para o combate aos golpes e fraudes. As instituições investem cerca de R﹩ 2 bilhões em sistemas de tecnologia da informação voltados para segurança, valor que corresponde a cerca de 10% dos gastos totais do setor com tecnologia.

Entre as tecnologias de ponta usadas pelos bancos voltadas à segurança das transações bancárias e a prevenção a fraudes, Volpini destaca as aplicações de biometria, aliadas à análise de dados, e o uso da inteligência artificial, que contribuem para processos seguros de validação de usuários, controle de ações e monitoramento de compras.

Entretanto, adverte que atualmente 70% das fraudes estão vinculadas à engenharia social. “A educação digital é fundamental para combater este tipo de crime e deve estar presente cotidianamente em nossa vida financeira”, afirma Volpini.

Saiba mais sobre a participação da FEBRABAN na 2ª Semana da nas redes sociais da entidade e pelo site http://antifraudes.febraban.org.br/

Tagsbancos, FEBRABAN, segurança digital, Valor Agregado

Golpe do Pix: cadastro do Pix é isca de sites falsos para roubar dados

Um golpe envolvendo o Pix, novo modelo para pagamentos eletrônicos do Banco Central, tomou as redes nesta semana em que foi liberado o cadastro para a chave do novo serviço. Criminosos se aproveitaram da adesão por bancos em todo o Brasil, para aplicar golpes de phishing e roubar dados pessoais de vítimas.

Engenheiros da ISH Tecnologia, que está há 24 anos no mercado de segurança de dados brasileiro, detectaram domínios falsos com o termo “pix”, o que mostra a intenção de cibercriminosos de usar a novidade como isca para aplicar golpes. Site assim, criados para ataques cibernéticos, muitas vezes são compartilhados pelas pessoas como se fossem confiáveis, o que é o mais preocupante, comenta o diretor de Inovação da ISH Tecnologia e especialista em segurança de dados, Allan Costa.

“Na maioria das vezes, os golpes acontecem no compartilhamento de algum link, com nosso próprio consentimento, por e-mail ou por WhatsApp”, diz Allan. O WhatsApp está presente em 99% dos smartphones do país. “O brasileiro confia no WhatsApp. O que chega por mensagem, as pessoas tendem a acreditar que é legítimo”, explica o diretor de inovação da ISH.

Aumento ataques

Durante a pandemia, os golpes cibernéticos cresceram significativamente. Com o Pix, haverá mais uma onda de ataques. “A gente tem observado, nos nossos centros de operação de segurança, um aumento de 300% nos incidentes de segurança nos meses de pandemia. Sempre usando palavras de assuntos do momento. Antes, COVID e coronavírus, e agora o pix”.

TagsAllan Costa, golpe do PIX, ISH Tecnologia, PIX, Valor Agregado

Políticas sobre o uso de dispositivos pessoais em tempos de home office

Por Igor Buess

Ao longo dos últimos anos presenciamos a crescente mescla do uso de dispositivos tecnológicos pessoais com os profissionais. Isso porque, acessamos o e-mail da empresa no celular pessoal, respondemos mensagens no WhatsApp na sua versão web diretamente do computador corporativo, realizamos videoconferências em notebooks que são nossos e por aí vai.

Quando se fala em segurança da informação, o bem mais precioso é a informação em si e, por isso, sua localização serve, em muitos casos, para definir o senso de propriedade e responsabilidade sobre o meio que a contém. Ou seja, se uma informação – de propriedade da empresa – está contida num dispositivo móvel pertencente a um colaborador, pode-se inferir que há um senso de propriedade e responsabilidade parcial da empresa com esse equipamento em questão, pelo menos no que tange ao controle de configurações e a possibilidade de monitoramento.

Obviamente deve existir um limite razoável no controle da corporação sobre esse dispositivo para que não haja abusos e invasões na privacidade do colaborador. Isso significa que a empresa precisa definir seu monitoramento exclusivamente para fins de proteção da sua informação e nada mais.

Com o advento da pandemia do Coronavírus, o home office se tornou padrão na maioria das empresas e o uso – por parte dos colaboradores – de dispositivos pessoais para execução de suas funções cresceu exponencialmente, tornando essa problemática ainda mais latente. Portanto, é cada vez mais relevante que as regras dessa modalidade estejam escritas de forma clara e objetiva para que ambas as partes – empresa e colaborador – estejam em harmonia, evitando situações constrangedoras que, em alguns casos, podem até resultar em consequências legais.

O principal meio de definição dessas regras é através de normativos, tais como políticas, normas e procedimentos, juntamente com inciativas de treinamento e conscientização por meio de cursos online, webinars e e-mails internos, entre outros.

Mas um aspecto que deve ser levado em consideração é a razoabilidade das regras que serão definidas. Em outras palavras, o fato das empresas definirem e escreverem as normas não as dá total liberdade para avançar sobre a privacidade do equipamento do colaborador. Tenha em mente: se o colaborador achar que as regras são abusivas, ele simplesmente vai optar por não utilizar seus dispositivos pessoais.

