10 recomendações para prevenir ciberataques

Em torno de 80% dos ataques cibernéticos acontecem por meio de pontos vulneráveis em sistemas. E a segurança deve vir em primeiro lugar quanto se trata de dados, antes mesmo da própria operação da empresa e dos sistemas. É o que defende Alexandre Morelli, head de cibersegurança na Yaman, consultoria de qualidade e engenharia de software.

Apesar desse conhecimento por parte das empresas, os ataques têm acontecido
cada vez mais porque no Brasil se enxerga segurança de sistemas como investimento
sem retorno. E porque a legislação não pune adequadamente empresas que têm
dados críticos vazados e que prejudicam os clientes.

Ainda de acordo com Morelli, um dos pontos mais críticos em uma
invasão é o roubo da infraestrutura da empresa, que se torna rentável para o
ladrão. “O estelionatário consegue acessar esta infraestrutura por meio de um
simples exploit – uma forma comum de se tirar proveito de uma
vulnerabilidade em um banco de dados -, sem sequer intervir em qualquer sistema
da empresa”, diz. Dessa forma o hacker se torna “invisível”.

“Já vi, pela Dark Web, cibercriminosos vendendo espaço
de nuvempara que outros hackers pudessem atuar sem regras e
custos”, conta. Estes sistemas clonados podem, inclusive, ser utilizados para
ataques em massa a outras empresas.

Para evitar problemas como esse, o especialista dá dez
recomendações contra ciberataques:

1. Antes de fazer um desenvolvimento de software em casa ou
passá-lo para um terceiro, confira se ele atua a partir de uma cultura de DevSecOps,
isto é, se configura um desenvolvimento minimamente focado em segurança. A
qualidade deste também é um fator importante, porque ajuda a proteger o sistema
de ataques. Tenha em mente que este ambiente deve ser controlado por sistemas
de segurança inerentes ao desenvolvimento seguro.

2. Tenha um time de segurança com propósito único à
segurança interna. É importante, inclusive, que ele responda diretamente para o
corpo diretivo da empresa, para que consiga autoridade e liberdade de analisar
de fora desenvolvimentos e desenvolvedores e relatar pontos críticos,
vulneráveis e até aqueles que precisam de melhor investigação.

3. Recorra aos chamados Security Champions, isto é,
transformadores culturais que atuam, dentro da empresa, como especialistas em
segurança e difundem a importância dela para diferentes equipes, principalmente
para as equipes de desenvolvimento. Eles também atuam como uma ponte de ligação
entre as áreas de segurança e desenvolvimento (TI).

4. Invista no treinamento e capacitação da equipe de
segurança e tome ações para que ela seja confiável. Os profissionais devem
saber, por exemplo, que as senhas devem ser seguras e periodicamente trocadas,
que não podem ter caracteres que identifiquem informações de fácil dedução,
como a placa do carro ou o nome do filho de alguém.

5. Tenha uma boa gestão de sistemas e sempre aplique o chamado Hardening,
que são as políticas de segurança focadas em garantir que o banco de dados
esteja preparado para receber ataques. Além disso, faça a gestão dos patches.
E isso deve ser atrelado à equipe de segurança, citada anteriormente.

6. Adote soluções adequadas para verificar se algum funcionário
está tendo uma conduta maliciosa. Vazamentos de dados costumam acontecer
internamente e não externamente. Por isso, plataformas que fazem uma análise
comportamental dos profissionais são importantes. Darktrace é um exemplo
de sistema que protege a rede corporativa da empresa de atitudes anormais.

7. Aposte emuma gestão de identidade muito bem
atribuída, permitindo que os acessos de pessoas vinculadas à empresa e seus
dados sejam monitorados. O sistema também deve ser sanitizado periodicamente:
profissionais internos, ou terceiros, que executem projetos que requerem o
acesso como “admin” devem, assim que se desvincularem da empresa, perderem o
acesso ao sistema por completo.

8. Faça uma análise de vulnerabilidade em seu ambiente
digital de três em três meses. Basicamente, trata-se de uma providência que
consiste na busca e classificação de falhas na infraestrutura dos sistemas, bem
como nos desenvolvimentos incorporados há pouco tempo – nestes é necessária uma
análise de vulnerabilidade antes de entrar em operação.

9. Tenha um bom Threat Hunting: ferramentas e
profissionais que investigam vazamentos de dados, possíveis tentativas de
ataques, usuários maliciosos, páginas clone da empresa, ou venda de documentos
desta, entre outros. Os threat huntings varrem a Dark Web e
alertam a organização sobre potenciais ameaças.

10. Conte com um plano de gestão de crise muito bem definido.
Saber quem acionar para “apagar o fogo”, quem vai falar com a imprensa, por
exemplo. Fazer estudos de casos para entender cada elemento que fará parte
dessa gestão.

Bônus: Esteja sempre atualizado com tudo o que acontece no
mercado. É o caso de acompanhar o lançamento de Worms, por
exemplo. São programas independentes que se replicam, como um vírus, por vários
computadores da empresa, acessando-os por meio de falhas de segurança. Dessa
forma, é possível identificar quais deles estão preparados para um ataque e
quais não, e tomar as medidas necessárias.