CategoriesImprensa,  Sem categoria

Atech participa do Sitraer – Air Transportation Symposium

Atech participa do Sitraer – Air Transportation Symposium

Especializada em desenvolver sistemas de gerenciamento e controle do tráfego aéreo, empresa abordará os desafios do setor para se preparar para a chegada dos veículos aéreos de propulsão elétrica (eVTOL)

A Atech, empresa do Grupo Embraer, participa do Sitraer – Air Transportation Symposium, que acontece de 22 a 24 de outubro, em Brasília (DF), reunindo especialistas do setor, entre profissionais da indústria, acadêmicos, agências reguladoras e autoridades aeronáuticas, para debater os avanços e inovações na área.

O gerente de Programas da Atech, Agenir de Carvalho Dias, apresentará o painel “Urban Air Mobility: The challenges and opportunities for the implementation of an Urban Air Traffic Management System”, no dia 22, às 14h30. Com o objetivo de provocar um debate sobre as demandas futuras do gerenciamento e controle do tráfego aéreo, com a chegada dos eVTOLs, veículos aéreos de propulsão elétrica de pouso e decolagem vertical para uso urbano, a Atech vai apresentar o conceito de mobilidade aérea urbana, que promete revolucionar a forma como pessoas e produtos serão transportados pelos grandes centros urbanos.

Durante o painel, Dias vai fazer paralelos entre a realidade atual e os desafios com a chegada do novo modal, levantando algumas questões, entre elas: como será a configuração do espaço aéreo dos centros urbanos para receber esses novos veículos; quais os protocolos de comunicação mais adequados; como gerenciar a nova demanda aérea; como garantir a segurança dos voos e o monitoramento desses veículos, entre outras questões.

“O Sitraer é um importante evento internacional sobre o transporte aéreo e o palco ideal para debater e pensar o futuro do setor. O mercado vem se antecipando à regulamentação de diversas tecnologias e a Atech propõe uma mudança nesse paradigma, com a adoção de estudos e projetos para a gestão do tráfego aéreo, em antecipação ao que a indústria deve lançar em um futuro próximo”, explica Dias.

Além de apresentar o painel, a Atech também participa do Sitraer 2019 com a publicação de artigos na área de inovação e de engenharia. Por ser referência internacional quando o assunto é gerenciamento e controle de tráfego aéreo, a Atech vem protagonizando o debate sobre o gerenciamento do tráfego aéreo do futuro e tem desenvolvido estudos na área.

Uma das principais parceiras do DECEA (Departamento de Controle do Espação Aéreo), ligado à FAB (Força Aérea Brasileira), a Atech é responsável por desenvolver e modernizar a tecnologia empregada no sistema de gerenciamento e controle do tráfego aéreo (ATM/ ATFM) presente em 100% do espaço aéreo brasileiro e também já exporta a tecnologia para países da América do Sul e também para a Índia.

Sobre a Atech (www.atech.com.br) – Reconhecida como uma “System House” brasileira, a Atech sempre se pautou pela inovação com o objetivo de ajudar a transformar o país. Com uma expertise única em engenharia de sistemas e tecnologias de consciência situacional e apoio a tomada de decisão, a Atech trabalha no desenvolvimento de soluções inovadoras com aplicações nas áreas de tráfego aéreo, sistemas de comando e controle, segurança cibernética, sistemas de instrumentação e controle, sistemas embarcados, simuladores e logística. A empresa é responsável pelo desenvolvimento e modernização de todo o sistema para o gerenciamento e defesa do espaço aéreo brasileiro. Pela sua atuação, a companhia é reconhecida e foi certificada como Empresa Estratégica de Defesa pelo Ministério da Defesa do Brasil.

Press Agency Atech – Rossi Comunicação

Valéria Rossi – Tel: + 55 11 9348-8562 – valeriarossi@rossicomunicacao.com.br

Karen Gobbatto – Tel + 55 11 3262-0884 – karengobbatto@rossicomunicacao.com.br

Denise Kelen – Tel + 55 12 98125-7800 – denisekelen@rossicomunicacao.com.br

Rossi Comunicação – Tel: + 55 11 3262-0884 – www.rossicomunicacao.com.br

CategoriesSem categoria

Segurança x UX: Qual relação do usuário com a segurança do sistema?

Um dos aspectos mais interessantes do processo que envolve todo o desenvolvimento de nossas soluções é como a usabilidade se torna tão importante, além de alcançar contornos muito específicos e diferente de como é tratada no mercado.

Cada sistema possui algum tipo de menu, painel de controle ou dashboard (ah, os dashboards!). Desenhar interfaces e projetar soluções sem permitir que o usuário cometa erros, como orienta Jakob Nielsen e Rolf Molich em sua quinta heurística, um dos princípios gerais do design de interface, é um grande desafio.
Definitivamente, ser uma empresa especializada em soluções para missões críticas com foco em alta tecnologia que proporciona o apoio, importante e sensível, a tomada de decisão dos clientes traz uma carga de responsabilidade muito grande.

Essas interfaces devem ser bem claras, simples e fáceis de usar, mas acima de tudo seguras.

Garantir a segurança da aplicação e do processo realizado pelo usuário, tanto com base nas normas e regras de negócio quanto na facilidade de uso e prevenção de erros do usuário é fundamental. Principalmente por nosso produto ser utilizado em tarefas tão essenciais quanto na defesa do país e das pessoas, com mísseis, armamento e monitoramento, ou no controle de tráfego aéreo e na gestão de ativos ou logística.
Estas tarefas exigem, em sua maioria, disponibilidade e redundância; Isolamento físico e digital; Suporte a decisão e consciência situacional; Tratamento e visualização de mapas; Geolocalização e uma mensageria segura. Requisitos garantidos por lei e através de normas e regulamentações que tratam de gerenciamento de riscos, processos e expectativas do cliente, impacto em mudanças de uso, além de normas e requisitos operacionais que afetam diretamente o usuário.

Como trabalhar com essas “limitações” e lidar com requisitos, por vezes, tão restritivos?

Aplicar estas heurísticas, e falando com o usuário, diretamente no desenvolvimento com várias técnicas de avaliação e testes de usabilidade tem como objetivo encontrar a melhor solução que encaixe essas regras de negócio rígidas e as necessidades do usuário por segurança e facilidade de uso.

Mantendo o processo seguro, porém agradável e respeitando a regra de negócio.

“Choosing the option that has an extreme effect should have a lot more friction than the common, innocuous one. That is to say, it should be harder to do.” — Nikhil Sonnad
Pode parecer que o design não deveria tratar disso, porém como o mesmo Nielsen retrata em seus 5 atributos da usabilidade, do livro “Engenharia de Usabilidade” de 1993, é lógico que todo sistema está suscetível a erros, mas tentar minimizá-los ajuda nesse processo. Os 05 atributos da usabilidade são:

  • Facilidade de aprendizagem
  • Eficiência
  • Satisfação
  • Facilidade de memorização
  • Segurança

“Even the best designers produce successful products only if their designs solve the right problems. A wonderful interface to the wrong features will fail.” — Jakob Nielsen

Nossa diretrizes, como time de design e empresa orientada ao usuário, são:

  • Conhecer o usuário
  • Promover confiança na interface
  • Simplificar
  • Testar e testar
  • Orientar ao usuário como executar as etapas necessárias
  • Mostrar apenas as informações necessárias
  • A explicitação é mais importante que a beleza

Acreditamos que testar com o usuário é essencial e inegociável, assim como aplicar técnicas de pesquisa e cocriação, projetando com foco nas personas e o fluxo de tarefas necessário para o usuário.

