Segurança da Informação: a TI da sua empresa está segura?

A Segurança da Informação sempre é classificada como “importante” pelas empresas em pesquisas sobre o tema. Porém, na prática acaba sendo negligenciada em muitos casos pelos empresários.

Seja por falta de conhecimento, falta de apoio técnico adequado, pela cultura da empresa ou até mesmo pela falta de recursos financeiros para investir em soluções adequadas de segurança, tudo isso acaba gerando diversos riscos para a Segurança de TI do negócio.

Estes riscos podem acabar custando muito caro, e inclusive culminar com o fechamento do negócio.

Riscos em Segurança da Informação

As empresas precisam investir em Segurança da Informação e Segurança de TI para uma redução proativa dos riscos aos quais estão expostas, que evoluem dia após dia. Abaixo, listei alguns dos os principais riscos existentes atualmente.

Phishing

É uma forma desonesta de atuação em que cibercriminosos – também chamados de atacantes – usam para tentar obter informações sigilosas dos usuários. O foco é a obtenção de documentos como RG, CPF, dados bancários, cartões, etc.

Os bandidos virtuais realizam este tipo de ataque enviando e-mails e links para sites falsos. Estes emails e sites mascaram o endereço real do remetente, fazendo-se passar por algum assunto de interesse da pessoa. Há uma variedade imensa de casos do tipo, com sites falsos da Receita Federal, SPC, Facebook, Netflix, Correios e outros.

Outra forma de ataque pode ser um cibercriminoso fazendo-se passar por um contato real da pessoa, obtido através de roubo de celular ou invasão de aplicativo de mensagens, como o WhatsApp. Nestes casos, geralmente há a solicitação de depósitos bancários ou fornecimento de dados em um contexto de urgência.

E por fim, há ainda os links em redes sociais e aplicativos de mensagens com promoções imperdíveis, que levam para uma página falsa muito similar a página real das empresas. E assim, os bandidos conseguem enganar os usuários e capturar os dados.

Um em cada quatro brasileiros já caíram em golpes phishing, de acordo com matéria da Techtudo. Então, podemos supor que 25% da sua equipe pode ter sido vítuma de um golpe desta natureza. E mais: dependendo do nível de conhecimento e treinamento em TI de seus colaboradores, esse número pode ser ainda maior.

As perdas financeiras decorrentes de fraudes a partir de ataques de phishing são bastante comuns. De acordo com outra reportagem da Techtudo, 90% dos casos de roubo na internet ocorrem por meio deste tipo de ataque.

Sequestro de dados por ransomware

Outro risco bastante temido pelas empresas, que teve seu ápice em 2017  é o ransomware. Este tipo de ataque agora está em queda, de acordo com o relatório da Symantec. Porém, continua fazendo muitas vítimas e é um dos principais riscos a que as empresas estão expostas.

Um ataque de ransomware geralmente invade a infraestrutura através de phishing. Depois, ao ser instalado no computador, o ransomware criptografa todos os arquivos na máquina invadida, e também tudo que estiver ligado à rede da empresa. Este tipo de ataque é extremamente agressivo, e é capaz de burlar proteções como controle de acesso e antivírus. Concluída a invasão e o sequestro dos dados, os criminosos pedem um alto valor de resgate – geralmente em bitcoins – a fim de dificultar o rastreamento da transação e a identificação do destinatário final.

Os ransomwares ultrapassam a maioria das ferramentas de segurança internas de uma empresa. Por isso, é necessário contar com um backup externo seguro a fim de recuperar os dados em casos como esse. Afinal, um ransomware pode atacar também os backups locais armazenados em storage, fita ou HD externo.

Outra modalidade de ransomware utiliza técnicas de ataque de força bruta. Nestes casos, são utilizados dicionários e bancos de dados de usuários e senhas comuns – além de explorarem vazamentos massivos de dados. Este tipo de ataque é menos efetivo, mas em certos casos consegue obter êxito.

Outros vírus e malwares

Entretanto, há outros tipos de vírus e malwares que infectam os ambientes empresariais e corporativos, gerando graves problemas para os negócios:

Botnet

É um tipo de ataque que requer a instalação de um malware que transforma os computadores e servidores da empresa em escravos. Assim, cria uma rede zumbi, a Botnet, para coordenar ataques massivos na internet ao comando de um hacker.

Mineração de Bitcoins

Este tipo de ataque infecta os sistemas dos computadores da empresa com malwares para utilizar o poder de processamento dos computadores. Depois, estes computadores passam a usar toda a sua capacidade para minerar bitcoins para os cibercriminosos.

Assim, toda a infraestrutura de estações de trabalho do negócio é prejudicada, já que os computadores ficam extremamente lentos por conta do esforço computacional de mineração. Isso leva, logicamente, a uma enorme perda de produtividade das equipes.

