Os passos essenciais para uma gestão eficaz das violações de dados

Ter um plano de gestão de violações de dados em vigor garante que haja o pessoal e os procedimentos adequados para lidar eficazmente com uma ameaça.

Imagina o pânico quando se descobre uma fuga de dados em grande escala, talvez uma que já se arrasta há meses. Em 2017, a Equifax alertou o mundo para o roubo de vários milhões de registos de dados que estavam sob a sua responsabilidade.

O roubo começou por causa de uma vulnerabilidade no Apache Struts, uma estrutura de desenvolvimento muito utilizada. A Equifax sabia da vulnerabilidade, mas o funcionário encarregado de aplicar a correção não o fez. Seguiu-se uma série de acontecimentos infelizes, incluindo a incapacidade dos programas de verificação de correções de detetar outras vulnerabilidades, agravada por várias falhas humanas por parte dos operadores.

Desde então, a Equifax gastou cerca de 1,4 mil milhões de dólares (1 mil milhões de libras) a melhorar a sua segurança. A empresa também foi multada em meio milhão de libras pelo Gabinete do Comissário de Informação do Reino Unido (ICO), e o ex-diretor de TI da Equifax foi condenado a quatro meses de prisão por ter aproveitado a violação para obter ganhos pessoais. A violação de dados da Equifax foi um verdadeiro pesadelo para as empresas.

Ao «colocarmo-nos no lugar dos outros», conseguimos perceber como é que cada parte de uma organização lida de forma eficaz com a gestão de fugas de dados. Ao refletirmos sobre como cada departamento pode ajudar a atenuar a cadeia de acontecimentos que leva a uma fuga de dados, a exposição dos dados pode ser gerida de forma mais eficaz.

Como e porquê gerir as violações de dados

As violações de dados afetam toda a gente numa organização. Da mesma forma, toda a gente pode ajudar a prevenir ou minimizar o impacto de uma violação de dados. Abaixo, vais ver as diferentes responsabilidades de cinco áreas-chave numa organização e o tipo de responsabilidades que cada uma tem na gestão de uma violação de dados.

A Equipa de Incidentes de Segurança

A gestão e prevenção de fugas de dados são o pilar da equipa de incidentes de segurança. Esta equipa tem sido cada vez mais solicitada, à medida que as fugas de dados aumentam em número e intensidade. O seu papel é fundamental na gestão de uma fuga de dados e a equipa conta com um processo robusto para a ajudar nessa tarefa. A equipa de segurança deve poder recorrer a um plano de resposta a incidentes e a um plano de recuperação de desastres para ajudar a conter a violação. Estes planos ajudam a orientar as ações assim que ocorre uma violação.

Os passos típicos na contenção e gestão de violações incluem:

Confirma a violação

Pode parecer um passo óbvio, mas confirma se a violação realmente aconteceu e se afeta dados confidenciais ou sensíveis. Os dados recolhidos durante a análise da violação vão ser necessários se a violação for grave o suficiente para ter de notificar uma autoridade de supervisão. As informações que devem ser recolhidas e documentadas incluem:

• • Como é que a falha de segurança foi detetada

• • Onde aconteceu

• • Quem é afetado (inclui quaisquer fornecedores do ecossistema)

• • Quem comunicou a violação?

• • A(s) data(s) em que ocorreram as infrações

• • Qual é o nível de risco que a violação representa para a organização, os clientes, etc.?

• • A falha já está totalmente controlada?

Como é que a falha de segurança aconteceu?

Uma análise da violação não é só necessária por questões de conformidade, mas também pode ajudar a mitigar futuras exposições de dados. A dinâmica das violações é variada. Os dados podem ser expostos por diversos mecanismos, tanto acidentais como maliciosos. Identifica esses mecanismos: tratou-se de uma exposição acidental por parte de um colaborador ou de um ataque malicioso? Compreender os vetores e as táticas utilizados pode ajudar a reduzir a exposição e a mitigar o ataque.

