Blog da ESR

A cibersegurança tem se tornado uma das principais áreas da TI, sobretudo por causa do crescimento acelerado das ameaças virtuais no meio corporativo. Por isso, adotar práticas de privacidade e segurança de dados eficientes passa a ser uma prioridade para a maior parte das empresas. Você sabe como fazer isso? De acordo com o relatório da Uni42, unidade de pesquisa da Palo Alto Networks, o Brasil registrou o maior índice de ataques cibernéticos da América Latina em 2023, destacando-se como o epicentro dessas práticas criminosas na região. O estudo identificou, ainda, que o país foi o mais vulnerável a ataques hackers entre os representantes latinos pelo terceiro ano consecutivo, com o registro do aumento dessas inconsistências em 56,4% de 2021 a 2023. Entre as inúmeras formas de comprometimento das tecnologias dos negócios, sejam elas em superfície física ou em nuvem, algumas chamam a atenção dos especialistas pela sofisticação e escalabilidade. É o caso, por exemplo: Diante desse cenário, os times de TI precisam desenvolver, com agilidade, uma gestão de dados e compliance robusta, adequando as atividades das empresas ao que orienta as principais regulamentações do mercado, como a LGPD, DORA, GDPR, CCPA, SOX, PCI e HIPAA, entre outras. Além disso, um bom exemplo dessa exigência é a inteligência artificial (IA) e seus contornos, tendo em vista que ela não representa mais uma tecnologia do futuro, já que está transformando vidas e negócios agora, no presente. Mais de 25% das organizações já utilizam cinco ou mais aplicativos de IA diariamente, desse modo, para as equipes de tecnologia, é necessária uma atenção plena às novas tecnologias e demandas de mercado. Como se sabe, a inteligência artificial (IA) e a proteção de dados estão intimamente relacionadas, pois o treinamento de algoritmos de IA muitas vezes demanda grandes volumes de dados, incluindo dados pessoais. Assim, o objetivo por trás da estratégia de fortalecer esses campos – o da privacidade e ética no uso de dados, além da segurança da informação – é claro: minimizar os prejuízos que as organizações enfrentam quando passam por eventos cibernéticos adversos.  Segundo o estudo Global Cybersecurity Outlook 2024, do World Economic Forum, mais de um terço das organizações sofreu um incidente cibernético causado por malfeitores em 2023. Empresas que possuem a proteção de dados e o respeito à privacidade e ética dos dados consolidados, tendo a tecnologia da informação (TI) como parceira, usufruem de uma série de benefícios em relação àquelas que não se preparam para o novo contexto digital. Agora, os usuários estão mais atentos a como os negócios utilizam suas informações, assim como há um aumento exponencial das superfícies de ataque e dos pontos de vulnerabilidade suscetíveis aos mais variados cibercrimes. Ou seja, privacidade, ética e adequação no uso de dados, além de campos em ascensão na TI – como a inteligência artificial –, são a demanda do presente e do futuro dentro das empresas. Neste conteúdo, vamos conversar mais sobre regulação, gestão e segurança de dados, além da privacidade dessas informações. Por que é importante que empresas e profissionais de TI se especializem em privacidade, segurança e ética no uso de dados? Ter um olhar cuidadoso para a privacidade e a ética no uso das tecnologias, sobretudo as relacionadas com o tratamento de dados, é uma demanda urgente dos negócios. As novas dinâmicas sociais, que se destacaram com a transformação digital acelerada pela pandemia de Covid-19, não só exigem um posicionamento das organizações diante do uso de dados, como enfraquecem o branding de empreendimentos que não possuem políticas de transparência em suas operações.  