De Ron Teixeira
Nos últimos dois anos, houve uma série de casos de violação de dados de alto perfil envolvendo grandes corporações. Embora isso possa dar a impressão de que apenas grandes corporações são alvos de hackers e ladrões, a realidade é que os hackers estão cada vez mais atacando as pequenas empresas porque elas geralmente não têm os recursos ou o conhecimento que as grandes corporações fazem.
No entanto, isso não significa que as pequenas empresas precisem gastar uma grande soma de dinheiro e recursos para se protegerem das ameaças mais recentes. De fato, de acordo com um recente Relatório de Ameaças da Symantec, 82% dos dados perdidos ou roubados poderiam ter sido evitados se a empresa seguisse um plano simples de segurança cibernética.
Para começar o desenvolvimento de um plano de segurança cibernética, você deve entender as ameaças da Internet e como proteger seus negócios contra essas ameaças afeta diretamente seus resultados. Como resultado, a National Cyber Security Alliance, cujos parceiros incluem o Departamento de Segurança Interna, o Departamento Federal de Investigações, Administração de Pequenas Empresas, Instituto Nacional de Padrões e Tecnologia, Symantec, Microsoft, CA, McAfee, AOL e RSA, desenvolveu 5 ameaças que sua pequena empresa pode enfrentar na Internet, casos de negócios sobre como essas ameaças podem prejudicá-lo e medidas práticas que você pode tomar para evitar essas ameaças.
Aqui está um resumo das cinco principais ameaças:
- # 1: código malicioso. Uma bomba de software da empresa de fabricação do nordeste destruiu todos os programas e geradores de código da empresa. Posteriormente, a empresa perdeu milhões de dólares, foi desalojada de sua posição na indústria e teve que demitir 80 trabalhadores. Para garantir que isso não aconteça com você, instale e use programas antivírus, programas antispyware e firewalls em todos os computadores da sua empresa. Além disso, certifique-se de que todos os softwares de computador estejam atualizados e contenham os patches mais recentes (por exemplo, sistema operacional, antivírus, antispyware, anti-adware, firewall e software de automação de escritório).
- # 2: Laptop roubado / perdido ou dispositivo móvel. No ano passado, um laptop de um funcionário do Departamento de Assuntos de Veteranos foi roubado de sua casa. O laptop continha 26,5 milhões de registros médicos de veteranos. No final, o laptop foi recuperado e os dados não foram usados; no entanto, o VA teve que notificar 26,5 milhões de veteranos do incidente, resultando em audiências no Congresso e escrutínio público. Para garantir que isso não aconteça com você, proteja os dados de seus clientes ao transportá-los para qualquer lugar em um dispositivo portátil, criptografando todos os dados nele contidos. Os programas de criptografia codificam os dados ou os tornam ilegíveis para pessoas de fora, até que você insira uma senha ou chave de criptografia.
- # 3: Spear Phishing. Um fabricante de bicicletas de porte médio dependia fortemente de e-mail para realizar negócios. No curso normal de um dia útil, a empresa recebeu até 50.000 e-mails de spam e phishing. Em um caso, um funcionário recebeu um e-mail de “spear phishing” que parecia ter vindo do Departamento de TI e pediu ao funcionário para confirmar a “senha de administrador”. Felizmente para a empresa, quando o funcionário pediu ao gerente de linha para “ senha do administrador ”, ele investigou mais e percebeu que o email era uma farsa. Para garantir que isso não aconteça com você, instrua todos os funcionários a entrar em contato com o gerente ou simplesmente pegue o telefone e entre em contato com a pessoa que enviou o e-mail diretamente. É importante conscientizar seus funcionários sobre o que é um ataque de spear phishing e estar atento a qualquer coisa em sua caixa de entrada que pareça suspeita.
- # 4: redes de Internet sem fio inseguras. De acordo com as informações da imprensa, os hackers realizaram a “maior violação de dados de todos os tempos” por meio de uma rede sem fio. Uma cadeia global de varejo teve mais de 47 milhões de informações financeiras de clientes roubadas por hackers que invadiram uma rede sem fio protegida pela menor forma de criptografia disponível para a empresa. Atualmente, essa violação de segurança custou à empresa US $ 17 milhões e, em particular, US $ 12 milhões em apenas um trimestre, ou 3 centavos por ação. Para garantir que isso não aconteça com você, ao configurar uma rede sem fio, verifique se a senha padrão foi alterada e certifique-se de criptografar sua rede sem fio com WPA (Wi-Fi Protected Access).