Em relação ao conteúdo específico das normas, sugere-se que alguns aspectos estejam definidos e citados, como a responsabilidade por manter o dispositivo atualizado e seguro; as consequências do descumprimento das orientações de segurança; a possibilidade de investigações no conteúdo do equipamento em casos suspeitos; o suporte oferecido ao usuário em caso de problemas técnicos; e as ações que podem ser tomadas em casos de perda ou roubo.

É importante lembrar que a liberdade de uso de dispositivos pessoais tem seus prós e contras. Isso porque, por um lado, a empresa economiza na compra de equipamentos tecnológicos para cada colaborador e dá mais flexibilidade de trabalho. Por outro, cria-se uma maior complexidade de manutenção da segurança de informações e ocasiona um consequente aumento da superfície de ataque. Tendo isso em mente, a empresa deve avaliar se os benefícios compensam ou não, podendo optar até por uma abordagem mista, na qual apenas determinados sistemas e informações podem ser acessados via dispositivos pessoais.

Igor Buess, consultor de Segurança da Informação na ICTS Protiviti

TagsICTS Protiviti, Igor Buess, segurança da informação, Valor Agregado

Estudo da IBM mostra que contas comprometidas de funcionários levaram às violações de dados mais caras durante o ano passado

IBM Security anunciou os resultados de um estudo global que examina o impacto financeiro das violações de dados, revelando que uma violação custa, na média global, US$ 3,8 milhões para as companhias, e contas comprometidas de funcionários foram a causa mais cara. Ao analisar as violações de dados sofridas por mais de 500 organizações pelo mundo, 80% dos incidentes estudados resultaram na exposição das informações de identificação pessoal de clientes (PII). Entre todos os tipos de dados expostos nessas violações, as informações pessoais de cliente também foram as mais caras para as empresas.

O relatório aponta as perdas financeiras que as organizações podem sofrer caso dados sejam comprometidos, à medida que companhias acessam cada vez mais dados sensíveis por meio do trabalho remoto e operações de negócios na nuvem. Um outro estudo da IBM descobriu que mais da metade dos funcionários que começaram a trabalhar em casa devido à pandemia não recebeu novas orientações sobre como lidar com as informações pessoais de cliente.

Patrocinado por IBM Security e conduzido pelo Instituto Ponemon, o Relátorio de Custo da Violação de Dados 2020 (Cost of Data Breach 2020) é baseado em entrevistas realizadas com mais de 3.200 profissionais de segurança em organizações que sofreram alguma violação de dados durantes o último ano.[1] Algumas das principais descobertas do relatório incluem:

· Tecnologia inteligente reduz custo de violações pela metade: empresas que implementaram tecnologias de automação de segurança (que utilizam IA, análise de dados e orquestração automatizada para identificar e responder aos eventos de segurança) tiveram menos da metade dos custos de violação de dados quando comparadas às que não implementaram essas ferramentas – US$2,45 milhões vs US$6,03 milhões, em média.

· Pagamento pelas credenciais comprometidas: em incidentes nos quais atacantes acessam a rede das corporações usando credenciais comprometidas ou roubadas, as empresas viram o custo de violação de dados ser quase US$1 milhão mais alto em comparação à média global, chegando a US$4,77 milhões por violação. Ataques maliciosos, que exploram a vulnerabilidade de terceiros, foi a segunda origem com maior custo (US$4,5 milhões) para esse grupo.

· Custo de mega violações aumenta aos milhões: os custos das chamadas mega violações, nas quais mais de 50 milhões de registros são comprometidos, subiram de US$388 milhões para US$392 milhões. Violações nas quais 40 – 50 milhões de registros foram expostos custaram para as empresas US$364 milhões em média, um aumento de US$19 milhões comparado ao relatório de 2019.

· Ataques de estado-nação (nation-state) – a violação mais prejudicial: as violações de dados que possam ter sido originadas dos ataques de estado-nação foram as mais caras em comparação com outros atores de ameaças examinados no relatório. Conhecidos como “state-sponsored attacks”, esses ataques tiveram uma média de U$4,43 milhões em custo de violação de dados, superando os cibercriminosos financeiramente motivados e os hackativistas.

“Quando se trata da capacidade de mitigar o impacto de uma violação de dados, estamos começando a ver uma clara vantagem de empresas que investiram em tecnologias automatizadas”, disse Wendi Whitmore, vice-presidente de IBM X-Force Threat Intelligence. “Em um momento em que as empresas estão expandindo sua presença digital a um ritmo acelerado e a falta de skills no setor de segurança persiste, as equipes podem ficar sobrecarregadas ao proteger mais dispositivos, sistemas e dados. A automação da segurança cibernética pode ajudar a resolver essa carga, permitindo uma resposta mais rápida à violação e significativamente mais econômica.”

Credenciais de funcionários e nuvens configuradas incorretamente: ponto de entrada preferido dos atacantes

Credenciais roubadas ou comprometidas e nuvens com configurações incorretas foram as causas mais comuns de violações maliciosas para as companhias que participaram do estudo, representando aproximadamente 40% dos incidentes. Com mais de 8,5 bilhões de registros expostos em 2019 e atacantes usando emails e senhas previamente expostos em uma a cada cinco violações estudadas, as empresas estão repensando sua estratégia de segurança pela adoção da abordagem de confiança-zero (zero trust) – reexaminado como eles autenticam os usuários e como a extensão de acesso aos usuários são concedidos.

