O agora infame apagão da CrowdStrike em Julho gerou caos global e inúmeras conversas sobre segurança de fornecedores. Apesar do barulho da indústria e das inúmeras manchetes sobre o apagão — e seu custo potencial de mais de $5 bilhões apenas para as empresas da Fortune 500 — há um quadro maior que devemos considerar. E isso é como, enquanto indústria, entendemos os riscos envolvidos e respondemos a grandes interrupções e outras crises de cibersegurança.

Enquanto o apagão da CrowdStrike foi um acidente atípico, provavelmente não será a última vez que testemunharemos esse tipo de colapso de um grande fornecedor de tecnologia. À medida que nossos ecossistemas digitais tornam-se mais interconectados e as empresas confiam cada vez mais em fornecedores únicos, os líderes empresariais terão que lidar com a inevitabilidade de eventos semelhantes, seja por uma simples interrupção ou um hack malicioso. Em todos os casos ao longo desse espectro, no entanto, esses líderes devem evitar reações precipitadas que poderiam, em última análise, fazer mais mal do que bem. Mudar cegamente para um novo fornecedor ou fazer mudanças drásticas nos processos de TI e segurança poderia introduzir lacunas de segurança que exacerbam vulnerabilidades na postura de segurança geral de uma organização, em vez de melhorá-la.

Em vez de imediatamente abandonar o navio, aqui estão três coisas que as empresas devem fazer na sequência de um evento parecido com o da CrowdStrike para garantir a continuidade dos negócios e altos padrões operacionais.

1. Avaliar a Confiabilidade e Risco dos Fornecedores de Forma Geral

Trocar de fornecedor após um incidente não é tão simples — ou benéfico — quanto pode parecer. Antes de trocar, as empresas devem avaliar tanto o fornecedor existente quanto o potencial, e avaliar a confiabilidade e risco geral de cada fornecedor. Por exemplo, dados de clientes da Resilience mostram que, apesar do incidente de julho, o CrowdStrike Falcon é altamente eficaz. Ele tem a menor porcentagem de reivindicações materiais entre os fornecedores de detecção e resposta de endpoint (EDR) no portfólio da Resilience, com menos de 3% dos clientes com Falcon sofrendo uma reivindicação de seguro cibernético com perdas. Claro, nenhuma empresa pode — ou deve — reivindicar a capacidade de evitar 100% dos incidentes, mas nestas tipos de deliberações, é crítico colocar o histórico de longo prazo de um fornecedor em perspectiva. Por outro lado, no entanto, se um fornecedor mostra um histórico consistente de interrupções ou vulnerabilidades, desempenho insatisfatório ou comunicação, e longos atrasos na remediação, um incidente pode ser o fator de força útil para considerar os benefícios de tentar algo novo.

Também é importante notar os custos de mudar de fornecedor que vão além do preço, como tempo de implementação, custos de treinamento de equipe e ajustar processos de trabalho para incorporar o novo sistema e atender às necessidades do negócio. Estas considerações de risco de terceiros devem ser levadas em conta, com a liderança pesando os custos de interrupção dos negócios de uma interrupção com o fornecedor existente contra os custos totais que vêm com a mudança.

2. Evitar Mudanças Radicais no Processo de Atualização

Este apagão em particular levantou a questão da cadência de atualização e frequência de teste, com muitos argumentando que as organizações afetadas deveriam ter adotado uma abordagem mais cautelosa e completa para testar a atualização antes de implementá-la. Mas atrasar as atualizações é um risco calculado, e não necessariamente um que a maioria das empresas deve estar tomando. As assinaturas de antivírus e EDR são projetadas para combater ameaças emergentes rápidas em direção aos sistemas existentes, então, embora você possa decidir esperar os dias ou semanas que possam levar para testar completamente a atualização, você pode estar deixando seus sistemas vulneráveis a novos exploits nesse meio tempo. Os atores de ameaças tornam-se cada vez mais rápidos e sofisticados em suas abordagens, portanto, atualizações de segurança rápidas são mais cruciais do que nunca. O risco de tomar precauções adicionais no teste pode não valer a pena para todas as empresas, especialmente desde que a maioria das atualizações acontece de forma transparente.

