Violação da SolarWinds Mostra Por Que a Cibersegurança Deve Ser Prioridade no Nível do Conselho

O ataque à SolarWinds em dezembro de 2020 destacou como as cadeias de suprimentos de software e sistemas podem ser facilmente comprometidas quando uma organização não possui uma política robusta de cibersegurança.

O comunicado oficial da CISA observa que um ator de ameaça persistente avançada (APT) começou a visar agências governamentais dos EUA, infraestrutura crítica e entidades do setor privado em março de 2020, demonstrando paciência, segurança operacional e técnicas sofisticadas. A CISA alerta que a remoção desse ator de ambientes comprometidos será altamente complexa e desafiadora. Os vetores de infecção detalhados e etapas de mitigação estão descritos no comunicado aqui.

Esses detalhes ecoam insights do embedded.com e EE Times, reforçando o papel crítico da segurança de IoT e a expertise de profissionais de segurança da indústria de semicondutores.

Continua surpreendente que violações ocorram mesmo quando governos obsessivamente focados em segurança permanecem vulneráveis através de sistemas de terceiros que ignoram salvaguardas adequadas. Lembro-me, como ex-contratado do governo britânico, do rigoroso treinamento e conscientização de segurança exigidos — nunca deixar um laptop em um carro trancado, mantê-lo sempre consigo ou à vista. Essas práticas ilustram o elemento humano que pode ser negligenciado.

Em última análise, o incidente da SolarWinds destaca uma lacuna fundamental de política: a cibersegurança deve ser responsabilidade exclusiva de projetistas de hardware e software, ou deve ser incorporada nos mais altos níveis de governança corporativa?

A Woodside Capital Partners, uma consultoria líder em finanças corporativas, lançou um relatório intitulado Sete Lições para CEOs, Diretores, Membros do Conselho e Firmas de Private Equity, escrito pelo Diretor Gerente Nishant Jadhav. O relatório argumenta que o ataque à cadeia de suprimentos da SolarWinds demonstra a necessidade urgente de um entendimento mais profundo de cibersegurança nos níveis executivo e do conselho. Em uma era onde ameaças persistentes avançadas podem se esconder invisivelmente, proteger a reputação e o valor da empresa nunca foi tão crítico.

O relatório enfatiza que os membros do conselho devem ser capazes de confirmar, em linguagem simples, que sua organização possui uma robusta garantia cibernética. Abaixo estão as sete lições:

Lição Um: Adotar Mentalidade Segurança-Primeiro, Não Conformidade-Primeiro — Top-Down

Uma abordagem segurança-primeiro significa que a equipe executiva e o conselho compreendem os riscos específicos enfrentados pela empresa e os riscos que criam para clientes e parceiros. Uma postura conformidade-primeiro apenas satisfaz listas de verificação regulatórias e oferece uma rede de segurança fixa e de curto prazo. As ameaças cibernéticas evoluem rapidamente, tornando essenciais aprovações trimestrais do conselho sobre a postura de ameaças da empresa.

Lição Dois: CISOs Devem Fazer Parte da Equipe de Liderança Executiva

CISOs eficazes pensam além de TI e consideram todos os vetores de ameaça potenciais — incluindo vazamento inadvertido de dados de funções voltadas ao cliente e riscos decorrentes da implantação de novas tecnologias. Ao tornar os CISOs responsáveis no nível executivo, as organizações garantem que as recomendações de segurança sejam implementadas e a exposição a riscos seja medida continuamente.

Lição Três: Medir CISOs com KPIs para Proteção e Remediação Contínuas

Em vez de demitir um CISO após uma violação, foque em sua capacidade de alocar um orçamento de segurança apropriado, aumentar a conscientização de cibersegurança em toda a organização e modelar respostas a ameaças externas como a SolarWinds. Os KPIs devem refletir tanto a disponibilidade operacional quanto a capacidade do negócio de mitigar e recuperar-se de ataques.

Lição Quatro: Um Parceiro Confiável Não Garante Segurança

O caso SolarWinds prova que nenhum parceiro pode ser considerado imune a riscos. A implementação de ambientes air-gapped para desenvolvimento de novos produtos pode reduzir o risco de infiltração de fornecedores confiáveis.

Lição Cinco: Comprometer a Segurança Não É Alavanca de Lucro

A Woodside Capital propõe um "grau cibernético" como métrica de avaliação que reflete investimentos em tecnologia, treinamento, políticas de proteção contínua e remediação rápida. Graus cibernéticos mais altos correlacionam-se com avaliações de empresas mais altas. Firmas de private equity devem priorizar graus cibernéticos sobre lucratividade de curto prazo.

Lição Seis: Reavaliar Seguro Cibernético no Nível do Conselho

Muitas apólices cobrem perdas financeiras de violações de dados, mas podem excluir ataques à cadeia de suprimentos ou ameaças patrocinadas por estados. CISOs devem envolver os conselhos para garantir seguros que cubram esses cenários e abranjam as consequências prolongadas de um ataque.

Lição Sete: Proteção Contínua da Reputação

Violações podem acontecer a qualquer momento, impactando o desempenho do negócio. As empresas devem demonstrar que a cibersegurança é um diferencial central — através de investimento contínuo, educação e remediação transparente. Ao estabelecer garantia cibernética e comunicá-la a clientes e parceiros, as firmas podem salvaguardar sua reputação a longo prazo.

O relatório da Woodside Capital também lista empresas em estágio de crescimento que fornecem soluções abrangentes de garantia cibernética, desde gestão de risco até seguro cibernético. O relatório completo está disponível aqui.