Se você acha que um ataque de ransomware é a pior coisa que pode acontecer à sua organização, lamento informar: isso é apenas o começo.
Não me interpretem mal – um ataque é terrível. Mas, após um ataque, você fica como uma gazela ferida, e os predadores começam a circular ao seu redor. Embora você possa não ser responsável pelo ataque em si, se não lidar adequadamente com a Recovery, os requisitos regulatórios e a comunicação, poderá estar sujeito a multas e ações judiciais. E como se isso não bastasse: invasores, concorrentes e até mesmo potenciais compradores e ativistas podem aproveitar a oportunidade para atacar.
É por isso que, na qualidade de Diretor Jurídico e de Conformidade e de membro independente do conselho administrativo, acredito que vocês precisam de um plano de proteção de dados comprovado e testado na prática muito antes de seus dados serem comprometidos. Para ajudá-los nessa questão, eis quatro etapas que eu seguiria ao avaliar e responder a um ataque:
#1 Proteja seu perímetro. Ao primeiro sinal de um ataque, você precisa fechar a porta com força e conter o dano. A CrowdStrike estimou recentemente que a janela de ataque é de 84 minutos. Esse é o tempo que você tem antes que os dados sejam corrompidos, exfiltrados ou destruídos. Você não tem tempo para hesitar e, no momento em que precisar fechar todos os pontos de entrada e acesso à sua empresa, um ataque de ransomware não pode ser a primeira vez que você reúne a equipe multifuncional de TI, Segurança, Jurídico e outros setores. Você precisa ser uma máquina bem sincronizada e agir rapidamente. Pratique isso como se fosse um exercício de simulação. Saiba quais ativos você possui, a que eles têm acesso – e esteja preparado para desligar tudo.
#2 Avalie os danos. Assim que o perímetro estiver protegido, você deve avaliar os danos. Quais dados foram expostos ou roubados? Que danos ocorreram? Qual é a sua obrigação contratual em relação à manutenção e proteção dos dados de clientes ou usuários? Como isso afeta você em termos de regulamentações setoriais, estaduais, federais e internacionais? Há mais exigências de divulgação se aproximando e, como a PwC observou recentemente em sua pesquisa “Global Digital Trust Insights 2023”, “apenas 9% dos entrevistados se sentem altamente confiantes de que poderão cumprir efetivamente todas as exigências de divulgação”. Quanto mais cedo sua equipe se envolver no processo de planejamento, avaliação e correção, melhor.
#3 Você foi vítima ou houve negligência? Você deixou o perímetro desprotegido? Os controles de acesso ou de segurança eram fracos? Você possui um plano de proteção de dados em vigor? Quando foi seu último exercício simulado ou teste de sistema? Havia controles adequados em vigor para prevenir (ou detectar rapidamente) o ataque? Você oferece treinamento de conscientização em segurança cibernética aos funcionários para que eles aprendam a identificar tentativas de phishing? Os clientes esperam que, ao fornecerem seus dados a você, você os proteja. Ter um plano ou solução de proteção de dados em vigor é o custo de se fazer negócios. Sem isso, você não é uma vítima.
#4 Comunique. Comunique. Comunique. Seja transparente com suas principais partes interessadas. A rapidez com que você divulga a informação pode exigir um equilíbrio delicado, pois você ainda está avaliando o impacto, identificando a causa raiz e implementando medidas corretivas. Obviamente, seu CEO e os líderes da diretoria executiva precisam ser informados o mais rápido possível, e você deve alertar seu Conselho de Administração. Mas as pessoas mais importantes com quem você precisa se comunicar são aquelas afetadas pela violação, como seus clientes, parceiros ou funcionários. Você precisa notificá-los o mais rápido possível.
Conclusão: os invasores estão à espreita, ficam cada vez mais espertos e o tempo não está a seu favor. Essas medidas vão ajudá-lo a detectar um ataque e se recuperar mais rapidamente, além de lhe dar a certeza de que tomou medidas responsáveis e bem fundamentadas para proteger seus dados.
