Perguntam-me frequentemente quais são as tecnologias mais recentes com que as organizações se devem preocupar. Ou quais são as maiores ameaças ou lacunas de segurança que fazem com que as equipas de TI (tecnologias de informação) e de segurança percam o sono à noite. Será a mais recente tecnologia de IA (inteligência artificial)? O ransomware de extorsão tripla? Ou uma nova falha de segurança num software omnipresente?

E eu respondo que a verdade é que as violações — mesmo as grandes, caras e que mancham a reputação — muitas vezes acontecem por causa de coisas simples e banais.

Ninguém gosta de lavar os dentes e usar fio dental. A higiene da cibersegurança não é diferente.

Assim, pensei em partilhar algumas regras difíceis de aprender e fáceis de compreender dos meus 25 anos de gestão de equipas de cibersegurança. Inspirados no livro de Robert Fulghum, Tudo o Que realmente Preciso de Saber Aprendi no Jardim de Infância, estes conselhos são igualmente aplicáveis a novatos e a veteranos da indústria a quem foram confiadas as operações diárias de TI e segurança das organizações.

#1 Puxe o autoclismo… e limpe a sua própria porcaria

Nas operações e manutenção de TI, tal como na higiene pessoal, o utilizador é responsável por limpar a sua própria porcaria. Se comprar um software, não o pode deixar a apodrecer num canto virtual. Certifique-se de que tem uma rotina estabelecida para se manter informado sobre as ameaças mais recentes, efectuar análises regulares de vulnerabilidades e gerir a aplicação de patches nos seus sistemas (incluindo redes, nuvens, aplicações e dispositivos).

#2 Confie, mas verifique

Na era das transacções online rápidas, quer sejam sociais ou relacionadas com a empresa, é melhor ter cuidado. Verifique se a pessoa com quem está a lidar é real, se os antecedentes são confirmados e obtenha referências sempre que puder.

#3 Analise tudo…

Os incidentes de segurança, como um e-mail suspeito ou uma hiperligação fraudulenta, não são um grande problema até se tornarem um grande problema. Com mecanismos silenciosos, destinados a manter as coisas discretas e “aborrecidas”, temos sempre de estar atentos a situações duvidosas.

#4 Se comprar algo, passa a ser o responsável por essa compra

Quer se trate de produtos na nuvem, como a infra-estrutura IaaS (Infrastructure-as-a-Service) ou de aplicações SaaS (Software-as-a-service), é necessário garantir que os seus produtos são mantidos em bom estado, actualizados e corrigidos.

#5 Não fique com coisas que não são suas

Se estiver em posição de aceder ou mesmo de explorar outros sistemas ou os dados de alguém como parte do seu trabalho de análise e investigação de incidentes, lembre-se de cumprir as regras. Mantenha-se do lado correcto da lei. Não adopte medidas de segurança ofensivas e não retalie. E não se aproprie de coisas que não são suas.

#6 Jogue limpo. Não “ataque” as pessoas

Outras empresas e vendedores também podem fazer asneiras. Seja respeitoso na internet. E tenha cuidado com os seus comentários.

#7 Partilhe tudo (incluindo conhecimentos e formação)

Se contratar pessoal, precisa de o educar. Quer seja a equipa SOC (Security Operations Center) ou a Maria dos Recursos Humanos. Todos precisam de conhecer as regras. Certifique-se de que está a realizar formações regulares de sensibilização. E, se tiver uma equipa de operações de segurança, organize regularmente exercícios, como concursos entre a equipa vermelha e a equipa azul e simulações de violações e ataques.

Texto: Marla Mendes, responsável pela Check Point Software Technologies no mercado angolano