O GUIA PARA PROTEGER SUA EMPRESA
DE CRIMES CIBERNÉTICOS
Dados divulgados pela empresa de segurança americana SonicWall revelaram que, no ano passado, quando teve início a crise sanitária, os ataques cibernéticos sofreram um aumento de 62%. O Brasil foi o nono país mais atingido, com 3,8 milhões de invasões.
Embora o combate ao crime cibernético continue sendo um fardo para as Pequenas e Médias Empresas, não precisa ser excessivamente caro. O emprego de hábitos sensatos e “melhores práticas” proporciona ótimos resultados para proteger as pequenas empresas de ataques.
A importância da segurança cibernética para as Pequenas e Médias Empresas
A tecnologia redefiniu a forma como nos comunicamos e fazemos negócios. Hoje em dia, empresas de todos os tamanhos dependem fortemente do bom funcionamento de seus sistemas de TI. Portanto, é imperativo que os líderes empresariais avaliem o impacto que o cibercrime poderia ter em sua organização, aplicando medidas para evitar que sejam vítimas e principalmente, que estejam prontos para se recuperar de um ataque.
A maioria dos ataques cibernéticos explora vulnerabilidades básicas em sistemas e softwares. Ataques de negação de serviço (DDoS), resgates, esquemas de phishing e dumping de dados são exemplos de alguns dos mais renomados crimes.
Embora possa não haver motivação óbvia para visar uma pequena empresa, os ataques cibernéticos não são necessariamente dirigidos a vítimas específicas. Ao contrário, o atacante pode visar várias - dezenas, centenas, até milhares - de pessoas ou organizações na esperança de maximizar a chance de “sucesso”. Portanto, os riscos permanecem os mesmos para qualquer organização.
Algumas estatísticas sobre o cibercrime em Pequenas e Médias empresas:
- 43% dos ataques cibernéticos têm como alvo pequenas empresas.
- 60% das pequenas empresas que são vítimas de um ataque cibernético fecham as portas em seis meses.
- O setor de saúde é o setor que corre maior risco de ataques cibernéticos.
- 66% das pequenas empresas estão preocupadas ou extremamente preocupadas com o risco de segurança cibernética.
- 14% das pequenas empresas classificam sua capacidade de mitigar riscos e ataques cibernéticos como altamente eficaz.
- 47% das pequenas empresas não sabem como se proteger contra ataques cibernéticos.
Como resultado do crime cibernético, o governo está apertando os requisitos de proteção de dados para as Pequenas e Médias Empresas. A partir de agosto de 2021, as multas pelo não cumprimento da Lei Geral de Proteção de Dados (LGPD), podem chegar a 2% do Faturamento, limitadas a R$ 50 MILHÕES por infração. Isto significa que as Pequenas e Médias Empresas poderão ser punidas por não protegerem os dados de clientes, fornecedores e funcionários.
Saiba mais AQUI!!!
Pequenos empresários e gestores possuem o desafio e responsabilidade de investirem em segurança da informação, bem como na capacitação da sua equipe para lidar com essas ameaças no dia a dia. Através deste guia, ajudaremos na aplicação de boas práticas de segurança, bem como criar um ambiente mais seguro para a geração de negócios.
Prevenção ao Crime Cibernético - Onde Começar
O básico
Há medidas simples e eficazes que você pode tomar para reduzir a probabilidade de um ataque cibernético dentro de sua empresa:
- Ativar o serviço de firewall em todos os computadores e dispositivos conectados à Internet (o serviço de firewall é uma proteção contra ataques que chegam pela rede, podendo ser firewall do próprio sistema operacional, bem como da solução de antivírus instalada)
- Tenha um antivírus de qualidade instalado na sua máquina, que tenha a função de varredura e atualização de forma automática. (evite antivírus gratuitos, eles não possuem todas as funções necessárias para proteger os seus dados)
- Use senhas complexas e evite usar a mesma senha para vários sistemas. Sempre que possível, use um cofre de senhas, que é um gerenciador de senhas que eleva a segurança. (Existem várias ferramentas gratuitas para esta função, uma delas é a LastPass.)
- Ative a autenticação de 2 fatores, a maioria dos aplicativos já possuem esta funcionalidade (Gmail, Instagram, WhatsApp, etc...)
- Remova ou desabilite os acessos de pessoas que não fazem mais parte da empresa, essa é uma falha grave e muito frequente. Crie um procedimento junto com o RH para sempre executar esta ação quando houver o desligamento de algum funcionário.
- Se possível, não forneça acesso aos usuários com perfil de administrador, este perfil tem total controle ao sistema e pode contribuir para erros humanos.
- Mantenha os sistemas operacionais e aplicativos sempre atualizados (Windows, Java, Acrobat, etc..), use as configurações de atualização automáticas, pois os fabricantes sempre disponibilizam correções para falhas encontradas, que normalmente são estas que os hackers utilizam.
