Por: Afonso Godinho
Com a maioria das empresas num modelo atual de trabalho remoto, devido à situação pandémica, a questão da cibersegurança tem vindo a tornar-se cada vez mais importante no quotidiano de várias organizações dos mais diversos setores de atividade. A S21sec, especialista em serviços de segurança e a maior empresa nesta área na Península Ibérica, tem vindo a alertar para o facto de que, atualmente, já não são só os grandes players de mercado que precisam de se preocupar com esta questão.
Em entrevista à PME Magazine, João Machado Costa, VP Sales Portugal na S21sec, aborda o desenvolvimento da empresa nos últimos anos e as mudanças ocorridas em tempo pandémico, referindo os pontos-chave que as empresas e os seus colaboradores devem ter em conta no que à cibersegurança diz respeito.
PME Magazine – Como explica o desenvolvimento da S21sec nos últimos anos?
João Machado Costa – A S21sec é, atualmente, a maior empresa de serviços de cibersegurança da Península Ibérica, com uma vasta experiência no setor que lhe permite oferecer uma cobertura completa de riscos de cibersegurança nos processos de negócio das organizações. Somos uma equipa de 400 especialistas que oferece um nível excecional na investigação, deteção e prevenção de ameaças; peças-chave para ser capaz de reagir mais rapidamente e ser capaz de identificar, diagnosticar e resolver eventuais incidentes no menor tempo possível e com a máxima agilidade. Pertencemos à Sonae Investment Management, o que nos permite garantir a solidez necessária e uma perspetiva de crescimento a curto prazo. Temos mais de 20 anos de experiência neste mercado, o que nos permite oferecer aos nossos clientes os benefícios de um conjunto vasto de serviços que assentam nas melhores práticas.
PME Mag. – De que forma é que a atual situação pandémica veio alterar o vosso desenvolvimento? Qual a principal mudança?
J. M. C. – O desenvolvimento tecnológico até aos dias de hoje e o acesso a um número cada vez maior de plataformas, acesso esse acentuado ainda mais com o teletrabalho, criou uma dependência tecnológica que apanhou de surpresa muitas empresas. Além disso, esta nova normalidade trouxe riscos adicionais relacionados com os mecanismos de acesso remoto para teletrabalho, a proteção de informação nos sistemas e redes utilizados pelos colaboradores fora dos escritórios e a vulnerabilidade a ciberataques. Em termos do nosso desenvolvimento, podemos referir que adaptámos a nossa oferta para cobrir as necessidades atuais das empresas, passando a prestar alguns dos serviços remotamente, aqueles que assim o permitem. Paralelamente, desenvolvemos também serviços específicos para este contexto, para poder apoiar as organizações que se encontram com mais problemas e com menos recursos.
O desenvolvimento tecnológico até aos dias de hoje e o acesso a um número cada vez maior de plataformas criou uma dependência tecnológica que apanhou de surpresa muitas empresas.
PME Mag. – Numa altura em que, com a atual situação pandémica, a presença das empresas no online é cada vez maior, de que forma é feita a sensibilização para as práticas de cibersegurança? Qual o papel que desempenharam nesta mudança de paradigma?
J. M. C. – Durante o período de pandemia, dados da S21sec mostram que os ataques de phishing aumentaram, a nível global, 350%. Também de acordo com o nosso Threat Landscape Report, registámos um aumento significativo de ataques RDDoS ou Ransom Distributed Denial-of-Service sob uma nova metodologia (extorsão sem ataque) para causar medo no setor privado. Os cibercriminosos enviam uma nota juntamente com um ataque de baixo impacto, mas o principal objetivo é amedrontar as vítimas para que paguem a quantia necessária, evitando assim um ataque de maior dimensão. O nosso papel passa por anteciparmos os riscos das organizações com quem trabalhamos, seja através dos nossos vários departamentos de intelligence que nos alertam, por exemplo, para novos tipos de ataques e quais os setores-alvo. No caso de um ataque, nós somos a primeira barreira de defesa, não só na deteção da origem do ataque e o que se pretende atingir, como também estamos lado a lado na estratégia a adotar para cada situação e com as recomendações para os passos que serão necessários ser tomados numa situação como esta. Em novas parcerias fazemos uma avaliação profunda das necessidades do cliente, os riscos, a sua arquitetura digital e também os processos que envolvem elementos externos. Só com uma avaliação correta podemos depois partir para a fase de aconselharmos a melhor solução, de forma a cumprir aquilo que nos é exigido e que seja compatível com o funcionamento diário da empresa. Com o aumento dos ciberataques, sentimos que passámos a ter uma relação mais próxima, não só junto dos profissionais das empresas ligados à área do IT, como também com quem está na liderança e tem um papel importantíssimo na gestão global.
