Luz em meio ao apagão

Aquela que deveria ser uma corriqueira atualização de software que se transformou em um verdadeiro apagão virtual

Por Juliana Abrusio e Chiara Battaglia Tonin

No dia 19, aquela que deveria ser uma corriqueira atualização de software da empresa americana de tecnologia de segurança cibernética, CrowdStrike, com sede em Austin, Texas, se transformou em um verdadeiro apagão virtual, evidenciando a vulnerabilidade da economia global a programas de computador.

Apesar das melhorias e constante desenvolvimento de tecnologias e ferramentas para garantir a segurança do tráfego de dados e infra-estruturas digitais, o mundo pôde observar a fragilidade das aplicações virtuais.

Vale notar que a CrowdStrike, inclusive, é conhecida justamente por seus softwares que detectam e bloqueiam ameaças de hacking, monitorando meticulosamente as atividades nos computadores onde estão instalados.

A atualização do software Falcon Sensor da CrowsdStrike gerou uma reação em cadeia: a CrowdStrike presta serviços para a Microsoft, também empresa de tecnologia americana, de modo que as falhas ocasionadas pela atualização impactaram os seus sistemas – alguns dos mais utilizados no mundo – e, por consequência, seus consumidores com a conhecida “tela azul”.

Os impactos não se restringem aos 8,5 milhões de computadores da Microsoft, conforme estimado pela companhia; foram também comprometidas plataformas de computação em nuvem, ampliando os efeitos do apagão à escala mundial.

Como consequência, sistemas de saúde, companhias aéreas, portos, bancos, empresas e governos tiveram suas atividades comprometidas pela atualização, enfrentando a interrupção ou mau funcionamento das operações. Tamanho impacto fez com que o CEO da CrowdStrike fosse chamado a prestar esclarecimentos ao Congresso estadunidense sobre o apagão.

As consequências inesperadas desta falha, somada à realidade da ubiquidade computacional, iluminaram pontos críticos dos avanços tecnológicos: a dependência dos mercados globais no mundo digital e sua fragilidade, trazendo à tona – uma vez mais – a importância das ações preventivas em segurança cibernética, as quais passamos a analisar.

As ações preventivas incluem, naturalmente, providências de natureza técnica em segurança da informação para mitigação dos riscos de falha, como testes antes da implementação em ambiente de produção e planos de redundância.

Tais medidas são fundamentais, mas falhas ainda podem ocorrer; assim, são também recomendáveis práticas como a estruturação de um robusto programa de gestão e governança em segurança cibernética que viabilize a pronta reação da organização mediante um evento adverso.

Além disso, a definição de políticas e procedimentos aptos ao necessário mapeamento de intercorrências, imediata aplicação de soluções de contorno e endereçamento das correções.

Para tanto, é indispensável a implementação de um plano para gestão de crises, considerando a composição de sala de guerra e exercícios de simulação, de modo a qualificar os profissionais para uma célere reação e contingência.

Isso envolve, também, a avaliação de fornecedores e parceiros no que concerne às suas práticas em segurança cibernética, considerando seus processos para desenvolvimento seguro e gestão de mudanças.

Tudo isso, sem perder de vista aquilo que é considerado o “pacote básico”, é dizer, a negociação de contratos, a elaboração de acordos de nível de serviço e demais instrumentos para definição das responsabilidades dos fornecedores e parceiros envolvidos conforme as necessidades da organização.

É importante não esquecer que tudo isso começa com o mapeamento dos fornecedores e parceiros envolvidos na disponibilização e manutenção de sistemas e estruturas críticas da organização para acionamento tempestivo e alinhado às definições contratuais em caso de evento adverso.

Não menos importante é a avaliação e contratação de seguro cibernético em atenção às necessidades da organização, bem como mapeamento das condições de acionamento para rápida reação. Não há dúvidas de que a atuação conjunta das equipes jurídica, com a estruturação das políticas e contratos, e técnica, com a avaliação das ferramentas, fornecedores e melhores práticas para o negócio, permitem a definição de um plano de continuidade de negócios consistente e embasado para enfrentamento de eventos adversos, servindo como verdadeira luz em meio ao apagão.

“Deepfake”: aplicação e regulação

Jurimetria: o que é e como ela pode te ajudar na tomada de decisões

Apagão Cibernético Global Ligado à Microsoft e CrowdStrike: O Que Aconteceu?

Apagão mundial em sistema de segurança cibernética alerta para a importância do seguro contra ataques virtuais

Cadastre-se para receber o IDNews e acompanhe o melhor conteúdo do Brasil sobre Identificação Digital! Aqui!