A partir de 2020 e da necessidade de distanciamento social, a digitalização das empresas e das transações cresceu de forma exponencial. De acordo com a 33ª edição da Pesquisa Anual sobre o Mercado Brasileiro de TI e Uso nas Empresas, divulgada pela FGV, por exemplo, a antecipação do processo de transformação digital por causa dos contornos da crise sanitária foi o equivalente ao esperado para o período de um a quatro anos. Na época, computadores, notebooks, tablets e smartphones superaram, somados, a expressiva marca de 447 milhões de unidades no país. Ou seja, a demanda por redes e soluções digitais cresceu significativamente. Com isso, foi preciso viabilizar novos modelos de negócios que exigiam também investimento em TI. Diante de tantas mudanças, as empresas passaram a ser cada vez mais confrontadas com a demanda de adaptação a políticas de uso e tratamento de dados adequadas. Afinal, esses insumos agora apresentavam-se em quantidades inéditas e impressionantes. Assim, ao optar por caminhar com as transformações do contexto, priorizando processos, ações, planejamento estratégico e indicadores voltados para a ética, a transparência e a proteção de dados, as empresas gozam de inúmeras vantagens, como:  Além dos benefícios previamente mencionados, o reconhecimento e a ênfase na privacidade, na ética e na segurança da informação resultam na preservação de ativos valiosos dos negócios, tanto internos quanto externos, mitigando gastos com redução de danos e respostas a incidentes. Nesse contexto, torna-se indispensável contar com setores de TI altamente sistematizados e focados no contínuo desenvolvimento dos princípios de segurança da informação e em sua diferenciação entre privacidade e proteção de dados.  Você também pode gostar – Cloud storage: o que é e qual sua importância para o cenário de dados atual? Qual a diferença prática entre privacidade, proteção de dados e segurança da informação? Ao nos aprofundarmos na essência da “privacidade, proteção de dados e segurança da informação”, é crucial que compreendamos como esses conceitos se entrelaçam e, ao mesmo tempo, se distinguem em práticas cotidianas da TI. A “privacidade”, como destacado anteriormente, refere-se ao direito de um indivíduo de controlar suas informações pessoais e de decidir como, quando e onde essas informações podem ser acessadas e compartilhadas. É um conceito intimamente associado à proteção dos dados pessoais, especialmente no contexto das tecnologias digitais.  Na prática, seus principais aspectos incluem: Já a “proteção de dados pessoais (ou privacidade de dados)” é definida como um subconjunto da privacidade, que se concentra especificamente na proteção das informações pessoais identificáveis (PII). É regida por legislações específicas, como a General Data Protection Regulation (GDPR), na Europa, e a Lei Geral de Proteção de Dados (LGPD), no Brasil, e tem como aspectos essenciais os discriminados a seguir:  Por fim, a “segurança da informação” envolve a proteção dos dados contra ameaças, garantindo a integridade, confidencialidade e disponibilidade da informação. Abrange a implementação de medidas e práticas que assegurem que os dados sejam acessados somente por pessoas autorizadas e que estejam protegidos contra perdas ou modificações. Seus três principais pilares são conhecidos pela sigla CIA: Além disso, a segurança da informação também envolve gestão de riscos, plano de resposta a incidentes e auditorias de segurança, estratégias para minimizar possíveis ameaças e lidar com elas. O entendimento prático desses conceitos contribui para a construção de uma abordagem holística em TI.   Seja para fornecer suporte eficaz aos usuários em suas necessidades de privacidade e proteção de dados, seja para resguardar os ativos mais preciosos de uma empresa, o profissional de TI desempenha um papel estratégico, sendo o responsável por perfectibilizar as ações e políticas de proteção e por estruturar uma segurança da informação eficiente. E como identificar a efetividade da segurança da informação de um negócio? É o que vamos destrinchar agora. Você também pode gostar – Governança corporativa: princípios e boas práticas para adotar em 2024.  Resumo das diferenças e relações entre os conceitos Para detalhar o que conversamos anteriormente, podemos resumir as diferenças e as relações existentes entre os três conceitos: privacidade, proteção de dados pessoais e segurança da informação.   