Quem é quem em um ataque de Engenharia Social
Se a Engenharia Social pode atingir qualquer nível de usuário, como traçar o perfil de quem a pratica com más intenções e quem sofre com suas consequências?
Um ataque de Engenharia Social envolve abordagens que podem despertar o interesse do alvo pela ativação de algum senso emotivo.
Diferente de ataques focados em tecnologia, a aproximação do engenheiro social pode ter diferentes caras e afinidades, tudo vai depender do que o criminoso sabe previamente o alvo.
Se um ataque de Engenharia Social pode fazer de qualquer um uma vítima, definir os alvos prioritários de um possível ataque deve ser baseado em algumas outras características.
Para chegarmos nas vítimas mais vulneráveis, iremos abordar neste artigo:
- Como funciona um ataque de Engenharia Social
- Quais os principais tipos de ataque
- Os dados mais importantes que sua empresa precisa proteger?
- O Perfil do Engenheiro Social
- Quem é a Vítima de Engenharia Social
- Como Proteger Funcionários da Engenharia Social
Vamos lá?
Como funciona um Ataque de Engenharia Social na Segurança da Informação
Para entendermos como os ataques de Engenharia Social, ainda que semelhantes, possam ter impactos diferentes, é importante compreender que seu sistema funciona na base de tentativa e erro:
Coleta de informações, planejamento de ataques, aquisição das ferramentas necessárias, ataque, uso das informações coletadas.
Sendo assim, novas tentativas de ataques podem ser mais convincentes por trazerem elementos que as tornem mais verídicas, com os dados coletados na tentativa anterior.
Principais ataques realizados com Engenharia Social
Phishing
O Phishing é o ataque da engenharia social mais comum da atualidade, em suas dezenas de versões.
O crime consiste na obtenção de dados de uma pessoa ou organização através de técnicas de comunicação que resultam na persuasão da vítima.
No ambiente corporativo, qualquer usuário pode ser uma porta de entrada para uma brecha de segurança por saber, ter acesso ou simplesmente saber quem sabe de algo importante.
O contato do criminoso pode ocorrer a partir de qualquer meio de comunicação, como telefone, e-mail, ou SMS – na tentativa de fazer com que pessoas caiam em um golpe.
Fácil de ser executado, o phishing também não é um ataque difícil de ser reconhecido quando observado com atenção. Por isso, a chance de sucesso da prática depende de dois fatores: O momento certo e a desatenção do usuário.
Quem é exposto a essa tática pode ser surpreendido com algum contato em um momento em que aquele contato faça sentido, por exemplo.
Pretexting
O Pretexting é uma ação maliciosa que consiste na tentativa de se obter dados pessoais ou sobre uma empresa de maneira voluntária por uma falsa causa.
Este golpe pode vir disfarçado de uma causa ou confirmação de informações e com isso, despertar a generosidade do alvo.
Suas vítimas podem receber um e-mail suspeito, um telefone ou até mesmo mensagem de texto no WhatsApp.
Quid pro quo
O Quid pro quo é uma abordagem de troca inconsciente. Alguém oferece algo em troca de outra coisa.
Uma vítima desta abordagem pode receber ajuda técnica por algo, que embora seja resolvido pelo criminoso, dá a ele o poder de instalar ou induzir a instalação de arquivos maliciosos no dispositivo.
É uma falsa sensação de benefício em troca de dados pessoais ou problemas técnicos maiores no futuo.
Sextorsão
A sextorsão (sexo + extorsão) é um crime virtual em que a vítima é chantageada a realizar uma ação caso não queira que algum conteúdo íntimo seja divulgados.
Quando uma vítima possue algum e-mail ou número de celular exposto e que possam ser encontrado por botnets, é muito provável que receba tentativas de diversos tipos de ataques, incluindo a sextorsão.
É uma prática que se apoia muito na informação que coleta sobre um alvo, por muitas vezes ele não possui, realmente, um arquivo confidencial, mas sua abordagem (mais informada do que a maioria) vai fazer a vítima acreditar que sim.
Dumpster Diving
O dumpster diving é uma das práticas mais comuns e cotidianas que não utilizam dispositivos eletrônicos.
Trata-se do ato de vasculhar o lixo alheio para obter algum bem.
No mundo da tecnologia, vasculhar o lixo não é apenas uma ação de desespero, pois resíduos, peças ou até mesmo dispositivos com falhas podem ser descartados pelas companhias e tornarem-se alvo de algum tipo de vazamento ou boato.
Muitas organizações já possuem políticas de descarte para formalizar a ação e blindar qualquer tipo de vazamento ao tornar os itens inutilizáveis.
Shoulder Surfing
O Shoulder Surfing consiste na prática de observar as ações que uma pessoa está realizando em dispositivos como um celular ou computadores.
Para os engenheiros sociais, a ação pode representar mais do que uma simples curiosidade e tornar-se uma oportunidade para descobrir e memorizar senhas ou informações da vítima ou empresa que trabalha.
Tailgating
O tailgating é uma tática mais complexa que consiste no acesso presencial a lugares restritos por pessoas não autorizadas.
Considerada a mais antiga das abordagens de engenharia social, utiliza-se na maioria das vezes da bondade da vítima, como quando alguém está com as mãos tão ocupadas que uma pessoa gentil decide ajudar ao abrir e segurar a porta.
Quais informações mais importantes que sua empresa precisa proteger
Talvez sua empresa colete muitos dados bancários de usuários, por envolver o credenciamento para alguma plataforma financeira (como uma fintech).
Ou talvez ela simplesmente envolva dados particulares e identificáveis, como documentos e as preferências de cada um, como em uma rede social.
O mais importante a se compreender é que toda empresa possui um dado que acaba sendo mais importante que o outro pelo valor que representa para o negócio.
Para traçar o perfil de quem é vítima e engenheiro social nesse tipo de ataque, é importante primeiro entender qual a informação mais importante para cada marca.
Talvez a informação mais relevante para o setor de limpeza, por exemplo, seja o calendário de locais que precisam ser limpos, listagem de produtos, dentre outras coisas neste sentido, mas o mesmo funcionário pode ter acesso a lugares críticos.
E é por isso que não importa necessariamente quem você é, e sim o que você sabe ou os locais para os quais você tem acesso.
Quem é o Engenheiro Social
Apesar do nome, um engenheiro social não é um especialista na área de roubar informações.
Até porque a formação ainda não existe. Ao menos não formalmente.
Mas para que alguém execute ataques de engenharia social, algumas habilidades podem ser necessárias:
- Capacidade de contar uma boa história de maneira convincente.
- Habilidade para utilizar as informações coletadas a seu favor.
- Poder de persuadir para conseguir que as ações sejam voluntárias.
- Inteligência analítica necessária para estudar o alvo ou público-alvo com precisão.
Quem é a Vítima de Engenharia Social
A engenharia social está presente em todo lugar, qualquer sinal ou ação pode ser o suficiente para que alguém obtenha alguma informação da vítima.
A maior brecha dos sistemas de segurança não é sua tecnologia, mas as pessoas.
Todos os seres humanos possuem características (como o gosto por algum estilo musical), padrões de comportamento e psicológicos. É na observação dessas características que um engenheiro social obtêm o que precisa.
Seja o colaborador um profissional da área técnica ou mais humanizada, todos estão sujeitos a falhar na proteção contra um ataque deste tipo, pois possuem vulnerabilidades humanas.
Em situações cotidianas, vítimas podem ser feitas:
- Quando desatentos – em modo “automático” na realização de suas tarefas.
- Ocasião em que não verificam a autenticidade das mensagens recebidas.
- Ao passo que vivenciam algum problema pessoal e a mensagem soa como a oportunidade de melhorar as coisas.
- No momento em que se sensibilizam com a mensagem recebida e tem intenções de ajudar.
- Na hora em que precisa de ajuda e não possui muitas habilidades técnicas.
Como proteger funcionários da Engenharia Social
Muitas empresas erram na prevenção contra golpes virtuais ao só importarem-se com eles após uma primeira ocorrência.
A verdade é que quando falamos que a maior vulnerabilidade de segurança no ambiente corporativo é o fator humano e não suas tecnologias, não estamos falando que os funcionários são menos competentes, mas sim, que todos podem ser persuadidos.
É por isso que uma boa estratégica para combater a engenharia social possui duas características:
- Prevenção.
- Constância.
O fato de ser preventiva mostra que a organização já está preparada para caso algo aconteça, ela reconhece o problema e suas probabilidades, e só isso já é o suficiente para afastar muitos criminosos entusiastas.
Quanto a ser constante, é para que os funcionários também estejam sempre alertas sobre o perigo e não apenas em campanhas específicas ou ações reativas a ataques sofridos.
Em outras palavras, a prevenção é a melhor arma contra ataques de engenharia social. Confira algumas dicas que podem ser lembradas dentro do ambiente corporativo:
Manter gavetas e armários fechados.
Holerites, documentos e diversos outros arquivos impressos, com informações sensíveis, podem tornar-se uma vulnerabilidade ao serem facilmente vistas por colegas no ambiente corporativo.
Por isso, é importante manter as gavetas e armários fechados, e instruir os funcionários a levarem tudo o que for crítico para casa no final do expediente, ou disponibilizar um armazenamento específico para este fim.
Minimizar ou encerrar softwares que exponham dados da empresa ou funcionário.
