Alfonso Ramírez: “Segurança informática? O maior perigo são os trabalhadores”

Numa economia digital, as ameaças também são digitais. Escondem-se nos cantos e recantos da internet e chegam até às empresas em forma de ligações falsas e programas comprometidos, entre outras. Basta o simples deslize de um funcionário para comprometer toda a empresa.

Alfonso Ramírez é diretor-geral da Kaspersky Lab, uma empresa privada de segurança informática sedeada na Rússia, em Portugal e Espanha. Encontrámo-lo num evento em Madrid e aproveitámos para lhe colocar algumas questões sobre que tipos de ameaças enfrentam as pequenas e médias empresas (PME). E acabámos a pedir-lhe conselhos sobre como prevenir eventuais infeções.

As empresas portuguesas e espanholas estão conscientes das ameaças informáticas que existem por aí?

Depende. Felizmente, Espanha e Portugal têm mais ou menos a mesma abordagem: existem mais PME do que grandes empresas. A principal dificuldade para as PME é que estão sujeitas às mesmas ameaças do que as grandes empresas, mas com uma enorme falta de recursos. A maioria das PME não tem uma pessoa dedicada à segurança informática e é o proprietário quem trata de todas essas coisas. Claro que essas empresas não fazem a mínima ideia do que se está a passar ou de como devem proteger-se.

A 'nuvem' é mais ou menos segura?

O problema da ‘nuvem’ [cloud] são os fornecedores de serviços. É certo que, se uma empresa tiver a sua própria infraestrutura, os seus próprios servidores, tem de os proteger. Mas se está a contratar a terceiros serviços na ‘nuvem’, o que deve fazer é verificar no contrato quem é que está responsável pela segurança. Muitos dos fornecedores só estão a fornecer o espaço na ‘nuvem’, não estão a fornecer a segurança. E muitas empresas pensam que a ‘nuvem’ e a sua infraestrutura estão seguras, mas não estão. Ou seja, a primeira coisa a fazer é verificar o contrato.

Quais são as ameaças informáticas mais comuns para as empresas?

Costuma dizer-se que a mais perigosa é a que lhe acontece a si. Mas não é a mais perigosa: todas são más.

Não perguntei pela mais perigosa. Perguntei pela mais comum...

O ransomware [sequestro de dados, na qual um programa malicioso encripta toda a informação de uma máquina e pede um pagamento em troca da chave] é a ameaça mais teimosa e é uma tendência. É a mais comum. Lutar contra o ransomware não é fácil. A Kaspersky está a trabalhar com a Europol e somos parceiros nessa luta. Criámos um projeto em conjunto chamado ‘No More Ransom’ [ao qual a Polícia Judiciária portuguesa se associou esta semana]. Temos uma página na internet onde peritos dão conselhos às empresas sobre como se protegerem para não serem infetadas. No caso de serem, fornecemos as ferramentas para desencriptar a informação. Também estamos a trabalhar com a Europol para apanhar os responsáveis.

Só que o grande problema do ransomware é que é muito fácil de fazer. Não precisa de ser um especialista, porque basta usar a ferramenta de encriptação do Windows. Só precisa de a configurar para “encriptar tudo” e não podemos bloqueá-la porque o sistema operativo está sempre a usá-la. Depois, o perigo maior são mesmo os trabalhadores. Se receber um e-mail de um amigo a dizer “olha que vídeo engraçado”, vai clicar e ficar infetado. Nem sequer se trata só de vídeos engraçados. O rasomware está cada vez mais profissional e, se trabalha numa administração e recebe um e-mail da Nacex [empresa de transporte de encomendas] a dizer que tem um pacote à sua espera, vai clicar e fica logo tramado. Um dos mais populares em Espanha durante o último ano vinha de um fornecedor de eletricidade, que enviou um e-mail a toda a gente a dizer que havia uma dívida por saldar e um botão para ver mais detalhes. Sejamos francos: se receber um e-mail destes, a dizer que deve 600 euros e com um botão a dizer “clique aqui”, o que é que vai fazer? Vai clicar, é claro.

Costuma-se dizer que a [ameaça] mais perigosa é a que lhe acontece a si. Mas não é a mais perigosa: todas são más.

Recomenda que se pague o resgate?

Não, não recomendo.

