BRANDS' ECO “Cada vez mais as organizações aceitam que serão alvo de um ciberataque”

Com o número de ciberataques a aumentar a cada dia, a necessidade de garantir a segurança das pessoas e empresas aumentou e, com ela, cresceu também a vontade de aprender a prever situações de perigo, de forma a reduzi-las ao máximo.

Mas haverá mesmo a possibilidade de reverter este tipo de ataques? Ou será que com a tecnologia a tornar-se uma base fundamental para tantos serviços esta poderá ser uma ameaça sem fim?

Mauro Almeida, Head of Cybersecurity NTT DATA Portugal, em entrevista ao ECO, explicou que, nos dias que correm, não é possível impedir um ciberataque de acontecer, mas pode-se, no entanto, adotar algumas estratégias para que estes não causem demasiados danos. O especialista deixou, por isso, algumas dicas e orientações para as organizações saberem como se proteger e resolver uma situação destas na eventualidade de acontecer.

Os primeiros passos para o surgimento da NTT DATA começaram a ser dados há mais de 50 anos. Este legado faz com que tenham acompanhado a evolução da tecnologia e a rapidez com que o online acabou por tomar conta do mundo. Acredita que este conhecimento vos permite antecipar determinados problemas e garantir uma segurança privilegiada aos vossos clientes?

A NTT DATA tem no seu ADN uma preocupação genuína com as pessoas e está profundamente comprometida com o seu bem-estar e segurança. Este sentimento de compromisso e transparência é o nosso maior ativo e é nele que investimos diariamente. Nas palavras do nosso sócio fundador, temos orgulho em ser uma “empresa formada por gente boa e boa gente”.

Numa perspetiva de segurança, não utilizaria o termo “privilegiada”, mas sim personalizada. Isto, porque, em cibersegurança, não existe uma receita one-size-fits-all e por isso há que compreender o negócio e a estrutura da organização, conhecer as necessidades do cliente, envolver as pessoas como primeira linha de defesa, e garantir a seleção e implementação correta das soluções tecnológicas.

A NTT DATA é uma empresa que cruza um profundo conhecimento de negócio, em diferentes indústrias, com um conjunto de áreas de conhecimento específico, que são transversais a todas as atividades, como é o caso da cibersegurança. No fundo, a nossa forma de trabalhar concilia um conhecimento profundo de cada setor de atividade, com o conhecimento específico dos domínios de oferta. Esta é uma mais-valia distintiva da nossa proposta de valor, porque independentemente do modelo de entrega ou serviço que estamos a prestar, asseguramos sempre que existe um conhecimento setorial e que, por isso, falamos a mesma língua dos nossos clientes.

Com o objetivo de aumentar a segurança dos clientes e ter respostas rápidas para possíveis ciberataques, lançaram o Zero Trust Security Service a nível mundial. Mas em que consiste, em concreto, este serviço?

O conceito de Zero Trust tem mais de 10 anos. Naturalmente, ganhou relevância com a pandemia, pelo facto de que esta expôs um conjunto de fragilidades das organizações, seja pela ausência de uma estratégia clara de cibersegurança ou pela implementação de uma estratégia desatualizada ou que não era adequada aos riscos a que as organizações estavam expostas.

O “Zero Trust Security Service” é uma iniciativa global da NTT DATA e conta por isso com uma capacidade de resposta global. Tem como o principal objetivo dotar as organizações de um ambiente tecnológico e processual, adequado aos novos modelos de trabalho flexíveis de hoje em dia, sem restringir a localização física do trabalhador ou dispositivo utilizado. Além disso, este serviço contribui positivamente para a redução da probabilidade de ocorrência de incidentes de segurança, dotando as organizações de um maior nível de segurança através da adoção de soluções tecnológicas como autenticação multifator e monitorização de atividade, permitindo assim a deteção, resposta e recuperação rápida no caso de um ciberataque, interno ou externo.

Concretamente, a NTT DATA pode ajudar os clientes em três dimensões complementares: estratégica, desenho e implementação, a que se somam mais duas: comunicação e gestão da mudança.

Numa vertente estratégica, defendemos que a base de qualquer plano de segurança bem-sucedido é a correta identificação dos riscos aos quais a organização está exposta, bem como do real impacto e probabilidade destes riscos. Apoiamos organizações, nacionais e internacionais, através da realização de análises de ciber-risco, assentes nas principais metodologias e normas, sistematizadas através de processos iterativos e que sejam transversais à organização. Estas análises, realizadas pelos nossos especialistas em ciber-risco, permitem-nos depois identificar e priorizar os controlos críticos de segurança necessários, definir o plano de segurança a implementar e identificar as ferramentas que suportam a adoção de um modelo ou estratégia Zero Trust mais adequadas à organização.

Quais as técnicas que usam e aconselham aos clientes para evitarem um ciberataque?

