Menu da Revista Fechar Menu da Revista

Autor

David Strom

David Strom is an experienced computer industry journalist with a body of work that includes two computer networking books and running the US editions of Network Computing and Tom’s Hardware magazines. He currently curates the Inside Security newsletter and writes for CSOonline.com

Entre em contato com David

Últimas histórias por David

how to ransomware factory

Como lidar com Ransomware: aprenda a deter e diminuir os impactos do mais comum dos ataques cibernéticos.

  • Inteligência contra ameaças
  • min de leitura
    • O sequestro de dados de um negócio exigindo um resgate (em inglês "ransom") tem se tornado uma forma de ataque cada vez mais comum. Uma pesquisa da Kaspersky mostrou que o volume desse tipo de ameaças aumentou 25% nos últimos três anos. Em 2019, o Breach Investigations Report, estudo realizado pela Verizon, também reafirmou essa informação: "Os ataques de ransomware têm se tornado tão comuns que já não chamam a atenção da mídia especializada, a menos de que aconteçam com empresas do alto escalão".   Essa estranha familiaridade pode fazer com que as pessoas deixem de se preocupar com eles, mas, na verdade, este é o momento ideal para que você comece a se planejar e pensar o que sua empresa pode fazer para prevenir e lidar com esse tipo de ataque tão comum.   O que são business ransomware? Não, não são aqueles e-mails de spam que afirmam ter seus dados pessoais. Um ransomware é um tipo de ataque sofisticado e envolve uma série de etapas.   Primeiro, os criminosos encontram uma forma de acessar um endpoint, que é uma porta de entrada para seu sistema. Geralmente, utilizam métodos como engenharia social ou phishing para obter as credenciais e senhas de alguém da sua equipe ou conseguem invadir por meio de um pen-drive infectado. Depois, inserem um malware no sistema que criptografa arquivos e pastas. Finalmente, o malware envia um aviso ao usuário dizendo que sua máquina está infectada e exigindo um resgate em troca daqueles arquivos.  Os criminosos têm o costume de estudar a infraestrutura do alvo para entender que bases de dados e diretórios são os mais importantes. Logo, eles combinam diversos produtos e serviços maliciosos para hackear o sistema pouco a pouco, em uma determinada ordem. Quando não são pagos imediatamente, os invasores costumam divulgar abertamente os dados sequestrados. As indústrias mais vulneráveis ao ransomware Mas, as brechas causadas pelo ransomware não costumam ser incidentes isolados. É bem comum que esse tipo de ataque aconteça quando há uma série de erros de segurança de TI ou práticas não-recomendadas na área. Se o seu negócio não oferece treinamentos e programas de conscientização sobre segurança digital ou tem atrasos nos sistemas de atualização e patching, os riscos se tornam ainda maiores.  Ataques ao alto escalão: o ransomware high-profile Criminosos digitais têm usado ransomware para atacar empresas gigantes nos últimos anos.  Eliminando os dados O maior ataque de todos os tempos, ou ao menos o mais caro para as vítimas, foi o ataque às gigantes da logística Maersk e FedEx, chamado de NotPetya (também conhecido como ExPetr). A invasão derrubou os sistemas de ambas por semanas e foi feito através de um worm, uma espécie de vírus que apaga dados, causando centenas de milhões de dólares em danos. Agora você vê, agora você não vê O ransomware LockerGoga foi outro ataque famoso e teve a companhia norueguesa de alumínio e energia renovável Norsk Hydro como vítima. O malware tinha uma estrutura muito avançada, com a habilidade de se autodeletar quando fosse detectado, para prevenir que os pesquisadores pudessem analisá-lo. Segundo a Norsk Hydro, o prejuízo causado não foi tão grande graças a um bom sistema de backups que a empresa mantinha, mas ainda assim as perdas chegaram a cerca de US$ 90 milhões. Um conto de 174 cidades. E contando... Ataques por ransomware a sistemas governamentais também estão em alta. Somente em 2019, criminosos digitais atacaram aproximadamente 174 prefeituras dos Estados Unidos via ransomware, cerca de 60 cidades a mais que no ano anterior. A cidade de Baltimore, por exemplo, uma das maiores do país, sofreu dois ataques em 2018 e 2019 que juntos custaram mais de US$ 18 milhões aos cofres públicos. Um dos ataques, inclusive, tirou do ar o sistema de resposta emergencial da cidade.   