5 erros a evitar para melhorar a segurança da informação

Check-list: implementar uma solução de disaster recovery com sucesso
Check-list: implementar uma solução de disaster recovery com sucesso
24 Setembro, 2018
O que ganha a minha empresa com o outsourcing de TI
O que ganha a minha empresa com o outsourcing de TI
29 Outubro, 2018



5 erros a evitar para melhorar a segurança da informação

Em plena era do Big Data, a informação é um dos ativos mais valiosos das empresas, e como tal, um dos mais atrativos para agentes maliciosos. Dados do Breach Level Index mostram que mais de 2,6 mil milhões de dados foram roubados, perdidos ou expostos mundialmente em 2017, um aumento de 88% em relação a 2016.

A partir do momento em que a segurança da informação é comprometida e a confiança numa organização ou serviço é afetada, o que passa a estar em causa é a carteira de clientes e de parceiros, ou seja, em última instância todo o negócio.

O IT manager tem que garantir uma proteção 360º que contemple toda a estrutura de hardware e de software – edge-to-edge -, o ambiente físico envolvente e as políticas de utilização. As tecnologias cada vez mais avançadas já automatizam grande parte das tarefas, resolvem muitos dos problemas e garantem uma vigilância 24/7, no entanto, sem uma boa gestão por parte das equipas de TI, as vulnerabilidades acabam por colocar em risco a integridade dos sistemas e dos dados.

Quando uma estrutura moderna funciona de forma perfeita, muitos IT managers acabam por “baixar a guarda”, confiar excessivamente nas defesas da rede, acreditar no potencial das ferramentas e na segurança do software e relegar outras políticas de proteção para segundo plano. Nesse momento, pode ser tarde demais. Em 2017, segundo o Breach Level Index, erros humanos conduziram à exposição de 1,9 mil milhões de registos, um aumento de 580% face aos dados comprometidos em 2016.

O velho ditado português “casa arrombada, trancas à porta” não se encaixa nas melhores práticas a seguir por uma empresa. Sem um plano de prevenção capaz de salvaguardar os dados críticos, a disponibilidade e a estabilidade da infraestrutura de TI, e ainda de assegurar a rápida recuperação e funcionamento da companhia, o negócio pode ficar irremediavelmente perdido. Vale a pena arriscar?


Segurança e prevenção 360º

As velhas técnicas de proteção de dados de nada servem contra as ameaças cada vez mais sofisticadas que surgem diariamente, nem podem ser aplicadas ao grande e crescente volume de dados guardado pelas empresas. Por outro lado, pelo facto de utilizarmos múltiplos dispositivos em simultâneo, incluindo equipamentos pessoais, o IT manager tem que criar políticas de segurança de dados mais abrangentes que contemplem todos os possíveis focos de problemas. Isto, sem nunca descurar os regulamentos de proteção de dados que visam também reduzir os riscos associados à troca de informação.

Existem cinco erros que o IT manager deve evitar para melhorar a segurança da informação.

1. Tecnologia e soluções obsoletas ou desajustadas – É obrigatório manter a infraestrutura e as soluções de TI devidamente atualizadas. Deve ainda criar planos de deteção de vulnerabilidade e práticas de segurança para cada elemento da infraestrutura de TI - servidores, computadores, rede, software, equipamentos de comunicação, periféricos, entre outros – nomeadamente sempre que existe a integração de um produto ou serviço.

2. Falta de políticas de segurança – Muitos problemas de segurança são gerados internamente. O IT manager deve classificar os dados e estabelecer vários níveis de privilégios para acesso restrito e hierarquizado a pastas, áreas de rede, hardware, software e mesmo à informação; limitar a utilização de equipamentos pessoais ligados à rede core da empresa ou criar redes paralelas para um acesso mais público; criar mecanismos de controlo de segurança físicos e lógicos; restringir o acesso a determinados sites e serviços que podem comprometer a segurança (emails pessoais, messengers, redes sociais, etc) e definir regras de utilização BYOD.

3. Falta de controlo/monitorização da rede e dos sistemas - Achar que os sistemas de informação já são seguros por serem atuais é um erro muito comum. O responsável pelas TI deve fazer uma gestão proativa da segurança da informação, mapear vulnerabilidades e criar ações corretivas antecipadas. Neste caso, a automação no tratamento dos incidentes é fundamental para a gestão, por facilitar a mitigação e o controlo de problemas.