- # 5: Insider / Disgruntled Employee Threat. Um ex-funcionário de uma empresa que lidava com operações de voo para grandes empresas automotivas, apagou informações críticas sobre emprego duas semanas depois de se demitir de seu cargo. O incidente causou cerca de US $ 34.000 em danos. Para garantir que isso não aconteça com você, divida funções e responsabilidades críticas entre os funcionários dentro da organização, limitando a possibilidade de que um indivíduo possa cometer sabotagem ou fraude sem a ajuda de outros funcionários dentro da organização.
Leia abaixo para obter mais informações e conselhos detalhados sobre como proteger seus sistemas de computador -
1. Código Malicioso (Spyware / Viruses / Trojan Horse / Worms)
De acordo com um Estudo de Crimes Informáticos do FBI de 2006, os programas de software mal-intencionado incluíram o maior número de ataques cibernéticos relatados, o que resultou em uma perda média de US $ 69.125 por incidente. Softwares maliciosos são programas de computador secretamente instalados no computador de sua empresa e podem causar danos internos a uma rede de computadores, como excluir arquivos críticos, ou roubar senhas ou desbloquear software de segurança para que um hacker roube informações de clientes ou funcionários. Na maioria das vezes, esses tipos de programas são usados por criminosos para obter ganhos financeiros por meio de extorsão ou roubo.
Estudo de caso:
Uma empresa manufatureira do nordeste capturou contratos no valor de vários milhões de dólares para fabricar dispositivos de medição e instrumentação para a NASA e a Marinha dos EUA. No entanto, uma manhã, os trabalhadores não conseguiram acessar o sistema operacional, recebendo uma mensagem de que o sistema estava "em reparo". Pouco tempo depois, o servidor da empresa caiu, eliminando todos os programas de fabricação e ferramentas da fábrica. Quando o gerente foi buscar fitas de volta, descobriu que elas tinham ido embora e que as estações de trabalho individuais também haviam sido apagadas. O CFO da empresa testemunhou que a bomba de software destruiu todos os programas e geradores de código que permitiram à empresa personalizar seus produtos e, assim, reduzir os custos. A empresa posteriormente perdeu milhões de dólares, foi desalojada de sua posição no setor e acabou tendo que demitir 80 trabalhadores. A empresa pode se consolar com o fato de que a parte culpada foi presa e condenada.
Conselho:
- Instale e use programas antivírus, programas anti-spyware e firewalls em todos os computadores da sua empresa.
- Certifique-se de que seus computadores estejam protegidos por um firewall; Os firewalls podem ser aparelhos separados, integrados em sistemas sem fio ou um firewall de software que vem com muitos pacotes de segurança comerciais.
- Além disso, certifique-se de que todos os softwares de computador estejam atualizados e contenham os patches mais recentes (por exemplo, sistema operacional, antivírus, antispyware, anti-adware, firewall e software de automação de escritório).
2. Laptop ou dispositivo móvel roubado / perdido
Acredite ou não, laptops roubados ou perdidos são uma das maneiras mais comuns pelas quais as empresas perdem dados críticos. De acordo com um estudo do crime do FBI de 2006 (PDF), um laptop roubado ou perdido geralmente resultou em uma perda média de US $ 30.570.No entanto, um incidente de alto perfil ou um incidente que exige que uma empresa contate todos os seus clientes, porque seus dados financeiros ou pessoais podem ter sido perdidos ou roubados, pode resultar em perdas muito maiores devido à perda da confiança do consumidor, reputação prejudicada e até mesmo responsabilidade legal.
Estudo de caso:
No ano passado, um funcionário do Department of Veterans Affair levou um laptop para casa que continha 26,5 milhões de registros médicos de veteranos. Enquanto o funcionário não estava em casa, um intruso invadiu e roubou o laptop contendo os dados dos veteranos. No final, o laptop foi recuperado e os dados não foram usados; no entanto, o VA teve que notificar 26,5 milhões de veteranos do incidente, resultando em audiências no Congresso e escrutínio público. Esse fenômeno não se limita ao governo, em 2006 houve uma série de casos corporativos de alto perfil envolvendo laptops perdidos ou roubados que resultaram em violações de dados. Um laptop contendo 250.000 clientes da Ameriprise foi roubado de um carro. O Providential Health Care Hospital System tinha um laptop roubado, que continha milhares de registros médicos de pacientes.
Conselho:
- Proteja os dados de seus clientes ao transportá-los em qualquer lugar em um dispositivo portátil, criptografando todos os dados nele contidos. Os programas de criptografia codificam os dados ou os tornam ilegíveis para pessoas de fora, até que você insira uma senha ou chave de criptografia. Se um laptop com dados confidenciais for roubado ou perdido, mas os dados forem criptografados, é altamente improvável que alguém consiga ler os dados. A criptografia é sua última linha de defesa se os dados forem perdidos ou roubados. Alguns programas de criptografia são incorporados ao popular software financeiro e de banco de dados. Basta verificar o manual do proprietário do seu software para descobrir se esse recurso está disponível e como ativá-lo. Em alguns casos, você pode precisar de um programa adicional para criptografar corretamente seus dados confidenciais.