Similarmente, a luta das empresas com a complexidade da segurança – o principal fator de custo de violações – está contribuindo para que as configurações incorretas de nuvem se tornem um desafio de segurança crescente. O relatório de 2020 revelou que os atacantes usaram as configurações incorretas de nuvem para violar as redes em 20% do tempo, aumentando o custo de violações para US$4,41 milhão em média.

Tecnologias avançadas de segurança ajudam os negócios

O relatório destaca a crescente divisão no custo de violações entre empresas que implementaram tecnologias avançadas de segurança e aquelas que estão atrasadas, revelando uma diferença de economia de US$3,58 milhões para companhias com automação de segurança totalmente implementada versus aquelas que ainda não implementaram este tipo de solução.

As empresas participantes do estudo que contavam com automação de segurança totalmente implementada também relataram um tempo de resposta significativamente mais curto às violações, outro fator-chave mostrado para reduzir os custos de violação na análise. O relatório constatou que inteligência artificial, machine learning, análise de dados e outras formas de automação de segurança permitiram às empresas responder a violações até 27% mais rápido do que as empresas que ainda não implantaram a automação de segurança.

A preparação para resposta a incidentes também continua influenciando fortemente as consequências financeiras de uma violação. Empresas que não possuem uma equipe designada ou testes de planos de resposta a incidentes sofrem em média com um custo de US$5,29 milhões em violação, enquanto as empresas que possuem equipes dedicados, testes e simulações sofrem menos de US$2 milhões em custo de violações. Isso reafirma que a preparação e a prontidão geram um ROI significativo em segurança cibernética.

Alguns itens adicionais do relatório desse ano incluem:

· Riscos do trabalho remoto têm um preço – Com modelos de trabalho híbrido criando ambientes menos controlados, o relatório descobriu que 70% das empresas que adotaram o teletrabalho em meio à pandemia esperam que os custo de violações de dados se agravem.

· CISOs culpados pelas falhas por violações, apesar do poder limitado de tomada de decisão: 46% dos entrevistados disseram que o CISO/CSO é responsabilizado pelas violações, apesar de apenas 27% afirmarem a tomada de decisão sobre a política de segurança e tecnologia vem do CISO/CSO. O relatório concluiu que a nomeação de um CISO foi associada com uma de economia de US$145.000 versus a média de custo por violação.

Tendências regionais e por indústria

· O estudo analisou o custo de violações de dados em diferentes indústrias e regiões, descobrindo que as violações de dados nos Estados Unidos são muito mais caras, custando US$8,64 milhões em média.

· No Brasil, o custo médio da violação de dados é de R$5,88 milhões (cerca de US$1,12 milhão), um aumento de 10,5% em relação ao ano anterior comparando o valor em reais (R$ 5,32 milhões em 2019). O estudo também observou um aumento no número de dias para identificar a violação de dados, que subiu de 250 para 265, e para conter a violação, que cresceu de 111 para 115 dias, em comparação a 2019.

· Globalmente, a indústria de saúde continua apresentando os mais altos custos médios de violação, com US$ 7,13 milhões – um aumento de mais de 10% em comparação com o estudo de 2019.

Sobre o Estudo

O Relatório de Custo da Violação de Dados anual é baseado em análises profundas de violação de dados reais, que ocorreram entre agosto de 2019 e abril de 2020, levando em conta centenas de fatores incluindo atividades legais, regulatórias e técnicas para a perda do valor de marca, consumidores, e produtividade dos funcionários.

Para baixar uma cópia do Relatório de Custo da Violação de Dados 2020, visite: ibm.com/databreach

Estudo da IBM mostra que contas comprometidas de funcionários levaram às violações de dados mais caras durante o ano passado

IBM Security anunciou os resultados de um estudo global que examina o impacto financeiro das violações de dados, revelando que uma violação custa, na média global, US$ 3,8 milhões para as companhias, e contas comprometidas de funcionários foram a causa mais cara. Ao analisar as violações de dados sofridas por mais de 500 organizações pelo mundo, 80% dos incidentes estudados resultaram na exposição das informações de identificação pessoal de clientes (PII). Entre todos os tipos de dados expostos nessas violações, as informações pessoais de cliente também foram as mais caras para as empresas.

O relatório aponta as perdas financeiras que as organizações podem sofrer caso dados sejam comprometidos, à medida que companhias acessam cada vez mais dados sensíveis por meio do trabalho remoto e operações de negócios na nuvem. Um outro estudo da IBM descobriu que mais da metade dos funcionários que começaram a trabalhar em casa devido à pandemia não recebeu novas orientações sobre como lidar com as informações pessoais de cliente.

Patrocinado por IBM Security e conduzido pelo Instituto Ponemon, o Relátorio de Custo da Violação de Dados 2020 (Cost of Data Breach 2020) é baseado em entrevistas realizadas com mais de 3.200 profissionais de segurança em organizações que sofreram alguma violação de dados durantes o último ano.[1] Algumas das principais descobertas do relatório incluem:

· Tecnologia inteligente reduz custo de violações pela metade: empresas que implementaram tecnologias de automação de segurança (que utilizam IA, análise de dados e orquestração automatizada para identificar e responder aos eventos de segurança) tiveram menos da metade dos custos de violação de dados quando comparadas às que não implementaram essas ferramentas – US$2,45 milhões vs US$6,03 milhões, em média.