Todos os conceitos se interligam, de modo que a privacidade é protegida por meio de boas práticas de segurança da informação, e a proteção de dados pessoais garante que os direitos individuais, em relação aos seus dados, sejam respeitados e assegurados. Você também pode gostar – Previsões de cibersegurança: o que esperar no segundo semestre do ano e início de 2024? As 5 principais regulações do mercado Nessa perspectiva de desenvolvimento de recursos que se preocupam com a privacidade e a segurança dos dados, diversas normatizações e regulamentações globais foram estruturadas, definindo padrões para o tratamento e a proteção de dados pessoais. Conhecê-las é essencial para quem deseja trabalhar com privacidade e segurança de dados. Inspirada no GDPR europeu, a LGPD regulamenta o tratamento de dados pessoais de indivíduos no Brasil, estabelecendo princípios como transparência, segurança e o consentimento dos titulares dos dados. Foi implementada em agosto de 2018, mas entrou efetivamente em vigor em 2020. Desde então, as empresas precisam garantir a conformidade da sua gestão de dados com o que está disposto na norma, principalmente para potencializar a segurança da informação e a não aplicação de penalidades. Uma das regulamentações mais rigorosas do mundo, a GDPR protege a privacidade dos dados pessoais dos cidadãos da UE, impondo severas penalidades a seu não cumprimento e exigindo práticas robustas de confidencialidade da informação. O CCPA é uma lei estadual que oferece aos residentes da Califórnia, por exemplo, o direito de saber como seus dados pessoais são coletados e utilizados, bem como o direito de acessar e excluir suas informações pessoais Os Princípios Atualizados sobre Privacidade e Proteção de Dados Pessoais, como instrumento de soft law interamericano, visam servir aos estados-membros da organização como pontos de referência para o fortalecimento de seus respectivos marcos legais na matéria e orientar o desenvolvimento coletivo da região rumo a uma proteção harmônica e eficaz dos dados pessoais. Essa regulamentação protege informações de saúde sensíveis, exigindo padrões de segurança rigorosos para salvaguardar dados médicos e pessoais, além de estabelecer parâmetros para uso, divulgação e proteção de informações de integridade individualmente identificáveis. Como implementar práticas de privacidade e segurança de dados em TI em conformidade com as regulações? Implementar práticas robustas de proteção de dados, privacidade e segurança de dados é essencial para cumprir as regulamentações e salvaguardar as informações sensíveis de ameaças.  Existem algumas dicas que podem facilitar esse processo, e você encontra todas elas no novo ebook gratuito da Escola Superior de Redes.  >> Baixe agora o ebook “9 passos para implementar práticas de privacidade e segurança de dados em TI em conformidade com as regulações” <<

Uma das importantes e recentes previsões do Gartner sobre cibersegurança envolve a estimativa de que, até 2026, 10% das grandes empresas terão um programa abrangente, maduro e mensurável de confiança zero em vigor, algo mais significativo do que os menos de 1% de hoje. Esse cenário pode ser facilmente explicado por causa da acelerada sofisticação e abrangência dos crimes virtuais que vêm ocorrendo nos últimos anos. De acordo com um relatório da Kaspersky, somente nos primeiros meses de 2024, o Brasil registrou mais de 106 mil detecções de ransomware, com cerca de 6,5 mil dessas tentativas direcionadas para o setor da saúde. Para driblar esse desafio, a Arquitetura de Confiança Zero (Zero Trust) aparece como uma estratégia de segurança cibernética que atua por meio de políticas de segurança aplicadas com base em um contexto estabelecido. Diante disso, o modelo leva em consideração controles de acesso de privilégio mínimo e uma autenticação estrita do usuário. Ou seja, trata-se de uma abordagem pautada na ausência da confiança presumida, que tem como principal expressão a máxima “nunca confie, sempre verifique”.  