3. Spear Phishing
Spear phishing descreve qualquer ataque de phishing altamente direcionado. Spear phishers enviam e-mails que parecem genuínos para todos os funcionários ou membros de uma determinada empresa, agência governamental, organização ou grupo. A mensagem pode parecer que vem de um empregador ou de um colega que pode enviar uma mensagem de e-mail para todos na empresa, como o chefe de recursos humanos ou a pessoa que gerencia os sistemas de computador, e pode incluir solicitações de nomes de usuário ou senhas.
A verdade é que as informações do remetente do email foram falsificadas ou "falsificadas". Enquanto os golpes de phishing tradicionais são projetados para roubar informações dos indivíduos, os golpes de spear phishing funcionam para obter acesso a todo o sistema de computador de uma empresa.
Se um funcionário responder com um nome de usuário ou senha, ou se você clicar em links ou abrir anexos em um email de spear phishing, uma janela pop-up ou um site, eles podem colocar sua empresa ou organização em risco.
Estudo de caso:
Um fabricante de bicicletas de tamanho médio que produzia bicicletas que eram usadas em corridas bem conhecidas, dependia fortemente de e-mail para realizar negócios. No curso normal de um dia útil, a empresa recebeu até 50.000 e-mails de spam e phishing. Como resultado, a empresa instalou vários filtros de spam em uma tentativa de proteger os funcionários contra e-mails fraudulentos. No entanto, muitos e-mails fraudulentos ainda são enviados aos funcionários. Em um caso, um funcionário recebeu um e-mail de “spear phishing” que parecia ter vindo do Departamento de TI e pediu ao funcionário para confirmar a “senha de administrador”. Felizmente para a empresa, quando o funcionário pediu ao gerente de linha para “ senha do administrador ”, ele investigou mais e percebeu que o email era uma farsa. Embora este exemplo não tenha resultado em perdas financeiras, ele poderia ter facilmente, e é um problema comum para todas as empresas.
Conselho:
- Os funcionários nunca devem responder a mensagens de spam ou pop-up que alegam ser de uma empresa ou organização com a qual você pode lidar, por exemplo, um provedor de serviços de Internet (ISP), banco, serviço de pagamento on-line ou até mesmo uma agência governamental. As empresas legítimas não solicitarão informações confidenciais por e-mail ou link.
- Além disso, se um funcionário receber um e-mail que pareça ser de outro funcionário e solicitar senha ou qualquer tipo de informação de conta, ele não deverá respondê-lo ou fornecer informações confidenciais por e-mail. Em vez disso, instrua o funcionário a entrar em contato com o gerente ou simplesmente pegue o telefone e entre em contato com a pessoa que enviou o e-mail diretamente.
- É importante conscientizar seus funcionários sobre o que é um ataque de spear phishing e estar atento a qualquer coisa em sua caixa de entrada que pareça suspeita. A melhor maneira de evitar ser vítima de um ataque de spear phishing é informar a todos que está acontecendo antes que alguém perca alguma informação pessoal.
4. Redes de Internet sem fio não seguras
Consumidores e empresas estão rapidamente adotando e implementando redes de Internet sem fio. De acordo com um estudo da InfoTech, a penetração das redes sem fio chegará a 80% em 2008. Embora as redes de Internet sem fio ofereçam às empresas uma oportunidade de otimizar suas redes e construir uma rede com pouca infraestrutura ou fios, há riscos de segurança que as empresas precisam enfrentar enquanto usando redes de Internet sem fio. Os hackers e fraudadores podem obter acesso aos computadores das empresas por meio de uma rede de Internet sem fio aberta e, como resultado, podem roubar informações do cliente e até mesmo informações proprietárias. Infelizmente, muitas empresas não tomam as medidas necessárias para proteger suas redes sem fio. De acordo com um estudo do Instituto de Tecnologia Symantec / Small Business 2005, 60% das pequenas empresas têm redes sem fio abertas. Além disso, muitas outras pequenas empresas podem não usar segurança sem fio suficiente para proteger seus sistemas. Não proteger adequadamente uma rede sem fio é como deixar a porta de uma empresa aberta durante a noite.
