Especialista da Americanas detalha desafios em ataques cibernéticos

Silvio Hayashi, diretor de Segurança da Informação (CISO) da Americanas, compartilhou detalhes sobre a resposta a ataques cibernéticos, incluindo um incidente no Grupo Fleury em 2021. Ele descreveu a intensidade do trabalho, com equipes operando sem dormir e em condições adversas durante a pandemia de Covid-19, quando o acesso aos resultados de exames ficou indisponível por cerca de uma semana após um ataque reivindicado pelo grupo REvil. Na ocasião, o Fleury tratou o caso como uma tentativa de ataque cibernético.

Hayashi relatou a dificuldade em tomar decisões cruciais sob pressão e com informações limitadas. Ele destacou que, durante um incidente, as equipes levam tempo para identificar a origem do ataque, os sistemas afetados e o prazo para a recuperação total das operações. A gestão de risco e a preparação dos executivos para lidar com a incerteza são desafios constantes para os CISOs.

Decisões sob pressão e comunicação com a alta gestão

Fernando Oliveira, vice-presidente da Semperis para a América Latina, complementou que profissionais de cibersegurança na região enfrentam barreiras para comunicar os riscos digitais à alta administração. Em reuniões de crise, que frequentemente incluem presidentes e diretores financeiros, a cobrança por falhas nas ferramentas de proteção é intensa. Os executivos questionam a eficácia dos investimentos em segurança quando um incidente ocorre.

Oliveira mencionou que o restabelecimento de serviços em casos acompanhados pela Semperis pode levar de três a cinco semanas, impactando atendimentos, pagamentos e acesso a informações corporativas. Para melhorar a comunicação, ele sugere que as equipes de segurança apresentem os riscos em termos de impacto operacional, detalhando quais atividades seriam paralisadas, quantas pessoas seriam afetadas e as consequências de uma interrupção prolongada.

Efetividade da segurança e preparação para o futuro

Hayashi também criticou a forma como as empresas medem a eficiência de seus investimentos em cibersegurança, apontando que algumas concentram recursos em frentes específicas, negligenciando o básico. Ele comparou a situação a colocar "a quinta trava na mesma porta e deixar a janela aberta", falhando em proteger contra ameaças mais prováveis.

A maturidade em segurança, segundo o CISO, deve ser medida pela efetividade dos mecanismos em identificar ameaças, bloquear atividades suspeitas e auxiliar na resposta a incidentes. A inteligência artificial pode ser uma aliada nesse processo, desde que seus resultados sejam interpretados por especialistas. Ele defende a realização de exercícios de simulação para treinar executivos a tomar decisões em cenários complexos de ciberataques.

Sistemas de identidade e o peso sobre os líderes

Oliveira ressaltou a importância crítica dos sistemas de identidade, que controlam o acesso a informações e ferramentas dentro da empresa. Se esses sistemas forem comprometidos, a capacidade de resposta a um ataque pode ser severamente prejudicada, mesmo com planos bem estruturados. A recomendação é mapear sistemas essenciais, definir procedimentos de recuperação e testá-los regularmente.

O estresse e a pressão sobre os CISOs durante crises cibernéticas foram uma das motivações para o documentário "Midnight in the War Room". Oliveira enfatizou que a responsabilidade pela resposta a um ataque não deve recair apenas sobre a área de segurança, mas sim ser compartilhada com outras áreas da empresa, que devem ter responsabilidades e recursos definidos previamente. Ele lamentou que o bom trabalho dos CISOs muitas vezes não é reconhecido, mas falhas são rapidamente atribuídas a eles.