|
É costume termos uma atitude reativa apenas quando os casos problemáticos surgem ao invés de uma política ativa de segurança e prevenção. Veja-se, por exemplo, o caso da Microsoft, em Portugal, que foi vítima de fraude. A maioria das organizações já enfrentou, ou enfrenta, surtos de vírus/worms, incidentes de pishing e de spyware. Outras já enfrentaram graves incidentes de segurança devido a uma conduta incorrecta dos seus colaboradores. Estas situações serão cada vez mais recorrentes e temos de estar preparados para saber agir, resolver e, sobretudo, prevenir danos prejudiciais à atividade das empresas e à vida das pessoas. Os dados das pessoas estão à distância de apenas um click, em qualquer parte.
Julga-se que os ataques internos superam os externos ou vice-versa em cerca de 50%. Perante este número, a segurança começará a ter um maior peso nos orçamentos de TI na generalidade das Empresas e Organizações, já que estão em causa elevados riscos associados à perda ou roubo de dados (riscos de reputação ou de continuidade do negócio). Tendo em conta o que está “em jogo”, o impacto da inversão do ciclo económico no setor da segurança informática será bem maior, já que, tendencialmente, os investimentos efetuados nesta área serão consideravelmente mais avultados devido à necessidade de prevenir e estancar, cada vez mais, os frequentes e graves ciberataques. Existirá, igualmente, uma maior atenção e reforço de RH’s, ao nível interno das empresas. Estas procuram, essencialmente, a proteção dos seus dados, quer de ataques externos quer de internos. A segurança de dados de uma Empresa, de maior ou menor dimensão, é fundamental para protegê-la na sua estratégia de posicionamento dos mercados e, consequentemente, ao sucesso dos seus negócios e atividade. A consolidação da infraestrutura de TI, a melhoria da capacidade de resposta, a redução de custos e a melhoria nos processos e níveis de serviços de TI, deverão ser as futuras prioridades das nossas empresas. Acreditamos fortemente, que a par da necessidade de aumentar a eficiência operacional da organização e reduzir custos de funcionamento, a consolidação da infraestrutura de TI será uma das principais prioridades já no decorrer deste ano.
A meu ver, já muito evoluímos na questão das situações do ciberterrorismo. A nossa segurança nacional já possui tecnologia de modo a, não só, terem a hipótese de antecipar esses ataques, como, também, preveni-los e identificar as fontes. Já que cada vez mais há maior fluxo e troca de informação entre Estados e interação de procedimentos e acções, julgo que estamos a ficar, tendencialmente, melhor preparados e, sobretudo, em alerta. O Centro Nacional de Cibersegurança está a fazer um ótimo trabalho de dados, mas deverá existir mais investimento e ações concretas, quer ao nível técnico, quer humano, para fazer face aos grandes desafios que se avizinham. No nosso país, quando se discute a importância da intervenção do Estado em matérias de terrorismo e ciberterrorismo, insiste-se na questão polémica de autorizar ou não entidades de segurança nacional a realizarem escutas e a monitorizarem comunicações entre os cidadãos, forçando a uma alteração da Constituição no que diz respeito aos direitos consagrados num Estado. Mesmo que isso seja autorizado será apenas uma resposta parcial e redutora à verdadeira necessidade de solucionar o problema. A realidade é que existem inúmeros equipamentos informáticos vulneráveis e expostos, passíveis de serem controlados remotamente, permitindo que um utilizador malicioso aceda de forma abusiva a informações privadas ou confidenciais. A monitorização de vulnerabilidades em ativos (privados ou públicos) ligados à Internet, acompanhada de um processo eficaz de resolução ou mitigação, evitaria diversos prejuízos e danos aos proprietários, Empresas, e ao próprio Estado.
Em Portugal, o cenário ao nível de segurança e de informação informática não é diferente do dos nossos parceiros europeus. Não estamos melhores nem piores que eles. Estamos a ganhar consciência dos danos que o cibercrime provoca. O que o nosso país necessita ao nível de segurança nesta vertente será essa maior aposta de RH’s alocados a esta investigação, de forma a travar futuros ataques com consequências devastadoras para as empresas. Os nossos parceiros europeus estarão, possivelmente, um passo mais à frente pelo maior investimento já efetuado nesta área.
Concordo plenamente com a afirmação “Não há nada 100% seguro na Internet. Se queres segurança não coloques informação em rede, na cloud, etc”. A segurança total não existe, contudo, já existem soluções no mercado que são altamente redutoras desse risco. Isto resultará em novos e mais expressivos investimentos em segurança e quadros técnicos altamente qualificados. Atualmente, as tecnologias disponíveis já possuem melhores performances e as metodologias de trabalho em relação à arquitetura e gestão de segurança que permitem otimizar os investimentos e os custos de exploração. O espectro da próxima década será conseguirmos desenvolver produtos que nos façam sentir seguros mesmo estando na rede.
A eliminação ou diminuição drástica do risco passa por inventariar os principais críticos ativos do Estado expostos à Internet, realizando auditorias regulares que promovam a correção das vulnerabilidades detetadas. De forma idêntica, os ativos de entidades coletivas ou particulares que processam e/ou armazenam informações, confidenciais ou privadas, deverão ser alvo de um scan realizado por uma entidade de segurança nacional devidamente autorizada e que promova corrigir ou eliminar vulnerabilidades detetadas que constituam risco para as empresas e/ou famílias. E, ao nível das Empresas, são ainda muito diminutas as que incluem, na sua estrutura organizacional, a função de Chief Security Officer ou de Chief Information Security Officer.
É necessário compreender e capacitar a sensibilidade dos decisores para estas temáticas, partindo do pressuposto que estamos perante um novo paradigma tecnológico baseado o surgimento de uma nova geração de malware (Malware 2.0), das aplicações Crime-a-as-Service (CaaS), das redes sociais e dos novos modelos de computing (Big Data e Cloud). Será vital às Organizações nacionais apostarem e incluírem, na sua estrutura organizacional, a função de Chief Security Officer ou de Chief Information Security Officer, ativos humanos que detectem, previnam e defendam as empresas destes ataques que serão, tendencialmente, maiores e mais graves. É crucial que se encare a Segurança da Informação como um elemento fundamental para o Sucesso das Organizações.
|
