Menu da Revista Fechar Menu da Revista

Tendencias

Últimas histórias

Previsões: o que 2021 tem reservado para a cibersegurança?

  • min de leitura
    • Prever o futuro pode ser perigoso. Afinal, quem poderia ter previsto um ano como 2020? A Equipe de Pesquisa e Análise Global (GReAT) da Kaspersky avaliou os dados de crimes cibernéticos ocorridos em 2020 e tirou algumas conclusões sobre o que podemos esperar em 2021 Os efeitos do Covid-19 e dos vazamentos de dados sobre o sistema de saúde 2020 foi o ano em que todos voltaram seu foco para as novas tecnologias da medicina. Cibercriminosos atacaram equipamentos médicos, hospitais e instituições de pesquisa, com a intenção de roubar informações sobre o avanço da vacina contra a Covid-19. Ainda presenciamos o primeiro ciberataque diretamente fatal: um paciente faleceu devido a um ransomware que foi inserido em um equipamento médico, causando atrasos no tratamento. Outros grupos de crimes cibernéticos nos surpreenderam ao descartar ataques às instituições médicas. A comunidade de segurança cibernética organizou a CTI League, com especialistas ajudando organizações médicas a lidar com as ameaças digitais. E a Kaspersky disponibilizou acesso gratuito à cibersegurança personalizada para as organizações de saúde. Em 2021, são esperados ainda mais ataques aos desenvolvedores de vacinas contra a Covid-19, com o intuito de roubar dados essenciais que poderiam dar vantagem a pesquisas de outros países. Empresas de saúde privadas continuarão sendo alvo de ataques enquanto muitas delas ainda não tem os recursos necessários para proteger os dados de seus pacientes Com a transição para a computação em nuvem, possivelmente veremos vazamentos de dados de servidores da nuvem também. Criminosos podem usar dados pessoais roubados a partir de registros médicos para enganar as pessoas e fazer com que elas revelem ainda mais informações. Mais previsões para a cibersegurança na saúde em 2021. Os criminosos digitais andaram estudando Ataques a redes de comunicação industriais serão cada vez mais frequentes. Durante o último ano, os hackers tiveram a oportunidade de analisar diversas máquinas aleatoriamente infectadas por eles mesmos. Com isso, aprenderam sobre as configurações de TI das empresas e como se aproveitar disso. Agora, se abrirá um mercado para essas informações, com a possibilidades de que se venda o acesso a essas redes para grupos mais sofisticados, que tomarão o controle dos sistemas financeiros para acessar altos valores em dinheiro. Enquanto muitos sistemas de controle industrial (SCI) mantiverem seus sistemas de operação antigos, o fim do suporte para sistemas como o Windows XP cria uma brecha que pode ser explorada. Poderíamos até ver outro grande crime multiindustrial como o WannaCry. Os ransomware continuam ficado cada vez mais sofisticados. Gangues digitais adoram companhias industriais porque elas tendem a pagar o resgate. Isso é como cortar a cabeça de uma hidra: mais ataques vêm a seguir. Enquanto os serviços governamentais passam por uma transformação digital, eles ficam mais vulneráveis à ataques. Cibercriminosos podem usar um serviço governamental como porta de entrada para sistemas industriais e, com isso, conseguem interromper serviços inteiros, como o transporte público, por exemplo. Em 2020, as restrições do trabalho presencial devido à Covid-19 atrasaram os upgrades nos sistemas de TI. Por isso, durante um ataque, poderá ser mais difícil para os administradores de TI restabelecerem o controle sob seu sistema rapidamente. E basicamente, por causa da lentidão, um malware poderia se espalhar e se tornar um problema mais sério, por exemplo. Por isso, fazer o upgrade da segurança dos endpoints (terminais) e treinar os empregados é essencial. Veja mais previsões de cibersegurança para 2021 A revolução da educação online trouxe novas ameaças A educação mudou abruptamente em 2020, com 1,5 bilhão de estudantes sendo direcionados para as aulas à distância. Os educadores tiveram que aprender novas técnicas, tais como dar aulas utilizando o Zoom ou até o TikTok. Para aqueles com acesso a tecnologia, esses novos serviços melhoraram a educação. Porém, tais serviços trouxeram também novas ameaças. Sistemas de gerenciamento de aprendizado como o Google Classroom estão explodindo em popularidade. E com a alta dos crimes cibernéticos, percebe-se um espantoso crescimento de 20.000% nas ameaças a plataformas de aprendizado online entre 2019 e 2020. Isso porque privacidade normalmente implica na obtenção do consentimento dos usuários. No entanto, uma criança não tem facilidade – e talvez nem capacidade – para saber gerenciar suas próprias configurações de privacidade. Ferramentas de aprendizado precariamente configuradas podem comprometer dados pessoais. Por isso, aqueles que configuram e criam esses sistemas educacionais devem prestar bastante atenção na proteção de informações pessoais e dos dados dos estudantes. O vídeo também é outra tendência e continuará crescendo como ferramenta de ensino. Hoje, cerca de 60%  dos professores já usam o YouTube nas salas de aula. Mas com isso cresceu também o risco de exposição dos alunos a conteúdos inapropriados, além de novas ameaças, como o Zoombombing, que podem expor os alunos a conteúdos prejudiciais. Jogos como o Minecraft são excelentes formas de tornar o aprendizado mais interativo, mas expõem os estudantes a riscos como cyberbullying, trolls e arquivos maliciosos. Os professores devem moderar o conteúdo de seus sistemas de gerenciamento de aprendizado, mas com a popularidade das redes sociais e dos jogos, o engajamento dos alunos se tornou um desafio ainda maior. Mais previsões de cibersegurança para a educação em 2021 A pobreza gerará um aumento nos crimes financeiros digitais Em 2020, as empresas do ramo financeiro se tornaram menos seguras devido à necessidade de encontrar, às pressas, soluções de trabalho à distância. Alguns funcionários, por exemplo, estão usando máquinas que não atingem os padrões de segurança das empresas. O treinamento limitado desses funcionários, as configurações de fábrica desses computadores e o acesso remoto levaram a um aumento nos ataques. Há uma crescente no número de extorsões que utilizam ataques de negação de serviço (do inglês, Distributed denial of service ou DDoS) e ransomware. Ransomware direcionados são o novo normal para as organizações financeiras. Criminosos ainda aumentaram os valores dos resgates, fortalecidos pelo sucesso de alguns ataques e pela forte cobertura da mídia. Para apagar