Por Dinis Fernandes *

Ao longo de 2014 foram várias as notícias sobre quebras de segurança que ocorreram em grandes empresas de renome mundial, culminando no recente caso da Sony Pictures.



Esta situação decorre da evolução dos desafios colocados às organizações na área de segurança. Atualmente, é relativamente fácil para uma organização implementar controlos contra as ameaças tradicionais de cibersegurança e isso acaba por transmitir uma falsa sensação aos responsáveis das organizações.



Mas na realidade existem diversas ameaças que tornam a cibersegurança um autêntico desafio. Por um lado, todas as semanas são anunciadas novas vulnerabilidades, pelo que o tempo de reação das organizações tem de ser muito rápido para que as mesmas não cheguem a ser exploradas. Por outro, a Cloud, o SaaS, e a interligação com parceiros externos faz com que a segurança da organização se meça também pela capacidade dos seus fornecedores e terceiros - com os quais troca informação ou de alguma forma proporciona acesso aos seus dados - protegerem esses mesmos dados.

[caption]Dinis Fernandes[/caption]

A mobilidade e as redes sociais vieram eliminar os perímetros de segurança tradicionais, obrigando a controlos acrescidos. Por último, temos o uso crescente de ataques dirigidos, ou APT (Advanced Persistent Threats), extremamente difíceis de evitar e até de conter uma vez descobertos. Estão desenhados para contornar as defesas tradicionais, recorrendo quer a engenharia social, quer à exploração de vulnerabilidades não anunciadas (zero-day) para ganhar acesso às credenciais de colaboradores com privilégios na organização, e depois pela utilização de ferramentas maliciosas construídas à medida, a fim de evitarem a sua deteção.



Esta nova realidade força as organizações a lidar com a cibersegurança como um processo contínuo, o qual exige recursos especializados em segurança da informação, que monitorizem e identifiquem, atempadamente, potenciais incidentes, assim como respondam eficazmente aos mesmos. Em alternativa, a contratação de um serviço a uma empresa especializada, que garanta uma constante atualização face às novas ameaças, padrões de ataque e vulnerabilidades.



No caso do recente ataque à Sony Pictures, Joseph Demarest, Assistant Director da CiberDivisão do FBI, afirmou: "este ataque teria ultrapassado 90 por cento das defesas Internet atuais do sector privado." Mas o sucesso do ataque não se deveu, apenas, à sofisticação do malware utilizado. Os dados pessoais das celebridades estavam aparentemente num folder simples, e várias passwords estavam compiladas num ficheiro não cifrado chamado "passwords".



A informação mais crítica, como contratos com atores e realizadores, guiões e filmes ainda por estrear estavam aparentemente na mesma rede, ao invés de estarem segregados numa rede com mais camadas de proteção, ou até completamente segregada da rede conectada à Internet.



Este caso encerra várias lições: todas as organizações deviam assumir que um dia vão sofrer um ataque com sucesso, e que a defesa deve consistir na criação de mecanismo de monitorização que permitam identificar a existência de intrusos na rede e na utilização de estratégias que permitam proteger a informação de maior valor do intruso já no interior da sua rede. Isto requer alguma tecnologia e exige decisões e investimento na classificação da informação e engenho para tornar a rede num labirinto para potenciais intrusos.



Outra lição : depois de um ataque, há que fazer uma análise forense e preparar contra eventuais novos ataques. Essa análise deve ser realizada por uma entidade independente com experiência e qualificações, que identifica os mecanismos de intrusão e faz um adequado levantamento dos danos, propondo recomendações para restabelecer as operações. É um serviço que pode estar salvaguardado através da contratação de um seguro com cobertura de riscos de cibersegurança.



Por último, resultado da nova legislação europeia de reporte de falhas de segurança, espera-se uma reação das organizações na preparação mais eficaz contra brechas de segurança, melhorando a eficácia das respostas aos problemas detetados. Porque as quebras de segurança podem ter um efeito devastador no negócio mas também na imagem da organização e na confiança dos seus clientes e parceiros.

* Head de Managed Services da Unisys Portugal

Escrito ao abrigo do novo Acordo Ortográfico