Especialmente em empresas em que as mesas e computadores estiverem expostas em ambiente aberto, é muito comum que, quase inconscientemente, funcionários “bisbilhotam” o que outros estão executando no dispositivo.
Embora na maioria das vezes isso não represente nenhum problema, pode representar uma vulnerabilidade ao gerar oportunidades para pessoas com más intenções.
Não compartilhar login e senha com nenhum colega de trabalho.
Talvez a prática mais comumente difundida em qualquer ambiente, o compartilhamento de senhas é uma das práticas simples que podem causar as piores consequências a um trabalhador.
Imagine que ao fornecer a senha, a pessoa não apenas ganhar acesso total aos recursos disponibilizados para o dono da conta como também abre uma nova vulnerabilidade para seus dados pessoais, que podem a qualquer momento ser obtidos por algum usuário mal intencionado dependendo da prática do novo portador das informações de acesso.
Na necessidade de ausentar-se da mesa de trabalho, realizar o logout até o retorno.
Isso pode ser feito através do menu iniciar ou CTRL + Alt + Del caso esteja utilizando o Windows como sistema operacional.
Da mesma maneira que é importante fechar gavetas e armários que contenham documentos críticos, é essencial que os integrantes de qualquer equipe em uma empresa recebam o treinamento adequado para adquirirem o hábito de, ao ausentar-se da mesa de trabalho, encerrem a sessão de login no computador.
Isso porque ao manter o sistema logado o usuário abre brechas para que outras pessoas acessem ou alterem um arquivo específico que possa comprometer a vítima.
Não jogue documentos inteiros no lixo, rasgue-o ou fragmente caso seja uma opção no local de trabalho.
Jogar documentos e itens críticos como cartões de crédito, exames ou papéis com outras informações podem abrir brechas para a prática de no-hacking conhecida como “dumpster diving”, que consiste basicamente na vulnerabilidade encontrada num lugar muito comum: as lixeiras.
Em situações externas, evitar ao máximo mencionar informações internas da empresa (quadro de funcionários, rotinas, procedimentos).
Exceto quando receber instruções específicas e treinamento de uma assessoria de imprensa, por exemplo.
Colaboradores bem informados sobre a própria organização nunca representarão algo negativo.
No entanto, é importante que os mesmos sejam instruídos nos lugares e momentos em que poderão falar sobre os temas internas.
Pessoas passam por diversos ambientes, além da empresa, ao longo do dia: transportes públicos, outras empresas e claro, a própria residência.
Todos os lugares externos podem abrir vulnerabilidades para que pessoas de fora ganhem acesso a informações privadas e que podem usar para finalidades de impacto negativo.
Coletar documentos impressos logo em seguida.
Impressão em rede é um excelente recurso para a maioria das empresas, afinal, diminui a necessidade de espaços físicos para diversas impressoras e permite que os funcionários compartilhem um mesmo equipamento.
No entanto, o compartilhamento desse dispositivo pode abrir vulnerabilidades para que pessoas tenham acesso ao que foi impresso antes mesmo de quem o solicitou.
E por isso recomendação geral é de que os documentos sejam coletados logo depois da impressão ser solicitada.
Um guia sobre Engenharia Social
Todos estão vulneráveis
Como visto, todos podem tornar-se alvos de um engenheiro social, tudo irá depender dos seguintes fatores:
- As intenções do criminoso
- As informações que a vítima sabe, as pessoas que conhece ou os lugares para os quais tem acesso
- Seu estado emocional
É por isso que embora pessoas com os maiores cargos sejam alvos maiores, a hierarquização não funciona para traçar o impacto de um ataque, pois algo que um novo funcionário saiba ou o local para o qual tem acesso pode ser suficiente.
Quer saber o que sua empresa pode fazer ainda hoje para prevenir os ataques de Engenharia Social? Consulte os Especialistas em Segurança da Informação da Compugraf.
- Published in Segurança da Informação
Como funciona um ataque de Engenharia Social
Entendendo a lógica por trás de como funciona um ataque de engenharia social.
A Engenharia Social na Segurança da Informação é resultado de uma interação social entre o criminoso e vítimas.
Mais antiga do que a própria existência de computadores, como esses ataques ganham cada vez mais poder ao longo do tempo?
Será que o excesso de informação e o costume com comunicações cada vez mais mecânicas, como resultado dos chatbots e outros métodos de comunicação robotizada, nos torna menos críticos em comunicações digitais?
Talvez essas sejam algumas das perguntas que devemos responder na hora de buscar maior conscientização diante de perigos recorrentes.
Neste artigo vamos entender:
- Como funciona um ataque de Engenharia Social
- Os Sentimentos Explorados pela Engenharia Social
- Principais Ataques Realizados com Engenharia Social
- 10 empresas que sofreram ataques de Engenharia Social na última década
Podemos começar?
Como funciona um Ataque de Engenharia Social na Segurança da Informação
Os ataque de Engenharia Social funcionam no sistema de tentativa e erro, mas diferente de outras ofensivas, ele retorna cada vez mais forte.
Isso porque o ciclo de atuação da Engenharia Social é baseado no seguinte ciclo:
Coleta de informações, planejamento de ataques, aquisição das ferramentas necessárias, ataque, uso das informações coletadas (para tornar-se próximo do verídico)
Em outras palavras, novas tentativas de ataques serão sempre mais convincentes por serem mais “inteligentes” com os dados coletados na tentativa anterior.
O que é Persuasão?
A Engenharia Social na Segurança da Informação tem como finalidade o ato de persuadir. Mas afinal, o que é a persuasão?
O ato de persuadir ocorre quando alguém consegue, através da argumentação, convencer alguém a fazer alguma coisa.
A habilidade recorre a meios emocionais e lógicos para envolver o/os alvos e seu sucesso é baseado na realização, por vontade própria, da ação desejada.
Diferente do senso comum, persuadir e manipular são coisas distintas.
Pois a persuasão ocorre somente quando tentamos entender o que é necessário para convencer alguém a fazer alguma coisa.
Existe também o conceito de manipulação psicológica, que pode ser confundido com o ato de persuadir.
Mas assim como no caso da manipulação, trata-se de um processo diferente em que a influência social é maior e tem como objetivo a mudança de comportamentos.
É muito semelhante ao conceito de Engenharia Social na psicologia, utilizando-se de percepções com táticas indiretas, que na maioria dos vezes pode envolver informações convenientes, enganosas ou dissimuladas.
Outra habilidade semelhante mas que pode ser diferenciada do ato de persuadir, é o convencimento.
É possível convencer pessoas em relação a uma ideia, mas somente a persuasão resulta em uma ação voluntária, de modo que a pessoa acredite que aquilo parte de sua própria vontade.
Também conhecida como “Teoria da Persuasão” ou “ Teoria Empírico-experimental”, os primeiros registros da persuasão como estudo vêm dos anos 40.
E desde os primórdios tratou da busca em estudar a relação entre estímulo e resposta.
Hoje é um tema amplamente estudado em cursos como administração (para negociação) e comunicação.
A persuasão na engenharia social é a grande protagonista, o sucesso da maioria dos ataques é relacionado a habilidade do criminoso em persuadir.
Sentimentos explorados pela Engenharia Social na Segurança da Informação
A Engenharia Social explora emocionalmente suas vítimas, testado diversas iscas até ativar o gatilho que vulnerabiliza o alvo.
Ela também pode se aproveitar de temas atuais, promoções boas demais para serem verdade ou falsos anúncios de premiações.
Por alguns ataques exigirem pouco ou nenhum conhecimento técnico, a engenharia social também pode acontecer sem a necessidade de dispositivos eletrônicos, a abordagem no caso é conhecida como no-tech hacking.
Quando a vítima se dá conta da comunicação suspeita, o criminoso pode já ter colhido as informações necessárias para uma tentativa de ataque.
E o processo, na maioria dos casos, pode envolver um ou mais dos sentimentos a seguir:
Curiosidade
Quase todo ataque de engenharia social inicia a partir da curiosidade do alvo. No caso de phishing, por exemplo, é o benefício imperdível que ele poderá adquirir naquele momento, se seguir as instruções.
Após a surpresa inicial, o usuário certamente vai ter curiosidade para entender melhor do que se trata a mensagem recebida. E para validar sua opinião, ele pode acabar clicando em algum link malicioso ou preenchendo algum formulário.
Preguiça
Por que um funcionário iria digitar as senhas manualmente toda vez que forem acessar alguma coisa?
Ou até mesmo optar voluntariamente pela autenticação de dois fatores se tudo pode ser preenchido automaticamente?
Com atalhos nos tornamos, na maioria das vezes, mais vulneráveis.
É importante que todos sejam conscientizados não apenas sobre as medidas a serem tomadas na rotina dentro da empresa, mas também, a importância de cada uma delas.
Solidariedade
Ajudar um colega de trabalho é uma prática simples e naturalmente aplicada em um ambiente saudável.
Mas não só isso.
Como já dizia um velho ditado “Quando a esmola é demais, o santo desconfia”.
E o engenheiro social utiliza muito bem o recurso ao criar campanhas de doações falsas, descontos imperdíveis que serão revertidos em prol de alguma causa, etc.
É importante despertar nos funcionários o entendimento da importância de se questionar tudo com o que interagem ao longo do dia.
Até mesmo na voluntária ajuda alheia.
Vaidade
O modelo mais recente de um smartphone ou o luxo de realizar alguma atividade são características que envolvem a vaidade da vítima.