O que acontece quando uma interface é mal projetada?

As conseqüências de um design mal feito vão desde pequenos aborrecimentos até grandes desastres como o ocorrido no Havaí, em Janeiro de 2018, quando um alerta, disparado por um funcionário da Hawaii Emergency Management Agency, mobilizou a população sobre um ataque de mísseis a ilha. Este erro ocorreu enquanto era realizado um teste de rotina no sistema de alerta de emergência do estado.

Caso Havaí: https://www.fastcompany.com/90157153/don-norman-what-went-wrong-in-hawaii-human-error-nope-bad-design

Veja outros erros causado, possivelmente, por uma interface mal projetada e não testada com os usuários: https://www.cracked.com/article_19776_6-disasters-caused-by-poorly-designed-user-interfaces.html

CategoriesGoverno e Segurança Pública,  Sem categoria

Entenda a importância dos sistemas de segurança pública para a gestão

Além de investir no treinamento de policiais e armamento, é fundamental que a administração pública invista em sistemas de segurança que possibilitem o acompanhamento de operações de forma integrada, unificando informações dispersas em diferentes órgãos, e racionalizando a distribuição de recursos físicos, veículos e equipamentos.
Dados do 12º Anuário de Segurança Pública mostram que o investimento em segurança pública pelo Governo Federal aumentou 6,9% no último ano, chegando a R$ 9,7 bilhões. Os Estados investiram cerca de R$ 69,8 bilhões nesta área e os municípios reduziram em 2% seus investimentos, aplicando R$ 5,1 bilhões. Ao todo, foram investidos R$ 84,7 bilhões em ações de prevenção e combate à violência – o que corresponde a 1,3% do PIB e a um investimento de R$ 408,13 por cidadão.
Diante deste cenário, a Segurança Pública é um dos desafios mais importantes a serem enfrentados pela administração pública, pois, além de ser uma questão delicada e de alta prioridade para o cidadão, demanda recursos substanciais por parte dos órgãos competentes, o que não traz garantia de sucesso no combate aos problemas.
Neste contexto, os sistemas de segurança pública que proporcionem um alto nível de integração entre as diferentes plataformas e bases de dados existentes para o registro de ocorrências e as diferentes ações de combate ao crime são fundamentais na prevenção, no planejamento e na execução de operações.

Saiba como uma grande capital brasileira vem enfrentando esse desafio
Furtos, assaltos, depredações, roubos a bancos e de cargas são alguns dos problemas enfrentados por uma grande capital brasileira com o aumento da criminalidade. Nestas operações, os criminosos acabam saindo ilesos ou escapando por rodovias que dão acesso a localidades mais remotas, utilizando veículos roubados.
Apesar de contar com um sistema de monitoramento por vídeo com câmeras e radares de trânsito conectados a uma rede de dados, a cidade não conta com um Centro de Operações, em que diferentes agências e órgãos podem atuar de forma sincronizada, como forças policiais, serviços de emergência e departamento de trânsito, as diferentes agências acabam utilizando sistemas e bases de dados sem nenhuma integração, dificultando ações de inteligência na prevenção, planejamento e execução de operações.
Diante deste cenário, a Administração Pública optou pela implementação do Arkhe Governance, solução que integra bancos de dados locais e remotos, dispositivos móveis e sensores, bem como comunicação segura das informações para acompanhamento em tempo real de eventos, ocorrências e alertas, rastreamento e dispositivos de IoT.
O Arkhe Governance é capaz de coletar imagens e dados georreferenciados de sistemas de monitoramento de vídeo e tratá-los em um módulo de análise e inteligência de vídeo. Este módulo está integrado a outros sistemas que possuem base de dados de veículos roubados ou suspeitos, podendo gerar alertas ao identificar um desses veículos.
Com o aumento da eficiência das ações de segurança pública, a diminuição da criminalidade reflete diretamente no bem-estar da população, além de proporcionar uma maior eficiência na execução das operações e nos investimentos em segurança pública.

Atech oferece informação e poder para cidades inteligentes
Por meio da família de produtos Arkhe, a Atech oferece um conjunto completo de soluções voltado para a implementação do conceito de cidades inteligentes, por meio de governança e gestão integrada e em tempo real das cidades.
Com o Arkhe Governance, a Atech desburocratiza processos, amplia a base de dados e municia os governantes com informações precisas para o gerenciamento da cidade ou estado, por meio da integração de diferentes secretarias e órgãos públicos de uma localidade.
Além do Arkhe Governance, a Atech oferece o Arkhe BMS, que permite integrar sistemas diversos, como câmeras e radares, a centros de comando móveis para prover informações a operações policiais e de segurança, podendo ser empregado em operações policiais diversas, ações de contraterrorismo, investigações, crises de segurança, violência urbana, acompanhamento de alvos, entre outros casos de segurança pública.
Saiba mais sobre nossas soluções para Governo e Segurança Pública.

CategoriesSem categoria

Veja por que as organizações deveriam discutir sobre segurança digital

Em apenas dois anos o número de incidentes de segurança digital nas empresas que envolvem roubo de senhas triplicou e, segundo o último estudo global sobre ameaças realizado pelo Instituto Ponemon, foram reportados pouco mais de 2 mil ataques no período. A pesquisa investigou três tipos de ataques – roubo de senhas, ameaças internas e negligência de empregados e contratados.

O estudo identificou que o roubo de senhas é a maior ameaça à segurança digital nas empresas e, segundo Paulo Tiroli, especialista em Produtos de Segurança Digital Corporativa da Atech, “as empresas brasileiras têm vivido em um cenário preocupante de segurança digital, principalmente se levarmos em consideração diversos casos recentes de grandes vazamentos de dados, incluindo informações pessoais e senhas de acesso de milhares de internautas e até de empresas”.

Um exemplo vem de um banco inteiramente digital que, após o vazamento de dados de seus clientes, foi condenado pelo Ministério Público do Distrito Federal e Territórios a pagar uma indenização de R$ 10 milhões por danos morais. O banco foi alvo de extorsão por um hacker que invadiu seus sistemas e, como não cedeu à chantagem, foram liberadas informações como fotos de cheques, transações, e-mails, dados pessoais e senhas de quase 100 mil pessoas.

Segundo Tiroli, é preciso prevenir invasões externas, “e o investimento em ações que priorizem o comportamento do usuário, como o uso de senhas seguras no combate a golpes de phishing e de engenharia social, por exemplo, pode ser um grande diferencial. Uma única senha fraca pode ser a porta de entrada para um ataque hacker, comprometendo o desempenho dos negócios e gerando altos prejuízos financeiros, problemas de conformidade e danos à imagem das empresas”.

O estudo do Instituto Ponemon aponta que o custo de um incidente envolvendo roubo de senhas pode ser superior a US$ 600 mil, acima do custo resultante de ameaças internas e da negligência de empregados e contratados.

Hábitos que facilitam o roubo de senhas

Especialistas em segurança digital recomendam a troca constante de senhas, principalmente as usadas em serviços bancários, redes sociais, e-mails e em compras online. Mas, na verdade, o mais comum é o usuário usar uma única senha em vários serviços, pessoais e corporativos.

