Segurança da informação

As boas práticas de segurança no novo mundo digital

Entre 2020 e 2021, a adoção da tecnologia da informação - seja em governos, empresas ou no uso pessoal – passou por uma aceleração poucas vezes vista na história. A pandemia de COVID-19 que assolou o planeta exigiu que o mundo se digitalizasse ainda mais rápido. Porém, se essa é uma transformação sem volta, mesmo com o fim da maior parte das restrições sanitárias, uma outra consequência desse processo parece que também veio para ficar: o aumento das ameaças virtuais, como ataques, invasões, perdas e sequestro de dados. Apenas em 2021, de acordo com dados divulgados pela consultoria Check Point Software, o número médio de ataques cibernéticos aumentou 40% em todo o mundo. No Brasil, essa situação é ainda pior, com um crescimento de 62% em relação ao ano de 2020.

O estudo, “Ataques por todos os lados: relatório de segurança do primeiro semestre de 2021”, aponta um número ainda mais impressionante: no período, mais de 40 bilhões de ameaças virtuais foram abordadas por sistemas de defesa em todo o mundo. Dentre essas ameaças, estão desde ataques de hackers até falhas de segurança decorrentes de más práticas dos usuários, como o phishing e os ransomwares. Ou seja, a maior demanda por serviços criou uma maior complexidade dos ambientes, sejam eles onsite ou em nuvem, cadeias de fornecedores mais complexas e usuários menos preparados. Uma combinação fatal e que só pode ser combatida por meio de uma política eficiente de boas práticas de segurança digital.

Novos desafios para os gestores de segurança

O novo mundo, que tornou comuns e corriqueiras práticas como o trabalho remoto, o ensino à distância, as VPNs, as videoconferências e os serviços digitais, trouxe também uma gama enorme de riscos cibernéticos, envolvendo desde o usuário até os gestores. Isso porque o advento de novas funcionalidades aumentou em muito a demanda pela TIC, o que naturalmente aumenta a complexidade, que muitas vezes se transforma em vulnerabilidades. Não por acaso, ataques a grandes varejistas, a indisponibilidade de serviços financeiros, os vazamentos de dados sofreram uma grande alta. É o mercado se adaptando às novas exigências, que são contínuas. O grande problema é que até que tudo se acomode, os prejuízos podem ser enormes. Para evitar essas perdas, é fundamental a consolidação de uma arquitetura de segurança eficiente. E quais seriam os pilares desse processo?

De acordo com o National Institute os Standarts and Technology (NIST), agência governamental responsável por fomentar a desenvolvimento e a capacitação da indústria dos Estados Unidos, existem cinco funções básicas em uma arquitetura de segurança:

  • Identificar: desenvolver uma compreensão organizacional para gerenciar o risco de segurança cibernética a sistemas, pessoas, ativos, dados e recursos.
  • Proteger: implementar proteções necessárias para garantir a prestação de serviços críticos.
  • Detectar: todas as atividades necessárias para identificar a ocorrência de um evento de segurança cibernética.
  • Responder: ações voltadas a agir contra um incidente de segurança cibernética detectado.
  • Recuperar: criar e executar planos de resiliência e restaurar quaisquer recursos ou serviços que foram prejudicados devido a um incidente de segurança cibernética.

Mas para conseguir estabelecer uma arquitetura de segurança que promova uma aplicação eficiente desses cinco pilares, os gestores precisam criar equipes fortes e competentes. Eis então mais um desafio a ser enfrentado, reforçado pelo aumento constante da demanda. Uma pesquisa publicada pelo Enterprise Strategy Group (ESG) e pela Information Systems Security Association (ISSA) aponta que 70% das empresas globais sofrem com a falta de mão de obra para segurança da informação e cibersegurança. E dentre as causas apontadas para essa escassez, a que mais se destaca é a falta de oportunidades de treinamento e desenvolvimento de carreira, resultado direto da falta de mentores, a dificuldade na obtenção de certificações e a falta de oportunidade de capacitação. Por isso, olho no perfil técnico de seu time. Formar um profissional pode ser mais rápido e barato do que pescar em um mercado em escassez.