Nem todos os pacientes se recuperam  A empresa de seguros de saúde californiana Wood Ranch Medical anunciou que estava encerrando suas operações no final de 2019, como resultado de um ataque por ransomware. Isso porque o ataque havia criptografado tanto os registros médicos dos pacientes quanto os backups da empresa.  Como evitar um ataque de ransomware 1. Tenha as ferramentas certas para entender as vulnerabilidades  Seu departamento de segurança de TI precisa de ferramentas para investigar o que aconteceu em cada ataque e que partes da infraestrutura precisam ser atualizadas ou substituídas. Será que você não está executando um app ou ponto de acesso solto? Você tem pontos de rede abertos e não-monitorados? Os acessos escalonados a conteúdos restritos estão sendo monitorados? Entender e verificar as raízes de problemas significa saber sua postura de defesa, ou seja, o status de segurança da sua rede e dos seus dados, e a capacidade que você tem de defendê-los, reagir a qualquer tipo de mudanças e monitorar sua resposta a incidentes. 2. Fique atento ao patching e às atualizações Invasores hoje em dia vasculham a internet procurando por servidores e aplicativos desatualizados. Com isso, muitos ataques de ransomware acontecem rapidamente, apenas dias depois de que essas vulnerabilidades sejam detectadas pelos criminosos. Atrasos são convites a invasões. Por isso, para evitar ataques, assegure que seus programas de patching cubram todos os endpoints, tanto os físicos quanto aqueles na nuvem. 3. Teste regularmente seus procedimentos de recuperação e resposta  Faça o backup de dados essenciais e assegure que esses backups estejam intactos e sejam recuperáveis. Pratique os procedimentos de recuperação e desenvolva uma ordem correta para restabelecer os dados em caso de problemas e invasões. Identifique seus arquivos mais valiosos e garanta que eles estejam resguardados. E revise regularmente esta lista para ter certeza de que não esqueceu de nada. Backups de dados e procedimentos de recuperação devem ser o ponto de partida para qualquer plano de resposta emergencial. Esse plano deve incluir exercícios e treinamentos regulares e programados, tanto de "table top" (reuniões organizadas onde cada um cumpre um papel assinalado) até a resolução de problemas organizacionais e a simulação de ataques. Tudo isso pode ser utilizado para encontrar elos fracos e obstáculos que possam bloquear a volta da infraestrutura ao ar. Além de tudo, seu plano de resposta também deve considerar um seguro digital para te proteger em casos de vazamento. Pesquise com cuidado as opções para saber qual é a cobertura ideal para o seu negócio. 4. Melhore seu programa de segurança e a média de segurança das suas senhas  Senhas fracas foram a causa de cerca de um terço de todos as tentativas de ransomware em 2019.  Realizar treinamentos regulares sobre cibersegurança é a melhor maneira de ajudar os usuários a melhorar a intensidade das suas senhas. Instale um gerenciador de senhas para toda a empresa ou uma ferramenta de verificação pessoal e ponha no ar um sistema de autenticação de múltiplos fatores (MFA) para usuários que lidem com dados privados e tarefas relacionadas a dinheiro.  O quê fazer se seu negócio for atacado por um ransomware Ao aumentar sua segurança, será mais difícil que você fique a mercê de um sequestro de dados. Ainda assim, você faz um favor para sua empresa ao se preparar para caso isso aconteça. 