Cyber Segurança: o que é e como se proteger

Grandes, médios e pequenos empreendedores estão cada vez mais conscientes dos riscos e prejuízos que podem evitar adotando uma postura proativa e preventiva na área de Segurança da Informação. Todos os tipos de empresas, em diferentes setores, voltam suas atenções para a cyber segurança. Nos dias de hoje, os cuidados para a proteção dos dados produzidos e utilizados pelos negócios são prioridade máxima. Leis de privacidade e aumentos de complexidade dos ataques são pontos chave para essa mudança de postura e priorização.

As novas tecnologias e a transformação digital tem possibilitado ganhos de produtividade. Novos modelos de negócio surgem à uma velocidade incrível e, ao mesmo tempo, essencial para a competitividade no mercado. Entretanto, todas essas mudanças introduziram também novos hábitos, novas formas de se relacionar e, principalmente, uma dependência tecnológica em todas as camadas dos negócio, independente do segmento. Isso aumentou significativamente a probabilidade de ocorrência de ataques cibernéticos que podem ocasionar prejuízos diretos e indiretos.

Cyber ataques acontecem com o uso da tecnologia por pessoas mal intencionadas. Já estão entre os 3 principais riscos apontados pelo Fórum Econômico Mundial desde 2018. Os alvos podem ser empresas ou pessoas, os riscos são inúmeros e as consequências desastrosas. Podem ocasionar perdas diretas e indiretas, como a parada do ambiente de produção, vazamento de segredos de negócios, perda de reputação com clientes e parceiros, multas e custas para a gestão da crise.

É possível diminuir e evitar prejuízos por meio da cyber segurança. Nesse artigo, vamos falar sobre os principais benefícios de se adotar um programa de Segurança da Informação.

Evitar vazamento de dados

Vazamentos de dados ocorrem com frequência nos dias de hoje, notícias sobre vazamento em grandes empresas que afetam milhões de pessoas já são corriqueiros. Esses incidentes são altamente prejudiciais à reputação e bolso das empresas, sendo que o tamanho do estrago depende do tipo e volume do dados vazado. A lei brasileira de proteção de dados, a LGPD, prevê multas de 2% do faturamento bruto anual até R$ 50 milhões por infração de vazamento de dados, conforme o nível de conformidade com os requisitos de proteção de dados exigidos pela lei.

Este tipo de ataque pode ocorrer de diversas formas, sendo as mais comuns vulnerabilidades no código de aplicações, serviços e no sistema operacional, APIs desprotegidas e repositórios em Cloud mal configurados. Muitos ataques deste tipo são executados durante meses sem serem detectados, não por conta da complexidade, mas sim pela ausência de processos de gestão de vulnerabilidade, desenvolvimento seguro e monitoramento contínuo.

Proteção contra Ransomware

Outro tipo de ataque que tem crescido em popularidade é o Ransomware, ou sequestrador de dados. Segundo o relatório mundial da Symantec, o Brasil ocupa a quarta posição em número de comprometimento de máquinas por essa ameaça. O ransomware pode ser tão devastador quanto o vazamento de dados, causando interrupção de serviços e prejuízos financeiros.

O ransomware é um ataque automatizado que encripta os dados da empresa e torna inacessível as informações contidas em um computador, seja ele físico (notebook, desktop, servidor) ou virtual (hosting, cloud). A execução deste ataque se dá, principalmente, por meio de sistemas operacionais desatualizados e aberturas de anexos contaminados em e-mails. Pode ser removido com o pagamento de um resgate em bitcoins ao autor do malware ou, em alguns casos, por um especialista em cyber segurança.

Exemplo de ransomware

Engenharia Social em foco

Engenharia social visa a manipulação de pessoas para ganhar acesso em locais físicos, sistemas e informações confidenciais. Depende unicamente da interação humana e envolve enganar pessoas para quebrar procedimentos de segurança. Para esse fim podem ser usados e-mails, mensagens de texto, redes sociais ou ligações telefônicas.

O mais conhecido ataque de engenharia social é o Phishing. A palavra é um neologismo criado a partir do inglês fishing (pesca) devido à semelhança entre as duas técnicas, servindo-se de uma isca para apanhar uma vítima. Neste tipo de ataque, o usuário é ludibriado a clicar em um link convidativo que o direciona para uma página que simula sites confiáveis ou promoções. Esta página pode solicitar dados restritos como nomes de utilizador, chaves de acesso ou detalhes bancários ou oferecer a instalação de software malicioso no sistema da vítima.

Imagem de exemplo de phishing
Golpe de engenharia social com foco em pessoas físicas oferecendo customização de cartões no Twiter.

Mas afinal, o que é Cyber Segurança?

Cyber Segurança é a prática de proteger pessoas, sistemas, redes e programas de ataques digitais. Como vimos em alguns exemplos citados acima, esses ataques usualmente buscam obter acesso, alterar ou destruir informações sensíveis, realizar extorsão financeira ou interromper operações das empresas.

Implementar uma política de Cyber Segurança é particularmente desafiador nos dias de hoje já que os atacantes estão sempre inovando, as tecnologias mudando e a presença digital das empresas e pessoas crescendo. A política de segurança cibernética deve estar contida dentro do Programa de Segurança da Informação ou PDSI (Plano Diretor de Segurança da Informação).

É dever da Segurança da Informação definir processos e procedimento, implantar controles e monitorar continuamente para proteger:

  • Dispositivos de rede, servidores e estações de trabalho (endpoint)
  • Aplicações, Apps e Sistemas
  • Dispositivos IoT – Internet das Coisas
  • Identidades e acessos dos usuários
  • Banco de Dados e Infraestrutura
  • Provedores de Cloud
  • Usuários, funcionários e acionistas.

Quando e como começar a se proteger?

Quando a maioria das pessoas instala sistemas de video vigilância ou alarmes contra ladrões? Logo após um assalto, claro! Da mesma maneira que a maioria de nós só começa suplementação de vitamina C depois de pegar um resfriado.

Esperar que os dados sensíveis de seus clientes sejam expostos ou ter aquela parada da produção não programada para iniciar um programa de segurança é algo que acontece em muitas empresas, mas o prejuízo é tamanho que pode ser tarde demais. A perda de reputação muitas vezes é irreversível, os gastos com a gestão da crise e processos judiciais podem comprometer a continuidade do negócio, sem falar nos possíveis prejuízos operacionais e regulatórios.

O pensamento reativo de “Se nós formos atacados..” ou  “Quando nós formos atacados..” é algo comum, porém inaceitável. Ao mensurar objetivamente as probabilidades e volume de perdas frente aos investimentos necessários, fica claro que quando se fala em cyber segurança a única opção é prevenir ao invés de remediar.  

Nos dias de hoje, para manter sua empresa no mercado não basta ser otimista: é essencial ser realista e adotar um Programa de Segurança da Informação de maneira preventiva. Isso significa não tratar segurança por meio de iniciativas isoladas e sim estabelecer um programa contínuo e bem planejado de acordo com as características da sua operação.  

Você também pode curtir isso: