A estratégia de cibersegurança deve começar com o entendimento da empresa em relação a maturidade que possui frente aos temas de segurança operacional, processual e patrimonial

A cada dia mais observamos o aumento de vulnerabilidades de forma descomunal agregadas ainda com ameaças mais avançadas, complexas e direcionadas, dependendo do objetivo que o atacante deseja para a exploração. Atualmente já é possível encontrar até “serviços” de “Ransomware as a Service” e, como se não bastasse, o GAP de profissionais capacitados em segurança cibernética cresce cada vez mais, deixando as plataformas sem os cuidados necessários e sem integração com as demais tecnologias.

Com isso, o gestor de cibersegurança não consegue ter a real visibilidade do ambiente que deve ser protegido, deixando mais complexa a implementação de controles, métricas e ficar em compliance com normas e legislações como a LGPD (Lei Geral de Proteção de Dados).

Lei Geral de Proteção de Dados

Atualmente, os planos tecnológicos que travam ou dificultam o negócio da empresa não têm mais espaço e não serão sequer considerados pelos executivos.

É essencial iniciar uma metodologia que cobre todo o ciclo de vida da cibersegurança com a escolha de padrões globais, como NIST e ISO/IEC 27001, adicionando padrões específicos para cada tipo de indústria. Por exemplo: NERC-CIP focado em utilities, ISA/IEC 62443 voltado para automação, PCI-DSS para indústrias de meio de pagamentos, entre outras, sem esquecer a abordagem para a proteção de dados pessoais, como a LGPD e GDPR (General Data Protection Regulation). Padrões que geram visibilidade do nível de riscos, como ISO/IEC 31000 e ISO/IEC 27005 com medição da maturidade, como a CMMI e C2M2, também não podem faltar.

Temas como Visão de Negócio e Estratégias de Segurança não podem ser esquecidos na abordagem, pois são uma importante etapa para se ter o entendimento de como os executivos tratam esta questão. Eles apoiam? Tem investimento? Existem diretrizes? O plano é bem estabelecido e divulgado? Outros assuntos como Políticas, Processos, Compliance, Guias, Procedimentos, Papéis e Responsabilidades, Modelos de Domínios de Segurança, Classificação de Dados também devem ser tratados quando se fala em Segurança da Informação.

O Gerenciamento de Riscos é outro ponto que deve ser aprofundado, desde tratamento das ameaças, vulnerabilidades, assurance, compliance, legislações, ativos e negócios para correlacionar todos os controles implementados, mapear fatores de riscos, impactos, probabilidades e, até mesmo, projeções, facilitando a tomada de decisões quanto a mitigação do risco residual, transferência do risco ou, simplesmente, aceitação de determinado risco.

Já em tecnologia, a questão não é somente se tem ou não uma plataforma específica, mas como a plataforma está posicionada, configurada e dimensionada. As aplicações estão protegidas? Há gerenciamento das vulnerabilidades? Inclusive, este mecanismo, além de trazer a situação dos ativos e aplicações, pode ser utilizado para complementar o catálogo de ativos da empresa.

É improvável aplicar controles e boa segurança em algo que não temos visibilidade e conhecimento

Existem mecanismos que garantem minimamente boas camadas de segurança, validam acessos, controles de informações, principalmente que saem da empresa bem como de aplicações permitidas. O comportamento das aplicações em relação ao tráfego e comunicações, deve ser considerado.

Para uma boa cobertura na segurança dos dados, algumas questões como monitoramento de integridade de arquivos, criptografia dos dados – seja em repouso ou em trânsito -, controle e gerenciamento dos certificados, classificação das informações para a aplicação do devido controle de proteção são fundamentais, assim como a realização do mapeamento dos dados que irá ajudar com questões da LGPD. (Conheça a solução LGPD Assessment da Brasiline).

Já a proteção dos endpoints e dispositivos móveis, um bom controle de aplicação de patches com períodos pré-estabelecidos e ambientes para teste ajudarão nos processos de baselines/hardenings de segurança. Plataformas para detecção e proteção de ameaças e controle de postura dos endpoints também são importantes, mas não resolve todos os problemas, ainda mais se a autenticação, controle de senhas, acessos privilegiados, autenticações em várias etapas (MFA – Multi Factor Authenticator) não forem aplicados.

Controles robustos na infraestrutura, seja elas On-premises ou em Cloud, que vão destes acessos e permissões do que está hospedado ou conectado – uma vez que hoje em dia não há mais o conceito do perímetro -, também são cruciais, considerando os vários casos de acessos não autorizados e vazamentos ocasionados por descuido que, muitas vezes, com processos e revisões, poderiam ter sido previstos.

O apoio no controle, gerenciamento e resposta das ameaças com as várias plataformas e serviços que atualmente há no mercado, como SOAR, Threat Intell, SOC as a Service, Cyberdeception, Honeypots, CSIRT são muito bem-vindas. É necessário avaliar como Gerenciamento de Acessos, Gerenciamento de Mudanças, Gerenciamento de Incidentes, Gerenciamento de Configurações e Patches, Gerenciamento de Eventos e Monitoração e Gerenciamento de Vulnerabilidades são tratados dentro da empresa.

A operação de cibersegurança é uma peça-chave, pois ela correlaciona e valida todas as políticas e processos criados juntamente com as tecnologias e plataformas implementadas. Ou seja, não é possível operar apenas com bons documentos, políticas e processos sem ter tecnologias para apoiar e fazer a proteção do ambiente de uma empresa. Do mesmo modo que apenas com tecnologias e sem processos implementados com uma operação coordenada os resultados não serão os melhores. Esta abordagem evita desperdício de recurso (que já estão escassos), fazendo melhor uso do orçamento para Cybersecurity, além de ter um ganho de eficiência operacional notório.

Com essa abordagem, os Gestores e Executivos de Segurança ou TI conseguirão ter uma visibilidade de todo o ciclo de vida de cibersegurança através de um roadmap focado em processos e tecnologias com priorizações de projetos, de forma que o avanço seja natural, considerando a capacidade operacional da empresa, o orçamento disponível, benchmark, ramo de atuação, legislações e regulamentação.

Fonte

Sobre a Brasiline

A Brasiline construiu, em mais de 19 anos de mercado, uma equipe que é referência no setor, sempre investindo na qualificação dos profissionais e na implantação de soluções eficazes, baseadas nas melhores práticas de projetos e processos. Chamamos esse nosso time de Experts Brasiline.

Uma equipe de profissionais com ampla experiência no mercado de TI cibersegurança e missão crítica, com objetivo de prestar uma consultoria criteriosa, avaliando as reais necessidades do cliente e sugerir a melhor alternativa.

Nosso objetivo é garantir um alto nível de serviço e qualidade nos projetos, para que a sua TI seja usada de forma estratégica, a favor dos seus negócios e das pessoas envolvidas. Assim, sua empresa pode focar no que realmente interessa: no seu core business. Conte com nossos Experts e garanta para sua operação um suporte técnico ágil e eficiente.

Conheça nossos cases de sucesso
Entre em contato conosco