seus rastros, eles agora começaram a cobrar os resgates em criptomoedas. E como de costume, as pessoas são geralmente o elo frágil, como na tentativa fracassada de invasão à Tesla. As medidas de restrições não afetaram os cibercriminosos: grupos de hackers brasileiros se globalizaram em 2020, expandindo para a Europa e diversificando seu trabalho, incluindo tentativas de hackear caixas eletrônicos. Já grupos maiores estão evoluindo seus modelos de negócio para aumentar os lucros, contratando mais pessoas dentro de suas paredes virtuais ao invés de terceirizar. A pandemia pode levar a ondas de pobreza, o que significa um aumento nos crimes, e isso também vale para crimes digitais. Enquanto as economias caem, roubos de criptomoedas e assaltos com ransomware irão atrair aqueles que vivem no limite. Para rastrear os cibercrimes, o Departamento de Tesouro do Gabinete de Controle de Ativos Estrangeiros dos Estados Unidos anunciou sobre sanções a organizações que não conseguiram pagar os resgates. Com isso, esperamos sanções contra instituições e nações que não combatam o cibercrime que vem de dentro de seus territórios. Mais previsões de cibersegurança financeira para 2021 Gangues colaboram para criar ameaças mais avançadas Ameaças avançadas persistentes (do inglês, Advanced persistente threats ou APTs) são o tipo de ataque mais perigoso, muitas vezes visto em disputas geopolíticas, com a intenção de prejudicar interesses nacionais. Com a tendência de uma melhora na segurança das organizações e com mais pessoas trabalhando de casa, grupos de criminosos devem explorar tecnologias de rede, tais como, as redes virtuais privadas (VPNs), usando engenharia social para conseguir acesso a elas. O 5G é uma grande novidade que vem por aí. Falsas notícias sobre os riscos à saúde e países limitando ou banindo produtos da Huawei em suas infraestruturas de 5G fizeram que especialistas em cibersegurança começassem a investigar a empresa e outros provedores de 5G por possíveis falhas na implementação do sistema. Isso é importante porque, com mais equipamentos dependendo do 5G para se conectar, os criminosos terão mais incentivos para buscar vulnerabilidades para explorar. À medida que o ransomware se torna a arma preferida dos criminosos, veremos uma concentração de usuários dessa arma. Em 2020, as gangues de hackers Maze e Sodinokibi foram pioneiras no modelo de colaboração afiliada. Sim, essas duas gangues trabalharam juntas para criar uma ameaça inédita e mais forte. Esses grupos maiores podem se juntar para fazer ataques no estilo das APTs, que sobrecarregam os sistemas da organização alvo e, assim, conseguir acesso a dados específicos. Sim, provavelmente veremos ataques como esses atrapalhando o dia a dia das pessoas. Pode ser um ataque intencional a infraestruturas críticas, como serviços do governo, ou danos colaterais causados por um ransomware que tenha como alvo alguma grande organização da qual dependemos, como supermercados, correios ou transporte público. Mais previsões de ameaças avançadas em 2021 As ameaças podem estar crescendo, mas felizmente há também avanços na educação, na tecnologia e na inteligência disponível para ajudar as organizações a se manterem seguras e seguirem em frente.
worlds most phished country

Conheça as estratégias para evitar o crescimento do “phishing” no Brasil

  • min de leitura
    • Cibercriminosos sempre procuram os caminhos menos protegidos na hora de atacar. Mas vulnerabilidades tecnológicas, ainda que sejam problemas sérios, não costumam ser esses tais caminhos. Isso porque, quando você tem que atualizar um software anti-malware instalado em múltiplos computadores e conta com uma rede de firewall em dia é bem difícil superar essa barreira. Some a isso criptografia, análise heurística e autenticação de múltiplos fatores (MFA) e você terá uma fortaleza protegendo seus ativos digitais. Ou, ao menos, é isso que geralmente se pensa. Qual é o problema? A maioria dos criminosos digitais não segue o estereótipo hacker. Pelo contrário, eles gostam de mirar o elo mais frágil das redes: o humano. Afinal, por que tentar furar a criptografia ou hackear uma senha quando você pode facilmente, acima de qualquer suspeita, enganar alguém para te entregar essas informações? Se o endereço de e-mail e o domínio parecem autênticos, similares aos da empresa que você está acostumado a usar, você provavelmente vai clicar nesse link sem nem suspeitar. E, na maioria dos casos, não há nada que seu sistema anti-malware possa fazer sobre isso. Esse é um dos principais motivos pelos quais os esquemas de phishing estão em alta. Só no segundo trimestre de 2019, esse tipo de crime teve um aumento de 21%. O Brasil tem a infelicidade de ser o país com mais casos de phishing no mundo, onde 29% das pessoas já foram vítimas de algum ataque do tipo. A Kaspersky vem acompanhando essa tendência nos últimos anos e decidiu que era hora de tomar medidas radicais e mudar a abordagem para lidar com esse tipo de ameaças. Nossa equipe global de análise e pesquisa bloqueou quase 37 milhões de ataques em 2017 e pouco mais de 40 milhões em 2018. Só no Brasil. Então, quais são as melhores estratégias para bloquear o phishing desde sua origem? De onde vêm os ataques? Ainda que os ataques de phishing via e-mail sejam o centro da atenção, os ataques que acontecem em outras plataformas também são muito comuns. Isso inclui SMS, chamadas telefônicas, anúncios maliciosos e perfis fake em redes sociais. No entanto, o que a maioria das armadilhas de phishing tem em comum é o fato de que elas costumam incluir uma cópia dos sites originais de alguma organização legítima, com o mesmo texto e aparência. Em alguns casos, as cópias são quase indetectáveis. O problema é que assim que a pessoa entrega suas informações confidenciais para fazer login, como nome de usuário e senha, esses dados vão parar diretamente na mão dos criminosos. Bancos e outras instituições financeiras estão entre as empresas mais "imitadas", não só no Brasil, mas no mundo todo. Mas é importante lembrar que todo tipo de organização, empresa e até indivíduo pode ser imitado. É por isso que o phishing é uma epidemia global e que afeta a todos. Cerca de 20 milhões de novos sites de phishing são criados todos os anos. É certo que a maioria deles é detectada, bloqueada e tirada do ar rapidamente, mas esse não é o ponto. Mesmo com isso, os golpistas ainda têm tempo suficiente para executar seus ataques antes de sair do ar. No Brasil, assim como em outros países, a legislação local permite