Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
O setor público, incluindo órgãos estaduais e federais, corre o mesmo risco de sofrer ataques cibernéticos que o setor privado. No entanto, em termos de adoção de tecnologia, sabe-se que o setor público fica atrás do setor privado – criando um ambiente no qual algumas organizações governamentais não conseguem montar uma defesa adequada contra agentes mal-intencionados.
Nos últimos anos, o Governo Federal e algumas organizações terceirizadas introduziram uma série de normas para ajudar a orientar os esforços de segurança cibernética do setor público. Aqui, abordaremos algumas dessas normas e descreveremos o que o governo e as organizações do setor público (e seus contratados) podem fazer para cumpri-las.
Normas de segurança cibernética para o setor público
Há uma longa lista de normas de segurança cibernética que se aplicam, de alguma forma, ao setor público. As normas abaixo são regulamentações de iniciativa do governo ou têm implicações para as instituições do setor público:
- O Instituto Nacional de Padrões e Tecnologia (NIST) Estrutura de Cibersegurança (CSF) oferece orientações para o gerenciamento de riscos de segurança cibernética. Embora não imponha nenhuma ação específica, trata-se de uma diretriz comumente utilizada por órgãos federais, bem como por governos estaduais e municipais.
- A Lei Federal de Gestão da Segurança da Informação (FISMA) estabelece que as agências federais devem implementar e manter controles de segurança adequados para proteger suas informações e sistemas. As agências devem seguir o NIST CSF, juntamente com outras diretrizes e normas do NIST.
- A Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) se aplica a organizações que processam, armazenam ou transmitem informações de cartões de pagamento. Isso inclui organizações do setor público que lidam com dados confidenciais de cartões de pagamento. A conformidade com o PCI exige o cumprimento das especificações contidas na norma – e o não cumprimento pode resultar em multas.
- A Lei de Portabilidade e Responsabilidade do Seguro Saúde (HIPAA) abrange qualquer organização que lide com informações de saúde protegidas (PHI), especialmente em ambientes de conformidade com a segurança cibernética na área da saúde. Ela exige que as organizações abrangidas implementem controles de segurança adequados para proteger as PHI.
- A Agência de Segurança Cibernética e de Infraestrutura (CISA) inclui a Certificação do Modelo de Maturidade em Cibersegurança (CMMC), que é uma estrutura de segurança cibernética utilizada, entre outros objetivos, pelo Departamento de Defesa (DOD) para avaliar o nível de segurança cibernética de contratados e subcontratados.
- O Instituto Nacional de Padrões e Tecnologia (NIST) SP 800-53 contém diretrizes para a seleção e implementação de controles de segurança para sistemas de informação e organizações. É utilizado por órgãos federais, mas também se aplica comumente a prestadores de serviços do governo que atuam em redes de TI federais.
- A Organização Internacional de Normalização (ISO) 27001 e (ISO) 27002 são exemplos de normas não governamentais que oferecem lições relevantes para o setor público e, portanto, se aplicam às organizações desse setor, uma vez que fornecem diretrizes para a gestão da segurança da informação.
O que você pode fazer para garantir a conformidade?
Dependendo das normas que se aplicam à sua organização, o não cumprimento pode acarretar diversas consequências. No entanto, no mínimo, as normas listadas acima oferecem orientações úteis que vale a pena seguir caso você queira manter os dados da sua organização seguros, evitar ataques de ransomware e evitar interrupções nas operações.
No entanto, cumprir as normas de forma consistente não é fácil e exige uma abordagem estratégica apoiada pelos recursos certos — e pelas ferramentas certas. Algumas das principais medidas que sua organização precisa tomar incluem:
- Entenda quais são suas obrigações. Muitas das normas são amplas, e sua aplicação varia desde uma mera recomendação até uma exigência absoluta que envolve multas – ou algo pior. Para agir com sucesso, identifique quais são as exigências mais críticas e específicas, atenda a elas primeiro e vá avançando gradualmente.
- Estabeleça metas de segurança cibernética no nível da diretoria. O apoio da alta direção é fundamental para o cumprimento das obrigações de conformidade. Isso não pode ser tratado apenas como um exercício burocrático a ser resolvido nos níveis inferiores, pois a conformidade prática em segurança cibernética também é uma questão de cultura — e é uma cultura que precisa ser transmitida a partir da alta direção.
- Alocar recursos adequados para as iniciativas de conformidade em segurança cibernética. A complexidade dos ambientes de TI atuais, combinada com a magnitude das ameaças à segurança cibernética, agrava a situação. É uma tarefa enorme. Você não vai conseguir realizá-la com uma equipe reduzida e com financiamento mínimo, especialmente quando se considera o retorno sobre o investimento (ROI) em segurança cibernética de um investimento proativo em comparação com uma recuperação reativa. Aloque recursos adequadamente.
- Comece com boas práticas. Princípios de segurança cibernética como autenticação multifatorial (MFA), modelo “zero trust” ou monitoramento e auditorias constantes. Não presuma que as boas práticas já estejam em vigor e não subestime a importância do que parece ser de conhecimento geral. Muito do que é exigido pelas normas de segurança cibernética é simplesmente uma repetição das boas práticas – e isso é repetido por um motivo. Aplique os princípios mais sensatos de qualquer maneira.
- Considere contratar consultores. É um processo complexo, como já dissemos antes, portanto, não superestime as capacidades de suas equipes internas. Isso vale especialmente se você estiver apenas começando a se concentrar na conformidade, pois os consultores podem ajudar a trazer uma nova perspectiva e contexto para o que você precisa alcançar. No entanto, consultores externos podem oferecer uma avaliação realista e útil, mesmo que você já tenha uma equipe experiente.
- Fique por dentro das últimas novidades. A segurança cibernética é uma área em constante evolução, e os agentes mal-intencionados estão aprimorando rapidamente suas táticas, o que significa que sua tecnologia de segurança cibernética também precisa acompanhar esse ritmo. Publicamos aqui uma lista útil das principais tendências em segurança cibernética.
- Aplique correções em tempo real sempre que possível. A aplicação de patches é o cerne de muitas estruturas de segurança cibernética, mas também é um dos aspectos mais difíceis de se acertar na conformidade com as normas de segurança cibernética. A aplicação de patches em tempo real pode fazer toda a diferença: reduz as janelas de manutenção e os requisitos de recursos – e minimiza o intervalo entre o lançamento e a aplicação do patch.
A conformidade em matéria de segurança cibernética exige, sem dúvida, um esforço conjunto que esteja plenamente enraizado na cultura organizacional.
Sua resposta precisa ser abrangente
No caso do setor público, trata-se de várias camadas de normas de segurança cibernética. Algumas dessas normas são opcionais, mas é recomendável cumpri-las de qualquer maneira. Outras estabelecem objetivos específicos, e as organizações que se enquadram nessas normas, mas que, mesmo assim, não cumprirem esses objetivos, estarão sujeitas a penalidades.
Uma resposta abrangente e completa é sua única opção. Entenda o que sua organização precisa fazer para manter a conformidade e obtenha toda a ajuda possível: recursos internos, consultores e as ferramentas mais recentes de defesa em cibersegurança: incluindo aplicação de patches em tempo real.
