As melhores práticas para a resiliência cibernética no mundo empresarial

Diante de adversidades, a capacidade da sua empresa de manter as atividades, mesmo em modo restrito, depende fortemente da resiliência de seus sistemas cibernéticos.

Índice:

1. O que é resiliência cibernética?

2. Os três principais componentes da resiliência cibernética

3. Em que a resiliência cibernética difere da segurança cibernética?

4. Resiliência cibernética e a COVID-19

5. Como a resiliência cibernética afeta as atividades diárias da empresa?

6. Planejamento para a resiliência cibernética

7. Por que sua empresa deve abordar a questão da resiliência cibernética?

8. Como você pode melhorar a resiliência cibernética da sua empresa

 

 

O que é resiliência cibernética?

O que é resiliência cibernética? A resiliência cibernética é a capacidade de uma organização de continuar a fornecer seus produtos e serviços, independentemente de quaisquer eventos cibernéticos que possam afetar as operações normais da empresa. Essa capacidade é destacada pelo conceito de que as empresas devem se preparar, prevenir, responder e se recuperar com sucesso, retornando a um estado seguro, sem degradação ou interrupção de suas expectativas normais de prestação de serviços. A segurança deve ser considerada uma função essencial dos negócios, projetada para proteger recursos e implementada para mitigar riscos. 

As organizações devem projetar e implementar infraestruturas, aplicativos e operações de forma segura para serem resilientes a ameaças cibernéticas. Portanto, incluir a segurança é uma decisão fundamental e consciente na abordagem de projeto de soluções de negócios de ponta a ponta. Quando implementada adequadamente, a resiliência cibernética reúne segurança da informação, continuidade de negócios e resiliência organizacional, garantindo uma abordagem de projeto segura. As melhores práticas de segurança devem ser consideradas e incorporadas às políticas, procedimentos, infraestrutura e aplicativos, além de proporcionar visibilidade e controle adequados sobre esses componentes, independentemente de se tratar de atividades normais ou adversas.

 

Os três principais componentes da resiliência cibernética

Proteger 

Ao proteger seus sistemas, dados e aplicativos, você garante que as únicas pessoas com acesso aos seus sistemas sejam usuários autorizados. Ter a capacidade de rastrear os usuários e acompanhar seus movimentos pelo sistema é um indicativo de um gerenciamento robusto de identidade e acesso. Você também deve ter a capacidade de detectar quaisquer vulnerabilidades no seu sistema, o que permite identificar pontos fracos. Os dados no seu sistema — sejam informações de clientes ou funcionários, ou a propriedade intelectual da sua organização — precisam ser protegidos com altos níveis de segurança.

 

Detectar

Sua estratégia de resiliência cibernética deve ser capaz de detectar quando está ocorrendo uma tentativa de ato malicioso contra sua empresa. Isso pode, às vezes, ser difícil, já que os agentes mal-intencionados podem agir de forma dissimulada e têm se tornado cada vez mais sofisticados em suas tentativas de violar a segurança de seus sistemas. Vale ressaltar que algumas ameaças avançadas não se limitam a tentativas externas e podem ter origem dentro da própria organização. A IBM constatou que o tempo médio de detecção e contenção de violações de segurança é de 280 dias, período durante o qual esses agentes mal-intencionados atuam para danificar sistemas e destruir ou roubar dados sem que ninguém perceba.

Um aspecto fundamental da detecção é saber quais dados estão armazenados e onde estão armazenados nos sistemas da sua empresa. Isso permite que você crie sistemas de resiliência cibernética capazes de identificar comportamentos que não se enquadram nos padrões habituais e que, portanto, podem colocar a empresa em risco de uma violação de segurança.

