CDI_On

Cuidado com a segurança cibernética precisa aumentar em meio à Covid-19

Por que toda organização deveria pensar em sua segurança de dados mesmo durante uma pandemia global

Cuidado com a segurança cibernética precisa aumentar em meio à Covid-19

Por Meredith Griffanti e David Dunn

 

À medida que as portas das lojas se fecham, as cadeias de suprimentos se congelam, os comportamentos dos consumidores se transformam e os colaboradores trabalham de forma remota, a maioria das organizações de todo o mundo está em modo de crise e enfrenta grandes disrupções. Isso tudo significa que os planos de continuidade dos negócios e manuais de comunicação para crises provavelmente estão saindo da prateleira e sendo colocados em prática.

Mas o que acontece se, em meio a uma pandemia global, sua equipe se deparar com uma crise inesperada para administrar? Uma crise que, como a Covid-19, poderia muito bem determinar o futuro e/ou a solvência da sua organização? Se você acha improvável, pense novamente.

 

Ataques cibernéticos e riscos organizacionais aumentados

Em meio à Covid-19, os ataques cibernéticos – particularmente os incidentes específicos de phishing e ransomware – estão aumentando. No mês passado, vimos a Agência de Segurança Cibernética e Infraestrutura (CISA) do Departamento de Segurança Interna, juntamente com o Centro Nacional de Cibersegurança (NCSC) do Reino Unido, emitindo um forte aviso. Eles alertaram as empresas e as pessoas sobre o aumento dos ataques cibernéticos, dizendo que atores mal-intencionados “provavelmente continuarão explorando a pandemia da Covid-19 nas próximas semanas e meses”. Isso não é uma surpresa. Os atores de ameaças buscam capitalizar em situações caóticas, como a que vivemos, em que a atenção coletiva de empresas e funcionários se concentra em outro lugar, a habitual proteção hipersensível contra possíveis manobras cibernéticas pode ser diminuída e a dependência de todo o mundo por tecnologia, para se manter conectado, está no nível mais alto já visto.

Os ataques cibernéticos durante a Covid-19 exploram comportamentos e tendências únicos que marcam essa pandemia: o trabalho remoto, as empresas operando com alto nível de estresse financeiro e os funcionários sendo altamente exigidos. Conforme as empresas mudam para o teletrabalho, plataformas de colaboração global, como o Microsoft Teams ou o Zoom, se tornaram alvos. Até as redes privadas virtuais (VPNs), que a maioria das organizações implantam para adicionar outra camada de segurança, foram vítimas de pessoas mal-intencionadas. E, dada as enormes mudanças ao nosso redor, o funcionário normalmente é mais suscetível a clicar em um link malicioso que contém malware ou a cair em tentativas de engenharia social, que eles poderiam ter evitado ou relatado. As organizações estão enfrentando maiores riscos cibernéticos em várias frentes, e – enquanto trabalham a todo vapor para confrontar as enormes mudanças causadas pela Covid-19 – devem estar preparadas para responder a uma violação cibernética.

É importante ressaltar que a maneira como uma empresa responde a esses tipos de incidentes cibernéticos pode ter um impacto significativo em sua capacidade financeira, operações e reputação – tudo para melhor ou para pior.

 

Sua próxima reunião: uma simulação de incidente cibernético

Portanto, embora seja tentador adiar a avaliação de segurança de dados que sua organização estava planejando, dada a gravidade da situação da Covid-19, não há um momento mais oportuno para avaliar a preparação cibernética da sua organização. Os incidentes cibernéticos quase nunca acontecem enquanto as equipes estão sentadas juntas sob o mesmo teto, focadas apenas no assunto em questão, como quando normalmente estão exercendo cenários de crise. Esses ataques ocorrem no meio do caos, como o que estamos enfrentando hoje. E se você conseguir mobilizar com sucesso suas equipes para responderem e navegarem por uma ameaça cibernética nessas condições de pior cenário, enquanto trabalham remotamente – pode acreditar que elas estarão preparadas para fazê-lo com êxito quando retomar o “ritmo normal” do negócio.

Embora a preparação para incidentes cibernéticos exija várias medidas proativas, uma maneira importante de se preparar é por meio de simulações virtuais de incidentes cibernéticos. Abaixo estão algumas dicas para ajudar a garantir que seu exercício de simulação virtual seja eficaz, impactante e ressoe com suas equipes.

