BRANDS' ECO O incidente de cibersegurança virou crise, e agora?

De acordo com o Relatório de Riscos e Conflitos de 2022 (Observatório de Cibersegurança – CNCS), as ameaças relacionadas com eventos diruptivos encontram-se ativamente presentes, destacando-se como predominante o ransomware. São de realçar também o incremento de ameaças híbridas, ataques de denial-of-service, bem como os ataques à cadeia de valor.

Os ataques são cada vez mais complexos e multilaterais, combinando diferentes abordagens para maximizar a probabilidade de comprometer os sistemas críticos das organizações. Uma vez atingidas por um ciberataque desta natureza disruptiva, muitas organizações não têm hoje uma capacidade robusta de resposta e experienciam períodos prolongados de disrupção, perda de receita, diminuição da credibilidade da marca e potenciais impactos legais.

Recentemente, verificaram-se várias situações a nível nacional com elevada exposição pública, em vários sectores desde retalho, administração pública, meios de comunicação e saúde às telecomunicações. Os impactos resultantes podem permanecer visíveis durante anos. A sua profundidade e duração dependem altamente do grau de preparação e prontidão da organização. É importante que as organizações estabeleçam condições que permitam manter um grau de resiliência e de recuperação perante este tipo de eventos. Entre os diferentes fatores de sucesso destaca-se:

• Definição de Playbooks de cibersegurança – Identificar a sequência de ações a ser tomada para responder a determinado tipo de ciberataque, cobrindo todo o ciclo de gestão do evento, fazendo a ligação entre a resposta a incidentes, a continuidade de negócio e o disaster recovery;
• Identificação dos processos críticos para o negócio – Identificar os processos e ativos essenciais aos objetivos da organização, através de avaliações de impacto no negócio que permitem priorizar a sua recuperação e adequar a resposta;
• Definição de procedimentos de escalada – Definir critérios claros que identifiquem quando um incidente de cibersegurança deve ser escalado, formalizando os fluxos de comunicação;
• Criação de um Comité de Gestão de Crise – É importante envolver as pessoas com autoridade e conhecimento técnico necessários à tomada de decisões. Tipicamente no Comité destaca-se entre as principais figuras, a Comissão Executiva, o Chief Information Security Officer e os responsáveis pelo IT, Jurídico, Comunicação/Marketing, Risco e áreas de negócio afetadas;
• Gestão da Comunicação – Criar e manter um plano de comunicação que identifique um porta-voz para comunicações externas, obrigações junto das partes interessadas, os canais apropriados e orientações para os principais cenários mais prováveis;
• Formação – Realizar campanhas de sensibilização, de modo a garantir uma mudança cultural gradual, complementadas por ações de formação complementares para os colaboradores críticos ou com acessos privilegiados, de forma a garantir a sua prontidão e foco durante estes incidentes;
• Realização de testes – O objetivo dos planos é assegurar que a resposta a estes eventos é ágil e adequada. Para isso, os planos e as pessoas têm que ser testados. Só desta forma será possível otimizar a resposta para que seja eficaz e célere;
• Backups e Disaster Recovery – A existência de backups seguros dos dados que salvaguardem a sua disponibilidade e integridade bem como a redundância da infraestrutura aplicacional são fatores que influenciam diretamente a rapidez da sua recuperação e são fatores-chave para minimizar tempo de indisponibilidade dos sistemas;
• Gestão de Parceiros – É também necessário garantir que não só existe uma proteção adequada internamente, mas também que a mesma visão é partilhada por todo o ecossistema de parceiros. Deve existir a devida due diligence e estabelecimento de acordos contratuais que responsabilizem o parceiro e tragam o conforto de que possui as capacidades necessárias à prevenção e resposta adequadas perante estas situações, nos timings relevantes.

Cada vez mais as organizações estão conscientes destes riscos e de que não é uma questão de se algum dia vão sofrer um incidente de cibersegurança, mas quando este acontecerá. De acordo com o Relatório de Riscos e Conflitos de 2022 (Observatório de Cibersegurança – CNCS), a perceção do risco de alguma entidade sofrer um incidente de cibersegurança, de acordo com os parceiros do CNCS inquiridos, encontra-se em 98% em 2021.

No entanto, continua ainda a existir um grande caminho a percorrer por parte das organizações, potenciado pelo déficit nos orçamentos e de colaboradores especializados, fatores que poderão contribuir para o sucesso do próximo ataque. De forma a otimizar a alocação dos recursos disponíveis, é fulcral recorrer a uma abordagem baseada no risco de forma a minimizar o grau de exposição da organização.

Texto por André Revés Pereira, Senior Associate, EY Portugal, Cybersecurity, Consulting Services