Funcionários podem ser seduzidos por uma oferta de empréstimo, compra ou até mesmo um novo emprego.
É pensando na própria fragilidade que todos devem ser conscientizados sobre separar o que precisam do que podem ter em um outro momento. pois a engenharia social utiliza muito bem a vaidade ao seduzir as vítimas a partir do consumo.
Ansiedade
Em uma realidade em que o problema de grandes cidades e muitos ambientes corporativos é a ansiedade, a engenharia social aproveita-se muito do fato.
Tudo deve ser feito rapidamente, as ofertas são irrecusáveis e a sensação de urgência torna-se protagonista a ponto de muitos não atentarem-se ao que chega a eles.
É neste momento que as maiores vítimas são pegas, na pressa do momento, pois não são capazes de criar suspeitas sobre a situação.
Principais ataques realizados com Engenharia Social
Phishing
O Phishing é o ataque da engenharia social mais comum da atualidade, em suas dezenas de versões.
O crime consiste na obtenção de dados de uma pessoa ou organização através de técnicas de comunicação que resultam na persuasão da vítima.
No ambiente corporativo, qualquer usuário pode ser uma porta de entrada para uma brecha de segurança por saber, ter acesso ou simplesmente saber quem sabe de algo importante.
O contato do criminoso pode ocorrer a partir de qualquer meio de comunicação, como telefone, e-mail, ou SMS – na tentativa de fazer com que pessoas caiam em um golpe.
Fácil de ser executado, o phishing também não é um ataque difícil de ser reconhecido quando observado com atenção. Por isso, a chance de sucesso da prática depende de dois fatores: O momento certo e a desatenção do usuário.
Quem é exposto a essa tática pode ser surpreendido com algum contato em um momento em que aquele contato faça sentido, por exemplo.
Pretexting
O Pretexting é uma ação maliciosa que consiste na tentativa de se obter dados pessoais ou sobre uma empresa de maneira voluntária por uma falsa causa.
Este golpe pode vir disfarçado de uma causa ou confirmação de informações e com isso, despertar a generosidade do alvo.
Suas vítimas podem receber um e-mail suspeito, um telefone ou até mesmo mensagem de texto no WhatsApp.
Quid pro quo
O Quid pro quo é uma abordagem de troca inconsciente. Alguém oferece algo em troca de outra coisa.
Uma vítima desta abordagem pode receber ajuda técnica por algo, que embora seja resolvido pelo criminoso, dá a ele o poder de instalar ou induzir a instalação de arquivos maliciosos no dispositivo.
É uma falsa sensação de benefício em troca de dados pessoais ou problemas técnicos maiores no futuo.
Sextorsão
A sextorsão (sexo + extorsão) é um crime virtual em que a vítima é chantageada a realizar uma ação caso não queira que algum conteúdo íntimo seja divulgados.
Quando uma vítima possue algum e-mail ou número de celular exposto e que possam ser encontrado por botnets, é muito provável que receba tentativas de diversos tipos de ataques, incluindo a sextorsão.
É uma prática que se apoia muito na informação que coleta sobre um alvo, por muitas vezes ele não possui, realmente, um arquivo confidencial, mas sua abordagem (mais informada do que a maioria) vai fazer a vítima acreditar que sim.
Dumpster Diving
O dumpster diving é uma das práticas mais comuns e cotidianas que não utilizam dispositivos eletrônicos.
Trata-se do ato de vasculhar o lixo alheio para obter algum bem.
No mundo da tecnologia, vasculhar o lixo não é apenas uma ação de desespero, pois resíduos, peças ou até mesmo dispositivos com falhas podem ser descartados pelas companhias e tornarem-se alvo de algum tipo de vazamento ou boato.
Muitas organizações já possuem políticas de descarte para formalizar a ação e blindar qualquer tipo de vazamento ao tornar os itens inutilizáveis.
Shoulder Surfing
O Shoulder Surfing consiste na prática de observar as ações que uma pessoa está realizando em dispositivos como um celular ou computadores.
Para os engenheiros sociais, a ação pode representar mais do que uma simples curiosidade e tornar-se uma oportunidade para descobrir e memorizar senhas ou informações da vítima ou empresa que trabalha.
Tailgating
O tailgating é uma tática mais complexa que consiste no acesso presencial a lugares restritos por pessoas não autorizadas.
Considerada a mais antiga das abordagens de engenharia social, utiliza-se na maioria das vezes da bondade da vítima, como quando alguém está com as mãos tão ocupadas que uma pessoa gentil decide ajudar ao abrir e segurar a porta.
10 empresas que sofreram ataques de Engenharia Social na última década
2010 – Netflix
A empresa sofreu com ataques quando deram a participantes de um concurso o acesso a informações de mais 480,000 assinantes.
A organização, no entanto, recuperou os dados de alguns candidatos.
2011 – Sony PSN
O marketplace Sony PSN, do console PlayStation, deu acesso a participantes de um concurso mais de 1.6 milhões dados,
incluindo cartões de crédito, endereços, datas de aniversário, senhas e respostas para as perguntas de segurança.
2012 – LinkedIn
Em 2012, o LinkedIn teve uma vazamento de dados de mais de 167 milhões de dados,
sendo a maioria e-mails, senhas e endereços.
2013 – Yahoo
Mais de 3 bilhões de dados da Yahoo foram expostos em 2013,
incluindo e-mails, endereços, datas de nascimento e respostas para as perguntas de segurança dos usuários.
Mas o vazamento só foi descoberto 3 anos depois, no final de 2016.
2014 – Sony Pictures Entertainment
Em 2014 a Sony Pictures Entertainment sofreu um pequeno vazamento de dados que envolveu cerca de 47 mil dados,
o que não diminuiu o impacto nas finanças e reputação da empresa.
Os criminosos tiveram acesso a e-mails particulares, filmes não lançados e o contato de celebridades.
2015 – Ashley Madison
A plataforma de relacionamentos extraconjugais teve mais de 37 milhões de dados vazados,
incluindo o cartão de crédito, endereço e número de telefone dos usuários.
2016 – Comitê Nacional Democrático
O Comitê Nacional Democrático dos Estados Unidos teve muitas informações publicamente expostas,
incluindo a de políticos como Hillary Clinton e o atual presidente do país, Donald Trump.
2017 – Equifax
Mais de 143 milhões de norte-americanos tiveram dados como o número de documentos,
cartão de crédito, nome e endereço após um vazamento da Equifax, uma das maiores empresas de crédito do país.
2018 – Facebook
O Facebook sofreu com ao menos 2 vazamentos de dados ao longo de 2018.
Em setembro, foram mais de 50 milhões, e em outubro, 30 milhões, totalizando ao menos 80 milhões de dados expostos.
2019 – OxyData.Io e People Data Labs
Mais de 1.2 bilhões de usuários tiveram dados como e-mail, contas em redes sociais e telefone expostos em 2019,
tornando-se o maior vazamento partindo da mesma fonte.
No caso, envolvia um banco de dados compartilhado entre duas empresas agregadoras de dados: OxyData.Io e People Data Labs.
Um guia sobre Engenharia Social
Uma Comunicação Estruturada
Como combater a Engenharia Social se a tecnologia nos torna menos críticos em comunicações cotidianas com meios de comunicação cada vez mais automatizados?
A prevenção recorrente é uma ótima ferramenta para manter o alerta sobre a importância de continuarmos nos questionando sobre tudo.
Quer saber o que sua empresa pode fazer hoje para combater ataques de Engenharia Social? Converse com um especialista em Segurança da Informação da Compugraf.
- Published in Segurança da Informação
Ataques de ransomware no Brasil aumentaram 350% em tempos de home office
O país continua sendo uma das principais vítimas de ciberataques que visam o sequestro de dados sensíveis em troca de dinheiro
No primeiro trimestre de 2020, as tentativas de golpes de ransomware – que se caracterizam pelo sequestro de dados de dispositivos e liberação apenas com o pagamento de um “resgate” – aumentaram mais de 350% no Brasil, de acordo com dados da Kaspersky.
O fator agravante? A pandemia do COVID-19.
Com mais pessoas trabalhando de home office, a fim de cumprir com o isolamento social necessário para o combate à proliferação do vírus, os computadores, e os dados sensíveis que eles armazenam, se tornam alvos cada vez mais valiosos para ciberataques.
Não só isso, o próprio tema da doença pode ser uma isca fácil para os usuários.
Mais de 3 mil domínios suspeitos relacionados à pandemia do novo coronavírus foram registrados apenas neste primeiro trimestre, ao passo que 40% das empresas já detectaram um aumento nos ataques digitais contra suas infraestruturas, a maioria deles utilizando a doença como tema para phishing.
Algumas das tentativas envolvem, por exemplo, a venda ou doação de álcool em gel e ofertas gratuitas de assinaturas de streaming. Além disso, ainda segundo a Kaspersky, os criminosos já perceberam que podem fazer bastante dinheiro com ataques a redes corporativas, uma vez que seu impacto pode ser muito maior do que aqueles voltados a usuários comuns.
Faz sentido. Com profissionais de empresas de diferentes portes em home office, as redes corporativas se tornam excepcionalmente vulneráveis, já que os dispositivos de seus colaboradores correm mais risco de estarem potencialmente desprotegidos. Afinal, uma das soluções para o home office é a liberação de redes internas para acesso remoto, com trabalhadores usando as próprias máquinas para o expediente. Ou seja: esses dispositivos não estão mais sob vigilância dos departamentos de TI.
