Segurança da Informação na corporação

Neste material, vamos contar como a segurança da informação é garantida na corporação na era digital.

Vamos considerar as definições básicas.

Corporação — é o conjunto de pessoas ou empresas autorizadas a atuar como uma entidade única e legalmente reconhecidas como tal com o objetivo de alcançar objetivos comuns. Baseia-se na propriedade compartilhada e na separação de funções entre proprietário e gestor. Em regra, as corporações têm uma estrutura complexa e podem ter um grande número de filiais ou grupos inteiros de subsidiárias.

A segurança da informação corporativa é a proteção dos dados na corporação contra acesso não autorizado, uso, divulgação, sabotagem, alteração ou destruição. Abrange métodos, ferramentas e operações que as organizações implementam para proteger seus próprios ativos de informação

Por que é necessário garantir a segurança da informação na corporação?

Em sentido amplo, a segurança corporativa consiste nas medidas tomadas dentro da corporação para proteger ativos físicos, financeiros, intelectuais e outros contra ameaças internas e externas. Essas ameaças podem estar relacionadas a desvio de recursos, fraude, ataques cibernéticos, uso indevido de informações privilegiadas, vazamentos de dados confidenciais, desastres naturais, ataques terroristas, entre outras.

Infelizmente, há muitas situações que podem levar à concretização de ameaças internas e externas, e é por isso que proteger as informações corporativas deve ser prioridade máxima para organizações de todos os portes.

A concretização de algumas ameaças, especialmente em grandes instalações de produção, bem como em objetos de infraestrutura de informação crítica (IIC), pode levar a consequências catastróficas: danos à saúde e à vida de cidadãos, danos ao meio ambiente etc.

A seguir, vamos analisar os motivos para implantar um sistema eficaz de Segurança da Informação dentro da corporação.

Proteção de ativos físicos e intelectuais

Normalmente, um sistema corporativo de Segurança da Informação é projetado para proteger ativos físicos e intelectuais, incluindo equipamentos, instalações, segredos comerciais, patentes, direitos autorais e marcas registradas. Ao implementar medidas de segurança robustas, as empresas podem minimizar os riscos de roubo, espionagem industrial e uso não autorizado de propriedade intelectual. Essa proteção reduz significativamente os riscos de concretização de ameaças à Segurança da Informação. Isso ajuda a manter uma vantagem competitiva e uma posição estável no mercado.

Prevenção de vazamentos de dados pessoais

Sem medidas de segurança eficazes, vazamentos podem ocorrer facilmente e passar despercebidos.

Ao mesmo tempo, os criminosos cibernéticos estão se tornando cada vez mais bem-sucedidos e habilidosos em roubar dados pessoais (doravante "DP"), contornando redes com sistemas de segurança fracos. Segundo algumas fontes comerciais, o número de violações de dados deve aumentar 7,76% em 2024, apesar do sério endurecimento da legislação sobre DP. 

Se os dados pessoais processados pela corporação se tornarem acessíveis a terceiros, isso pode resultar em danos financeiros e reputacionais, além de possíveis litígios e multas por parte dos órgãos reguladores. 

Proteção de dados sensíveis

Em uma era em que os dados são um recurso precioso, manter a confidencialidade das informações sensíveis é de suma importância. As medidas de Segurança da Informação podem impedir o acesso não autorizado a dados corporativos, informações de clientes e registros financeiros. 

Além disso, clientes confiam que as empresas protegerão seus dados — e qualquer violação dessa confiança pode causar danos à reputação, perda de posição de mercado e consequências legais. A implementação de medidas robustas de Segurança da Informação ajuda a manter a confiança e proteger informações sensíveis da corporação, de seus clientes e de outras partes interessadas.

Redução de perdas financeiras

A segurança corporativa ajuda as empresas a mitigar perdas financeiras que podem surgir da concretização de diversos riscos de Segurança da Informação. Por exemplo, medidas eficazes de segurança física podem dissuadir invasores e, claro, reduzir a probabilidade de roubo, dano e destruição de produtos, equipamentos ou estoque. Da mesma forma, métodos confiáveis de segurança cibernética minimizam os riscos de exfiltração de dados, que podem levar a perdas monetárias significativas, custos legais e erosão da confiança dos clientes. Assim, investir em segurança corporativa pode economizar quantias significativas para as empresas a longo prazo.

Garantia de continuidade dos processos

Eventos imprevistos, como desastres naturais, ataques cibernéticos ou interrupções, podem prejudicar as operações de negócios ou paralisar a produção. A implementação de planos de continuidade de negócios como parte da segurança corporativa garante que as empresas possam responder efetivamente a quaisquer incidentes, minimizar o tempo de inatividade e retomar as operações completas o mais rápido possível. Ao manter a continuidade dos processos, as empresas podem proteger sua fonte de receita, manter a satisfação do cliente e evitar possíveis danos financeiros e reputacionais.

