BRANDS' ECO Cibersegurança em 2021 – ainda será uma opção?

Num período limitado durante a década passada, reinou no setor da cibersegurança uma falsa confiança de que a ameaça da cibercriminalidade estava controlada. Os desenvolvimentos tecnológicos, o destaque que as equipas de segurança começaram a ter nas organizações e a pressão que as autoridades policiais colocaram sobre os grandes grupos que geriam operações organizadas de cibercrime pareciam fazer crer que o cenário futuro seria risonho.

Infelizmente, foi sol de pouca dura.

Nos últimos cinco anos, as organizações que se dedicam ao cibercrime (porque de organizações se tratam, com elevados graus de maturidade) têm vindo a realizar investimentos avultados no desenvolvimento de novas capacidades e metodologias, e encontram-se aos dias de hoje num grau de sofisticação tecnológica comparável àquilo que era tradicionalmente associado apenas a grupos patrocinados pelas nações que assumidamente conduzem operações de espionagem no ciberespaço.

A escalada galopante dos casos de extorsão associados ao roubo de informação e lançamento de Ransomware é sinal evidente desse facto. Nos últimos 12 meses, têm sido públicos inúmeros casos de empresas que viram as suas infraestruturas comprometidas. Em alguns desses casos foi afetada a capacidade de produção, noutros casos foi ameaçada a divulgação de informação proprietária. O mais recente caso público afetou um fabricante taiwanês de componentes eletrónicos que viu informação confidencial relativa aos novos modelos da Apple (ainda não lançados) divulgada no website do grupo criminal REvil, com ameaça de divulgação de mais informação roubada caso não fosse pago um resgate de 50 milhões de dólares.

"O que se observa no segmento empresarial é que, dadas as pressões de mercado, as empresas tendem a reagir às necessidades imediatas, seguindo muitas vezes tendências de adoção de tecnologias por imitação, sem conseguir ter o distanciamento suficiente para conseguir ver o risco adicional que essa tecnologia pode trazer.”

Um caso destes pode quebrar por completo a confiança que uma empresa como a Apple, que tem uma cultura de secretismo à volta dos produtos em desenvolvimento, deposita num fornecedor, que pode levar à quebra de contratos e resultar em indemnizações multimilionárias (não é público se neste caso o resgate foi pago, mas a informação roubada desapareceu misteriosamente do website antes do prazo limite para o pagamento).

Sendo Portugal um país com uma relevante capacidade de produção subcontratada por multinacionais, importa fazer uma análise da maturidade das nossas empresas para assegurarem a confiança que lhes é depositada no ciclo de valor de um produto.

O risco que é adicionado a uma organização quando é introduzida uma nova tecnologia tem de ser analisado e entendido por todas as partes envolvidas. É normalmente logo nesse passo inicial do ciclo de vida de uma tecnologia que começa o desafio. O que se observa no segmento empresarial é que, dadas as pressões de mercado, as empresas tendem a reagir às necessidades imediatas, seguindo muitas vezes tendências de adoção de tecnologias por imitação, sem conseguir ter o distanciamento suficiente para conseguir ver o risco adicional que essa tecnologia pode trazer.

A área da cibersegurança (quando existe) não tem muitas vezes as ferramentas necessárias à sua disposição para identificar estas novas fontes de risco, razão pela qual importa cada vez mais apostar em controlos de segurança robustos que vão à raiz do problema: identificar proativamente áreas de risco, novas aplicações, novos dispositivos e novos fluxos de informação, acompanhar as vulnerabilidades que podem ser exploradas num ataque, e monitorizar atentamente todos os eventos suspeitos que possam estar associados a atividade maliciosa.

Sem isso, a maioria das organizações são portas abertas para os cibercriminosos, que se vêm com acesso sem restrições à informação (na maioria dos casos crítica) e sem obstáculos para atingir os seus objetivos. E para essas organizações, é uma questão de tempo até acontecer o pior.

Texto por João Farinha, Head of Audit da S21sec.