Estes passos não protegerão sua empresa contra todos os ataques, mas irão garantir um bom nível de blindagem contra os ataques mais comuns.
Tenha em mente que todos os sistemas informatizados se tornam mais vulneráveis com o tempo. A tecnologia de ontem não é tão eficiente ou segura como poderia ter sido uma vez. Certifique-se de atualizar regularmente seus sistemas.
Avalie as necessidades de sua empresa
Se você tem o básico coberto, então você deve procurar proteger seu negócio contra ataques cibernéticos mais específicos e vulnerabilidades de segurança. O primeiro passo é identificar as ameaças potenciais, e aprender quais soluções estão à sua disposição. Sua empresa terá necessidades muito diferentes de outras empresas; depende de sua linha de trabalho, e qual o papel que a tecnologia desempenha nisso.
Na próxima seção, fornecemos dicas para prevenir as ameaças cibernéticas mais comuns.
Prevenindo ameaças cibernéticas comuns
dentro de sua Empresa
Embora não seja possível atingir 100% de segurança, com as ferramentas e a atitudes corretas, é possível criar uma proteção eficaz contra a maioria dos crimes cibernéticos. Então, quais são exatamente as ameaças cibernéticas mais comuns às empresas, e como podem ser tratadas sem perda de produtividade?
1. Malware (Spyware, Adware, Worms, etc.)
Abreviação de software malicioso -- é um software que foi criado com a intenção de infiltrar-se, danificar ou desativar computadores. Eles são comumente chamados de "vírus", pois muitas vezes se espalham através de um computador e de uma rede. Eles podem ser instalados em um computador através de anexos de e-mail, downloads ou transferência de arquivos.
Há dois tipos principais de malware:
- Vírus de software: arquivos executáveis instalados em seu computador com ou sem seu conhecimento.
- Vírus de macro: utiliza instalações encontradas em softwares existentes (por exemplo, aplicativos de escritório) para executar-se a si mesmo.
Alguns malwares têm como objetivo roubar informações sobre sua atividade (por exemplo, seus dados bancários) -- isto é conhecido como "spyware". Outros tipos de malware produzem pop-ups de tela com anúncios, e é conhecido como "adware". O malware que se espalha ou se replica é conhecido como "worm". Você poderia facilmente ter uma ou mais formas de malware sem mesmo se dar conta -- nem sempre é óbvio.
Os ataques de software malicioso não são novidade, o primeiro foi detectado em 1986, que danificava o setor de inicialização do disco rígido, e propagava-se através dos (jurássicos) disquetes.
Nossos conselhos:
- Seja disciplinado e atencioso. Tenha cuidado antes de clicar em links em e-mails, abrir anexos ou visitar sites não familiares.
- Use software antivírus de qualidade para detectar e proteger, antes que um vírus se instale na sua máquina e propague-se pela rede da sua empresa.
- Certifique-se de que o software de seu sistema (por exemplo, o sistema operacional) esteja atualizado com todas as atualizações de segurança mais recentes. O malware é projetado para explorar falhas conhecidas -- as atualizações abordam essas vulnerabilidades.
2. Fraudes e esquemas cibernéticos
As mesmas fraudes na vida cotidiana acontecem on-line. As fraudes cibernéticas geralmente começam na forma de e-mails ou mensagens de spam, enviados a um grande volume de destinatários na esperança de que algumas pessoas respondam e caiam vítimas. Estes são comumente conhecidos como "golpes de phishing".
A maioria dos golpistas afirma fornecer um produto ou serviço. Eles frequentemente se apresentam como uma fonte oficial (por exemplo, um banco, companhia de seguros, serviço financeiro ou pessoa física). O objetivo dos golpistas é enganar as vítimas para que elas comprem um produto ou serviço inexistente, ou para obter seus detalhes de pagamento.
Alguns tipos de fraudes:
- Pagamentos fraudulentos: encomendar bens ou serviços com os detalhes de pagamento pessoais ou comerciais de outra pessoa, detalhes de pagamento falsos ou detalhes roubados.
- Impersonificação: fazer-se passar por outra pessoa de forma ilegal e enganosa para se beneficiar de outro indivíduo ou organização.
- Engenharia social: coleta de informações confidenciais, seja para dar credibilidade a uma tentativa convencional de fraude, para desacreditar seu negócio ou para vender detalhes a terceiros.
Nossos conselhos:
- Ao negociar on-line, use os mesmos protocolos que você usaria ao colocar ou aceitar pedidos off-line.
- Conheça seus clientes e fornecedores - isso evitará trapaças. Use a URL, endereço de e-mail, número de telefone, endereço físico e outros detalhes para investigar terceiros. Fique atento a clientes ou fornecedores cujos detalhes não possa verificar.