Neste conteúdo, vamos nos aprofundar no tema e descobrir os passos básicos para implementar uma dinâmica de confiança zero na TI. Boa leitura! Leia também: O que são ataques de phishing e como evitá-los? O que é Arquitetura Zero Trust? Ao demandar flexibilidade, adaptabilidade e agilidade das empresas, a transformação digital abriu espaço não só para que as tecnologias se desenvolvessem em escala, como também os crimes virtuais. Dessa forma, à medida que as ameaças cibernéticas se tornaram mais complexas, e tendo em vista que modelos tradicionais de segurança – aqueles baseados em perímetros protegidos – são insuficientes, as empresas buscaram novas abordagens para garantir a segurança de suas redes e dados. Nesse contexto, a Arquitetura Zero Trust (ou Arquitetura de Confiança Zero) ganha destaque ao adotar o princípio do acesso com privilégio mínimo, assegurando que cada conexão e transação dentro da rede seja validada/autorizada constantemente. O termo foi criado em 2010 por John Kindervag, analista principal e vice-presidente da Forrester Research, com o objetivo de descrever um modelo que compreendesse os riscos à segurança da informação como pertencentes tanto ao interior quanto ao exterior da rede. Em outras palavras, isso significa dizer que a Arquitetura de Confiança Zero tem como ponto de partida a crença de que existem invasores dentro e fora da rede, e que não é estratégico, nem rentável para as organizações confiar automaticamente em uma máquina ou usuário.  Assim, a popular presunção de que “tudo o que está na rede é seguro” abre espaço para um sistema que, na verdade, pressupõe a violação e verifica cada solicitação de acesso como se ela fosse originada de uma rede aberta. Na prática, o modelo de confiança zero autentica, autoriza e criptografa cada solicitação de acesso antes de concedê-la efetivamente, guiando-se pelos seguintes princípios: Princípios da Arquitetura de Confiança Zero Além desses, o National Institute of Standards and Technology (NIST) propõe oficialmente outros seis: Na prática, as análises aprofundadas dos dados que compõem os objetos de estudo da Arquitetura de Confiança Zero possibilitam que a aplicação desses princípios seja realizada, principalmente, por meio de softwares, Machine Learning e inteligência artificial (IA), ou seja, recursos capazes de detectar anomalias em tempo real, além de oferecer insights para que as equipes de TI saibam como agir em relação às inconsistências da rede.  Com essas informações, a equipe de TI pode estabelecer uma política de regras e respostas aos incidentes e, posteriormente, ainda pode automatizá-la dentro da dinâmica do ambiente digital, o que otimiza os processos de cibersegurança. Assim, dizemos que o modelo de Arquitetura de Confiança Zero pode ser definido como uma abordagem abrangente de segurança da informação, direcionado para empresas que abandonam a percepção de que a rede se torna segura depois de uma simples autenticação do usuário. De um lado, uma proteção tradicional de perímetros x, de outro, uma segurança centrada em dados, controles de acesso orientados por políticas e gestão moderna de identidade.  Por fim, nos termos do Oracle, a abordagem de confiança zero representa um modelo de segurança de TI responsável por manter dados sensíveis seguros e por contribuir para a conformidade da rede com novos regulamentos de privacidade. Trata-se, também, de um modelo que atua contra o potencial comprometimento ou roubo de credenciais por um administrador ou aplicação privilegiada. Em um cenário composto por criminosos cibernéticos que sabem como violar firewalls, VPNs, controles de acesso, IDS, IPS, SIEMs e gateways de e-mail, que têm credenciais corretas e admitidas em sites, aplicações ou dispositivos de qualquer rede, a Arquitetura de Confiança Zero oferece uma estratégia inovadora para mitigar os efeitos negativos da confiança implícita nas redes tradicionais. “A confiança zero permite que as organizações regulamentem o acesso a sistemas, redes e dados sem desistir do controle”. – Oracle Por meio dela, a segurança é executada desde o início, além de ser necessária a verificação de todos os usuários que tentam obter acesso aos recursos de uma empresa e rede. Há um processo de validação de identidades de usuários, direitos de acesso associados a um sistema específico e gerenciamento adequado de identidades digitais dos usuários. Para reforçar a autenticação, a Arquitetura de Confiança Zero rastreia as atividades do usuário, cria relatórios sobre essas atividades e aplica políticas para garantir a conformidade delas, além de implementar recursos fundamentados em camadas precisas de controle de acesso: Leia também: Principais tipos de backup e qual é o ideal para a sua empresa Como implementar uma estratégia de Arquitetura Zero Trust? Executar uma Arquitetura de Confiança Zero requer uma abordagem estratégica e coordenada que inclua a integração de tecnologias, políticas e práticas de segurança focadas em proteger cada ativo dentro da rede.  