Últimas notícias

Fique informado

10 Riscos Cibernéticos Nunca Comentados

17 de janeiro de 2024

Spotlight

Entenda o Incidente de Segurança no Siafi que fez o Tesouro exigir a autenticação exclusivamente com Certificados Digitais ICP-Brasil

No Siafi os certificados ICP-Brasil vão conferir Integridade, autenticidade, conformidade, confidencialidade, disponibilidade, legalidade e irretratabilidade.

22 de abril de 2024

O Halving do Bitcoin: Entendendo o Evento que Redefine a Oferta da Criptomoeda. Por Susana Taboas

Uma visão geral do que é o halving do Bitcoin e sua importância no contexto da economia digital.

17 de abril de 2024

Bertacchini da Nethone compartilha sua visão sobre o cenário atual de fraudes digitais

Tivemos a oportunidade de conversar com Bertacchini, especialista em Desenvolvimento de Negócios Sênior na Nethone, sobre como as empresas podem se blindar contra ciberameaças.

17 de abril de 2024

Do primeiro Robô Advogado ao ChatGPT: Você sabe como as IAs podem impactar o futuro do setor jurídico?

Assista o webinar na íntegra, gratuitamente pelo canal oficial da doc9 no YouTube e obtenha insights essenciais sobre como aproveitar ao máximo as tecnologias emergentes e manter vantagem competitiva neste setor em constante evolução.

28 de março de 2024

AX4B: 64% das empresas brasileiras não possuem soluções corporativas de antivírus, apesar do aumento de 7% nos ataques cibernéticos

A AX4B acaba de divulgar os resultados de sua mais recente pesquisa sobre a situação da segurança cibernética no Brasil.

26 de março de 2024

Compartilhamento de informações é passo importante para combate a fraudes e golpes

A norma que determina o compartilhamento de dados e informações sobre fraudes é resultado de uma agenda de medidas propostas pela Febraban

25 de maio de 2023

Bancos deverão compartilhar dados para prevenção de golpes e fraudes determina BC

As instituições financeiras autorizadas pelo BC deverão compartilhar entre si dados e informações sobre fraudes e golpes no SFN e no SPB.

24 de maio de 2023

Tentativas de fraudes e golpes mais comuns com o Pix: conheça quais são e saiba como evitá-los

Bandidos usam manipulação psicológica para enganar clientes e até aplicativos criminosos para forjar recibos de Pix em transações comerciais

7 de março de 2023

Fim de ano registra aumento de 126% em fraudes monetárias on-line

Com a chegada do Natal, criminosos virtuais aproveitam para lançarem ataques em busca de dados sigilosos e fraudes monetárias

1 de dezembro de 2022

Shows e eventos esportivos: saiba como não cair em golpes ao comprar ingressos 

Nos últimos dias, golpistas aproveitaram Grand Prix de São Paulo, da Fórmula 1, para atrair vítimas com falsas ofertas de ingressos

30 de novembro de 2022

Combate a fraudes: 5 estratégias para o e-commerce gerar autoridade e segurança

Diante deste cenário, os consumidores se tornaram cada vez mais atentos a aspectos relacionados à confiabilidade do e-commerce

23 de novembro de 2022

Cuidado com os golpes na internet durante a Copa

Faltam poucos dias para o início da Copa do Catar e, de acordo com a Meta Foresight, cerca de 85% dos brasileiros irão acompanhar o evento

17 de novembro de 2022

Por que é tão fácil ser vítima de golpes digitais?

E, com o aumento do número de usuários no mundo virtual, surgem os golpes digitais, aqueles praticados utilizando-se basicamente de três elementos: o desejo da vítima em ter algum ganho (financeiro ou pessoal); a oportunidade que é oferecida por meio de propostas tentadoras e a engenharia social.

17 de outubro de 2022

Golpes via PIX: Quatro dicas para evitar

Trata-se de uma ferramenta que acelerou muito a digitalização de pagamentos, além de abrir uma oportunidade para novos golpes

10 de outubro de 2022

Golpes e Fraudes: a necessidade da educação financeira para formação de redes de proteção

Com o aumento de golpes e fraudes no país, algumas empresas estão adotando novas estratégias de comunicação com seus clientes, propondo a formação de redes de proteção.