1. Planeje meios de comunicação alternativos Vítimas de ransomware muitas vezes ficam incomunicáveis porque sistemas como o e-mail, chamadas telefônicas e mensagens de texto podem estar afetados pela invasão. Por isso, inclua formas alternativas de comunicação na sua empresa dentro dos planos de emergência, como WhatsApp, Skype ou SMS, mas tenha em mente que esses tipos de sistema também não costumam ser os mais seguros. 2. Defina se você está disposto a pagar um possível resgate Caso a resposta seja "sim": Nos EUA, o FBI têm suavizado sua política contra o pagamento de resgates nos últimos anos. Duas cidades da Flórida, por exemplo, votaram a favor do pagamento de resgates de dados nos valores de US$ 500 e 600 mil, prejuízos provavelmente muito menores do que seriam os custos para restaurar seus respectivos sistemas. Caso a resposta seja "não": Pagar o resgate não significa que o criminoso vai honrar sua palavra. Nada impede que ele faça ainda mais exigências e o que o vírus já esteja instalado dentro do seu sistema. Mas ainda que o termo "resgate" remeta a um sequestro, onde há riscos reais para a integridade e a vida de pessoas, a menos que você opere um hospital, é bem improvável que um ransomware tenha consequências físicas. No fim das contas, pagar o resgate pode ser mais barato da primeira vez, mas também faz a sua empresa se tornar um alvo mais fácil para futuros ataques. O projeto No More Ransom, cujos membros incluem a Europol e a Kaspersky, aconselha as vítimas de ataques desse tipo a não pagar o resgate. Ao mesmo tempo, o projeto trabalha para reduzir o impacto dos ataques de ransomware ao fornecer ferramentas grátis para retirar a criptografia de arquivos. Ou seja, ainda que essa seja uma ameaça crescente, é possível evitar maiores impactos e prejuízos causados por esses ataques com uma segurança bem alinhada e planejamento prévio. Entender o alcance dos ransomware e estabelecer treinamentos e exercícios regulares para preveni-los é o que vai determinar se seu negócio conseguirá responder bem a um ataque ou não.
picking right tech

Na dúvida sobre que solução você precisa? Foque na tecnologia certa para o seu negócio.

  • Tecnologia
  • min de leitura
    • Opção é o que não falta. Pelo menos quando o assunto é tecnologia. Grande parte do desafio está em escolher a solução em tecnologia certa para suas necessidades, mas muitas vezes o verdadeiro desafio está escondido adiante: nas limitações e consequências dessa escolha. Eu mesmo entendi isso só recentemente, depois de trabalhar com tecnologia por quase 40 anos. E não sei bem o motivo da demora, até porque costumo gostar de ajudar as pessoas nesse processo, escrevendo, pesquisando e discutindo essas escolhas todos os dias. Mas é como diz o ditado: "em casa de ferreiro, o espeto é de pau", e por isso minhas próprias escolhas tecnológicas muitas vezes são motivo de indecisão ou de decisões erradas. O ponto fraco costuma ser o humano Conversei recentemente por telefone com um amigo, que é uma das pessoas mais técnicas que eu conheço e que ajudou a criar alguns dos protocolos de transferências de dados entre redes que praticamente deram origem à internet, e ficamos refletindo sobre o quão estranho é o funcionamento de softwares de web-conferência, como o Webex, quando são usados para organizar conferências com dezenas de pessoas ao mesmo tempo. É funcional para o que promove, geralmente com uma boa qualidade e um serviço sólido de áudio e vídeo. Mas, o ponto fraco do uso desse tipo de tecnologia muitas vezes é outro, o lado humano. E isso inclui praticar o que vai ser falado antes, notificar a todos os participantes da conferência, e mostrar ou enviar arquivos e apresentações. O maior trabalho acaba sendo explicar o funcionamento de tudo isso para os organizadores e participantes e conseguir administrar tudo, criando um padrão que permita  que a conferência aconteça sem problemas ou interrupções. Ou seja, como diz meu amigo: Aprenda com a "Guerra dos Computadores Portáteis" Quero voltar um pouco para o começo dos anos 1980, quando trabalhei nas entranhas do atendimento ao cliente no setor de T.I. da Gigantic Insurance. Na época, a empresa comprou centenas de