· Pagamento pelas credenciais comprometidas: em incidentes nos quais atacantes acessam a rede das corporações usando credenciais comprometidas ou roubadas, as empresas viram o custo de violação de dados ser quase US$1 milhão mais alto em comparação à média global, chegando a US$4,77 milhões por violação. Ataques maliciosos, que exploram a vulnerabilidade de terceiros, foi a segunda origem com maior custo (US$4,5 milhões) para esse grupo.

· Custo de mega violações aumenta aos milhões: os custos das chamadas mega violações, nas quais mais de 50 milhões de registros são comprometidos, subiram de US$388 milhões para US$392 milhões. Violações nas quais 40 – 50 milhões de registros foram expostos custaram para as empresas US$364 milhões em média, um aumento de US$19 milhões comparado ao relatório de 2019.

· Ataques de estado-nação (nation-state) – a violação mais prejudicial: as violações de dados que possam ter sido originadas dos ataques de estado-nação foram as mais caras em comparação com outros atores de ameaças examinados no relatório. Conhecidos como “state-sponsored attacks”, esses ataques tiveram uma média de U$4,43 milhões em custo de violação de dados, superando os cibercriminosos financeiramente motivados e os hackativistas.

“Quando se trata da capacidade de mitigar o impacto de uma violação de dados, estamos começando a ver uma clara vantagem de empresas que investiram em tecnologias automatizadas”, disse Wendi Whitmore, vice-presidente de IBM X-Force Threat Intelligence. “Em um momento em que as empresas estão expandindo sua presença digital a um ritmo acelerado e a falta de skills no setor de segurança persiste, as equipes podem ficar sobrecarregadas ao proteger mais dispositivos, sistemas e dados. A automação da segurança cibernética pode ajudar a resolver essa carga, permitindo uma resposta mais rápida à violação e significativamente mais econômica.”

Credenciais de funcionários e nuvens configuradas incorretamente: ponto de entrada preferido dos atacantes

Credenciais roubadas ou comprometidas e nuvens com configurações incorretas foram as causas mais comuns de violações maliciosas para as companhias que participaram do estudo, representando aproximadamente 40% dos incidentes. Com mais de 8,5 bilhões de registros expostos em 2019 e atacantes usando emails e senhas previamente expostos em uma a cada cinco violações estudadas, as empresas estão repensando sua estratégia de segurança pela adoção da abordagem de confiança-zero (zero trust) – reexaminado como eles autenticam os usuários e como a extensão de acesso aos usuários são concedidos.

Similarmente, a luta das empresas com a complexidade da segurança – o principal fator de custo de violações – está contribuindo para que as configurações incorretas de nuvem se tornem um desafio de segurança crescente. O relatório de 2020 revelou que os atacantes usaram as configurações incorretas de nuvem para violar as redes em 20% do tempo, aumentando o custo de violações para US$4,41 milhão em média.

Tecnologias avançadas de segurança ajudam os negócios

O relatório destaca a crescente divisão no custo de violações entre empresas que implementaram tecnologias avançadas de segurança e aquelas que estão atrasadas, revelando uma diferença de economia de US$3,58 milhões para companhias com automação de segurança totalmente implementada versus aquelas que ainda não implementaram este tipo de solução.

As empresas participantes do estudo que contavam com automação de segurança totalmente implementada também relataram um tempo de resposta significativamente mais curto às violações, outro fator-chave mostrado para reduzir os custos de violação na análise. O relatório constatou que inteligência artificial, machine learning, análise de dados e outras formas de automação de segurança permitiram às empresas responder a violações até 27% mais rápido do que as empresas que ainda não implantaram a automação de segurança.

A preparação para resposta a incidentes também continua influenciando fortemente as consequências financeiras de uma violação. Empresas que não possuem uma equipe designada ou testes de planos de resposta a incidentes sofrem em média com um custo de US$5,29 milhões em violação, enquanto as empresas que possuem equipes dedicados, testes e simulações sofrem menos de US$2 milhões em custo de violações. Isso reafirma que a preparação e a prontidão geram um ROI significativo em segurança cibernética.

Alguns itens adicionais do relatório desse ano incluem:

· Riscos do trabalho remoto têm um preço – Com modelos de trabalho híbrido criando ambientes menos controlados, o relatório descobriu que 70% das empresas que adotaram o teletrabalho em meio à pandemia esperam que os custo de violações de dados se agravem.

· CISOs culpados pelas falhas por violações, apesar do poder limitado de tomada de decisão: 46% dos entrevistados disseram que o CISO/CSO é responsabilizado pelas violações, apesar de apenas 27% afirmarem a tomada de decisão sobre a política de segurança e tecnologia vem do CISO/CSO. O relatório concluiu que a nomeação de um CISO foi associada com uma de economia de US$145.000 versus a média de custo por violação.

Tendências regionais e por indústria

· O estudo analisou o custo de violações de dados em diferentes indústrias e regiões, descobrindo que as violações de dados nos Estados Unidos são muito mais caras, custando US$8,64 milhões em média.

