O que sua empresa tem feito para achatar a curva da cibersegurança?

O mundo agora volta a discutir com força o crescimento do coronavírus. Diferentes países e regiões voltam a entrar em alerta vermelho, surge uma nova variante do vírus e volta à tona a discussão sobre o que fazer para achatar a curva da transmissão, ou seja, aumentar a nossa capacidade de enfrentamento da ameaça ou da doença em si e, como consequência, desacelerar a contaminação das pessoas.

Essa mesma lógica da curva é perfeitamente aplicável às estratégias dos executivos de TI e SI. Afinal, vivemos uma proliferação brutal das ameaças de cibersegurança, que tem feito crescer de maneira significativa a curva de “ciberinsegurança” no mundo. Com a chegada do 5G esse quadro tende a se agravar ainda mais, já que teremos a entrada de mais IoT no mercado digital, conceito que até pouco tempo não era mapeado. Como sabemos, quanto maior a pegada digital, maior é a superfície de risco.

No nosso caso de cibersegurança a curva a ser achatada é um pouco diferente. Olhamos de um lado uma curva de crescimento exponencial, representando as ameaças digitais e outra que poderia significar nossa capacidade de enfrentamento (defesa) destas ameaças. Em poucas palavras, o executivo e o Conselho de Administração tem como responsabilidade reduzir a distância entre estas duas curvas.

Com o trabalho remoto, o cenário de vulnerabilidade das organizações a ataques cibernéticos se agravou ainda mais. Hoje, com as equipes trabalhando de maneira distribuída, as chances de vazamento de dados são maiores. Há a facilidade de invasão por meio de redes que não foram planejadas pela defesa do negócio. Além disso, o nível de estresse em que vivemos e trabalhamos nos deixa muito mais suscetíveis à engenharia social.

Por conta de tudo isso, é cada vez mais comum termos notícias de ataques virtuais bem-sucedidos no mundo, com consequência bastante danosas na linha do tempo, como nos setores de tecnologia, de cosméticos e do agronegócio. São táticas de invasão, malwares e ransomwares novos a todo momento. E, assim como o coronavírus, que não podemos ver a olho nu, chegam de maneira sorrateira em nossas redes e sistemas, podem passar despercebidos, causar danos leves ou serem avassaladores e fatais.

Boas práticas que garantem uma estratégia de defesa eficiente

Voltando ao conceito da curva, no mundo corporativo, as organizações precisam aumentar sua capacidade interna de defender os dados, a rede e os sistemas e, assim, desacelerar e mitigar os ataques que podem vir por múltiplas frentes. Neste caso, não existe uma vacina que vá eliminar os cibercriminosos. Mas um importante passo de ter essa defesa é garantir que ela venha embarcada nos projetos, por meio dos conceitos segurança por design e por default.

Paralelamente a isso, é fundamental incluir na estratégia de defesa outras três boas práticas:

1. Inclua a segurança da informação nas estratégias do negócio

As empresas precisam se conscientizar que a segurança da informação é um tema fundamental para a prosperidade das organizações. Um ataque cibernético bem-sucedido pode causar danos irreversíveis ao negócio, sejam eles financeiros ou de reputação. Para se proteger desse cenário, é preciso criar uma interlocução entre a equipe interna de segurança da informação e especialistas parceiros independentes. É muito importante, ainda, determinar um orçamento específico para segurança da informação, com métricas e estratégias de gestão apartadas da área de TI. O objetivo é evitar possíveis conflitos de interesses entre SI e TI, para que essas questões não interfiram no espírito de colaboração e independência que deve existir entre as áreas. O que vejo com frequência é muitas empresas fazendo o básico no quesito SI e tendo que lidar com enormes despesas que não estavam previstas diante de um ataque mais severo.

2. Tenha estratégia ao investir em SI

Às vezes, as empresas pagam muito para ter o básico em segurança da informação, sem se dar conta de que com o mesmo montante e um parceiro adequado é possível ter acesso a soluções mais avançadas. Há ainda casos de projetos de SI que protegem apenas parte da organização, deixando outra parte com a porta aberta para as ameaças. É fundamental ter certeza de que a eficiência do plano implementado cobre todos os setores importantes para que se feche o máximo possível essa sua superfície de risco.

3. Proteja as jóias da coroa

Classifico como jóias da coroa aqueles dados imprescindíveis para a empresa ou o negócio, muito confidenciais ou estratégicos. Neles, é importante aplicar recursos de segurança que garantam que, em caso de vazamento ou sequestro, eles estejam criptografados. Essa é uma excelente forma de minimizar o impacto de um incidente de segurança. Igualmente as melhores técnicas de segurança devem estar aplicadas neste escopo de proteção.

Como entender a maturidade da sua empresa em SI

Lamento muito tudo o que o mundo está enfrentando com a pandemia, mas não dá para negar que estamos diante de uma grande oportunidade de nos tornarmos melhores em gerir riscos. Muitos de nós estão naturalmente mais preocupados com as nossas atitudes com nós mesmos e com o outro, tomando as medidas necessárias para proteger a nossa vida e a das pessoas com as quais nos relacionamos.

Podemos adaptar nossa propensão ao zelo para o ambiente digital das empresas. Um importante primeiro passo é fazer uma sondagem respondendo a perguntas, como:

• Quais são as ameaças recentes?
• Qual é a sua capacidade de enfrentamento desses problemas?
•  Você está protegendo a rede, os dados e o sistema da sua empresa?
• Está dialogando com os ecossistemas, com os terceiros que se relacionam com o seu negócio para garantir que todos estão se protegendo?
• Como está o seu olhar para as múltiplas vertentes da superfícies de risco? Aqui, considere equipe home office, dispositivos mobile e não corporativos, entre outros pontos de vulnerabilidade.
• Qual é o nível de segurança das suas aplicações e do seu banco de dados? Seus dados são criptografados?
• Você sabe exatamente quais usuários acessam o que e por qual motivo fazem isso? Conhece o que é permitido acessar, quando e de que modo? Faz esse tipo de controle?

Do mesmo jeito que a pandemia está forçando o mundo a gerir o risco global de saúde, as empresas estão tendo que lidar com outra guerra silenciosa, que é o aumento da insegurança cibernética, permeada por ataques cada vez mais sofisticados e volumosos.

Cabe às empresas olharem para esse desafio diariamente e se questionarem: “Estou me protegendo o suficiente?”. Posso garantir que negar a realidade ou tratá-la com descaso custa mais caro do que estruturar um projeto eficiente de segurança da informação.