As violações de dados estão a ocorrer quase diariamente e, com a recente introdução do GDPR, nunca foi tão importante para as organizações terem as medidas certas para lidar com um incidente de segurança. Como resultado, há agora uma necessidade crescente de as organizações terem sistemas de gestão de incidentes em vigor.

A investigação do relatório Horizon Scan concluiu que as duas principais ameaças enfrentadas pelas organizações em 2018 são os ciberataques e as violações de dados. À medida que as ciberameaças continuam a crescer e a evoluir, é inevitável que as empresas sofram um incidente de segurança em algum momento.

Para lidar eficazmente com esta ameaça crescente, é vital que as organizações tenham medidas que lhes permitam identificar, responder e mitigar rapidamente este tipo de incidentes.

O estabelecimento de um plano eficaz de gestão de incidentes graves ajudará a educar e a informar o pessoal, a melhorar as estruturas organizacionais, a aumentar a confiança dos clientes e das partes interessadas e a reduzir qualquer potencial impacto financeiro na sequência de um incidente grave.

Qual é o risco para as organizações?

As organizações não podem continuar a adotar uma abordagem descontraída em relação à cibersegurança; os riscos são demasiado elevados! Não vale a pena esperar que aconteça um incidente de segurança e depois tentar pôr em prática, de forma reactiva, um plano para atenuar os danos. Nesta fase, quando ocorre um incidente grave, é demasiado tarde.

As organizações têm de ser proactivas na sua abordagem e preparar-se adequadamente para qualquer potencial incidente que possa afetar o seu negócio.

Os incidentes de segurança podem variar no seu impacto comercial e alguns incidentes podem revelar um problema subjacente mais grave. A menos que as organizações implementem um plano eficaz de gestão de incidentes, os seguintes riscos podem ser concretizados:

  • Não cumpre os requisitos regulamentares

A implementação do RGPD significou que as organizações têm o dever de comunicar violações de dados e o incumprimento pode resultar em multas significativas. O RGPD exige que as organizações divulguem quaisquer violações de dados pessoais à autoridade de supervisão relevante no prazo de 72 horas após a deteção, caso contrário, podem enfrentar multas até 4% do volume de negócios global anual ou 20 milhões de euros (o que for maior). As coimas dependerão da gravidade da violação e de as organizações terem tomado medidas para demonstrar que estão em conformidade.

  • Danos para a empresa

As consequências de um incidente de segurança numa empresa podem ser de grande alcance. Para além das implicações financeiras de um incidente, que podem envolver o pagamento de multas regulamentares, a indemnização de clientes e a queda do preço das acções, as organizações podem ser gravemente afectadas por danos na reputação.

Se os dados sensíveis de uma organização tiverem sido expostos, isso pode ter um efeito extremamente negativo na confiança dos consumidores. A investigação demonstrou que até 70% dos consumidores deixariam de fazer negócios com uma empresa se esta tivesse sofrido uma violação de dados. Os clientes perdem a confiança numa organização se não sentirem que os seus dados estão seguros e podem acabar por sair e mudar para a concorrência.

Gestão de incidentes – Como é que o risco pode ser gerido?

1. Estabelece uma capacidade de comunicação de resposta a incidentes

Para lidar eficazmente com qualquer incidente que possa surgir, é importante dispor de uma estrutura de comunicação que permita ao pessoal identificar e comunicar os incidentes em tempo útil. A capacidade de comunicação abordará toda a gama de incidentes que possam ocorrer e definirá as respostas adequadas. A criação de um sistema de notificação significa que a gestão de incidentes críticos pode ser mais bem tratada. A política, os processos e os planos de apoio devem basear-se no risco e abranger quaisquer requisitos regulamentares de comunicação.

2. Formação de sensibilização para a segurança

Uma formação eficaz de sensibilização para a segurança é essencial para que o pessoal identifique e responda adequadamente à crescente gama de ameaças à cibersegurança. Todos os funcionários, a todos os níveis de uma organização, devem receber esta formação para garantir que possuem todas as competências necessárias para identificar um ataque.

3. Define as funções e as responsabilidades

Na eventualidade de um incidente, devem ser definidas funções e responsabilidades específicas dentro da organização, de modo a tomar decisões eficazes e gerir a situação em conformidade. Os dados de contacto de todo o pessoal-chave devem ser divulgados por toda a organização, para que todo o pessoal saiba quem contactar em caso de incidente.

4. Testa os planos de gestão de incidentes

É importante que os planos de gestão de incidentes sejam testados regularmente para garantir que a organização está totalmente preparada em caso de incidente. O resultado dos testes informará os planos futuros e destacará as áreas que podem ser melhoradas.

5. Faz cópias de segurança dos dados regularmente

As cópias de segurança dos dados essenciais devem ser efectuadas regularmente para garantir que existe um processo de recuperação dos dados em caso de violação.

Não há espaço para complacência no atual panorama da cibersegurança. As organizações precisam de ter planos sólidos para gerir eficazmente a forma como os incidentes serão identificados, quem será envolvido, como a ameaça será contida e erradicada e como a empresa documentará e comunicará a violação.

O MetaIncident foi concebido para fornecer ao pessoal um método simples e de fácil acesso para comunicar possíveis incidentes de segurança. Também fornece as auditorias necessárias exigidas pelos reguladores e comités de governação. Contacta-nos para obteres mais informações sobre como isto pode ajudar a melhorar a comunicação da gestão de incidentes na tua organização.