.
Um ano é muito tempo em segurança cibernética.
Certamente, existem algumas constantes. O ransomware tem sido um grande problema de segurança cibernética há anos, mas não mostra sinais de desaparecer à medida que os criminosos cibernéticos continuam a desenvolver seus ataques. E um número significativo de redes corporativas permanece vulnerável, geralmente como resultado de falhas de segurança para as quais as atualizações estão disponíveis há muito tempo.
Mas mesmo que você ache que está no topo de todas as vulnerabilidades de software em sua rede, novas falhas de segurança estão sempre aparecendo – e algumas delas podem ter um grande impacto.
Veja a falha do Log4j: um ano atrás, era completamente desconhecido, espreitando dentro do código. Mas depois que veio à tona em dezembro, foi descrito pelo chefe do CISA como uma das falhas mais sérias. No final de 2022, ainda é uma falha de segurança muitas vezes não mediada escondida no código de muitas organizações – algo que provavelmente continuará no futuro.
Escassez de habilidades de segurança
Seja qual for o último truque de hacker ou falha de segurança descoberta por pesquisadores, as pessoas – e não a tecnologia – estão sempre no centro da segurança cibernética, para o bem e para o mal.
Esse foco começa com, no nível básico, os funcionários sendo capazes de identificar um link de phishing ou um esquema de comprometimento de e-mail comercial, bem como os chefes que empregam a equipe de segurança da informação certa, o que ajuda a estabelecer e monitorar as defesas corporativas.
Mas as habilidades de segurança cibernética estão em alta demanda, na medida em que simplesmente não há funcionários suficientes para todos.
“À medida que as ameaças cibernéticas se tornam mais sofisticadas, precisamos ter os recursos e as habilidades certas para combatê-las. Porque sem talento especializado, as organizações estão realmente em risco”, diz Kelly Rozumalski, vice-presidente sênior e líder nacional de defesa cibernética da Booz Allen. Hamilton.
“Precisamos encorajar pessoas de diferentes origens – de engenharia da computação e codificação a psicologia – a explorar a segurança cibernética, porque para realmente vencer a guerra contra o talento, precisamos estar comprometidos não apenas em contratar, mas em construir, reter e investir em nosso talento”, diz ela.
Também: A segurança cibernética tem uma crise desesperada de habilidades. A América Rural poderia ter a resposta
É vital que as organizações tenham pessoas e processos para prevenir ou detectar ataques cibernéticos. Não só existe o risco diário contínuo de phishing, ataques de malware ou campanhas de ransomware de gangues de criminosos cibernéticos, mas também a ameaça de hackers e nações hostis.
Novas e maiores ameaças à cadeia de suprimentos
Embora o ciberespaço tenha sido uma arena para espionagem internacional e outras campanhas por algum tempo, o atual ambiente geopolítico global está criando ameaças adicionais.
“Estamos voltando a um paradigma geopolítico que apresenta grande competição de poder, um lugar onde não estivemos em várias décadas”, diz Matt Gorham, líder do instituto de inovação cibernética e de privacidade da PwC e ex-diretor assistente do FBI Divisão.
“E estamos fazendo isso quando não há consenso verdadeiro, linhas vermelhas ou normas e ciberespaço”, acrescenta.
Por exemplo, a tecnologia envolvida na execução de infraestrutura crítica foi alvo da Rússia em sua invasão contínua da Ucrânia.
Nas horas que antecederam o início da invasão, o provedor de comunicações via satélite Viasat foi afetado por uma interrupção que interrompeu as conexões de banda larga na Ucrânia e em outros países da Europa – um incidente que as agências de inteligência ocidentais atribuíram à Rússia. Elon Musk também disse que a Rússia tentou hackear os sistemas da Starlink, a rede de comunicações via satélite administrada por sua empresa de foguetes SpaceX que fornece acesso à Internet para a Ucrânia.
Mas não é apenas em uma zona de guerra que os estados hostis procuram causar interrupções com ataques cibernéticos: as organizações, particularmente aquelas envolvidas em cadeias de suprimentos críticas, também estão sendo alvo de hackers apoiados pelo estado.
Basta ver como os hackers russos comprometeram um grande fornecedor de software com malware, que empurrou uma atualização maliciosa, fornecendo um backdoor nas redes de várias agências governamentais dos EUA.
“As preocupações são sempre motivadas por eventos do mundo real. E assim, nos últimos dois anos, vimos ataques à cadeia de suprimentos de estados-nações que fizeram com que todos pensassem sobre o risco da cadeia de suprimentos associado a isso”, diz Gorham, que insta as organizações a pensarem não apenas em como podem evitar ataques cibernéticos, mas também em como detectar invasões maliciosas na rede e lidar com elas de forma adequada.
“Se um estado está determinado a entrar em seus sistemas, eles têm os recursos e a capacidade para fazê-lo – então é preciso detectá-los e despejá-los”, acrescenta.
Também: Esse risco de segurança cibernética negligenciado pode criar um oceano de problemas para todos nós
Muitas vezes, não são técnicas avançadas que permitem que invasores entrem nas redes, são vulnerabilidades comuns, como ter senhas fracas, não aplicar atualizações de segurança ou falta de autenticação de dois fatores (2FA). E às vezes, especialmente no caso de infraestrutura crítica e redes industriais, o software que executa esses sistemas pode ter muitos anos.