“Caso haja algum incidente em um serviço de e-commerce, por exemplo, o usuário pode até mudar a senha do serviço, porém, ao usar a mesma senha para acessar algum serviço corporativo, torna simultaneamente o negócio vulnerável. Ou seja, mesmo que o usuário siga todos os passos básicos para criar uma senha considerada ‘forte’, como uso de números, letras em caixa alta e baixa e caracteres especiais, se ele a usar para outros serviços, a sua suposta força vai por água abaixo”, ressalta Tiroli.

As ameaças internas que afetam a segurança digital nas empresas

Além das ameaças de roubo de senhas, funcionários mal-intencionados também podem provocar grandes prejuízos. Segundo o Comitê de Segurança e Riscos Cibernéticos da ABES (Associação Brasileira das Empresas de Software), organização da qual a Atech faz parte, as principais causas e motivações das ameaças internas que podem afetar a segurança digital nas empresas são:

  • Sentimento de propriedade sobre as informações. Muitos colaboradores, pelo fato terem ajudado na criação ou mesmo na compilação de informações sigilosas, sentem-se donos das mesmas, confundindo uma eventual autoria com direitos sobre as informações
  • Vantagem competitiva ou mesmo concorrência futura. Em empresas comerciais ou que dependem de propriedade intelectual, conhecimento sobre contatos (e contratos), bem como tecnologias, possuem um enorme valor. Seja por mero oportunismo, seja de caso pensado, colaboradores podem extraviar informações sigilosas com intuito de usar (ou se proteger) no futuro
  • Reparação de “injustiças”. Seja qual for o motivo (real ou não), é bastante comum pessoas sentirem-se injustiçadas no ambiente de trabalho e buscarem formas de reparo ou simples vingança. Ao invés de acionar a Justiça do Trabalho, infelizmente muitos funcionários, após a sua demissão, usam informações sigilosas para chantagear a empresa ou auferir lucro vendendo os dados

Como avaliar e garantir a segurança das senhas

Tiroli afirma que um dos principais motivos para o fracasso das estratégias de segurança é colocar o usuário como o vilão do ecossistema.

“Entender o comportamento dos usuários é fundamental para estabelecer estratégias e ferramentas assertivas quando falamos de proteção dos dados. No entanto, muitas empresas pecam ao culpabilizar o usuário, pois ainda se tem a visão que o usuário precisa se adequar aos processos. No entanto, o sucesso para uma política de segurança é exatamente o contrário: é quando os processos se adequam às pessoas. Regras como senhas extensas e/ou recheadas de caracteres especiais e letras másculas são complexas para o usuário, mas não necessariamente mais difíceis de serem descobertas. Inclusive, o NIST – National Institute of Standards and Technology – recomenda o fim de senhas arbitrárias que misturam letras maiúsculas, símbolos e números. As melhores práticas atuais aconselham senhas com conteúdo semântico que faça sentido para o usuário, como por exemplo frases, pois são mais simples para o usuário, mas demandam alto poder computacional para serem descobertas.”

Assim, é preciso identificar padrões e comportamentos que possam colocar o negócio em risco, especialmente porque, na maioria dos casos, os hackers precisam de apenas uma senha para ter acesso a todas as informações sigilosas do negócio. Ao fazer um diagnóstico inicial das senhas da empresa e de como seus usuários se comportam quando precisam fazer determinadas escolhas que podem colocar as informações em risco, os responsáveis pela estratégia de segurança digital contam com informações valiosas para aprimorar suas táticas de proteção e monitoramento e começar a promover uma mudança na cultura sobre a segurança digital. Serviços como o de quebra de senha permitem que as organizações entendam o comportamento de seus colaboradores e tracem estratégias que parem de  “alimentar” hackers com informações sensíveis,  o que é essencial para qualquer processo de digitalização eficiente.

Entenda a importância da segurança digital em plantas cada vez mais conectadas
CategoriesSem categoria

Entenda a importância da segurança digital em plantas cada vez mais conectadas

Fábricas inteligentes, produtivas, eficientes e autônomas com processos de manufatura totalmente digitalizados. Esse é o cenário da indústria 4.0, com a integração total da planta, todos os setores e sistemas, além da conexão com o mundo externo via internet e serviços de nuvem. Mas toda essa eficiência traz junto um grande desafio: a abertura de brechas para a entrada de hackers que antes não existiam nas plantas industriais. Então, como garantir a segurança digital na indústria?

A indústria 4.0 é um caminho sem volta e estudos sugerem que até o final de 2018 mais de 1,3 milhão de robôs industriais estarão presentes nas fábricas, realizando diversas tarefas. Segundo a Organização Internacional do Trabalho (OIT), o número de robôs industriais cresce uma média de 9% ao ano, desde 2010. No Brasil, a Federação Internacional de Robótica prevê que 12 mil robôs industriais serão comercializados até 2020.

Se por um lado a automação traz mais agilidade e eficiência, por outro lado à medida que esses sistemas se tornam mais inteligentes e interconectados a superfície de ataque também cresce, oferecendo novas oportunidades para hackers. E não há como fugir dessa interconexão, já que muitos dos benefícios da manufatura digital vêm da capacidade de capturar, gerenciar e analisar a grande quantidade de dados gerados por todos os dispositivos conectados.

Segundo Márcio Venturelli, especialista em automação industrial, a questão da segurança digital na indústria, em qualquer nível de automação, é uma barreira à implantação e ao crescimento dos sistemas da manufatura digital.

Ele destaca que com a total integração da planta, os desafios e preocupações para a implantação de sistemas seguros são enormes, além de serem extremamente dinâmicos, e ressalta os principais pontos que devem ser observados, pensados e mitigados:

  • Como equilibrar o entendimento e aplicação prática de sistemas de segurança nas plantas industriais
  • Como aplicar soluções inteligentes de segurança que escalem o processo de crescimento da planta
  • Como monitorar e controlar invasões e rastrear ações na planta

 

Vulnerabilidades das redes industriais

As redes industriais de comunicação nas plantas geralmente possuem uma série de características de vulnerabilidades de segurança, e o especialista destaca entre elas:

  • Protocolos de baixa capacidade de segurança
  • Redes de controle sem segmentação
  • Redes sem antivírus e sem atualização
  • Sistemas operacionais sem atualização e brechas conhecida da TI
  • As redes de automação não são criptografadas no nível IP
  • Não existe LOG ativados nos sistemas de automação (rastreio)
  • Dificuldades de atualizar sistemas SCADA de controle
  • Não se configura segurança baseada em Host em sistemas SCADA
  • Segurança física deve caminhar com segurança lógica

Os primeiros passos para a implantação de um sistema de segurança digital na indústria devem incluir algumas ações básicas:

  • Autenticação de usuários e equipamentos
  • Controle de acesso – físico e lógico
  • Detecção de intrusão – física e lógica
  • Criptografia de dados
  • Assinatura digital
  • Isolamento e/ou segregação de ativos
  • Varredura de vírus
  • Monitoramento de atividade sistema/rede
  • Segurança perimetral de planta

Ataque interrompe linhas de produção

Para se ter uma ideia do perigo de um ataque cibernético, basta lembrar o caos instalado em todo o mundo pelo vírus WannaCry, em 2017, que infectou milhares de computadores em quase 100 países. Na ocasião, as montadoras Renault e Nissan interromperam a produção em algumas plantas para prevenir a disseminação do ataque cibernético que havia atingido seus sistemas de computação.