 

  • Não subestime o elemento surpresa. Nós sempre dizemos, pratique como se fosse jogar. Você não é avisado com antecedência sobre um incidente real de segurança cibernética – você descobre no calor do momento, quando há uma necessidade imediata de responder. Envie convites para o seu treinamento cinco minutos antes de acontecer, para criar uma simulação de como acontece na vida real. Certifique-se de que os membros da sua equipe principal de crise – e seus suplentes – sejam convidados.

 

  • Seja realista. Crie seu exercício de simulação com as ameaças de segurança cibernética que provavelmente afetarão seus negócios ou que seriam particularmente prejudiciais para suas operações ou ativos. Inclua fatores externos – por exemplo, o desenvolvimento da Covid-19 – como elementos de estresse adicionais que podem impactar os pontos de decisão em sua simulação.

 

  • Traga os especialistas. Ter uma ajuda de terceiros para facilitar seu exercício – mesmo que virtualmente – pode aliviar o gerenciamento da pressão de planejar uma simulação no meio da crise de Covid-19. Muitas vezes, esses especialistas – sejam escritórios de advocacia, agências de comunicação de crises ou equipes forenses – podem fornecer um extenso inquérito pós-exercício com suas equipes para avaliar o que correu bem e onde há espaço para melhorias. Em nossa experiência, descobrimos que ter uma voz neutra de terceiros na sala é fundamental para realizar um exercício de preparação impactante e garantir a adesão de toda a empresa.

 

  • Defina as expectativas de cima para baixo. Obtenha adesão de suas equipes de gerenciamento e liderança para que todos levem a sério e entendam que a cibersegurança é uma prioridade da empresa – mesmo durante esses períodos de incertezas. Inclua líderes relevantes da Diretoria ou do Conselho Administrativo na simulação, se for apropriado. Da mesma forma, garanta que os protocolos de escalação – como o Conselho Administrativo ou certas atualizações do comitê – sejam considerados parte do exercício.

 

  • Pense além do cenário imediato. Os incidentes cibernéticos podem atingir a empresa de forma lenta e, muitas vezes, as ondas de uma crise secundária podem se romper após o incidente inicial ser remediado. Isso pode ocorrer durante investigações do governo, vazamentos, consultas de órgãos reguladores, ações coletivas, histórias negativas da mídia e muito mais. De que suporte externo suas equipes precisam para ajudar a mitigá-los? Quem na sua equipe está encarregado de acionar aconselhamento externo, investigadores forenses, suporte de call center e outra assistência importante? Certifique-se de que esses fatores sejam considerados e discutidos durante sua simulação.

 

  • Esteja atento com o que é confidencial e o que não é. Durante a Covid-19, a incapacidade de se amontoar em uma sala de guerra pode tornar mais tentador anotar as coisas por escrito que você normalmente evitaria durante um incidente cibernético. Lembre-se sempre de que suas comunicações podem ser consideradas detectáveis, garanta a participação de consultores externos e conduza os negócios por telefone o máximo possível. Resista especular sobre o que aconteceu ou discutir possíveis vulnerabilidades que possam ter causado a violação por escrito. Configure canais dedicados para suas equipes se reunirem e tomarem decisões com segurança.

 

  • Realize uma análise de lacunas após o exercício. Avalie o que correu bem e onde há espaço para melhorias. Documente quaisquer pontos fracos em seu exercício. Atribua trabalho de acompanhamento para garantir que o exercício seja um bom uso do tempo – seja fortalecendo seu plano de resposta ou construindo funções, responsabilidades, protocolos de escalação ou criando canais dedicados à comunicação de crises. Marque reuniões de acompanhamento no calendário para discutir as atribuições e garantir que elas sejam acionadas para que você possa incluí-las na sua próxima simulação.

 

Lembre-se: nada vai correr perfeitamente durante um exercício de simulação de segurança cibernética. Um dos membros da sua equipe pode perder o convite. Haverá algum tipo de falha tecnológica. Você verá um problema em um lugar no qual não achou que tinha um. Mas esse é o objetivo dos exercícios e esses são os aspectos que acabarão por preparar melhor suas equipes para um incidente da vida real. Isso os tornará mais fortes e os impulsionará a crescer e evoluir. Portanto, leve a sério quaisquer erros. Aprenda com eles. Esse é o objetivo de praticar.

Os ataques cibernéticos não estão sendo suspensos por causa da Covid-19 – e você também não deve colocar seus planos de preparação em espera. Devemos ser hipervigilantes, extremamente cautelosos e, finalmente, não permitir que uma crise leve à outra.

 

*Meredith Griffanti e David Dunn são diretores sênior da FTI Consulting em Chicago