Preparação para resposta a incidentes

O comportamento humano muitas vezes determina os resultados durante crises. Preparar as equipes para lidar com o estresse, a incerteza e a tomada de decisões sob pressão ajuda a reduzir significativamente o risco. 

O viés de otimismo leva muitas equipes a acreditar que os ataques são improváveis. Enquadrar os riscos cibernéticos em termos de negócios e missão ajuda a impulsionar ações significativas. 

Uma cultura forte promove a confiança, a comunicação aberta e uma colaboração mais ágil – ajudando a reduzir a confusão e os pontos cegos durante os incidentes. 

Os ataques cibernéticos frequentemente corrompem sistemas e credenciais. A reconstrução a partir de linhas de base verificadas e limpas evita a reinfecção e fortalece a confiança na Recovery. 

Exercícios e simulações ajudam a desenvolver a memória motora, revelam lacunas ocultas e reduzem drasticamente o tempo de resposta durante ataques reais. 

Assista ao vídeo aqui para ver a transcrição com marcação de tempo

00:08 – 00:10

Sejam todos bem-vindos, obrigado mais uma vez.

00:10 – 00:11

A participação está ótima.

00:11 – 00:14

Primeira sessão paralela, após a sessão geral.

00:14 – 00:19

Hum… Vocês estão aqui, no lugar certo, para se prepararem para a resposta a incidentes.

00:19 – 00:24

Vamos abordar pessoas, processos, ferramentas e tecnologia.

00:24 – 00:26

E eu serei o seu apresentador, Chris Mierzwa.

00:26 – 00:31

Sou diretor sênior aqui na Commvault, responsável pelos nossos programas globais de resiliência.

00:31 – 00:41

E, claro, sou um pouco tendencioso, já que se trata do nosso painel, mas este é um evento sem precedentes de seis horas sem intervalo para ir ao banheiro.

00:41 – 00:46

E devo dizer que ficamos em dúvida: devemos ou não devemos?

00:46 – 00:49

Talvez seja contra as regras, mas vamos tentar.

00:49 – 00:49

Não, tô só brincando.

00:49 – 00:53

Uma hora na agenda de vocês, mas é uma das poucas.

00:53 – 00:53

Então, obrigado.

00:53 – 00:58

Sei que é um grande compromisso ficar aqui por 60 minutos, mas prometo que vai valer a pena.

01:00 – 01:08

Reunimos três pessoas incríveis, e vou fazer uma pequena apresentação de cada uma delas, porque consigo fazer isso com menos modéstia do que elas.

01:08 – 01:14

Mas quero garantir que, durante a próxima hora, vocês tenham noção do nível de talento que está aqui.

01:14 – 01:16

E espero que vocês sintam o mesmo que nós.

01:16 – 01:27

Estamos tentando abordar e entrelaçar, digamos, três áreas únicas que, pelo menos na minha opinião, talvez ainda não tenham sido abordadas quando se trata de como devemos pensar e nos preparar

01:27 – 01:30

para a resposta a incidentes de maneiras novas e originais.

01:30 – 01:32

E é isso que esperamos abordar.

01:33 – 01:36

Sem mais delongas, vou começar pela pessoa à minha esquerda.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

Tive a oportunidade de conhecê-la um pouco nos últimos dois meses.

01:40 – 01:44

Hum… Isso é único.

01:44 – 01:51

Ela chega até nós com uma sólida experiência em segurança cibernética e aborda o assunto sob uma perspectiva humana.

01:51 – 01:59

Então, embora eu espere que todos nós tenhamos algo único a oferecer, posso garantir que vocês provavelmente nunca ouviram falar do que ela já fez antes, mas vamos fazer uma breve apresentação.

01:59 – 02:03

Dois livros, palestras em todo o mundo.

02:03 – 02:15

Ela está sempre no avião, viajando pelo mundo inteiro, conversando com pessoas, conversando com empresas como a sua sobre como preparar as pessoas para as coisas que vocês normalmente não…

02:15 – 02:15

falam.

