5 Perguntas Essenciais para Fazer ao seu Profissional de Cibersegurança

Quase semanalmente ouvimos sobre outra empresa ou organização que caiu vítima de um ataque cibernético. Sabemos que criminosos cibernéticos são mais persistentes e precisamos ser mais diligentes sobre proteger informação.

Penso que em nossas vidas pessoais a maioria de nós está tentando ser mais cuidadosa. Foram-se (espero) os dias de definir cada uma de nossas senhas pessoais como 123456. No entanto, não parecemos levar o mesmo nível de preocupação para o escritório. Já que nosso profissional de TI certamente tem controle sobre nossa cibersegurança, eu não deveria me preocupar... certo?

O fato é que nós, como funcionários, desempenhamos um papel vital na proteção da empresa para a qual trabalhamos, e basta um clique errado para comprometer um negócio. Um estudo recente da Willis Towers Watson descobriu que 90 por cento de reclamações de incidentes cibernéticos resultam de algum tipo de erro humano ou comportamento. Aqui estão cinco perguntas e respostas para ajudar a guiá-lo em sua jornada para tornar sua empresa mais segura.

1. Quais são os principais riscos cibernéticos que minha empresa enfrenta?

O risco de uma empresa varia consideravelmente baseado em seu ambiente operacional único, então há muitas coisas para avaliar e considerar.

Você tem muitos funcionários que usam e-mail? Spear phishing pode ser um risco principal para você. Todo dispositivo com endereço IP no seu chão de fábrica está seguro? Se não, código malicioso, acesso não autorizado e uso ou exfiltração de dados podem ser riscos principais.

Realizar avaliações de risco de cibersegurança deve ser uma parte chave do programa de gestão de segurança da informação da sua organização. Todos sabem que existe algum nível de risco envolvido quando se trata de dados críticos e seguros da empresa, ativos de informação e instalações. Mas como você quantifica e se prepara para este risco de cibersegurança? O propósito de uma avaliação de risco de segurança de TI é determinar quais riscos de segurança os ativos críticos da sua empresa enfrentam e saber quanto financiamento e esforço devem ser usados para protegê-los.

O NIST Risk Management Framework (RMF) é um ótimo recurso para começar. O RMF fornece uma abordagem estruturada, porém flexível, para gerenciar a porção de risco resultante de sistemas que sua empresa pode controlar e processos de negócio da sua organização.

2. É ok usar um gerenciador de senhas?

Embora usar um gerenciador de senhas para suas contas online pessoais seja uma forma excelente de se manter seguro, lembre-se de verificar as políticas da sua empresa antes de usar qualquer software no trabalho.

Gerenciadores de senhas podem ajudar você a armazenar suas senhas assim como ajudar a gerar únicas para cada site. No entanto, manter todas suas senhas em um lugar é arriscado. É importante entender como suas senhas são protegidas e se são criptografadas. Existem vários produtos comerciais disponíveis que funcionam com múltiplos dispositivos e navegadores, então faça sua pesquisa para encontrar um que melhor atenda suas necessidades.

3. Minha empresa está em conformidade com frameworks ou padrões líderes de segurança da informação e precisa estar?

Proteger sua propriedade intelectual e informação sensível de clientes e funcionários pode dar a você e seus clientes paz de espírito. Também é uma prática de negócios sólida quando você olha o impacto financeiro, diminuição de produtividade e perda de confiança que um ataque cibernético pode custar.

Para empresas na cadeia de suprimentos do Department of Defense (DoD), tal proteção é obrigatória. Estas empresas são requeridas a atender aos padrões mínimos de segurança do Defense Federal Acquisition Regulation Supplement (DFARS) ou arriscam perder seus contratos DoD.