computadores para colocar em cada uma das mesas dos milhares de funcionários do departamento de T.I., que antes daquilo tinham apenas um telefone e, se sortudos, um terminal de mainframe. A empresa comprou PCs da IBM porque naquela época essa era a única escolha disponível para o setor corporativo nos Estados Unidos. Mas, pouco tempo depois, a Compaq apareceu com algo que a IBM não tinha: PCs portáteis. Bom, quase portáteis. Eram computadores enormes, com cerca de 14kg e que não caberiam nos gabinetes de bagagem de um avião. Quando a Compaq anunciou o lançamento dos seus computadores portáteis, na época vendidos por mais de US$ 5000,00 cada, nossos diretores ficaram numa situação incômoda, com computadores novos, mas já antiquados. E os vendedores da IBM, que haviam investido muitos anos em partidas de golfe para convencê-los, tentaram manter sua fidelidade pedindo a eles para esperar um ano até que o modelo portátil da sua companhia fosse lançado. Mas, quando tivemos a chance de ver o protótipo da IBM, pudemos rapidamente ver que o modelo da Compaq era claramente superior: já estava disponível, era mais leve, menor e conseguia realizar as mesmas tarefas. Recomendamos a compra de PCs Compaq e a empresa teve que gastar de novo para comprá-los aos montes. Esse foi o início da "Guerra dos Computadores Portáteis", ponto de partida para uma nova era da tecnologia no mundo corporativo. Quando a IBM finalmente lançou seu PC portátil, a Compaq já tinha melhorado seu modelo, e assim se manteve um passo à frente da IBM. É por isso que é comum que nos frustremos quando finalmente escolhemos um produto ou solução, porque geralmente temos que conviver com as consequências dessa escolha por um bom tempo.     Saiba que perguntas fazer  Como isso se aplica na hora de comprar produtos de cibersegurança para sua empresa? Muitos de nós ainda direcionamos o holofote para coisas erradas ou não fazemos as perguntas certas na hora de decidir o que comprar.  Defina o problema que quer resolver, assim pensará de outra maneira na hora de priorizar suas necessidades em tecnologia. Essas são algumas das perguntas mais necessárias antes de tomar qualquer decisão: Escolheu algum sistema de criptografia de e-mails ou VPN baseado em outra coisa que não seja a facilidade de uso? Então não fique surpreso quando sua equipe começar a se rebelar contra ele. Tem algum programa regular informativo ou treinamento sobre phishing e segurança digital na sua empresa? O phishing é um dos tipos de ataques cibernéticos mais destrutivos e, fazer que seus funcionários entendam que seu comportamento pode ser um dos principais pontos de entrada para esses ataques é, sem dúvidas, a melhor proteção possível. Você, por acaso, testou recentemente seus procedimentos de resposta a incidentes para saber por que seus backups não protegem dados essenciais? Não espere até ser vítima de um ransomware para descobrir que esqueceu de proteger alguma pasta ou arquivo importante. Gaste esse tempo agora e assegure de que tudo está bem protegido. É possível verificar se seu sistema de armazenamento em nuvem é seguro o suficiente? Você ao menos sabe quais nuvens sua empresa está usando? É melhor fazer o trabalho sujo agora antes que algo ruim aconteça. Já examinou toda a cadeia de suprimentos dos seus softwares? É fácil passar batido por alguns pontos e depois sofrer com a perda de dados, ransomwares ou ataques. Você pode encontrar páginas pessoais de Github ou revendedores que estejam rodando ferramentas que você não consegue monitorar facilmente, então fique de olho nisso de antemão. Ou seja: ir além das especificações é dar um passo atrás e imaginar diferentes hipóteses. Antes de buscar por de soluções externas, o ideal é ver o que está errado na sua operação e o que você pode fazer para solucionar esses problemas dentro de casa para, aí sim, ir atrás de soluções na medida para os problemas mais sérios. Esse artigo é de responsabilidade de seu autor e não reflete necessariamente as opiniões da Kaspersky. 