E como atualmente a cadeia de suprimentos trabalha com um estoque mínimo, qualquer interrupção na produção de um dos fornecedores pode afetar a cadeia total, e as perdas podem aumentar rapidamente.  Perda de receita, multas, até mesmo processos judiciais decorrentes da incapacidade da empresa de cumprir responsabilidades contratuais podem ser apenas parte do problema.

E o WannaCry continua provocando prejuízos. No início de 2018 a montadora de aeronaves Boeing foi atingida pelo vírus em uma de suas fábricas nos Estados Unidos, mas, como afetou apenas algumas máquinas, não foi preciso interromper totalmente a produção.

Mas o problema de não investir na segurança digital na indústria não está somente na parada da produção. Além da interrupção do negócio, um ataque bem-sucedido de hackers pode interromper os canais de suprimento e de distribuição, afetar o cronograma de fabricação, roubar informações confidenciais sobre o negócio e dados pessoais e causar danos a reputação.

Segundo a consultoria McKinsey, as organizações que desejam abraçar o conceito da indústria 4.0 devem construir um ecossistema de parceiros tecnológicos. Para os analistas, a natureza e a amplitude das soluções de manufatura digital significam que as empresas não conseguirão capturar todo o benefício potencial caso se limitem a desenvolver soluções internamente.

É preciso que os fabricantes desenvolvam um ecossistema de parceiros tecnológicos que possam ajuda-los em seus esforços, inclusive na implantação de soluções voltadas para a segurança digital na indústria.

Entenda a importância da segurança digital para a indústria mineradora
CategoriesSem categoria

Entenda a importância da segurança digital para a indústria mineradora

Se há uma década a segurança digital na indústria mineradora nem fazia parte da lista de riscos, hoje ela é a terceira colocada na lista dos 10 maiores riscos enfrentados pelo setor, segundo a consultoria EY, somente atrás da eficiência digital e do retorno aos acionistas. Em 2016, estava posicionada em 6º. lugar e, segundo os analistas, o risco cibernético vem ganhando tanto destaque por conta da crescente transformação digital e da convergência entre a TI (Tecnologia da Informação) e da TO (Tecnologia Operacional), que faz com que a empresas estejam mais vulneráveis a ataques de hackers.

Os analistas da EY ressaltam que o setor de mineração cada vez mais emprega dispositivos conectados no seu ambiente operacional e é preciso criar urgentemente uma cultura de segurança no setor de mineração para mitigar os riscos tanto do “fator humano” quanto das vulnerabilidades digitais, já que o cenário atual não é de “se” irá ocorrer um ataque, e sim de “quando” esse ataque irá ocorrer.

 

Esse cenário é confirmado por uma pesquisa da empresa de telecomunicação australiana Telstra, realizada em 2016, que indicou que nenhuma das empresas entrevistadas (não foram citados seus nomes) havia ficado imune a ataques cibernéticos, e que 50% das violações envolviam funcionários.

 

Analistas da consultoria Deloitte destacam a ameaça de vírus como o Stuxnet, que visam sistemas críticos que controlam bombas, motores, válvulas e controladores lógicos programáveis. A preocupação de que hackers podem obter o controle de carros sem

motoristas se estende ao setor de mineração, onde o número de veículos autônomos continua

a crescer. Além da interrupção da produção que esse tipo de ataque pode causar, as implicações referentes à segurança são assustadoras.

Os dados de propriedade industrial e a propriedade intelectual são também os principais alvos dos hackers, que incluem não apenas criminosos em busca de uma recompensa financeira, mas também os estados-nação, agências de inteligência estrangeiras, hacktivistas e organizações empenhadas em espionagem industrial. Os dados sob risco são amplos, e vão desde propriedade intelectual corporativa, estudos geológicos, planos de exploração e metas de fusões e aquisições a e-mails pessoais, posições fiscais dos executivos e dados de funcionários.

 

Segurança digital é fundamental para a IoT

 

Implantar uma cultura madura de segurança digital na indústria mineradora é fundamental para que o setor possa abraçar todos os benefícios da Internet das Coisas (Internet of Things – IoT). O problema é que um recente estudo realizado pela empresa de pesquisa Vanson Bourne com executivos de 100 mineradoras apontou que eles têm dificuldades para enfrentar os novos desafios de segurança apresentados pela IoT.

O dado mais preocupante é o fato de 94% admitirem que sua abordagem à segurança cibernética poderia ser melhorada, enquanto 67% afirmaram que suas medidas de segurança de dados precisariam de uma revisão completa para estarem aptas para implantações de IoT. A disponibilidade de habilidades se tornou uma área-chave de preocupação na pesquisa, com mais de 64% dos entrevistados afirmando que precisavam de habilidades adicionais de segurança cibernética para implantar a IoT com segurança.

No entanto, apesar de reconhecerem as ameaças mais elevadas à segurança na IoT, apenas 44% estavam investindo em novas tecnologias de segurança e somente 17% relataram que estavam tomando medidas para preencher suas lacunas de habilidades de segurança por meio da contração de novos funcionários.

Principais estratégias para lidar com o risco cibernético

Ainda segundo os analistas da Deloitte, com o crescente cenário de ameaças cibernéticas, a segurança digital na indústria mineradora deve estar baseada nos seguintes princípios:

Fortalecimento dos controles de segurança tradicionais. Embora as novas ameaças possam exigir novas formas de resposta, as empresas de mineração não podem se dar ao luxo de negligenciar suas medidas de segurança tradicionais. Isso inclui atividades como o aumento da segurança de firewall, restringindo o acesso administrativo aos sistemas, a implantação de proteção de endpoint avançada e a segmentação de redes de forma que os hackers sejam capazes de acessar apenas segmentos limitados.

 

Maior vigilância. Antes que possam mitigar o impacto dos ataques cibernéticos, as empresas precisam primeiro ser capazes de detectá-los. As soluções de informações de segurança e gerenciamento de eventos (SIEM, na sigla em inglês) podem ajudar por meio do monitoramento dos pontos de acesso globais quanto às potenciais anomalias e comportamento malicioso. Da mesma forma, as centrais de resposta cibernéticas 24×7 podem ajudar as empresas a descobrir e mitigar violações em tempo real. Uma vez que sejam capazes de receber aviso prévio das possíveis atividades de hacker, as empresas podem responder proativamente para eliminar as ameaças antes que qualquer dano seja causado.

 

Cultivar a resiliência. No caso de violação, as empresas precisam ter capacidades técnicas e robustas de resposta a incidentes. De muitas formas, a resposta é semelhante à quando é necessário lidar com um incidente de segurança: devem haver sistemas para se comunicar eficazmente com os funcionários, investidores e outras partes interessadas, as funções e responsabilidades devem estar bem definidas para garantir uma resposta coordenada

multifuncional e os processos devem ser suficientemente robustos para que as empresas possam mitigar uma violação, independente da sua origem no mundo. A presença global da maioria das empresas de mineração também aumenta a importância de desenvolver um quadro de governança transfronteiriça harmonioso que permita uma resposta coordenada.

