As empresas têm à sua disposição uma ampla gama de tecnologias de segurança, padrões de qualidade, treinamentos, certificações, bancos de dados de vulnerabilidades, melhores práticas e diversos checklists, benchmarks e recomendações de segurança. Para avaliar e entender as ameaças, existem feeds de informações sobre ameaças, relatórios, ferramentas e alertas de serviço. O arsenal é extenso!
Além disso, estamos cercados de requisitos de segurança, frameworks de gestão de risco, regimes de compliance, regulamentações e assim por diante. Não existe falta de informação para profissionais que queiram melhorar a segurança de suas empresas, mas o risco é que o excesso de opções pode gerar uma paralisia, uma vez que não se sabe, na maior parte do tempo, por onde começar.
O número de ameaças é cada vez maior e os dados corporativos estão distribuídos em múltiplas plataformas, localidades e fornecedores de infraestrutura. Nenhuma empresa pode pensar na segurança como um assunto isolado, mas ações coletivas são muito complexas.
O guia Critical Security Controls, uma das referências mundiais em boas práticas de segurança de TI, identifica 5 aspectos fundamentais de defesa contra ataques cibernéticos:
- Ataques geram informações defensivas: utilize o conhecimento adquirido com ataques já ocorridos que comprometeram sistemas para aprender continuamente e construir defesas práticas e efetivas. Inclua somente controles que comprovadamente interromperam ataques;
- Priorize: invista primeiro em controles que ofereçam a maior possibilidade de proteção e redução de riscos contra os agentes mais perigosos e cuja implementação seja viável em seu ambiente de TI;
- Métricas: estabeleça métricas para criar uma linguagem comum entre executivos, especialistas em TI, auditores e especialistas de segurança dentro da organização, para que qualquer ajuste possa ser identificado e implementado rapidamente;
- Diagnóstico contínuo: mantenha uma estrutura de medição constante para testar e validar a efetividade das atuais medidas de segurança e ajudar a priorizar os próximos passos;
- Automação: automatize suas defesas para que a organização possa medir de forma contínua, confiável e escalável sua aderência às melhores práticas globais de segurança.
É fato que todas as empresas estão vulneráveis a ciberataques, o que não significa necessariamente que todas elas estejam em risco. Para identificar os riscos que sua empresa corre - e o possível impacto financeiro disso - é preciso conhecer seu ambiente de TI e investir continuamente na atualização do parque, monitoração e gerenciamento.
Para definir os parâmetros de defesa contra ataques cibernéticos, leve em conta os seguintes aspectos:
- Conheça sua estrutura: sem saber quais as particularidades e os pontos vulneráveis de sua infraestrutura de TI é impossível avaliar os riscos e definir prioridades de investimento em segurança;
- Verifique quais são as tecnologias obsoletas: sistemas antigos tendem a ter mais falhas de segurança e, por isso, é preciso levar em conta quais as vulnerabilidades trazidas pelo legado. Atualizações para versões mais recentes e estáveis eliminam diversas falhas de segurança;
- Adote boas práticas: o mercado já consagrou diversas iniciativas como parte das boas práticas de segurança. Alguns exemplos são a adoção de white lists e black lists, o armazenamento de dados em bases criptografadas, o uso de antivírus, a adoção de senhas fortes e sua troca a cada 45 a 60 dias. Conhecer as boas práticas e aplicá-las em sua empresa reduz a exposição corporativa a riscos e ameaças cibernéticas.