6 de outubro de 2022

Especialista explica como se proteger de golpes e fraudes via cartão de crédito

Para 2022, a previsão é que as fraudes se intensifiquem; uma das tendências é o Phishing, um golpe comum e eficiente

21 de junho de 2022

Fraudes e golpes virtuais: quais são os mais comuns e como não cair neles

Na grande maioria dos golpes on-line, a própria vítima, sem perceber, contribui para que os criminosos tenham vantagem

16 de maio de 2022

Fraudes eletrônicas: estudo revela que 60% das empresas são responsabilizadas por golpes, mesmo não tendo conhecimento dos crimes

O estudo feito pela Deep Legal coletou dados do judiciário brasileiro, em cerca de mil processos em curso envolvendo fraudes eletrônicas

13 de janeiro de 2022

A gestão de riscos tradicional inclui categorizar ameaças e riscos potenciais, avaliar a probabilidade de ocorrência e estimar os danos

Por Paulo Pagliusi

Paulo Pagliusi, Ph.D. in Information Security

Estes riscos cibernéticos aqui tratados podem não aparecer em um relatório oficial de avaliação, mas todo profissional de segurança precisa levá-los em conta.

A gestão de riscos tradicional inclui categorizar ameaças e riscos potenciais, avaliar a probabilidade de ocorrência e estimar os danos resultantes se tais riscos não forem atenuados.

Os custos das defesas e controles são dimensionados em comparação com os danos potenciais. E as defesas, via de regra são implementadas se tiverem custo mais baixo do que simplesmente permitir que as ameaças se concretizem.

Essa decisão, baseada em palpites, pode trazer efeitos danosos à organização. Há uma enorme dificuldade de se calcular a probabilidade de ocorrência de um risco e dos seus possíveis danos.Essa avaliação sempre foi mais baseada em fatores subjetivos do que em uma tabela rígida de cálculo.

Como estimar as chances de um ataque sofisticado de ransomware, DDoS ou de uma agente interno ocorrer em sua organização, ou que ativos ele poderá acessar, com precisão? Alguém pode provar que a probabilidade é de 20% contra 60% em um determinado período?

Todos possuem tais problemas de estimativa, mas para trazer mais complexidade a essa avaliação, destacamos dez fatores que afetam a gestão de riscos, raramente discutidos abertamente, descritos os itens a seguir

1 – Isso nunca vai acontecer

Toda avaliação de risco é uma batalha entre se enfrentar algo que pode acontecer ou não fazer nada, principalmente se este algo nunca ocorreu antes.

Muitos acreditam que não fazer nada não representa custos, e quem se esforça para fazer algo pode ser visto como desperdiçador de dinheiro. “Por que desperdiçar esse dinheiro? Isso nunca vai acontecer!”

Poucos têm problemas ao seguir a rotina e fazer o que sempre foi feito. É bem mais difícil ter a iniciativa e ser proativo, do que esperar o dano acontecer para tentar resolvê-lo, especialmente quando estão envolvidas significativas somas de dinheiro.

2 – Risco político

Assumir proativamente os riscos leva ao próximo componente pouco comentado: risco político. Toda vez que os profissionais proativos querem defender a empresa de algo que nunca aconteceu antes, eles perdem um pouco do seu capital político.

A única situação em que vencem é quando algo sobre a que estão sendo proativos, de fato, acontece. Se eles são bem-sucedidos e conseguem convencer a empresa a colocar controles e defesas cibernéticas para que o mal nunca aconteça, a situação negativa provavelmente nunca ocorrerá.

É uma vitória sem méritos. Quando conseguem proteger adequadamente a empresa, ninguém reconhece o valor de estar seguro e o esforço da negociação para se conseguir o investimento para mais controles.

Cada vez que algo de ruim com que se preocupam nunca acontece, os profissionais de segurança são vistos como geradores de custos. Nesse contexto, perdem capital político.

Qualquer um que já participou de uma discussão sobre gestão de riscos certamente não deseja enfrentar muitas delas, pois nelas “queimam” um pouco (ou muito) de sua reputação.

Então, os profissionais proativos calculam que batalhas querem travar. Com o tempo, os mais experientes escolhem menos batalhas. O instinto de sobrevivência é mais forte.

Muitos apenas esperam o dia em que algo de ruim aconteça: não lutam mais contra os argumentos contrários, pois não querem se tornar bodes expiatórios.