Em um mundo perfeito, onde atores mal-intencionados não fossem uma ameaça constante e os processos de atualização não levassem tempo extra, seguir a melhor prática típica de testar cada e toda atualização que vem de cada fornecedor poderia ser viável. Mas no mundo real, mudanças no processo de atualização provavelmente vão retardar suas defesas. No final das contas, não existe uma resposta única para todos, e a melhor abordagem dependerá da organização específica e sua tolerância ao risco.

3. Não Entre em Pânico

É tentador comparar incidentes como o da CrowdStrike a desastres naturais (como furacões catastróficos), mas essa simplificação excessiva distrai do cerne da questão. Enquanto muitos seguradores usam essa analogia para descrever eventos cibernéticos, ela não é nem precisa nem útil, pois se torna uma comparação de maçãs com laranjas que enquadrar incidentes cibernéticos ou interrupções como unilaterais e apocalípticos. Mas a realidade é bem diferente. Não há maneira tangível para indivíduos prevenir ou mitigar a intensidade de furacões de categoria ou tornados, mas certamente existem passos simples e acionáveis que podemos tomar para mitigar o impacto financeiro de uma interrupção ou contrariar os efeitos negativos de um ataque potencial. Isso inclui implementar uma higiene cibernética adequada, transferir o risco financeiro através de seguro cibernético, e ter um plano de ação de cibersegurança detalhado no caso de um ataque ou interrupção. Não é apenas viável, mas essencial que as empresas tomem esses passos para permanecer operacionais e funcionando em meio a um incidente.

Em resumo, os responsáveis pela tomada de decisão em todos os níveis não podem permitir que tomem decisões reativas ou baseadas no medo sobre sua postura de segurança imediatamente após um incidente cibernético. Essas reações instintivas podem levar a maiores complicações e introduzir um conjunto de novas vulnerabilidades apenas esperando para serem exploradas. Em vez disso, os líderes devem focar em entender a causa raiz do incidente, aprender com ele, e fazer decisões baseadas no risco que mitigam a maior perda financeira e melhoram a resiliência cibernética geral de sua organização. Isso inclui adotar uma abordagem proativa e incorporar a gestão de risco de terceiros ao planejamento de continuidade dos negócios. Dessa forma, você será capaz de evitar interrupções catastróficas no seu dia a dia e manter a continuidade e resiliência diante de um incidente cibernético.

3 etapas para avaliar a confiabilidade de fornecedores após um incidente cibernético

Para avaliar a confiabilidade de fornecedores após um incidente cibernético, são essenciais as seguintes etapas:

1. Avaliar a Histórico e Desempenho do Fornecedor

É crucial avaliar o histórico de desempenho do fornecedor, incluindo a frequência e severidade de incidentes anteriores. Isso envolve examinar a eficácia do fornecedor em prevenir e responder a incidentes cibernéticos no passado. Por exemplo, verificar se o fornecedor tem um histórico de interrupções ou vulnerabilidades consistentes, e como esses incidentes foram gerenciados e resolvidos.

2. Examinar Protocolos de Segurança e Conformidade

Avalie os protocolos de segurança e as medidas de conformidade adotadas pelo fornecedor. Isso inclui verificar se o fornecedor segue frameworks de segurança cibernética reconhecidos, como o NIST Cybersecurity Framework ou a ISO 27001. Além disso, é importante questionar sobre planos de resposta a incidentes, medidas de segurança física, e como os dados são protegidos em repouso e em trânsito.

3. Realizar Avaliações e Auditorias Regulares

Realize avaliações e auditorias regulares para garantir que o fornecedor está alinhado com os padrões de segurança cibernética da sua organização. Isso pode incluir:

• Perguntas detalhadas sobre protocolos de segurança, medidas de conformidade e planos de resposta a incidentes.
• Verificar se o fornecedor realiza atualizações regulares de sistemas e software.
• Avaliar a gestão de vulnerabilidades e a implementação de medidas preventivas, como autenticação de dois fatores e criptografia de dados.
• Examinar as responsabilidades e procedimentos de escalonamento definidos no plano de resposta a incidentes.

Essas etapas ajudam a garantir que a confiabilidade do fornecedor seja adequadamente avaliada e que os riscos associados a sua utilização sejam minimizados.

#CrowdStrike #cibersegurança #riscos #fornecedor #incidente #vulnerabilidades #continuidade #cryptoalch