Home > Tendências

Cinco ameaças devem dominar o cenário de cibersegurança em 2018

Os ataques do próximo ano serão mais dispendiosos para as organizações de todas as dimensões, e os clientes insatisfeitos vão pressionar os governos a introduzir legislações de proteção de dados mais rígidas, afirma a ISF

Da Redação, com IDG News Service

25/11/2017 às 17h49

shutterstock_761819602.jpg
Foto:

Se você pensa que 2017 foi um ano terrível em matéria de quebras de
segurança de dados, espere por 2018. O Fórum de Segurança de Informação
(ISF), um organismo global e independente
focado em cibersegurança e gestão de risco de informação, prevê um
aumento no número e no impacto das violações de dados, devido, em grande
parte, a cinco ameaças principais que as organizações vão enfrentar em
2018.

“A abrangência e o ritmo das ameaças à segurança da informação estão  prejudicando a reputação das organizações de maior confiança hoje”, diz Steve Durbin, diretor-geral da ISF."Em 2018, vamos
ver as ameaças a tornarem-se mais sofisticadas, personalizadas aos pontos
fracos de cada um e transformarem-se para contornar as defesas que já
foram implantadas," explica. “Atualmente,os desafios estão mais elevados
que nunca”,

O aumento dos números de vulnerabilidades será acompanhado pelo
crescimento do volume de registros comprometidos, afirma Durbin. “Por
isso, os ataques do próximo ano serão mais dispendiosos para as
organizações de todas as dimensões.

Aos custos tradicionais com a limpeza das redes e a notificação dos
clientes, irão somar-se aos custos adicionais relacionados com litígios
envolvendo cada vez mais partes, assinala Durbin. A ISF prevê que os
clientes insatisfeitos vão pressionar os governos a introduzir
legislações de proteção de dados mais rígidas, com custos concomitantes.

Essas serão as principais ameaças, segundo a organização.

1 - O Crime as a Service (CaaS) terá mais ferramentas e serviços
No ano passado,  a ISF tinha previsto um “salto quântico”, com
organizações criminosas desenvolvendo hierarquias complexas, parcerias e
colaborações semelhantes às de organizações do setor privado.

Durbin considera que a previsão se concretizou, uma vez que, em 2017,
se regirou um “enorme incremento no cibercrime, em particular no
crime-como-um-serviço.” A ISF prevê que a tendência continue em 2018,
com maior variedade de organizações criminosas em novos mercados e
distribuídas por todo o mundo.

Algumas organizações estarão assentes em estruturas criminosas
existentes, diz a ISF, enquanto outras vão surgir exclusivamente focadas
no cibercrime.

A maior diferença? Em 2018, através dos Crime as a Service (CaaS), os
“cibercriminosos aspirantes”, sem muitos conhecimentos técnicos,
poderão comprar ferramentas e serviços que lhes permitam realizar
ataques que de outra forma não seriam capazes de empreender, diz Durbin.
“O cibercrime está deixando de se focar apenas em ‘grandes ativos’ como
a propriedade intelectual ou os grandes bancos”, sublinha.

O “criptoware” será atualmente a mais popular categoria de malware.
Anteriormente, a utilização do ransomware por parte dos criminosos
dependia de uma perversa forma de confiança: depois de bloquear o
computador, a vítima pagaria o resgate e o cibercriminoso
desbloquearia.

Mas Durbin assinala que a chegada de cibercriminosos aspirantes está minando essa “confiança”. Mesmo as
vítimas que pagam o resgate estão deixando de receber a chave para
desbloquear os seus dados.

Ao mesmo tempo, Durbin diz que os cibercriminosos estão a tornando-se
mais sofisticados na utilização da engenharia social. Apesar de os alvos
serem, geralmente, indivíduos e não empresas, os ataques representam
uma ameaça para as organizações, uma vez que os limites entre entre as empresas e os indivíduos estão cada vez mais tênues. "O indivíduo é cada vez mais a empresa”, salienta Durbin.

2 - Internet das Coisas adiciona riscos
As organizações estão adotando cada vez mais dispositivos
de Internet das Coisas (IoT), mas a maioria dos dispositivos não está
seguro desde a concepção (“security by design”). Além disso, a ISF
adverte que haverá uma crescente falta de transparência no ecossistema de IoT, constantemente em evolução, com termos e condições
vagas que permitam às organizações utilizar dados pessoais de modos que
os clientes não pretendiam.

Será problemático para as organizações saberem que informações estão saindo das suas redes ou que dados estão sendo captados e transmitidos
secretamente por dispositivos como smartphones e televisões
inteligentes.

Quando as violações de dados ocorrem, ou as violações de
transparência são reveladas, as organizações ficam susceptíveis a serem
responsabilizadas, quer por reguladores quer por clientes. E no pior dos
casos, o dano na segurança dos dispositivos de IoT em sistemas de
controloe industrial poderão levar a danos físicos ou à morte de seres
humanos.