Trabalho interno ou terceirizado? O que considerar antes de montar um Centro de Operações de Segurança (SOC).

  • Infraestrutura de TI 
  • min de leitura
    • Se  está pensando em montar um centro de operações de segurança (SOC) para sua empresa, você tem algumas decisões importantes a tomar. Algumas delas  é possível resolver com antecedência, mas outras exigem uma reflexão maior. Neste texto, explicamos um pouco desse processo e destacamos os possíveis resultados. Qual é a diferença entre um centro de operações de segurança e uma rede de operações de segurança? Primeiro é ideal entender bem as diferenças entre um SOC e uma rede de operações de segurança (NOC), sistema mais tradicional. NOCs têm como foco principal manter o fluxo de pacotes pelos canais digitais, encontrando e removendo bloqueios. SOCs estendem essa função de "encanador" e asseguram que os pacotes certos cheguem aos lugares certos, procurando por possíveis erros nesse sistema. Por exemplo, uma NOC se preocuparia com níveis de latência abaixo dos normais, enquanto um SOC observaria um endpoint não-autorizado com níveis de acesso elevados e usando recursos de rede em excesso, causando a baixa latência. Um SOC e uma NOC mostram diferentes respostas ao ver falsos positivos. Dentro de uma NOC, isso geralmente não seria visto como um problema, já que sua função é alertar apenas quando a rede está funcionando ou não. Um SOC, em comparação, mostraria que a  infraestrutura foi invadida. Construir ou terceirizar seu SOC? A maior decisão na hora de criar um SOC é decidir entre montar um próprio para a empresa ou terceirizar o serviço. Ambos os cenários têm diversas complexidades que marcam não só a montagem do SOC como seus resultados. É possível montar um SOC físico dentro de uma empresa ou usar um fornecedor para terceirizar esse serviço, o chamado SOC-as-a-service (SOCaaS). Entre essas duas opções, ainda existe uma terceira alternativa que é usar um sistema de segurança gerenciado por um provedor, chamado MSSP. Alguns MSSPs fornecem equipamentos que mantêm a estrutura física na sede, enquanto outros gerenciam os SOCs remotamente por meio de serviços de nuvem. Esse meio-termo pode ser uma ótima alternativa para dar o primeiro passo nessa área e avaliar a experiência antes de optar por um sistema 100% de SOCaaS, principalmente quando  ainda não se tem uma noção completa sobre o quê exatamente precisa ser terceirizado. Ter um MSSP pode ser uma espécie de "teste de SOC" em versão beta, somente com alguns serviços terceirizados  e feedback reduzido sobre possíveis problemas de segurança sem precisar terceirizar toda a operação do sistema desde o começo. Ou seja, o MSSP é uma boa alternativa para ir aprendendo sobre as questões que precisam ser feitas.  "Enquanto você assimila o que é realmente importante para o seu negócio, você tem a chance de se perguntar: que serviços de segurança eu preciso? Que equipamentos preciso monitorar e como nossos provedores devem interagir com nossos servidores, nossa rede e nossos colaboradores?"  As origens dos fornecedores de SOCaaS Existe um fator que faz a escolha um pouco mais complicada: serviços de SOCaaS não são exatamente consistentes, dependendo do fornecedor. Isso acontece pelas diferentes origens de alguns desses fornecedores: uns começaram como MSSPs, outros com foco voltado apenas para detecção de ameaças ou gerenciamento de eventos e endpoints específicos. Alguns fornecedores de SOC começaram suas operações como fornecedores internos ou subsidiários de grandes companhias de tecnologia ou comunicações, vendendo gerenciamento de NOCs antes mesmo de fazer parte do universo dos SOCs, como HP, IBM e Dell. Em outros casos, consultores de segurança e soluções digitais também acabam desenvolvendo serviços semelhantes aos SOCs. Essa diferença de origens tem relevância porque cria uma