3. Criptografia
Criptografia é o processo de codificação de dados a fim de ocultar informações e impedir seu uso não autorizado.
A maioria das empresas já utiliza a criptografia em algum grau. As transmissões de telefonia móvel e mensagens dos aplicativos que normalmente usamos, são criptografadas, assim como a maioria das transmissões nas redes sem fio. Alguns computadores tablet e laptops também incorporam a criptografia de dados como uma característica padrão.
Em teoria, a criptografia é um ótimo caminho a ser seguido. Mas erros básicos podem torná-la inútil. Suponha que um atacante possa facilmente encontrar ou adivinhar a chave de criptografia - os dados não são mais escondidos, como desejado.
Nossos conselhos:
- Mantenha sempre todas as funções de criptografia ativadas. Siga as definições de configuração recomendadas pelo fornecedor de seu software.
- Não tente modificar o software de criptografia. É altamente complexo, e melhor deixar para os especialistas.
- Para dispositivos sem criptografia integrada, considere instalar um produto de criptografia de terceiros para proteger dados importantes -- como registros financeiros.
4. Controle de Acesso
Infelizmente, você não pode assumir que todos ao redor de seu negócio serão honestos e bem-intencionados. A confiança continua sendo um problema em qualquer organização de porte.
Os usuários não autorizados devem ser impedidos de usar equipamentos e sistemas para obter acesso a dados privilegiados ou confidenciais. Isto se aplica ao pessoal atual, aqueles que deixaram a empresa, e especialmente aqueles fora da empresa, trabalhando de forma remota.
A maioria das violações de segurança de pequenas empresas são causadas pela falha no controle de acesso.
Nossos conselhos:
- Os usuários do sistema devem ser obrigados a se identificar e autenticar com nomes de usuário e senhas.
- Garantir que as senhas sejam alteradas regularmente. Isto pode ser aplicado a cada 3 meses, por exemplo.
- Impedir que usuários utilizem funções e dados desnecessários do sistema. Reservar esses direitos para contas que realmente necessitam deste nível de acesso.
- Usar autenticação de dois fatores quando necessário. Por exemplo, geradores de senhas (populares nos bancos pela Internet).
- Tenha uma rotina de backup confiável e com várias versões, você precisará destes dados cedo ou tarde. Teste a restauração destes dados frequentemente e evite backup em HD externo ou pen-drive, eles serão ineficientes durante um ataque de ransonware.
5. Roubo Físico e Vandalismo
O roubo ou vandalismo de computadores é altamente perturbador para qualquer negócio que dependa de TI. A substituição de equipamentos caros roubados ou danificados é uma questão; a grande questão é, onde foram parar os dados críticos da minha empresa? Serão publicados na internet?
Vale ressaltar que criminosos mais sofisticados são capazes de instalar "back-doors" (acessos invisíveis) em seus dispositivos para acessar remotamente dados não autorizados sem que ninguém perceba.
Nossos conselhos:
- Trate os equipamentos de TI com os mesmos controles como qualquer outro ativo físico de propriedade de sua empresa.
- Controle os visitantes que entram em suas instalações. Cartões de acesso, câmeras de segurança e registro de entrada e saida, tudo isso ajuda.
- Criptografar dados em todos os dispositivos para que, se o equipamento for roubado, seja difícil extrair dados críticos.
6. Segurança em dispositivos remotos
Com o cenário de pandemia, a maioria das empresas permitem que sua equipe se conecte remotamente aos seus sistemas de TI. Muitas vezes, os acessos são realizados de equipamentos particulares, embora isto ajude a tornar o negócio mais flexível e independente da localização, a tecnologia de acesso remoto traz problemas adicionais de segurança.
Ao contrário dos computadores desktop, instalados fisicamente à mesa dentro de um edifício, os dispositivos portáteis são pequenos, fáceis de transportar e - atraentes para os ladrões. Eles são frequentemente usados para se conectar a várias redes e para interagir com outros dispositivos. A chance de infecção ou interceptação de dados, em comparação com os sistemas com fio, é muito maior.
Apesar disso, estima-se que uma em cada cinco empresas não protege os dispositivos remotos usados pelos funcionários.
Nossos conselhos:
- Educar as pessoas sobre os riscos envolvidos na utilização de seu dispositivo portátil. Se possível, controlar como eles configuram seus dispositivos antes de conectar-se a redes.
- Para diminuir os riscos, as empresas devem criar uma política sobre conectividade e as aplicações que podem ser instaladas em dispositivos portáteis.
- Para acesso remoto, é altamente recomendável o uso de VPN (rede criptografada para interligar o computador à empresa).
