CISO da Americanas relata desafios em ataques cibernéticos

Silvio Hayashi, diretor de Segurança da Informação (CISO) da Americanas, compartilhou detalhes sobre a gestão de crises em ataques cibernéticos, baseando-se em sua experiência anterior no Grupo Fleury em 2021. Na ocasião, um ataque do grupo REvil deixou os resultados de exames fora do ar por cerca de uma semana. Hayashi descreveu o cenário de trabalho intenso, com equipes operando sob pressão e com poucas horas de sono, em meio à pandemia de Covid-19.

Durante um evento promovido pela Semperis, empresa especializada em segurança, Hayashi e Fernando Oliveira, vice-presidente da Semperis para a América Latina, discutiram os desafios enfrentados por CISOs e a dificuldade em tomar decisões estratégicas com informações limitadas durante incidentes. A incerteza sobre a origem do ataque, o alcance do comprometimento dos sistemas e o tempo necessário para a recuperação são fatores que complicam a gestão.

Decisões sob pressão e incerteza

A principal dificuldade para um CISO, segundo Hayashi, é decidir as ações de proteção e equilibrar o apetite de risco da empresa em cenários de incerteza. Ele ressalta a falta de preparo para que executivos tomem decisões em tais circunstâncias. Fernando Oliveira complementa, afirmando que profissionais de cibersegurança na região têm dificuldade em comunicar os riscos digitais à alta gestão. Quando um ataque afeta sistemas críticos, reuniões de crise envolvem presidentes e diretores financeiros, que questionam a eficácia dos investimentos em segurança.

A pressão aumenta com a duração da interrupção dos serviços. Oliveira menciona que, em casos acompanhados pela Semperis, a restauração pode levar de três a cinco semanas, impactando atendimentos, pagamentos e acesso a informações corporativas. Para melhorar a comunicação, ele sugere que as equipes de segurança apresentem os riscos em termos de operações que podem parar, detalhando o impacto em pessoas e atividades.

Avaliação de investimentos e maturidade em segurança

Hayashi também criticou a forma como as empresas medem a eficiência de seus investimentos em cibersegurança, apontando que muitas vezes há um foco excessivo em proteções avançadas, negligenciando a segurança básica. "Às vezes você coloca a quinta trava na mesma porta e deixa a janela aberta", exemplificou.

Ele defende que a maturidade em segurança se mede pela efetividade das ações em identificar ameaças, bloquear atividades suspeitas e auxiliar na resposta a incidentes. A inteligência artificial pode ser uma aliada nesse processo, mas seus resultados precisam ser interpretados por especialistas. A simulação de ataques e exercícios de resposta a incidentes são cruciais para preparar executivos e equipes para cenários complexos, revelando falhas antes que ocorram em situações reais.

Sistemas de identidade e o peso sobre os líderes

Oliveira destaca a importância dos sistemas de identidade, que controlam o acesso a recursos dentro da empresa, como um ponto crítico. Se esses sistemas são comprometidos, a equipe de resposta a incidentes pode perder o acesso necessário para investigar o ataque, comprometendo planos bem estruturados. A recomendação é mapear sistemas essenciais, definir procedimentos de recuperação e testá-los frequentemente.

O estresse e a pressão sobre os CISOs durante crises cibernéticas foram uma das motivações para o documentário "Midnight in the War Room". Oliveira enfatiza que a responsabilidade pela resposta a um ataque não deve recair apenas sobre a área de segurança, mas sim ser compartilhada entre as diversas áreas da empresa, com responsabilidades e recursos previamente definidos. Ele lamenta que o bom trabalho dos CISOs muitas vezes não é reconhecido, enquanto falhas são rapidamente atribuídas a eles.