Cybersecurity: Cadeado ou Escudo?

As barreiras que os profissionais de Segurança da Informação têm que transpor para emplacar investimentos e proteger as suas organizações se tornou tema relevante em 2018. O tema foi  tratado recentemente na RSA Conference, o mais importante evento de Cybersecurity do mundo, que abordou segurança cibernética afetando a segurança física, privacidade, IoT, big data, falhas em hardware, entre outros. A urgência da questão pode ser resumida com o próprio tema do evento: “Now Matters” (“O Agora Importa”, em português).

A presença da Secretária do Departamento de Segurança Interna dos EUA (DHS USA – Departament of Homeland Security) no evento, Kirstjen Nielsen, também é uma amostra da importância do tema em escala global. Criado após os ataques de 11 de setembro, o DHS é o terceiro maior departamento dos EUA com 240 mil funcionários e tem a função de proteger o solo americano contra ameaças, principalmente terroristas.

Na palestra de Nielsen, o insight de que a segurança da informação já se misturou com a segurança física surgiu imediatamente. Manipulação do processo eleitoral democrático e roubo de informações são alguns dos itens de uma vasta lista de males causados em ofensivas hackers. Ela comunicou ainda que o DHS vai divulgar em breve sua estratégia para segurança cibernética, além de fazer menção à necessidade de “regras mais firmes” em conjunto com a “consciência do consumidor” como pilares de sustentação da mesma.

O assunto remete a publicação da norma europeia GDPR (General Data Protection Regulation ou Regulamento Geral de Proteção de Dados, em português) que chega para regulamentar as responsabilidades das empresas com relação aos dados armazenados de usuários, bem como garantir direitos desses mesmos usuários no que tange o uso de suas informações pessoais. Em comparação com um caso no Brasil, quando um vazamento de dados de usuários entre 2013 e 2014 só ficou conhecido após 2 anos, pela norma GDPR essa empresa teria a obrigação de comunicar o ocorrido em até 72 horas após o incidente.

A discussão é complexa. Ao mesmo tempo em que controles e regulamentações parecem ser necessárias para responsabilizarmos empresas e pessoas pela segurança, usuários querem o direito à privacidade de seus dados e de sua navegação pela web. Empresas que vem agregando cada vez mais soluções de segurança ao portfólio recomendam que a estratégia de proteção comece pela instalação de um endpoint security de nova geração ou EDR (Endpoint Detection and Response – Detecção e Resposta de Endpoint) na rede, que visa monitorar e responder à ameaças que vão além dos antivírus tradicionais.

Craig Williams, diretor do Talos, time de inteligência em cyber segurança da Cisco, reforçou na RSA Conference que os adversários buscam sistemas desatualizados com uma quantidade massiva de usuários utilizando para explorar. Muitas estratégias de ataques, hoje, começam por uma análise que varre todos os sistemas que estão instalados na empresa, suas versões e alcance. Justamente para garantir maior chance de sucesso na empreitada maléfica. Logo, o desafio passa a ser encontrar o equilíbrio entre controle e privacidade, de uma forma que nos permita continuar colhendo os benefícios de um mundo interconectado e onde a tecnologia tem viabilizado avanços incríveis para a sociedade.

O desenvolvimento parte da segurança. Na analogia, o elevador foi o ponto chave para a proliferação dos arranha-céus das grandes cidades. O motivo? Segurança. As primeiras versões de elevadores não eram projetadas para subirem tanto justamente por questões de segurança. Qualquer problema, a fatalidade era inevitável. Porém, em 1852, Elisha Graves Otis inventou o sistema que revolucionou a indústria. A solução de Otis garante que a cabine trave em dentes laterais, caso o cabo seja rompido. Hoje, ao entrar em um elevador, não se pergunta se ele é seguro ou não. Confia-se. A associação com a segurança cibernética é imediata. Quantas empresas seguram estratégias em tecnologia por conta dos riscos existentes?

Com as regulamentações, as obrigações ficarão mais pesadas, levando as empresas a ponderarem e até adiarem suas empreitadas tecnológicas. Então, segurança pode ser um facilitador para o desenvolvimento dos negócios. Trabalhar a “Segurança por Design”, ou seja, desde a concepção dos produtos, da arquitetura e da cultura dos usuários é fundamental para garantir a confiança necessária para entrar nesse elevador e apertar o último andar sem medo.

Monitorar usuários, observar comportamentos, acompanhar as evoluções dos ataques para reduzir ao máximo os danos, significa proteger e viabilizar a evolução dos negócios através da tecnologia. Portanto, nada de representar cybersecurity como um cadeado fechado. Melhor optar por um belo escudo que nos protege e permite avançarmos sem medo.

*Mateus Bueno é gestor de Ofertas e Produtos de Segurança da Oi