.png)
Assume Breach: melhores práticas em resiliência cibernética
Não é uma questão de se, mas quando uma organização ou um indivíduo será violado no ciberespaço. Se você acredita nisso, deu o passo cognitivo mais importante: está preparado para “assumir uma violação” e criar resiliência para resistir a um ataque cibernético.
Mas se você presumir violação, o que isso significa para a forma como você pensa sobre investimentos em segurança em pessoas, processos e tecnologia? Mais importante ainda, quais estratégias sua organização deve empregar para se tornar segura sem violações? Em 24 de outubro de 2018, a Illumio reuniu um grupo de líderes em estratégia e tecnologia de segurança cibernética em Washington, D.C., para discutir a suposição de violação e identificar as melhores práticas em resiliência cibernética.
Abaixo está um resumo das principais descobertas do dia. Para aqueles interessados em ouvir todas essas pessoas inteligentes falarem, fique atento aos vídeos.
Os 3 principais takeaways
Se você presumir uma violação, precisará:
- Adote uma mentalidade adversária.
- Siga uma estratégia Zero Trust e microssegmente suas redes.
- Exercite e prepare sua organização para o gerenciamento de violações.
Suponha uma violação: explicada
Assumir uma violação significa assumir uma mentalidade adversária. Hoje, os adversários dos estados-nação e as organizações criminosas têm o dinheiro, o pessoal e o tempo necessários para trabalhar pacientemente para atacar você no ciberespaço. Presumir uma violação significa estar pronto para um ataque às coisas que você mais valoriza de maneiras que você não pode necessariamente esperar. Essa suposição está em nosso DNA no pós-11 de setembroo mundo físico — se virmos algo que todos sabemos dizer alguma coisa — mas o conceito não se traduziu em nossas práticas de segurança cibernética (mesmo quando o uso de dados e da Internet se expandiu exponencialmente).
Presumir uma violação significa proteger primeiro seus ativos mais valiosos e essenciais. Se um ator hostil busca obter uma vantagem, o que ele tentará roubar, manipular ou destruir em uma organização? Se você presumir uma violação, precisará se concentrar em proteger os dados que impulsionam suas missões mais importantes. No caso do Escritório de Gestão de Pessoal dos EUA (OPM), foi o banco de dados que manteve os registros de 21,5 milhões de funcionários do governo dos EUA. No caso de 2018 do provedor de saúde de Cingapura, SingHealth, foi o banco de dados na nuvem pública de saúde que armazenou os dados de saúde de 1,5 milhão de cingapurianos. No caso da empresa de comando e controle nuclear dos militares dos EUA, podem ser os sistemas de comunicação via satélite que apoiam a dissuasão nuclear dos EUA.
Assumir uma violação significa planejar perder parte do que você valoriza e se preparar para operar com seus dados expostos ou degradados. Em caso de violação, coisas ruins podem acontecer com a eficácia de sua missão. É por isso que os militares dos EUA criam redundância para sua logística e operações. Para defender uma cidade contra uma combinação de mísseis balísticos e ataques cibernéticos, duas baterias Patriot podem ser suficientes, mas os militares podem instalar quatro para maior resiliência. No caso de uma interrupção em um banco, seja por meio de um ataque distribuído de negação de serviço ou de um ataque de malware, os bancos podem querer investir em redes redundantes para continuar as operações financeiras se uma rede cair.
Você estará melhor após a violação se tiver considerado esses cenários.
Fazer investimentos em resiliência é a conclusão lógica da suposição de violação. Ainda assim, essas são premissas desconfortáveis. Da mesma forma que comprar um seguro de vida após o nascimento de um filho, você estará melhor após a violação se tiver considerado os piores cenários.
Zero Trust e microssegmentação
Você não pode fazer investimentos aleatoriamente; você precisa de uma estratégia para proteger seus ativos. Dra. Chase Cunningham, um dos principais pensadores dos Estados Unidos em operações de segurança e análise cibernética, ajuda as organizações em seus planos de alcançar resiliência implementando uma estratégia de Zero Trust. O Zero Trust depende da ideia de que os usuários dentro de uma rede não são mais confiáveis do que os usuários fora de uma rede. Como ele afirma, muitos dos principais ataques cibernéticos dos quais ouvimos falar na última década são sustentados por um problema simples: os data centers são abertos e inseguros.
O tempo médio de permanência de um intruso dentro de uma rede sem ser detectado é de mais de seis meses. Em um data center inseguro como o do Escritório de Gestão de Pessoal em 2014/15, o intruso chinês ganhou total liberdade de acesso. Se você “não confia em nada, verifica tudo” que entra em sua rede, precisa proteger seu data center internamente para evitar ações não autorizadas.
No novo mundo da nuvem, as ferramentas de ontem podem não ser suficientes. Assim como a própria nuvem, seus investimentos em segurança precisam evoluir com a ameaça. Microssegmentação define políticas e regras de como cada parte do data center interage. É uma nova camada — uma camada final de resiliência na nova pilha de segurança.
Preparando-se para se tornar seguro sem qualquer violação
No nível estratégico, as organizações assumem a violação e planejam a interrupção por meio de uma variedade de meios gerenciais e não tecnológicos. O treinamento é fundamental. No Departamento de Defesa, os militares dos EUA treinam não apenas para violações, mas para interrupções cibernéticas completas nas operações militares; além de investimentos redundantes, como uma bateria Patriot extra, pilotos e capitães preparam suas equipes diariamente para “voar às cegas” em caso de ataque. Isso pode significar pilotar um F-35 sem comunicação ou pilotar um navio pelo oceano sem o Sistema de Posicionamento Global.
Da mesma forma, as empresas precisam passar pelo processo de preparação para a violação identificando os processos de emergência de que podem precisar para o gerenciamento de crises. Uma das etapas mais importantes é identificar os fatos; sem eles, você não pode se comunicar bem dentro de sua organização ou externamente. Isso ajuda a desenvolver um manual para o gerenciamento de violações e a realizar exercícios de mesa para identificar lacunas e obstáculos e ver como sua organização pode responder a um evento. A melhor mesa é um exercício ao vivo que altera os sistemas de comunicação de uma organização e força as equipes a responder sem acesso aos dados. Finalmente, as organizações precisam praticar a forma como se comunicam com os acionistas e outras pessoas do mundo externo sobre a violação.
Depois de uma violação, a culpa e a perícia são a parte mais fácil da história. É mais difícil convencer os líderes a investir com antecedência. Mudar seus mapas mentais e presumir uma violação, fazer investimentos em pessoal e tecnologia para resistir a ataques e dedicar tempo para treinar contra interrupções. No entanto, com uma pequena quantidade de investimentos avançados, países e organizações podem evitar que os piores cenários ocorram e se tornarem seguros sem qualquer violação.