Ameaças à segurança da informação nas corporações

Modelos populares de ameaças à SI propõem categorizá-las da seguinte forma.

Ameaças externas

Vêm de fora: de fraudadores, grupos cibercriminosos, vírus, robôs. Um exemplo comum de ameaça externa é um ataque DDoS. Trata-se de um ataque virtual aos recursos de informação de uma empresa, que impede sua disponibilidade e reduz ou interrompe completamente a operação dos recursos ou de todo o Sistema de Informação (doravante — SI).

Pelo princípio de funcionamento, um ataque DDoS parece como se milhares de usuários estivessem tentando acessar um recurso de informação ao mesmo tempo. O servidor no qual o recurso está localizado não tem tempo para processar um número tão grande de solicitações — e é desligado. No entanto, as solicitações não são feitas por pessoas reais, mas por robôs. Grupos cibercriminosos podem atacar tanto servidores quanto canais de comunicação usados dentro do perímetro de segurança de uma organização.

Os objetivos dos ataques DDoS podem variar de acordo com os propósitos dos atacantes: concorrentes os lançam para desativar recursos na Internet; fraudadores os lançam para extorquir os proprietários corporativos ou apenas por diversão.

Outro tipo de ameaça são os vírus. Eles se infiltram em estações de trabalho, sistemas de controle automatizados e, em seguida:

• espionam, transmitindo dados dos sistemas corporativos a partes interessadas;

• destroem, inutilizam equipamentos;

• alteram ou destroem dados;

• criptografam as informações, e então os criminosos cibernéticos exigem resgate.

Ameaças internas

Em regra, são ameaças relacionadas às atividades do pessoal dentro da corporação. Essas ameaças se dividem em acidentais e intencionais.

Ameaças acidentais. Normalmente associadas à baixa conscientização sobre segurança da informação e higiene cibernética entre os funcionários da corporação. 

Entre outras, destacam-se as seguintes ameaças acidentais à Segurança da Informação.

• Erros de entrada de dados. Os funcionários podem inserir dados incorretos acidentalmente, resultando em informações enganosas ou erros do sistema.

• Divulgação não intencional de informações. Os funcionários podem divulgar inadvertidamente informações confidenciais a terceiros, ou publicá-las acidental ou negligentemente em domínio público.

• Descumprimento das políticas de segurança corporativa. Os funcionários podem não seguir as regras de segurança ao lidar com dados, por exemplo, usando métodos de transmissão inseguros ou deixando dispositivos de trabalho livremente acessíveis a pessoas não autorizadas.

• Uso de aplicativos e dispositivos inseguros, visitas a sites e serviços não confiáveis. Os funcionários podem usar aplicativos não confiáveis ou conectar dispositivos não testados para trabalhar com dados corporativos, o que pode levar à exfiltração de dados.

• Violação das políticas de acesso à informação. Os funcionários podem violar as políticas de acesso à informação ao conceder acesso a usuários não autorizados ou usar contas de terceiros.

Ameaças deliberadas

Os funcionários podem violar deliberadamente as regras de Segurança da Informação dentro da corporação. Os motivos podem ser diversos: isso costuma acontecer durante conflitos entre colegas ou durante o encerramento das relações de trabalho, quando funcionários levam parte da base de clientes consigo ou a vendem para concorrentes. A semelhança entre essas ameaças é uma só — os iniciadores têm consciência das consequências dos incidentes.

Possíveis autores de tais ameaças incluem concorrentes, acionistas insatisfeitos, executivos e gestores, e funcionários desleais à corporação.

É importante reconhecer que uma ameaça deliberada pode vir de um funcionário de confiança, que não dá a impressão de ser um infiltrado ou possível autor de um ato prejudicial. 

Entre outras, são reconhecidas as seguintes ameaças intencionais à Segurança da Informação.

• Roubo, dano ou destruição de equipamentos — dispositivos de armazenamento de dados, servidores etc.

• Uso indevido de recursos corporativos, abuso de autoridade: uso irracional de recursos corporativos (internet, impressoras, computadores) — para fins pessoais.

• Roubo de informações confidenciais e bancos de dados pessoais com dolo ou com o objetivo de vendê-los ou transferi-los a terceiros.

• Cópia, alteração e destruição não autorizadas de informações pertencentes à corporação. 

• Corrupção, propinas de fornecedores e contratados. 

• Espionagem industrial.