02:15 – 02:18

Como é que elas realmente lidam com essas coisas, né?

02:18 – 02:20

E vamos nos aprofundar e explorar isso.

02:20 – 02:21

Obrigado por estarem aqui.

02:21 – 02:22

Sim, com certeza.

02:22 – 02:23

Tudo bem.

02:23 – 02:24

Mais uma.

02:24 – 02:26

Vamos para o Ricky Mayer.

02:26 – 02:38

Ricky, você acabou de ingressar na Commvault — seja bem-vindo a bordo! Há alguns meses, ele chegou com mais de 25 anos de experiência em TI como executivo sênior e agora é nosso vice-presidente de

02:38 – 02:42

serviços globais e profissionais da Commvault.

02:42 – 02:43

Mas…

02:43 – 02:54

uma longa carreira na IBM, na Kyndral, na VMware e, sabe, quando você tem pessoas prestando serviços profissionais, você não é posto à prova quando as coisas correm bem.

02:54 – 02:56

Você é posto à prova quando surgem desafios.

02:56 – 03:02

E, claramente, você já passou por muitos desses desafios, e ele vai trazer um pouco dessa magia para nós hoje; então, obrigado por estar aqui.

03:02 – 03:04

Tudo bem, o grandalhão.

03:04 – 03:05

A propósito,

03:05 – 03:11

você é do Reino Unido, mas agora mora nos EUA, em Dallas, Fort Worth, certo?

03:11 – 03:15

O Zak veio de uma cidadezinha chamada Cidade do Cabo, certo?

03:15 – 03:18

Foi um voo curto, então.

03:18 – 03:19

Uma vilinha.

03:19 – 03:20

É, uma vilinha.

03:21 – 03:24

O Zak e eu trabalhamos juntos com bastante frequência.

03:24 – 03:27

Hum… Temos muita sorte de tê-lo conosco.

03:27 – 03:34

A experiência dele, profunda, técnica, na prática… ah, um talento técnico absoluto.

03:34 – 03:40

Tive o privilégio, ao longo da minha carreira, de trabalhar com muitas pessoas que possuem imensa perspicácia técnica.

03:41 – 03:54

Não estou tentando exagerar, mas o Zach está claramente no auge de sua carreira, e ele vai nos trazer hoje, sabe, uma visão real da prática e como lidar com isso a partir de uma

03:54 – 03:54

ferramentas.

03:54 – 03:57

Então, espero ter feito jus a ele.

03:57 – 03:59

Vocês vão ouvir a magia aqui hoje.

03:59 – 04:03

Dito isso, quero começar com você, Jessica.

04:03 – 04:11

Então, quando estávamos nos preparando, você mencionou um termo sobre o qual todos nós precisamos aprender um pouco, que é este

04:11 – 04:13

viés de otimismo.

04:13 – 04:18

Se você pudesse nos explicar melhor isso, seria um ótimo ponto de partida para a sessão.

04:18 – 04:19

Claro.

04:19 – 04:31

Então, uma coisa que acho realmente útil na segurança cibernética — já que estou sempre de olho no lado humano — é que acho que podemos aprender muito com a neurociência, a psicologia e a sociologia.

04:31 – 04:41

dessas áreas que compreendem o comportamento humano e as formas de pensar — o que nos leva a agir e o que nos faz fazer as coisas que fazemos. Entre

04:41 – 04:48

conceitos e longas pesquisas da neurociência gira em torno dessa ideia do viés de otimismo.

04:48 – 04:55

Pesquisas mostram que 80% das pessoas em todo o mundo têm uma tendência natural para o otimismo.

04:55 – 05:04

Isso independe de onde viemos, do gênero, da idade, da etnia ou da condição socioeconômica.

05:06 – 05:10

E olhamos para o mundo, para o mundo inteiro, e achamos que as coisas estão piorando.

05:10 – 05:17

Mas, da perspectiva individual, familiar ou de equipe, temos esse viés de otimismo.

