Essenciais de Cibersegurança para Fabricantes: Insights de Pat Toth

O número de ataques cibernéticos continua a subir, e criminosos cibernéticos estão ficando mais determinados. Empresas ficam tentando navegar orientações técnicas confusas em uma paisagem digital em rápida mudança. Pequenos fabricantes frequentemente não acham que suas empresas estão em risco. Afinal, por que alguém iria querer atacar um pequeno fabricante rural quando há negócios maiores para atacar?

Para entender o que está acontecendo e descobrir o que fabricantes realmente precisam saber sobre cibersegurança, sentei com Pat Toth. Pat é Cientista da Computação no NIST Manufacturing Extension Partnership com mais de 30 anos de experiência em cibersegurança e trabalhou em numerosos documentos de orientação de cibersegurança da NIST.

Pergunta: Fabricantes realmente estão em risco de ataques cibernéticos comparados a outras indústrias? Se sim, por quê?

Pat: Segundo o U.S. Department of Homeland Security, a indústria de manufatura é a segunda mais visada baseada no número de ataques cibernéticos reportados.

Acho que pequenos fabricantes são especialmente vulneráveis porque são vistos como pontos de entrada fáceis em cadeias de suprimentos maiores. Pense assim: Se você é um criminoso planejando invadir um prédio e roubá-lo, vai tentar invadir um prédio com equipamento de vigilância, sistema de alarme e guardas, ou é mais provável visar um prédio que não tem nenhuma destas características de segurança? É tipicamente o último, por isso criminosos cibernéticos especificamente visam fabricantes. Infelizmente, muitos pequenos negócios não têm medidas de segurança adequadas porque estas empresas não acham que são alvos.

Criminosos cibernéticos podem estar interessados em sua propriedade intelectual (PI) ou podem querer acessar informação sobre com quem você trabalha ou quem você emprega. A violação de dados de clientes da Target em 2013 é uma das instâncias mais conhecidas disso. Seu provedor de sistema HVAC foi propositalmente visado por criminosos cibernéticos porque os hackers sabiam que podiam ganhar acesso aos sistemas da Target através deste provedor HVAC. A violação resultou em informações de cartão de crédito de milhões de pessoas sendo roubadas.

Pergunta: Dado que pequenos e médios fabricantes (FPMs) são frequentemente alvos principais, mas também frequentemente têm recursos limitados, o que estes FPMs podem fazer?

Pat: Pode parecer complicado e provavelmente um pouco avassalador, mas existem coisas que FPMs podem fazer que são de baixo a nenhum custo e fáceis de implementar.

O que realmente importa é colocar políticas no lugar e educar funcionários. Vários estudos descobriram que funcionários são um dos pontos mais vulneráveis na segurança de toda empresa. A maioria dos funcionários simplesmente não sabe do que precisam ficar atentos e como identificar um incidente cibernético potencial ou real até ser tarde demais. Empresas precisam se comunicar regularmente para ajudar funcionários a entender táticas de criminosos cibernéticos e o papel crítico que desempenham na prevenção de incidentes cibernéticos.

Por exemplo, sua empresa deve ter uma política no lugar para uso de mídia social no local de trabalho. Alguns funcionários esperarão acessar mídia social durante o dia de trabalho. Existe um ato de equilíbrio que empresas enfrentam — permitir funcionários acessarem mídia social e proteger seus sistemas. Como você faz isso? Você coloca uma política no lugar. A política pode ser que você não permite uso de mídia social em sistemas da empresa. Talvez você forneça uma rede separada, semi-pública para pessoas acessarem mídia social durante o dia que não exponha sua empresa a riscos. Seja qual for sua política, certifique-se que seus funcionários estão cientes dela, entendem por que existe e as consequências potenciais se a política for violada.

Pergunta: É bom ouvir que existem soluções de baixo e nenhum custo que fabricantes podem implementar. Se uma empresa está pronta para melhorar sua cibersegurança, por onde devem começar?

Pat: Comece olhando o NIST Cybersecurity Framework e NISTIR 7621 Small Business Information Security: The Fundamentals. O Cybersecurity Framework consiste em padrões, diretrizes e melhores práticas para gerenciar risco relacionado a cibersegurança. Ele fornece uma abordagem priorizada, flexível e custo-efetiva para proteger sistemas. Small Business Information Security: The Fundamentals é baseado no Cybersecurity Framework e fornece uma visão geral mais gerenciável para tomadores de decisão de empresas que podem não ter formação técnica. Também foca em como avaliar e priorizar funções de segurança.

Para começar, aqui está um breve resumo do que você encontrará no Framework.

O primeiro passo é Identificar. Identifique a informação mais valiosa para sua empresa. Esta é a informação que se perdida ou modificada, paralisaria suas operações. Por exemplo, digamos que você é um fabricante de alimentos e faz cookies de gotas de chocolate usando a receita da sua avó. Essa receita é vital para seu negócio e deve ser protegida contra roubo ou modificação para que seu negócio continue.