que qualquer pessoa possa registrar seu próprio domínio. A única forma legal de tirar do ar um domínio malicioso é quando uma empresa entra com uma ação de violação de registro de marca contra o dono daquele domínio, em casos onde alguém usa o nome daquela marca sem autorização da empresa. Mas nem isso acontece da noite para o dia, é um processo longo. Fraudes online estão em todo lugar pelo Brasil. Os golpistas exploram quase todos os programas de fidelidade dos clientes, por exemplo. Sites governamentais são recriados para cometer fraudes em serviços públicos, como os de saúde, por exemplo. Os criminosos até já se disfarçam como corretores para manipular os índices de crédito de diversas pessoas. Em um ataque específico, o IBAMA, maior autoridade nacional para assuntos ambientais, foi usado para um esquema de phishing que liberou 23 empresas listadas por crimes ambientais para voltar às atividades. Nos dez dias seguintes, essas companhias conseguiram extrair ilegalmente uma pequena fortuna: R$ 11 milhões em madeira da floresta amazônica, o suficiente para encher 1400 caminhões. Ou seja, tudo que está online no Brasil está suscetível ao phishing a qualquer momento. Tudo começa no registro A maioria dos casos de phishing se dá com uma vítima sendo enganada e direcionada a visitar um domínio malicioso. É por isso que a equipe de pesquisa da Kaspersky quis ir direto à raiz do problema. Isso significa agir na pequena janela entre o momento em que um site suspeito é criado e a hora em ele é usado para um ataque. Demos início a esse projeto em 2014, monitorando todos os novos registros de domínio, o que incluía os nomes de todas as instituições financeiras em operação no Brasil e, por consequência, a checagem de seu registro WHOIS. A revisão desse registro nos permitiu encontrar informações básicas sobre quem registrou aquele domínio, quem foi o provedor desse registro e quando o site foi registrado. Mas esses dados isolados não são suficientes, especialmente quando há serviços de GDPR (Regulamento Geral de Proteção de Dados europeia) e privacidade ocultando outras informações. Precisamos usar alguns métodos especializados para monitorar a reputação de alguns domínios e identificar de maneira proativa registros suspeitos. As principais "histórias de pescador" da internet. Ou melhor, "histórias de phisher". Possíveis vítimas de ataques de phishing não acessam sites estranhos para acessar suas contas correntes ou outras plataformas por livre e espontânea vontade. É por isso que os criminosos têm que encontrar diferentes formas de chegar até eles. Uma das táticas mais comuns é o "typosquatting". É uma forma de "cybersquatting", que é nada menos que a prática de comprar um domínio com um nome comercialmente valioso com o intuito de vendê-lo ao titular da marca ou de enganar os consumidores. A diferença do "typosquatting" é que o domínio registrado não usa o nome de uma marca e sim um nome próximo, se aproveitando de um erro comum de digitação daquele termo. Dessa forma, o invasor espera que alguém tente acessar o site e cometa aquele erro, sendo direcionada assim a um site semelhante, porém malicioso. É por esse motivo que muitas empresas têm registrado também os domínios com os erros de digitação mais comuns em relação ao seu site original. O Google, por exemplo, redireciona para sua página principal todas as pessoas que por algum motivo cheguem até o "gooogle.com", ao invés do "google.com". De qualquer forma, existem milhares de possibilidades de erros de digitação, o que torna essa prática ainda mais difícil e pouco eficiente. Para evitar esse tipo de situação, nós usamos um método chamado "Distanciamento Levenshtein", um algoritmo de combinações de nomes que nos ajuda a detectar casos de typosquatting e bloquear domínios similares e suspeitos. Outra abordagem menos conhecida, mas cada vez mais comum é o uso de domínios internacionais (IDNs), que usam caracteres que não fazem parte do alfabeto latino. Tradicionalmente, todos os endereços da internet eram escritos em formato ASCII, mas desde a última década você já pode registrar também domínios em Unicode, para dar espaço a alfabetos como o cirílico, o grego e o chinês. O problema nesse caso é que alguns idiomas usam as mesmas letras, mas essas letras são interpretadas de diferentes formas pelos computadores. Por exemplo, a letra "b" em inglês é visualmente idêntica à letra "b" em russo, apesar de serem letras diferentes. Por exemplo, um domínio como o "caixa.gov.br", correspondente a um dos maiores bancos do Brasil, seria visualmente idêntico se escrito no alfabeto cirílico se a letra "c" fosse substituída por sua similar em cirílico. Somente um computador poderia detectar essa diferença, porque no computador cada uma dessas letras é representada por um código diferente. Existem também outras manobras que usam o sistema IDN, mas de maneira menos sutil. Algumas adicionam acentos a alguns caracteres ou letras similares,como o "k" russo em comparação com o "k" em inglês, por exemplo. Não são letras idênticas, mas sua forma parecida pode ser algo que passe despercebido por um usuário não tão atencioso. Protegendo o país do phishing. O que o futuro reserva para o Brasil? Percorremos um longo caminho desde 2014. Com o GDPR (Regulamento Geral de Proteção de Dados europeia) aparecendo como mais um obstáculo criado para mascarar informações sobre o registro de domínios, tivemos que encontrar outras formas de determinar sua autenticidade. Ainda assim, existem casos onde especialistas locais cumprem um papel fundamental e outros onde é necessária a aprovação humana. O caso da Caixa é um bom exemplo disso também. Como o termo é usado para falar tanto do objeto como do banco, é necessário um cuidado maior para não terminar colocando na lista de bloqueados, empresas inocentes que usem termos semelhantes, como marcas de logística ou embalagens. Para isso precisamos de uma análise mais especializada, muitas vezes feita manualmente. Um caso similar é o do Santander, já que o termo não é só o nome de um banco, como também o nome de uma cidade da Espanha, uma província das Filipinas e um estado da Colômbia. Em conclusão, essa abordagem preventiva e proativa se tornou algo essencial para evitar o phishing, já que os métodos de segurança tradicionais já não são suficientes para lidar com esse tipo de ameaça; Porém, a Kaspersky espera que esses esforços possam ajudar as organizações e as pessoas, não só no Brasil, mas no mundo todo, a se manter sempre um passo à frente desses criminosos.