expectativa sobre as fortalezas de cada plataforma e as ferramentas que cada fornecedor usa, o que  também ajuda a diferenciá-los na hora de fazer pesquisa de mercado. E deve-se pesquisar sim, justamente por se tratar de um setor altamente fragmentado. Nos EUA, por exemplo, segundo pesquisa da Gartner, os fornecedores de MSSPs mais populares são IBM, AT&T/AlienVault, Atos, Dell secureworks e DXC Technology. Ainda assim, nenhuma dessas empresas detém uma fatia maior que 5% do mercado. Como escolher um fornecedor de SOCaaS? A primeira questão que precisa ser definida é também a mais difícil: quais são as demandas? Depois que isso for definido, é possível finalmente pensar de acordo com o orçamento para escolher qual será a prioridade. Essa é uma tarefa difícil porque fornecedores com sistemas em nuvem costumam ter uma tabela de preços muito complexa, baseada no volume de uso. E muitos desses fornecedores não revelam os detalhes de seus métodos de cobrança antes de fechar um contrato ou, ao menos, um acordo de confidencialidade. Além disso, alguns dos provedores de menor porte funcionam com um pagamento mensal, baseado no número de serviços que empresa utiliza. Ao analisar uma série de provedores, é possível notar que as estimativas de preço têm uma variação absurda. Fornecedores devem ser mais transparentes sobre os custos de seus serviços. Ao considerar a construção de um Centro de Operações de Segurança próprio, vale a pena fazer uma pesquisa para saber quanto isso custaria com um fornecedor externo e só então ver se faz sentido para a empresa investir em um SOC físico. Parte do problema de precificação é não saber exatamente quantos servidores e endpoints (ou qualquer sistema de proteção) serão protegidos pelo SOC. Por isso, é importante começar aos poucos, fazendo alguns testes para ver como o fornecedor trabalha, como são seus relatórios e como funciona a comunicação entre o staff e o fornecedor, caso haja algum problema. Definindo quais serviços você precisa  Depois de calcular o valor ideal, a próxima medida é entender quais são os recursos, incluindo as pessoas e as ferramentas  necessárias para para cuidar da segurança da empresa e do próprio sistema SOC. Os funcionários podem não ter a capacitação necessária para dar uma resposta adequada em casos de incidentes, ameaças e problemas de operação, e isso pode interferir diretamente na hora de decidir entre construir seu SOC ou optar por um serviço de SOCaaS. Outro ponto importante é entender que tipo de cobertura a empresanecessita. Se  o serviço é global online, será necessário um monitoramento 24/7 e de funcionários disponíveis full time. Levando a escolha de um fornecedor que tenha múltiplas estruturas de SOC em diferentes países, para se assegurar de que sempre existirá alguém, em algum lugar do mundo, de olho nas redes internacionais. Esse tipo de abordagem em mais de uma zona também pode ajudar a evidenciar possíveis problemas de latência e acesso ao seu site. Parte dessa avaliação de recursos inclui entender quem  será o responsável pelo SOC terceirizado. Que capacitação é necessária para trabalhar naquela empresa? Quantas pessoas estarão trabalhando nisso durante a noite? O fornecedor tem um analista-chefe disponível para casos de emergência? A equipe do fornecedor somente gerencia alertas ou também faz o dever de casa, com análises de segurança proativas e recomendações para o futuro?  Além disso, é importante definir qual será o tipo de controle da empresa em relação a segurança. A empresa espera notificações quase imediatas sobre qualquer ameaça?  