Além disso, há um fator recente que tornou os resgates de dados mais caros: a queda no valor das Bitcoins.
Com a desvalorização da criptomoeda (moeda digital) que costuma ser usada para o pagamento dos ransomwares, os hackers precisam “alinhar os lucros”, ou seja, o preço cobrado pelo resgate dos dados aumenta – especialmente se tratando de empresas.
Brasil, um dos países mais vulneráveis ao ransomware
A quantidade de ataques não é novidade no Brasil. O país já foi considerado um dos que mais sofrem com ransomware na América Latina, com 55% dos ataques de vírus sequestradores atingindo solo brasileiro em 2017 e tendo pequenas e médias empresas como suas maiores vítimas, também de acordo com a Kaspersky.
Ao todo, os ataques do ransomware na AL registraram crescimento anual de 30% entre 2016 e 2017, com 57 mil denúncias em 2016 e 24 mil até setembro de 2017.
Os ataques de são direcionados principalmente ao setor de saúde, além de pequenas e médias empresas. A maioria é por acesso remoto, aproveitando senhas fracas ou serviços incorretamente configurados.
Em 2019, segundo informações do Kaspersky Lab, o Brasil também foi o país que mais sofreu com ataques por phishing no primeiro trimestre. Além disso, o estudo mostra que a maioria dos casos ocorreu como resultado de uma falsa e tentadora oferta de trabalho de uma grande empresa, o que se relaciona com a crise de empregos no início do ano.
Como podemos observar, é uma onda que se movimenta junto às principais vulnerabilidades da nação e seus usuários, dificultando a diferenciação entre informações de fato benéficas e as mal intencionadas.
Em vista disso, é fundamental atenção redobrada nas principais frentes de proteção.
Como se proteger de ataques de ransomware?
Uma das principais recomendações é o uso obrigatório de VPNs para acesso aos recursos corporativos, como forma de garantir que dados não sejam interceptados na rede.
A autenticação em dois fatores para acesso a redes internas também é uma boa forma de se prevenir, bem como a aplicação de criptografia de disco, pois assim, em caso de roubo ou furto dos equipamentos com credenciais salvas, o risco de acesso é reduzido. Esta última solução também possibilita o uso de sistemas que permitem apagar todos os dados caso um aparelho seja perdido.
Já o departamento de TI, mesmo à distância, deve ser o único responsável pelas políticas de atualização e aplicação de patches nos dispositivos dos colaboradores da empresa, impedindo a instalação de softwares ou soluções por parte do próprio usuário. A medida vale também para smartphones, que devem estar sempre protegidos com senha e sem aplicativos de armazenamento em nuvem que não sejam previamente autorizados.
Existe também a necessidade da integração de funcionalidades de acesso remoto às redes corporativas, que devem ser monitoradas pelo time de TI para prevenir acessos indevidos.
Outra dica compete às políticas de segurança que limitam a visualização de dados de acordo com o departamento e cargo do colaborador, de forma que os colaboradores tenham acesso apenas àquilo que é pertinente a eles. Em caso de invasão, isso pode minimizar significativamente o prejuízo, uma vez que o hacker terá acesso limitado a dados sensíveis da empresa.
Finalmente, é imprescindível orientar os colaboradores e conscientizá-los sobre possíveis práticas nocivas, que podem abrir brecha para um ataque.
Nas redes da Compugraf, compartilhamos diversos conteúdo educativos para evitar cair em golpes de phishing, um dos principais potencializadores de ransomware. Não deixe de conferir e de compartilhar com o seu time!
- Published in Segurança da Informação
O que é hyperscale e o que ele pode fazer por sua estrutura
A transformação digital trouxe para as empresas uma crescente necessidade de análise de dados e armazenamento em nuvem, que por sua vez gerou o desenvolvimento de data centers em cloud poderosos – chamados de data centers hyperscale.
Com a velocidade no setor corporativo e o cenário da nuvem hyperscale evoluindo a cada dia, é importante entender o que está impulsionando esse crescimento. Saiba mais a seguir.
Definição de hyperscale
O termo refere-se à capacidade de uma arquitetura de data center ser redimensionada para responder à demanda crescente.
Computadores dependem de recursos dentro de um determinado nó ou conjunto de nós. Dimensionar parte dessa arquitetura normalmente significa aumentar a capacidade de processamento de dados, a memória, a infraestrutura de rede ou os recursos de armazenamento.
O objetivo da escalabilidade é continuar a construir um sistema robusto, independentemente do sistema girar em torno de cloud, big data ou armazenamento distribuído – ou, como é cada vez mais comum nos dias de hoje, uma combinação dos três.
A hyperscale não é apenas a capacidade de escalar, mas a capacidade de escalar de maneira rápida e inteligente.
Muitas vezes pensamos em scale up, que é uma abordagem vertical para a arquitetura, na maioria dos casos adicionando mais poder às máquinas existentes.
Mas outra maneira de aumentar a capacidade é por meio do scale out, uma abordagem horizontal – como a adição às máquinas globais em seu ambiente de computação.
Como uma solução hyperscale funciona?
Como explicamos no tópico anterior, a hyperscale é uma arquitetura que se expande e contrai com base nas necessidades atuais do seu negócio.
Essa escalabilidade é perfeita e envolve um sistema robusto com recursos flexíveis de memória, rede e armazenamento.
O data center hyperscale é construído em torno de três conceitos principais:
- Infraestrutura e sistemas distribuídos de forma a dar suporte às operações do data center;
- Escalabilidade para tarefas de computação, para garantir um desempenho eficiente com base na demanda;
- Receita adequada e fontes de receita.
Ao contrário da arquitetura de um data center convencional, o modelo de hyperscale trabalha com centenas de milhares de servidores individuais, que são feitos para operar juntos por meio de uma rede de alta velocidade.
Escalabilidade garantida através da hyperscale
A escalabilidade é um recurso importante desses data centers de nova geração e funciona de duas maneiras.
O dimensionamento horizontal, conhecido como scale out, tem como objetivo aumentar as máquinas que trabalham na rede. A escala vertical, ou scale up, adiciona energia adicional às máquinas já em operação.
O resultado é um data center capaz de atender às expectativas em muitos níveis, melhorando o tempo de atividade e os tempos de carregamento para os usuários finais.
Até mesmo cargas de trabalho de alto volume, que requerem uma potência substancial para executar tarefas de alto calibre – como renderização 3D, criptografia e processamento de genoma, além de outros trabalhos de computação científica -, se beneficiam da hyperscale.
Benefícios da hyperscale para empresas
O lado altamente atrativo das soluções hyperscale é a capacidade de aumentar ou diminuir rapidamente o ambiente de sua empresa.
Esse tipo de ativação pode ser caro e demorado quando aplicamos recursos tradicionais. A hyperscale resolve isso: a criação de servidores pode ser feita praticamente em horas, em comparação com os vários dias demandados em uma solução tradicional no local – e os negócios continuam evoluindo!
A hyperscale permite que sua empresa faça uso de recursos e dados de serviço de maneira bem diferente do que era feito no passado.
A demanda continuará a crescer e se expandir à medida que as organizações perceberem que alavancar essas quantidades em massa de dados lhes proporcionará uma vantagem competitiva significativa no mercado.
Saiba mais sobre as soluções de segurança em hyperscale da Compugraf: clique e agende uma reunião com nossos especialistas hoje mesmo!
- Published in Segurança da Informação
10 dicas essenciais para Segurança da Informação em sua empresa
Já ouviu algo parecido com isto: “Não basta trancar a porta se você esquecer ou não se preocupar com a janela aberta ?
Esse alerta também serve para segurança da informação, que deve ser feita em camadas. Infelizmente, muitos aspectos são deixados de lado por falta de conhecimento ou negligência.
Ações para manter seu ambiente mais seguro vão muito além de apenas implementar ferramentas para segurança de perímetro.
Uma vez que você começa a pensar em cultura da segurança da informação, entenda que todas as ações deverão considerar o aspecto de segurança – desde o desenvolvimento de uma nova aplicação até a migração para nuvem.
Neste artigo, vou exemplificar situações que exigem desde uma simples mudança de processo até a compra de ferramentas especificas. Não serão citados os fabricantes, mas apenas os tipos de ferramentas que irão lhe ajudar a aperfeiçoar a segurança da informação em sua organização.
1- Usuários e senhas locais iguais em todos desktops e/ou servidores
Suponhamos que um indivíduo malicioso (seja ele um funcionário ou não) consiga acesso à senha do usuário administrador de um dos seus desktops ou servidores.
Uma coisa é o indivíduo ser administrador apenas de um dispositivo, mas imagine que após conseguir apenas uma senha ele passe a ter poderes administrativos em todos seus desktops ou servidores. Sim, toda a segurança da informação estaria comprometida.
A solução para esse problema? Procure por ferramentas do tipo PAM (Privileged Access Management).
2- Processo de desligamento ou remanejamento de pessoas entre áreas
Já enfrentou casos onde, mesmo após o desligamento, um ex-funcionário continuou com acesso ao e-mail corporativo ou VPN? Você tem mapeado todos os aplicativos dentro e fora de seu ambiente em que este usuário tem acesso?
