Estes riscos cibernéticos aqui tratados podem não aparecer em um relatório oficial de avaliação, mas todo profissional de segurança precisa levá-los em conta. A gestão de riscos tradicional inclui categorizar ameaças e riscos potenciais, avaliar a probabilidade de ocorrência e estimar os danos resultantes se tais riscos não forem atenuados. Os custos das defesas e controles são dimensionados em comparação com os danos potenciais. E as defesas, via de regra são implementadas se tiverem custo mais baixo do que simplesmente permitir que as ameaças se concretizem. Essa decisão, baseada em palpites, pode trazer efeitos danosos à organização. Há uma enorme dificuldade de se calcular a probabilidade de ocorrência de um risco e dos seus possíveis danos.
Essa avaliação sempre foi mais baseada em fatores subjetivos do que em uma tabela rígida de cálculo. Como estimar as chances de um ataque sofisticado de ransomware, DDoS ou de uma agente interno ocorrer em sua organização, ou que ativos ele poderá acessar, com precisão? Alguém pode provar que a probabilidade é de 20% contra 60% em um determinado período? Todos possuem tais problemas de estimativa, mas para trazer mais complexidade a essa avaliação, destacamos dez fatores que afetam a gestão de riscos, raramente discutidos abertamente, descritos os itens a seguir.
1. Isso nunca vai acontecer
Toda avaliação de risco é uma batalha entre se enfrentar algo que pode acontecer ou não fazer nada, principalmente se este algo nunca ocorreu antes. Muitos acreditam que não fazer nada não representa custos, e quem se esforça para fazer algo pode ser visto como desperdiçador de dinheiro. “Por que desperdiçar esse dinheiro? Isso nunca vai acontecer!”
Poucos têm problemas ao seguir a rotina e fazer o que sempre foi feito. É bem mais difícil ter a iniciativa e ser proativo, do que esperar o dano acontecer para tentar resolvê-lo, especialmente quando estão envolvidas significativas somas de dinheiro.
2. Risco político
Assumir proativamente os riscos leva ao próximo componente pouco comentado: risco político. Toda vez que os profissionais proativos querem defender a empresa de algo que nunca aconteceu antes, eles perdem um pouco do seu capital político. A única situação em que vencem é quando algo sobre a que estão sendo proativos, de fato, acontece. Se eles são bem-sucedidos e conseguem convencer a empresa a colocar controles e defesas cibernéticas para que o mal nunca aconteça, a situação negativa provavelmente nunca ocorrerá.
É uma vitória sem méritos. Quando conseguem proteger adequadamente a empresa, ninguém reconhece o valor de estar seguro e o esforço da negociação para se conseguir o investimento para mais controles. Cada vez que algo de ruim com que se preocupam nunca acontece, os profissionais de segurança são vistos como geradores de custos. Nesse contexto, perdem capital político.
Qualquer um que já participou de uma discussão sobre gestão de riscos certamente não deseja enfrentar muitas delas, pois nelas “queimam” um pouco (ou muito) de sua reputação. Então, os profissionais proativos calculam que batalhas querem travar. Com o tempo, os mais experientes escolhem menos batalhas. O instinto de sobrevivência é mais forte. Muitos apenas esperam o dia em que algo de ruim aconteça: não lutam mais contra os argumentos contrários, pois não querem se tornar bodes expiatórios.
3. Dizer “estamos protegidos”, sem estar
Boa parte dos controles e defesas que as pessoas afirmam haver implementado em uma organização não são 100% eficazes. Muitos dos envolvidos no processo sabem disso. Os exemplos mais comuns são os patches e backups. A maioria das empresas afirma que instalou de 99% a 100% dos patches de atualização dos dispositivos. Na verdade, é difícil encontrar um dispositivo com os patches completamente atualizados, em qualquer empresa.
O mesmo vale para backups. Os ataques de ransomware revelam que a maioria das organizações não costuma fazer bons backups. Apesar de grande parte das organizações e dos seus auditores verificarem durante anos que os backups críticos são feitos e testados regularmente, basta um grande golpe de ransomware para mostrar o quão radicalmente diferente é a realidade.
Como uma pessoa encarregada dos backups pode testar tudo, quando não tem tempo nem recursos para fazê-lo? Para testar se um backup e uma restauração realmente funcionam, é preciso fazer uma restauração de teste de muitos sistemas diferentes, todos de uma vez, em um ambiente separado de homologação, que teria que funcionar como o ambiente de produção. Isso exige um grande comprometimento de pessoas, tempo e recursos, algo que a maioria das organizações não possui.
4. Sempre foi assim
É difícil lutar contra o argumento do “é assim que sempre fizemos”, especialmente quando nenhum ataque às vulnerabilidades da organização ocorre – ou é percebido – há décadas. Por exemplo, é comum encontrar organizações permitindo que senhas de acesso à sistemas tenham seis caracteres e nunca sejam alteradas.