O tipo de dados afetados

Ser capaz de identificar o nível de risco dos dados afetados é fundamental tanto para a notificação de violações como para a conformidade, bem como para perceber o impacto global no negócio. Regista o tipo e o nível de risco dos dados que foram alvo de violação. Uma organização já deve ter desenvolvido um sistema de classificação baseado numa norma como a ISO 27001. Esta norma define quatro categorias de dados:

1. 1. Confidencial (só a direção tem acesso)

1. 1. Restrito (a maioria dos funcionários tem acesso)

1. 1. Interno (todos os funcionários têm acesso)

1. 1. Informação pública (a que toda a gente tem acesso)

Contenção e recuperação

Assim que for detetada uma violação, é essencial contê-la o mais rápido possível. As medidas tomadas durante a análise da violação vão permitir criar uma estratégia de contenção. As violações que envolvem colaboradores podem exigir uma revisão da formação em sensibilização para a segurança. As violações que envolvem hackers maliciosos externos vão precisar de uma análise mais aprofundada dos sistemas e de medidas de mitigação. É preciso implementar planos de recuperação para minimizar o impacto da violação.

Assuntos Jurídicos e Conformidade

Todas as provas documentais recolhidas sobre a violação são usadas pelos departamentos jurídico e de conformidade para lidar com as consequências da mesma. As equipas jurídicas e de conformidade vão decidir se a violação se enquadra na obrigação de notificação de violação; por exemplo, nos termos da Secção 67 da Lei de Proteção de Dados do Reino Unido de 2018 (DPA 2018), tem de ser feita uma notificação de violação de dados à ICO no prazo de 72 horas após a empresa ter tomado conhecimento da violação. Todas as provas documentadas sobre a violação — onde, porquê e como foi mitigada — recolhidas pela equipa de segurança serão usadas nesta divulgação. Também pode ser necessário informar as pessoas afetadas sobre a violação. Isso pode exigir uma carta de divulgação pública completa, publicada no site da empresa.

Regras de notificação

O fundamental na gestão jurídica de uma violação de dados é tomar uma decisão informada sobre se e quando notificar a autoridade de controlo sobre a violação. Questões como «existe alguma obrigação legal de comunicar a violação?» só podem ser avaliadas por pessoal qualificado e com conhecimentos na matéria. Esta decisão pode exigir que a violação seja tornada pública: isto tem efeitos óbvios e duradouros na reputação e provavelmente envolverá o departamento de marketing para minimizar o impacto na marca. Aqui estão alguns exemplos de comunicados públicos sobre violações:

Violação de segurança da Equifax

Violação de segurança na CapitalOne

Violação de segurança no Twitter

As regras de notificação de violações variam consoante os diferentes regulamentos. Por exemplo, de acordo com o Regulamento Geral sobre a Proteção de Dados (RGPD) da UE, a notificação de uma violação tem de ser feita no prazo de 72 horas após se ter constatado que ocorreu uma violação. No entanto, ao abrigo do Regulamento sobre Privacidade e Comunicações Eletrónicas (PECR, regulamento que se aplica aos prestadores de serviços de Internet e telecomunicações), uma violação de dados pessoais tem de ser comunicada à ICO o mais tardar 24 horas após a deteção.

A equipa

Ao envolver os colaboradores no processo de gestão de violações, estes tornam-se um recurso de primeira linha na luta contra os ciberataques. Os colaboradores e a equipa de segurança cobrem um vasto leque de potenciais vulnerabilidades, desde a exposição acidental de dados, passando pelo phishing, até à conivência com hackers externos.

De acordo com o Relatório de Investigação sobre Fugas de Dados de 2020 (DBIR) da Verizon, cerca de 17% das fugas de dados devem-se simplesmente a erros. Por exemplo, os funcionários que partilham palavras-passe ou reutilizam as mesmas em várias aplicações estão a adotar práticas de segurança inadequadas.

O phishing continua a ser a arma preferida dos cibercriminosos; os autores de phishing adoram imitar marcas como a Microsoft para enganar os utilizadores e levá-los a revelar credenciais empresariais. A formação em sensibilização para a segurança ensina os colaboradores as várias formas positivas como podem ajudar a manter uma boa postura de segurança na empresa.

