Não há como negar que a cibercriminalidade está a piorar todos os anos. Basta olhar para as manchetes para ler sobre a última empresa que foi violada, as organizações derrubadas por ataques paralisantes de resgates, os CEOs que foram vítimas de um ataque de phishing de lança e as infra-estruturas críticas que foram comprometidas por ataques do Estado-nação. Parece que a lista não tem fim.
O custo total do cibercrime deverá atingir 6 biliões de dólares até 2021, e o Fórum Económico Mundial classificou o cibercrime entre os três maiores riscos que o mundo enfrentará este ano. As estatísticas podem ser esmagadoras e para muitas organizações é uma questão de "como melhorar a nossa segurança cibernética e por onde começar?
Uma das primeiras áreas que uma organização deve procurar proteger é o seu software. Os cibercriminosos estão continuamente a explorar vulnerabilidades em sistemas operativos e aplicações comuns, incluindo Microsoft Office, Internet Explorer, Adobe e Java para lançar ataques direccionados.
Foi exactamente desta forma que os cibercriminosos conseguiram fazer alguns dos maiores ciberataques da história recente. Em 2017, o ataque WannaCry que infectou mais de 200.000 computadores em 150 países, e a violação do Equifax que expôs os dados de mais de 143 milhões de americanos, foram ambos o resultado de criminosos que exploraram vulnerabilidades não corrigidas em servidores que operam Windows 7 e Windows 8.
Em ambos os casos, uma correcção para estas vulnerabilidades foi disponibilizada nos meses anteriores aos ataques, mas as organizações não conseguiram actualizar o seu software.
À medida que os cibercriminosos se tornam mais avançados nos seus métodos de ataque, as organizações vão ficar mais expostas a estas ameaças, a menos que procurem proactivamente quaisquer vulnerabilidades no seu software e as remendem imediatamente.
O que é a Gestão de Patch?
A gestão de patches é a prática de actualizar o software para lidar com as vulnerabilidades que os cibercriminosos exploram. Um patch é essencialmente um pedaço de código instalado num programa de software existente para corrigir um problema, ou 'bug', como é vulgarmente referido. É também utilizado para melhorar a estabilidade geral de uma aplicação ou para corrigir uma vulnerabilidade de segurança.
Um exemplo comum de um patch é uma actualização do Windows. Estas actualizações podem ser emitidas para corrigir vulnerabilidades de segurança, remover funcionalidades desactualizadas, actualizar controladores ou melhorar a funcionalidade global para uma experiência de utilizador melhorada.
Leia o nosso Guia Supremo para Phishing
A maioria dos programas de software irá emitir várias correcções após o seu lançamento inicial, pelo que as organizações precisam de aplicar continuamente estas correcções para assegurar que os seus sistemas estão protegidos.
Quais são os perigos se o software for deixado sem patch?
Uma vulnerabilidade de software é uma falha ou fraqueza de segurança encontrada num sistema operativo ou num programa de computador. Os hackers procuram continuamente explorar estas fraquezas, inserindo código para atingir uma vulnerabilidade específica.
O código será normalmente carregado com malware que pode infectar um sistema sem que o utilizador alguma vez tenha conhecimento. O software malicioso pode então ser utilizado para roubar dados, espiar actividades em linha ou pode abrir a porta a um grande ataque de resgate de software.
Segundo Gartner, 99% das explorações baseiam-se em vulnerabilidades que já são conhecidas dos profissionais de segurança há pelo menos um ano, e a maioria destas tem correcções que podem resolver estes problemas.
Os perigos de ignorar patches de software críticos podem ser catastróficos para uma organização, como vimos em recentes ciberataques.
Porque é que as organizações precisam de uma política de gestão de adesivos?
Os sistemas sem remendo fornecem aos hackers um ponto de entrada fácil nas redes corporativas. Os patches são essenciais para manter as máquinas actualizadas, estáveis, e a salvo de malware e outras ameaças.
A implementação de uma política eficaz de gestão de correcções permitirá às organizações ter um melhor controlo sobre os seus recursos de dados, assegurando o seu alinhamento com os requisitos regulamentares. Assegurará também uma resposta rápida a quaisquer incidentes cibernéticos que possam ocorrer.
Estima-se que uma boa gestão dos remendos evita até 85% de todos os ciberataques, pelo que as organizações não se podem dar ao luxo de ser complacentes na sua abordagem à aplicação regular de remendos.
O que deve incluir uma política de gestão de remendos?
Uma política eficaz de gestão de remendos terá de se basear nos seguintes critérios
1. Determine que remendos são adequados para o seu negócio
Cada organização é diferente, pelo que é vital que a sua política de gestão de patches aborde as questões de segurança e actualizações que são relevantes para a sua indústria específica. É importante ter um indivíduo ou equipa designada que seja responsável pela segurança e gestão dos seus sistemas.
2. Testes
É vital testar o adesivo assim que este for aplicado. Um remendo defeituoso pode causar problemas com um sistema que está a ser actualizado, ou pode ter impacto noutras funções críticas do negócio. Para reduzir o risco de ocorrência de quaisquer problemas, cada patch deve ser testado num ambiente controlado antes da sua emissão para todos os computadores da rede. Como precaução adicional, as libertações dos patches devem ser escalonadas para departamentos específicos para minimizar o risco de qualquer perturbação.
3. Manter relações com os principais vendedores
Os vendedores de sistemas operativos e redes divulgarão e distribuirão regularmente informações sobre questões de segurança dos produtos e correcções. A Microsoft emite as suas actualizações de segurança na segunda terça-feira de cada mês, que é comummente referida como patch terça-feira. Os vendedores divulgarão continuamente as correcções, dependendo das falhas que considerem tão importantes para as organizações manterem-se em contacto estreito com estes vendedores para se manterem actualizados sobre as últimas actualizações.
4. Implantar remendos num período de tempo específico
A gestão eficaz de adesivos é um negócio sensível ao tempo. Os hackers são implacáveis na sua busca para explorar as vulnerabilidades mais recentes, por isso as organizações precisam de estar na bola e emitir actualizações de correcções assim que estas estejam disponíveis.
A aplicação de patches de segurança no momento certo reduz o risco de ter uma violação de dados e todos os problemas associados que lhe estão associados, tais como roubo de dados, perda de dados, danos à reputação e enormes multas em resultado do não cumprimento dos requisitos regulamentares.
5. Cumprimento dos regulamentos
A fim de demonstrar o cumprimento dos regulamentos, as organizações precisam de demonstrar que tomaram todas as medidas necessárias para proteger os seus sistemas. Os auditores podem exigir relatórios sobre os patches que foram aplicados e quando, pelo que é vital que as organizações tenham os sistemas correctos em vigor para documentar com precisão os patches que foram emitidos.
6. Custo
O custo de não seguir bons processos de gestão de remendos pode ser severo. No rescaldo imediato de um ataque, as organizações podem perder o acesso a sistemas empresariais críticos que terão impacto na produtividade. Dependendo da escala da violação, as organizações podem então enfrentar severas penalizações financeiras, para além de uma queda no preço das acções, perda de clientes e danos à reputação.
A crescente sofisticação e crescimento do crime cibernético tem significado que as empresas precisam de ter os sistemas mais fortes para combater esta ameaça em constante evolução. Para assegurar o envolvimento e a educação do pessoal, criámos a melhor qualidade de segurança cibernética e de conteúdos de conformidade disponíveis no mercado. Entre em contacto para mais informações sobre como podemos ajudar a proteger a sua organização.
