CISO Insider: Edição 1

A COVID-19 exigiu que as organizações aumentassem a confiança na flexibilidade do local de trabalho e acelerassem a transformação digital, e essas mudanças naturalmente também exigiram algumas mudanças nas táticas de segurança. O perímetro se expandiu e está cada vez mais híbrido, abrangendo várias nuvens e plataformas. Embora as novas tecnologias tenham sido uma bênção para muitas organizações, possibilitando a produtividade e o crescimento mesmo em tempos difíceis, as mudanças também apresentaram uma oportunidade para os criminosos cibernéticos, que trabalham para explorar as vulnerabilidades encontradas em ambientes digitais cada vez mais complexos.

O aumento nos ataques de phishing relacionados ao trabalho remoto é uma prioridade para os profissionais de segurança com quem converso, e vemos isso refletido também em nossa pesquisa. Em uma pesquisa da Microsoft com os líderes de segurança realizado em 2020, 55% disseram-nos que as suas organizações tinham detetado um aumento nos ataques de phishing desde o início da pandemia e 88% disseram que os ataques de phishing tinham afetado as suas organizações. Também ouço regularmente sobre o aumento dos ataques de ransomware, como o malware continua sendo uma ameaça constante e como o comprometimento da identidade permanece um grande desafio que atormenta as equipes de segurança.

Além disso, sabemos que os ataques de estados-nações estão cada vez mais agressivos e persistentes. O ataque à cadeia de fornecedores da NOBELIUM, que utiliza a plataforma SolarWinds, foi um dos muitos ataques inovadores que ganharam as manchetes no ano passado. Embora as novas técnicas chamativas sejam o que frequentemente capturam os ciclos de notícias, os CISOs sempre me dizem que mesmo esses atores de ameaças avançadas, como a maioria dos criminosos cibernéticos, tendem a se concentrar em ataques de oportunidade de baixo custo e alto valor.

Para ilustrar melhor esse ponto, observamos um aumento no número de invasores de estados-nações que utilizam ataques de pulverização de senha. Ser líder de segurança significa gerenciar riscos e prioridades, e muitos líderes me dizem que sua principal prioridade é fortalecer a higiene cibernética para evitar as linhas de ataque mais comuns, especialmente na crescente pegada digital. E nossos dados e pesquisas corroboram esse sentimento, estimamos que a higiene básica de segurança ainda protege contra 98% dos ataques (confira a página 124 do Relatório de Defesa Digital da Microsoft, outubro de 2021).

Você pode estar pensando que é fácil falar sobre as etapas fundamentais de segurança, mas é muito mais difícil implementá-las na vida real, especialmente quando uma equipe está sobrecarregada e com pouco pessoal. Mas eu diria que ser um líder de segurança é gerenciar tanto o risco quanto a priorização, e isso faz com que o foco nos fundamentos seja uma abordagem solidamente pragmática. Com muita frequência, os incidentes de segurança não são uma questão de SE, mas de QUANDO. Há centenas deestatísticas alarmantes sobre segurança cibernética, como cerca de 4.000 ataques de crimes cibernéticos cometidos todos os dias somente nos EUA e mais de 30.000 sites em todo o mundo são hackeados diariamente.

Acredito que a melhor linha de defesa é adotar uma abordagem equilibrada e investir em detecção e resposta a incidentes juntamente com a prevenção.

Embora possa parecer difícil investir em novos níveis de prevenção e, ao mesmo tempo, tentar acompanhar as crescentes demandas de detecção e resposta, encontrar o equilíbrio certo entre os dois esforços é essencial e benéfico. Um estudo de 2021 do Ponemon Institute e da IBM Security descobriu que as organizações sem uma equipe de resposta a incidentes ou um plano em vigor viram o custo médio das violações de dados aumentar 55%. As equipes de segurança que conseguirem equilibrar uma prevenção sólida com uma estratégia que inclua uma resposta a incidentes e investimentos em ferramentas de detecção e correção estarão bem posicionadas para enfrentar o inevitável.