 

Preparar de forma diligente. A crescente complexidade do cenário da ameaça cibernética aumenta a importância da conscientização cibernética e da preparação. Isso significa realizar avaliações de vulnerabilidade e assegurar que estejam alinhadas com perfis de risco atuais e também inclui também treinamento de funcionários sobre práticas seguras de computação, ensinando-os sobre como evitar possíveis ataques e incutindo uma cultura cibernética consciente. Muitas empresas também estão criando a função de diretores de

segurança da informação para garantir a adoção de governança adequada, mitigação de riscos e os processos de conformidade.

Segurança digital no setor de energia: conheça os riscos e saiba como enfrentá-los
CategoriesEnergia,  Sem categoria

Segurança digital no setor de energia: conheça os riscos e saiba como enfrentá-los

A cada minuto, um prejuízo de R$ 5 milhões. A cada hora, R$ 303,8 milhões. Em um dia, R$ 7,29 bilhões. Esses números, alarmantes, estimam o prejuízo provocado por cada minuto de interrupção no fornecimento de energia elétrica no Brasil, segundo o estudo Impactos Econômicos dos Ataques Cibernéticos no Setor Elétrico Brasileiro e Alternativas de Mitigação, realizado pelo CPqD (Centro de Pesquisa e Desenvolvimento em Telecomunicações), que analisa a segurança digital no setor de energia.

Segundo os analistas do CPqD, os maiores ataques que começaram a afetar a segurança digital no setor de energia aconteceram entre 2013 e 2015, e o mais importante foi registrado na Ucrânia, em dezembro de 2015, no que foi o primeiro ataque bem-sucedido a uma rede elétrica. Na ocasião, os invasores conseguiram destruir completamente os terminais dos operadores e a possibilidade de restauração remota do sistema, e os técnicos precisaram religar manualmente a energia.

Em 2017, a Ucrânia foi alvo de um novo ataque cibernético, de menor porte, que causou um apagão e cortou parte do abastecimento elétrico na capital Kiev. Ainda em 2017, hackers teriam atacado a rede elétrica da Irlanda com e-mails de phishing. Não foram identificadas interrupções no fornecimento de energia, mas especialistas em segurança acreditam que os hackers roubaram dados, incluindo senhas que dariam acesso a redes internas.

Nos Estados Unidos, também em 2017, hackers tentaram invadir geradoras e distribuidoras de energia, incluindo pelo menos uma usina nuclear, mas só conseguiram afetar redes administrativas e comerciais.

“A maior utilização de medidores inteligentes e dispositivos IoT, por exemplo, geralmente conectados a redes de telecomunicações e à internet, traz uma série de benefícios às concessionárias e, também, aos seus clientes”, afirma José Reynaldo Formigoni Filho, gerente de Tecnologia de Segurança da Informação e Comunicação do CPqD. “Porém, do ponto de vista de segurança da informação, isso aumenta as vulnerabilidades e, consequentemente, as novas ameaças, com maior probabilidade de ataques bem-sucedidos”, acrescenta.

A necessidade de investir na segurança digital no setor de energia

Pesquisa realizada com mais de 100 executivos de concessionárias de mais de 20 países aponta que interrupções no fornecimento de energia elétrica por conta de ataques cibernéticos são a principal preocupação para 57% dos entrevistados. O estudo desenvolvido pela consultoria Accenture também destaca que 63% dos executivos acreditam que seus países enfrentarão ao menos um risco moderado de interrupção no fornecimento de energia elétrica por conta de um ataque cibernético em suas redes de distribuição.

Embora a maior conectividade dos sistemas de controle habilitados nas redes inteligentes possa gerar benefícios significativos sob a forma de segurança, produtividade, qualidade de serviço aprimorada e eficiência operacional, 88% concordam que a segurança cibernética é uma grande preocupação na implantação destas redes inteligentes.

Concessionárias de energia brasileiras já registraram tentativas de invasão ao sistema que nem chegaram a ser percebidas pelos clientes. Mas a verdade é que até uma variação de energia quase imperceptível pode ser causada pela ação de um hacker na rede elétrica.

Por conta da necessidade de uma maior segurança digital no setor de energia, a Abrate (Associação Brasileira das Empresas de Transmissão de Energia Elétrica) criou um grupo voltado para discutir como as empresas podem se proteger dos ataques. A meta é lançar até o final de 2018 um documento com propostas para unificar e padronizar os procedimentos de proteção cibernética.

Nos Estados Unidos, o governo acaba de destinar US$ 96 milhões para financiar a criação do Escritório de Segurança Cibernética, Segurança Energética e Resposta a Emergências, que ficará a cargo do DOE (Departamento de Energia dos EUA) e irá elaborar metas, objetivos e atividades nas quais o departamento irá investir nos próximos cinco anos para reduzir os riscos de interrupções no fornecimento por conta de ataques que afetem a segurança digital no setor de energia.

Ações que garantem a segurança cibernética

Segundo analistas da Accenture, “a cibersegurança precisa se tornar uma competência central do setor, protegendo toda a cadeia de valor e seu ecossistema, de ponta a ponta. As concessionárias, experientes na entrega confiável e na restauração de energia, precisam ser ágeis e rápidas para criar e alavancar a consciência situacional para que possam reagir rapidamente e intervir a tempo para proteger a rede. O desenvolvimento dessa nova capacidade exigirá inovação contínua, uma abordagem prática para dimensionamento e colaboração com parceiros para gerar o máximo de valor.”

Mas implantar políticas de proteção adequadas representa um desafio por conta da complexidade das redes de distribuição elétrica e de agressores cada vez mais sofisticados e bem-financiados, e muitas concessionárias de distribuição ainda não estão protegidas ou preparadas adequadamente. Quando o assunto é restaurar a operação da rede ao estado normal após um ataque cibernético, apenas 6% dos entrevistados acreditam estar extremamente bem preparados e 48% afirmam estarem preparados.

O estudo aponta ações para fortalecer a resiliência e a resposta a ataques cibernéticos, como:

  • Integrar a resiliência no desenvolvimento de ativos e processos, incluindo segurança cibernética e física
  • Compartilhar inteligência e informações como uma atividade crítica que poderia ajudar a criar consciência situacional sobre o cenário de ameaças mais recente e como se preparar de acordo
  • Desenvolver modelos de governança para gerenciamento de segurança e emergência

Serviços de testes de intrusão permitem implantar as ações apontadas pelos analistas identificando as vulnerabilidades de segurança de todos os ativos de TI, o grau de segurança de serviços de rede e dos sistemas operacionais, simulando ataques provenientes de uma fonte maliciosa.

 

Saiba como evitar os principais riscos cibernéticos no setor de saúde
CategoriesSem categoria

Saiba como evitar os principais riscos cibernéticos no setor de saúde

O setor de saúde, um dos mais regulados globalmente, vem abraçando a transformação digital, em todo o mundo, entregando cada vez mais valor para os pacientes, na forma de tratamentos inovadores e ações interdisciplinares. Mas essa abordagem requer a implantação de tecnologias digitais que permitam o compartilhamento de dados e os hackers estão atentos a esse crescimento no tráfego de dados. Com isso, os riscos cibernéticos no setor de saúde não param de crescer e os criminosos digitais estão cada vez mais agressivos e ágeis na invasão de sistemas e roubos de dados.