enterprise cybersecurity three questions for CISO

O novo T.I.: três segredos que todo gestor deveria saber sobre cibersegurança.

  • min de leitura
    • Desde a TV on-demand até o prato que chega à sua mesa via delivery: hoje é possível conseguir quase tudo, em qualquer horário, com apenas alguns toques numa tela. Empresas fazem recomendações personalizadas a cada dia e já antecipam o que vamos querer no dia de amanhã. Pode ser difícil atingir as expectativas cada vez maiores dos consumidores, mas a tecnologia está do lado dos negócios. Podemos ser mais eficientes na hora de atingir o público-alvo, usar dados para tomar melhores decisões e entregar produtos a um custo muito baixo graças aos canais digitais. O crescente número de janelas abertas pela tecnologia no mundo todo significa que os gestores de negócios têm que estar atentos à segurança de dados como nunca antes. Perguntamos para mais de 300 chefes de cibersegurança do mundo todo quais são os novos desafios que eles têm enfrentado e como isso afeta o seu trabalho, e separamos aqui as três conclusões principais: (Para mais detalhes, veja o relatório completo da pesquisa.) 1. As novas estruturas organizacionais mostram a real importância da cibersegurança: Um bom exemplo do aumento exponencial da importância da cibersegurança está nas estruturas organizacionais das empresas, T.I. e Segurança de T.I. têm se tornado departamentos independentes em várias delas. Quase um terço (29%) dos responsáveis por cibersegurança afirmam que a principal mudança no seu trabalho nos últimos anos foi o fato de não ter que se reportar mais para o chefe de T.I. A maioria dos entrevistados acredita que essa seja uma mudança para melhor. Essa separação dá aos especialistas em cibersegurança mais independência e cria uma distância que favorece a imparcialidade. Ainda assim, esses dois departamentos não podem ser 100% independentes. Alguns elementos essenciais de segurança devem seguir sob responsabilidade do departamento de T.I., como ocontrole de acesso, o patching e a construção de uma infraestrutura segura. Da mesma forma, o departamento de cibersegurança também precisa estar informado sobre os novos projetos de T.I. para controlar a segurança dessas iniciativas antes mesmo de que entrem em vigor. A maioria dos gestores de cibersegurança afirma ter uma boa relação com o T.I. Quando há conflito, a tendência é que seja sobre quem tem a palavra final em assuntos como a agenda de atualização de softwares, mudanças no nível de flexibilidade dos processos de segurança e acesso para trabalhadores remotos e a prática de desligar as máquinas e servidores durante vazamentos e invasões. Muitas vezes, o T.I. vê a equipe de segurança como um funil nos processos da empresa, já que os requisitos de segurança costumam tornar novos projetos mais difíceis de implementar e de funcionar. Como afirmou um dos chefes de segurança entrevistados: "geralmente, a tensão está entre fazer as coisas de uma forma segura ou simplesmente fazer a máquina rodar". O que podemos aprender sobre estrutura organizacional? Para ter um ambiente de trabalho positivo, escolha a estrutura que mais se encaixe com o seu negócio. Considere o nível de experiência, o orçamento para T.I. e cibersegurança e o tamanho da equipe disponível para cada setor. Não acelere a criação de um departamento independente de segurança caso ainda não saiba com o que pode contar. Algo que ajuda nessa divisão é ter algum líder em comum para o qual ambos os gestores reportem. Pode ser o CEO ou o gerente de riscos, o importante é que essa pessoa tenha a capacidade de administrar os recursos entre os dois departamentos. 2. Você precisa de insights para avaliar riscos, não só de números: Os negócios hoje em dia têm que balancear o ato de explorar novas oportunidades de mercado e gerenciar riscos, incluindo os relacionados à cibersegurança. Ao longo de suas carreiras, os responsáveis pela cibersegurança se deparam com diferentes medidas para conter riscos, como bloqueios a ameaças e revisão de softwares. O mercado costuma exigir que esses profissionais usem números e não "jargões de T.I." para reportar essa medidas a outros departamentos e líderes, mas dados e gráficos sem contexto não dizem tudo que você precisa saber sobre esse tipo de problema. O que podemos aprender sobre gerenciamento de riscos? Para saber quais problemas relacionados à cibersegurança podem afetar uma empresa e o quão prováveis e recorrentes são esses riscos, enriqueça o valor dos números com análises qualitativas. Envolva os stakeholders, como líderes das áreas financeira, comercial e de marketing para avaliar como ameaças identificadas por sua equipe de segurança de T.I. podem afetar a empresa. O entendimento sobre os objetivos principais da empresa, como aumentar as vendas digitais ou começar a coletar mais dados sobre os consumidores vão ajudar a definir as prioridades de segurança. Por isso, líderes de empresas não devem pedir para seus chefes de cibersegurança calcularem somente os riscos, mas sim para que compartilhem seus insights mais aprofundados sobre o tema. 3. Seja realista na hora de contratar: Cerca de 70% dos líderes de cibersegurança entrevistados nesta pesquisa afirmam que pouca mão-de-obra é um dos principais problemas da área. Mas alguns desses gestores pensam que o problema não está na escassez de profissionais qualificados e sim nas expectativas irreais que o mercado tem para os novos contratados. Quando um novo funcionário tem a expectativa de agregar valor de maneira imediata à sua equipe, os chefes de segurança ficam com a árdua missão de encontrar um "unicórnio": alguém com uma série de habilidades fora de série. Isso ao invés de tentar desenvolver o talento internamente