Quando um usuário é remanejado ele normalmente recebe novos acessos. Mantê-lo associado aos antigos grupos que ele pertencia é desnecessário e compromete a segurança da informação em todo seu ambiente.
Tente unificar seu método de autenticação (Single Sign On por ex.), caso suas ferramentas exijam que um usuário tenha vários logins e senhas, seu processo de mapeamento será muito mais difícil – e vale lembrar que muitas ferramentas possuem integração com o Active Directory ou ADFS.
Confira um exemplo de checklist para o processo de desligamento de pessoas:
- Desativar a conta do usuário;
- Redefinir a senha do usuário;
- Remover o usuário dos grupos em que ele está associado.
Quanto ao processo de transferência entre áreas, é muito comum que você não consiga remover o usuário imediatamente dos antigos grupos que ele pertencia, pois pode existir um período que ele coexistirá entre as áreas, sendo necessário deixá-lo.
Caso isso aconteça, determine um prazo para que a remoção aconteça e, após esse período determinado, confirme com o responsável e/ou desative os acessos.
Lembre:se: os usuários não devem ter mais acessos do que o necessário para o bom desenvolvimento de seu trabalho!
Aqui, soluções de IAM (Identity and Access Management) podem lhe ajudar.
3 – Política de segurança da informação
Esse item é um dos mais importantes, pois a política de segurança da informação pode abranger quase todos os pontos citados neste artigo.
Qual a política para os dispositivos BYOD (Bring Your Own Device)? Como você determina que uma pasta do servidor de arquivos ou uma categoria na web deve ser liberada? Qual a periodicidade de atualização de seus sistemas?
Não deixe que o processo de liberação de acesso seja feito informalmente. Muitas vezes a liberação ocorre porque um “chegado” pediu ou, então, só é liberado porque o dono da informação está de bom humor ou devendo um favor.
Esse não é o melhor caminho, por isso confira as dicas a seguir. Elas irão ajudar!
- Nomeie os donos dos recursos;
- Crie um comitê em que uma ação deve ser aprovada por duas pessoas de áreas diferentes;
- Estabeleça um processo para tratar as exceções.
A criação de uma política de segurança da informação pode ser um trabalho árduo e, muitas vezes, é necessário que pessoas de diferentes áreas sejam envolvidas.
Comece aos poucos, crie algo que realmente atenda suas necessidades, considere que a intenção é ter controle e padrão sobre as ações.
Gostou do assunto? Procure saber mais sobre a ISO 27001.
4- Testes de restauração de backup
Tente fazer com que o usuário seja um aliado para manter seus backups íntegros – ação essencial para manter a segurança da informação.
Digamos que Maria (Analista de RH) peça ao João (Analista de TI) a restauração de um determinado arquivo. Após verificar, João percebe que o backup já não está sendo realizado corretamente a meses. Como consequência, João foi demitido.
O problema foi resolvido? E quanto ao arquivo que Maria precisa? Como dona da informação, é de grande interesse que a informação seja restaurada.
Para garantir a segurança da informação, crie um processo com uma determinada periodicidade em que você (administrador das rotinas de backup) solicite ao usuário (dono da informação) a restauração de um arquivo aleatório.
Isto comprovará que o processo de backup está integro e que o usuário terá sua informação quando necessário – veja a qual realidade isso se aplica, como por exemplo a restauração de um documento no servidor de arquivos.
5- Controle de acesso a rede
Qualquer dispositivo mesmo que não seja corporativo, tem acesso a sua infraestrutura sem que nenhuma validação seja feita? Seu método de controle ao acesso no ambiente wireless é apenas baseado em whitelist de endereços MAC?
Qual tipo de visibilidade você tem sobre seu ambiente? Sua ferramenta de inventário trabalha em tempo real?
Essas respostas são essenciais para garantir a segurança da informação em seu ambiente, afinal, você não consegue se proteger daquilo que desconhece!
Procure por ferramentas de NAC (Network Access Control), mas não procure por NACs tradicionais. Sua busca deve ser por ferramentas que realmente lhe entreguem visibilidade e controle do seu ambiente.
6- Ferramentas contra ameaças desconhecidas
Grande parte das ameaças atuais não são mais combatidas somente com assinaturas. Seu Firewall ou suas ferramentas de endpoint lhe protegem analisando o comportamento da ameaça?
O ideal é procurar por:
- NGFW (Next Generation Firewall)
- ATP (Advanced Threat Prevention)
- NGAVR (Next generation Anti-virus)
- MTD (Mobile Threat Defense)
- EDR (Endpoint Detection & Response)
7- Ferramenta de inventário
Seus usuários possuem ferramentas de Keyloger instaladas?
Em uma situação de auditoria, como você comprova que todos seus agentes (DLP, Antivírus) estão instalados e atualizados em todas suas máquinas?
Quais os riscos de manter versões de softwares antigos em seu ambiente?
Nessas situações, vale a pena buscar por:
- CMDB (Configuration Management Database)
- CMT (Client Management Tools)
- UEM (Endpoint Enterprise Management)
8- Visualização em tempo real de ameaças
Seu sistema de monitoramento se limita a dizer apenas se o servidor está com alta utilização de CPU, MEM ou com baixo espaço em disco?
É claro que essas informações são importantes, mas qual é a causa raiz? Você está sendo atacado?
Caso você opte por analisar os logs manualmente, pode ser que esse tempo custe caro e você já esteja sofrendo uma contaminação lateral, colocando em xeque a segurança da informação.
Ferramentas de SIEM (Security information and event management) podem lhe ajudar.
9- Proteção contra vazamento de dados corporativos
Conhecido como o novo petróleo, os dados muitas vezes são o bem mais valioso de uma empresa, necessitando de proteção à altura de sua importância.
Deixar que os usuários copiem os dados corporativos sem nenhum tipo de controle não parece uma boa ideia.
A segurança da informação aqui podem ser ferramentas de DLP (Data Lost Prevention).
10- Treinamento aos usuários
Muito negligenciado, o treinamento pode ser uma das mais eficazes medidas de segurança da informação a serem implementadas. Se o usuário estiver treinado e não clicar no link malicioso, não será necessário que sua ferramenta de milhões entre em ação.
Crie campanhas focadas de phishing e teste seus usuários – já existem várias empresas no mercado que oferecem o serviço. Treinamentos não devem ser vistos como custo, mas sim como investimento.
Já ouviu falar no ditado “Deus protege as criancinhas, os bêbados e os analistas de TI”? Até quando é possível contar com a sorte?
Jogar toda culpa na falta de investimento não irá lhe ajudar após uma invasão ou vazamento de dados.
Adotando novos processos, mantendo-se atualizado e tendo consciência das novas ameaças permitirá aperfeiçoar de forma significativa a segurança da informação em sua empresa.
É papel dos responsáveis por TI mostrar os riscos que o negócio está exposto, caso identifique que um processo está sendo executado de maneira incorreta ou se alguma parte da infraestrutura corre risco por não possuir ferramentas adequadas para protegê-la.
Existem basicamente duas formas para que um investimento aconteça: pelo amor ou pela dor – e isso não está limitado a gastos com segurança,
Uma forte característica do mercado brasileiro, em geral, é agir de forma reativa – como se somente um evento negativo justificasse o investimento em segurança da informação.
No final, o que determinará quais medidas ou ferramentas serão implantadas, são as necessidades do negócio. Costumo dizer que não existe certo ou errado, desde que suas escolhas não deixem seu ambiente desprotegido ou com a continuidade ameaçada.
E, então, gostou das dicas para proteção do ambiente de sua organização? Se você seja saber mais sobre segurança da informação, fale com os especialistas da Compugraf e leia outros conteúdos sobre o assunto em nosso Blog.
Artigo escrito por Ricardo Martins, Product Analyst da Compugraf.
- Published in Segurança da Informação
O desafio de manter a segurança da informação diante de ataques em nuvem
Ataques digitais ocorrem diariamente, afetando empresas em todo o mundo – inclusive no Brasil, um dos países mais visados pelo cibercrime.
Com o uso da computação em nuvem esse cenário se tornou ainda mais ameaçador, porque ela passou a ser essencial para a rotina organizacional. Por outro lado, aumentou a necessidade de maior controle da segurança da informação em função do aumento de ataques em nuvem.
Dessa forma, lidar com as ameaças virtuais, especialmente quando a computação em nuvem passou a ser tão usada e essencial, é fundamental para evitar prejuízos financeiros, vazamentos de informações e manter a empresa em compliance com normas de segurança.
Neste artigo vamos mostrar que é possível ter a segurança da informação ideal, protegendo as empresas dos terríveis ataques em nuvem. Acompanhe a leitura!
A nuvem e a segurança da informação
A computação em nuvem proporcionou uma forma mais fácil das empresas armazenarem e compartilharem dados na rede. Contudo, tal flexibilidade e facilidade limitou os olhares de parte dos gestores para as ameaças virtuais e a necessária segurança da informação voltada a proteger a organização de ataques em nuvem.
Não só na migração para a computação em nuvem, como na manutenção e gestão dos dados, riscos de vazamento e ataques cibernéticos ainda existem.
A multiconexão da nuvem, através de diferentes dispositivos, também pode ser um facilitador para a ação de hackers e cibercriminosos. Acessar a nuvem a partir de dispositivos móveis, por exemplo, pode ser um facilitador na ocorrência de ataques digitais.
