Em mundo em que dados valem mais que petróleo, a segurança da informação é um tema primordial. Afinal, a recorrência de diversas modalidades de armadilhas digitais para a captação de dados de forma ilegal tem aumentado, sobretudo quando observamos o cenário empresarial.
Dessa forma, é importante reforçar hábitos de boas práticas de segurança entre os colaboradores. Além disso, deve-se implementar sistemas que permitam responder a eventuais ataques e que forneçam maior visibilidade do sistema/rede.
O que é segurança da informação?
O conceito de segurança da informação propriamente dito refere-se ao conjunto de ações, hábitos e estratégias utilizadas para proteger dados de alguém ou de uma companhia contra ataques ou violações. Ou seja, trata-se da defesa dos dados com o objetivo que ele esteja disponível apenas para aqueles que são autorizados.
A segurança da tecnologia é um tema que começou a vir à tona ao longo dos anos conforme crescia a implementação de sistemas digitais. Principalmente quando grandes empresas iniciaram a utilização desses novos recursos, foi extremamente necessário pensar na segurança on-line (cibersegurança) já que eram armazenadas informações confidenciais e, em muitas vezes, essenciais para um pleno funcionamento da companhia.
Atualmente, essa questão é um ponto de atenção para todo o tipo de negócio, independentemente do ramo de atuação. Segundo uma pesquisa Datafolha encomendada pela Mastercard, 64% das empresas brasileiras são alvo de fraudes e ataques cibernéticos com média ou alta frequência.
Além disso, pesquisas indicam que o Brasil teve um aumento de 38% no número de ciberataques apenas no primeiro trimestre de 2024, totalizando uma média de 1.770 tentativas por semana no período de outubro de 2023 até março de 2024.
Dado esse cenário, as empresas estão começando a colocar a segurança da informação como um elemento relevante para o seu funcionamento, embora ainda seja necessário dar mais prioridade e atenção.
Pilares e princípios da segurança da informação
Para que as ações sejam capazes de corrigir todas as frentes que podem apresentar riscos, foi necessário criar princípios de segurança da informação. Mais que isso, tais princípios garantem o melhor entendimento do que está por trás de todo o processo.
Dessa forma, nos baseamos em cinco pilares que modelam cada ponto de atenção da segurança da informação, são eles: confidencialidade, integridade, disponibilidade, irrefutabilidade e autenticidade. Entenda um pouco sobre cada um dos princípios:
Confidencialidade
A confidencialidade está ligada diretamente com a privacidade dos dados. Dentro desse conceito são englobadas todas as medidas que restringem o acesso a informações, a fim de evitar acessos não autorizados, espionagem e roubo de dados no geral.
Apenas pessoas autorizadas devem ter acesso a informações sigilosas. Por isso, é fundamental garantir que tais dados não sejam vazados para indivíduos externos. Isso pode ser feito através da criptografia ou de uma simples restrição de acesso.
A quebra da confidencialidade pode ser prejudicial não apenas no âmbito do vazamento de dados operacionais da companhia, mas também no setor jurídico. Vazar informações de clientes pode resultar em problemas com a Lei Geral de Proteção de Dados (LGPD), a qual zela pela gestão de dados obtidos de clientes, fornecedores e afins.
Integridade
A integridade refere-se a garantia que as informações não foram alteradas, seja por agentes internos ou externos. Seja de forma maliciosa ou não intencional, a modificação das informações prejudica a confiabilidade nos processos de uma companhia ou, até mesmo, de sua reputação.
Dessa forma, evidencia-se a necessidade de ter diferentes níveis de permissão de acesso dentro de uma organização. Deve-se mapear a necessidade de cada indivíduo e seu vínculo com os dados, sobretudo os que contém informações sensíveis.
Assim, o conceito da integridade atua justamente na mitigação dos riscos de segurança a um dado ao exigir que ele não seja adulterado ou degradado ao longo de todo o seu processo, que inclui tráfego, armazenamento e processamento.
Disponibilidade
Bem como o nome diz, a disponibilidade garante que uma informação esteja disponível a todo momento para aqueles que são autorizados. Esse princípio depende diretamente da confidencialidade para atuar de forma correta, já que deve-se respeitar a quem tal dado deve estar disponível.
Para que seja possível garantir um funcionamento pleno do princípio em questão é necessário manter os sistemas de acesso às informações estável e operante. Isso é possível com manutenções rápidas, atualizações de software, monitoramento de vulnerabilidade e ter um plano de ação rápido e eficaz em casos de ataques cibernéticos.