· No Brasil, o custo médio da violação de dados é de R$5,88 milhões (cerca de US$1,12 milhão), um aumento de 10,5% em relação ao ano anterior comparando o valor em reais (R$ 5,32 milhões em 2019). O estudo também observou um aumento no número de dias para identificar a violação de dados, que subiu de 250 para 265, e para conter a violação, que cresceu de 111 para 115 dias, em comparação a 2019.

· Globalmente, a indústria de saúde continua apresentando os mais altos custos médios de violação, com US$ 7,13 milhões – um aumento de mais de 10% em comparação com o estudo de 2019.

Sobre o Estudo

O Relatório de Custo da Violação de Dados anual é baseado em análises profundas de violação de dados reais, que ocorreram entre agosto de 2019 e abril de 2020, levando em conta centenas de fatores incluindo atividades legais, regulatórias e técnicas para a perda do valor de marca, consumidores, e produtividade dos funcionários.

Para baixar uma cópia do Relatório de Custo da Violação de Dados 2020, visite: ibm.com/databreach

Os riscos da falta de segurança na nuvem

Por Alexis Aguirre, Diretor de Segurança da Informação da Unisys para a América Latina

A adoção de nuvem por empresas Latino-americanas segue crescendo e, em meio ao momento delicado que estamos vivendo, não há tecnologia mais útil que essa para garantir a continuidade de operações com agilidade e produtividade. Para além disso, quem já utilizava recursos de nuvem sabe que eles geram inovação e, ao mesmo tempo, redução de custos, já que é possível prever os gastos envolvidos em cada projeto.
Certo, Cloud agora é uma premissa, um caminho sem volta. O próprio Gartner já chama a nuvem de “o novo normal da TI corporativa” (the new normal for enterprise IT). Nesse cenário, a discussão urgente que estamos perdendo não deveria ser sobre adoção da nuvem e sim sobre um melhor entendimento das mudanças fundamentais de paradigma que chegam com o uso da nuvem. As companhias estão atrasadas para perceber que, com a nuvem, a superfície de ataques hackers muda de lugar.
Então, vamos a pontos práticos e críticos sobre como criar uma consciência corporativa para evitar ameaças de segurança da informação na nuvem.

Tenha clareza sobre os responsáveis de cada parte do projeto
Um desafio que vem com a nuvem é a falta de clareza sobre quem é responsável pelo quê. A dica é se organizar e aderir a operações do DevSecOps para obter integração,implementação e melhorias contínuas após a migração inicial para a nuvem.

Não subestime a complexidade dos ambientes em nuvem
As organizações tendem a subestimar as complexidades dos ambientes em nuvem — e sua proteção. A maior flexibilidade e poder dos serviços em nuvem resultam em maior complexidade de governança e operações, aumentando a possibilidade de vulnerabilidades devido a configurações incorretas.
A flexibilidade e o poder inigualáveis dos microsserviços em contêiner e do Kubernetes também resultam em complexidade adicional, aumentando o número de interfaces que podem ficar expostas. Não compreender ou investir nas ferramentas e nos conhecimentos necessários para gerenciar essa complexidade resulta em configurações abaixo do ideal, levando a explorações e vazamentos de dados.

Um novo DNA pede um novo processo de monitoramento
Algumas organizações acreditam que podem usar tecnologias de segurança locais em ambientes dinâmicos de nuvem. As abordagens tradicionais simplesmente não funcionam porque estamos falando de um novo DNA. Na nuvem, você precisa ter um processo automatizado para proteção da carga de trabalho remoto. Você não tem o tempo ou o luxo de alguém monitorar isso diariamente.

Crie novas políticas, práticas e procedimentos de segurança
A nuvem consolidou infraestruturas, sistemas e recursos de computação. Agora, as organizações precisam preparar suas políticas de proteção de dados para funcionar quando não têm controle da infraestrutura na qual seus dados residem.

Como lidar com microsserviços
Fornecedores de software oferecem microsserviços em contêineres, que podem ser aproveitados como componentes por aplicativos. Eles vêm com uma variedade de opções de licenciamento comercial e de código aberto, com diferentes níveis de suporte ou nenhum outro suporte que não seja uma comunidade online. Algumas licenças de código aberto, como a GPL, podem tornar o software inadequado para alguns usos de produção. As implicações legais e de custo do licenciamento de microsserviço são um aspecto importante desse novo cenário de aplicativos. É recomendável considerá-las durante o desenvolvimento do aplicativo antes da transição para a produção.

A importância do acesso seguro
O acesso seguro pressupõe que aplicativos, rotas ou sistemas de comunicação sejam utilizados apenas por quem possui credenciais apropriadas para tal. Os relacionamentos e limites de confiança precisam ser gerenciados de acordo com os objetivos de negócios e as restrições legais. Além da autenticação robusta que usa rotação de credenciais e autenticação multifator, os acessos precisam ser definidos em termos de funções baseadas do menor ao maior privilégio.

