Se você acha que um ataque de ransomware é a pior coisa que pode acontecer à sua organização, lamento informar: isso é apenas o começo.
Não me interpretem mal – um ataque é terrível. Mas, após um ataque, você fica como uma gazela ferida, e os predadores começam a circular ao seu redor. Embora você possa não ser responsável pelo ataque em si, se não lidar adequadamente com a Recovery, os requisitos regulatórios e a comunicação, poderá ser alvo demultas e ações judiciais. E como se isso não bastasse: invasores, concorrentes e até mesmo potenciais compradores e ativistas podem aproveitar a oportunidade para atacar.
É por isso que, na qualidade de Diretor Jurídico e de Conformidade e de membro independente do conselho administrativo, acredito que vocês precisam de um plano de proteção de dados comprovado e testado na prática muito antes de seus dados serem comprometidos. Para ajudá-los nessa questão, eis quatro etapas que eu seguiria ao avaliar e responder a um ataque:
#1 Proteja seu perímetro. Ao primeiro sinal de um ataque, você precisa fechar a porta com força e conter o dano.A CrowdStrike estimou recentementethat an attack window is 84 minutes. That’s how long you have before data is bricked, exfiltrated, or destroyed. You don’t have time to debate and the moment you need to close all entry and access points to your business, a ransomware attack cannot be first time you bring the cross-functional team of IT, Security, Legal and others together. You need to be a well-oiled machine and act fast. Practice this like a drill. Know what assets you have, what they access – and be prepared to shut it all down.
#2 Avaliar os danos. Assim que o perímetro estiver protegido, é preciso avaliar os danos. Quais dados foram expostos ou roubados? Quais danos ocorreram? Qual é a sua obrigação contratual de manter e proteger os dados de clientes ou usuários? Como isso afeta você em termos de regulamentações setoriais, estaduais, federais e internacionais? Há mais requisitos de divulgação se aproximando e, como a PwC observou recentemente, seu“Global Digital Trust Insights 2023”, “apenas 9% dos entrevistados se sentem altamente confiantes de que poderão cumprir efetivamente todas as exigências de divulgação”. Quanto mais cedo sua equipe se envolver no processo de planejamento, avaliação e correção, melhor.
#3 Você foi vítima ou houve negligência? Você deixou o perímetro desprotegido? Os controles de acesso ou de segurança estavam frouxos? Você possui um plano de proteção de dados em vigor? Quando foi o seu último exercício simulado ou teste de sistema? Havia os controles adequados em vigor para prevenir (ou detectar rapidamente) o ataque? Você oferece treinamento de conscientização em segurança cibernética para os funcionários, para que eles tenham aprendido a identificar tentativas de phishing? Os clientes esperam que, ao fornecerem seus dados a você, você os proteja. Ter um plano ou solução de proteção de dados em vigor é o custo de se fazer negócios. Sem isso, você não é uma vítima.
#4 Comunique. Comunique. Comunique. Seja transparente com suas principais partes interessadas. A rapidez com que você divulga a informação pode exigir um equilíbrio delicado, pois você ainda está avaliando o impacto, identificando a causa raiz e tomando medidas corretivas. Obviamente, seu CEO e os líderes da alta administração precisam ser informados o mais rápido possível, e você deverá alertar seu Conselho de Administração. Mas as pessoas mais importantes com quem você precisa se comunicar são aquelas afetadas pela violação, como seus clientes, parceiros ou funcionários. Você precisa notificá-los o mais rápido possível.
Conclusão: os invasores estão à espreita, ficam mais espertos a cada dia e o tempo não está a seu favor. Essas medidas vão ajudá-lo a detectar um ataque e se recuperar mais rapidamente, além de lhe dar a confiança de que tomou medidas responsáveis e bem informadas para proteger seus dados.