“Do ponto de vista do fabricante, saber qual é o padrão de
utilização, e compreender melhor os indivíduos é claramente importante”,
diz Durbin. “Mas tudo isto abriu mais vetores de ameaça, em um grau nunca visto antes.” Acrescenta ainda “como podemos tornar tudo isto seguro,
para que estejamos em controle em vez de deixar  dispositivo nos
controlar? Vamos assistir a um incremento dos níveis de alerta nestas
áreas”.

3 - Cadeia de abastecimento: o elo mais fraco na gestão de risco
A ISF chama a atenção, há anos, para as questões das
vulnerabilidades da cadeia de abastecimento. A organização assinala que
existe um vasto conjunto de dados valiosos e sensíveis
frequentemente compartilhado com os fornecedores. Quando essa informação é
compartilhada, o controle direto é perdido. Isso significa maior risco
de comprometimento da confidencialidade, integridade ou disponibilidade da
informação.

“No ano passado, começamos a ver grandes indústrias perdendo capacidade de produção, porque estavam bloqueadas e com o
abastecimento comprometido “, diz Durbin. “Não interessa em que área de
negócio se está. Todos nós temos cadeias de abastecimento”, acrescenta. “O desafio que
enfrentamos é saber como está a nossa informação em cada fase do
ciclo de vida. Como protegemos a integridade dessa informação enquanto é
compartilhada?”

Em 2018, as organizações terão de se concentrar nos pontos mais
fracos das suas cadeias de valor, diz a ISF. Embora nem todas as quebras
de segurança possam ser prevenidas antecipadamente, as empresas e os
fornecedores terão de ser proativos.

Durbin recomenda a adoção de processos fortes, escaláveis e
reproduzíveis com garantias proporcionais aos riscos enfrentados. As
organizações devem incorporar gestão de risco de informações na cadeia
de abastecimento e nos processos de gestão de contratos e fornecedores
existentes.

cibersegurança

4 - Regulamentação irá somar-se à complexidade da gestão de ativos críticos
A regulamentação vai acrescentar complexidade, e o Regulamento Geral
de Proteção de Dados (RGPD), que entrará em vigor em Maio de 2018,
acrescentará uma nova camada de complexidade à gestão de ativos
críticos.

“Não há uma conversa sobre segurança, em qualquer lugar do mundo, na qual o  RGPD não seja mencionado”, diz Durbin. Não é apenas a questão da
conformidade. “Trata-se de se certificar que tem a capacidade, em toda a
sua empresa e cadeia de abastecimento em qualquer momento, de
identificar dados pessoais e perceber como estão sendo geridos e
protegidos”. É preciso ser capaz de demonstrar essa capacidade a qualquer momento,
não apenas a pedido dos reguladores, mas também dos indivíduos.

“Se vamos implementar estas soluções corretamente, de fato, vamos
ter de mudar a maneira como estamos fazendo negócios”, acrescenta. A ISF
assinala que os recursos adicionais necessários para abordar as obrigações da RGPD são
suscetíveis a aumentos de custos de conformidade e de gestão de
dados, e de desviar a atenção e o investimento de outras tarefas.

5 - Riscos do desalinhamento com as expectativas da administração
O desalinhamento entre as expectativas da administração e a realidade
da capacidade da função de segurança da informação para entregar os
resultados será uma ameaça em 2018, de acordo com a ISF.

“A administração, em regra, não percebe. Compreende que está trabalhando no ciberespaço, mas não entende, em muitos casos, a
real implicação disso”, refere Durbin. “Eles acham que o CISO tem tudo
sob controle. Em muitos casos, a administração ainda não sabe as
perguntas certas a fazer. E o CISO ainda não sabe como falar com
a administração ou com os responsáveis pelo negócio sobre o assunto”.

A ISF diz que as administrações esperam que os orçamentos de segurança
de informação mais elevados, nos últimos anos, tenham habilitado o CISO
e a função de segurança da informação a produzir resultados imediatos.
Mas uma organização totalmente segura é um objetivo intangível.

E mesmo que compreendam a extensão do problema, muitas administrações não compreendem que
fazer melhorias substanciais na segurança da informação leva tempo, mesmo
quando as organizações têm as competências e as capacidades disponíveis.

Esse desalinhamento significa que a ocorrência de um incidente importante, terá impacto não apenas na organização. É provável que tenha impacto na reputação da administração, tanto
coletiva, como  individualmente. Por isso, o papel do CISO deve
evoluir, diz Durbin.

“Atualmente o papel do CISO é antecipar, assegurar que a firewall se
mantém operacional”, assinala. “Tem de antecipar o modo como os
desafios que estão à espreita irão afetar o negócio e articulá-lo- com a
administração".

Um bom CISO precisa ser um vendedor e um consultor. Não pode não ter
as duas valências. Eu posso ser o melhor consultor do mundo, mas se não
consigo vender as minhas ideias, estas não vão chegar à sala da
administração.

Junte-se a nós e receba nossas melhores histórias de tecnologia. Newsletter Newsletter por e-mail