PME Mag. – Têm percecionado alguma mudança de comportamento das empresas em relação à cibersegurança, ao longo do último ano?
J. M. C – Face aos exemplos que partilhámos anteriormente (relativo ao tipo de ataques) e ao aconselhamento que fazemos, as empresas começam a mostrar uma maior abertura para a área da cibersegurança. A exceção, de um ponto de vista positivo, são as empresas ligadas ao setor bancário e dos seguros, por exemplo, que já mostram uma maturidade mais elevada, fruto do maior risco que o seu negócio envolve num caso de um ciberataque. De acordo com os dados que recolhemos, 38% das empresas reconhece que foram vítimas de ataques de phishing no último ano. Quando efetuados com sucesso, o impacto de um ciberataque traz consequências graves não só para o negócio de qualquer organização, mas também para a reputação da marca. Com o aumento do teletrabalho, registámos também um aumento dos ciberataques, com 36% das empresas a não terem a certeza se os seus colaboradores são capazes de prevenir e detetar um ciberataque. No início do processo do teletrabalho, muitas organizações não tiveram o tempo de se adaptar e podemos dar um exemplo prático sobre isso: tivemos conhecimento de empresas que não tinham equipamentos suficientes para todos os funcionários, que acabaram por trabalhar com equipamento pessoal. Sem o saberem, alguns desses equipamentos já estavam comprometidos com software malicioso instalado. Ao aceder através desse equipamento “infetado” ao sistema da empresa, abre-se uma janela de oportunidade para os cibercriminosos. Com o tempo a cibersegurança passou a estar em cima da mesa de quem decide e começa a fazer parte dos pontos-chave do funcionamento diário de qualquer empresa. Apesar desta mudança de comportamento estar a ocorrer, há ainda um longo caminho pela frente, sobretudo nas PME.
Com o tempo a cibersegurança passou a estar em cima da mesa de quem decide e começa a fazer parte dos pontos-chave do funcionamento diário de qualquer empresa.
PME Mag. – Quais as medidas, em termos práticos e de quotidiano, que as empresas devem ter (e passar aos seus colaboradores) no sentido de se precaverem de possíveis ataques informáticos?
J. M. C – Essa é uma questão muito importante, pois a cibersegurança não passa apenas pelas soluções tecnológicas. O fator humano é bastante importante nesta equação e, por isso, é necessário apostar numa formação cada vez maior de todos os colaboradores para que estejam mais alertas para este tipo de riscos. Recentemente, divulgámos seis recomendações importantes para diminuir o risco de um incidente interno: pense antes de clicar; não confie em promoções, ofertas ou sorteios; verifique a fonte; atualize as suas senhas; instale soluções de segurança nos seus dispositivos e mantenha-os atualizados; e, por fim, tenha cuidado com as informações que publica nas redes sociais.
PME Mag. – Na vossa análise, como é que as PME têm vindo a fazer a gestão desta área?
J. M. C. – Estão no início de um processo que é obrigatório que seja acelerado devido ao atual contexto, mas sem pressas: isto é, que seja um processo feito fase a fase, de forma a cimentar a gestão de riscos sem “quebras” na sua segurança. Além de uma reavaliação dos riscos, é necessário um reforço da cibersegurança através do outsourcing da infraestrutura e dos serviços, mais deteção e respostas a incidentes, programas de gestão de vulnerabilidades, mas também formação e sensibilização em relação à segurança. Acreditamos que é analisando e discutindo o tema da cibersegurança, e comprovando o valor-acrescido que isso terá na reputação da empresa, que se poderá depois partir para uma solução ajustada a cada caso e que o investimento feito compensa largamente face às consequências que um ciberataque terá no caso de ser bem-sucedido.
É necessário um reforço da cibersegurança através do outsourcing da infraestrutura e dos serviços, mais deteção e respostas a incidentes, programas de gestão de vulnerabilidades e formação para este tema.
PME Mag. – Como é que os líderes empresariais podem definir e encarar a questão da cibersegurança nas respetivas empresas?
