3 de maio de 2018 – Atech
3rd Maio Archives
Entenda os desafios da segurança digital do usuário em indústrias altamente reguladas
by atech 3 de maio de 2018
Atender com eficiência a todas as normas que regulam a segurança digital em indústrias altamente reguladas não significa apenas manter a conformidade. Significa evitar enormes prejuízos financeiros e, também, danos à reputação da marca. Entre os setores altamente regulados, os de finanças e de saúde são dois dos maiores alvos de hackers, ávidos pelas informações pessoais de clientes e de pacientes.
No Brasil, dois bancos, duas operadoras e duas agências governamentais foram em 2016 alvo de um maciço ataque DDoS (Distributed Denial of Service), realizado a partir de uma rede de bots criada após a invasão de câmeras de segurança. Bots (robôs) são dispositivos conectados à internet infectados com malware que permitem que hackers assumam remotamente o controle de muitos dispositivos ao mesmo tempo.
A invasão às câmeras de circuito fechado aproveitou uma falha no software para sobrecarregar sites, criando uma rede de câmeras dedicadas para ataques DDoS. Com o ataque, os servidores não aguentaram e os serviços foram interrompidos. As instituições não revelaram o prejuízo causado pelo ataque.
Em 2017, o Brasil foi alvo de quase 250 mil ataques DDoS, o que corresponde a mais de 700 ataques diários. Globalmente, foram registrados 7,5 milhões de ataques DDoS nesse período.
Prejuízo para as instituições financeiras
Pesquisa realizada pela consultoria B2B Market Research Company aponta que, globalmente, em 2017, os ataques DDoS fazem os bancos perder em média US$ 1,8 milhão. Ainda segundo o estudo, 49% dos bancos que sofreram um ataque DDoS tiveram seu site público afetado e 48% tiveram a plataforma de internet banking também afetada pelos ataques.
Em comparação com outros setores, recuperar-se desse tipo de ataque DDoS pode custar US$ 1.172.000 para uma instituição financeira, enquanto que para as empresas de outros setores, o custo é de US$ 952.000.
De acordo com a organização CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil), um ataque DDoS não tem o objetivo direto de invadir e nem de coletar informações, mas sim de exaurir recursos e causar indisponibilidade ao alvo. Os usuários desses recursos são diretamente afetados e ficam impossibilitados de acessar ou realizar as operações desejadas, já que o alvo do ataque não consegue diferenciar os acessos legítimos dos maliciosos e fica sobrecarregado ao tentar tratar todas as requisições recebidas.
O maior problema é que os ataques DDoS funcionam como distração para outros ataques. Eles são realizados com o objetivo de distrair as equipes de rede e segurança das empresas atacadas. Enquanto estão ocupados tentando mitigar o ataque DDoS, os hackers aproveitam para efetuar outras atividades maliciosas como, por exemplo, furtar dados e invadir sistemas.
Ainda segundo o CERT.br, as motivações dos hackers são bem variadas, e os especialistas também destacam:
Ganho econômico ou financeiro: são ataques direcionados principalmente a empresas e realizados, por exemplo, para causar prejuízos a concorrentes (concorrência desleal), tentar extorquir dinheiro e como forma de demonstrar "poder de fogo" a possíveis clientes e alvos
Represália ou vingança: são ataques realizados como resposta a fatos que os atacantes julgam ser injustos ou que, de alguma forma, os deixaram descontentes
Crença ideológica ou política: são ataques realizados por desavenças políticas e diferenças religiosas. Costumam estar associados à prática do hacktivismo
Desafio intelectual: na sua maioria, os atacantes desta categoria são iniciantes e realizam os ataques para experimentar e aprender como realizar diversos ataques DDoS
Outros: motivações individuais e genéricas, como tentativa de adiamento de prazos para a entrega de documentos e trabalhos
Setor de saúde também é alvo de hackers
Estudo divulgado em 2016 pelo Instituto Ponemon nos Estados Unidos mostra que o setor de saúde – altamente regulado por conta das informações confidenciais sobre pacientes – também vem sendo alvo de ataques DDoS, assim como de ransomware e malware.
A sexta edição do estudo aponta que quase 90% das organizações de saúde nos EUA sofreram uma violação de dados entre 2014 e 2016, sendo que quase metade (45%) sofreu mais de cinco violações e dados no mesmo período.
Os ataques de hackers são a principal causa de violações de dados nos serviços de saúde – 50%. Problemas internos, como erros – ações não intencionais de funcionários, confusões de terceiros e dispositivos roubados – respondem pela outra metade das violações de dados.
E para se ter uma ideia do valor que esses dados valem no mercado negro, um hacker exigiu US$ 400 mil de resgate para devolver 387 mil registros de um hospital de Atlanta.
Melhores práticas para manter a segurança digital em indústrias altamente reguladas
Os dados divulgados até agora não deixam dúvida de que o cenário do cibercrime está cada vez mais inovador e ousado. Por isso, é importante se manter sempre um passo adiante, também inovando na segurança e promovendo uma cultura de segurança em toda a empresa. Veja algumas das melhores práticas para manter a segurança digital em indústrias altamente reguladas:
1 – Implante ferramentas de análise de risco
Esse é o primeiro passo para conhecer os pontos fortes e pontos fracos de sua segurança digital, iniciando o projeto de uma política de segurança. Serviços de teste de intrusão permitem identificar a vulnerabilidade da infraestrutura de TI, mapear riscos e evitar o impacto de ataques, avaliando todo o ambiente.
2 – Revise políticas de acesso e de autorização
Ainda no âmbito da análise de risco, é preciso avaliar a força das senhas e permissões de acesso, tanto em relação à rede quanto às áreas físicas, garantindo que apenas as pessoas autorizadas tenham acesso aos dados ou salas.
3 – Implante uma política de segurança dos dados
Para garantir a segurança digital em indústrias altamente reguladas, ou mesmo nas que não estão sujeitas a tantas normas de conformidade, cada funcionário deve ter consciência de que é responsável pela proteção dos dados corporativos. Por isso, a empresa deve elaborar um manual com a sua política de segurança, em linguagem clara e objetiva, que possa ser facilmente acessado por todos os funcionários, destacando as ações que devem ser tomadas quando existir a suspeita de uma brecha na segurança. Esse documento também deve conter as políticas de segurança para lidar com os dados de terceiros. A leitura desse documento deve ser obrigatória.
4 – Avalie os funcionários e provedores externos
Verifique os antecedentes dos funcionários e, em relação a terceiros, avalie se as suas políticas de segurança estão, pelo menos, no mesmo patamar que as da sua empresa.
5 – Mantenha a conformidade
A melhor forma de garantir a segurança digital em indústrias altamente reguladas é contar com um parceiro especializado nessa área que valide protocolos, processos e a implementação da política de segurança.
A Atech conta com a expertise necessária para garantir a segurança digital em indústrias altamente reguladas, com serviços de teste de intrusão e quebra de senhas, que ajudam as empresas a obter mais eficiência. Ao avaliar a segurança pela visão do cibercriminoso, os especialistas da Atech oferecem mais inteligência à sua estratégia digital.