Ciberameaças diversificam-se e tornam-se mais complexas

Este ano, as empresas têm de fazer face a grandes desafios em matéria de política de segurança: adotar novas tecnologias, enfrentar ciberameaças e ter em conta os custos em que incorrer as organizações em resultado das opções tomadas.

Depois dos surtos “Wanna Cry”, “Not Petya” ou “Bad Rabbit”, que chamaram a atenção, de forma mais premente, para as questões da cibersegurança em 2017, o ransomware continua no topo de muitas listas de perigos na internet. Entretanto, a mineração não autorizada de criptomoedas é identificada por várias fabricantes e integradores de software de segurança como uma ameaça, enquanto a Intel e outros fabricantes de processadores publicam correções para as vulnerabilidades “Spectre” e “Meltdown” identificadas já este ano.

Se tivermos em conta a evolução dos ataques cibernéticos na última década, onde fenómenos de ransomware afetaram centenas de milhares de equipamentos à escala mundial, a perspetiva para 2018 não parece muito animadora para as organizações, diz Tiago Vieira, IMS Business Development Team Leader (Konica Minolta). “Tendencialmente, os hackers irão evoluir mais rápido que os sistemas de segurança, o que nos suscita um desafio acrescido: a prevenção. Este desafio terá em conta uma componente tecnológica, mas acima de tudo pedagógica, pois grande parte das vulnerabilidades detetadas tem por base uma ação involuntária de um determinado utilizador”.

A gestão do ciber-risco começa, por isso, a entrar no léxico das empresas, que já optam por seguros de risco para mitigar possíveis prejuízos decorrentes de eventuais ataques aos sistemas informáticos. O Regulamento Geral de Proteção de Dados (RGPD) é apontado como um ponto de viragem na organização sistémica dos sistemas de informação. Afinal, as coimas são elevadas. No setor financeiro em particular, as empresas não podem ignorar a diretiva PSD2.

Mais atenção à cibersegurança

“Podemos dizer que as nossas empresas começam a olhar para este tema [da cibersegurança] com maior atenção” e começa a assistir-se a um maior “investimento em soluções de protecção, especialmente nos dois últimos anos”, diz Andreia Pinto Teixeira, diretora de ciber-risco na Aon Portugal. “Não obstante, temos ainda uma percentagem considerável de empresas a subestimar as vulnerabilidades das suas áreas críticas e das responsabilidades que sobre si impendem e, por conseguinte, prevê-se o aumento dos ataques informáticos”, acrescenta.

Ciberataques, fraude ou roubo de dados estão entre os cinco mais prováveis riscos mundiais para 2018 elencados pela Marsh e pelos seus parceiros no relatório dos Riscos Globais 2018, divulgado no Fórum de Davos. Carlos Figueiredo, responsável pela área de cyber risks da Marsh Portugal, recorda que as ciberameaças “estão a ganhar destaque no top dos riscos, com ciberataques em grande escala, agora posicionados em terceiro lugar em termos de probabilidade e em sexto em termos de impacto”.

Da mesma opinião é Ricardo Maté, diretor-geral da Sophos Iberia: “Ao longo de 2018 prevê-se que, devido à facilidade de acesso a kits de ransomware na dark web, este tipo de ataques aumente, tanto a grandes empresas como a utilizadores particulares”. O relatório “SophosLabs 2018 Malware Forecast” antecipa que essa maior quantidade de ataques ransomware se foque “nos setores mais vulneráveis como governos, infraestruturas ou saúde”.

Ricardo Maté assinala também os ataques relacionados com as criptomoedas com o objetivo de “infetar os dispositivos com malware de criptomineração”, que afeta o desempenho dos computadores e requer muita potência dos processadores, abrandando-os e desgastando-os. Por tudo isso, “a proteção dos dispositivos móveis pessoais e empresariais, como os smartphones ou tablets, adquire grande importância”.

“Continuaremos a assistir a uma grande proliferação de malware, cujo alvo são os utilizadores finais, quer seja com a intenção de extorsão (Ransomware), de obtenção de acesso às redes corporativas, de privilégios, para danificar dados ou, até, mesmo mineirar criptomoedas”, diz Nuno Cândido, senior manager da área de infraestruturas na Noesis. E acrescenta que já foram identificados cerca de 140 formas de utilização para falhas de segurança identificadas recentemente na maioria dos processadores modernos. Por isso, diz, “será uma questão de tempo até começarem a ser usadas em ataques massivos de malware”.

Ciberameaças travam transformação digital

O principal entrave à transformação digital das empresas continuará a ser a preocupação com as ciberameaças. Um estudo da Cisco aponta que “60% dos diretores consideram que as suas empresas são relutantes a inovar os produtos e serviços digitais devido aos riscos de cibersegurança, e sete em cada dez afirma que as preocupações com a cibersegurança estão a retardar a inovação”, assinala Eutimio Fernández, diretor de cibersegurança da Cisco para Espanha e Portugal.

Já entre os principais desafios identificadas pela consultora EY – adotar novas tecnologias, enfrentar as ciberameaças e ter em conta os custos que podem ter para as organizações cada um dos primeiros desafios -, aqueles que poderão ter maior impacto são a falta de formação das pessoas, a falta de capacidade de resposta a incidentes, o roubo/perda de informação, a eficácia da operação de segurança, incluindo antivírus, cifragem e correções, ataques de Denial of Services (DoS), malware e phishing, detalha Sérgio Sá, associate partner da EY.

As empresas enfrentam um conjunto de ameaças que começa precisamente pelo “aumento da complexidade dos ambientes de TI e das soluções de segurança adotadas”, diz Sérgio Sá. Por outro lado, também os próprios ciberataques se “estão a tornar mais complexos” e com um impacto cada vez maior. Acresce a toda esta complexidade a “falta de profissionais especializados em cibersegurança”, algo com “tendência a agravar-se”, sublinha.

