UA-5888021-4

Como está a segurança de TI da sua empresa? Riscos e ferramentas de Segurança da Informação

Como está a segurança de TI da sua empresa? Riscos e ferramentas de Segurança da Informação

Como está a segurança de TI da sua empresa? Riscos e ferramentas de Segurança da Informação

A Segurança da Informação quase sempre é classificada como importante pelas empresas em pesquisas sobre o tema, mas na prática em muitos casos acaba sendo negligenciada pelos empresários, seja pela falta de conhecimento, falta de apoio técnico adequado, pela cultura da empresa ou pela falta de recursos financeiros para investir em soluções adequadas de segurança, o que gera diversos riscos que podem custar muito caro, inclusive podem ocasionar o fechamento do negócio.

 

Riscos em TI

As empresas precisam investir em segurança da informação para redução dos riscos aos quais estão expostas, que evoluem dia após dia. Abaixo os principais riscos existentes atualmente:

 

Phishing

É uma forma desonesta que cibercriminosos (também chamados de atacantes) usam para tentar obter informações sigilosas dos usuários, como RG, CPF, dados bancários, cartões, etc. Eles fazem isso enviando e-mails falsos onde mascaram o endereço real do remetente se fazendo parecer o e-mail de algum assunto de interesse da pessoa (aí tem vários casos como Receita Federal, SPC, Facebook, Netflix, Correios e outros), ou se fazendo passar por um contato real da pessoa ou ainda através de links em redes sociais e aplicativos de mensagens com promoções imperdíveis, que levam para uma página falsa muito similar a página real da empresa e dessa forma conseguem capturar os dados.

Um em cada quatro brasileiros já caíram em phishing, de acordo com a matéria da Techtudo. Então poderíamos pensar que 25% da sua equipe pode já ter caído em um, e dependendo do nível de conhecimento em TI dos seus colaboradores esse número pode ser ainda maior.

As perdas financeiras decorrentes de fraudes bancárias e em cartões de crédito obtidos em um ataque são bastante comuns, e um atacante pode ter o acesso aos dados bancários de uma empresa ou pessoa através de um ataque por phishing. De acordo com outra reportagem da Techtudo, 90% dos casos de roubo na internet ocorrem por meio desta forma de ataque.

 

Sequestro de dados por ransomware

Outro risco bastante temido pelas empresas e que teve seu ápice em 2017 e agora está em queda de acordo com o relatório da Symantec (mas que continua fazendo muitas vítimas e continua sendo um dos principais riscos que as empresas estão expostas) é o ransomware, e merece um tópico a parte. Ele geralmente entra por um phishing na infraestrutura e ao ser instalado no computador ele criptografa todos os arquivos da máquina e dos dados em rede da empresa (mesmo com proteções como controle de acesso e antivírus) e pede um resgate, geralmente em Bitcoins. É um ataque bastante agressivo e que ultrapassa a maioria das ferramentas de segurança internas de uma empresa, sendo necessário ter um backup externo seguro para recuperar em casos como esse, pois ele pode atacar até o backup local em storage, fita ou HD externo.

Há também casos de ataques por ransomware utilizando a técnica de ataque de força bruta, com o uso de dicionário e bancos de dados de usuários e senhas mais comuns, e esse tipo de ataque em certos casos consegue obter êxito.

 

Outros vírus e malwares

Abaixo alguns outros vírus e malwares que infectam com maior frequência os ambientes empresariais e geram problemas para os negócios:

  • Instalação da Malware que transforma os computadores e servidores da empresa em escravos de uma rede zumbi (Botnet) para ataques na internet ao comando de um hacker;
  • Infecção por malwares que utilizam o processamento do computador para minerar bitcoins para os atacantes;
  • Perda de produtividade da equipe devido a equipamentos lentos decorrentes de infecção por vírus ou malwares.

 

Roubo ou vazamento de informações sigilosas

Com a LGPD (Lei Geral de Proteção de Dados) que prevê multa em diversas situações onde ocorra vazamento de dados pessoais (Sensíveis ou não) que a empresa tenha posse e manipule de alguma forma, aumentou ainda mais a procura e interesse por segurança da informação pelas empresas.

O risco de roubo e vazamento de informações é bem real e deve preocupar muito as empresas. Abaixo alguns casos recentes de vazamentos de dados no Brasil. Em todos esses casos, se a LGPD estivesse em vigor, geraria a multa pelo vazamento dos dados e no caso de não informar à ANPD (Agência Nacional de Proteção de Dados) dentro do prazo estabelecido em lei, haveria outra multa pelo não aviso à entidade nacional de proteção de dados.

Vazamento dados de clientes Banco Inter

Vazamento dados de clientes Detran

Vazamento dados de funcionários MC Donalds Brasil

Vazamento de dados de clientes VIVO

 

Grau de maturidade da empresa

A segurança da informação de uma empresa varia de acordo com o conhecimento que seus sócios, gestores e colaboradores de TI ou TI terceirizada possuem do assunto, além dos os investimentos que realiza na área e a forma como gerencia os recursos de segurança de TI.

A ampliação da segurança da informação acaba passando pelo aumento da maturidade de TI como um todo da empresa, pois há uma relação direta entre a maturidade de TI e a necessidade de ampliação da segurança da informação.

Abaixo apresento alguns comportamentos desejados da empresa que considero anteriores ao investimento em ferramentas e serviços de segurança da informação. Sem esses cuidados é muito difícil evoluir no aspecto da segurança da informação pois são questões básicas dentro do assunto.

  • Utilização de softwares originais devidamente atualizados
  • Engajamento das pessoas/Mudança da cultura da empresa no que se refere a segurança da informação(Quando não há cultura voltada para a segurança)
  • Conscientização dos usuários sobre navegação segura e riscos
  • Políticas de Segurança da informação bem definidas
  • Processos de segurança da informação bem definidos

 

Ferramentas de Segurança da Informação

Abaixo apresento as principais ferramentas da segurança da informação em uma escala comum de evolução que acontece nas empresas. Não é uma regra e nem uma boa prática definida por algum framework ou melhores práticas de mercado, mas sim aquilo que identificamos na experiência de 11 anos atuando na área:

  • Serviço de diretório para controle de acesso de usuários
  • Antivírus Corporativo
  • Backup de dados (Regra 3, 2, 1, 0)
  • Firewall
  • Gerenciamento de dispositivos
  • Proteção avançada de e-mail
  • Criptografia de dados
  • DLP (Prevenção de perda de dados)
  • Proteção avançada de servidores em nuvem
  • CASB- Intermediário de segurança de acesso a nuvem
  • Simulação de ataque
  • Teste de penetração
  • Gerenciamento de riscos
  • Gerenciamento contínuo de vulnerabilidades
  • Gerenciamento da continuidade dos serviços de TI
  • Alta Disponibilidade de Sistemas com Replicação

Resumindo, a segurança da informação é um assunto bastante extenso e deve ser muito bem planejada pela empresa, que deverá ser bem assessorada para garantir as informações do negócio.

Quer avaliar de forma simples a TI da sua empresa? Clique aqui e baixe nosso checklist de segurança de TI.

Caso sua empresa precise de um apoio para pensar sobre a segurança da informação, entre em contato conosco através do formulário abaixo:


 

Juarez Fortes
Juarez Fortes

Diretor Comercial da Rastek Soluções, é formado em Administração de Empresas e possui pós-graduação em Gestão de TI. Ele é o responsável por traduzir os assuntos técnicos para os gestores das empresas, garantindo melhor comunicação entre a TI e o negócio.

Deixe uma resposta