Todos nós já ouvimos falar da grande renúncia. Mais de 40% da força de trabalho global está pensando em deixar seu empregador este ano, e os líderes de segurança e suas equipes já se sentem com pouco pessoal. Costumo conversar com os CISOs sobre como as coisas estão indo de modo geral, e uma de suas principais preocupações é conseguir encontrar e reter os melhores talentos. E se os melhores talentos saírem, eles terão que encontrar novos talentos ou aprimorar as habilidades dos que ficaram. Uma tecnologia mais eficiente, integrada e automatizada pode ajudar, mas não é suficiente.

Os jargões de segurança tornaram-se parte do vernáculo cotidiano, pois os ataques cibernéticos aparecem regularmente nas notícias, e esses ataques (e as notícias sobre eles) podem afetar profundamente uma empresa. Mas adivinhe só? Nem tudo são más notícias. Como a segurança cibernética se tornou um tópico familiar em todas as áreas da organização, estamos ouvindo que o conceito de "segurança é trabalho de todos" está começando a ressoar nas organizações. Especialmente com os novos modelos de trabalho híbridos e os perímetros de segurança sendo forçados de todas as formas, os líderes de segurança estão cada vez mais confiando em formas inovadoras de manter todos seguros, mesmo enfrentando lacunas de talentos e habilidades. Não "fazer mais com menos", mas "fazer mais com diferença" é o que os líderes de segurança inovadores estão fazendo atualmente.

Embora a escassez de talentos e habilidades definitivamente não seja positiva, há um pequeno raio de luz aqui, a criação de uma cultura de segurança está se tornando uma realidade. Muitos CISOs estão nos dizendo que uma das maneiras mais eficazes de enfrentar seus desafios de segurança em meio a desafios de pessoal é criar uma cultura de segurança em que a segurança seja o trabalho de todos. Os CISOs estão defendendo cada vez mais essa noção de que toda a organização pode assumir a responsabilidade pela segurança, especialmente porque estão enfrentando escassez de pessoal ou desafios de financiamento.

As equipes de desenvolvimento, os administradores de sistemas e, sim, os usuários finais, devem entender as políticas de segurança relacionadas a eles. O compartilhamento de informações é fundamental e as equipes de segurança estão encontrando cada vez mais novas maneiras de trabalhar com desenvolvedores, administradores e proprietários de processos de negócios para entender os riscos e desenvolver políticas e procedimentos que beneficiem toda a organização.

A escassez de talentos e as lacunas nas habilidades (especialmente na profissão de segurança cibernética, que está em constante mudança) fazem com que os CISOs procurem maneiras novas e inovadoras de se manter à frente. Uma estratégia sobre a qual continuamos a ouvir falar é a "delegação" em evolução de funcionários fora da equipe de segurança. Os CISOs estão buscando alavancar toda a organização, com foco especial no treinamento de usuários finais para que façam parte da solução e na criação de suporte das equipes adjacentes.

Aumentar e aprimorar o conhecimento dos usuários finais sobre as ameaças à segurança, como garantir que eles entendam o que é phishing e os sinais de ataques sutis, é um longo caminho para aumentar os olhos e os ouvidos da equipe de segurança, especialmente como uma estratégia de "ponta de lança", em que os usuários finais costumam ser um ponto de entrada do ataque. Não estou dizendo que os usuários finais podem ser magicamente treinados para detectar tudo, mas ter usuários preparados e alertas pode reduzir drasticamente a carga sobre as equipes de segurança.

Outra estratégia é substituir a TI como parte da segurança. Manter a equipe de TI intimamente ligada à equipe de segurança e garantir que a TI seja informada sobre as estratégias de segurança está ajudando muitos líderes de segurança a estender sua missão a todas as áreas da organização.

Fornecer orientação e ajuda sobre automação e outras estratégias proativas de gerenciamento de tarefas e fluxo de trabalho é uma forma fundamental de os CISOs ampliarem suas equipes e aproveitarem a TI para ajudar a garantir uma postura de segurança sólida.

Todas as pesquisas citadas da Microsoft utilizam empresas de pesquisa independentes para contactar profissionais de segurança para estudos quantitativos e qualitativos, garantindo proteções de privacidade e rigor analítico. As citações e descobertas incluídas neste documento, salvo especificação em contrário, são resultado de estudos de pesquisa da Microsoft.