Aqui estão vários exemplos de frameworks ou padrões de segurança que podem ajudar você a entender e mitigar seu risco: NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, o NIST MEP Cybersecurity Self-Assessment Handbook, e o Payment Card Industry Data Security Standard (PCI DSS). É fácil confundir sobre qual documento referenciar, então aqui está mais informação sobre cada um:

• O Framework é mais alto nível (e mais conciso) comparado ao NIST SP 800-53, que é um catálogo de controles de segurança e privacidade. O Framework é mais gerenciável para executivos e tomadores de decisão que podem não ter formação técnica. Também foca em como avaliar e priorizar funções de segurança e referencia documentos existentes como NIST SP 800-53, que é melhor usado por equipe técnica que implementará segurança e pode entender sua informação mais detalhada sobre quais controles selecionar e implementar.
• O NIST MEP Cybersecurity Self-Assessment Handbook ajudará sua empresa a estar em conformidade com NIST SP 800-171 Security Requirements in Response to DFARS Cybersecurity Requirements. O manual fornece um guia passo a passo para avaliar sistemas de informação de um pequeno fabricante contra os requisitos de segurança em NIST SP 800-171 rev 1, "Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations".

• O Payment Card Industry Data Security Standard (PCI DSS) é um conjunto amplamente aceito de políticas e procedimentos destinados a otimizar a segurança de transações de cartões de crédito, débito e dinheiro. O PCI DSS foi criado em 2004 por Visa, MasterCard, Discover e American Express. Manter segurança de pagamentos é requerido para todas as empresas que armazenam, processam ou transmitem dados de portadores de cartão. A violação ou roubo de dados de portadores de cartão afeta todo o ecossistema de cartões de pagamento. Alguns exemplos de impactos para sua empresa são perda de confiança do cliente, vendas diminuídas, perdas por fraude, custos legais, multas e término da capacidade de aceitar cartões de pagamento. Manter conformidade PCI DSS é vital para o sucesso a longo prazo de uma empresa que processa pagamentos com cartão e mantém defesas cibernéticas prontas contra ataques visando roubar dados de portadores de cartão. A maioria das pequenas empresas pode usar uma ferramenta de auto-validação para avaliar seu nível de segurança de dados de portadores de cartão.

4. O que é autenticação de dois fatores e como a habilito? Por que senhas não são boas o suficiente?

Autenticação de dois fatores (2FA) é uma camada extra de segurança usada para garantir que você é quem diz ser. O problema é que nomes de usuário e senhas sozinhos são facilmente adivinhados, e pessoas usam as mesmas senhas para múltiplos sites. Incidentes publicamente divulgados revelam que 5.518 registros são vazados a cada minuto.

2FA impede outras pessoas de facilmente ganharem acesso às suas contas. Quando 2FA está habilitado, você insere seu nome de usuário e senha na página de login. Então, em vez de ganhar acesso imediatamente, você será requerido a fornecer outra peça de informação. Este segundo fator pode ser um dos seguintes:

• Algo que você sabe – um número de identificação pessoal (PIN), frase secreta ou respostas a perguntas secretas.
• Algo que você tem – um cartão de crédito, cartão-chave, smartphone, token de hardware ou software ou notificação do site.
• Algo que você é – um padrão biométrico de impressão digital, escaneamento de íris ou impressão de voz.

Se você não tem certeza se seus sites ou apps têm 2FA, visite TwoFactorAuth.org para descobrir.

Ligue 2FA para todas as contas. Veja instruções passo a passo da Telesign para habilitar 2FA: https://www.turnon2FA.com.

5. Existe um processo de aprovação para comprar aplicações que eu acho que seriam úteis para meu trabalho?

A maioria das empresas tem políticas sobre como comprar software (tanto em caixa/online quanto hospedado externamente na nuvem). É importante saber quais aplicações você pode usar imediatamente, e quais podem precisar de investigação adicional para garantir que são seguras o suficiente para seu uso e os dados que serão processados e/ou armazenados nelas. Saiba o que é requerido e trabalhe com seu profissional de cibersegurança para passar pelos processos requeridos para garantir que a informação será protegida adequadamente.

Se você gostaria de entender melhor seu risco de cibersegurança, pode usar a Ferramenta de Autoavaliação de Cibersegurança da MEP National Network™. Se tem dúvidas ou gostaria de falar com um profissional de cibersegurança, conecte-se com seu Centro MEP National Network local.