Evoluir

O componente final da sua estratégia de resiliência cibernética deve estar na capacidade de evoluir e adaptar sua segurança, garantindo que você se mantenha à frente das ameaças. Os hackers estão constantemente buscando novas ou diferentes maneiras de explorar quaisquer vulnerabilidades em seus sistemas, e uma empresa com resiliência cibernética tem a capacidade de antecipar esses novos ataques por meio da modelagem de ameaças e de se preparar para se defender antes que uma vulnerabilidade se torne um ponto fraco.

Ser capaz de evoluir significa que você precisará da capacidade de implantar e integrar rapidamente novos serviços no local e na nuvem. O ideal é que todos os produtos que você utiliza, incluindo software e firmware, estejam operando de acordo com as melhores práticas e que os patches ou atualizações para vulnerabilidades de segurança sejam implantados em tempo hábil.

 

Em que a resiliência cibernética difere da segurança cibernética?

Saber a diferença entre resiliência cibernética e segurança cibernética é fundamental para proteger sua empresa. Enquanto a segurança cibernética se concentra mais em proteger sua organização contra um ataque cibernético, a resiliência cibernética entra em ação quando alguma das medidas de segurança cibernética falha ou se os sistemas são afetados por fatores como quedas de energia, condições climáticas e erros humanos. A segurança cibernética utiliza VPNs, firewalls, softwares antimalware, ferramentas de aplicação de patches e treinamento de funcionários sobre práticas seguras. A resiliência cibernética é então levada em consideração se as operações da empresa dependem fortemente da tecnologia, especificamente quando dados críticos são armazenados eletronicamente, e como as áreas operacionais podem ser afetadas por adversários.

Contar com um bom programa de resiliência cibernética ajudará sua organização a proteger os negócios, ao mesmo tempo em que reduz o tempo de exposição a ameaças cibernéticas, resultando em um impacto menor dos ataques cibernéticos e contribuindo para a continuidade dos negócios.

 

Resiliência cibernética e COVID-19

A resiliência cibernética pode ser especialmente relevante em momentos como os que vivemos atualmente, em que, devido às medidas de confinamento, o comércio online está em alta como nunca antes, e esses serviços precisam garantir confiabilidade mesmo diante de incidentes de segurança. Empresas como Amazon, Zoom, Google e Microsoft reforçaram não apenas suas medidas de segurança cibernética, mas também sua resiliência cibernética. 

Ao longo da pandemia da COVID-19, as organizações puderam perceber e lidar com a importância e os desafios relacionados à sua estabilidade, produtividade e sobrevivência. Com um número crescente de organizações adotando modelos de negócios digitais para acomodar seus funcionários que trabalham de casa, a questão do acesso remoto, que pode comprometer os sistemas internos, tem sido abordada por meio da resiliência cibernética. Com a rápida transição da maioria das pessoas para o trabalho remoto, essa digitalização forçada tem sido explorada por criminosos e hackers. Houve um aumento significativo de casos de phishing, ofertas fraudulentas, ransomware e assédio desde o início da pandemia. A adoção da autenticação multifatorial ou de Redes Privadas Virtuais (VPNs) ajudou as empresas a aprimorar suas medidas de segurança para questões como o acesso de funcionários remotos, e políticas aprimoradas para videoconferências contribuíram para a proteção contra o “zoom-bombing”, prática em que trolls da internet se infiltram em videoconferências com a intenção de causar intrusões indesejadas e perturbadoras.

Neste contexto tecnológico, diante de riscos graves e existenciais, contar com relatórios bem elaborados sobre resiliência cibernética é fundamental para o seu sistema geral de resiliência cibernética. Com maior transparência para as partes interessadas, é possível tomar decisões mais bem fundamentadas. Ao adotar práticas e sistemas adequados de resiliência cibernética, sua empresa estará mais bem preparada para construir uma cultura nova e mais forte, que ajude a combater os riscos. Isso pode se traduzir em registros e relatórios precisos sobre redundâncias de sistemas, mapas de dependências atualizados para arquiteturas de sistemas complexas e métodos estabelecidos para que essas informações cheguem a quem precisar delas durante um evento inesperado. Por fim, uma empresa que dispõe de relatórios bem elaborados sobre resiliência cibernética pode se beneficiar de uma reputação reforçada, diretamente ligada ao cuidado e à transparência. Quando seus sistemas falharem devido a alguma circunstância imprevista, informe seus usuários sobre o ocorrido e explique as medidas que estão sendo tomadas ou os procedimentos de segurança já em vigor para mitigar o problema.