Pretende mudar de ideia sobre investir em uma equipe própria ou na compra de novos equipamentos? Aí vem outro fator importante: a geografia. Onde será a base  dos  equipamentos, da equipe e da própria estrutura de SOC? Se o  escritório fica em uma metrópole, talvez seja bom contar com um fornecedor de SOCaaS que tenha uma sede secundária em outra cidade em caso de alguma catástrofe natural (terremotos, inundações, furacões, tsunamis) que possam derrubar a conexão da região. E finalmente, deve-se definir todos os componentes do SOC: gerenciamento de segurança, monitoramento e detecção de ameaças, entre outros. Análise de log, gerenciamento de vulnerabilidades e resposta a incidentes podem ser necessários eventualmente, então é importante calcular bem como escalonar todos esse serviços dentro do sistema. Fique atento para sinais de alerta  É uma boa ideia passar por um período de testes antes de colocar o  sistema de SOC em funcionamento completo. Antes de escolher o  provedor, atente-se a possíveis sinais de alerta, como descrito neste estudo de 2019 sobre a eficiência dos SOCs. Nenhum consumidor é igual Fique de olho se o  fornecedor está alinhado com o seu ramo, ou seja, não tem outros clientes de tamanho similar, com um share de mercado semelhante e produtos semelhantes.  Incompatibilidade Verifique se o sistema de gerenciamento e serviços é compatível com o modelo que o provedor de SOC fornece, para não ter que mudar o  próprio sistema da empresa. Sem visibilidade Assegure-se da visibilidade e controle sobre as funções e condições mais essenciais para o trabalho da empresa. Equipe frustrada Veja se não há uma rotatividade muito alta, satisfação baixa e altos níveis de stress entre os membros da sua equipe de segurança. Falsos positivos Fique atento para verificar se o  SOC está detectando muitos casos de falso positivo, sem encerrá-los.  Como começar Com ameaças cada vez mais frequentes e severas batendo na porta de empresas de todos os tamanhos, este é o momento para começar a pensar se o  sistema atual de NOC é suficiente ou se é hora de fazer um upgrade para um SOC. Então boa sorte!

Como podemos resolver a falta de confiança nas empresas?

  •  Opinião
  • min de leitura
    • "Há uma crise de confiança na democracia americana." Assim começa um relatório de 2019 da Knight Commission on Trust, Media and Democracy organizado pelo Aspen Institute. Ele coloca a culpa sobre o discurso político do país, as tensões raciais e a tecnologia, que dá às pessoas mais acesso a comentários e notícias. O relatório conclui que, desde 2018, "fatos indesejáveis são rotulados de falsos". O crescimento do crime cibernético reduz a confiança Parte do problema de confiança no setor de tecnologia tem a ver com a facilidade que os cibercriminosos têm de realizar seus negócios. Antes relegados a um canto escuro da Internet, hoje muitos criminosos operam sob o olhar do público. Na Dark Web, você pode comprar diversas tecnologias, como kits de phishing prontos para semear infecções, mecanismos para coletar números de cartões de crédito, botnets e estressores da Web para realizar ataques DDoS, além de outros kits de construção de malware que exigem pouco ou nenhum conhecimento técnico, além de clicar em alguns botões em um formulário Web. Um relatório de 2019 da CheckPoint mostra que qualquer pessoa disposta a pagar pode obter essas ferramentas facilmente. Esqueça do 'software como serviço': estamos testemunhando o crescimento do setor de 'malware como serviço'. Em um fórum recente da RSA em Londres, Reino Unido, eu entrevistei vários especialistas que dedicaram suas carreiras a investigar o crime cibernético e entender como combater fraudes. Sem dúvida, o quadro foi um tanto preocupante. O presidente da RSA, Rohit Ghai, falou sobre como o maior aspecto do risco hoje é o risco digital, e como as empresas precisam integrar melhor os métodos de cibersegurança e de gestão de riscos. "Este é um esporte em equipe: os grupos de segurança, TI, operações e risco, todos precisam trabalhar juntos." "Nosso objetivo não é apenas proteger aplicativos ou dados, mas também nossos ativos