3 – Dizer “estamos protegidos”, sem estar

Boa parte dos controles e defesas que as pessoas afirmam haver implementado em uma organização não são 100% eficazes. Muitos dos envolvidos no processo sabem disso. Os exemplos mais comuns são os patches e backups.

A maioria das empresas afirma que instalou de 99% a 100% dos patches de atualização dos dispositivos. Na verdade, é difícil encontrar um dispositivo com os patches completamente atualizados, em qualquer empresa.

O mesmo vale para backups. Os ataques de ransomware revelam que a maioria das organizações não costuma fazer bons backups.

Apesar de grande parte das organizações e dos seus auditores verificarem durante anos que os backups críticos são feitos e testados regularmente, basta um grande golpe de ransomware para mostrar o quão radicalmente diferente é a realidade.

Como uma pessoa encarregada dos backups pode testar tudo, quando não tem tempo nem recursos para fazê-lo? Para testar se um backup e uma restauração realmente funcionam, é preciso fazer uma restauração de teste de muitos sistemas diferentes, todos de uma vez, em um ambiente separado de homologação, que teria que funcionar como o ambiente de produção.

Isso exige um grande comprometimento de pessoas, tempo e recursos, algo que a maioria das organizações não possui.

4 – Sempre foi assim

É difícil lutar contra o argumento do “é assim que sempre fizemos”, especialmente quando nenhum ataque às vulnerabilidades da organização ocorre – ou é percebido – há décadas.

Por exemplo, é comum encontrar organizações permitindo que senhas de acesso à sistemas tenham seis caracteres e nunca sejam alteradas.

Às vezes, é porque as senhas da rede de PCs precisam ser iguais às senhas conectadas a algum sistema mais antigo, de que a empresa depende.

Todos sabem que o uso de senhas de seis caracteres não sendo alteradas com a devida frequência não é uma boa ideia mas, como nunca causaram problemas, então muitos se perguntam: por que mudar?

5 – Interrupção operacional

Todo controle e defesa que se implementa pode causar um problema operacional na organização. É preciso, portanto, se preocupar com a possível interrupção operacional que cada controle ou defesa passíveis de serem implementados possam causar. Pois um remédio concentrado pode até ser amargo, mas não pode matar o paciente.

Quanto mais radical o controle, maior a probabilidade de se mitigar os riscos da ameaça que este controle combaterá.

Mas também maior o nível de suspeita que se deve ter sobre a possibilidade de ele provocar na organização uma séria e preocupante interrupção operacional.

6 – Insatisfação dos usuários

Nenhum responsável por gestão de risco cibernético almeja irritar usuários, implementando controles que restringem o acesso deles à Internet e o que podem fazer em seus computadores.

Ocorre, porém, que os usuários são responsáveis por um elevado percentual de todas as violações de dados (muitas vezes, por meio de phishing e engenharia social).

Não é possível confiar apenas no treinamento de segurança e nos instintos dos usuários para se proteger uma organização. É preciso negociar com eles, com habilidade, as restrições e os controles de acesso.

7 – Insatisfação dos clientes

Ninguém deseja implementar uma política ou procedimento que leve à perda de clientes. Clientes descontentes tornam-se clientes felizes de outras empresas.

Qualquer solução que possa prejudicar a experiência do cliente deve ter uma profunda análise quanto a custos e benefícios de sua implantação, no que se refere à satisfação dos clientes. E com defesas e controles cibernéticos isto não é diferente.

8 – Uso da tecnologia de ponta

A maioria das pessoas não tentará uma solução de cibersegurança de ponta inovadora até que um grupo de pioneiros a adote.

Não é muito cômodo estar de frente para o desconhecido. Os que adotam cedo uma tecnologia inovadora podem ser recompensados por chegarem cedo, e alcançar vantagens competitivas sobre aqueles que os seguirão.

Entretanto, como toda novidade, é preciso conhecer o mercado, o estado da arte da tecnologia e avaliar a confiabilidade e a experiência do fornecedor da solução, para que a inovação não vire um potencial desastre, expondo a organização à interrupção operacional ou a algum risco severo de segurança cibernética.

9 – Risco de se chegar atrasado

Quase sempre enfrentamos algum risco cibernético que já aconteceu com outras pessoas e empresas (ou com sua própria organização).

Muitas vezes se espera para ver que truques os hackers têm na manga, antes de se criar defesas e controles para combater estes novos riscos.