Embora a pandemia da COVID-19 tenha afetado drasticamente a forma como os negócios são conduzidos, as pandemias não são o único fator que as empresas e organizações precisam levar em conta para desenvolver resiliência. Outros fatores externos que podem afetar a resiliência da sua empresa são: mudanças bruscas na economia, forças da natureza, terrorismo (cibernético ou físico) e outros — e todos precisam ser considerados no planejamento de recuperação de desastres quando se trata de desenvolver a resiliência da sua empresa.

 

Como a resiliência cibernética afeta as atividades diárias da empresa?

A resiliência cibernética afeta os processos, exigindo que eles contem com planos de contingência para superar de forma eficaz a indisponibilidade dos sistemas — desde serviços voltados para o consumidor, como um site de vendas, até serviços internos, como recursos humanos e contabilidade.

Isso pode afetar tanto os processos digitais quanto os físicos; por exemplo, tanto as vendas on-line quanto a entrega de mercadorias precisam ser resilientes a eventuais interrupções nos sistemas de gestão de estoque. Seria inaceitável para os clientes se suas mercadorias não fossem entregues pela Amazon caso, por algum motivo, um servidor da empresa fosse comprometido. Portanto, deve haver redundância nos processos.

 

 

Planejamento para a resiliência cibernética

Embora os processos possam ser adaptados para levar em conta a resiliência cibernética, a melhor maneira é integrar essas questões já na fase de planejamento:

• Leve em consideração os sistemas redundantes, mas fisicamente separados. Contar com várias camadas de redundância — desde discos, fontes de alimentação, cabeamento de energia e de rede, ar condicionado, servidores redundantes e em cluster —, além do monitoramento em várias camadas na nuvem, pode afetar sua resiliência cibernética.
• Projete a arquitetura do sistema levando em consideração o tempo necessário para realizar tarefas de manutenção e/ou utilize uma ferramenta de correção em tempo real.
• Faça com que seus sistemas tenham como preocupação central o “projeto para falhas”, seja essa falha decorrente de uma vulnerabilidade de segurança ou de um problema de hardware. Criar seu software desde o início com a mentalidade de que cada um de seus componentes pode falhar — seja de forma maliciosa ou acidental — sem afetar a experiência dos usuários finais é a melhor maneira de projetar para falhas.

Um dos componentes das melhores práticas é uma política sólida de aplicação de patches para vulnerabilidades. Normalmente, a aplicação de patches para vulnerabilidades requer uma janela de manutenção, pois se trata de uma atividade que causa interrupções (reinicialização do sistema, reinício de serviços). Com uma ferramenta de aplicação de patches em tempo real, o processo pode ocorrer sem essas interrupções, o que significa tempos de resposta mais rápidos ao lidar com novas vulnerabilidades que vêm à tona.

 

Por que sua empresa deve se preocupar com a resiliência cibernética?

Sua empresa deve abordar a resiliência cibernética para que possa continuar a fornecer recursos essenciais e críticos à missão, ao mesmo tempo em que oferece aos defensores cibernéticos as ferramentas necessárias para responder às ações adversárias de forma rápida e eficaz. Quando medidas de resiliência são incorporadas durante o processo de aquisição flexível e extensível, aumenta a capacidade dos defensores cibernéticos de se adaptar e neutralizar os adversários.

Suas principais funções de negócios precisam continuar em funcionamento em caso de um ataque, desastre ou qualquer outro imprevisto. Embora sua empresa possa ter um processo de recuperação de desastres em vigor voltado para desastres naturais, o ideal é garantir que haja um plano de recuperação de desastres que também inclua resiliência cibernética para qualquer outra situação que possa colocar seus sistemas críticos em risco.