Estudo de caso:
De acordo com as informações da imprensa, os hackers realizaram a “maior violação de dados de todos os tempos” por meio de uma rede sem fio. Uma cadeia global de varejo teve mais de 47 milhões de informações financeiras de clientes roubadas por hackers que invadiram uma rede sem fio protegida pela menor forma de criptografia disponível para a empresa. Em 2005, dois hackers supostamente estacionaram em frente a uma loja e usaram uma antena sem fio telescópica para decodificar dados entre scanners de pagamento, permitindo que eles invadissem o banco de dados da empresa e fugissem com registros de quase 47 milhões de clientes. Acredita-se que os hackers tenham acesso ao banco de dados de cartão de crédito há mais de dois anos sem serem detectados. Em vez de usar o software de criptografia mais atualizado para proteger sua rede sem fio - Wi-Fi Protected Access (WPA), a rede varejista usou uma forma antiga de criptografia chamada WEP (Wireless Equivalent Privacy), que segundo alguns especialistas pode ser facilmente hackeado em menos de 60 segundos. Atualmente, essa violação de segurança custou à empresa US $ 17 milhões e, em particular, US $ 12 milhões em apenas um trimestre, ou 3 centavos por ação.
Conselho:
- Ao configurar uma rede sem fio, verifique se a senha padrão foi alterada. A maioria dos dispositivos de rede, incluindo pontos de acesso sem fio, é pré-configurada com senhas de administrador padrão para simplificar a configuração. Essas senhas padrão são facilmente encontradas on-line, portanto, elas não oferecem proteção. Alterar as senhas padrão dificulta que os invasores assumam o controle do dispositivo.
- Além disso, certifique-se de criptografar sua rede sem fio com criptografia WPA. WEP (Wired Equivalent Privacy) e WPA (Wi-Fi Protected Access) criptografam informações em dispositivos sem fio. No entanto, o WEP tem vários problemas de segurança que o tornam menos eficiente do que o WPA, portanto, você deve procurar especificamente por equipamentos que ofereçam suporte à criptografia via WPA. Criptografar os dados impediria que qualquer pessoa que pudesse monitorar o tráfego sem fio da rede visualizasse seus dados.
5. Ameaça de Funcionário Insider / Disgruntled
Um funcionário insatisfeito ou um insider pode ser mais perigoso do que o hacker mais sofisticado da Internet. Dependendo das políticas de segurança e do gerenciamento de senhas de sua empresa, os usuários internos podem ter acesso direto aos seus dados críticos e, como resultado, podem facilmente roubá-los e vendê-los ao seu concorrente, ou até mesmo excluir todos eles, causando danos irreparáveis. Existem etapas e medidas que você pode tomar para evitar que um funcionário interno ou descontente obtenha acesso a informações importantes e danifique suas redes de computadores.
Estudo de caso:
Um ex-funcionário de uma empresa que lidava com operações de voo para grandes empresas automotivas, apagou informações críticas sobre emprego duas semanas depois de se demitir de seu cargo. O incidente causou cerca de US $ 34.000 em danos. Segundo relatos, o funcionário estava chateado por ter sido liberado pela empresa antes do que ele havia antecipado. Alegadamente, o firewall da empresa foi comprometido e o autor invadiu a base de dados dos funcionários e excluiu todos os registros. As declarações da empresa indicam que o ex-funcionário descontente era uma das três pessoas que conheciam as informações de login e senha do firewall que protegia a base de dados dos funcionários.
Conselho:
Existem várias maneiras pelas quais sua empresa pode se proteger contra ameaças de funcionários internos ou descontentes:
- Divida funções e responsabilidades críticas entre os funcionários dentro da organização, limitando a possibilidade de que um indivíduo possa cometer sabotagem ou fraude sem a ajuda de outros funcionários dentro da organização.
- Implemente políticas de senha e autenticação estritas. Certifique-se de que todos os funcionários usem senhas contendo letras e números e não usem nomes ou palavras.
- Além disso, altere as senhas a cada 90 dias e, o mais importante, exclua a conta de um funcionário ou altere as senhas para sistemas críticos, depois que um funcionário sair da empresa. Isso dificulta que funcionários insatisfeitos danifiquem seus sistemas depois que eles saírem.
- Execute due diligence ANTES de contratar alguém. Faça verificações de antecedentes, verificações educacionais, etc para garantir que você está contratando pessoas boas.
Sobre o autor: Como diretor executivo da Aliança Nacional de Segurança Cibernética (NCSA), Ron Teixeira é responsável pela gestão geral de programas de conscientização sobre segurança cibernética e esforços nacionais de educação. Teixeira trabalha em estreita colaboração com várias agências governamentais, corporações e organizações sem fins lucrativos para aumentar a conscientização sobre questões de segurança na Internet e capacitar usuários domésticos, pequenas empresas e a comunidade educacional com ferramentas e melhores práticas projetadas para garantir uma experiência segura e significativa na Internet.
9 Comentários ▼