Web3 e IoT: Novos problemas ou volta ao básico?
Mas só porque algo é novo, isso também não significa que seja automaticamente seguro – e à medida que tecnologias como Web3 e Internet das Coisas (IoT) continuam avançando em 2023, elas se tornarão um alvo ainda maior para ataques cibernéticos e hackers .
Continua a haver muito hype sobre o potencial da Web3 – uma visão da web que tira o controle das grandes empresas e descentraliza o poder entre os usuários usando blockchain, criptomoeda e economia baseada em tokens.
Mas como qualquer nova tecnologia, especialmente uma que vem com muita emoção e hype, a segurança é muitas vezes esquecida à medida que o desenvolvimento de software corre para lançar produtos e serviços – como demonstrado por vários hacks contra exchanges de criptomoedas onde os invasores roubaram milhões em criptomoedas.
“As pessoas ficam realmente empolgadas com a nova tecnologia. Depois, esquecem de considerar as falhas de segurança porque estão com tanta pressa de implementá-la. Com a Web3, estamos vendo esse tipo de situação, em que as pessoas foram estimuladas a começar – mas a segurança fica para trás”, diz Katie Paxton-Fear, professora de segurança cibernética na Manchester Metropolitan University e caçadora de recompensas do HackerOne.
Por causa dessa situação, os caçadores de recompensas de bugs estão encontrando muitas vulnerabilidades em aplicativos e serviços Web3. Geralmente, são vulnerabilidades importantes que podem ser extremamente lucrativas para hackers mal-intencionados se as descobrirem primeiro – e potencialmente caras para os usuários.
Mas, embora algumas dessas vulnerabilidades sejam novas e complexas, muitas das brechas de segurança que atingiram as exchanges de criptomoedas e outros serviços Web3 se devem a serviços mal configurados ou ataques de phishing, nos quais criminosos conseguiram senhas.
Portanto, embora vulnerabilidades experimentais e incomuns sejam um problema, implementar os princípios básicos de segurança cibernética pode ajudar a impedir as violações da Web3, principalmente à medida que a tecnologia se torna mais popular – e um alvo mais atraente para os criminosos cibernéticos.
“É quase como se estivéssemos olhando para essas novas vulnerabilidades muito legais e nos empolgando com elas – mas esquecemos coisas como controle de acesso”, diz Paxton-Fear.
Embora blockchain e Web3 ainda possam ser considerados tecnologias de nicho por enquanto, a Internet das Coisas não é, com bilhões de dispositivos em residências e locais de trabalho instalados em todo o mundo, incluindo alguns que ajudam a fornecer infraestrutura crítica e assistência médica.
Mas, como acontece com outras novas tecnologias, existe o risco de que, se esses dispositivos conectados não forem protegidos adequadamente, eles possam ser interrompidos ou até deixar redes inteiras vulneráveis. Essa é uma lacuna que precisa ser considerada à medida que os dispositivos conectados se tornam cada vez mais prevalentes em todas as nossas vidas.
Também: O futuro assustador da internet: como a tecnologia de amanhã representará ameaças ainda maiores à segurança cibernética
“É uma situação muito difícil em que estamos. Mas temos que prestar atenção a ela”, diz Rozumalski na Booz Allen Hamilton. “Neste momento, os maus atores podem entrar por meio de um dispositivo médico e usá-lo como um ponto de articulação para derrubar toda a rede hospitalar – isso obviamente poderia ter um impacto no atendimento ao paciente”.
O que é fundamental, ela argumenta, é que é imperativo que os hospitais, provedores de infraestrutura crítica de qualquer outra organização, reconheçam que a segurança cibernética tem um papel fundamental nos processos de planejamento e tomada de decisão em 2023 para ajudar a garantir que as redes sejam o mais seguras possível contra ameaças.
As perspectivas de cibersegurança para 2023
“A segurança tem que ter um lugar à mesa, e é muito, muito crítica. Mas você precisa pensar estrategicamente como mitigar esses riscos, porque esses dispositivos são importantes”, diz Rozumalski – e ela acredita que o progresso está sendo feito, com as salas de reuniões se tornando mais conscientes sobre questões de segurança cibernética. No entanto, ainda há muito trabalho a fazer.
“Acho que demos muitos passos no ano passado que vão começar a nos colocar em uma luz cada vez melhor e sermos capazes de realmente combater algumas dessas ameaças no futuro”.
E ela não é a única que pensa que, embora os orçamentos de segurança cibernética e de segurança cibernética ainda precisem de mais atenção, as coisas estão indo na direção certa em geral.
“Há uma percepção cada vez maior de que é uma ameaça significativa e ampla e há um risco significativo lá fora – isso me faz ter algum otimismo”, diz Gorham, da PwC, embora esteja ciente de que a segurança cibernética não será perfeita de repente. À medida que o mundo avança para 2023, ainda haverá muitos desafios a serem enfrentados.
“A ameaça não está desaparecendo – é significativa e só se tornará mais significativa à medida que continuamos a nos transformar digitalmente. Mas acho que o fato de estarmos aceitando isso hoje é um bom sinal para o futuro”, diz ele.
.