Com uma abordagem flexível e adaptável à segurança cibernética e à resiliência cibernética, sua organização pode colher os benefícios em um cenário em constante mudança, marcado por possíveis desastres, hackers e até mesmo por mudanças no modelo de negócios. Alguns desses benefícios incluem:

• Menos incidentes – Quando você conta com um sistema que monitora continuamente e trabalha para proteger os dados da sua empresa, é possível responder a quaisquer vulnerabilidades e riscos, o que resulta em menos incidentes.
• Menos multas e penalidades – É preciso estar em conformidade com quaisquer exigências governamentais ou regulatórias em matéria de segurança; e, ao contar com um processo robusto de resiliência cibernética, você consegue identificar e proteger facilmente os dados que coleta, o que resulta em menos multas e penalidades e até mesmo reduz o risco de um processo judicial.
• Menor risco de violação de segurança – Um processo robusto de resiliência cibernética ajudará a mitigar uma violação de segurança. Uma violação de segurança pode não apenas afetar suas necessidades tecnológicas, mas também interromper quaisquer processos essenciais aos negócios, causando um pesadelo de relações públicas e prejudicando a reputação da sua empresa.
• Melhoria da reputação – No cenário tecnológico atual, os clientes estão cada vez mais cautelosos ao decidir em quem confiar seus dados. Se eles virem nas notícias que uma marca foi associada a uma violação de segurança, isso os levará a desconfiar dela. No entanto, as empresas que se empenham em proteger os dados de seus clientes e implementam programas sólidos de segurança cibernética e resiliência cibernética acabarão conquistando mais negócios e gerando um lucro líquido maior.

 

 

 

Como você pode melhorar a resiliência cibernética da sua empresa

A implementação de uma estratégia eficaz de resiliência cibernética pode abranger diversos aspectos das soluções de segurança cibernética. Entre eles, podem estar:

• Inteligência Artificial/Aprendizado de Máquina – A IA/AM desempenha um papel fundamental na resiliência cibernética eficaz. A partir da enorme quantidade de dados gerados pelas soluções de segurança, a IA/AM pode analisar comportamentos ou riscos e automatizar uma resposta que aumenta a capacidade da sua organização de se adaptar a diferentes ataques ou vulnerabilidades.
• Segurança de dados – Garantir que seus dados, tanto estruturados quanto não estruturados, estejam protegidos deve ser uma preocupação primordial e um componente essencial tanto dos seus sistemas de segurança cibernética quanto dos de resiliência cibernética. É necessário ter a capacidade de analisar os dados de que você dispõe e obter insights importantes, ao mesmo tempo em que se mantém em conformidade com as regulamentações governamentais.
• Segurança de aplicativos – Sua estratégia de aplicativos começa no processo de desenvolvimento, e seus testes precisam se integrar ao seu DevOps, além de serem escaláveis e flexíveis para uso local ou sob demanda.
• Gerenciamento de Identidade e Acesso – Contar com um sistema de gerenciamento de identidade e acesso para seus sistemas garante que você seja capaz de gerenciar quem — sejam funcionários ou clientes — e o que — dispositivos ou serviços — está acessando seus dados e sistemas. Com o gerenciamento de identidade e acesso, você pode criar identidades confiáveis, observar padrões normais dessas identidades e identificar quaisquer padrões anormais.

 

 

Conclusão

Modelos de negócios bem-sucedidos devem considerar e implementar sistemas e processos que sejam resilientes a ameaças cibernéticas, a fim de garantir eficiência operacional e sucesso. Incidentes de segurança ocorrerão; cabe a cada empresa decidir até que ponto deseja permitir que esses incidentes afetem seus resultados financeiros. Aprimorar processos como a manutenção e adotar ferramentas de correção em tempo real, caso ainda não as utilize, é um passo na direção certa.