com todas as diferentes tecnologias e soluções disponíveis hoje, poucas pessoas têm toda essa habilidade e experiência. E até mesmo especialistas com mais experiência precisam de dois ou três meses para aprender as políticas da empresa, seus processos e nuances. Muitas companhias relutam em treinar pessoas com menos experiência por medo de que depois elas deixem a empresa em troca de um salário melhor. Mas não existe garantia contra qualquer outro funcionário que receba uma proposta de outra companhia oferecendo mais dinheiro ou uma vaga mais interessante, seja esse colaborador alguém que você treinou internamente ou não. O que podemos aprender e usar na hora de contratar? Abra vagas extra no departamento de segurança de T.I. para cuidar de casos não-relacionados a projetos urgentes. Dessa forma, você poderá assegurar que os novatos sejam corretamente treinados em funções de rotina como a revisão de logs. Dê a eles a chance de aprender coisas novas aos poucos e assim crescer profissionalmente. Esses e os outros pontos citados acima são conclusões retiradas da sabedoria e experiência de mais de 300 líderes e especialistas em cibersegurança do mundo todo. Nosso objetivo é mostrar como o cenário está mudando, mas em muitas formas como devemos sempre prestar atenção no básico também. A segurança de um negócio não depende somente das soluções implementadas, mas sim de processos internos bem alinhados e o sucesso nesse caso não tem uma só receita. A comunicação entre departamentos continua sendo essencial e a sabedoria está em ver além dos números, contratar com cuidado e de maneira realista e investir e confiar nas pessoas que já trabalham com você.
privacy history laptop

A privacidade está morta. Vida longa à privacidade!

  • min de leitura
    • A cada ano novas manchetes alertam sobre a chegada de uma nova tecnologia específica que chega com a promessa de dar um fim definitivo à privacidade. Mas cenários apocalípticos que preveem a morte da privacidade são quase tão antigos quanto o próprio conceito de privacidade, que na verdade não é tão antigo assim.  Neste artigo vamos explorar a relação da sociedade ocidental com a privacidade ao longo do tempo e as implicações dessa relação na era digital.  O sonho da privacidade nasceu em uma cama comunitária  A ideia de privacidade surgiu na Inglaterra no século XIX, como afirma o historiador Georges Duby em sua obra "A história da vida privada" ("A history of private life", em inglês). A palavra "privacidade" tem sua origem no termo francês "priver", que significa "domar", "domesticar". O termo similar em latim, "privatum", também se refere ao que acontece dentro de casa ou dentro do círculo familiar.   Na Idade Média, segundo defende Duby, passar tempo sozinho era um privilégio raro. Camas eram extremamente caras e por isso eram compartilhadas por todos da família, exceto nos lares mais abastados. E, ainda que a realeza e os aristocratas tivessem suas próprias camas, os quartos raramente eram ocupados por uma pessoa só: serventes e guardas se mantinham sempre por perto. . Mas compartilhar quartos na hora de dormir não era algo único das sociedades ocidentais. Antropólogos que estudam os nativos das Ilhas Trobiand, uma antiga tribo de caçadores que vive nos arquipélagos da Nova Guiné, reportam que as famílias do grupo viviam e dormiam em cabanas de um quarto só. Quando os pais queriam um momento íntimo, a ordem era para que as crianças cobrissem suas cabeças com tapetes.   Pegando uma cerveja e as correspondências dos outros A privacidade em termos de correspondência também não era algo muito regular. Até porque um selo de cera não é uma grande garantia de que um envelope vai chegar intacto ao seu destino, com seu conteúdo ainda secreto. No livro "O direito a privacidade na história estadunidense" ("The right to privacy in American history", em inglês), o autor David J. Seipp descreve como as cartas chegavam da Inglaterra no século XIX por meio dos navios mercantes.  Até que em 1710 o governo britânico nos Estados Unidos emitiu o "Post Office Act", que criou um serviço postal regulamentado e tornou proibido o ato de abrir correspondências alheias. E essa se tornou a primeira lei de privacidade estabelecida nos EUA.  Ao criar um serviço postal, o governo tinha como objetivo proteger a privacidade individual de cada um. Mesmo assim, nem todos fizeram questão dela. Por certo tempo, muitas pessoas ainda preferiram a conveniência das entregas via navio mercante, apesar de todos os riscos envolvidos. Quando os telefones chegaram na festa  Assim como em outros momentos, a chegada dos primeiros telefones aos EUA também geraram previsões calamitosas para a privacidade. E até havia uma boa razão, já que os primeiros telefones ficavam em locais públicos, como lojas e mercados. Ou seja, as pessoas podiam ouvir as conversas alheias enquanto faziam fila para fazer ou receber suas próprias chamadas. As ligações passam ainda por uma central de distribuição, onde as telefonistas faziam as conexões manualmente enquanto ouviam por acaso todas as conversas.   Quando os telefones se tornaram um objeto doméstico muitos deles funcionavam através de linhas coletivas, chamadas em inglês de "party lines", com diversas casas compartilhando uma só linha. Quando alguém quisesse fazer uma chamada a pessoa era obrigada a tirar o telefone do gancho e verificar se não havia ninguém conversando na linha.  