A seguir, estão os principais passos para se criar um ambiente de confiança zero eficaz: 1) Identifique e classifique todos os ativos da organização O primeiro passo está no mapeamento completo dos ativos da organização, incluindo dispositivos, dados, aplicativos e serviços em nuvem. Cada ativo precisa ser identificado e classificado com base em sua sensibilidade e importância para a empresa, o que facilita a criação de políticas de segurança específicas para cada tipo de recurso. 2) Realize uma avaliação de risco Avaliar vulnerabilidades potenciais e as ameaças cibernéticas mais comuns em seu setor ou modelo de negócio é essencial para entender os pontos fracos da rede. Um mapeamento de risco permite que a empresa se prepare para os cenários de ataque prováveis, desenvolvendo controle para minimizar esses riscos. 3) Defina e aplique políticas de segurança e autenticação Estabelecer políticas de acesso claras é um dos pilares da confiança zero. Essas políticas garantem que apenas os usuários autorizados e os dispositivos autenticados possam acessar a rede, levando em conta fatores como localização, horário e o nível de sensibilidade do dado ou recurso acessado. 4) Implemente controles de segurança Utilize ferramentas como firewalls e sistemas de detecção e prevenção de intrusão (IDS/IPS), além da segmentação da rede, para garantir uma proteção robusta. A segmentação minimiza o movimento lateral de invasores dentro da rede, limitando o impacto de um ataque. 5) Monitore continuamente a rede Uma característica fundamental da Arquitetura Zero Trust é a verificação contínua. A rede deve ser constantemente monitorada em busca de anomalias ou ameaças potenciais, por meio de tecnologias como Machine Learning, para detectar comportamentos suspeitos e responder rapidamente a eles. Componentes críticos da implementação a) Ter a identidade como ponto crítico A gestão de identidade é crucial, já que representa a principal porta de entrada para ameaças. Por isso, a verificação contínua de identidades, dispositivos e aplicativos assegura que apenas os recursos autorizados continuem acessando a rede. Técnicas de controle de acesso condicional ajudam a definir regras e ajustar os níveis de risco em tempo real. b) Avaliar a conformidade e a segurança dos dispositivos Dispositivos desatualizados podem ser alvos fáceis para ataques. Assim, é fundamental avaliar a conformidade e a segurança de todos os dispositivos conectados, especialmente em ambientes que adotam práticas de Bring Your Own Device (Byod) e IoT. c) Conhecer os aplicativos utilizados É essencial mapear todos os aplicativos que a empresa utiliza, tanto em nuvem quanto locais, para reduzir os riscos de inconsistência na rede. Um controle rigoroso sobre os aplicativos em uso impede que vulnerabilidades ocultas passem despercebidas. d) Segmentação de rede A segmentação ou microssegmentação limita o alcance de ataques cibernéticos, pois a superfície de ataque é reduzida e os invasores têm menos liberdade para se moverem lateralmente. e) Proteção de dados Os dados, sejam eles estruturados, semiestruturados ou não estruturados, devem ser protegidos com rigor, utilizando criptografia e controle de acesso baseado em políticas. Essa proteção garante que eles permaneçam seguros mesmo que um invasor obtenha acesso à rede. ________________________________________________________________ Conclusão Em resumo, a Arquitetura de Confiança Zero (Zero Trust) é um componente essencial da segurança da informação moderna, que oferece uma solução robusta para enfrentar as ameaças escaláveis do mundo digital. Para implementá-la, é essencial ter conhecimento especializado em segurança cibernética e em gestão contínua e dinâmica das ameaças. Ficou interessado/a? Conheça todos os cursos da Escola Superior de Redes relacionados à trilha de S-E-G-U-R-A-N-Ç-A!