Por Adenilson Almeida* – O aumento do número de ciberataques provocou inúmeros impactos financeiros e na imagem de grandes empresas nos últimos meses. Neste cenário, os EUA lideram o ranking como alvo mundial de ciberataques, enquanto o Brasil ocupa o segundo lugar, de acordo com a Netscout.
Os ataques, a todos os tipos de negócio, estão cada vez mais sofisticados e complexos e, em cada novo incidente, lições são aprendidas, assim como processos e ferramentas são implementados. São várias as boas práticas recomendadas pelos especialistas de segurança com o objetivo de evitar ataques bem-sucedidos, sobretudo porque a antecipação e remediação por meio da gestão de vulnerabilidades é a indicação mais efetiva.
Isso porque, ao reduzir a falta de visibilidade das falhas nos sistemas, é possível fornecer maior controle no ambiente de Tecnologia da Informação. Essa orientação deve estar na lista de prioridade das empresas, pois o cenário futuro que se apresenta é o aumento das vulnerabilidades, muito em função da alta demanda de novos sistemas e infraestrutura.
O gerenciamento de vulnerabilidades é uma tarefa complexa e que gera muita demanda em várias partes de uma organização e grupos de trabalho de segurança. A complexidade do processo, em grande parte, ocorre em função da quantidade de novas vulnerabilidades, que são descobertas todos os dias e em todos os tipos de sistemas desenvolvidos. Não existe uma ação de mitigação imediata, mas são necessárias soluções alternativas a fim de evitar riscos e, assim, impactos nas organizações.
A realidade é que se as vulnerabilidades já conhecidas fossem mitigadas, grande parte dos incidentes seriam evitados. Para que isso aconteça, o processo deve ser a identificação, classificação e tratamento das falhas. Também é papel da gestão de vulnerabilidades alterar as configurações dos programas para que fiquem mais seguros e eficientes.
A identificação da vulnerabilidade deve ser realizada a partir de um inventário de ativos que está de acordo com a realidade da empresa. Um erro bastante comum é não existir o mapeamento fidedigno com a infraestrutura como hardwares, softwares e peopleware. A partir da lista de ativos, o software de gestão irá identificar as falhas e vulnerabilidades que podem expor os sistemas e dados a diversas ameaças. Trata-se de uma avaliação ampla de segurança, indicando fraquezas para eliminar ou reduzi-las.
Na prática, a classificação da vulnerabilidade deve também estar de acordo com o risco e impacto que pode trazer para o negócio, sendo elas: urgente, crítica, alta, média e baixa. Já o tratamento consiste na correção da vulnerabilidade, na aplicação de controles para minimizar a probabilidade da sua exploração ou do seu impacto e, por fim, na aceitação dos riscos envolvidos. Para que essa etapa realmente seja efetiva, é importante identificar os fatores que podem gerar maior risco para o negócio e priorizar tais correções. Por exemplo, um ambiente de servidores e suas vulnerabilidades devem ser corrigidos primeiramente em relação ao ambiente da estação de trabalho, caso o negócio e a avaliação de risco assim estabelecer.
O importante é estar atento e sempre buscar a correção antes que os atores mal-intencionados explorem as falhas, gerando impactos negativos nos negócios.
*Adenilson Almeida é gerente se cibersegurança da ICTS Protiviti, empresa especializada em soluções para gestão de riscos, compliance, ESG, auditoria interna, investigação, proteção e privacidade de dados.
