Por
Helder Assis
Nos
últimos meses, todos enfrentaram uma nova realidade com o chamado “novo
normal”, que trouxe necessidades de adaptações em diversas esferas. Quando
pensamos no âmbito empresarial, um dos domínios mais impactados certamente foi
a Segurança da Informação.
Subitamente,
empresas que ainda não tinham o home office como prática de trabalho precisaram
prover soluções de trabalho remoto a seus funcionários. Em muitos casos, houve
a necessidade de utilização de dispositivos pessoais (BYOD, do inglês Bring
Your Own Device), assim como foi preciso customizar acessos, implantar novas
ferramentas, reforçar elementos de segurança e até revisar políticas existentes
ou criar excepcionalidades às mesmas.
Isso
tudo em um momento em que o volume de ataques cibernéticos aumentou
consideravelmente, catapultado por tentativas de fraudes com temáticas
relacionadas ao COVID-19 ou a políticas governamentais derivadas do momento
pandêmico. Segundo o levantamento do CERT.br (Centro de Estudos, Resposta e Tratamento a Incidentes de
Segurança no Brasil), houve
um aumento de 54% nas fraudes reportadas no País durante o primeiro semestre de
2020 em comparação ao mesmo período de 2019.
Paralelamente
ao cenário acima, muitos executivos de TI e de Segurança da Informação
precisaram focar os seus esforços nas ações de resposta à crise, deixando de
dar prioridade aos projetos estruturantes anteriormente planejados e que se
faziam necessários naquele momento. Em muitos casos, esta demanda de revisão
foi percebida rapidamente, mas nem sempre o tempo de reação foi o ideal para
retomar tais iniciativas. O momento exigia que as organizações
aperfeiçoassem sua proteção, ampliando iniciativas de detecção de incidentes,
testes de segurança e conscientização em geral.
Avaliando
o cenário e as novas condições disruptivas que estamos vivendo, as abordagens
integrativas e multidisciplinares devem servir de apoio às empresas. Uma dessas
abordagens, já testada e utilizada com sucesso em diversas organizações, é o
que chamamos de “Virtual CISO”. Trata-se de uma estrutura projetada para
oferecer auxílio, gerenciamento e fornecimento contínuos de serviços de
Segurança da Informação para amparar as iniciativas e os projetos, dando
respaldo ao C-level e aos gestores de TI e de Segurança da Informação.
O
modelo reúne um time de especialistas em cybersecurity para prestar um serviço
gerenciado, cujo objetivo principal é fortalecer a capacidade defensiva em
segurança cibernética, além de engajar os stakeholders e dar foco nas entregas,
trazendo as habilidades de vários especialistas para enfrentar tanto os riscos
tradicionais quanto os emergentes.
As
atividades a serem contempladas são personalizadas de acordo com os requisitos
específicos da organização e incluem serviços como gerenciamento de projetos
(PMO), revisão de políticas e normativos, análise dos riscos e gaps de
controles, testes de invasão, conscientização e gestão de vulnerabilidades.
Além disso, ele pode ser customizável tanto para as grandes organizações, que
já têm uma estrutura de segurança, quando para as pequenas e médias empresas
que não possuam uma área específica para tratar das questões de Segurança da
Informação.
O
tempo das pessoas dedicadas à Segurança da Informação é precioso, porém é ainda
mais escasso em tempos de crise. As ameaças cibernéticas estão evoluindo para
explorar as mudanças dos novos métodos de trabalho e diferentes técnicas estão
surgindo para o roubo de identidade e o comprometimento de informações
confidenciais. Além disto, a adoção do modelo híbrido - com o home
office tornando-se uma opção pós-pandemia - é cada vez mais factível. Portanto,
diante do aumento exposição em geral - seja pela proliferação dos malwares,
seja pelo aumento do acesso remoto às redes corporativas, a velocidade de
resposta dos executivos, gerentes e líderes de segurança a qualquer incidente
ou fraude é crucial.
E,
para que as decisões tenham mais embasamento e efetividade, é necessário
um conjunto holístico de processos gerenciados de segurança alinhados ao
negócio como o provido pelo modelo "Virtual CISO", o que promoverá
informações executivas que assegurem que os riscos de segurança cibernética
sejam bem compreendidos e sanados antes que os danos afetem as organizações.
Helder
Assis é gerente de Cyber Security e de privacidade de dados na ICTS Protiviti,
empresa especializada em soluções para gestão de riscos, compliance, auditoria
interna, investigação, proteção e privacidade de dados.