Tag ciberataques

Ciberataques: 4 etapas para criar um programa de Segurança da Informação

Por Carlos Araujo Jr.


Não há dúvidas que a pandemia do Coronavírus afetou e continuará impactando a maneira como vivemos e trabalhamos. As empresas foram obrigadas a se adaptar e, com isso, uma quantidade significativa de operações adotaram o home office sem estarem 100% preparadas para esse cenário. No entanto, aquelas que já tinham implementado uma governança do Programa de Segurança da Informação certamente absorveram melhor os impactos causados durante as adaptações forçadas pelo cenário da pandemia.

Nos primeiros meses, muitas orientações foram disponibilizadas a fim de ajudar as empresas que não estavam preparadas a tomarem ações mínimas de segurança nesse cenário de trabalho à distância. Porém, a implementação isolada desses controles disponibilizados não significa que as operações estejam seguras. Afinal, maturidade em Segurança da Informação não se cria do dia para a noite.

Os controles ajudam na mitigação de possíveis riscos, mas essas e outras medidas foram tomadas para “apagar o fogo”, ou seja, resolver alguns problemas específicos que, antes da pandemia, nunca haviam sido priorizados ou até identificados pelas empresas. Isso porque, os desafios da cibersegurança não são novos, eles apenas recebem suas roupagens de acordo com a ocasião. Neste caso, o Coronavírus trouxe um cenário de urgência para as empresas que ainda não enxergavam a Segurança da Informação como uma área crítica. Porém, as ameaças de segurança já existiam há anos.

Então, como as organizações poderiam estar melhor preparadas para esse cenário sem precedentes? Antes de tudo, é necessário avaliar seus processos e ativos a fim de identificar os investimentos e os controles que precisam ser priorizados para que a área de Segurança passe do comportamento reativo ao proativo. Para atingir esse objetivo, há a importância de estruturar o Programa de Segurança, que pode ser dividido em quatro grandes etapas, são elas: planejamento e organização; implementação; operação e manutenção; e monitoramento e avaliação.

Na etapa de planejamento e organização é importante o comprometimento dos líderes da empresa com o tema. Neste sentido, é possível dizer que o cenário pandêmico foi um impulsionador, mas além do Coronavírus, quais os outros grandes motivadores, internos e externos, da Segurança da Informação? Um exemplo que também está em pauta é a vigência da Lei Geral de Proteção de Dados. Além disso, nesta etapa, é importante a definição do perfil de ameaça, bem como a realização de uma avaliação de riscos de segurança a fim de identificar seus gargalos e suas ameaças.

Para a etapa de implementação, algumas atividades essenciais são o desenvolvimento de políticas, normas e procedimentos que suportem o tema de segurança na empresa e, com base na avaliação de riscos, o desenvolvimento e a implementação de blueprints necessários para atender suas necessidades.

Na próxima etapa, de operação e de manutenção, é importante que auditorias internas e externas sejam realizadas visando garantir que os requisitos, as linhas de base e os controles de segurança estejam, de fato, implementadas de maneira efetiva. Por fim, o monitoramento e a avaliação envolve o acompanhamento e a revisão de métricas e de indicadores, além de propostas de melhorias para o próximo ciclo do programa.

Ou seja, não existe uma “receita de bolo” que garanta segurança. Cada empresa deve cumprir suas etapas para entender como a área de Segurança da Informação pode se tornar uma parceira estratégica do negócio. Lembrando que, nenhuma organização estava totalmente preparada para a pandemia do Coronavírus, mas aquelas que já possuíam um programa implementado conseguiram se beneficiar da resiliência e da adaptabilidade que ele proporciona.

Carlos Araujo Jr. é gerente de Cyber Security na ICTS Protiviti

Tags, , , ,

Gartner mostra como executivos conseguem manter seus empregos após ciberataques

O Gartner, Inc., líder mundial em pesquisa e aconselhamento imparcial em tecnologia, divulga os motivos porque muitos CEOs serão demitidos por causa de ciberataques e como eles podem se manter em seus cargos.

“Tendências no âmbito regulatório indicam um aumento da responsabilidade para conselhos de administração e executivos na comunicação e prevenção de ciberataques”, diz Tom Scholtz, Vice-Presidente de Pesquisa do Gartner. “Embora você não possa controlar a ocorrência de ataques, é possível supervisionar o nível de preparo das organizações para responder e enfrentar a tempestade”, afirma o analista. “Fomente o engajamento de seus executivos – o risco é deles.”

Segundo o Gartner, o roubo de dados privados de 143 de milhões de norte-americanos fez do caso envolvendo o ciberataque da Equifax um dos maiores da história. A maneira como a companhia lidou com a situação foi acompanhada de diversas análises, resultando na saída do CEO Richard Smith em meio à crise, em 2017. Trata-se de um sério lembrete para qualquer CEO dos perigos envolvidos na violação de dados, diz o especialista.

Para o Gartner, muitos CEOs serão demitidos por causa de ciberataques. Vejas sete razões das demissões de altos executivos por erros de segurança, e como eles devem fazer para manter seus cargos:

1. Responsabilidade fragmentada – Mais CEOs serão tidos como os “responsáveis”. Sem um bom esforço de engajamento contra os risco não há como responsabilizar – “Eu apenas fiz o que o pessoal da segurança me mandou fazer”. Ofereça aos seus executivos condições para decisões adequadas, não proteção. Modelos fortemente baseados em responsabilidade, nos quais os riscos estão a cargo de quem tem autoridade para cuidar deles, garantem que problemas de segurança não se agravem.

2. Desconexão cultural – Muitos Conselhos de Administração acreditam que cibersegurança é um problema técnico resolvido por pessoas técnicas, escondidas em TI. Ao contratar as pessoas certas com conhecimento técnico, é possível diminuir as chances de ser atacado e manter distância das manchetes.

3. Servidor que nunca sofre correções – Embora haja uma legítima razão corporativa, muitas organizações possuem servidores completos sem nunca terem sido atualizados ou corrigidos. Decisões de negócios conscientes precisam ser tomadas levando em consideração o que será feito, mas, mais importante, o que não será feito para se proteger.

4. Seu executivo de segurança é o defensor da sua organização – Equipes de segurança são contratadas por serem especialistas e seu trabalho é proteger a organização. Esses silos são a questão, colocar pessoas na função de proteger os resultados de negócios que não entendem. Fomente o engajamento de seus executivos – esse é o risco deles.

5. Jogar dinheiro no problema – Você não pode comprar sua saída – você ainda não estará perfeitamente protegido. Evite resultados negativamente impactantes devido a elevação de custos operacionais existentes prejudicar potencialmente a habilidade de a organização funcionar.

6. Tolerância ao risco e apetite brando – Organizações criam declarações genéricas de alto nível sobre seu apetite por risco que não suportam a tomada de boas decisões. Evite prometer para apenas engajar em atividades de baixo risco. Essa prática é contrária aos bons negócios e cria outras boas razões para demissão se você está envolvido em atividades de risco.

7. Pressão social – Culpar uma organização por sofrer um ataque de hacker é como culpar um banco por ser roubado. A diferença é que bancos são defensáveis – a maior parte das organizações não é. O primeiro passo para se recuperar é admitir que você tem um problema. Suas ações reforçam como as pessoas percebem a dificuldade. “CEOs precisam redefinir a maneira como lidam com risco e segurança para evitar serem demitidos”, acrescenta Scholtz. “O propósito do programa de segurança é criar um equilíbrio entre a necessidade de proteger e a exigência de conduzir os negócios”, diz o especialista do Gartner.

Tags, , , , , , ,