Cibersegurança: o que é que isso tem a ver comigo e com a minha empresa?
Porque é que a cibersegurança não afecta apenas as grandes empresas e a que é que devemos estar atentos
A cibersegurança está na boca de toda a gente depois de muitos ataques e manchetes. Mas por que razão devo preocupar-me enquanto empresário e por que razão a cibersegurança é um tema importante que pode afectar toda a gente?
Muito mudou no mundo digital desde o Corona. Entre outras coisas, isto também afecta o estado da digitalização aqui na Alemanha, mas também a nível mundial. Em muitos sítios, as infra-estruturas são insuficientes ou mesmo inexistentes. Ainda não há muito tempo, altos representantes do governo alemão descreveram a Internet como “território inexplorado”, o que causou espanto em muitas partes da população, uma vez que a Internet se tornou uma parte indispensável da nossa vida quotidiana. No entanto, a digitalização passou ao lado não só das autoridades públicas, mas também de muitas pequenas e médias empresas, o que é particularmente doloroso actualmente. A aquisição de novos clientes é um grande obstáculo devido à perda de contactos pessoais, os escritórios em casa são uma tarefa difícil devido à falta de infra-estruturas e a carga administrativa está a aumentar.
Muitas tarefas repetitivas que poderiam ter sido automatizadas há muito tempo para libertar tempo para os funcionários continuam a ser realizadas de forma laboriosa e dispendiosa, em parte à mão. Utilizada correctamente, uma boa estratégia de digitalização pode expandir a nossa base de clientes e melhorar a satisfação dos funcionários.
Index
Cibersegurança e violação de dados
O que é que tudo isto tem a ver com “cibersegurança”? Quanto mais dados e processos transferimos para o mundo digital, mais “superfície de ataque” oferecemos para potenciais danos. As violações de dados espectaculares fazem constantemente manchetes, desde a perda de dados que vale a pena proteger até à falha de infra-estruturas importantes. Como acontece frequentemente, a melhor estratégia para muitos é “se não fizermos nada, não cometemos erros”.
No lado oposto do espectro, temos a abordagem “muito ajuda muito”, pelo que tudo o que alguém possa pensar ou que seja popular de alguma forma no momento é atirado para um problema. Mas, também aqui, é de notar que a complexidade também pode pôr em causa a segurança de um sistema. Quanto mais complexo for um sistema, mais espaço damos a potenciais vulnerabilidades de segurança. Assim, aumentamos a quantidade de código em que temos de confiar e manter actualizado ao mesmo tempo, o que se designa por base de computação de confiança (TCB). Uma vulnerabilidade num só componente da nossa TCB pode comprometer potencialmente todo o sistema, pelo que quanto mais pequena for a TCB, melhor.
A segurança como elemento estratégico
A segurança também deve ser sempre uma prioridade elevada em qualquer estratégia de digitalização. A primeira estratégia, e provavelmente a mais simples, é manter o software utilizado actualizado. Muitos sistemas são frequentemente instalados uma vez e depois não são mantidos ou são mantidos de forma deficiente. Um argumento muito apregoado para explicar por que razão isto não é um grande problema é: “nenhum criminoso está interessado na nossa empresa”, mas a Telekom já está a reportar um número de ataques cibernéticos na ordem dos dois dígitos em 2019.
Automatização dos ataques
O facto é que a maioria dos ataques não são direccionados, mas puramente automatizados. A ideia “romântica” de cibercriminosos sentados na cave, entre latas de bebidas energéticas, a atacar empresas, está a dar lugar a um pequeno programa que analisa incansavelmente a Internet 24 horas por dia, sete dias por semana, em busca de algumas vulnerabilidades predefinidas. Muitas vezes, estas vulnerabilidades são visadas no dia em que se tornam conhecidas.
Falamos dos programas acima referidos como os chamados “zero-day exploits”. Trata-se de programas que podem explorar uma vulnerabilidade, por vezes mesmo antes de existirem contramedidas eficazes. Existe todo um mercado para este tipo de software, onde são pagas elevadas somas de dinheiro, dependendo da gravidade e atractividade da vulnerabilidade. O software que goza de uma utilização generalizada é frequentemente alvo de tais ataques e, por conseguinte, exige uma atenção acrescida no que diz respeito às actualizações.
É particularmente interessante ver aqui a classe de vulnerabilidades de segurança com que lidamos mais frequentemente. O Open Web Application Security Project (OWASP) mantém uma lista TOP 10 de problemas de segurança que podem ser encontrados nas aplicações Web actuais. Os chamados ataques de “injecção” estão em primeiro lugar há muitos anos. Simplificando, são ataques com os quais os comandos podem ser injectados numa aplicação através da entrada normal do utilizador (por exemplo, consultas de pesquisa). Estas vulnerabilidades surgem normalmente devido a um cuidado inadequado no desenvolvimento do software e poderiam, em muitos casos, ser grandemente reduzidas através da utilização de ferramentas mais modernas.
No sector financeiro, essas ferramentas, como as linguagens de programação avançadas, já estão a ser utilizadas. No entanto, em muitos locais, a indústria do software continua a debater-se com dificuldades. Muitas vezes, há falta de vontade de investir nessas tecnologias e nas competências associadas. Como resultado, uma grande parte destes problemas ainda pode ser encontrada através da “procura manual”. No entanto, ferramentas mais avançadas podem aliviar bastante os programadores deste processo e, em última análise, conduzir a melhores resultados. As pessoas que trabalham cometem erros. As ferramentas não existem para nos censurar, mas para nos apoiar;
É importante reconhecer e utilizar esta oportunidade.
Desenvolver software de forma segura
Como criadores de software, devemos aos nossos clientes – especialmente em tempos de crescente cibercriminalidade – um nível de cuidado acrescido. Desenvolver software correcto e robusto é uma tarefa que exige muita experiência. Como criadores de software, estamos num constante jogo do gato e do rato. Ter consciência disso e olhar regularmente para as cartas dos atacantes para compreender o seu modus operandi faz parte do nosso trabalho.
Muitas soluções de software padrão são frequentemente equipadas com uma gama bastante rígida de funções para cobrir o maior número possível de cenários. No entanto, muitas vezes, uma aplicação especializada não inclui exactamente a funcionalidade que seria desejável para uma aplicação especializada. Nalguns casos, o software é, portanto, adaptado com grandes custos. Um risco que pode surgir aqui é que o sistema não pode ser actualizado sem ajustes. Assim, se surgir um risco de segurança que exija uma nova versão do software utilizado, tal está automaticamente associado a um esforço adicional, que, no pior dos casos, pode levar a um redesenvolvimento completo do software.
Uma infra-estrutura funcional requer conhecimentos especializados, e encontrar um parceiro de confiança para esta tarefa pode ser um grande desafio. Para isso, a comunicação ao nível dos olhos é essencial. A “segurança a cem por cento” e promessas semelhantes devem ser encaradas com grande cautela, porque podem sempre surgir problemas de segurança. É importante a transparência com que são tratados e a forma como a equipa reage a possíveis perigos. Não se deixe impressionar por chavões floreados. Os atacantes também não ficarão impressionados.
Artigo adicional: Segurança cibernética para empresários em 5 pontos
Autor: Raichoo Ketchum (XING | LINKEDIN) | Antei GmbH
Comentários estão fechados.