LGPD e o roubo ou vazamento de informações e dados

A Lei Geral de Proteção de Dados prevê multa em diversas situações onde ocorra vazamento de dados pessoais, sensíveis ou não. Por conta disso, a demanda e procura por segurança da informação pelas empresas tem aumentado bastante. Afinal, qualquer vazamento ou roubo de dados que a empresa tenha posse e manipule de alguma forma, será de responsabilidade da mesma.

O risco de roubo e vazamento de informações é muito real, vem preocupando empresas e gestores no mundo todo. Abaixo, separamos alguns casos recentes de vazamentos de dados ocorridos no Brasil. Em todos esses casos, se a LGPD estivesse em vigor, haveria multa pelo vazamento dos dados. Além disso, caso a ANPD (Agência Nacional de Proteção de Dados) não seja informada dentro do prazo estabelecido em lei, haveria outra multa pelo descumprimento do aviso obrigatório à entidade nacional de proteção de dados.

• Banco Inter – Vazamento de dados de clientes

• Detran – Vazamento dados de clientes

• MC Donalds Brasil – Vazamento dados de funcionários

• VIVO – Vazamento de dados de clientes da

Grau de maturidade da empresa em Segurança da Informação

A Segurança da Informação de uma empresa varia de acordo com o grau de conhecimento que seus sócios, gestores e colaboradores de TI ou TI terceirizada possuem do assunto. Além disso, é claro, contam também os investimentos realizados na área e a forma como são gerenciados os recursos de Segurança de TI.

A ampliação da Segurança da Informação acaba passando pelo aumento da maturidade geral de TI da empresa. Afinal, há uma relação direta entre a maturidade de TI e o aumento da Segurança da Informação.

Cultura organizacional

Abaixo, listamos alguns comportamentos desejados que considero anteriores ao investimento em ferramentas e serviços de Segurança da Informação. Portanto, sem estes cuidados é muito difícil evoluir no aspecto de Segurança da Informação, visto que estas são as questões mais básicas dentro deste vasto assunto.

• Utilização de softwares originais devidamente atualizados
• Engajamento das pessoas em prol da Segurança da Informação
• Mudança da cultura da empresa no que se refere a segurança da informação, caso não haja cultura voltada para a segurança
• Conscientização e treinamento de usuários sobre navegação segura e riscos à Segurança da Informação
• Documento com Políticas de Segurança da Informação bem definidas
• Processos de Segurança da Informação bem definidos e difundidos na cultura da organização

Ferramentas de Segurança da Informação

Abaixo apresento algumas das principais ferramentas da Segurança da Informação em uma escala crescente da evolução que ocorre nas empresas. Entretanto, esta evolução não é uma regra nem uma boa prática definida por algum framework como “melhores práticas de mercado”. Porém, estes passos foram identificados por nós da Rastek Soluções ao longo de nossa experiência de mais de 11 anos atuando na área de Transformação Digital e Gestão de Ti para Pequenas e Médias empresas.

• Serviço de diretório e Controle de Acesso de Usuários
• Antivírus Corporativo
• Rotinas de Backup de Dados – Regra 3, 2, 1, 0
• Implementação de Firewall Corporativo
• Gerenciamento de Dispositivos
• Proteção Avançada de E-mail
• Criptografia de Dados
• DLP – Data Loss Prevention (ou Prevenção de Perda de Dados)
• Proteção Avançada de Servidores em Nuvem
• CASB – Cloud Access Security Broker (ou Intermediário de Segurança de Acesso à Nuvem)
• Simulação de Ataque
• Teste de Penetração
• Gerenciamento de Riscos
• Acompanhamento contínuo de vulnerabilidades
• Gestão da Continuidade dos Serviços de TI
• Alta Disponibilidade de Sistemas com Replicação

Portanto, em resumo, a Segurança da Informação é um assunto bastante vasto, complexo e de importância vital para qualquer negócio. E é justamente por isso que precisa ser muito bem planejada pela empresa. A melhor maneira de se fazer isso é através da assessoria ou consultoria de empresas qualificadas e que contam com equipes com a expertise necessária para lidar com as questões de Segurança da Informação.

Faça uma avaliação gratuita da Segurança da Informação na sua empresa

Depois de tanta informação sobre os riscos e problemas de um mau gerenciamento da Segurança da Informação, que tal fazermos uma avaliação do momento atual da Segurança de TI da sua empresa? Aproveitando a experiência adquirida em nossos mais de 11 anos de atuação no mercado de Gestão de TI, desenvolvemos este Checklist de Segurança da Informação.

Basta clicar na imagem abaixo para acessar o material e iniciar a avaliação gratuita da Segurança de TI da sua empresa imediatamente!

Conte conosco

Caso sua empresa precise apoio qualificado para avaliar e planejar a Segurança da Informação e Segurança de TI, a Rastek Soluções está à disposição! Basta preencher o formulário abaixo e aguardar o contato de nossa equipe!

Leia também:

Diferenças entre Privacidade, Proteção de Dados e Segurança da Informação