Limite e proteja sua superfície de ataque
A eficácia em minimizar a superfície de ataque implica em limitar o acesso externo e interno (por exemplo, portas abertas) ao que é absolutamente necessário. Implica também em desabilitar funções e infraestrutura desnecessárias de software. Isso reduz o número de itens que podem ser comprometidos.
A superfície de ataque não só deve ser limitada, mas também precisa ser protegida por meio de uma estrutura automatizada e que detecte inteligentemente o tráfego anormal ou o comportamento do software. Isso deve resultar nas ações de quarentena e notificação orientadas por políticas apropriadas, limitando assim o impacto de violações.

A jornada na nuvem tem nos guiado ao futuro. Se feita corretamente, pode trazer muitos benefícios para as empresas. Só não podemos nos esquecer de que nuvem e segurança devem caminhar juntas. Não é improvável que companhias corram riscos de violações de dados, mas aquelas que estiverem preparadas para corrigir e isolar ataques em segundos ou minutos serão mais bem-sucedidas.

Não deixe o phishing ser um problema para o seu negócio

Cinco dicas de cibersegurança para empresas com home office

A implementação de um plano de continuidade de negócios e o suporte a funcionários que trabalham remotamente é essencial para garantir que as empresas sejam capazes de manter as operações frente a adversidades, como inundações, furacões, epidemias e falta de energia.

Os trabalhadores em home office tendem a usar seus próprios dispositivos para suas tarefas, o que implica riscos potenciais à segurança. Ter um alto número de dispositivos compatíveis com a rede comercial facilita a conexão de equipamentos não autorizados. Os funcionários também podem acessar páginas da Web inseguras ou baixar inadvertidamente aplicativos comprometidos, favorecendo a introdução de malware na rede de suas empresas. Por não ter uma interação regular, o trabalho remoto impede a supervisão e o controle da segurança cibernética nesses dispositivos.

A Fortinet, empresa líder global em soluções de segurança cibernética, oferece algumas recomendações para mitigar os riscos associados ao home office:

1. Garantir conectividade confiável:Apesar dos crescentes desafios, muitas tecnologias modernas, como a Rede Privada Virtual (VPN), protegem as informações por meio de criptografia e estabelecem conexões seguras. As VPNs permitem a conexão segura de todos os dispositivos, mesmo quando acessados ​​a partir de pontos públicos de acesso Wi-Fi, um recurso muito desejável para os empregadores que praticam o trabalho remoto e nem sempre sabem de onde seus colaboradores se conectam.
2. Contar com filtragem de conteúdo, visibilidade de aplicativos e configuração de tráfego:trata-se de outras tecnologias de segurança cibernética que complementam o home office, principalmente porque filtram conteúdo não seguro, como sites e links de lazer, que podem comprometer dispositivos e informação.
3. Implementar soluções robustas de autenticação:essas soluções podem garantir que apenas usuários autorizados tenham acesso a informações confidenciais da empresa.
4. Promover uma cultura de cibersegurança:embora as medidas tecnológicas implementadas ajudem a mitigar os riscos, o principal aliado para o trabalho são os colaboradores da empresa. É necessário treiná-los continuamente sobre os riscos cibernéticos e envolvê-los ativamente na proteção do negócio. Da mesma forma, é essencial que os líderes sejam o exemplo e incorporem a liderança também na cibersegurança. Medidas simples, como bloquear a tela ao sair, podem levar outro trabalhador a replicar o comportamento.
5. Considerar o erro humano:as empresas devem ter em conta a possibilidade de erro humano ao planejar e implantar suas soluções de segurança. Embora o treinamento adequado possa reduzir erros, é necessário entender que eles não desaparecerão completamente. As equipes de TI devem levar isso em consideração ao projetar e implantar redes da empresa.

Os benefícios do home office são evidentes e, embora possam surgir alguns desafios de cibersegurança, a implementação oportuna de soluções apropriadas pode permitir práticas produtivas e seguras para garantir a continuidade dos negócios. Para oferecer o benefício da flexibilidade a seus funcionários ou no caso de um desastre natural ou outro evento que perturbe as operações comerciais normais, toda organização deve ser capaz de fazer uma transição rápida para uma força de trabalho remota.

Quando a saída é o trabalho remoto: como fica a segurança dos dados?

Por Bruno Maia, head de Inovação do SAS América Latina

O receio sobre o coronavírus ocasionou um aumento exponencial na prática de trabalho remoto — a Ásia está liderando o que é o maior experimento de home office já visto no mundo. De fato, quem ainda achava que era impossível produzir trabalhando longe do escritório não teve outra opção a não ser aceitar que essa era a nova forma de operar. Antes mesmo da epidemia se instalar, a evolução do work from home/work from anywhere, em que colaboradores podem viver e trabalhar onde quiserem, desde que façam suas entregas, já era uma realidade.

Refletindo sobre as implicações relativas aos dados no contexto do aumento do remote working, o que tem atrapalhado é o trânsito entre o trabalho feito localmente, ou seja, nos nossos computadores, e a fonte: muita tecnologia ainda precisa ser envolvida para apresentar ou salvar o conteúdo com o qual precisamos trabalhar. A conectividade torna-se fundamental — e o 5G virará a chave nesse jogo, mas isso ainda é um cenário futuro.

Considerando as coisas como são atualmente, um ponto a ser levado em conta é a segurança. Quando se está usando dados no escritório, normalmente assume-se uma rede contida da empresa, com um guarda-chuva de segurança da estrutura fixa. Em um contexto de home office, como é possível garantir a integridade dos dados corporativos?