Às vezes, é porque as senhas da rede de PCs precisam ser iguais às senhas conectadas a algum sistema mais antigo, de que a empresa depende. Todos sabem que o uso de senhas de seis caracteres não sendo alteradas com a devida frequência não é uma boa ideia mas, como nunca causaram problemas, então muitos se perguntam: por que mudar?
5. Interrupção operacional
Todo controle e defesa que se implementa pode causar um problema operacional na organização. É preciso, portanto, se preocupar com a possível interrupção operacional que cada controle ou defesa passíveis de serem implementados possam causar. Pois um remédio concentrado pode até ser amargo, mas não pode matar o paciente.
Quanto mais radical o controle, maior a probabilidade de se mitigar os riscos da ameaça que este controle combaterá. Mas também maior o nível de suspeita que se deve ter sobre a possibilidade de ele provocar na organização uma séria e preocupante interrupção operacional.
6. Insatisfação dos usuários
Nenhum responsável por gestão de risco cibernético almeja irritar usuários, implementando controles que restringem o acesso deles à Internet e o que podem fazer em seus computadores. Ocorre, porém, que os usuários são responsáveis por um elevado percentual de todas as violações de dados (muitas vezes, por meio de phishing e engenharia social). Não é possível confiar apenas no treinamento de segurança e nos instintos dos usuários para se proteger uma organização. É preciso negociar com eles, com habilidade, as restrições e os controles de acesso.
7. Insatisfação dos clientes
Ninguém deseja implementar uma política ou procedimento que leve à perda de clientes. Clientes descontentes tornam-se clientes felizes de outras empresas. Qualquer solução que possa prejudicar a experiência do cliente deve ter uma profunda análise quanto a custos e benefícios de sua implantação, no que se refere à satisfação dos clientes. E com defesas e controles cibernéticos isto não é diferente.
8. Uso da tecnologia de ponta
A maioria das pessoas não tentará uma solução de cibersegurança de ponta inovadora até que um grupo de pioneiros a adote. Não é muito cômodo estar de frente para o desconhecido. Os que adotam cedo uma tecnologia inovadora podem ser recompensados por chegarem cedo, e alcançar vantagens competitivas sobre aqueles que os seguirão.
Entretanto, como toda novidade, é preciso conhecer o mercado, o estado da arte da tecnologia e avaliar a confiabilidade e a experiência do fornecedor da solução, para que a inovação não vire um potencial desastre, expondo a organização à interrupção operacional ou a algum risco severo de segurança cibernética.
9. Risco de se chegar atrasado
Quase sempre enfrentamos algum risco cibernético que já aconteceu com outras pessoas e empresas (ou com sua própria organização). Muitas vezes se espera para ver que truques os hackers têm na manga, antes de se criar defesas e controles para combater estes novos riscos. Esperar primeiro para ver o que os cibercriminosos estão fazendo gera um atraso entre o momento em que o novo comportamento malicioso é detectado e as ações de avaliação da nova técnica, definição de novos controles e de defesa contra o ataque cibernético. Neste jogo de esperar para ver, você sempre estará atrasado.
10. Não há como se defender de tudo
Segundo a revista CSO Online (www.csoonline.com), em 2019 foram anunciadas mais de 16.500 novas vulnerabilidades públicas. Mais de 100 milhões de programas de malware exclusivos eram conhecidos. Todo tipo de hacker – desde os financiados por estados-nação a ladrões financeiros e adolescentes que conhecem como desenvolver scripts – está tentando invadir sua organização. É muito ataque, vindo de todas as direções, para se preocupar.
Não há como como se defender de tudo, a menos que se tenha acesso a uma quantidade ilimitada de dinheiro, tempo e recursos. O melhor a fazer é avaliar quais os riscos mais importantes de serem tratados e ter uma plataforma moderna e robusta de segurança cibernética, além de processos de segurança implementados atingindo, assim, o grau de maturidade ideal para a devida proteção cibernética, ideal para cada organização.
Conclusão
Estes dez fatores de riscos apresentados não são novidade, apenas não costumam ser discutidos abertamente pelas empresas. Mas sempre existiram e devem ser considerados quando avaliamos riscos cibernéticos e pensamos em estabelecer os controles necessários.
Tudo aponta para o fato de que a avaliação e a gestão de risco cibernético são muito mais difíceis e complexos na prática do que aparentam ser na teoria. Como resultado, contar com especialistas em segurança cibernética é algo vital para as corporações. Quando consideramos todas as coisas com que um profissional de segurança precisa se preocupar e avaliar, é incrível o fato dele acertar na maior parte do tempo.
Enfim, essa é uma luta que precisa ser enfrentada diariamente. Para tal, procure sempre a assessoria de um especialista em cibersegurança – costumamos dizer que não há lugar para amadores no ciberespaço. Conte com nossa experiência e conhecimento para ajudar a encontrar as melhores soluções e processos de segurança cibernética para sua empresa.
