CISO da Americanas discute desafios de tomada de decisão durante ataques cibernéticos

Desafios da cibersegurança em tempos de crise são abordados por especialistas.

Três ou quatro dias sem dormir, equipes trabalhando de máscara e reuniões em estacionamentos para reduzir o risco de contágio. Esse foi o cenário enfrentado por profissionais de segurança da informação durante um ataque cibernético que atingiu o Grupo Fleury em 2021, em meio à pandemia de Covid-19. Na ocasião, o acesso aos resultados de exames ficou indisponível por aproximadamente uma semana, e o grupo REvil reivindicou a autoria do ataque, que foi tratado oficialmente como uma tentativa de ataque cibernético.

A experiência foi compartilhada em uma exibição para a imprensa do documentário Midnight in the War Room, promovida pela Semperis, empresa especializada em segurança e recuperação de sistemas de identidade. Durante o evento, especialistas discutiram as dificuldades enfrentadas pelas empresas quando um ataque compromete seus sistemas e a necessidade de decisões rápidas e informadas.

Decidir com informação incompleta

Um dos principais desafios destacados é a dificuldade de tomar decisões sem ter uma visão completa da situação. Em um incidente, pode levar tempo para que a equipe de segurança descubra como os criminosos conseguiram acesso, quais sistemas foram afetados e quanto tempo será necessário para restaurar as operações.

“Uma das coisas mais difíceis para um CISO é decidir onde proteger, que ação tomar, qual pratinho segurar. Como equilibrar o apetite de risco? Como preparar os executivos para tomar decisões na incerteza? Não vejo muito disso acontecendo”, afirma um dos especialistas presentes.

A segurança vai para a sala da presidência

Os profissionais de cibersegurança enfrentam dificuldades para explicar os riscos digitais aos tomadores de decisão. Quando um ataque compromete sistemas essenciais, as reuniões de crise passam a envolver presidentes e diretores financeiros, que buscam entender por que as ferramentas de proteção falharam.

“Normalmente, quem participa dessas reuniões aponta o dedo para os times de segurança e de infraestrutura, questionando por que todo o investimento não foi suficiente”, relata um especialista. A pressão aumenta à medida que a interrupção se prolonga, com o restabelecimento dos serviços levando de três a cinco semanas, impactando atendimento, pagamentos e acesso a informações corporativas.

Para melhorar a comunicação com a alta gestão, é fundamental que os times de segurança apresentem os riscos em termos de operações que podem ser paralisadas. Isso envolve mostrar quais atividades dependem de cada sistema e as consequências de uma interrupção prolongada.

A quinta trava na mesma porta

Outro ponto levantado é a forma como as empresas medem a eficácia dos investimentos em cibersegurança. Muitas vezes, as organizações concentram recursos em áreas específicas, negligenciando aspectos fundamentais. “Às vezes você coloca a quinta trava na mesma porta e deixa a janela aberta”, compara um dos especialistas, ressaltando que a maturidade em segurança deve ser avaliada pela efetividade dos mecanismos de identificação e resposta a ameaças.

A inteligência artificial pode ser uma aliada na análise do volume e da velocidade dos ataques, desde que seus resultados sejam interpretados por profissionais capacitados.

Treinar para decidir

Para lidar com a incerteza, é essencial que as empresas preparem seus executivos por meio de treinamentos e simulações de cenários complexos. Durante esses exercícios, líderes de diferentes áreas devem responder a um ataque hipotético, definindo prioridades de recuperação e organização das equipes. Esses treinos também ajudam a identificar falhas que poderiam comprometer a resposta a um incidente real.

Um ponto crítico destacado é a importância dos sistemas de identidade, que controlam o acesso dentro da empresa. Se esses sistemas forem comprometidos, até mesmo a equipe responsável pela investigação do ataque pode perder acesso às ferramentas necessárias para atuar.

O peso sobre quem lidera

A pressão sobre os profissionais de cibersegurança pode ser intensa. O estresse enfrentado pelos CISOs motivou a produção do documentário, que reúne depoimentos de especialistas sobre incidentes cibernéticos. Durante uma crise, esses líderes muitas vezes trabalham longas horas com pouco descanso.

A resposta a um ataque não deve ser responsabilidade exclusiva da área de segurança; outras áreas da empresa precisam ter papéis e recursos definidos antes da crise, garantindo que todos saibam quais decisões podem tomar e quem acionar. Contudo, o reconhecimento do trabalho dos CISOs ainda é desigual, com elogios escassos em momentos de sucesso e críticas