É evidente que existem algumas situações que podem causar a indisponibilidade como desastres naturais, falta de energia, falhas de hardware ou, até mesmo, ataques cibernéticos. Apesar disso, é importante implantar medidas para mitigar esses possíveis efeitos, como o uso de geradores e ter um gerenciador contínuo de vulnerabilidades, por exemplo. De maneira geral, é fundamental manter o funcionamento seguro dos equipamentos para garantir a disponibilidade.
Autenticidade
A autenticidade está ligada a garantia que o indivíduo que está acessando uma informação é ele mesmo. Isso é possível de se verificar através de mecanismos como a biometria, verificação em duplo fator, senha, logins etc.. Assim, entende-se que a informação vem de uma fonte confiável e que não foram manipulados por terceiros não autorizados.
Sem esse tipo de autenticação o sistema fica vulnerável a ataques por acessos que fingem ser pessoas autorizadas, o que pode gerar vazamento e roubo de dados sigilosos. Isso prejudica, mais uma vez, a credibilidade da companhia e pode gerar questões jurídicas futuras.
Dessa maneira, é possível garantir que a realização de uma ação foi realizada por alguém autorizado, conferindo confiabilidade. A autenticidade dialoga diretamente com a disponibilidade, já que ela é responsável por assegurar que o arquivo seja disponibilizado para a pessoa que de fato foi autorizada.
Irrefutabilidade (ou não repúdio)
A irrefutabilidade, ou não repúdio, está relacionada à garantia que todos os processos ocorridos tenham uma autoria, sem que ela possa ser contestada. Ou seja, o indivíduo que realizou uma ação não pode negar a realização dela. Na prática, isso é assegurado a partir de assinaturas digitais, auditorias e outros processos de verificação.
Esse princípio está associado à responsabilidade. Dessa maneira, é possível assegurar que o remetente de uma comunicação de fato a enviou, na mesma medida que o destinatário pode comprovar o envio e identificar quem enviou. Isso impede que uma parte negue ter realizado uma ação , garantindo a responsabilidade e transparência da operação.
Assim, entende-se que a irrefutabilidade é fundamental para transações financeiras e/ou comerciais e comunicações que contenham qualquer informação sigilosa. Somente com ela é possível assegurar a confiança e integridade dessas interações digitais.
Tipos de Ameaças à Segurança da Informação
Atualmente, os agentes maliciosos desenvolveram diversas formas de invadir sistemas e redes de computadores. Por isso, é importante se inteirar sobre as principais ameaças que podem colocar sua segurança em risco, veja abaixo:
Malware
Dentre os malwares, temos algumas variações:
- Vírus: é um programa que está anexado a outro arquivo, como em um e-mail, por exemplo. Ao ser executado, ele se espalha pela rede, causando danos ou roubando informações;
- Worms: similar ao vírus, ele explora a vulnerabilidade de rede, se multiplica e causa lentidão ou falha no sistema. Ele não precisa de intervenção do usuário;
- Trojans (Cavalo de Troia): trata-se de um programa disfarçado de um software legítimo, mas que ao ser executado realiza atividades maliciosas;
- Ransomware (sequestro de dados): ele criptografa os dados e exige um pagamento para fazer a devolução.
Phishing
Geralmente utilizando e-mails ou sites falsos, agentes maliciosos tentam enganar os usuários para revelar informações pessoais ou confidenciais.
Ataques de engenharia social
Atacantes se passam por outra pessoa para obter dados confidenciais através de três técnicas:
- Pretexting: se passam por funcionários de T.I e solicitam informações confidenciais alegando ser necessário para resolver uma questão técnica;
- Baiting: um pen drive infectado é deixado em um ambiente público na intenção de alguém conectar ao seu computador, espalhando o malware;
- Quid pro quo: é oferecida uma recompensa em troca de informações confidenciais ou acesso ao sistema.
Ataques Man-in-the-Middle (MitM)
É a intercepção e possível alteração de comunicações entre duas partes sem que uma delas saiba, permitindo o roubo de informações confidenciais.
O maior exemplo desta ameaça é quando uma rede Wi-Fi pública está sendo utilizada, um invasor intercepta a comunicação do usuário em um site confidencial e rouba informações.
Eavesdropping (espionagem)
É realizada uma interceptação em redes não seguras para obter informações confidenciais sem o conhecimento do usuário. Geralmente, é realizado em redes não criptografadas.
Melhores práticas para garantir a segurança da informação
Além das ameaças descritas anteriormente, existem uma infinidade de outras maneiras de roubar dados. Por isso, é fundamental que toda companhia estabeleça boas práticas de segurança para serem seguidas por seus colaboradores, afinal ninguém está isento de ser vítima de um ciberataque. Dentre a infinidade de medidas protetivas, destacamos as principais:
Tenha uma Política de Segurança da Informação
Estabeleça e documente políticas claras de segurança que definam os procedimentos e responsabilidades de todos os funcionários.
