As informações mais comprometidas em uma violação de dados são as pessoais. Por exemplo, números de cartão de crédito, CPFs e históricos de assistência médica. Já entre as corporativas, podemos citar informações como listas de clientes, processos de fabricação e código-fonte de softwares.
O acesso não autorizado a essas informações caracteriza uma clara violação de dados, resultando em roubo de identidade ou violação de requisitos de conformidade frente ao governo ou a setores regulatórios. Incidentes como esse levam empresas a sofrer multas e outros litígios civis, fora as perdas de dinheiro e credibilidade.
O problema é que qualquer empresa pode sofrer ataques virtuais atualmente. Por mais que ações preventivas sejam tomadas, a grande questão levantada — e que deve ser uma prioridade para organizações de diferentes tamanhos e setores — é: o que fazer em caso de violação de dados?
Recentemente houve um vazamento enorme, no qual dados de aproximadamente 800 milhões de contas de e-mail foram roubados. Aliás, caso você queira verificar se dados do seu e-mail também foram roubados, acesse: https://haveibeenpwned.com.
Principais causas de violação de dados
É comum pensar que a violação de dados se caracteriza por alguém atacando um site corporativo e roubando informações confidenciais. No entanto, nem tudo acontece dessa forma.
Entretanto, basta um funcionário não autorizado visualizar informações pessoais de um cliente na tela de um computador autorizado para constituir violação de dados.
O roubo ou a violação de dados acontece por diferentes motivos:
- Senhas fracas;
- Correções de software que são exploradas;
- Computadores e dispositivos móveis roubados ou perdidos.
- Usuários que se conectam a redes sem fio não autorizadas;
- Engenharia social, especialmente ataques realizados por e-mail phishing;
- Infecções por malware.
Os criminosos podem usar as credenciais obtidas por meio de seus ataques para entrar em sistemas e registros confidenciais — acesso que, muitas vezes, não é detectado por meses, se não indefinidamente.
Além disso, invasores podem segmentar seus ataques por meio de parceiros de negócios para obter acesso a grandes organizações. Tais incidentes geralmente envolvem hackers comprometendo empresas menos seguras para obter acesso ao alvo principal.
A prevenção ainda é o melhor remédio
Garantir um ambiente completamente seguro é um grande desafio.
Atualmente temos diversos recursos e tecnologias que conseguem minimizar consideravelmente o risco de ataques. Entretanto, esse é um ambiente muito dinâmico em diferentes aspectos que possibilitam os ataques virtuais. Desse modo, a prevenção é o melhor caminho.
Em suma, os meios mais razoáveis para impedir violações de dados envolvem práticas de segurança e bom senso. Isso inclui noções básicas bem conhecidas:
- Realizar testes contínuos de vulnerabilidade e penetração;
- Aplicar proteção contra malwares;
- Usar senhas fortes;
- Aplicar os patches de software necessários em todos os sistemas;
- Usar criptografia em dados confidenciais.
Medidas adicionais para prevenir violações e minimizar seus impactos incluem políticas de segurança bem escritas para os funcionários, além de treinamentos contínuos para promovê-las.
Além disso, deve-se ter um plano de resposta a incidentes que possa ser implementado no caso de invasão ou violação. Ele precisa incluir um processo formal para identificar, conter e quantificar um incidente de segurança.
Como Lidar com as Consequências da Violação de Dados
Considerando que uma violação de dados pode acontecer em qualquer empresa e a qualquer momento, um plano de ação é a melhor tática.
O problema mais básico é que as pessoas ainda não consideram os ataques cibernéticos como inevitáveis. Afinal, acreditam que suas defesas são boas o suficiente ou não acham que serão alvos.
Além disso, outro problema é que as organizações não entendem o verdadeiro valor dos planos eficazes de resposta a incidentes. Desse modo elas podem levar semanas para entender o que aconteceu.
As etapas recomendadas durante uma violação de dados são:
- Identificação do que acontece;
- Reunião de todos os setores relacionados;
- Colocar as coisas sob controle;
- Redução dos efeitos colaterais;
- Gestão da comunicação externa;
- Recuperação das operações de negócios;
- Identificação das lições aprendidas;
- Melhoria dos processos.
A prioridade é interromper a violação de dados confidenciais, garantindo assim que todos os recursos necessários estejam disponíveis para impedir qualquer perda adicional de informações.
|
|
Identificação
Entenda o que aconteceu – como os invasores entraram ou como os dados foram divulgados – e, além disso, certifique-se de que não há vazamento.
Saber qual é a sua situação, definir a postura a ser adotada e ser capaz de tomar as ações necessárias a partir dessa posição são os primeiros passos a serem dados.
Contenção
Os atacantes vieram de fora? Garantir que nada mais saia da empresa também deve ser um dos estágios iniciais da resposta aos incidentes. As próximas ações serão executadas a partir desse ponto.
Erradicação
Lide com o problema, focando na remoção e na restauração dos sistemas afetados.
Assegure que sejam tomadas medidas para remover material malicioso e outros conteúdos ilícitos, fazendo, por exemplo, uma recriação completa do disco rígido e verificando os sistemas e arquivos afetados com o software anti-malware.
Comunicação
O próximo passo é alinhar os discursos quando se trata da comunicação externa.
A política de TI deve incluir cuidados relacionados às redes sociais e aos demais canais de comunicação da organização. Afinal, toda informação relacionada ao problema deve sair por um lugar só, sempre alinhada com as ações realizadas pela empresa.
É muito comum atualmente incluir o setor jurídico da organização nas questões de comunicação e no tratamento das situações junto aos clientes e órgãos oficiais.
No site da saferweb, que é uma associação civil com foco na promoção e defesa dos Direitos Humanos na Internet no Brasil, você pode encontrar uma relação de delegacias de crimes virtuais para fazer a denúncia.
Além dos órgãos oficiais, lembre-se de avisar quem foi afetado pelo vazamento, sejam colaboradores, fornecedores ou mesmo clientes.
Por fim, não se esqueça que a lei geral de proteção de dados (LGPD) também trata desse assunto.
Lições aprendidas com a Violação de Dados
Se a sua empresa conseguir resolver o problema de violação de dados e se recuperar rapidamente, então ela está no caminho certo para restaurar os negócios e minimizar os impactos.
Entretanto, em alguns casos, o problema chega até a imprensa e toma uma proporção maior, afetando a reputação e os negócios da companhia.
Siga as nossas dicas e os exemplos de outras organizações que já enfrentaram situações semelhantes, a fim de entender o que deu errado e certificar-se de que você tem as melhores táticas para evitar uma recorrência.
Outra dica importante é assinar nossa newsletter e ficar por dentro das novidades!
Sobre a Eval
A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.
Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.
Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.
Eval, segurança é valor.
