Apagão cibernético foi um incidente de segurança e poderia ter sido evitado.

Apesar do posicionamento emitido pela CrowdStrike descartando a ligação do chamado ‘apagão cibernético’ provocado hoje (19) com a questão da segurança da informação, pelo fato de não ter havido um ataque cibernético, especialistas no assunto afirmam que o caso configura sim um incidente de segurança. Para estes profissionais, o acontecimento evidencia a necessidade de as empresas colocarem na lista de prioridades de seus negócios o cumprimento das regras estabelecidas na ISO 27001 e planos estruturados de continuidade de negócios e respostas a incidentes. 

Para Bruna Fabiane da Silva, sócia da DeServ Academy, que foi eleita no final do ano passado uma das 50 Melhores Mulheres em Segurança Cibernética das Américas pela WOMCY (LATAM Women in Cybersecurity), o caso não deixa de ter sido um incidente de segurança porque o problema atingiu o pilar da ‘disponibilidade’, que é uma das três bases da segurança da informação. “A falha que aconteceu durante uma atualização de sistemas tornou indisponíveis vários ativos de segurança da informação e isso causou prejuízos e danos numa proporção significativamente grande geograficamente”, disse.

Segundo ela, o incidente evidencia que a melhor estratégia de segurança para as empresas não é ter somente cuidados com a segurança da informação no que diz respeito à ‘confidencialidade’, que estariam ligados a evitar vazamento de dados ou exposições indevidas. Tão pouco basta se preocupar com problemas relacionados à ‘integridade’ das informações, que é quando os dados são modificados de forma indevida. Além desses dois aspectos, é preciso também proteger a ‘disponibilidade’ dos dados, que é um aspecto totalmente voltado à continuidade dos negócios.

“Para uma empresa que queira se precaver de ter essa indisponibilidade durante muito tempo, é indispensável adotar a regra de política de backup presente na ISO 27001, que é a ISO de segurança da informação.  Essa norma traz recomendações no sentido de ter uma estratégia de backup 3,2,1. Significa que a organização tenha que disponibilizar três ambientes para armazenar as informações, sendo dois deles, pelo menos, em mídias físicas instalados em lugares separados e um terceiro na nuvem, por exemplo,” explica.

Já o CEO e fundador da DeServ, Thiago Guedes, chama a atenção para o fato de que as empresas costumam se basear muito numa solução específica de segurança atrelando toda a estratégia a uma única ferramenta.

“Ao que parece, em função da confiança nesta tecnologia, muitas delas não têm estratégias robustas de continuidade de negócios. Mas o caso de hoje, assim como muitos que já ocorreram no passado, mostram que, mesmo tendo soluções de alta confiabilidade e de alto nível, é fundamental ter um plano de continuidade de negócios para evitar uma parada mais longa das atividades”, conclui.