No que diz respeito à gestão de violações, a sensibilização dos colaboradores tem de incluir a compreensão das suas responsabilidades no âmbito de vários regulamentos, como garantir que os dados dos clientes são respeitados e utilizados dentro dos limites da legislação, como a DPA 2018 e o RGPD. Ao perceber onde pode ocorrer uma violação, juntamente com as responsabilidades previstas nas várias regulamentações relevantes, uma organização pode envolver os colaboradores no processo de gestão de violações.

É importante, no entanto, dar formação ao pessoal ao nível adequado. Alguns funcionários, como os técnicos, podem precisar de formação especializada em segurança e/ou de obter uma certificação.

Os novos colaboradores têm de ser integrados nos programas de formação em sensibilização para a segurança da organização desde o primeiro dia. É preciso fazer revisões regulares da formação em sensibilização para a segurança dos colaboradores em áreas como:

• • Phishing

• • Higiene de segurança

• • Consciência da responsabilidade pela segurança dos dados

…deve ser contínua para continuar a ser eficaz.

A formação em sensibilização para a segurança deve ser integrada na política de segurança da empresa, como parte do processo de gestão de violações de dados.

Fornecedores externos

Os ecossistemas de fornecedores podem ser complexos e envolver quartas e quintas partes. Um relatório recente da Accenture,«State of Cyber Resilience 2020», revelou que 40% das falhas de segurança começam com ataques indiretos ao nível da cadeia de abastecimento. A gestão do risco dos fornecedores faz parte de uma gestão eficaz de uma violação de dados. As violações de dados relacionadas com fornecedores são uma questão que tem de ser analisada nos dois sentidos. Além de fazeres uma análise de vulnerabilidades das ligações dos fornecedores para mitigar ciberataques, quando ocorre uma violação, o ecossistema de fornecedores tem de ser analisado para ver se a violação afeta o próprio fornecedor.

A Direção

Um relatório do Governo do Reino Unido, intitulado«Cyber Security Breaches Survey 2021», revelou que 77% das empresas acham que a cibersegurança é uma grande prioridade para os seus diretores ou gestores de topo. Devido à grande visibilidade das violações de dados, cada vez mais conselhos de administração contam agora com especialistas na área da segurança. Quando ocorre uma violação de dados, um conselho de administração bem informado pode apoiar o resto da organização a lidar com a situação, garantindo que os requisitos regulamentares sejam cumpridos e que haja orçamento disponível para gerir a violação e mitigar novos ataques.

Os funcionários sabem o que fazer quando ocorre uma violação de dados?

Implementar medidas de gestão de violações de dados é uma tarefa que envolve toda a empresa. Um dos aspetos fundamentais para garantir uma gestão eficaz das violações de dados reside na forma como dás formação aos teus colaboradores. A relevância é essencial para garantir que a gestão de incidentes funcione na tua organização. Cada organização tem de desenvolver a sua própria abordagem, relevante e única, para comunicar e gerir uma violação de segurança.

A análise aprofundada para otimizar a sensibilização começa ao nível das pessoas e dos processos. Todos os aspetos, desde o mais pequeno pormenor até à visão global, têm de ser suficientemente minuciosos para garantir que a tua política de resposta a incidentes seja robusta e compreensível para toda a equipa. Isto tem de incluir:

Comunicações: Desde os números de telefone utilizados até ao endereço de e-mail ou qualquer outro sistema usado para comunicar uma violação

Funções e responsabilidades: Destacar os gestores de incidentes relevantes e as suas responsabilidades

Ações: Quem faz o quê, quando e como desempenha o seu papel na gestão de uma violação de dados

Correção: Como resolver a falha de segurança e lições aprendidas, incluindo qualquer atualização na formação sobre sensibilização para a segurança

Nas grandes empresas multinacionais, estas vias de comunicação têm de se estender por toda a organização, unindo os departamentos e escritórios da empresa.

Todos têm de aderir a este plano, desde os funcionários aos gestores e aos membros do conselho de administração.