No primeiro episódio: saiba quais são os riscos cibernéticos e como identificá-lo em sua empresa
Nos últimos meses, como efeito colateral da pandemia da covid-19 que acelerou a adoção do teletrabalho aumentou o número de ataques cibernéticos, roubos de dados e valores empenhados pelas organizações para mitigar os problemas em decorrência dessas invasões. Com as tecnologias quase onipresentes que agora conectam os mundos físico e digital, até certo ponto sem precedentes, existe um novo potencial para que os ataques individuais devastem processos comerciais e operacionais críticos.
Prevenir continua sendo um remédio muito mais eficaz do que remediar. Mas como garantir a proteção adequada para os ativos de uma indústria? Thiago Branquinho, CTO da TI Safe, explica que a segurança cibernética não deve ser vista individualmente, mas sim entendida como um processo de aperfeiçoamento contínuo de controles. As práticas, segundo Thiago, vão desde conscientizar usuários e estabelecer a segurança de redes até proteger dados e sistemas críticos com rigorosos controles de acesso.
Na avaliação do CTO, para obter uma melhor relação entre custo e benefício na implementação dessas práticas, o primeiro passo é fazer uma análise de riscos com escopo muito bem definido. “Considerando sistemas industriais, as abordagens vão desde uma análise focada apenas nos centros de controle até as mais complexas, abrangendo todo o processo produtivo. O passo seguinte é elencar os ativos que serão avaliados. Computadores, PLCs, equipamentos de rede, servidores e até mesmo pessoas entram nessa lista. Devem ser listados os tipos de ameaças que cercam esses ativos, quais são seus pontos fracos e qual impacto pode ocorrer na operação em caso de incidentes”, detalha.
Thiago explica que pessoas, por exemplo, são suscetíveis aos ataques de engenharia social como phishing, pretexting etc. Servidores com sistemas operacionais antigos podem ser facilmente invadidos por meio de uso de kits de hacking baixados na internet.
O risco é, portanto, composto pelo conjunto de ameaças que podem explorar as vulnerabilidades em um ativo. O nível desse risco deve ser medido pela probabilidade de ocorrência e pelo impacto causado. Entendidos os riscos, a implantação de controles fica mais objetiva.
Uma outra abordagem para a determinação de controles é a verificação da conformidade (compliance), ou seja, o grau de adoção de normas e padrões adotados pela empresa analisada. “São muito utilizadas, por exemplo, as normas ISO 27001 em ambientes de TIC e a ISA/IEC 62443 em ambientes de automação industrial”, diz Thiago.
A TI Safe adota uma abordagem híbrida de avaliação, combinando a verificação estática com a dinâmica. No processo estático, os especialistas da TI Safe observam aspectos de riscos e compliance com base em avaliações in loco e entrevistas. No dinâmico, são detectadas ameaças residentes na rede e vulnerabilidades de ativos, através de ferramentas passivas de monitoramento. No final é feita a mesclagem das duas análises. Segundo Thiago, a partir desse resultado é feito planejamento de gestão de riscos, que deve ser orientado ao cumprimento de normas e embasado nas principais necessidades de proteção de cada empresa.
Na próxima edição, a TI Safe News detalhará quais sãos os passos para uma gestão de riscos eficaz: como melhorar as capacidades de monitoramento e resposta, qual é o papel do treinamento das pessoas para prevenção aos riscos e muito mais.
Para receber mais informações sobre como identificar riscos cibernéticos, entre em contato pelo email comercial@tisafe.com
