Não cometa esses erros de resiliência cibernética

Descubra por que talvez seja hora de mudar suas estratégias de prevenção de segurança cibernética para resiliência e o que não fazer no processo.

Os profissionais de segurança cibernética estão cansados ​​de perder terreno para os cibercriminosos, então estão trabalhando com membros dos C-suites e conselhos de istração de suas empresas para implementar um processo que alguns consideram mais realista do que a prevenção: resiliência cibernética. Resiliência significa que uma empresa pode continuar entregando o resultado pretendido, mesmo em uma crise. Ele reúne segurança da informação, continuidade de negócios e resiliência, criando uma organização que pode sobreviver a ataques cibernéticos.

Ao envolver os tomadores de decisão, os silos de informação (que permeiam a maioria das organizações) são derrubados. E, mais importante, a adesão combinada dos especialistas e tomadores de decisão silenciará a atitude “nós contra eles”.

VEJO: Plano de recuperação de desastres e continuidade de negócios (TechRepublic )

Erros a evitar com a resiliência cibernética

Alex Manea, diretor de segurança da Georgian Partners, oferece uma perspectiva interessante sobre o que evitar ao habilitar a resiliência cibernética em seu artigo Evite estes quatro principais erros de segurança cibernética no CEO. Na introdução do artigo, ele disse:

“Ao longo dos anos, vi algumas abordagens fantásticas para mitigação de riscos e algumas não tão fantásticas. O que está claro para mim é que as empresas que adotam uma abordagem holística e incorporam a segurança cibernética nessa estratégia desde o início acabam mais bem-sucedidas no futuro.”

Manea disse que, em sua experiência, quatro erros aparecem com mais frequência e, se as pessoas que implementam a resiliência cibernética os evitarem, isso provavelmente dará à empresa uma vantagem competitiva.

1º erro: Tentar proteger tudo

Manea começa compartilhando o velho axioma de que os defensores devem proteger todas as aberturas possíveis onde os atacantes precisam apenas de uma entrada. Se for realista, esse truísmo por si só deve ser suficiente para substituir uma atitude de prevenção por uma baseada na resiliência.

Manea então sugere cautela. “Certifique-se de entender suas restrições organizacionais – sejam elas tecnológicas, orçamentárias ou mesmo políticas – e trabalhe para minimizar os riscos com os recursos que você recebe. Pense nisso como um jogo de otimização econômica.”

2º erro: Falta de um modelo de ameaça abrangente

Simplificando, é necessária uma avaliação de risco de ameaça digital. Manea sugere que uma equipe que inclua representantes do departamento de TI, unidades de negócios e alta istração trabalhe em conjunto para criar um modelo de ameaça à segurança da organização, tendo em mente:

• O que um invasor deseja alcançar?

• Qual é a maneira mais fácil de um invasor conseguir isso?

• Quais são os riscos, sua gravidade e sua probabilidade?

Um modelo de ameaça preciso permite que o pessoal do departamento de TI implemente medidas de segurança onde elas são mais necessárias e não desperdice recursos. “Depois de identificar suas joias da coroa e o caminho de menor resistência, concentre-se em adicionar obstáculos a esse caminho”, disse ele.

3º erro: não obter um teste de penetração independente

De acordo com Manea, não há como contornar um teste e avaliação independente de penetração de segurança cibernética. “Pensar que você está seguro sem realizar uma avaliação de hackers ‘white hat’ (ética) é como colocar seu produto no mercado antes de realizar testes de qualidade”, disse Manea. “Você não pode afirmar razoavelmente que está seguro – ou informar ao conselho de istração que está – até que pesquisadores de segurança ética tentem atacá-lo.”

Manea também disse que é importante realizar testes de penetração pelo menos uma vez por ano, pois novas fraquezas são encontradas e novos vetores de ataque são desenvolvidos o tempo todo. E, o mais rápido possível, corrija os pontos fracos identificados.

VEJO: Política de verificação e teste de penetração (TechRepublic )

Algo que Manea não enfatiza o suficiente é a necessidade de obter adesão da alta istração para esse tipo de teste. Bruce Schneier em seu post O teste de penetração vale a pena? disse: “Você realmente não quer um relatório volumoso documentando todas as maneiras pelas quais sua rede é insegura. Você não tem o orçamento para consertar todos eles, então o documento ficará esperando para fazer alguém parecer ruim.”

Ou pior, e se o relatório do teste de penetração for descoberto em uma ação judicial? “Você realmente quer que um advogado de oposição peça para você explicar por que você pagou para documentar as falhas de segurança em sua rede e depois não as corrigiu?” disse Schneider. “Provavelmente a coisa mais segura que você pode fazer com o relatório depois de lê-lo é destruí-lo.”

4º erro: torne a segurança cibernética uma reflexão tardia

Executivos de nível C e gerentes de departamentos de TI veem a segurança cibernética de maneira muito diferente. “As empresas geralmente estão tão focadas em lançar seus produtos ou serviços que perdem de vista o risco de segurança cibernética”, disse Manea. “As startups que se movem rapidamente, em particular, podem se sentir ‘seguras’ porque estão voando sob o radar – pensando que não têm dados, informações de clientes ou dinheiro suficientes para os hackers se preocuparem com eles – mas, de repente, , seu negócio cresceu até o ponto de inflexão em que agora tem valor e as pessoas estão percebendo, incluindo hackers.”

O compartilhamento de informações é a chave

O compartilhamento de informações relevantes para o status de segurança cibernética de uma empresa é fundamental. O relatório Cyber ​​Resilience and Response (PDF) do Departamento de Segurança Interna diz que permitir que as partes interessadas criem relacionamentos interdepartamentais e entre empresas levará ao compartilhamento de informações e recursos e aumentará significativamente a conscientização cibersituacional, bem como a resiliência e a mitigação de ameaças.

Em uma nota muito mais simples, às vezes a mágica acontece quando as pessoas se unem em direção a um objetivo comum – como a sobrevivência da empresa que as emprega.

Mais sobre resiliência cibernética

Se você quiser saber mais sobre resiliência cibernética, leia estes artigos da TechRepublic: Como ser resiliente cibernético para evitar desastres de segurança cibernética, CISOs forçados a se adaptar a pandemias e outros riscos geopolíticos, Apenas 17% das organizações globais são consideradas líderes de resiliência cibernética ”, e PwC: Aumentar a resiliência digital é a melhor defesa contra ataques cibernéticos.