A digitalização de processos, serviços e produtos aumenta a
eficiência das empresas, gera mais benefícios aos clientes e cresce a cada dia.
Ao mesmo tempo o
aumento da digitalização expõe as organizações
a novos riscos, antes desconhecidos, com hackers buscando vulnerabilidades para
roubar, sequestrar dados ou mesmo paralisar uma operação.
Um bom processo de digitalização deve ser acompanhado por
uma política de cibersegurança, que vise a melhoria e a evolução contínua das
ferramentas e ações da equipe de TI, pois o que funciona hoje pode não dar certo amanhã. O pentest (penetration testing ou teste de penetração, em português) ainda é uma
das ferramentas mais eficientes para aumentar a segurança das empresas.
Segundo o relatório Cost of Data Breach da IBM, em 2023, o custo médio global de uma
violação de dados foi de US$ 4,45 milhões, 2,3% a mais do que o registrado em
2022, quando o custo foi US$ 4,35 milhões. Já no Brasil, o valor médio foi de
US$ 1,22 milhões.
O preço do prêmio dos ciberseguros também acompanhou a
elevação nos custos das violações e segundo a pesquisa Moody`s
2023 cyber survey, subiu 50% de 2020 a 2022. A apuração feita pela
agência de avaliação de riscos, Moody`s, também apontou que o investimento em
cibersegurança cresceu 70% entre 2019 e 2023. No mesmo período, o percentual do
orçamento de TI voltado para a cibersegurança subiu de 5% para 8%.
A preocupação das empresas com a cibersegurança é reforçada pela consultoria
norte-americana Gartner. Segundo suas estimativas os gastos globais em
cibersegurança e gerenciamento de riscos devem chegar a US$ 215 bilhões neste
ano, um aumento de 14% em comparação com 2023.
Onde investir
A cibersegurança é tema de preocupação e deverá receber investimentos
constantes. Mas antes de gastar é preciso saber onde investir, quais as vulnerabilidades
mais críticas, como os ataques são feitos, quais dados podem ser acessados,
roubados ou sequestrados e é aí que entra o pentest.
Por meio de testes de penetração as empresas conseguem ter
uma visão rápida e precisa do estado atual das suas defesas cibernéticas. No
pentest, hackers éticos usam as mesmas ferramentas e técnicas de invasores
reais, incluindo o uso de Inteligência Artificial (IA), para violar a segurança
de sistemas operacionais, ambientes na nuvem, APIs, softwares, entre outros,
com o objetivo de descobrir e explorar suas vulnerabilidades.
A realização dos testes permite saber se a empresa é capaz
de detectar o ataque, se a infraestrutura, equipe, aplicativos e sistemas estão
habilitados a responder ao ataque e se os invasores podem roubar dados de
clientes, arquivos ou mesmo paralisar a operação.
Após os testes a empresa pode verificar como foi feito o
ataque, quais falhas possibilitaram
as invasões, como elas podem ser corrigidas, antes delas serem exploradas, e quais ativos devem ser
priorizados com base nos danos causados.
Tipos de testes
Como o objetivo do pentest é simular situações reais,
diferentes abordagens podem ser conduzidas. No teste
de penetração externo, a tentativa de invasão na rede interna da empresa é feita
por meio dos sistemas acessíveis pela internet, incluindo servidores de e-mail
ou ambientes de nuvem.
Já um teste
de penetração interno, simula situações em que um invasor já está no
dispositivo de um funcionário e seu objetivo é determinar quais danos podem
ocorrer se o acesso corporativo for utilizado de forma criminosa. Muitas vezes,
um ataque interno pode causar mais danos em menos tempo do que um ataque
externo, pois alguns sistemas de proteção já foram contornados ou superados.
Os testes também podem ter um alvo específico como um
aplicativo em nuvem ou um servidor de e-mail e seu objetivo é testar a
resiliência do alvo e saber
como é possível melhorar o monitoramento interno para a empresa detectar o
ataque mais cedo. A segurança de dispositivos IoT também pode ser avaliada.
A realização de diferentes abordagens
de testes permite desenvolver uma estratégia de segurança sólida. Quando uma organização
conhece seus pontos fracos é mais fácil saber o que fazer e onde investir. Mas o
pentest precisa
acontecer de forma regular para ser efetivo. Se não for possível avaliar todo o
sistema sempre, uma boa iniciativa é focar nas novas aplicações e atualizações.
Eduardo Gomes - Gerente de Cibersegurança na TÜV Rheinland
Nenhum comentário:
Postar um comentário