Mas apesar das preocupações sobre privacidade, as pessoas continuaram usando o telefone. Principalmente porque permitia a elas compartilhar informações em tempo real ao invés de mandar custosos telegramas ou cartas que demoravam dias, semanas ou até meses para chegar. Talvez as pessoas estivessem dispostas a sacrificar um pouco da sua privacidade porque confiavam que a tecnologia poderia solucionar os próprios problemas. Com o passar do tempo, as linhas particulares se tornaram cada vez mais acessíveis e as linhas coletivas desapareceram. Hackeáveis, porém desejáveis A era digital nos apresentou um conjunto particular de desafios sobre privacidade. A internet, criada para facilitar a troca gratuita e aberta de informações é também o elemento que permite que essas informações sejam usadas de formas não tão agradáveis.  Um exemplo são governos de diferente partes do mundo, que conduzem programas de "vigilância digital" de seus cidadãos usando tecnologias de reconhecimento facial. Outro caso são os assistentes pessoais, como Alexa (Amazon) e Siri (Apple), Smart TVs e outros aparelhos eletrônicos conectados à internet, que têm se tornado alvo constante dos hackers. Ainda assim, a venda de produtos que utilizam a chamada Internet das Coisas (IoT) não deixa de crescer. Existe até um relatório que prevê que o número de assistentes de voz ativos deve triplicar até 2023 e atingir mais de 8 bilhões.    Protegendo-nos de nós mesmos  Alguns podem dizer que a privacidade está perdendo lugar para a conveniência e o conforto que a Internet fornece. Ao mesmo tempo, muitas pessoas e organizações clamam por regras ainda mais restritas na proteção de dados pessoais.   Governos de todo o planeta estão começando a impor um controle mais duro sobre a coleta, o uso, o compartilhamento e a venda de dados pessoais. As medidas mais destacadas são o GDPR, Regulamento Geral de Proteção de Dados, criado pela União Europeia, e o US State of California's California Consumer Privacy Act, mais conhecido como CCPA, aplicado pela Califórnia.   Muitas delas abrem mão de seus dados pessoais sem nem saber como esses dados serão usados. Mas os vigilantes da privacidade e muitos consumidores ao redor do mundo estão cada vez mais preocupados com o potencial uso dos dados da chamada "Big Tech", que inclui empresas como Google, Facebook e Apple, para a manipulação política e cultural.   Recentemente, a Comissão Federal de Comércio dos EUA multou o grupo Facebook em incríveis US$ 5 bilhões por vender dados de seus usuários para a consultoria política Cambridge Analytica. Reportagens indicam que essa empresa usou esses dados para influenciar disputas políticas e eleições em diversos países através das redes sociais.   Vivemos todos num grande Big Brother. Mas será que as pessoas se importam? A privacidade é algo importante para os consumidores hoje em dia? A resposta depende de quem responderá à pergunta.   Em teoria, os millennials supostamente são aqueles que têm maior indiferença sobre a segurança de seus dados pessoais. Num estudo de 2016 realizado no Reino Unido e nos EUA, 70% dos millennials (entre 19 e 36 anos) afirmaram que acham que sua privacidade online provavelmente já foi ou ainda será comprometida, mas que não se preocupam muito com isso. No entanto, uma pesquisa mais recente da Internet Innovation Alliance não encontrou diferenças significativas entre o nível de preocupação sobre privacidade de dados dos millennials e de outras gerações.  Em 2019, numa pesquisa da Internet Society com consumidores da Austrália, Canadá, Japão, França, RU e EUA, 75% dos entrevistados mostraram certa preocupação com o fato de que as empresas compartilhem seus dados pessoais sem seu consentimento. Um número ainda maior, 88%, quer que os governos garantam seu direito à privacidade de dados, enquanto 80% acredita que as leis e regulamentações atuais não são suficientes.   E eles estão certos. Inovações para proteger a privacidade A história mostra que a tecnologia e a engenhosidade humana combinadas podem, muitas vezes, solucionar os problemas que elas mesmas criaram.   Quando as pessoas postam seus próprios dados pessoas nas redes sociais, elas estão escolhendo fazer isso. As violações ocorrem quando aquela rede social ou outros sites vendem ou compartilham esses dados sem o consentimento do usuário. Mas uma internet aberta e livre não significa que você precise compartilhar seus dados mais sensíveis.   Leis podem ajudar-nos, mas infelizmente elas só chegam até certo ponto. E a realidade é que os legisladores ainda estão começando a entender quais são as melhores maneiras de impor restrições na coleta e uso de dados sem ferir o livre comércio. A verdade é que a privacidade tem uma luz no fim do túnel, e essa luz é a inovação. Em resposta aos riscos crescentes relacionados à coleta e uso de dados pessoais, as empresas de tecnologia estão começando a criar alternativas para seus usuários para que este escolham manter seus dados privados ou não.   O mecanismo de busca DuckDuckGo, por exemplo, não guarda o histórico de busca dos usuários e nem seus dados. Alguns serviços de adblock também fazem o mesmo.  A rede social MeWe é outra que fornece aos usuários uma Declaração de Direitos de Privacidade, na qual promete que as informações fornecidas pertencem somente ao usuário e que o site nunca irá vendê-las ou compartilhá-las.   No mundo dos negócios, a startup Duality Technologies inventou a "encriptação homomórfica", que permite que empresas de tecnologia analisem dados pessoais criptografados sem precisar remover a criptografia. Segundo informações, o Google agora também passou a fornecer uma ferramenta de encriptação homomórfica para seus parceiros.  