Introdução
Estes riscos cibernéticos aqui tratados podem não aparecer em um relatório oficial de avaliação, mas todo profissional de segurança precisa levá-los em conta. A gestão de riscos tradicional inclui categorizar ameaças e riscos potenciais, avaliar a probabilidade de ocorrência e estimar os danos resultantes se tais riscos não forem atenuados. Os custos das defesas e controles são dimensionados em comparação com os danos potenciais. E as defesas, via de regra são implementadas se tiverem custo mais baixo do que simplesmente permitir que as ameaças se concretizem. Essa decisão, baseada em palpites, pode trazer efeitos danosos à organização. Há uma enorme dificuldade de se calcular a probabilidade de ocorrência de um risco e dos seus possíveis danos.
Essa avaliação sempre foi mais
baseada em fatores subjetivos do que em uma tabela rígida de cálculo. Como
estimar as chances de um ataque sofisticado de ransomware, DDoS ou de uma
agente interno ocorrer em sua organização, ou que ativos ele poderá acessar,
com precisão? Alguém pode provar que a probabilidade é de 20% contra 60% em um
determinado período? Todos possuem tais problemas de estimativa, mas para
trazer mais complexidade a essa avaliação, destacamos dez fatores que afetam a
gestão de riscos, raramente discutidos abertamente, descritos os itens a
seguir.
1. Isso nunca vai acontecer
Toda avaliação de risco é uma
batalha entre se enfrentar algo que pode acontecer ou não fazer nada,
principalmente se este algo nunca ocorreu antes. Muitos acreditam que não fazer
nada não representa custos, e quem se esforça para fazer algo pode ser visto
como desperdiçador de dinheiro. “Por que desperdiçar esse dinheiro? Isso nunca
vai acontecer!”
Poucos têm problemas ao seguir
a rotina e fazer o que sempre foi feito. É bem mais difícil ter a iniciativa e
ser proativo, do que esperar o dano acontecer para tentar resolvê-lo,
especialmente quando estão envolvidas significativas somas de dinheiro.
2. Risco político
Assumir proativamente os riscos
leva ao próximo componente pouco comentado: risco político. Toda vez que os
profissionais proativos querem defender a empresa de algo que nunca aconteceu
antes, eles perdem um pouco do seu capital político. A única situação em que
vencem é quando algo sobre a que estão sendo proativos, de fato, acontece. Se
eles são bem-sucedidos e conseguem convencer a empresa a colocar controles e
defesas cibernéticas para que o mal nunca aconteça, a situação negativa
provavelmente nunca ocorrerá.
É uma vitória sem méritos.
Quando conseguem proteger adequadamente a empresa, ninguém reconhece o valor de
estar seguro e o esforço da negociação para se conseguir o investimento para
mais controles. Cada vez que algo de ruim com que se preocupam nunca acontece,
os profissionais de segurança são vistos como geradores de custos. Nesse
contexto, perdem capital político.
Qualquer um que já participou
de uma discussão sobre gestão de riscos certamente não deseja enfrentar muitas
delas, pois nelas “queimam” um pouco (ou muito) de sua reputação. Então, os
profissionais proativos calculam que batalhas querem travar. Com o tempo, os
mais experientes escolhem menos batalhas. O instinto de sobrevivência é mais
forte. Muitos apenas esperam o dia em que algo de ruim aconteça: não lutam mais
contra os argumentos contrários, pois não querem se tornar bodes expiatórios.
3. Dizer “estamos
protegidos”, sem estar
Boa parte dos controles e
defesas que as pessoas afirmam haver implementado em uma organização não são
100% eficazes. Muitos dos envolvidos no processo sabem disso. Os exemplos mais
comuns são os patches e backups. A maioria das empresas afirma que instalou de
99% a 100% dos patches de atualização dos dispositivos. Na verdade, é difícil
encontrar um dispositivo com os patches completamente atualizados, em qualquer
empresa.
O mesmo vale para backups. Os
ataques de ransomware revelam que a maioria das organizações não costuma fazer
bons backups. Apesar de grande parte das organizações e dos seus auditores
verificarem durante anos que os backups críticos são feitos e testados
regularmente, basta um grande golpe de ransomware para mostrar o quão
radicalmente diferente é a realidade.
Como uma pessoa encarregada dos
backups pode testar tudo, quando não tem tempo nem recursos para fazê-lo? Para
testar se um backup e uma restauração realmente funcionam, é preciso fazer uma
restauração de teste de muitos sistemas diferentes, todos de uma vez, em um
ambiente separado de homologação, que teria que funcionar como o ambiente de
produção. Isso exige um grande comprometimento de pessoas, tempo e recursos,
algo que a maioria das organizações não possui.
4. “Sempre foi assim”
É difícil lutar contra o
argumento do “é assim que sempre fizemos”, especialmente quando nenhum ataque
às vulnerabilidades da organização ocorre - ou é percebido - há décadas. Por
exemplo, é comum encontrar organizações permitindo que senhas de acesso à sistemas
tenham seis caracteres e nunca sejam alteradas.