7. Redes sem fio
Nas pequenas empresas, é fácil identificar quem está usando a rede com fio, pois normalmente o fluxo de pessoas é menor. Nas redes sem fio (WiFi), entretanto, é uma proposta mais atraente para um atacante. Um visitante pode ser capaz de se conectar ao WiFi, vencer a criptografia e obter informações sensíveis da sua empresa.
As redes sem fio são normalmente protegidas por criptografia e autenticação forte do usuário, não deve-se usar redes WiFi sem autenticação e criptografia, nem mesmo nas redes de visitantes.
Nosso conselho:
- Certifique-se de que a criptografia e autenticação estão ativadas nas redes WIFI da sua empresa. Protocolos de criptografia desatualizados ou redes não criptografadas precisam ser substituídos ou reconfigurados -- eles são inseguros e deixam sua rede sem fio aberta a ataques.
8. Serviços baseados em nuvem
A computação em nuvem traz uma série de benefícios, principalmente de tirar a complexidade tecnológica de dentro da empresa, atualmente há uma série de opções para usar este tipo de serviço.
Existem três formas principais de computação em nuvem:
- Software-as-a-service (SaaS): Modelo de assinatura de um software especifico, por exemplo, um software financeiro hospedado diretamente pelo fabricante, onde toda a responsabilidade de funcionamento, backup e atualizações fica por conta do fornecedor.
- Infrastructure as-a-service (IaaS): Serviço de fornecimento de infraestrutura de TI para um fim específico, como por exemplo a hospedagem de um site.
- Platform-as-a-service (PaaS): Plataforma remota utilizada para desenvolver e implantar novas aplicações de software.
Os provedores de serviços em nuvem geralmente compartilham seus recursos entre muitos clientes. Suas localizações físicas também podem variar. Portanto, a desvantagem de usá-los é que eles reduzem a transparência, o controle e a proteção dentro de sua empresa, mas existem protocolos e certificações de mercado para atestar a segurança das empresas que oferecem este tipo de serviço.
Note que as empresas ainda são responsáveis pela proteção de dados, sejam eles armazenados ou não na nuvem.
Nossos conselhos:
- Não contrate serviços em nuvem somente baseado em preço, há vários relatos de datacenters extremamente baratos que sumiram da noite para o dia, levando junto todos os dados dos seus clientes;
- Periodicamente solicite a restauração de dados para validar a qualidade dos serviços;
- Serviços em nuvem não podem e não devem ficar parados, se o seu provedor de serviços em nuvem frequentemente tem problemas, migre o mais rápido possível.
9. Firewalls e Redes Seguras
Os firewalls controlam os dados que transitam entre as redes de computadores, o uso mais comum é proteger a rede interna da internet, bloqueando as tentativas de invasão e analisando o comportamento do que trafega pela rede.
Qualquer negócio com uma conexão à Internet é suscetível a intrusões na rede, por este motivo é extremamente importante ter um firewall protegendo a rede da sua empresa.
Nossos conselhos:
- Libere apenas o tráfego necessário, sempre use a configuração mais restritiva possível, mas sem bloquear as conexões necessárias para o dia a dia das empresas.
- Peça relatórios de acesso a internet periodicamente, através destas informações você poderá entender como a internet é usada dentro da sua empresa. Muitas vezes as empresas precisam fazer upgrade de link de internet, porém o maior uso do link não está voltado para as necessidades de negócio da empresa, mas sim para uso recreativo das pessoas com acesso a internet.
Recursos adicionais de segurança cibernética para Pequenas e Médias Empresas
A ALIX dispõe de serviços de monitoramento dos seus ativos de TI da sua empresa, garantindo alta disponibilidade e segurança. Entre em contato hoje mesmo.
A Lei de Proteção de Dados ( LGPD )
De acordo com a LGPD, todas as empresas são obrigadas a proteger os dados que possui sobre seus clientes, fornecedores e funcionários. Para obter conselhos sobre como manter as informações pessoais seguras, leia nosso eBook:
LEI GERAL DE PROTEÇÃO DE DADOS ADEQUAÇÃO LGPD COMPLETA
Treinamento de Segurança Cibernética
As pessoas são fundamentais para o sucesso de qualquer iniciativa de segurança, promova programas de conscientização e treinamento sobre segurança da informação na sua empresa. As pessoas envolvidas precisam saber que um clique errado em um anexo de e-mail pode gerar grandes prejuízos para uma empresa.
Vítimas de crimes cibernéticos
O site NIC.BR oferece excelentes materiais sobre como prevenir e lidar com a fraude cibernética. Incluindo vários dos tópicos que abordamos neste post.
Sobre a ALIX
Fundada em 2004, apoiamos empresas na transformação digital, através de parcerias com os principais fabricantes, com um time capacitado e comprometido em entregar soluções que agreguem valor e segurança aos negócios dos nossos clientes.
Quer saber mais?