Tecnologias emergentes também prometem melhorar a privacidade. O Blockchain é uma tecnologia que é a base para o Bitcoin e outras moedas digitais, e funciona linkando transações através de um livro-razão ou livro contábil distribuído, visível para múltiplos usuários e imutável. Alguns especialistas preveem que o Blockchain também será utilizado para criar novos formatos de identidade digital criptografados. A triste realidade é que algumas (ou muitas) empresas de tecnologia e líderes de empresas não vão ter o interesse público como uma de suas prioridades. Esse é um dos motivos pelos quais precisamos de leis e regulamentações para resguardar a privacidade. Mas até mesmo os consumidores sabem que os governantes não têm como ter controle sobre tudo.   Uma nova era da privacidade está começando. O que as empresas devem fazer? A luta pela privacidade de dados precisa de regras mais duras. Mas o problema é que, se essas regras forem duras demais, podemos inibir a inovação.   O melhor remédio é a combinação dessas duas coisas: leis de privacidade flexíveis e ferramentas digitais que permitam que os usuários protejam seus dados. Essa combinação reforçada dará início a uma nova era em que nossas informações serão tão privadas quanto seus proprietários desejem.  Para se preparar para essa nova era focada na privacidade, as organizações devem começar a se planejar agora para resguardar os dados que elas manipulam, seguindo os parâmetros de regulamentação da GDPR e da CCPA, mesmo que essas leis não se apliquem ao seu país ou organização. Você também deve assegurar que seus parceiros operacionais façam o mesmo. Usar tecnologias para privacidade de dados ou inventar sua própria tecnologia também são coisas que devem fazer parte desse processo.   Em seguida, sua empresa deve divulgar seu compromisso com a privacidade de dados, por exemplo, publicando uma "declaração de direitos de privacidade", como outros fizeram. Pessoas físicas podem apostar na ingenuidade humana, mas os negócios não. As empresas precisam fazer seu papel: priorizar o direito à privacidade de seus consumidores e fornecer acesso fácil a serviços que colaborem para a proteção dos mesmos. A inovação pode, e deve, abrir o caminho para o renascimento da privacidade, dando aos indivíduos e às empresas um controle sem precedentes sobre seus dados. E, enquanto isso, a era digital vai continuar enriquecendo nossas vidas de diversas maneiras.   Este é um artigo opinativo e não necessariamente reflete as opiniões e posicionamentos da Kaspersky.   

A privacidade digital no futuro: previsões dos especialistas para a próxima década.

  • min de leitura
    • Sejam em celulares, smartwatches e até mesmogadgets. Hoje em dia dados pessoais estão em toda parte. Coletar informações pessoais faz os serviços melhores para os usuários mas, ao longo dos últimos anos, tivemos múltiplos casos que demonstraram os riscos desse hábito que se tornou tão tradicional. Quando o assunto é privacidade de dados, é possível fazer uma comparação com um rio, afinal, você nunca entra no mesmo rio duas vezes. Isso porque preocupações, ameaças e prioridades estão sempre em movimento. Pensando nisso, quais serão as ameaças à privacidade que veremos na próxima década? E como as empresas podem se preparar para elas? 1. Governos vão acessar mais dados dos cidadãos sem pedir autorização Já está acontecendo, mas, nos próximos anos, governos ao redor do mundo tendem a adotar leis que os autorizem a acessar mais e mais dados e informações de seus cidadãos. E vão dar diversas justificativas para isso, incluindo terrorismo, instabilidade e o fato de que esses dados já são explorados deliberadamente pelo setor privado. 2. A brecha entre regulamentação e realidade só crescerá Embora a justificativa esteja clara, o aumento do acesso aos dados privados da população acarreta diversos riscos, principalmente o uso não-autorizado desses dados e o vazamento de informações. Será um grande desafio para as entidades reguladoras saber adaptar seus parâmetros na mesma velocidade em que as novas tecnologias avancem. E as empresas também têm sido lentas para mudar o modo como lidam com dados do usuário. A única mudança significativa aplicada recentemente foi a prática de pedir o consentimento dos usuários sobre as formas como as empresas poderiam usar seus dados, o que agora é obrigatório em muitos países. Mas não é possível enxergar nenhuma tendência que direcione para o aumento da segurança para proteção de dados sensíveis do usuário.Ou seja, já existe uma grande distância entre a regulamentação e a realidade quando o assunto é privacidade. E isso tende a aumentar ainda mais, o que faz essa regulamentação parecer cada vez menos eficaz. 3. Ferramentas de contra-ataque criarão uma guerra virtual da privacidade As tendências mencionadas acima vão encorajar os que pensam à frente inovadores a desenvolver novas tecnologias de proteção de privacidade. Os especialistas vão adotar esses métodos e mais tecnologias aparecerão para tentar burlá-los, dando início a uma batalha virtual. Enquanto isso, os usuários se tornarão mais proativos e curiosos a cerca de sua privacidade. Existirá uma alta demanda para gerenciadores de senhas, redes privadas (VPNs) e tokens (geradores automáticos de senha) para sistemas de identificação de dois fatores (2FA). No entanto, mecanismos de proteção como os tokens 2FA e os gerenciadores de senha cuidam só da fachada da casa. Ataques e problemas acontecem regularmente nos fundos, no backend. Essas ferramentas protegem o ambiente local, mas não são uma proteção eficaz contra ataques a sistemas como o armazenamento em nuvem (cloud). E, como as ferramentas baseadas na nuvem estão cada vez mais deixando de ser desnecessárias para se tornarem indispensáveis, os funcionários também terão que entender onde os riscos estão. VPNs protegem contra um certo tipo de roubo de dados, como endereço IP e geolocalização, por exemplo, mas não protegem contra usuários compartilhando dados com serviços como Google e Facebook. 