Às vezes, é porque as senhas da
rede de PCs precisam ser iguais às senhas conectadas a algum sistema mais
antigo, de que a empresa depende. Todos sabem que o uso de senhas de seis
caracteres não sendo alteradas com a devida frequência não é uma boa ideia mas,
como nunca causaram problemas, então muitos se perguntam: por que mudar?
5. Interrupção operacional
Todo controle e defesa que se
implementa pode causar um problema operacional na organização. É preciso,
portanto, se preocupar com a possível interrupção operacional que cada controle
ou defesa passíveis de serem implementados possam causar. Pois um remédio
concentrado pode até ser amargo, mas não pode matar o paciente.
Quanto mais radical o controle,
maior a probabilidade de se mitigar os riscos da ameaça que este controle
combaterá. Mas também maior o nível de suspeita que se deve ter sobre a
possibilidade dele provocar na organização uma séria e preocupante interrupção
operacional.
6. Insatisfação dos usuários
Nenhum responsável por gestão
de risco cibernético almeja irritar usuários, implementando controles que
restringem o acesso deles à Internet e o que podem fazer em seus computadores.
Ocorre, porém, que os usuários são responsáveis por um elevado percentual de
todas as violações de dados (muitas vezes, por meio de phishing e engenharia
social). Não é possível confiar apenas no treinamento de segurança e nos
instintos dos usuários para se proteger uma organização. É preciso negociar com
eles, com habilidade, as restrições e os controles de acesso.
7. Insatisfação dos clientes
Ninguém deseja implementar uma
política ou procedimento que leve à perda de clientes. Clientes descontentes
tornam-se clientes felizes de outras empresas. Qualquer solução que possa
prejudicar a experiência do cliente deve ter uma profunda análise quanto a
custos e benefícios de sua implantação, no que se refere à satisfação dos
clientes. E com defesas e controles cibernéticos isto não é diferente.
8. Uso da tecnologia de
ponta
A maioria das pessoas não
tentará uma solução de cibersegurança de ponta inovadora até que um grupo de
pioneiros a adote. Não é muito cômodo estar de frente para o desconhecido. Os
que adotam cedo uma tecnologia inovadora podem ser recompensados por chegarem
cedo, e alcançar vantagens competitivas sobre aqueles que os seguirão.
Entretanto, como toda novidade,
é preciso conhecer o mercado, o estado da arte da tecnologia e avaliar a
confiabilidade e a experiência do fornecedor da solução, para que a inovação
não vire um potencial desastre, expondo a organização à interrupção operacional
ou a algum risco severo de segurança cibernética.
9. Risco de se chegar
atrasado
Quase sempre enfrentamos algum
risco cibernético que já aconteceu com outras pessoas e empresas (ou com sua
própria organização). Muitas vezes se espera para ver que truques os hackers
têm na manga, antes de se criar defesas e controles para combater estes novos
riscos. Esperar primeiro para ver o que os cibercriminosos estão fazendo gera
um atraso entre o momento em que o novo comportamento malicioso é detectado e
as ações de avaliação da nova técnica, definição de novos controles e de defesa
contra o ataque cibernético. Neste jogo de esperar para ver, você
sempre estará atrasado.
10. Não há como se defender
de tudo
Segundo a revista CSO Online (www.csoonline.com),
em 2019 foram anunciadas mais de 16.500 novas vulnerabilidades públicas. Mais
de 100 milhões de programas de malware exclusivos eram conhecidos. Todo tipo de
hacker - desde os financiados por estados-nação a ladrões financeiros e
adolescentes que conhecem como desenvolver scripts - está tentando invadir sua
organização. É muito ataque, vindo de todas as direções, para se
preocupar.
Não há como como se defender de
tudo, a menos que se tenha acesso a uma quantidade ilimitada de dinheiro, tempo
e recursos. O melhor a fazer é avaliar quais os riscos mais importantes de
serem tratados e ter uma plataforma moderna e robusta de segurança cibernética,
além de processos de segurança implementados atingindo, assim, o grau de
maturidade ideal para a devida proteção cibernética, ideal para cada
organização.
Conclusão
Estes dez fatores de riscos
apresentados não são novidade, apenas não costumam ser discutidos abertamente
pelas empresas. Mas sempre existiram e devem ser considerados quando avaliamos
riscos cibernéticos e pensamos em estabelecer os controles necessários.
Tudo aponta para o fato de que
a avaliação e a gestão de risco cibernético são muito mais difíceis e complexos
na prática do que aparentam ser na teoria. Como resultado, contar com
especialistas em segurança cibernética é algo vital para as corporações. Quando
consideramos todas as coisas com que um profissional de segurança precisa se
preocupar e avaliar, é incrível o fato dele acertar na maior parte do tempo.
Enfim, essa é uma luta que
precisa ser enfrentada diariamente. Para tal, procure sempre a assessoria de um
especialista em cibersegurança - costumamos dizer que não há lugar para
amadores no ciberespaço. Conte com nossa experiência e conhecimento para
ajudar a encontrar as melhores soluções e processos de segurança cibernética
para sua empresa.
Nenhum comentário:
Postar um comentário