No entanto, ao mesmo tempo que existem riscos, a nuvem pode ser um ambiente seguro para os ativos. Para isso, é fundamental ter alguns cuidados para proteger o ambiente de ataques em nuvem, evitando invasões ou vazamentos.
A seguir relacionamos algumas providências para ter maior segurança da informação no ambiente em cloud.
1. Cuidado com acessos
Como já falamos acima, a flexibilidade e multiconexão inerente à computação em nuvem é um grande benefício. Mas atenção ao realizar acessos em diferentes dispositivos. Certifique-se que as informações de acesso não foram salvas nem registradas em dispositivos que não são pessoais.
Crie senhas fortes e não se esqueça de mudar os acessos sempre que um turnover de funcionários na equipe coloque em risco o vazamento de algum dado.
2. Crie uma cultura da segurança
Cuidar da segurança da informação é também questão de mindset. Investir em informação e conscientização dos colaboradores em torno da segurança da informação é a melhor medida para evitar problemas e brechas internas.
Cursos sobre segurança e a criação de acervos de conteúdo sobre boas práticas de navegação, por exemplo, podem ser medidas para inibir práticas prejudiciais à segurança da informação dentro da empresa.
3. Rotina de Backup
Para prever qualquer incidente, sempre tenha um, dois ou até mais backups de seus arquivos. Atualizados constantemente evita que informações se percam e, caso algum problema aconteça, o pronto restabelecimento dos dados e sistemas pode salvar a produção da empresa até segunda ordem.
4. Ter uma solução específica contra ataques em nuvem
Não podemos nos iludir: os cibercriminosos são engenhosos e estão sempre se reinventando, exigindo das organizações cuidados específicos em segurança da informação.
Quando o assunto é computação em nuvem, é essencial que a solução adotada seja adaptável às maiores e mais importantes nuvens públicas (AWS, Microsoft Azure e Google Cloud Platform).
E esse é um dos benefícios oferecido pelo Dome9, da Check Point, uma solução inovadora que pode operar no modo read only e manage. No primeiro, o contratante só tem direito de monitorar o ambiente e receber alertas. Já no segundo, é possível gerenciar os ambientes em nuvem a partir de uma única interface.
Solução comercializada pela Compugraf, o Dome9 oferece a possibilidade da empresa decidir suas regras de conformidade, protegendo aplicações e serviços em nuvem. Funciona em um sistema de continuos compliance, executando a checagem e monitoramento de segurança de hora em hora, e é 100% baseado em API’s, apresentando facilidade para se conectar às API’s nativas dos provedores.
Com Dome9 ficou fácil e seguro integrar sua cloud de forma simples e rápida. Consulte um dos especialistas para saber mais detalhes sobre essa solução que pode ajudar você a garantir a segurança da informação e proteger seu ambiente de ataques em nuvem!
- Published in Segurança da Informação
Tendências da Computação em Nuvem e a urgência da Segurança da Informação
Além de servir de base para boa parte da transformação digital que acontece no mundo como um todo, não só em âmbito corporativo, a computação em nuvem tem possibilitado a descoberta de novidades, mas vem desafiando os cuidados com segurança digital em nuvem.
Especialistas acreditam que o investimento em computação em nuvem no Brasil só cresce. Um estudo, intitulado Desempenho Global sobre Computação em Nuvem, trouxe uma novidade: o Brasil subiu no ranking de países que lideram o mercado de TI – de 22º em 2016 para 18º em 2018.
Reforçando essa informação, apontamentos divulgados pela BSA – organização voltada a defender os interesses globais de empresas de software – mostram que o Brasil é uma das nações que mais sofre com a privacidade dos dados. Em outras palavras, é preciso que as organizações estejam mais atentas à segurança digital em nuvem.
Pensando na expectativa que gira em torno da computação em nuvem para este e os próximos anos, resolvemos pontuar aqui algumas tendências de cloud computing. Acompanhe a seguir.
Aumento da adesão do setor público
Uma matéria publicada pela Revista Exame apontou que – de acordo com a HDI-AGOV , instituição especializada em tecnologia para o setor público – 30% das instituições de diversos segmentos do Governo já contam com serviços em nuvem.
A valorização do mercado, sobretudo, deve ser responsável por atrair os olhares. Em nome de uma maior flexibilidade, segurança da informação e até redução de custos, o armazenamento em cloud é a melhor solução – mas precisa ser acompanhada de um elaborado planejamento voltado à segurança digital em nuvem.
Uso de múltiplas nuvens
Segundo o IDC ( International Data Corporation) o investimento em cloud computing cresce progressivamente desde 2015 e os índices mostram que o aumento pode chegar à casa dos 240% até 2020.
Neste cenário, a multi-cloud, ou estratégia híbrida, vem sendo utilizada por grande parte das empresas. Trata-se de combinar características da nuvem privada com a flexibilidade da nuvem pública, uma vez que cerca de 48% de todos os arquivos depositados em nuvem, eventualmente, são compartilhados.
A Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação, Brasscom, admite que o crescimento do setor cloud em TI deve ser da ordem de 27% ao ano até 2021, exigindo investimento à altura na segurança digital em nuvem.
PaaS tem perspectiva de crescimento
Um dos modelos de uso da cloud, o PaaS (Platform as a Service) oferece plataformas para desenvolvimento de aplicações vinculadas à internet.
Hoje, o PaaS atua em 22 segmentos competitivos do mercado. Mas a expectativa, de acordo com a empresa de consultoria Gartner, é que a oferta de PaaS dobre de tamanho até 2022, uma vez que o crescimento vertiginoso do consumo de smartphones e o crescimento dos serviços em nuvem impulsionam cada vez mais o uso de aplicativos.
Os principais serviços de PaaS conectam-se, atualmente, a assuntos que estão em voga no mercado, como Inteligência Artificial, Aprendizado de Máquina e User Experience.
Essa conexão, como não poderia deixar de ser, propõe múltiplas funcionalidades -, mas pode ser um caminho aberto aos cibercriminosos que estão sempre identificando novas maneiras de driblar a segurança da informação para acessar informações e lucrar com elas.
IoT e inovação
A multiconexão e o crescimento da cloud também contribui para a expansão da IoT. A internet das Coisas promete revolucionar ainda mais a forma com que nos relacionamos com mundo.
Além das ações coordenadas com a IoT, que prometem conectar objetos antes inanimados à rede, a cloud computing sugere outras inovações como o desenvolvimento de modelos de computação sem servidor, com toda hospedagem feita através de órgãos distribuídos na nuvem.
O cuidado com a Segurança da Informação
Com a expansão da computação em nuvem, cresce também o cuidado com as ameaças e ataques virtuais que os sistemas podem receber a partir de inúmeros motivos.
Conexão a partir de diferentes dispositivos, falhas de segurança no sistema e o compartilhamento indevido de arquivos podem gerar brechas de segurança digital em nuvem que atentem contra a segurança da informação e dos principais ativos da empresa.
Contar com profissionais e soluções especializadas na proteção do seu ambiente em nuvem é a melhor garantia em segurança da informação, voltada a proteger as informações corporativas.
O Dome9, da Check Point, é uma solução comercializada pela Compugraf que tem por objetivo garantir a segurança digital em nuvem.
Ele possibilita que todos os ativos da nuvem sejam visualizados e controlados de forma simples e é totalmente coordenado por API, o que possibilita rápida conexão com as API’s dos principais provedores em nuvem (AWS, Microsoft, Google).
O Dome9 atua em total compliance com os mecanismos mais eficientes de segurança digital em nuvem, realizando verificação dos principais ativos armazenados de hora em hora.
Saiba mais informações sobre a solução falando com um de nossos especialistas. Entre em contato e conheça a mais inovadora solução voltada à segurança digital em nuvem, bem como outras soluções para deixar o ambiente de sua empresa devidamente protegido.
- Published in Segurança da Informação
Principal plataforma de gestão de privacidade do mundo, disponível agora no Brasil para LGPD
A Compugraf firmou uma parceria técnica e comercial com a OneTrust, sediada em Atlanta e Londres, para comercializar e implantar a sua plataforma e prover suporte em português para todo o território nacional.
“O Brasil enfrenta um importante desafio para se adequar às exigências da nova Lei Geral de Proteção de Dados, que vigorará, a princípio, em agosto de 2020. A plataforma OneTrust assistirá as companhias e os profissionais de TI, Compliance e Jurídico, a obter e manter a conformidade com a LGPD”, comenta Jacques Nasser, CEO da Compugraf, ao explicar porque decidiu apostar nesta importante parceira comercial e tecnológica.
O OneTrust é a maior e mais utilizada plataforma de tecnologia no mundo para operacionalizar privacidade, segurança e gerenciamento de riscos de terceiros. Segundo The Forrester New Wave™: GDPR And Privacy Management Software, Q4 2018, o OneTrust “lidera a concorrência em matéria de visão e de execução”. Além disso, a Fast Company classificou a OneTrust como uma das empresas mais inovadoras do mundo de 2019.
O OneTrust assiste na implementação dos programas de privacidade, segurança e riscos de terceiros, incluindo a manutenção automática dos registros específicos necessários para demonstrar a conformidade com as regulamentações de privacidade da LGPD brasileira, da GDPR europeia, CCPA da Califórnia, e de mais de centenas de leis de privacidade do mundo. Com mais de 700 colaboradores a nível mundial e mais de 2.500 clientes em 100 países, a OneTrust é controlada pela Manhattan Associates e pela VMware.