Em empresas que sabem que dados são seu ativo de maior valor, se um descuido no trato de dados sensíveis ficar evidente, isso chega na mesa da gestão. Empresas que permitem o home office responsável empregam toda a sorte de ferramentas como bitlocker, criptografia no computador e até nos pendrives. E, se você o mesmo computador para trabalhar e para suas atividades pessoais, terá que abrir mão de alguma privacidade, pois a empresa vai monitorar tudo: as suas coisas pessoais e as que dizem respeito à empresa.

Portanto, empresas que flexibilizarem suas rotinas de trabalho no escritório, com funcionários longe dos recursos tecnológicos que forçam a aderência a políticas de segurança, precisam rever como tratam seus dados. Sem uma evolução do padrão de tecnologia, segurança e políticas associadas, vazamentos de dados e prejuízo para o cliente final se tornarão cada vez mais frequentes com o aumento do trabalho remoto. Epidemias à parte, este é um risco certamente real.

Ninguém está a salvo: coronavírus e cibersegurança

Por Anderson França, CEO da Blockbit

O Coronavírus colocou o mundo inteiro em estado de alerta máximo. Motivos, de fato, não faltam: a contaminação que se espalha pela China e que atinge diversos países de todo o planeta tem mostrado que o vírus é mais veloz e letal do que poderíamos imaginar. O que pouca gente sabe, porém, é que o Coronavírus tem representado cada vez mais uma ameaça digital.

Os cibercriminosos estão se aproveitando do estado de alerta da população mundial, principalmente nos países que têm maior risco de contaminação, para enviarem mensagens com conteúdos falsos que disseminam diversos agentes maliciosos especialmente criados para roubar dados bancários e ter acesso irrestrito aos arquivos (corporativos e pessoais).

Por meio de e-mails com links falsos ou de arquivos anexos perigosos que, aparentemente, trazem apenas as instruções de proteção e identificação do novo vírus, os criminosos estão atacando eletronicamente a população. Ao clicar no conteúdo de uma mensagem, os usuários têm seus computadores invadidos e seus dispositivos infectados com malwares, como o Trojan Emotet (eficaz em ataques a governos e instituições financeiras); Cavalo de Troia (capaz de espionar e roubar dados confidenciais, além de obter acesso ao sistema do dispositivo); e os Ransomwares (cuja função é restringir o acesso ao sistema e cobrar seu resgate em criptomoedas).

Vale destacar, porém, que não estamos diante de nenhuma grande novidade, pois hackers sempre enviam e-mails e conteúdos falsos para ‘fisgar’ os dados das pessoas. Porém, o que causa surpresa é a quantidade de ataques e a sofisticação das armadilhas.

Por isso, é importante ter em mente que estamos em uma era hiperconectada, na qual grande parte da população se informa e comunica pela Internet. Em outras palavras, estamos sujeitos a ser alvo desses ataques a cada clique que damos. A questão estratégica é o que podemos fazer para mitigar essas ameaças?

A primeira resposta é trabalhar a cautela. As empresas podem começar suas ações, limitando o acesso a links estranhos e orientando seus funcionários a não abrirem anexos de desconhecidos. É importante repensar de forma contínua os índices e as medidas de segurança a partir de planos específicos para capacitar e qualificar todos os colaboradores, como um mantra a ser seguido por todos. É preciso compartilhar melhores práticas de proteção na Web – inclusive em aplicativos de mensagens instantâneas. Os líderes devem acompanhar essa jornada de perto, buscando caminhos para orientar as equipes e alertar continuamente sobre a importância de parar e pensar antes de abrir links estranhos ou arquivos anexos suspeitos.

Além da formação de uma cultura orientada à cibersegurança, é preciso investir no uso de tecnologias capazes de identificar vulnerabilidades e prevenir os ataques, com filtros de conteúdo e firewalls que limitem o acesso de informações e mantenham todos os dispositivos protegidos, usando antivírus e, também, por programas certificados de proteção e detecção de ataques.

Outra forma de se proteger é ter soluções específicas para cada equipamento. Utilizar ferramentas adequadas e sempre atualizadas ajuda a evitar o roubo de dados, espionagem, exposições indevidas ou a danificação de bases de dados estratégicas para o negócio. Contar com soluções de última geração – que permitam uma análise inteligente, proativa e em tempo real – é importante para impedir que vírus atualizados entrem na rede corporativa, causando danos irreparáveis. Essa proteção deve estar presente em PC, servidores e em smartphones, pois esses aparelhos estão entre os mais usados pelos brasileiros.

Além da mudança de hábito do usuário, que deve desconfiar sempre do remetente desconhecido e não abrir qualquer arquivo recebido, a tecnologia de proteção já está disponível no Brasil e pode ser encarada como um fator imprescindível para aumentar a segurança digital das empresas. O Coronavírus tem nos mostrado que combater epidemias exige trabalho conjunto, coordenação e muito controle. Hoje, todos nós queremos ter informação rápida e global, mas vale a pergunta: sua organização está realmente preparada para trabalhar com segurança? A resposta começa pela tecnologia que utiliza e pelas políticas de cibersegurança. Manualmente é impossível proteger os ataques.

