Nos últimos meses, todos enfrentaram uma nova realidade com o chamado “novo normal”, que trouxe necessidades de adaptações em diversas esferas. Quando pensamos no âmbito empresarial, um dos domínios mais impactados certamente foi a Segurança da Informação.
Subitamente, empresas que ainda não tinham o home office como prática de trabalho precisaram prover soluções de trabalho remoto a seus funcionários. Em muitos casos, houve a necessidade de utilização de dispositivos pessoais (BYOD, do inglês Bring Your Own Device), assim como foi preciso customizar acessos, implantar novas ferramentas, reforçar elementos de segurança e até revisar políticas existentes ou criar excepcionalidades às mesmas.
Isso tudo em um momento em que o volume de ataques cibernéticos aumentou consideravelmente, catapultado por tentativas de fraudes com temáticas relacionadas ao COVID-19 ou a políticas governamentais derivadas do momento pandêmico. Segundo o levantamento do CERT.br (Centro de Estudos, Resposta e Tratamento a Incidentes de Segurança no Brasil), houve um aumento de 54% nas fraudes reportadas no País durante o primeiro semestre de 2020 em comparação ao mesmo período de 2019.
Paralelamente ao cenário acima, muitos executivos de TI e de Segurança da Informação precisaram focar os seus esforços nas ações de resposta à crise, deixando de dar prioridade aos projetos estruturantes anteriormente planejados e que se faziam necessários naquele momento. Em muitos casos, esta demanda de revisão foi percebida rapidamente, mas nem sempre o tempo de reação foi o ideal para retomar tais iniciativas. O momento exigia que as organizações aperfeiçoassem sua proteção, ampliando iniciativas de detecção de incidentes, testes de segurança e conscientização em geral.
Avaliando o cenário e as novas condições disruptivas que estamos vivendo, as abordagens integrativas e multidisciplinares devem servir de apoio às empresas. Uma dessas abordagens, já testada e utilizada com sucesso em diversas organizações, é o que chamamos de “Virtual CISO”. Trata-se de uma estrutura projetada para oferecer auxílio, gerenciamento e fornecimento contínuos de serviços de Segurança da Informação para amparar as iniciativas e os projetos, dando respaldo ao C-level e aos gestores de TI e de Segurança da Informação.
O modelo reúne um time de especialistas em cybersecurity para prestar um serviço gerenciado, cujo objetivo principal é fortalecer a capacidade defensiva em segurança cibernética, além de engajar os stakeholders e dar foco nas entregas, trazendo as habilidades de vários especialistas para enfrentar tanto os riscos tradicionais quanto os emergentes.
As atividades a serem contempladas são personalizadas de acordo com os requisitos específicos da organização e incluem serviços como gerenciamento de projetos (PMO), revisão de políticas e normativos, análise dos riscos e gaps de controles, testes de invasão, conscientização e gestão de vulnerabilidades. Além disso, ele pode ser customizável tanto para as grandes organizações, que já têm uma estrutura de segurança, quando para as pequenas e médias empresas que não possuam uma área específica para tratar das questões de Segurança da Informação.
O tempo das pessoas dedicadas à Segurança da Informação é precioso, porém é ainda mais escasso em tempos de crise. As ameaças cibernéticas estão evoluindo para explorar as mudanças dos novos métodos de trabalho e diferentes técnicas estão surgindo para o roubo de identidade e o comprometimento de informações confidenciais. Além disto, a adoção do modelo híbrido – com o home office tornando-se uma opção pós-pandemia – é cada vez mais factível. Portanto, diante do aumento exposição em geral – seja pela proliferação dos malwares, seja pelo aumento do acesso remoto às redes corporativas, a velocidade de resposta dos executivos, gerentes e líderes de segurança a qualquer incidente ou fraude é crucial.
E, para que as decisões tenham mais embasamento e efetividade, é necessário um conjunto holístico de processos gerenciados de segurança alinhados ao negócio como o provido pelo modelo “Virtual CISO”, o que promoverá informações executivas que assegurem que os riscos de segurança cibernética sejam bem compreendidos e sanados antes que os danos afetem as organizações.
*Helder Assis é gerente de Cyber Security e de privacidade de dados na ICTS Protiviti