O Certamente, Brasil irá ganhar mais importância no mapa dos riscos cibernéticos no setor de saúde. No início de 2018, a Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática aprovou o armazenamento eletrônicos de prontuários médicos. Atualmente, os hospitais são obrigados por lei a manter os prontuários manuscritos dos pacientes por 20 anos. De acordo com o texto do projeto, que ainda necessita da aprovação da Câmara dos Deputados, a digitalização do prontuário será realizada para assegurar a integridade, autenticidade e confidencialidade do documento e, também um passo importante para a implantação do prontuário eletrônico – um modelo de prontuário médico digital padronizado – em todas as instituições de saúde.

Por enquanto, os hackers estão efetuando ataques direcionados às redes, como o que afetou em 2017 o sistema de um hospital no interior de São Paulo, prejudicando a realização de exames. Os criminosos exigiram o pagamento de resgate de US$ 300 por computador, que deveriam ser pagos em bitcoins.

Prós e contras

Se por um lado a digitalização reduz custos e garante maior eficiência no atendimento ao paciente, por outro aumenta os riscos cibernéticos no setor de saúde em todo o mundo. Para se ter uma ideia do perigo em relação ao furto de prontuários eletrônicos, o roubo de um único laptop em uma clínica de dermatologia ligada ao sistema UNC Health Care, nos Estados Unidos, resultou no vazamento de pelo menos 30 mil fichas médicas, com informações pessoais como número do seguro social.

Na rede Community Health Systems, também nos EUA, hackers invadiram a rede e roubaram dados de 4,5 milhões de pacientes, incluindo os números do seguro social, seus endereços, datas de nascimento e números de telefone. Com isso, todos passaram a correr alto risco de serem vítimas de fraude, já que os criminosos podiam usar o número do seguro social para abrir contas no nome de outra pessoa, e até pedir cartões de crédito e empréstimos bancários.

Além disso, se o ataque deixar o sistema indisponível, a falta de acesso aos dados corretos de tratamento ou a perda de controle sobre um equipamento pode resultar até na morte de um paciente.

Risco cibernético no setor de saúde não para de crescer

Segundo uma pesquisa da consultoria KPMG, as instituições de saúde registraram entre 2016 e 2017 um grande aumento no número de invasões e comprometimento de dados, e 47% confirmaram que foram alvo de ataques, ante os 37% reportados em 2015.

Segundo os analistas da KPMG, as principais razões para o aumento do risco cibernético no setor de saúde são:

  • Adoção de registros digitais de pacientes e a automação de sistemas clínicos
  • Uso inadequado dos registros eletrônicos médicos
  • Facilidade de distribuição de informações eletrônicas de saúde internamente (via dispositivos móveis) e externamente (empresas de terceiros e serviços em nuvem)
  • Natureza heterogênea dos sistemas em rede e aplicações, o queO setor de saúde, um dos mais regulados globalmente, vem abraçando a transformação digital, em todo o mundo, entregando cada vez mais valor para os pacientes, na forma de tratamentos inovadores e ações interdisciplinares. Mas essa abordagem requer a implantação de tecnologias digitais que permitam o compartilhamento de dados e os hackers estão atentos a esse crescimento no tráfego de dados. Com isso, os riscos cibernéticos no setor de saúde não param de crescer e os criminosos digitais estão cada vez mais agressivos e ágeis na invasão de sistemas e roubos de dados.

    O Certamente, Brasil irá ganhar mais importância no mapa dos riscos cibernéticos no setor de saúde. No início de 2018, a Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática aprovou o armazenamento eletrônicos de prontuários médicos. Atualmente, os hospitais são obrigados por lei a manter os prontuários manuscritos dos pacientes por 20 anos. De acordo com o texto do projeto, que ainda necessita da aprovação da Câmara dos Deputados, a digitalização do prontuário será realizada para assegurar a integridade, autenticidade e confidencialidade do documento e, também um passo importante para a implantação do prontuário eletrônico – um modelo de prontuário médico digital padronizado – em todas as instituições de saúde.

    Por enquanto, os hackers estão efetuando ataques direcionados às redes, como o que afetou em 2017 o sistema de um hospital no interior de São Paulo, prejudicando a realização de exames. Os criminosos exigiram o pagamento de resgate de US$ 300 por computador, que deveriam ser pagos em bitcoins.

    Prós e contras

    Se por um lado a digitalização reduz custos e garante maior eficiência no atendimento ao paciente, por outro aumenta os riscos cibernéticos no setor de saúde em todo o mundo. Para se ter uma ideia do perigo em relação ao furto de prontuários eletrônicos, o roubo de um único laptop em uma clínica de dermatologia ligada ao sistema UNC Health Care, nos Estados Unidos, resultou no vazamento de pelo menos 30 mil fichas médicas, com informações pessoais como número do seguro social.

    Na rede Community Health Systems, também nos EUA, hackers invadiram a rede e roubaram dados de 4,5 milhões de pacientes, incluindo os números do seguro social, seus endereços, datas de nascimento e números de telefone. Com isso, todos passaram a correr alto risco de serem vítimas de fraude, já que os criminosos podiam usar o número do seguro social para abrir contas no nome de outra pessoa, e até pedir cartões de crédito e empréstimos bancários.

    Além disso, se o ataque deixar o sistema indisponível, a falta de acesso aos dados corretos de tratamento ou a perda de controle sobre um equipamento pode resultar até na morte de um paciente.

    Risco cibernético no setor de saúde não para de crescer

    Segundo uma pesquisa da consultoria KPMG, as instituições de saúde registraram entre 2016 e 2017 um grande aumento no número de invasões e comprometimento de dados, e 47% confirmaram que foram alvo de ataques, ante os 37% reportados em 2015.

    Segundo os analistas da KPMG, as principais razões para o aumento do risco cibernético no setor de saúde são:

    • Adoção de registros digitais de pacientes e a automação de sistemas clínicos
    • Uso inadequado dos registros eletrônicos médicos
    • Facilidade de distribuição de informações eletrônicas de saúde internamente (via dispositivos móveis) e externamente (empresas de terceiros e serviços em nuvem)
    • Natureza heterogênea dos sistemas em rede e aplicações, o que facilita a intrusão
    • Aumento do valor de dados no mercado negro onde cada cadastro de paciente é vendido por cerca de R$ 150,00, enquanto os dados de um cartão de crédito valem R$ 3,00. Além disso, as informações pessoais não podem ser facilmente alteradas como é o simples cancelamento de um cartão de crédito

     

    A pesquisa da KPMG também identificou que 87% das instituições têm a capacidade de identificar um evento, mas apenas 59% conseguem gerenciar o risco de forma proativa. Os testes de intrusão, que identificam as vulnerabilidades em sistemas e aplicações e avaliam, sob a ótica do hacker, quais são os maiores riscos, permitem adotar uma abordagem proativa.

     

    O elo mais fraco da cadeia

     

    Os profissionais responsáveis pela segurança em hospitais, clínicas e planos estão cientes de que a equipe interna é um grande problema quando se pensa em riscos cibernéticos no setor de saúde. Mais da metade das organizações pesquisadas pela KMPG já foi alvo de uma violação de dados por conta de um funcionário ser vítima de um ataque phishing e mais de um terço tive informações roubadas por um empregado insatisfeito.

     

    Um grande ataque pode começar com o envio de um e-mail phishing, que no ato do “clique aqui” acaba por instalar um software malicioso e o criminoso passa a ter o total controle da máquina.