Faça um controle de acesso baseado no princípio do menor privilégio
Garanta que seus colaboradores tenham acesso apenas às informações necessárias para executar suas atividades.
Exija a autenticação em duas etapas
Ative a autenticação em duas etapas para todas as contas e sistemas críticos, assim você terá uma camada extra de segurança. Existem inúmeras formas de fazer essa dupla autenticação: biometria, app de autenticação, entre outros.
Realize treinamentos de segurança frequentemente
Faça treinamentos regulares para educar os colaboradores sobre as ameaças e práticas de segurança, como o reconhecimento de phishing.
Exija o uso de senhas fortes e únicas
Incentive o uso de gerenciadores de senhas, assim como uma política de troca periódica de senhas.
Atualize os sistemas
Mantenha sempre os sistemas, softwares e dispositivos atualizados com os patches e atualizações de segurança mais recentes.
Criptografe dados sensíveis
Utilize a criptografia para proteger dados que contenham informações sigilosas, confidenciais ou sensíveis tanto quando estiverem em trânsito, quanto em repouso. Apenas pessoas autorizadas devem acessá-los.
Tenha um plano de resposta a incidentes
Desenvolva e teste um plano de resposta a incidentes para lidar de forma ágil com violações de segurança e mitigar os danos.
Faça um gerenciamento contínuo de vulnerabilidades
Realize varreduras regulares de vulnerabilidades e testes de invasão para identificar e corrigir eventuais vulnerabilidades.
Erros comuns na implementação de políticas de segurança
A implementação de medidas que auxiliem na segurança da informação é um processo que deve ser abraçado por toda a companhia, fazendo parte da cultura organizacional. Toda mudança de hábito exige um tempo para ser efetivada, por isso se faz necessário o reforço constante das principais diretrizes.
Além disso, é muito comum observar em empresas que estão iniciando a instauração da política de segurança a adoção de medidas genéricas e não personalizadas. É importante que sejam compreendidas as necessidades e riscos da companhia baseado em seu ramo de atuação e modo de funcionamento para definir medidas coerentes e eficazes.
Outro erro comum é a implementação ou planejamento incompleto. Adotar políticas sem um plano de implementação abrangente pode deixar lacunas na segurança. É necessário garantir que todas as políticas sejam colocadas em prática por toda a organização.
Mesmo após o estabelecimento da política de segurança e a manutenção da mentalidade através dos treinamentos é fundamental continuar o monitoramento para verificar se os colaboradores estão seguindo as diretrizes. Dessa forma, é necessário fazer auditorias regulares para identificar e corrigir violações ou ineficiências da política.
Soluções em segurança da informação com a Clavis
A implementação de políticas de segurança assim como a implantação de softwares que tratam da cibersegurança podem parecer complicadas e extensas. Para ajudar a sua companhia a fazer essa mudança de forma clara e eficiente, nós oferecemos serviços que irão te ajudar. Confira:
Clavis SIEM
Nosso Sistema de Gerenciamento de Eventos e Informações de Segurança, chamado Clavis SIEM, integra dados relevantes à segurança, correlaciona eventos para identificar incidentes de segurança e retém dados para conformidade e possíveis análises ou investigações forenses.
Ele permite dar um tratamento unificado ao processo de gerenciamento de eventos e informações de segurança, atendendo a avançados requisitos de compliance ao mesmo tempo em que extrai informação relevante por meio da correlação de eventos.
Gerenciamento Contínuo de Vulnerabilidades
Nosso software de Gerenciamento Contínuo de Vulnerabilidades executa um processo prático e eficaz na gerência de vulnerabilidades, na caracterização dos riscos reais ao negócio, no planejamento de correções e no acompanhamento da execução.
Essa solução permite fazer um tratamento unificado a todo tipo de vulnerabilidade corporativa, incluindo aquelas relacionadas a não-conformidades em processos e políticas.
Centro de Operações de Segurança (SOC)
Nosso SOC inclui tanto o serviço do Clavis SIEM quanto do Gerenciamento Contínuo de Vulnerabilidades apoiados por um time de profissionais especializados. O serviço fornece à sua organização a capacidade dedetectar e responder a ameaças avançadas, incluindo visibilidade plena sobre a segurança das informações, gestão e tratamento de incidentes, análise de postura de segurança e Threat Intelligence.
Com a Clavis, a segurança da informação torna-se simples e acessível para qualquer companhia. Entre em contato com nossos especialistas.