Exemplos de incidentes de Segurança da Informação corporativa

A seguir, veremos exemplos de incidentes de Segurança da Informação que o sistema Anexet DLP foi capaz de detectar e prevenir. 

Vazamento de informações no desligamento de um funcionário 

Um especialista de uma empresa cliente, onde o sistema Anexet DLP estava instalado, decidiu encerrar seu vínculo empregatício. Antes de sair, começou a baixar uma base de clientes para uso posterior na nova empresa. O sistema alertou em tempo hábil o oficial de segurança sobre a operação (cópia de arquivos para um pendrive) e, com isso, impediu o vazamento de informações extremamente sensíveis da base de dados.

O possível prejuízo pode chegar a milhões, e os riscos reputacionais são incalculáveis.

Alocação irracional do tempo de trabalho na organização

O sistema Anexet foi implantado na empresa cliente. Assim, com base em observações feitas a partir das telas dos monitores, constatou-se que os gestores gastavam 30% do tempo de trabalho realizando ações irracionais no programa 1C. Nesse sentido, decidiu-se realizar cursos de treinamento sobre o programa. Os funcionários foram treinados e conseguiram dedicar mais tempo às vendas, o que contribuiu para um aumento de 15% nos lucros da empresa. Os recursos e o tempo investidos no treinamento contribuíram para um uso mais eficiente do programa 1C. O lucro da empresa em 1 mês é maior do que o custo de implementação do sistema.

Ausência de mecanismos suficientemente eficazes para identificação oportuna de funcionários desleais e extremistas

Com a ajuda de um sistema DLP implementado, foi identificado, entre os funcionários de uma grande empresa de fabricação aeronáutica, um colaborador extremista durante a fase de recrutamento de uma organização terrorista proscrita. As consequências para a empresa poderiam ter sido catastróficas.

Peculiaridades da provisão de Segurança da Informação nas corporações

Normalmente, as corporações têm uma estrutura complexa e possuem divisões espalhadas por diferentes filiais e, por vezes, entidades jurídicas distintas. Isso cria desafios de segurança especiais, já que muitas redes locais precisam ser integradas em um único perímetro de controle.

É importante compreender que um SI dentro da corporação  quase sempre será complexo e multinível: com múltiplas redes de computadores, divisões, equipamentos e estações de trabalho remotas.

Características do SI corporativo no contexto da Segurança da Informação:

• complexidade estrutural do SI, necessidade de ajuste de alta precisão de seus componentes;

• no mínimo três níveis de troca de dados: entre subdivisões e a matriz, entre subdivisões, entre unidades estruturais e usuários finais dos dados (clientes, funcionários, parceiros, contrapartes etc.);

• o grande volume de dados a serem processados, resultante das comunicações entre departamentos.

As corporações são obrigadas a implantar e manter altos níveis de segurança de dados, inclusive em suas subsidiárias e afiliadas. 

Princípios de provisão de Segurança da Informação nas corporações

Esses princípios são formulados com base na norma internacional ISO 27014:

• A Segurança da Informação em nível corporativo deve ser abrangente, multicamadas e completa;

• toda decisão deve se basear na política de segurança da informação da corporação;​

• a estratégia de aquisição e investimento em segurança do SI deve estar alinhada com os requisitos do negócio, sem que o custo de organização do sistema de Segurança da Informação exceda o valor dos ativos protegidos. 

• conformidade com os requisitos legais e regulatórios descritos em normas internacionais. 

• promoção de atitudes positivas em relação às medidas de segurança entre todas as partes interessadas, com um processo educacional contínuo voltado à conscientização sobre questões de segurança cibernética.

• as medidas adotadas não devem prejudicar as atividades da corporação, interferir nos processos etc.

Principais componentes da segurança corporativa

Os principais elementos de uma política de segurança corporativa sólida estão listados abaixo.

Implementação de medidas legais

Como mencionado anteriormente, se as medidas de Segurança da Informação forem insuficientes, a corporação pode ser multada. Para evitar sanções e multas dos órgãos reguladores, é necessário cumprir os requisitos descritos nas normas.

As normas internacionais são desenvolvidas por organizações como a ISO (International Organization for Standardization) e a IEC (International Electrotechnical Commission). Seguem algumas delas:

• ISO/IEC 27001:2022 "Tecnologia da Informação. Métodos de garantia de segurança. Sistemas de Gestão de Segurança da Informação. Requisitos".

• ISO/IEC TR 19791:2018 "Tecnologia da informação. Computação em Nuvem. Arquitetura de Referência para Proteção de Dados".

Diante do exposto, um oficial de segurança tem a obrigação de conhecer bem as particularidades da legislação de Segurança da Informação. Nesse sentido, muitas vezes é necessário buscar assistência profissional.