4. Má formação dos recursos humanos –É importante incutir em todos os colaboradores a ideia de que a proteção dos dados deve ser uma prioridade para todos, e sublinhar os riscos e consequências das falhas de segurança, identificando comportamentos de risco. É igualmente importante que os recursos humanos do departamento de TI sejam incluídos nestas formações, nomeadamente ao nível da correta atualização e monitorização dos sistemas e da capacidade de resposta a situações de crise.

5. Falta de plano de disaster recovery ou backup – A importância de uma rotina de backup ou de um plano de disaster recovery só é bem entendida por muitos gestores quando ocorre um problema e existe perda de dados. A realização de backups frequentes não impede um ataque, um desastre natural, a falha de um equipamento ou um comportamento de risco, mas garante a segurança da informação - um dos ativos mais importantes de uma empresa. A tecnologia cloud permite reforçar esta proteção dos dados, garantindo simultaneamente uma maior abrangência em termos de acesso.


Segurança da informação: prevenção vs correção

De acordo com o estudo Cost of Data Breach 2018, do Ponemon Institute, o custo médio de uma violação de dados é de 3,86 milhões de dólares, mais 6,4 por cento que o ano passado. O custo médio de cada registo perdido ou roubado com informações sensíveis e confidenciais também aumentou 4,8%, face a 2017, para 148 dólares.

Agir apenas quando o sistema corporativo já sofreu algum tipo de ataque é o erro mais grave de todos. Em Portugal, cerca de 15 mil portugueses reportam roubos de identidade por ano, a maior parte deles online, o que dá cerca de 40 roubos de identidade por dia, de acordo com a Digital Sign. Nos primeiros seis meses do ano foram registados 3.968 burlas informáticas.

Os muitos exemplos que existem anualmente deveriam servir de exemplo para as empresas protegerem os seus sistemas e os seus dados:

No final do ano passado, piratas informáticos roubaram milhares de dados em Portugal através das redes sociais e de outros sites que obrigam a um registo. A lista publicada teria os emails e 'passwords' de funcionários de ministérios, forças armadas, parlamento, Ministério Público, PJ, juízes, Autoridade Tributária e Comissão Nacional de Eleições, bancos, hospitais, transportadoras, sociedades de advogados, empresas do PSI20 e também comunicação social e clubes de futebol.

Incêndios, inundações e tremores de terra comprometeram inevitavelmente toda a infraestrutura das empresas afetadas. Sem uma política de backup na cloud ou em outro local, ou sem uma solução de disaster recovery implementada, os dados estão totalmente perdidos.

Durante 15 dias, hackers controlaram os sistemas da British Airways e roubaram os detalhes pessoais e financeiros dos clientes que fizeram as reservas no ba.com ou na app. Foram roubados nomes, endereços de e-mail e informações de cartão de crédito - incluindo números de cartões, datas de validade e o código de três dígitos - necessários para autorizar pagamentos. Cerca de 380.000 transações foram afetadas.

Em julho, a app de fitness Polar Flow revelou a localização de bases militares secretas em todo o mundo e a monitorização do percurso dos soldados. A simples alteração do URL e permite aceder aos treinos de qualquer pessoa. O mesmo tinha já acontecido em janeiro com a app Strava.

No final de 2016, a Uber perdeu dados de 57 milhões de utilizadores (nome, email, telefone) e motoristas (nome, número do cartão).

Hackers roubaram dados de 17 milhões de utilizadores da Zomato, conseguindo acesso a nomes, endereços eletrónicos e palavras-passe.

As soluções que existem permitem maiores níveis de automatização, são mais simples de gerir e oferecem maiores garantias de segurança, com menor intervenção humana. Mas o sucesso de uma boa política de segurança da informação envolve também uma mudança de mentalidade corporativa, e nem sempre as empresas dispõem de orçamentos generosos para as TI ou sequer de recursos humanos qualificados para enfrentarem os atuais desafios de segurança.

A contratação de soluções de terceiros na área da segurança da informação permite às empresas usufruírem de soluções mais modernas e totalmente ajustadas às suas necessidades, e contar com a ajuda de vários profissionais especializados com kown-how em ferramentas e técnicas de proteção de dados que ficam responsáveis pela proteção de toda a informação end-to-end. Num modelo de parceria, a empresa não tem que se preocupar com esta questão.

A Ar Telecom pode ajudá-lo a ultrapassar os desafios da segurança informática e a integrar uma solução de software eficaz e abrangente que aporte valor para a sua empresa. Se precisa de ajuda para reforçar a segurança das redes e da informação na sua empresa, fale com um dos nossos consultores. Podemos ajudá-lo a analisar as necessidades específicas da sua organização.

Subscreva a nossa newsletter e acompanhe todas as novidades sobre cloud, managed services, comunicações e software.