Eutimio Fernández concorda e cita um estudo que revela que “65% das organizações têm entre seis a mais de 50 soluções de segurança pontuais [não integradas entre si] que tornam os ambientes vulneráveis”. O estudo revela também que “apenas 56% dos alertas de segurança são investigados pelas organizações, devido à falta de recursos ou de pessoas especializadas”.

Por seu lado, a S21sec aponta para o crescimento das ameaças endereçadas aos dispositivos móveis. João Barreto, vice-presidente de marketing estratégico da empresa de cibersegurança do grupo Sonae, destaca ainda “o aumento da sofisticação dos meios usados para realização dos ataques” e a “utilização dada aos dispositivos comprometidos”. Neste aspeto assinala que os ativos comprometidos serão rentabilizados de forma alinhada com a conjuntura em cada instante. “Num período de crescimento do valor das criptomoeadas, é provável que os criminosos usem os dispositivos comprometidos para minerarem criptomoeadas”, diz, acrescentando acreditar também que se “intensificarão os ataques com motivações político-estratégicas, state-sponsored, o que provocará a tomada de posições extremas por alguns governos, como boicotes comerciais”.
O destaque da Fujitsu para os desafios que a cibersegurança enfrenta no corrente ano vai para a Cyber Threat Intelligence (CTI), uma forma de fornecer um sistema de alerta precoce aos clientes e contextualizar as ameaças, explica Pedro Pires, consultor de cibersegurança da Fujitsu. “Em suma, ao fazer o trabalho difícil, os fornecedores podem, na prática, bloquear as ameaças antes de elas terem oportunidade de causar estragos”. Outro desafio apontado por Pedro Pires, é a resposta a incidentes e, acima de tudo, a rapidez com que as organizações são capazes de responder aos incidentes vão ser cada vez mais importantes com o advento do RGPD e da legislação sobre Redes e Sistemas de Informação (NIS).

Adelino Monteiro (Sage) recomenda às empresas, uma vez que “as ameaças são globais e os eventos gerados”, o investimento nos serviços de um Managed Security Services Provider (MSSP), que pode “alertar-nos para situações incomuns e que podem resultar em falhas de segurança”. Finalmente, deve auditar-se regulamente todos os processos e sistemas da empresa, garantindo sempre que os mesmos obedecem a todos os requisitos legais e técnicos e de acordo com a estratégia de segurança da empresa.

Maria Antónia Saldanha, da SIBS, considera que as maiores ameaças para a área em que empresa opera deverão estar relacionadas com o crescimento nos “ataques sofisticados de fraude online”, tendo em conta “os avanços tecnológicos e o desenvolvimento do comércio eletrónico”. Para fazer face a esta ameaça, a diretiva PSD2 “promove a criação e atuação de novos tipos de prestadores de pagamento”, impondo-lhes também “maiores responsabilidades na execução de operações de pagamento não autorizadas”, mas a SIBS também está a ser proativa nesta matéria e firmou uma parceria com a IBM para o aperfeiçoamento do serviço de segurança cognitiva “Paywatch” que atua na deteção, interceção e prevenção de fraude, garantindo maior eficácia na identificação em tempo real de potenciais fraudes”.

Sofisticação do cibercrime torna sistemas complexos

“O crime cibernético tornou-se cada vez mais sofisticado e as organizações têm dificuldade em detetar, prevenir e responder efetivamente a ataques”, alerta João Borrego, sales consulting senior manager da Oracle Portugal. Refere que, actualmente, os executivos estão preocupados com a gestão de receitas e com a redução dos custos, mas, dentro de menos de dois anos, “a importância da segurança e conformidade será igual ou maior”. Entretanto, o perímetro de segurança vai sofrendo uma erosão, à medida que temas como o “mobile, a IoT ou a cloud evoluem a uma velocidade nunca antes vista.

Esta tendência é corroborada por Mafalda Alves Dias, diretora de grandes contas e setor público da Vodafone Portugal, que cita o relatório “Strong Cyber Security drives growth & innovation”, apresentado pelo Grupo Vodafone no âmbito de um estudo internacional, que revela que 89% das empresas considera a cibersegurança um fator determinante na conquista da confiança e lealdade dos seus Clientes. Sendo que mais de 85% admite aumentar os seus orçamentos alocados a ferramentas de segurança nos próximos três anos.

Melhores práticas são a solução

João Borrego assinala que “o número de dispositivos, serviços e pessoas autorizados a aceder aos dados das organizações só tem paralelo com o número de ameaças automatizadas. Para manter os sistemas seguros é necessário aplicar as melhores práticas de segurança, embora, algo que “continuará a ser um desafio”, com a “falta de planeamento para aplicação de correções regulares, cifragem e mascaramento de dados insuficiente, dificuldade de manutenção de sistemas legados e cumprimento de novas normas (por exemplo, o RGPD), colocando dados e serviços em risco”.

Sérgio Sá aponta que a adoção de novas tecnologias de informação está a tornar-se cada vez mais complexa devido à multiplicidade de componentes (cloud, mobile, social, Internet das Coisas – IoT, entre outros) e às questões de segurança. O consultor recomenda uma mudança na forma como a gestão é feita nas empresas, porque a adoção daquelas tecnologias “tem implicações na gestão de mais dispositivos, dados armazenados e métodos de acesso aos mesmos” e também porque “parte significativa dos responsáveis de TI e/ou segurança não acredita que o programa de segurança de informação definido pela organização responda às necessidades”.