de confiança. Nós confiamos em estranhos para compartilhar nossas casas e carros porque a tecnologia nos reúne e promove a economia de compartilhamento." Ghai acredita que precisamos replicar esse sistema de confiança no mundo B2B, da mesma forma que o Airbnb e o Uber fizeram para negócios baseados no consumidor. O menor índice de confiança de todos os tempos? Ghai concorda com as conclusões do relatório da Knight Commission: o índice de confiança está menor do que nunca. Algumas pessoas estão tão desconfiadas de nossas vidas digitais que surgiu um novo acrônimo: LDL ('let's discuss live'), ou seja, vamos conversar ao vivo. Mas não podemos e não devemos voltar o relógio para a era analógica: precisamos confiar novamente uns nos outros a fim de fomentar nosso crescimento. Ele mencionou que, para ser confiáveis, "uma empresa ética precisa fazer o que é certo, mesmo que ninguém esteja observando". Eu gostei dessa ideia: é frequente ouvirmos falar de corporações que causam danos, por exemplo, poluindo o meio ambiente antes de isentar-se de qualquer responsabilidade ou, pior, quando descobertas, encobrem a verdade. Parte do desafio para os profissionais de TI é que a cibersegurança é, na verdade, um problema de negócios, não uma falha da tecnologia. "Violações e invasões vão ocorrer", diz Ghai. "Temos de superar a vergonha de admitir uma invasão de dados e entender seu impacto sobre os negócios. Nossa meta deve ser manter o 'bem-estar cibernético' e não tentar erradicar totalmente as ameaças." Cuidar melhor da privacidade dos clientes também é bom para os negócios, pois foram concluídos vários relatórios recentemente. Quase metade dos consumidores pesquisados acredita que há maneiras éticas como as empresas podem usar seus dados. Quanto você valoriza seus dados? Uma outra questão é, muitas vezes, há um conflito entre o que dizemos e o que realmente fazemos em relação à manutenção de nossa privacidade digital. Em um experimento de privacidade do MIT de 2017, eles descobriram que os estudantes participantes abririam mão facilmente de dados pessoais por incentivos muito baixos, como uma pizza grátis. E a mesma troca informal funcionou quando a Kaspersky ofereceu brindes gratuitos em troca de dados pessoais em um golpe em um quiosque. Essa divisão é observada mesmo entre os profissionais de segurança de TI. Uma outra pesquisa da Yubico descobriu que mais de metade dos gerentes de TI que caíram em golpes de phishing ainda não mudaram seu comportamento em relação às senhas. Se eles não modificam sua própria segurança pessoal para reforçá-la, quem o fará? E há a mesma dicotomia em relação à transparência: infelizmente, há poucas empresas que são realmente transparentes como afirmam, enganando deliberadamente o público (o Facebook é campeão nesse sentido) ou simplesmente por não trabalhar direito com os controles apropriados de manutenção de seus recursos de TI (a British Airways é um ótimo estudo de caso desse tipo). A confiança é frágil Para onde iremos a partir daqui? O especialista em segurança Bruce Schneier diz que a confiança é frágil, e que a transparência é essencial para a confiança. O relatório da Knight Commission apresenta uma série de recomendações para jornalistas, gerentes de fornecedores de tecnologia e cidadãos comuns. Elas incluem melhorar a prática de transparência radical, para os jornalistas, seguir a regra de revelar as fontes de informações, intensificar as redes sociais e assumir a responsabilidade pela proteção de seus usuários. Espero que possamos implementar grande parte ou tudo isso para avançar para um futuro melhor, compartilhado e confiável. Todos nós precisamos trabalhar juntos, se quisermos reverter isso e melhorar a confiança dos clientes nas empresas. Este artigo representa a opinião pessoal do autor.
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.