Controle de Incidentes de Segurança da Informação

A segurança corporativa está diretamente relacionada à gestão de incidentes. Isso inclui, em particular, violações da política de segurança corporativa vigente, perda (ou roubo) de equipamentos, alterações não autorizadas na operação de sistemas e serviços, vazamentos de informações sensíveis e assim por diante.

Infelizmente, hoje não existem métodos nem equipamentos de hardware capazes de fornecer 100% de proteção contra a ocorrência de incidentes de Segurança da Informação. No entanto, sua detecção, resposta e eliminação oportunas minimizam significativamente possíveis perdas materiais, financeiras e reputacionais.

Além de preservar a integridade, a disponibilidade e a confidencialidade dos ativos de informação da corporação, deve haver uma política de segurança robusta que, entre outras coisas, descreva respostas proativas a diversas ameaças.

Conscientização de pessoal

Toda unidade de negócio, departamento e funcionário individual deve levar a sério as questões de Segurança da Informação na corporação.

A conscientização, ou o treinamento da equipe nos princípios básicos de comportamento seguro on-line, pode reduzir significativamente o risco de incidentes cibernéticos causados por funcionários.

Normalmente, esse sistema de treinamento envolve:

• organização de seminários, webinars, treinamentos, elaboração de manuais e materiais de apoio;

• envios regulares de comunicados descrevendo esquemas de fraude na Internet novos ou atuais;

• realização dos chamados treinamentos cibernéticos, ou seja, testes para verificar o quanto os funcionários da corporação estão cientes das questões de segurança cibernética etc.

Cooperação entre unidades

O nível geral de Segurança da Informação na corporação pode ser avaliado pela consistência das medidas adotadas na divisão ou filial menos protegida pertencente ao SI.

É por isso que a colaboração em toda a corporação é fundamental para garantir uma estratégia de segurança sólida.

Principais mecanismos de garantia da Segurança da Informação

Ao desenvolver e implementar um sistema de Segurança da Informação dentro da corporação, em regra, são aplicadas medidas organizacionais e técnico-tecnológicas. Os mecanismos implementados e seu princípio de funcionamento devem ser descritos detalhadamente na política de segurança da corporação.

Entre outros, são identificados os seguintes mecanismos de garantia de SI. 

1. Firewalls e software antivírus. Esta é sua primeira linha de defesa contra ameaças cibernéticas. Os firewalls monitoram o tráfego de entrada e saída, bloqueando atividades suspeitas, enquanto o software antivírus detecta e remove malware de seus dispositivos.

2. Criptografia de dados. Isso envolve converter os dados em código para impedir o acesso não autorizado. Mesmo que hackers consigam interceptar dados criptografados, eles não conseguirão lê-los sem a chave de descriptografia.

3. Implantação de sistemas SIEM e DLP. Os sistemas SIEM agregam dados sobre eventos de segurança e possibilitam gerenciar medidas proativas para eliminar incidentes e minimizar os danos causados por sua ocorrência. Os sistemas DLP permitem controlar a atividade dos funcionários em suas estações de trabalho e reduzem significativamente a probabilidade de vazamento de informações protegidas por falha do pessoal.

4. Distinção e controle de acesso. Nem todos na corporação precisam de acesso a todos os dados ao mesmo tempo. A implementação de um controle de acesso rigoroso garante que somente o pessoal autorizado possa visualizar ou modificar informações sensíveis. E a introdução do princípio de confiança zero reduzirá os riscos de acesso não autorizado a dados protegidos.

5. Atualizações e correções oportunas. Os criminosos cibernéticos exploram constantemente vulnerabilidades em software desatualizado. Atualizar regularmente os sistemas e aplicar correções ajuda a fechar essas brechas de segurança.

6. Restrição do ambiente de software. Eliminação de softwares, serviços e componentes não utilizados pelos funcionários, gerenciamento de arquivos temporários, controle da instalação de programas e serviços etc.

7. E outros.

Conclusão

A segurança corporativa desempenha um papel fundamental na proteção dos ativos, da reputação e da competitividade das empresas. Ao implementar medidas abrangentes, as corporações podem reduzir a probabilidade de riscos e ameaças, além de mitigar possíveis consequências, protegendo os ativos físicos, a confidencialidade das informações sensíveis e a continuidade das operações de negócios. 

A importância da segurança corporativa não pode ser subestimada, pois ela determina literalmente a lucratividade, a reputação e a confiabilidade da corporação aos olhos de clientes, parceiros e outras partes interessadas. Portanto, investir em uma Segurança da Informação confiável não é apenas uma necessidade — é uma tarefa estratégica para toda corporação.