4. Seguiremos sendo enganados por diversão "O crescimento acelerado de games, testes e aplicativos que fazem o usuário compartilhar dados pessoais em troca de diversão não deveria ser tão subestimado." Cibercriminosos podem usar esse tipo de estratégia para atacar empresas, roubando dados pessoais de funcionários e usando esses dados para acessar sistemas e informações corporativas. 5. Veremos novos ataques a processos democráticos, mas também proteção contra a desinformação Esse tipo de ataque já tem sido comum nos últimos anos e não há motivo evidente para que parem. Tecnologías capazes de falsificar a identidade visual e a fala de uma pessoa já existem e, com uma eleição presidencial nos Estados Unidos logo à frente, esses métodos devem infelizmente roubar a atenção do público e ser explorados por ambos os lados da disputa. "Mas onde há ação, também há reação. Por isso, poderemos contar com novas ferramentas de confrontar aqueles que tentam manipular o público." 6. Provedores da Internet das Coisas (IoT) aumentarão o investimento em segurança Os últimos anos têm sido turbulentos para a indústria da segurança digital, já que ataques específicos à IoT, vazamentos de dados e campanhas de desinformação e fake news têm sido cada vez mais desafiadores. Esses fenômenos incentivarão fornecedores a subir o nível de colaboração em prol da segurança. Amazon, Apple, Google e a Zigbee Alliance anunciaram que estão criando um grupo de trabalho para desenvolver e promover um padrão de conectividade gratuito e livre de royalties. Isso aumentará a compatibilidade entre produtos que usem IoT e criará uma base mais segura para seu uso. Espera-se que outras empresas sigam essa tendência. Considerando tudo o que foi citado acima, é possível dizer que estamos frente a uma década muito interessante para a privacidade. Mas os desafios são significativos e as empresas terão um papel fundamental para assegurar a privacidade dos dados, não só de seus colaboradores, mas também dos consumidores. A esperança é que novas soluções surjam na medida de novas ameaças. Enquanto isso, toda e qualquer empresa pode começar a fazer sua parte, simplesmente adotando iniciativas de capacitação e treinamento de segurança e privacidade para seus funcionários.

Qual a visão do CISO em um mundo de constante mudança?

  • min de leitura
    • À medida que as empresas se tornam cada vez mais digitais e nosso mundo mais interconectado, os riscos de cibersegurança à sua empresa aumentam. Mais do que nunca, é importante ter uma estratégia cibernética em vigor, tema sobre o qual os diretores de segurança de informações (CISOs, Chief Information Security Officers) conhecem profundamente. Mas, em vez de falar sobre por que é importante contratar os profissionais de segurança certos para cuidar de seus negócios, compartilhamos essa pesquisa com a visão interessante de 305 profissionais ao redor do mundo Apresentamos o relatório A cibersegurança pelos olhos dos CISOs A cibersegurança está evoluindo para a gestão estratégica de riscos Essa pesquisa, solicitada pela Kaspersky e realizada pela 451 Research, apresenta insights que podem ajudar a proteger a sua empresa. A função de um CISO está em constante mudança e, 70% deles dizem que a gestão de riscos agora é parte fundamental de suas responsabilidades, enfatizando a importância do planejamento contra ataques. Além disso, destacamos: Existem indicadores sobre o rumo do setor e as preocupações dos profissionais de segurança. 70% dos entrevistados afirmaram que é mais difícil contratar profissionais de cibersegurança qualificados, o que leva a uma crescente tendência em considerar o desenvolvimento de talentos de profissionais atuais da empresa. Existem indicadores sobre o rumo do setor e as preocupações dos profissionais de segurança. 70% dos entrevistados afirmaram que é mais difícil contratar profissionais de cibersegurança qualificados, o que leva a uma crescente tendência em considerar o desenvolvimento de talentos de profissionais atuais da empresa. Entretanto, essa não é a única preocupação deles. Uma em cada duas pessoas pesquisadas disse que o aumento e a gravidade dos ataques representam a maior pressão sobre eles. As principais ameaças identificadas vão da rápida evolução das tecnologias em nuvem a uma explosão dos dispositivos inteligentes habilitados em IoT. https://youtu.be/QTjwySMNQHk Precisamos de mais mulheres de nível sênior em funções de segurança de informações Embora a pesquisa mostre um grande otimismo em relação ao desenvolvimento do setor e, de fato, o crescente número de profissionais de segurança protegendo nossas empresas, ainda há uma falta clara de representação feminina. E o setor sabe disso: praticamente metade (45%) de todos os entrevistados disse que as mulheres são pouco representadas em suas organizações, ainda que apenas 37% dessas empresas tenham iniciativas para resolver essa questão. Sendo assim, como resolver esse problema? Se não há talento feminino suficiente em nosso pipeline, é necessário aumentar os esforços para incentivá-las. Para ajudar as mulheres a considerarem funções no setor de cibersegurança e enfrentar o sexismo, a Kaspersky tem algumas iniciativas como por exemplo a parceria firmada  com a "Girls in Tech" para apoiar a AMPLIFY. Elas realizam regularmente os eventos CyberStart nos EUA e na Europa. Para o relatório, Andrey Evdokimov, CISO da Kaspersky, foi questionado sobre o que ele considera importante para se tornar um CISO de sucesso: https://youtu.be/jalFI5hOvU0 Desde a mudança do papel de um CISO, até os maiores desafios corporativos de segurança cibernética, este relatório apresenta as informações necessárias para se manter no topo de um setor em constante mudança.
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.