J. M. C. – É importante que passem a encarar a cibersegurança como uma parte integrante do seu negócio como um todo, e não como uma atividade posterior que surge apenas quando chega a altura de utilizar esse novo serviço, na maioria das vezes já após terem sido assinados contratos. Com a pandemia, muitos orçamentos de cibersegurança foram revistos em baixa, o que é errado, pois o investimento deve ser feito de forma sensata, pois assim a marca de uma organização sairá mais valorizada junto dos seus parceiros, fornecedores e clientes, garantindo uma maior confiança no negócio que executa. A aceleração do e-commerce criou uma maior dependência das empresas junto dos seus sistemas de informação, uma dependência que obrigou a que o tema passasse a estar junto de quem decide. Além disso, esta abertura para o tema da cibersegurança também tem sido notado nos diversos webinars e workshops que a S21sec tem vindo a desenvolver. A lista de participantes tem vindo a ser cada vez mais diversificada, de áreas que não estão relacionadas com a cibersegurança, mas porque começa a haver uma consciencialização do impacto da cibersegurança naquilo que é a cadeia de valor da sua empresa, especialmente quando tocamos em temas como a segurança de sistemas de pagamento ou a segurança industrial e de produção.
PME Mag. – Uma vez que muitos dos colaboradores empresariais não têm conhecimentos, nem competências que lhes permitam gerir e detetar as ameaças informáticas, como pode ser feito este acompanhamento? Existe algum serviço vosso com foco neste campo?
J. M. C. – Além de os colaboradores passarem a ter em conta as recomendações que partilhámos anteriormente, é importante que as organizações se salvaguardem através das seguintes três medidas. Em primeiro lugar, é importante assegurar a robustez dos sistemas de comunicações que utilizam, através de passwords fortes e múltiplos fatores de autenticação (o código no telemóvel, por exemplo, como é utilizado em muitas instituições financeiras). Depois, sempre que se suspeite de algo, deve verificar-se cuidadosamente os endereços de email dos remetentes, assegurando que não há ligeiras variações no nome do domínio de origem ou no estilo de escrita da mensagem. Por fim, destaco ainda a implementação de mecanismos “offline” para a verificação de alteração de dados financeiros, nomeadamente através da confirmação por telefone com um elemento previamente conhecido no cliente ou fornecedor, ou através da exigência de um documento oficial que prove a legitimidade da alteração que está a ser solicitada. Os colaboradores são o elo mais fraco da cadeia de cibersegurança das organizações, pois podem ser alvo de técnicas de engenharia social, como phishing, e precisam de ser formados para conseguirem identificar estas situações e saberem como reagir. A S21sec dispõe de cursos de awareness e sensibilização para os colaboradores, com o objetivo de promover uma cultura de cibersegurança na organização e minimizar a superfície de impacto de uma ameaça. Com mais de 500 projetos executados nesta área, dispomos de uma oferta formativa com base na realidade, em práticas comprovadas por empresas multinacionais e de referência; que não podem nem descuram qualquer aspeto da sua proteção ou pegada digital.
A aceleração do e-commerce criou uma maior dependência das empresas junto dos seus sistemas de informação, uma dependência que obrigou a que o tema passasse a estar junto de quem decide.
PME Mag. – Quais as principais ferramentas que a S21sec tem para oferecer às empresas nesta área? Quais destacaria e porquê? Quais as mais utilizadas pelas PME?
J. M. C. – A S21sec acompanha as empresas ao longo de toda a sua jornada de cibersegurança, e construiu o seu portefólio de forma modular, para abranger soluções para organizações de todas as dimensões e atender a todas as suas necessidades. Numa perspetiva mais pró-ativa e de prevenção, sugerimos serviços como o Diagnóstico integrado de segurança; os Testes de intrusão/red team; os Serviços de formação/sensibilização dos colaboradores; a Device Network Protection e Data Security; ou os Serviços continuados de deteção. Numa fase reativa de resposta a um ataque/incidente de segurança, dispomos de equipas altamente especializadas que apoiam as organizações na contenção expedita dos ciberataques, minimizando o tempo que o cliente fica exposto a data breaches e outros impactos. Temos um serviço denominado DFIR e análise forense, que apoia a cibersegurança quando tudo falhou e apresenta sugestões de melhoria e lições aprendidas para situações futuras.
