Uma nova perspectiva sobre a responsabilização na segurança cibernética

Vá direto para um resumo gerado por IA desta postagem do blog

Os incidentes de segurança cibernética vão além dos problemas de disponibilidade
Agentes mal-intencionados estão se valendo do processo legal em seu benefício
A responsabilidade pessoal por falhas na segurança cibernética está se tornando cada vez mais comum

Os incidentes de segurança cibernética, antes considerados meras interrupções menores, evoluíram para ameaças significativas com consequências de longo alcance. Inicialmente vistos como contratempos temporários, seu impacto nas operações comerciais foi subestimado. Com o tempo, cresceu a percepção de suas implicações financeiras, como pagamentos de resgate e multas regulatórias. Essa mudança de percepção se intensificou ainda mais quando a responsabilidade legal por falhas de segurança cibernética se estendeu à responsabilidade criminal, alterando significativamente o panorama e aumentando os riscos para a gestão da segurança cibernética.

Contexto histórico: Um “dia ruim no trabalho”

Historicamente, os incidentes de segurança cibernética eram vistos como “dias ruins no trabalho”, que causavam interrupções nos negócios, mas não levavam a danos duradouros. Essa perspectiva resultou em uma desconexão entre o âmbito digital do ciberespaço e as consequências no mundo real. As organizações se concentravam na recuperação de curto prazo, muitas vezes negligenciando a necessidade de estratégias de segurança cibernética de longo prazo. Essa abordagem resultou em incidentes repetidos, cada um tratado como um caso isolado, em vez de como sintomas de vulnerabilidades sistêmicas.

Situação atual: dos riscos operacionais às responsabilidades criminais

A mudança na forma de encarar as falhas de segurança cibernética como possíveis fundamentos para acusações criminais é exemplificada pelo caso de ex-CEO da Vastaamo, na Finlândia. Após uma violação em grande escala que comprometeu dados confidenciais de pacientes, o ex-CEO foi indiciado e recebeu uma pena de prisão (suspensa).

A violação expôs os dados pessoais e as anotações das sessões terapêuticas de dezenas de milhares de pacientes, alguns dos quais foram publicados na dark web. O tribunal concluiu que o ex-CEO descumpriu os requisitos do GDPR ao não criptografar os dados dos pacientes, estava ciente das falhas de segurança cibernética há anos e tentou ocultar as violações — o que resultou em sua responsabilidade criminal.

Táticas emergentes dos cibercriminosos: explorando os sistemas jurídicos

Os cibercriminosos estão se tornando cada vez mais sofisticados, explorando os sistemas jurídicos para ampliar seus ataques. Uma quadrilha de ransomware, ALPHV/BlackCat, entrou com uma ação na SEC contra a MeridianLink, sua própria vítima, por não ter relatado uma violação significativa de dados – causada pela própria ALPHV/BlackCat. Essa tática inovadora de usar requisitos legais para a divulgação obrigatória de incidentes de segurança cibernética contra as vítimas destaca uma tendência preocupante em que os cibercriminosos utilizam brechas legais para aumentar a pressão sobre seus alvos, redefinindo as regras da extorsão digital.

A título de referência, trata-se do mesmo agente malicioso que, segundo relatos, estaria por trás do ataque cibernético aos cassinos de Las Vegas (os incidentes envolvendo a MGM e a Caesars em setembro).

Embora a SEC não tenha tomado medidas em relação à denúncia feita pelo agente mal-intencionado, isso se deveu, em parte, ao fato de uma decisão recente ainda não estar em vigor (um novo prazo para denúncias foi aprovado pela SEC, mas só entrará em vigor em meados de dezembro). Isso levanta preocupações sobre a brecha explorada pelo agente mal-intencionado, mas também sobre a eficácia do órgão regulador — parecia haver elementos factuais por trás da denúncia que deveriam ter levado à ação do órgão regulador, em uma situação que pode ser melhor descrita por uma citação memorável de um filme: “(…)cães e gatos vivendo juntos(…)”.

Em uma reviravolta um tanto inesperada, todos esses incidentes podem levar à redução (obrigatória), já que os CEOs/CIOs/CISOs avaliam a possível responsabilidade legal em relação aos riscos potenciais de não relatar nada.

Isso também se relaciona diretamente com um problema à parte, que é o tempo que uma violação permanece sem ser detectada após o acesso inicial (com estimativas indicando que esse período chega a mais de 270 dias, de acordo com um relatório da IBM de 2022). Se essa lacuna jurídica continuar a existir, esse período sem detecção será mais do que suficiente para que seja apresentada uma reclamação sobre uma violação não comunicada — e ela será factualmente correta.

Estudo de caso: SolarWinds e o aumento do escrutínio jurídico

O caso da SolarWinds é um excelente exemplo do aumento do escrutínio jurídico na área de segurança cibernética. A SEC acusou a SolarWinds e seu CISO de ocultar práticas inadequadas de segurança cibernética e riscos, sendo esta a primeira vez que a SEC moveu uma ação de fiscalização em matéria de segurança cibernética contra um indivíduo.

A denúncia alegava que, desde sua oferta pública inicial (IPO) em 2018 até, pelo menos, dezembro de 2020, a SolarWinds fez declarações públicas enganosas sobre suas práticas de segurança cibernética, deixou de divulgar vulnerabilidades e violações de segurança cibernética conhecidas e não manteve controles adequados para proteger seus ativos críticos. Este caso ressalta a expectativa de uma divulgação precisa dos riscos de segurança cibernética e a responsabilidade pessoal dos executivos e diretores de segurança.

Uma nova era de responsabilização em segurança cibernética

A evolução dos incidentes de segurança cibernética — de riscos operacionais a fundamentos para responsabilidade criminal — marca uma mudança significativa na forma como as empresas e seus líderes devem abordar a segurança cibernética. Trata-se de uma mensagem clara para que as organizações e seus executivos priorizem medidas robustas de segurança cibernética, cumpram os requisitos regulatórios e sejam transparentes em suas práticas de segurança cibernética. Deixar de fazê-lo pode acarretar graves repercussões legais e financeiras, não apenas para a organização, mas também, pessoalmente, para aqueles que estão à frente dela. À medida que o panorama das ameaças à segurança cibernética continua a evoluir, o mesmo deve ocorrer com as estratégias para combatê-las, com ênfase na prevenção, na transparência e na prestação de contas.

Talvez esse seja o impulso necessário para que as questões de segurança cibernética ganhem, finalmente, destaque em todos os setores.

Resumo