A atualização constante não deve se restringir ao time, mas sim abarcar toda a organização e seus componentes humanos. Afinal, a segurança depende de todos e a evolução acelerada das tecnologias tem gerado novas ferramentas constantemente. Não à toa, o número de startups cresce significativamente, o que promove muitos movimentos no mercado e altera a dinâmica das inovações. Para levar a percepção de que a segurança é algo que deve transbordar dos departamentos de TI e se tornar uma preocupação de todos os colaboradores, é fundamental investir em conscientização, processos, governança e gestão de segurança. As responsabilidades pela segurança devem ser cada vez mais compartilhadas.

As evidências do que fazer são claras. Mas a execução é sempre mais complexa do que a teoria. Como então colocar todas as medidas em prática? O primeiro ponto é contar com parcerias, tanto internas quanto externas. Na primeira, é fundamental que as ações sejam integradas com áreas chave como recursos humanos, jurídico e administração, além de identificar os profissionais que podem auxiliar no desenho e acompanhamento da arquitetura de segurança. Já nas parcerias externas, o foco é buscar a cooperação e troca de experiências, além de contar com empresas especializadas. A complexidade do mundo atual não permite mais a visão de que apenas o que é feito em casa funciona. O aumento das conexões tecnológicas e com parceiros e fornecedores, somado à abrangência das soluções e da criticidade das ameaças digitais tornam praticamente impossível para uma instituição se manter 100% atualizada. O trabalho em rede, assim, ganha importância e reforça a importância das parcerias.

O segundo ponto sobre a prática é a importância do uso integrado e inteligente de tecnologias de segurança. A cada nova ameaça identificada, uma solução é criada e apresentada para evitar a mesma. Manter esse catálogo atualizado, com uma visão ampla incluindo profissionais de cibersegurança atualizados e qualificados, além de pesquisa e desenvolvimento, é primordial. A arquitetura de segurança deve acompanhar de uma forma cada vez mais intensa as evoluções do ambiente, das tecnologias e das ameaças, e fica mais uma vez evidente a importância de um bom parceiro.

Posto tudo isso em prática, o último ponto de atenção é: organização com processos, gestão e governança de segurança. Prevenir ameaças de uma forma efetiva só é possível quando se tem uma visão clara de como está arrumada a nossa casa. É preciso conhecer os riscos cibernéticos e, com base nesta visão, definir e implementar a proteção. O monitoramento de cibersegurança ganha importância quando a proteção não é suficiente e a velocidade de surgimento de novos ataques é alta. E estar preparado, com mecanismos de resposta a incidentes e recuperação, é essencial, principalmente no contexto de avanço de ransomware. A segurança decorrente de ações das pessoas deve ser baseada em conscientização e com processos claros e que sejam compreendidos e cumpridos por todos.

Indicadores de segurança ligados ao negócio também são fundamentais. Assim, adicionalmente com a gestão e governança de segurança, a exposição da organização pode ser trabalhada. Segurança é um desafio constante. Mas com disciplina e metodologia, é possível vivenciar todos os avanços desses novos tempos de forma íntegra e organizada.

Emílio Nakamura

Sobre o autor

Emilio Tissato Nakamura é Diretor de Cibersegurança, CISO da RNP. Atua em segurança e privacidade há mais de 23 anos, definindo estratégias e processos de segurança, desenvolvendo tecnologias e atuando com clientes e parceiros de diferentes setores. Já trabalhou em empresas como Fundação Bradesco, Kroton, CPQD, Open Communication Security, Sun Microsystems,Robert Bosch e Adtalem Global Education. Possui MBA Executivo, M.Sc, CISSP-ISSAP, ISSMP, tendo publicado livros, patentes, artigos nacionais e internacionais nas áreas de segurança de redes, privacidade, gestão de riscos, gestão de segurança, controle de acesso, IoT e blockchain.

Siga nas redes

ASSINE NOSSA NEWS

Receba no seu e-mail informações sobre computação em nuvem com os melhores especialistas do mercado.

Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.

FALE COM UM especialista

Consultoria
em Nuvem

A jornada para a nuvem pode ser complexa e cara se não seguir o caminho mais eficiente. Conte com um time completo de consultores para auxiliar sua instituição em todas as etapas desse processo. Desde a definição do projeto e do que migrar; passando pela escolha das melhores soluções e infraestrutura; até a definição do modelo de contratação que melhor se adequa as suas necessidades e características.

SAIBA MAIS