5 formas da sua empresa ser invadida e como se prevenir

Especialista do Grupo Daryus chama a atenção para erros básicos que podem acontecer nas empresas, como a violação física de dados, e dá algumas dicas sobre como estar sempre alerta.

Ao entender melhor como os hackers invadem os dados das empresas, especialistas já conseguem distinguir quais são as ameaças comuns que aumentaram significativamente nos últimos meses mesmo com a LGPD em vigor. Segundo o especialista e evangelista em Segurança da Informação e Proteção de Dados do Grupo Daryus, Cláudio Dodt, são duas as ameaças observadas com mais frequência nos últimos tempos:

- Violação de Dados ou Data Breach: ocorre quando uma organização sofre um incidente de segurança relacionado aos dados pelos quais é responsável. Isso resulta numa violação de confidencialidade, da disponibilidade ou da integridade dos dados.

- Vazamento de Dados: transmissão não autorizada de informações de dentro de uma organização, ou seja, um incidente que expõe publicamente informações sensíveis que podem ser vistas, copiadas, roubadas, transmitidas ou usadas sem acesso autorizado.

Dodt destaca que investir em ferramentas de segurança, softwares de última geração e funcionários treinados são ótimas recomendações, porém isso não garante que a empresa não ficará vulnerável, uma vez que essas boas práticas se depreciam com o tempo e os criminosos se aperfeiçoam cada vez mais.

Confira as 5 maneiras que as organizações podem ser violadas e quais as possíveis soluções para os problemas:

• Vulnerabilidades desconhecidas

A maioria das vulnerabilidades pode permanecer desconhecida por meses ou até anos. Esse foi o caso das vulnerabilidades de hardware encontradas pela equipe do Google chamadas de Meltsown e Spectre que permitem que os programas roubem dados processados pelo computador. A Meltdown é uma falha de segurança passível de ser explorada em microprocessadores. Ao explorar a falha é possível ler áreas de memória protegidas, ou seja, é possível obter dados sensíveis do usuário. A Spectre não afeta um processador específico, mas sim a maioria dos processadores. Com a falha é possível realizar “Branch Prediction” e “Speculative Execution”. Através dela consegue-se fazer com que o processador execute instruções atípicas e assim fure o isolamento entre aplicações. Essas vulnerabilidades afetaram a memória da maioria dos hadwares de CPU nos últimos 10 anos e, embora não haja casos confirmados de exploração, isso não significa que criminosos não estejam aproveitando a vulnerabilidade.

Solução: seguir os conselhos básicos de segurança digital, pois não há outra forma ainda de lidar com falhas de seguranças desconhecidas.

• Ameaça Interna

A ameaça interna nunca deve ser subestimada. Mesmo que não seja causada por um cibercriminoso, na maioria das vezes, a atenção deve ser mantida da mesma forma. Funcionários que não foram treinados adequadamente ficam propensos a erros acidentais, como enviar uma mensagem de e-mail para o destinatário errado, clicar em e-mail recebidos que contenham armadilhas de invasão – conhecidos como phishing -, até mesmo compartilhar informações confidenciais em um local público ou rede social. É importante considerar que existem pessoas que voluntariamente cometeriam uma violação ou até um crime. Por exemplo, um funcionário que pretenda deixar a empresa pode tentar copiar arquivos confidenciais, mesmo que seja contrário a política de segurança.

Solução: existem diversas formas para proteger a empresa de ameaças internas e remediar estragos causados caso algo aconteça. A organização pode realizar soluções endpoint como antivírus, controle de USB, sistemas de Data Leak Protection (DLP), além da contratação de uma equipe experiente de respostas a incidentes. 

• O risco de terceiros

Não muito diferente do tópico anterior, terceiros são pessoas ou empresas com as quais compartilhamos dados. É importante ressaltar que ao compartilhar informações, os terceiros ficam expostos aos mesmos riscos dos colaboradores da empresa e podem ser a porta para algum incidente. Para estes é necessário trabalhar dentro dos limites da organização, além dos controles de segurança já mencionados. É válido considerar regras especiais para pessoas de fora, como limitar as conexões a rede e servidores corporativos. Controles físicos também devem ser aplicados, incluindo a limitação do acesso a áreas restritas, o uso de crachás de identificação e a inspeção de mochilas e maletas, se necessário.

Solução: algumas formas de lidar com os riscos de segurança de terceiros é ter um aviso obrigatório de vazamento de dados, impor requisitos como criptografia e prevenção de vazamento de dados, além de contar com uma equipe de resposta a incidentes, e manter o direito de auditar a infraestrutura de terceiros.

• Criptografia é uma faca de dois gumes

A criptografia é provavelmente um dos melhores controles de segurança, pois permite que dados confidenciais sejam transmitidos com segurança por redes não seguras. O problema é que também funciona na contramão. Como a maioria dos serviços da internet – navegação, mensageiros instantâneos, armazenamento de e-mail e nuvem – já impõe forte criptografia, torna-se difícil o controle dos dados que saem da empresa. Além disso, a criptografia pode ser adotada pelo malware para se comunicar com os servidores de comando e controle.

Solução: quando tudo está criptografado, a única solução é contorná-lo. As empresas com firewalls e proxies web mais antigos podem ter dificuldades, mas as soluções modernas já podem conter métodos de descriptografia, como inspeção SSL. Vale ressaltar que existem limitações em algumas situações. Algumas instituições financeiras, por exemplo, não funcionam bem com a inspeção SSL e pode haver preocupações com a privacidade. Portanto, nem sempre é possível descriptografar todo o tráfego dentro e fora da empresa.

• Violação física

As vezes ela é esquecida, mas os dados não se limitam a bits e bytes. Uma violação também pode ocorrer com informações compartilhadas verbalmente, ouvidas por terceiros indesejados ou até por um documento impresso que foi deixado sem supervisão em algum local compartilhado por várias pessoas, por exemplo. Se um HD for descartado incorretamente, ele pode acabar na mão de cibercriminosos que podem tentar restaurar as informações e usá-las de forma negativa.

Solução: ter uma política de mesa limpa, usar meios seguros para descartar informações confidenciais e fornecer treinamento de conscientização dos funcionários são as melhores opções nesse caso.

Sobre o Grupo Daryus  

Criado em 2005 com o objetivo de transformar os negócios no País, o Grupo Daryus, de origem e capital 100% nacional, tornou-se referência na prestação de serviços de Consultoria e Educação. A unidade de negócios de Consultoria oferece suporte para a Continuidade de Negócios e Gestão de Riscos, Segurança de Informação e Cibersegurança, Proteção de Dados (LGPD) e Governança e Gestão de TI. Cuida de mais de 150 clientes, incluindo grandes empresas no setor farmacêutico, financeiro, indústria, logística e tecnologia. Sua área de Educação formou mais de 30 mil profissionais em gestão de riscos, segurança da informação e continuidade de negócios e representa exclusivamente, desde 2005, o Disaster Recovery Institute International - USA (www.drii.org), maior instituto no tema do mundo. É pioneira na criação dos cursos de pós-graduação de segurança da informação, forense, cyber e continuidade de negócios. Para saber mais visite: https://www.daryus.com.br/