     

    Por conta disso, os analistas afirmam que a implantação de processos formais e de inovadoras e robustas tecnologias são críticas para a segurança cibernética. Além do treinamento constante dos funcionários, é importante investir em tecnologias de segurança como o serviço de quebra de senha, executando, em ambiente seguro e controlado, o ataque a essas senhas utilizando os mesmos métodos que os hackers.facilita a intrusão

  • Aumento do valor de dados no mercado negro onde cada cadastro de paciente é vendido por cerca de R$ 150,00, enquanto os dados de um cartão de crédito valem R$ 3,00. Além disso, as informações pessoais não podem ser facilmente alteradas como é o simples cancelamento de um cartão de crédito

 

A pesquisa da KPMG também identificou que 87% das instituições têm a capacidade de identificar um evento, mas apenas 59% conseguem gerenciar o risco de forma proativa. Os testes de intrusão, que identificam as vulnerabilidades em sistemas e aplicações e avaliam, sob a ótica do hacker, quais são os maiores riscos, permitem adotar uma abordagem proativa.

 

O elo mais fraco da cadeia

 

Os profissionais responsáveis pela segurança em hospitais, clínicas e planos estão cientes de que a equipe interna é um grande problema quando se pensa em riscos cibernéticos no setor de saúde. Mais da metade das organizações pesquisadas pela KMPG já foi alvo de uma violação de dados por conta de um funcionário ser vítima de um ataque phishing e mais de um terço tive informações roubadas por um empregado insatisfeito.

 

Um grande ataque pode começar com o envio de um e-mail phishing, que no ato do “clique aqui” acaba por instalar um software malicioso e o criminoso passa a ter o total controle da máquina.

 

Por conta disso, os analistas afirmam que a implantação de processos formais e de inovadoras e robustas tecnologias são críticas para a segurança cibernética. Além do treinamento constante dos funcionários, é importante investir em tecnologias de segurança como o serviço de quebra de senha, executando, em ambiente seguro e controlado, o ataque a essas senhas utilizando os mesmos métodos que os hackers.

Teste de intrusão: a melhor maneira de validar sua estratégia contra hackers de alto nível
CategoriesSem categoria

Teste de intrusão: a melhor maneira de validar sua estratégia contra hackers de alto nível

Pode até parecer incoerente, mas um hacker pode ser a melhor pessoa para manter a segurança digital em sua empresa. Mas não um hacker qualquer, e sim o chamado hacker ético, um profissional capaz de efetuar com eficiência uma bateria de testes de intrusão que vão avaliar o nível de vulnerabilidade da infraestrutura de TI, mapear riscos e, assim, evitar o impacto dos ataques.

Esses profissionais white hat –  em contraposição ao black hat, que aproveita vulnerabilidades para obter dados sigilosos, como dados pessoais, senhas, dados bancários etc – são especialistas certificados em sistemas e redes de computadores que conhecem a fundo as técnicas e métodos utilizados pelos hackers black hats para encontrar vulnerabilidades de segurança em softwares e redes corporativas.

Mas em vez de usar esse conhecimento e informações em vantagem própria, o white hat documenta as vulnerabilidades detectadas e as reporta para a empresa que está contratando seus serviços, juntamente com indicações de como solucionar as vulnerabilidades e aumentar a segurança da corporação.

Para identificar as vulnerabilidades o hacker ético avalia toda a rede da empresa, investigando a instalação e implementação de cada um dos softwares utilizados, checando se todos os dispositivos estão corretamente instalados, testando os firewalls e verificando cada uma das possíveis portas de entrada do sistema fazendo testes de intrusão.

Porque sua empresa deve investir em testes de intrusão

Somente testes de intrusão são capazes de simular situações reais de ataques cibernéticos, identificando vulnerabilidades. Assim, em vez de esperar que um ataque aconteça para tomar medidas de mitigação dos danos, as vulnerabilidades podem ser corrigidas antes que um hacker black hat tente invadir o sistema.

Em 2017, no Brasil, os incidentes de segurança reportados voluntariamente por usuários de Internet em 2017 ao CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) somaram 833.775 (número 29% maior que o total de 2016), sendo 220.188 relacionados a dispositivos que participaram de ataques de negação de serviço (DDoS – Denial of Service). Este número foi quase quatro vezes maior que as notificações de ataques DDoS recebidas em 2016, que totalizaram 60.432.

O profissional responsável pela execução dos testes de intrusão irá fornecer todos os detalhes sobre as invasões bem-sucedidas e o que poderia ter sido feito para impedir a intrusão.

E não adianta simplesmente instalar um antivírus e um firewall achando que o seu negócio está a salvo dos hackers. É preciso identificar onde estão os pontos fracos da sua infraestrutura de TI, simulando ataques e avaliando o comportamento de todo o sistema, sempre utilizando as técnicas mais avançadas usadas pelos hackers. Os testes de intrusão simulam exatamente o que aconteceria com a infraestrutura de TI no caso de um ataque real realizado por hackers de alto nível.

Além disso, nem sempre o ataque precisa ser efetuado por um hacker de alto nível para ser bem-sucedido. Versões não atualizadas de sistemas e softwares também são uma porta de entrada para invasões. Quanto mais complexo for o ambiente operacional, mais importante é ter uma imagem em tempo real de todos os sistemas, versões e controles.

Segundo a consultoria Gartner, é cada vez maior a sofisticação dos chamados “adversários digitais”, o que leva a ameaças mais complexas, rápidas e eficientes para desviar informações de empresas. De acordo com o Gartner, infraestruturas tradicionais de defesa, como antivírus e firewalls de redes, têm sido cada vez menos eficientes no bloqueio dessas ameaças. Os analistas também destacam que as empresas levam, em média, 229 dias para descobrir a infecção de malwares – além disso, 67% das ameaças não foram sequer descobertas pelas próprias empresas infectadas, mas por organizações externas de serviços de testes de intrusão.

Como são realizados os testes de intrusão

Os testes de intrusão seguem as normas determinadas por um grupo dos maiores especialistas em segurança da informação em diversos setores – a chamada PTES (Penetration Testing Execution Standard), que começou a ser desenvolvida em 2009.

A norma determina que os testes de intrusão devem seguir os processos abaixo:

  • Pré-acordo de interação:Onde a empresa contratante e o provedor de serviços de testes de intrusão identificam o que deve ser testado, quais os meios de teste e qual a finalidade do teste. Nessa etapa também é assinado um contrato de sigilo pelas duas partes
  • Fase de reconhecimento:Momento em que a equipe de testadores faz um levantamento do máximo de informações sobre a empresa que será analisada
  • Fase de Varredura: Esse é o momento onde os testadores fazem uma varredura completa na rede para saber o que está presente. Por exemplo, o range de IPs (máquinas que estão na mesma rede), servidores, sistemas operacionais, portas abertas etc
  • Fase de obtenção de acesso e Exploração: Usando as informações obtidas na fase de varredura, o profissional da empresa prestadora de serviços de testes de intrusão irá explorar cada item de forma separada, tentando encontrar as vulnerabilidades de cada um com o uso de técnicas de exploit e brute force, identificando quais serviços estão vulneráveis e que tipo de informação, falhas ou controles podem ser obtidos através daquele serviço
  • Fase de obtenção de evidências e Relatório: As evidências de todas as falhas e vulnerabilidades identificadas são coletadas pela equipe. Com base nessas informações, é gerado um relatório completo indicando os pontos vulneráveis de todos os elementos da empresa, falhas na rede, em softwares mal configurados e desatualizados, falta de elementos de segurança etc, indicando inclusive que prejuízos podem ser causados à empresa em cada uma das falhas.