Golpe com o código de verificação rouba contas do WhatsApp

O laboratório da ESET, empresa líder em detecção proativa de ameaças, analisou recentemente novas ameaças de ciberataques e golpes para evitar que usuários sejam enganados na internet.

O novo golpe é feito por meio do WhatsApp e tem o objetivo de sequestrar contas de usuários do aplicativo. Tudo começa com uma mensagem através do app ou de um SMS por meio do qual um contato (também vítima do golpe) menciona que, sem querer, um código de verificação de seis dígitos (que, supostamente, não era dirigido a ela) foi enviado para o seu telefone e solicita que a mensagem seja reenviada com o código.

Neste caso, como a vítima não solicitou a recuperação de nenhum código, pode pensar que a mensagem, de fato, foi enviada por um contato que precisa recuperar o acesso a sua conta. O que, na realidade, estão fazendo os criminosos por trás desse golpe é entregar o código de verificação para registrar sua conta de WhatsApp em outro dispositivo.

Uma vez que se reenvia a mensagem com o código de verificação de seis dígitos: o cibercriminoso registrará o WhatsApp em outro celular com a combinação numérica (o número telefônico aparece no cabeçalho da mensagem recebida), enquanto a vítima apenas verá em sua tela uma mensagem que a informa ter perdido o acesso à sua conta, ainda que momentaneamente.

Nestes casos, geralmente, o cibercriminoso ativa a verificação em duas etapas dentro do WhatsApp, fazendo com que o usuário original da conta não consiga recuperá-la.

“A educação é um ponto-chave para evitar cair em golpes, já que a conscientização permite que, ao conhecer os riscos, se tomem as medidas necessárias para evitar ser vítimas de golpes. Ironicamente, o recurso de dupla verificação que leva adiante o cibercriminoso é (se já estiver implementado) o melhor aliado que os usuários têm para evitar cair nesse tipo de golpe que busca tomar o controle do serviço de mensagem mais utilizado atualmente”, comenta Luis Lubeck, especialista em Segurança Informática da ESET na América Latina.

Para ativar o recurso, primeiro é necessário acessar os Ajustes na parte superior direita da tela do dispositivo.

Neste momento, o usuário deve escolher uma senha de seis dígitos, que será solicitada na próxima vez que queira registrar o WhatsApp em qualquer dispositivo. É possível que, por segurança, a aplicação solicite a senha, de tempos em tempos, para evitar leituras não autorizadas das mensagens.

“Desta forma, a conta fica protegida ao estar associada não apenas ao número telefônico que fez a instalação, mas também a uma chave numérica e a um e-mail. Com essas medidas adicionais, se por algum motivo o usuário entrega a chave de registro do WhatsApp, as outras camadas de segurança impediriam que um terceiro se registrasse em outro celular”, menciona Luis Lubeck.

“A verificação em duas etapas segue sendo o método mais seguro para evitar acessos não autorizados às contas. Este tipo de camada de segurança se encontram, atualmente, na maioria das redes sociais, assim como nos sistemas de e-mail mais utilizados”.

Cibersegurança deve gerar 3,5 milhões de empregos até 2021 e vai demandar formação de profissionais, antecipam especialistas do IEEE

O surgimento de novas tecnologias como 5G, Internet das Coisas (IoT), veículos autônomos e indústria 4.0 está levando ao aumento da demanda de profissionais de cibersegurança. Segundo estimativas da Cybersecurity Venture, líder mundial em pesquisas de cibereconomia global, o setor deverá gerar de 3,5 milhões postos de trabalho até 2021. Somado a esses fatores, a entrada em vigor em agosto da lei 13.709/18, conhecida por Lei Geral de Proteção de Dados (LGPD), contribuirá para o aumento da demanda no Brasil. Diante deste cenário, os engenheiros Marcos Simplicio e Raul Colcher, membros do IEEE, maior organização profissional dedicada ao avanço da tecnologia em benefício da humanidade, acreditam na urgência da formação de profissionais neste setor para resolver problemas de segurança e privacidade de tecnologias existentes e emergentes.

Professor do Departamento de Engenharia de Computação e Sistemas da Escola Politécnica da Universidade de São Paulo (Poli-USP), Marcos Simplicio defende que haja profissionais cobrindo todo o ciclo e etapas de um sistema de segurança. “É importante ter um designer para criar um sistema robusto; um programador de segurança para evitar vulnerabilidades e um administrador de sistema para elaborar um ambiente seguro. Todas essas funções estão conectadas e a falha de uma delas pode prejudicar o sistema inteiro”, afirma.

Para Raul Colcher, sócio e presidente da Questera Consulting, as habilidades necessárias para um profissional de cibersegurança são multidisciplinares e compreendem técnicas específicas do setor, como conhecimentos e treinamentos básicos sobre tecnologias e soluções emergentes que caracterizam o novo ambiente de redes, sistemas e serviços. Ademais precisam estar familiarizados com os problemas e as características dos setores e aplicativos que irão proteger. “Por fim, eles precisam de um entendimento sólido dos problemas administrativos, comportamentais e regulatórios que normalmente estão presentes em incidentes e ameaças de segurança e privacidade”, conclui.