No mercado de soluções tecnológicas desde 1982, a Compugraf é especializada em segurança digital e comunicação corporativa, oferecendo estratégias inovadoras e larga experiência em projetos de segurança da informação.
A Lei Geral de proteção de Dados já é uma realidade em nosso país e as empresas que não estiverem adequadas às suas normas poderão sofrer prejuízos – financeiros e de imagem.
Não espere nem mais um minuto para que a sua empresa esteja em total conformidade com a LGPD: fale agora mesmo com nossos especialistas e descubra como garantir a privacidade de dados de seu ambiente e a conformidade com a legislação vigente.
- Published in Segurança da Informação
Momo e os desafios da segurança da informação para o público infantil
Recentemente um assunto ligado à segurança da informação gerou pânico entre os pais e profissionais da educação: o Desafio da Momo.
Segundo relatos, vídeos infantis públicados no YouTube tinham sido violados e, durante o conteúdo, surgia a medonha figura da Momo (lenda urbana japonesa), desafiando e ensinando as crianças a cortarem os próprios pulsos ou se enforcarem.
O assunto teve grande repercussão, trazendo à tona os perigos que rondam o acesso infantil à internet. Isso só ressalta a necessidade de pais e escolas priorizarem a segurança da informação para impedir que qualquer material inadequado seja acessado pelas crianças – que ainda não possuem condições de discernir totalmente entre fantasia e realidade.
Momo: perigo real ou imaginário?
Os pais podem respirar mais aliviados: não há nenhuma evidência de que vídeos com o Desafio da Momo estivessem de fato disponíveis no YouTube. Tanto a plataforma de vídeos, ONGs de segurança digital e até o Ministério Público não encontraram indício algum disso.
Isso não significa que não existam motivos para preocupação: a ameaça da possível presença de conteúdos deste tipo – ou um boato sobre a existência deles – pode se transformar em risco para o equilíbrio emocional dos mais novos.
Surgiram uma série de relatos nas redes sociais sobre crianças que ficaram tão assustadas com a história da Momo que passaram a ter dificuldade em dormir sozinhos ou com medo de ir para a escola. Isso só mostra o potencial destrutivo de personagens de terror na mente infantil.
Mas é preciso ir além: os perigos de situações ultrapassam as questões emocionais. Casos como este expõem a necessidade de uma política rígida de segurança da informação, que possa proteger as crianças de ameaças digitais – dentro de casa e no ambiente educacional.
Preparando as crianças para o mundo digital
Especialistas em segurança da informação acreditam que o Desafio da Momo é mesmo uma brincadeira de muito mau gosto, mas que serve de alerta para pais e professores sobre os perigos que o mundo digital pode oferecer às crianças.
Cada vez mais, é essencial preparar as crianças para uma navegação mais segura e consciente. E por utilizarem a internet como ferramenta educacional, as escolas também têm um papel essencial nessa conscientização digital sobre segurança da informação.
Mais do que isso: as escolas têm responsabilidade em relação ao que os seus alunos acessam quando estão em suas dependências, podendo responder judicialmente pelas consequências dessa utilização.
É fundamental que as instituições de ensino promovam uma política de segurança da informação, que englobe não só regras claras em relação aos acessos. É preciso colocar em prática um planejamento voltado à segurança digital que leve em conta as particularidades do ambiente escolar e possa conciliar a promoção do conhecimento com a segurança da informação.
Como sua escola pode proteger as crianças de ameaças digitais?
Visando oferecer experiências online seguras para crianças em idade escolar, a Check Point Software criou o SandBlast for Education.
Através desta solução, sua instituição se protege e protege os alunos de conteúdo inapropriado, ataques de phishing e cyberbullying nas redes sociais.
Com SandBlast for Education é possível também:
- Monitorar e alertar a escola sobre o comportamento online dos alunos, protegendo-a contra ameaças cibernéticas;
- Criar uma lista de segurança com palavras-chave que não devem ser acessadas – como “Momo” ou “Baleia Azul“, por exemplo;
- Prevenir o cyberbullying em chats, mensagens instantâneas e redes sociais;
- Proteger informações sensíveis armazenadas no ambiente educacional, que são muito visadas por cibercriminosos: dados pessoais, progresso acadêmico, informação comportamental, disciplinar e médica.
Ainda que o Desafio da Momo não tenha passado de uma farsa viral, ele deixa um alerta: o mundo digital está aí e alunos e escolas podem estar vulneráveis a ataques de cibercriminosos.
É preciso ensinar os mais novos como usufruir de seus benefícios sem ficarem expostos a perigos – que são muito reais!
É necessário também que as escolas busquem soluções tecnológicas para reduzir riscos online, evitando que crianças tenham acesso a conteúdos inadequados para sua faixa etária e/ou que coloquem em risco sua segurança e de todo o ambiente digital escolar.
Converse com os especialistas da Compugraf e conheça SandBlast for Education, a solução em Segurança da Informação que protegerá seu estabelecimento de ensino – e seus alunos também!
- Published in Segurança da Informação
Segurança da Informação minimiza riscos e preserva dados organizacionais
Atualmente, fica difícil imaginar que uma empresa possa competir em um mercado tão dinâmico sem estar plenamente adaptada às possibilidades que a tecnologia oferece. No entanto, via de regra, não existe uma cartilha definida para aderir a esse movimento de transformação digital – ainda que a segurança da informação seja ponto comum entre todas as organizações.
A consolidação de novas ferramentas tecnológicas trouxe reflexos em diferentes âmbitos da nossa vida. Dentro da esfera corporativa, a tecnologia provoca grande mudança na rotina e nos processos das organizações, o que afeta não só a gestão dos setores da empresa como também o domínio e a segurança da informação que é compartilhada.
Independentemente do tamanho ou do ramo de atividade em que atua, a adoção de soluções tecnológicas é essencial, mas exige um programa específico. Afinal, cada empresa tem suas características, exigindo um projeto de segurança da informação personalizado, adequado às necessidades e à capacidade de investimento, para obter os melhores resultados.
Um programa de segurança da informação efetivo consiste em um conjunto abrangente de políticas e procedimentos, base para qualquer programa de proteção de dados.
A preocupação com a segurança da informação deve fazer parte da agenda de todo gestor
A empresa Robert Half, atuante no setor de recolação profissional, realizou uma pesquisa com 100 CIOs brasileiros e concluiu que os maiores receios desses executivos são: extorsão, fraudes e roubos de dados (73%), espionagem e ransomware (53%) e uso abusivo dos dados empresariais (52%).
Ao serem questionados sobre as ações que pretendem implantar para obter maior proteção contra ataques virtuais, 74% dos executivos querem introduzir recursos de autenticação e autorização para acesso à rede corporativa, 55% pretendem criar uma política de uso e proteção de informações e 53% se mostraram preocupados em ter proteção para dispositivos móveis.
Prosseguindo com as preocupações relativas à segurança da informação corporativa, 47% dos pesquisados mostraram interesse em treinamento dos colaboradores para utilização correta dos dispositivos pessoais, enquanto 25% afirmaram o desejo de proibir acesso aos dados corporativos através de dispositivos pessoais.
Os gestores que participaram do estudo demonstraram ter em mira profissionais com conhecimento em prevenção, identificação, controle e proteção de ameaças virtuais. Contudo, tal tarefa não é assim tão fácil, uma vez que 47% dos CIOs manifestaram dificuldade em encontrar candidatos com o perfil desejado e que possam fazer frente aos ataques, em constante evolução.
Para driblar essa constatação, é essencial pensar em treinamentos de colaboradores ou, ainda, a contratação de empresas que possuam soluções – e profissionais – de ponta para garantir a segurança da informação.
Nota-se que, com o avanço da tecnologia, a preocupação contra ataques cibernéticos saiu da agenda dos profissionais de TI para fazer parte da rotina de todos os gestores que reconhecem os grandes inconvenientes que invasões digitais podem acarretar aos negócios.
Planejando a segurança da informação
Computadores e outros dispositivos digitais são essenciais para as empresas, gerando benefícios inumeráveis, mas também abrindo as portas para ameaças virtuais.
Nesse contexto, é necessário criar proteção contra ataques, começando por um bom planejamento de segurança da informação que gire em torno dos objetivos descritos a seguir.
Confidencialidade
Deve garantir que apenas pessoas autorizadas tenham acesso às informações ou que sejam visualizadas e utilizadas somente com permissão dos responsáveis. E os acessos liberados devem ser monitorados e registrados para análises posteriores, se necessário.
É o caso de bancos que, pela lei, são obrigados a proteger os dados dos clientes e, em caso de vazamento, são responsabilizados pelos danos causados.
Disponibilidade
Significa que os dados podem ser acessados e modificados por qualquer pessoa autorizada, sempre que desejar ou precisar.
Os tempos modernos exigem essa possibilidade, uma vez que colaboradores executam suas funções dentro da empresa, em sua residência ou, ainda, acessam dados em ambientes externos em momento de reunião ou de uma viagem corporativa, por exemplo.
Autenticidade
Não basta restringir acesso apenas às pessoas autorizadas. Devem ser criados mecanismos para certificar-se de que ela é mesmo quem afirma ser. Um exemplo é o uso de token, que permite um rodízio de senhas enviadas ao celular da pessoa autorizada, sempre que ela solicitar permissão de acesso às informações.