Mesmo se a empresa não tiver uma cópia de segurança dos dados?

Se pagar o resgate, o que está a fazer é a dar [aos burlões] mais recursos para melhorar o negócio deles. Por isso, não recomendo que se pague o resgate. Recomendo que espere que a Kaspersky ou outra empresa de segurança forneça a chave de desencriptação.

E a Kasperksy consegue mesmo arranjar essa chave?

Sim. É difícil mas, por isso é que estamos a trabalhar com a Europol. Isto é complexo: nós descobrimos quem é o responsável por enviar o ransomware. Mas não podemos hackeá-lo no sentido de invadir-lhe o computador e recuperar a ferramenta de desencriptação. Isso seria ilegal. Por isso, temos de trabalhar com a polícia, dizer-lhes “é este o responsável” e, depois, ela autoriza-nos a hackear o hacker, a recuperar a chave e a fornecê-la gratuitamente.

Ou seja, precisam de cobertura legal. Mas se a empresa não tiver uma cópia de segurança e lhe bloqueiam toda a informação, tem mesmo de esperar pela Kaspersky? Nesse tempo, a empresa pode colapsar...

Percebo que me esteja a desafiar, mas que posso dizer? Tem de ter uma cópia de segurança e, se não a tem, recomendo que espere.

Resumindo, se a empresa não tiver uma cópia, está tramada...

Pois, sim, então está tramada.

Então, o seu conselho é que tenham uma cópia de segurança?

Sim. E que não pague o resgate.

E que outros conselhos pode dar aos empresários e empreendedores que estejam agora a começar uma empresa?

Recomendo seriamente que invistam na formação dos trabalhadores. São o bem mais valioso que uma empresa pode ter. Não é o produto, não são as instalações. O bem mas valioso são os próprios trabalhadores. E no que toca à segurança informática, os trabalhadores precisam de ser formados. Invistam dinheiro nos vossos trabalhadores. Não só em matéria de segurança. Façam deles melhores profissionais.

Os trabalhadores precisam de ser formados. Invistam dinheiro nos vossos trabalhadores. Não só em matéria de segurança. Façam deles melhores profissionais.

Por fim, que tipo de produtos é que a Kaspersky tem para manter as empresas seguras?

Somos uma empresa privada e isso permite ao presidente executivo investir onde quiser no que toca ao desenvolvimento de novos produtos, novas tecnologias, ou outro tipo de coisas. Como não somos uma empresa pública, não precisamos de providenciar aos nossos stakeholders nenhum tipo de rentabilidade. Lançámos algumas soluções para proteger as empresas de ataques DDoS [Distributed Denial of Service, ataque distribuído de negação de serviço]. Também temos produtos para proteger os bancos de fraudes e temos também um produto desenvolvido para caixas multibanco.

Também teremos um programa educacional para empresas. No passado, os patrões eram os únicos a pensar na segurança. Mas agora têm uma nova variável, que são os trabalhadores. Por isso, estamos a desenvolver um programa que consistirá em ajudar as empresas a não serem infetadas. Primeiro, teremos uma plataforma online com módulos onde se poderá ensinar os trabalhadores sobre segurança de uma forma mais leve. Terá cenários do quotidiano, e terão de identificar o que é seguro e o que não é. Esse tipo de informação é depois fornecida ao responsável pela segurança da empresa. Meses depois, o responsável pode fazer [um ataque de] phishing aos empregados [criar uma página de internet falsa, por exemplo], apenas para fazer uma simulação. É suposto os trabalhadores saberem identificar o que é e o que não é seguro. O responsável ficará a saber como é que eles se comportam e, se falharem, pode forçá-los a fazerem novamente o teste.

Mas ensinar os trabalhadores é fácil. Em contrapartida, ensinar um gestor é muito difícil. Os gestores estão sempre ocupados, não têm tempo para formações, são superinteligentes e não querem ser postos ao nível dos trabalhadores. Para esse tipo de administradores, fizemos uma espécie de um jogo. Enviamos um especialista técnico da Kaspersky à empresa, que criará grupos que vão lutar uns contra os outros num jogo de segurança. Existem cenários e têm de apostar no que é ou não é seguro, defendendo o sistema do grupo. É uma forma de envolver os administradores neste tópico.

O ECO viajou a Madrid a convite da Kaspersky Lab.

Sabia que…