Cada vez mais as organizações aceitam que serão, eventualmente, alvo de um ciberataque. A questão não é “se” mas sim “quando”. Não podemos olhar a cibersegurança de forma isolada e numa perspetiva de evitar um ciberataque, mas sim como uma componente essencial da capacidade das organizações em recuperar rapidamente de um ciberataque quando este acontece. É, por isso, fundamental uma mudança de paradigma por parte das organizações, de uma postura de ciberdefesa e cibersegurança para uma postura de ciber resiliência.

O que devem então as organizações fazer para se tornarem ciber resilientes?

· Garantir uma maior colaboração entre as equipas de cibersegurança e as equipas de negócio. A cibersegurança não é um problema de IT, mas do negócio. Deve por isso fazer parte da estratégia das organizações e os responsáveis de cibersegurança devem fazer parte do corpo de decisão estratégica das empresas;

· Definir uma estratégia de segurança e de sensibilização que seja comunicada e partilhada transversalmente, dentro da organização, e que seja assente na identificação dos principais ativos e numa correta avaliação de riscos. É também necessário que esta estratégia e riscos identificados sejam revistos periodicamente;

· Definir um modelo de governo da cibersegurança e segurança da informação, através de políticas e procedimentos e da definição de KPIs que suportem a correta tomada de decisão (e.g., resultados de simulações de phishing ou indicadores de eficácia dos programas de awareness e de sensibilização dos colaboradores);

· Proteger pró-ativamente a organização, com a implementação de controlos de segurança e mecanismos de deteção de incidentes. São exemplo disso controlos e mecanismos de gestão de ativos, encriptação de dados, controlo de identidades e gestão de acessos, assim como a adoção de soluções de deteção e resposta a incidentes;

· Criar um plano de continuidade de negócio e gestão de resposta a incidentes de cibersegurança, bem como a realização anual de simulacros. Como diz o ditado militar – os planos são inúteis, mas o planeamento é indispensável. A forma como uma organização responderá a um incidente de cibersegurança vai determinar a sua capacidade para recuperar desse incidente com sucesso e no menor tempo possível.

Acha que pode haver forma de travar os ataques cibernéticos que têm vindo a acontecer? Se sim, como?

Não. Há, sim, forma de melhorar a capacidade das organizações em antecipar, identificar, mitigar e responder a um ataque cibernético.

À medida que as nossas interações são moldadas por tecnologias cada vez mais omnipresentes, as organizações devem adaptar continuamente as suas capacidades para lidar e impedir que atores mal-intencionados tirem proveito de um cenário tecnológico em constante mudança. A cibersegurança não pode ser vista como um custo, mas sim como um investimento, que se pode tornar numa variável diferencial das empresas e das sociedades.

Além dos controlos de segurança fundamentais assentes nas pessoas, processos e tecnologia, as organizações têm de ser capazes de antecipar, resistir, responder e recuperar de um ciberataque. Só desta forma poderão garantir a sua continuidade operacional e tornar aceitável o risco de um ciberataque.

Em que medida um evento como a Cyber Summit pode ajudar as empresas a protegerem-se?

Na partilha de informação, sensibilização, desmistificação do que é a cibersegurança, o que é um ciberataque, e em terminar com o tabu por detrás de um ciberataque. Como referi, não se trata de garantir os controlos de segurança necessários para evitar um ciberataque, mas sim expandir este conceito para uma capacidade de recuperação célere e efetiva quando um ciberataque ocorre. É por isso fundamental sensibilizar e partilhar informação.

Adicionalmente, eventos como a Cyber Summit são fóruns que permitem reunir especialistas da área numa lógica de partilha de informação e discussão das principais tendências e ameaças da atividade.

Considera que, no futuro, haverá uma evolução suficiente para que os ciberataques deixem de acontecer ou acha que eles se vão intensificar?

Tecnologias como o 5G, a cloud, a omnicanalidade no comércio, a robotização e inteligência artificial na indústria e a digitalização da saúde consolidam-se na nossa sociedade e conduzem-nos para uma nova trajetória de digitalização e conectividade.

A relevância da cibersegurança e segurança de informação vai sempre acompanhar de forma natural estas evoluções tecnológicas. É fácil perceber que qualquer nova tecnologia tem um componente, ou dependência, digital, e qualquer componente digital é um potencial vetor de ataque.

Adicionalmente, é preciso estarmos cientes de que estas novas tecnologias, como o 5G, inteligência artificial e a computação quântica são tecnologias também disponíveis para os cibercriminosos. Isto significa que os ataques informáticos serão cada vez mais realizados em grande escala, utilizarão vários vetores de ataque ao mesmo tempo e irão infetar em simultâneo vários componentes de uma infraestrutura, incluindo redes, máquinas virtuais, clouds e dispositivos pessoais. Ou seja, não haverá evolução suficiente para que os ciberataques deixem de acontecer, porque a evolução democrática da tecnologia, e ainda bem que assim o é, vai perpetuar o eterno jogo do gato e do rato na cibersegurança. A intensificação, ou não, destes ataques vai depender da nossa capacidade de antecipar, identificar, mitigar e responder a ciberataques.