Esperar primeiro para ver o que os cibercriminosos estão fazendo gera um atraso entre o momento em que o novo comportamento malicioso é detectado e as ações de avaliação da nova técnica, definição de novos controles e de defesa contra o ataque cibernético. Neste jogo de esperar para ver, você sempre estará atrasado.

10 – Não há como se defender de tudo

Segundo a revista CSO Online (www.csoonline.com), em 2019 foram anunciadas mais de 16.500 novas vulnerabilidades públicas. Mais de 100 milhões de programas de malware exclusivos eram conhecidos.

Todo tipo de hacker – desde os financiados por estados-nação a ladrões financeiros e adolescentes que conhecem como desenvolver scripts – está tentando invadir sua organização. É muito ataque, vindo de todas as direções, para se preocupar.

Não há como como se defender de tudo, a menos que se tenha acesso a uma quantidade ilimitada de dinheiro, tempo e recursos.

O melhor a fazer é avaliar quais os riscos mais importantes de serem tratados e ter uma plataforma moderna e robusta de segurança cibernética, além de processos de segurança implementados atingindo, assim, o grau de maturidade ideal para a devida proteção cibernética, ideal para cada organização.

Conclusão

Estes dez fatores de riscos apresentados não são novidade, apenas não costumam ser discutidos abertamente pelas empresas.

Mas sempre existiram e devem ser considerados quando avaliamos riscos cibernéticos e pensamos em estabelecer os controles necessários.

Tudo aponta para o fato de que a avaliação e a gestão de risco cibernético são muito mais difíceis e complexos na prática do que aparentam ser na teoria.

Como resultado, contar com especialistas em segurança cibernética é algo vital para as corporações. Quando consideramos todas as coisas com que um profissional de segurança precisa se preocupar e avaliar, é incrível o fato dele acertar na maior parte do tempo.

Enfim, essa é uma luta que precisa ser enfrentada diariamente. Para tal, procure sempre a assessoria de um especialista em cibersegurança – costumamos dizer que não há lugar para amadores no ciberespaço.

Novos requisitos da SEC impõem transparência e urgência na gestão de riscos cibernéticos 

Os riscos cibernéticos na indústria 4.0

Os riscos cibernéticos e o seguro cyber

Sobre Paulo Pagliusi

Paulo Pagliusi

Paulo Pagliusi é Sócio Executivo da Pagliusi Inteligência em Cibersegurança. Ph.D. in Information Security pela Royal Holloway, University of London, Mestre em Ciência da Computação pela UNICAMP e pós-graduado em Análises de Sistemas pela PUC – Rio. Capitão-de-Mar-e-Guerra da reserva remunerada da Marinha, possui certificação internacional CISM (Certified Information Security Manager).  

Atualmente, exerce também os cargos de Diretor da ISACA Rio de Janeiro Chapter e de Pesquisador Sênior de TIC – Segurança Cibernética – Futuro da Defesa, no Laboratório de Simulações e Cenários (LSC) da Escola de Guerra Naval, tendo sido ao longo da carreira CIO da Apex-Brasil, Sócio de Technology Risk da KPMG e Diretor de Cyber Risk da Deloitte. É considerado um dos consultores mais renomados do País em gestão estratégica de TI e riscos tecnológicos, área em que atua há mais de 30 anos, ajudando clientes globais a avaliar, gerenciar e superar riscos emergentes em seus negócios.

Com experiência acadêmica como professor de graduação e pós-graduação, em instituições como IBMEC, PUC-Rio, Marinha do Brasil e Universidade Damásio, é articulista ativo e autor de livro sobre autenticação criptográfica na Internet. É um dos palestrantes mais requisitados atualmente, tendo se apresentado em mais de 200 eventos no Brasil e no exterior, e concedido mais de 100 entrevistas a mídias nacionais e internacionais.

Acompanhe a Coluna de Paulo Pagliusi aqui no Crypto ID!

[paulo@pagliusi.com.br | www.pagliusi.com.br]

Somos o maior portal brasileiro sobre Criptografia e Identificação Digital.

Com uma década de existência, temos um público de cerca de 2 milhões de leitores por ano.

As empresas que nos apoiam e nossos colunistas ajudam a criar um mundo digital mais seguro, confiável e tranquilo.

Acompanhe o Crypto ID nas redes sociais!