O que deixar de fazer para conseguir orçamento adequado para cibersegurança
Para obter apoio da alta direção à cibersegurança, você pode começar por parar de usar histórias de terror e clichês de Hollywood como argumento.
Se você quer convencer a diretoria e o conselho de administração da empresa a apoiar adequadamente a cibersegurança, você pode começar por parar de usar histórias de terror e clichês de Hollywood como argumento.
Hackers… estão em todo lugar. Roubando milhões dos bancos. Sequestrando dados para forçar a vovó a pagar ou nunca mais ver as fotos de seus netinhos. Pegando e vendendo milhões de logins e senhas na dark web.
Aliás, por que continuamos chamando eles de hackers? Qual o sentido de não os nomear pelo que eles realmente são: criminosos. Para muitos, os hackers se tornaram caricaturas hollywoodianas, que provocam medo e admiração sob a imagem de personagens como o Neo, de Matrix. Um adversário técnico imparável e mestre de kung-fu que pode voar, parar balas com a mente e acessar qualquer sistema do mundo — não importa o quanto está seguro — simplesmente amassando um teclado.
Tudo começou em 1983 com Jogos de Guerra, quando David, o personagem de Matthew Broderick, acidentalmente invade o Norad (North American Aerospace Defense), pensando que estava num jogo de videogame. Por que ele não poderia apenas jogar uma bela partida de xadrez, em vez de começar uma guerra termonuclear intercontinental? O filme assustou o presidente Ronald Reagan o suficiente para questionar o general John W. Vessey Jr., chefe do Estado-Maior, se algo similar poderia acontecer.
A resposta a essa questão, obviamente, foi um “sim”, que resultou na Nacional Security Decision Directive (NSDD-145), intitulada Política Nacional sobre Telecomunicações e Segurança de Sistemas de Informação Automatizados.
Embora este seja certamente um estudo de caso em que Hollywood ajudou a incutir algum medo altamente produtivo e motivador, resultando inclusive no desenvolvimento e implementação de políticas de segurança cibernética, infelizmente esse modus operandi se tornou o modelo de comunicação de riscos da TI para os executivos.
Nos anos seguintes, os nerds de caneta no bolso e óculos fundo de garrafa deram sequência à construção de sistemas supercomplexos que somente eles e os adolescentes com raiva reprimida pareciam aptos a entender como operar, enquanto os executivos corporativos e oficiais do governo passaram a entender cada vez menos a língua desse pessoal.
Os filmes subsequentes sobre cibercriminosos como Quebra de Sigilo, A senha: swordfish, Hackers: piratas de computador, e a A Rede, apenas contribuíram para reforçar a imagem ridícula desse hacker hollywoodiano, o que dificulta para os executivos levar a sério os temas relacionados à computadores e internet.
É isso que, na minha opinião, gerou o cenário confuso que encaramos hoje — no qual não há devida atenção para as verdadeiras ameaças representadas pelos hackers da vida real.
O que mais devemos parar de fazer?
1 Pare de usar manchetes sensacionalistas em suas apresentações
Abusar das notícias sensacionalistas tornou-se tão clichê que ninguém realmente se importa. De fato, com o passar de poucos anos, o uso desse artifício passou de chocante para chato e entediante.
Uma utilidade muito melhor para essas matérias jornalísticas é adotá-las como cenários hipotéticos. Seja numa reunião do conselho, retiro de executivos ou workshop com a equipe de cibersegurança, explorar alguns desses casos da vida real e desconstruí-los pode ser um exercício interessante — principalmente para entender como sua empresa agiria numa situação dessas.
A cada nível da organização, há muitas lições a serem aprendidas com a aplicação desse método. Não somente por tornar a discussão mais tangível, como também por incentivar os participantes a propor soluções e treinar processos possíveis de serem operacionalizados numa ocorrência real.
Desse modo, na próxima vez que você precisar de um upgrade naquele firewall, as equipes de liderança executiva e o conselho de administração enxergarão com maior relevância e entenderão melhor o contexto da situação para aplicar uma governança mais efetiva nesse processo de decisão.
2 Livre-se das imagens de hackers disponíveis nos bancos de imagem
Há basicamente cinco imagens desses bancos de imagem que acompanham qualquer apresentação ou artigo sobre cibercrimes: a do “cara sinistro” com capuz; a do bandido vestido de “irmão metralha” fugindo com um laptop; aquela da caveira flutuando numa matrix binária; o famoso cadeado; e a imagem de fundo neutro com a palavra hacked escrita em vermelho e letras grandes.
Em vez de apostar em imagens batidas da internet, seria muito melhor ir direto ao ponto, com infográficos apresentando dados reais e relevantes para sua organização estruturar casos de negócio ou requerimentos para a alteração de políticas, por exemplo.
3 Evite jargões da indústria
“O CPA no conselho não pode relatar que um APT utilizou as credenciais de usuários privilegiados para instalar root kits em múltiplos endpoints, contornando o IPS e criptografando mensagens de comando e controle. Porém, é possível dizer que é necessário gastar US$ 100 mil numa coisa chamada firewall, porque criminosos apenas tentaram roubar US$ 20 milhões em dados de crédito dos clientes, o que poderia expor a companhia ao risco de violar leis de conformidade e, consequentemente, sofrer processos de dezenas de milhões.
4 Deixe de usar o medo e opte pela razão
Se um CFO propôs um novo programa para deter fraudes e identificar roubos que custam milhões de dólares à companhia, tanto em prejuízo de vendas como em queda da confiança dos consumidores, ele não pode sacar uma série de imagens e citações de Onze homens e um segredo ou Saída de mestre para apimentar sua apresentação ao conselho. Então, novamente: por que nós, de TI, ainda caracterizamos nossos desafios num contexto de personagens e filmes fictícios?
Quando apresentamos histórias assustadoras e clichês hollywoodianos para um executivo, ele passa a consumir essa informação como assiste um filme. Isso porque não é possível entrar em ação com base no medo ou referências fictícias. Por outro lado, quando ele é apresentado a uma análise de risco articulada, acompanhada de uma bela estratégia para gerenciar essa margem de ameaça, a história é outra.
Por Kevin Magee, Diretor Regional de Vendas da Gigamon no Canadá, para o Insider Computerworld.