A Atech une tecnologia e a expertise de profissionais altamente especializados, levando mais inteligência para a sua estratégia de segurança. Conheça mais as vantagens de implantar o serviço de testes de intrusão.8

Entenda os desafios da segurança digital do usuário em indústrias altamente reguladas
CategoriesSem categoria

Entenda os desafios da segurança digital do usuário em indústrias altamente reguladas

Atender com eficiência a todas as normas que regulam a segurança digital em indústrias altamente reguladas não significa apenas manter a conformidade. Significa evitar enormes prejuízos financeiros e, também, danos à reputação da marca. Entre os setores altamente regulados, os de finanças e de saúde são dois dos maiores alvos de hackers, ávidos pelas informações pessoais de clientes e de pacientes.

No Brasil, dois bancos, duas operadoras e duas agências governamentais foram em 2016 alvo de um maciço ataque DDoS (Distributed Denial of Service), realizado a partir de uma rede de bots criada após a invasão de câmeras de segurança. Bots (robôs) são dispositivos conectados à internet infectados com malware que permitem que hackers assumam remotamente o controle de muitos dispositivos ao mesmo tempo.

A invasão às câmeras de circuito fechado aproveitou uma falha no software para sobrecarregar sites, criando uma rede de câmeras dedicadas para ataques DDoS. Com o ataque, os servidores não aguentaram e os serviços foram interrompidos. As instituições não revelaram o prejuízo causado pelo ataque.

Em 2017, o Brasil foi alvo de quase 250 mil ataques DDoS, o que corresponde a mais de 700 ataques diários. Globalmente, foram registrados 7,5 milhões de ataques DDoS nesse período.

Prejuízo para as instituições financeiras

Pesquisa realizada pela consultoria B2B Market Research Company aponta que, globalmente, em 2017, os ataques DDoS fazem os bancos perder em média US$ 1,8 milhão. Ainda segundo o estudo, 49% dos bancos que sofreram um ataque DDoS tiveram seu site público afetado e 48% tiveram a plataforma de internet banking também afetada pelos ataques.

Em comparação com outros setores, recuperar-se desse tipo de ataque DDoS pode custar US$ 1.172.000 para uma instituição financeira, enquanto que para as empresas de outros setores, o custo é de US$ 952.000.

De acordo com a organização CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil), um ataque DDoS não tem o objetivo direto de invadir e nem de coletar informações, mas sim de exaurir recursos e causar indisponibilidade ao alvo. Os usuários desses recursos são diretamente afetados e ficam impossibilitados de acessar ou realizar as operações desejadas, já que o alvo do ataque não consegue diferenciar os acessos legítimos dos maliciosos e fica sobrecarregado ao tentar tratar todas as requisições recebidas.

O maior problema é que os ataques DDoS funcionam como distração para outros ataques. Eles são realizados com o objetivo de distrair as equipes de rede e segurança das empresas atacadas. Enquanto estão ocupados tentando mitigar o ataque DDoS, os hackers aproveitam para efetuar outras atividades maliciosas como, por exemplo, furtar dados e invadir sistemas.

Ainda segundo o CERT.br, as motivações dos hackers são bem variadas, e os especialistas também destacam:

Ganho econômico ou financeiro: são ataques direcionados principalmente a empresas e realizados, por exemplo, para causar prejuízos a concorrentes (concorrência desleal), tentar extorquir dinheiro e como forma de demonstrar “poder de fogo” a possíveis clientes e alvos

Represália ou vingança: são ataques realizados como resposta a fatos que os atacantes julgam ser injustos ou que, de alguma forma, os deixaram descontentes

Crença ideológica ou política: são ataques realizados por desavenças políticas e diferenças religiosas. Costumam estar associados à prática do hacktivismo

Desafio intelectual: na sua maioria, os atacantes desta categoria são iniciantes e realizam os ataques para experimentar e aprender como realizar diversos ataques DDoS

Outros: motivações individuais e genéricas, como tentativa de adiamento de prazos para a entrega de documentos e trabalhos

Setor de saúde também é alvo de hackers

Estudo divulgado em 2016 pelo Instituto Ponemon nos Estados Unidos mostra que o setor de saúde – altamente regulado por conta das informações confidenciais sobre pacientes – também vem sendo alvo de ataques DDoS, assim como de ransomware e malware.

A sexta edição do estudo aponta que quase 90% das organizações de saúde nos EUA sofreram uma violação de dados entre 2014 e 2016, sendo que quase metade (45%) sofreu mais de cinco violações e dados no mesmo período.

Os ataques de hackers são a principal causa de violações de dados nos serviços de saúde – 50%. Problemas internos, como erros – ações não intencionais de funcionários, confusões de terceiros e dispositivos roubados – respondem pela outra metade das violações de dados.

E para se ter uma ideia do valor que esses dados valem no mercado negro, um hacker exigiu US$ 400 mil de resgate para devolver 387 mil registros de um hospital de Atlanta.

Melhores práticas para manter a segurança digital em indústrias altamente reguladas

Os dados divulgados até agora não deixam dúvida de que o cenário do cibercrime está cada vez mais inovador e ousado. Por isso, é importante se manter sempre um passo adiante, também inovando na segurança e promovendo uma cultura de segurança em toda a empresa. Veja algumas das melhores práticas para manter a segurança digital em indústrias altamente reguladas:

1 – Implante ferramentas de análise de risco

Esse é o primeiro passo para conhecer os pontos fortes e pontos fracos de sua segurança digital, iniciando o projeto de uma política de segurança. Serviços de teste de intrusão permitem identificar a vulnerabilidade da infraestrutura de TI, mapear riscos e evitar o impacto de ataques, avaliando todo o ambiente.

2 – Revise políticas de acesso e de autorização

Ainda no âmbito da análise de risco, é preciso avaliar a força das senhas e permissões de acesso, tanto em relação à rede quanto às áreas físicas, garantindo que apenas as pessoas autorizadas tenham acesso aos dados ou salas.

3 – Implante uma política de segurança dos dados

Para garantir a segurança digital em indústrias altamente reguladas, ou mesmo nas que não estão sujeitas a tantas normas de conformidade, cada funcionário deve ter consciência de que é responsável pela proteção dos dados corporativos. Por isso, a empresa deve elaborar um manual com a sua política de segurança, em linguagem clara e objetiva, que possa ser facilmente acessado por todos os funcionários, destacando as ações que devem ser tomadas quando existir a suspeita de uma brecha na segurança. Esse documento também deve conter as políticas de segurança para lidar com os dados de terceiros. A leitura desse documento deve ser obrigatória.

4 – Avalie os funcionários e provedores externos

Verifique os antecedentes dos funcionários e, em relação a terceiros, avalie se as suas políticas de segurança estão, pelo menos, no mesmo patamar que as da sua empresa.

5 – Mantenha a conformidade

A melhor forma de garantir a segurança digital em indústrias altamente reguladas é contar com um parceiro especializado nessa área que valide protocolos, processos e a implementação da política de segurança.

A Atech conta com a expertise necessária para garantir a segurança digital em indústrias altamente reguladas, com serviços de teste de intrusão e quebra de senhas, que ajudam as empresas a obter mais eficiência. Ao avaliar a segurança pela visão do cibercriminoso, os especialistas da Atech oferecem mais inteligência à sua estratégia digital.