Vulnerabilidades existentes no Brasil para ataques

A transformação digital está cada vez mais acelerada pela necessidade do mercado e do negócio, e a Segurança da Informação para muitas empresas ainda não é um tema estratégico e tem sido tratado apenas no perímetro de TI. Mas quem está tratando os temas “engenharia social, espionagem industrial, vazamento de informação, educação digital, entre outros?
O Brasil é o País que mais sofre ataques cibernéticos bancários em todo o mundo, isto é o reflexo da baixa maturidade do tema em nossos controles, educação e capacitação.
É crescente a evolução de táticas de ataques e do aumento da evasão, além da ausência de profissionais na área para o combate desses fenômenos. Com isso, torna-se ainda mais desafiador para os líderes do setor encontrar meios para evitar a proliferação de ataques cibernéticos. O alto número de dispositivos conectados via Internet das Coisas (IoT) acaba sendo um grande desafio, além da ameaça constante para a área de automação industrial.
Há setores da indústria que trabalham com plataforma tecnológica no modelo Windows XP desatualizado e sem suporte, com protocolos de comunicações ultrapassados e expostos a extrema vulnerabilidade, correndo um risco, sem precedentes, caso este ambiente seja atacado. As atuais ferramentas de segurança já não conseguem mais conter o fluxo de dispositivos que precisam ser monitorados e mantidos em modo de segurança como os desktops, laptops e aparelhos móveis, gerando ainda mais dificuldades no monitoramento de vulnerabilidades em potencial.
Entre os ataques mais frequentes nos dias atuais, vale destacar temas como problemas na qualidade e na aplicação e do código, questões de criptografia, vazamento de informações sigilosas, CRLF Injection, cross-site Scripting, acesso a diretórios restritos, falha no gerenciamento de credenciais de acesso, entre outros.
As falhas e lacunas de segurança mais frequentes surgem a partir de ocorrências ou ações consideradas evitáveis e podem ser tratadas assim que suas origens forem identificadas. Em caso de falha humana, os colaboradores devem receber capacitação e treinamento adequados com certa frequência, especialmente, com alertas para não clicar em links suspeitos ou baixar documentos indevidos. É comum também o sistema ser atingido por falhas de programação no seu desenvolvimento, sem segurança, abrindo brechas para a invasão de hackers. Outra questão crucial está ligada à má configuração, com a instalação de aplicativos de segurança sem a gestão correta e sem a garantia de um funcionamento adequado.
Diante deste cenário, é primordial manter controles em tempo real. Com foco na análise contínua de vulnerabilidades e não apenas ter como uma atividade realizada pontualmente ou na crise. Deve-se manter um controle constante para garantir a segurança da informação efetiva e assertiva.
Atualmente, o acesso à informação e a “digitalização da vida das pessoas” está em uma curva acentuada e em franca aceleração. Com o avanço da era “ágil”, temos projetos ágeis (Scrum), além de produtos, empresas (como startups), lucros e conhecimento ágeis (tudo de fácil acesso a todos). Não podemos deixar de reconhecer também que temos o crime organizado ágil e malware ágil (compra na internet com painel de controle e dashboard). A grande questão é que ainda encontramos na contramão de todo esse movimento de “agilidade” uma estagnação dos processos de segurança críticos e ainda marginalizados.
A nossa privacidade tem sido atacada em várias frentes e devemos ser responsáveis por nossas informações, além de nos preocuparmos para quem autorizamos a utilização desses dados. O gerenciamento de tudo isso também é essencial nos dias de hoje.
Já a criptografia também vem ganhando cada vez mais evidência, e há quem queira enfraquecer a capacidade dos cidadãos comuns para criptografar seus dados.
A Segurança da Informação deve ser um “seguro para nossas vidas”. Não devemos temer pela Segurança da Informação, mas sim adotar um novo estilo de vida, perseguir a segurança para a nossa defesa como pessoa física e corporativa.
(*) Longinus Timochenco é diretor de Cyber Defense Latam da Stefanini Rafael