O segundo passo é Proteger. Você conversou com gerentes e equipe e usou este feedback para identificar a informação mais importante para sua empresa. Agora é hora de decidir o que precisa ser feito para proteger adequadamente aquela informação. Este passo depende largamente das ameaças e vulnerabilidades específicas ao seu negócio. Pequenas empresas que simplesmente trabalham com clientes através de interação face a face ou por telefone não terão tanto a proteger quanto empresas que conduzem negócios através de e-mail e portais web. Realmente depende do seu ambiente operacional sobre que proteção você precisa colocar no lugar.

O terceiro passo é Detectar. Você precisa ser capaz de detectar quando um incidente cibernético ocorreu. Você deve ter anti-spyware, anti-vírus e sistemas de detecção de intrusão atualizados no lugar. Você também deve considerar seu espaço físico. Considere coisas como se precisa ser alertado quando pessoas acessam áreas que não deveriam. Seja um incidente digital ou físico, é importante saber quando o incidente aconteceu e o que a(s) pessoa(s) ganhou acesso.

O quarto passo é Responder. Quando um incidente cibernético ocorre, sua empresa precisará responder rapidamente para mitigar dano potencial. Você precisa ter um plano no lugar antes que algo aconteça. O plano deve incluir quem é responsável e quem deve ser contatado quando algo ocorre. Além disso, funcionários devem saber como acessar o plano durante e após o horário comercial.

Lembra da escola primária quando praticávamos simulações de incêndio algumas vezes por ano? Assim como aquelas simulações de incêndio, sua empresa deve praticar regularmente sua resposta a incidente cibernético para que funcionários saibam exatamente o que fazer se um incidente cibernético ocorrer.

O quinto e último passo é Recuperar. Você deve realizar backups regulares para poder recuperar seus sistemas. Estes backups devem ser armazenados em local separado ou na Nuvem. Você precisa testar seus backups. Se você não testar suas informações de backup, não pode ter certeza que será capaz de recuperar totalmente de um evento. Com que frequência você decide testar seus backups deve ser baseado em quão vital a informação é para as operações da empresa.

Esta não é uma situação "tamanho único", e você deve decidir o que funciona para sua empresa e sua cultura. Para uma empresa, testar uma vez por ano pode bastar. Para outra, pode precisar testar uma vez por semana. Não é uma resposta fácil de ouvir, mas realmente requer olhar seus sistemas para ver onde você está vulnerável, conhecer as ameaças que enfrenta e como vai contrapô-las.

Pergunta: Digamos que minha empresa colocou medidas de segurança adequadas no lugar e criamos um plano de resposta: O que vem a seguir?

Pat: Isso não é uma atividade "feito uma vez e pronto". Você não pode escrever um plano de resposta e colocá-lo na prateleira. Isso deve ser um documento vivo. Todos precisam saber sua postura de cibersegurança e como podem continuar a melhorá-la.

Toda vez que você compra um novo equipamento ou contrata um novo funcionário, precisa pensar como estas atividades impactam sua segurança. Para empresas menores, isso pode ser difícil. Muitas vezes vejo instâncias em que uma empresa cresceu rapidamente e esquece que nem todos precisam acesso a cada bit de informação. Pode levar algum tempo, mas a gestão precisa passar por uma lista de funcionários e ver o que eles devem e não devem ter acesso. Alguém no chão de fábrica não precisa acesso a informação de folha de pagamento. Definir papéis e implementar a separação desses papéis pode ser difícil, mas é necessário quando se busca proteger sua empresa de ameaças cibernéticas.

Acho que cibersegurança e qualidade têm muitas similaridades em termos de adoção. Muitas empresas foram lentas em adotar sistemas de qualidade como ISO 9000. Um componente maior de qualidade é a mentalidade em uma empresa. Cibersegurança não é relegada apenas à pessoa de TI ou pessoa responsável por ciber — todo funcionário em todo nível da empresa tem alguma forma de responsabilidade. Cibersegurança precisa ser parte da cultura de uma empresa — assim como qualidade — para ser eficaz.

Perguntas: Onde posso encontrar informação para educar meus trabalhadores sobre coisas que podem fazer para reduzir o risco cibernético da empresa?

Pat: Vá à página web de Recursos de Cibersegurança do NIST MEP. Nesta página você encontrará vários recursos incluindo uma ferramenta simples de autoavaliação que você pode usar (baseada no Cybersecurity Framework da NIST) para autoavaliar o nível de risco cibernético da sua empresa. A autoavaliação pode ajudar a determinar onde estão as fraquezas da sua empresa e onde focar recursos para melhorá-las. Não rastreamos sua informação ou guardamos os resultados. Após fazer a avaliação, você receberá uma pontuação para saber onde estão suas fraquezas em relação aos seus esforços de cibersegurança. Você também pode entrar em contato com um dos 51 Centros MEP, localizados nos 50 estados e Porto Rico, que fazem parte da MEP National Network™ para dúvidas ou assistência.