Empresas devem desenvolver estratégia cibernética

Empresas devem desenvolver estratégia cibernética. Um em cada cinco ataques cibernéticos tem como alvo produtores mundiais.

Empresas precisam parar de se preocupar com o crime cibernético e desenvolver uma estratégia cibernética.

Em maio passado, a JBS , com sede no Brasil , a maior processadora de carne do mundo, sofreu um ataque cibernético que interrompeu temporariamente as operações nos Estados Unidos, Austrália e Canadá. Naquele mesmo mês, um ataque cibernético ao Oleoduto Colonial , o maior oleoduto de combustível dos Estados Unidos, interrompeu as entregas em uma dúzia de estados Americanos, fazendo com que milhões armazenassem gasolina, alguns armazenando-o em sacos plásticos e outros riscos de incêndio. Outros fabricantes supostamente vitimados neste ano incluem New Cooperative Inc., Kia Motors, Acer, Quanta, Brenntag e muitos outros fabricantes de necessidades diárias.

O setor de manufatura rapidamente se tornou um dos principais alvos de ameaças devido à sua dependência de automação e digitalização, ao custo das paralisações e às transações de alto valor para materiais e produtos acabados. As instalações de manufatura modernas apresentam sistemas de TI interdependentes. Se violados, os criminosos obtêm acesso a sistemas e projetos de monitoramento e controle e propriedade intelectual. Um estudo de 2020 da PwC revelou que quase um em cada cinco ataques cibernéticos tinha como alvo empresas do setor de manufatura, e a empresa de segurança Dragos relata que os ataques contra empresas de manufatura triplicaram no ano passado.

É hora de ficar preocupado.

Segundo a SC Magazine, as empresas de manufatura que desejam evitar a adesão a essas estatísticas precisam organizar recursos multifuncionais, com profissionais de segurança de TI e comunicações internos e externos à frente da mesa. As cinco etapas a seguir devem ser priorizadas:

Pratique uma cultura de cautela.

Embora todos precisem se envolver com a segurança cibernética, as diretrizes rígidas da equipe executiva e as constantes reclamações da TI não são uma abordagem eficaz para o engajamento dos funcionários. Uma cultura de capacitação de segurança deve existir em todos os níveis de uma organização de manufatura. A solução é um esforço conjunto da equipe de segurança e funções de comunicação para desenvolver um programa abrangente de conscientização, que inclui um plano de comunicação dos funcionários que inclui pesquisa, medidas de engajamento, construção de confiança e reforço constante e positivo da liderança da empresa. A função de segurança trabalhando em consórcio com a função de comunicações permitirá a adesão dos executivos e garantirá que as mensagens sejam concisas e transmitidas pelos canais certos.

Fortaleça as defesas da organização.

Em ambientes de manufatura, a maioria dos ataques é o resultado de vulnerabilidades de segurança não corrigidas em sistemas legados (rede e operações), erro humano e perda ou roubo de dispositivos contendo dados corporativos. Os fabricantes devem reduzir essas vulnerabilidades por meio de uma equipe de segurança e TI com recursos adequados e capacitados, avaliações técnicas contínuas do ambiente, disciplina operacional e aplicação da política corporativa. A comunicação dos riscos financeiros e de reputação para as operações de negócios, da equipe de segurança para o executivo, é crítica e geralmente realizada de maneira inadequada no setor de manufatura. Considere a contratação de especialistas externos que tragam experiências e perspectivas externas e entendam o ambiente de manufatura. Uma avaliação de risco que inclui os custos potenciais para a empresa de crimes cibernéticos (incluindo tempo de inatividade de fabricação)

Tenha sua equipe e backup prontos

Os criminosos não esperam por um convite e, historicamente, atacam em um fim de semana prolongado ou na calada da noite. Isso significa que a equipe de segurança precisa organizar seus parceiros com antecedência, para que seja fácil envolvê-los rapidamente. Isso pode incluir consultores forenses de TI, empresas de resposta a incidentes, treinadores de violação, assessoria jurídica interna e externa, firmas de relações públicas, profissionais de seguros e até mesmo recursos de call center para atender às preocupações do cliente se as operações forem interrompidas. A equipe de segurança deve mapear esses recursos em conjunto com as partes interessadas para garantir que todos os cenários sejam cobertos e que as funções e responsabilidades sejam bem compreendidas. Uma crise não é o momento de decidir sobre de quem é a tarefa, ou para quem ligar.

Planeje a resposta … depois teste.

Um ataque cibernético pode ocorrer de forma rápida e inesperada e requer muitas decisões, geralmente sob pressão. Os exercícios de mesa executados por especialistas terceirizados, em conjunto com a equipe de segurança da organização, farão o teste de resistência dos planos da empresa e garantirão que a organização tenha os planos e recursos apropriados para responder com eficácia. A falha em uma simulação é a maneira mais eficaz de revelar vulnerabilidades e também uma maneira atraente de convencer os executivos da empresa de que os recursos e a priorização são necessários. A liderança sênior e os executivos devem ser encorajados a participar dessas avaliações, pois geralmente terão um papel identificado a desempenhar nos planos de resposta a incidentes.

Em um ataque, é essencial ter comunicações claras, consistentes e informadas. Se a equipe de segurança não estiver habilitada e preparada para fornecer uma explicação, outros irão intervir para preencher a lacuna, e a equipe de segurança (e a alta administração) podem não gostar de sua opinião sobre a situação. Freqüentemente, a mídia procura comentários e os reguladores, acionistas e clientes observam de perto. Durante ou após uma crise cibernética, é importante ter definido quem irá responder às perguntas da mídia, e o indivíduo devidamente designado deve ser identificado pelo executivo ou conselho e treinado pela mídia com antecedência.

Identifique previamente os stakeholders da empresa.

No mínimo, um ataque cibernético pode criar um pequeno inconveniente, como uma interrupção temporária da rede. Na pior das hipóteses, pode criar uma paralisação da produção ou uma condição financeiramente paralisante, uma interrupção perigosa da cadeia de suprimentos, multas dos reguladores e uma perda de confiança a longo prazo. Para fabricantes globais, as apostas são ainda maiores. Quando os problemas da empresa se transformam em problemas de outras pessoas, a situação geralmente vai de mal a pior. É por isso que é vital identificar previamente quem pode ser afetado pelo seu problema e quem mais precisa saber.

Mas saber o que dizer para quem não adianta nada se ninguém ouve o ponto de vista da empresa. Um ataque cibernético pode paralisar email e redes, por isso é importante tomar medidas agora para estabelecer canais de comunicação de backup. Se a mídia social se tornou palco de especulações e conversas sobre a crise da empresa, é importante ter uma presença com seguidores nessas mesmas plataformas se a equipe de segurança quiser intervir.

E, finalmente, não se esqueça do monitoramento de mídia social. A empresa terá dificuldade em restaurar a confiança se outras pessoas estiverem espalhando informações incorretas nas redes sociais que a equipe de segurança não vê, especialmente em plataformas pouco conhecidas como subreddits ou comunidades fechadas como o Facebook.

Embora as empresas devam se preocupar com o crime cibernético, a preocupação não fará com que o risco desapareça. Ao reunir especialistas internos e externos e ouvir os profissionais de segurança, é possível reduzir muito a preocupação e o estresse.