Existem outras formas de identificar as pessoas, como uso de ID (login) e senha; cartões de acesso; impressão digital ou globo ocular. Qual a solução ideal? Aquela que atende as necessidades da empresa, inclusive financeiramente.
Integridade
Toda informação disponível deve ser totalmente confiável, isto é, representar a verdade. Para isso, qualquer alteração deve ser documentada, aumentando o grau de confiabilidade e assegurando que apenas indivíduos devidamente autorizados poderão manipular e consultar os dados.
Vale lembrar que faz parte dessa integridade, seguir corretamente a legislação brasileira sobre o assunto.
Construindo um programa de segurança da informação eficiente
Construir um programa de segurança da informação significa projetar e implementar práticas de segurança que protejam processos críticos e ativos de TI e que possam amadurecer com o tempo. Esse programa ajudará a definir políticas e procedimentos para avaliar riscos, monitorar ameaças e mitigar ataques.
Ainda que cada empresa tenha suas próprias características, demandando um programa específico às suas necessidades, existem algumas regras básicas a serem observadas na busca pela segurança da informação eficiente. Vamos conhecê-las?
1. Ampla visão dos negócios
Uma estratégia de segurança digital eficaz precisa ter uma visão ampla sobre os ativos, falhas e oportunidades de melhoria de proteção. Isso porque ela impactará toda a empresa, necessitando estar alinhada com os objetivos de negócio e em conformidade com legislação vigente.
2. Ser proativo (e não “apagar incêndio”)
Esperar a violação ocorrer para buscar soluções não é uma atitude recomendável. Utilizar os dados disponíveis possibilita identificar riscos iminentes e encontrar as melhores soluções de proteção.
A gestão, avaliação e o monitoramento de riscos devem fazer parte de tarefas rotineiras, para que as estratégias de segurança possam evoluir continuamente.
3. A segurança como parte da cultura empresarial
A política de segurança da informação implantada deve ser seguida por todos, começando pela alta cúpula organizacional e chegando aos demais colaboradores.
Uma frase, de autor desconhecido, dá uma dimensão deste tópico ao afirmar que “a falta de vontade institucional é mais destrutiva do que qualquer outra tecnologia, pois qualquer sistema de segurança que ignore a natureza humana, falhará”.
É imprescindível que todas as pessoas tenham consciência dos perigos existentes no mundo virtual e que é dever de todos seguir a política de segurança da informação adotada pela instituição, visando a proteção de dados. Cabe à organização, obviamente, criar mecanismos para que todos conheçam as regras de proteção e se engajem em seu cumprimento – incluindo parceiros e outras pessoas que, de alguma forma, acessam os dados empresariais.
Empresas que levam a segurança da informação a sério, além de se preservar de ataques e prejuízos, passam maior confiança ajudando na construção de uma imagem positiva e de maior credibilidade.
Ataques de Phishing colocam em xeque a segurança da informação
O Brasil lidera o ranking dos países latino-americanos em ataques de Phishing, mensagens que parecem ser enviadas por organizações legítimas, como um banco ou agência governamental, mas que visam apenas efetuar um ataque virtual. De modo educado, os e-mails solicitam atualização, validação ou confirmação de dados pessoais como número de conta corrente ou documento.
Devido ao nível de sofisticação, os usuários caem na armadilha, colocando em risco suas informações e, também, abrindo caminho para que os cibercriminosos acessem dados da empresa – quando o colaborador sofre ataque de Phishing usando um equipamento do local de trabalho.
Um ataque desse tipo pode causar grandes prejuízos às empresas, e basta um alvo específico – como uma empresa de propriedade intelectual da Europa ou uma organização esportiva internacional – abrir um e-mail para contaminar todo o sistema. Por isso a melhor forma de evitar ataques é a prevenção, treinando os colaboradores para não serem alvo de crimes virtuais.
Algumas empresas oferecem até premiações para os colaboradores que, testados, não abram espaço para esse tipo de ataque.
A tecnologia em prol da segurança da informação
A construção de uma rede corporativa é uma ferramenta de trabalho valiosa quando ponderamos aspectos que tangem a segurança da informação. Além de impactar positivamente na integração da equipe de trabalho, revolucionando a forma com que a comunicação entre funcionários acontece, as redes sociais corporativas estimulam a produtividade e o engajamento da equipe ao aproximarem as pessoas envolvidas nos processos.
Essa horizontalidade, em termos de comunicação, representa um gerenciamento mais proativo por parte de todos os envolvidos no projeto. Nestes casos, a hierarquia e a divisão de responsabilidades se mantém, mas a gestão do negócio se torna, invariavelmente, mais participativa no aspecto da coletividade.
Por último, mas não menos importante, o uso de redes corporativas também pode reforçar a proteção da informação e do compartilhamento de dados, uma vez que elas fazem uso de sofisticados dispositivos de segurança. Sendo unificada e delimitada entre setores ou áreas da empresa, a plataforma cria um repositório de dados, que inclusive pode ser resguardado em nuvem, para garantir a total privacidade e segurança da informação.
Como garantir a segurança de dados com o uso cada vez maior de dispositivos móveis
Cada vez mais os dispositivos móveis têm sido utilizados como ferramentas para aumento da produtividade e lucratividade, mantendo a competitividade empresarial em um mercado mais e mais dinâmico.
Além disso, o novo cenário coloca colaboradores executando suas tarefas via home office, exigindo das organizações uma estrutura de rede que siga as políticas de segurança corporativa e minimize riscos, independentemente do acesso ser feito na empresa ou de local externo.
E já que toda máquina está sujeita a ataques, incluindo os dispositivos móveis – sejam os dos próprios empregados ou cedidos pela organização -, é preciso cuidado redobrado para proteção e privacidade dos dados corporativos, uma vez que o volume compartilhado e armazenado é muito grande.
Essa preocupação é tão grande que na comunidade europeia já existe uma lei (chamada GDPR) que determina o investimento em mecanismos de segurança como forma de prevenir eventuais ataques cibernéticos que levem prejuízo aos sistemas de informação das empresas. Uma das questões discutidas dessa nova lei, obriga as organizações a informarem, tanto o governo quanto a população, sobre o vazamento de dados.
Como podemos notar, à medida que há uma expansão das possibilidades de negócio dentro da empresa, ampliando o acesso à informação, o uso de dispositivos móveis pode tornar o sistema vulnerável.
Por essa razão, é fundamental cadastrar os equipamentos que terão liberdade de acessar o sistema da empresa e ter políticas claras sobre a utilização dos dispositivos.
Algumas práticas são recomendas para quem deseja minimizar problemas de ataques, entre elas:
- Uso de software e geolocalização para ajudar a localizar dispositivo perdido ou roubado;
- Ter um software que remova dados e senhas e que envie alerta em caso de perdas e roubos;
- Configurar parâmetros de conexão automática com o Wi-Fi da empresa, garantindo uma conexão mais segura;
- Ter regras claras para instalação de aplicativos;
- Restringir uso de câmeras e gravação de áudio;
- Ter logins e senhas fortes.
O que analisar antes de investir em soluções especializadas em segurança da informação?
Quando bem implementado, de acordo com as necessidades da empresa, o planejamento voltado à segurança da informação contribui para mitigar riscos e promover uma maior proteção.
A escolha das soluções especializadas para proteção de seus negócios devem considerar alguns aspectos, entre eles: se tem capacidade de integração com as soluções já existentes na organização; se oferece a possibilidade de adaptação aos fluxos de trabalho, ou seja, que tenha escalabilidade; quais medidas de segurança ela oferece no caso de ataques.
Uma solução que só notifica o problema é inferior àquela que detecta e oferece recursos para solucioná-lo rapidamente ou até uma solução preditiva.
A construção da solução deve ser feita com cuidado, para não permitir falhas em todo o sistema – e, em caso de ocorrência, poder detectar e eliminar a ameaça o mais rapidamente possível.
Deve-se prezar por um sistema que seja compatível com o perfil da empresa. Isso não só melhora o custo do investimento, mas também o torna mais escalável e dinâmico. Afinal, um sistema de proteção incompatível com as necessidades pode gerar dores de cabeça e eventuais prejuízos.
Segurança da informação: o papel das equipes de trabalho
Já foi abordado neste artigo que segurança da informação tem relação direta com a cultura da empresa. Diante de uma comunicação horizontal e transparente, com um repositório único de dados, garantir proteção aos dados empresarias passa a fazer parte das responsabilidades de toda equipe de trabalho.
O engajamento real dos funcionários, não só com as políticas de privacidade e conduta da empresa, mas também com o domínio da informação, é fundamental para garantir a segurança da informação dentro da empresa, evitando inconvenientes que possam comprometer o resultado e os objetivos planejados a longo prazo.
Já está claro que para minimizar os riscos e preservar os dados da sua organização, é necessário sinergia entre diferentes setores. Trata-se de uma combinação entre a perfeita aplicação da solução personalizada, o engajamento da equipe com o novo modelo e o suporte de uma empresa especializada para a realização de manutenções ou atualizações.
Segurança da Informação é um tema complexo e urgente, sendo que todas as empresas – independente de porte e segmento – estão sujeitas a sofrerem ataques cibernéticos. Nesse sentido, a prevenção é mesmo o melhor caminho, por isso conte com o apoio do time de especialista da Compugraf e conheça nossos serviços!
- Published in Segurança da Informação