05:17 – 05:21

Basicamente, achamos que as coisas ruins não vão acontecer conosco.

05:21 – 05:26

E as pesquisas — já foram realizadas tantas pesquisas sobre isso, muitas delas conduzidas em Londres pelo Dr.

05:26 – 05:29

Tali Sharot; então, se você quiser dar uma olhada, recomendo muito.

05:30 – 05:35

E essas pesquisas geralmente abordam temas como saúde, divórcio,

05:36 – 05:38

não acham que algo ruim vai acontecer com eles.

05:38 – 05:42

Acho que isso se aplica muito bem à segurança cibernética.

05:42 – 05:54

Quando comecei a aprender sobre isso, pensei: “É por isso que, quando apresentamos ao conselho todas as estatísticas indicando que é provável que um incidente ocorra em algum momento, por que…?”

05:54 – 05:55

eles podem simplesmente dar de ombros para isso.

05:55 – 05:58

Porque acham que isso acontece com todo mundo.

05:58 – 05:59

Mas isso não vai acontecer conosco.

05:59 – 06:06

E acho que isso tem um impacto enorme em todos os tipos de aspectos da segurança cibernética

06:06 – 06:08

principalmente na resposta a incidentes.

06:08 – 06:15

E imagino que esse viés realmente se agrave quando coisas ruins realmente acontecem.

06:15 – 06:15

É.

06:15 – 06:19

Porque eles pensam: “Isso vai contra tudo o que eu poderia ter imaginado”.

06:19 – 06:20

É, é isso mesmo.

06:20 – 06:30

Isso prejudica esse tipo de memória muscular, essa resiliência, a resiliência individual, da equipe e até mesmo da organização, porque pensamos: “Bem, não imaginávamos que isso fosse…”

06:30 – 06:30

acontecer.

06:30 – 06:35

Então, há um certo choque e, você sabe, as ferramentas, os processos e o

06:35 – 06:41

elemento humano da resposta a incidentes simplesmente não estão em vigor, porque isso nunca foi previsto.

06:41 – 06:42

Entendi.

06:42 – 06:43

E só por curiosidade, uma coisa.

06:43 – 06:48

Então, provavelmente todos nós conhecemos pessoas em nossas vidas que veem o copo meio cheio ou meio vazio.

06:48 – 06:54

Usando sua estatística, 80% das pessoas, nesse aspecto, veem o copo meio cheio.

06:54 – 06:55

Sim.

06:55 – 06:57

% cheio, para usar a analogia.

06:57 – 07:05

Mas você conhece pessoas e há pessoas que estão com menos da metade da capacidade, mas você está dizendo internamente que, quando elas pensam nisso, isso é…

07:05 – 07:07

onde elas ainda estão, nesse 80.

07:07 – 07:15

E também essa diferença entre um certo cinismo, talvez em todo o mundo, e pensar em como as coisas vão se desenrolar para você.

07:15 – 07:17

m

07:17 – 07:21

E, internamente, saber quais são suas expectativas e ter otimismo é algo positivo.

07:21 – 07:25

Não estou dizendo que devemos tentar eliminar o otimismo do projeto.

07:25 – 07:31

Eu mesmo sou uma pessoa otimista e, com frequência, reconheço que o viés de otimismo está presente em mim.

07:31 – 07:32

O otimismo é

07:32 – 07:41

ótimo. Não teríamos chegado onde estamos como seres humanos se não fôssemos otimistas e, além disso, francamente, teríamos dificuldade em superar o dia a dia se não tivéssemos um pouco de

07:41 – 07:46

otimismo. Então, em vez de tentar, hum, criá-lo

07:47 – 07:51

Uma coisa é reconhecê-lo e outra é trabalhar com ele sempre que pudermos.

07:52 – 08:02

Então, em vez de, sabe, usar aquele ditado do tipo “não é uma questão de ‘se’, mas de ‘quando’” e tentar assustar as pessoas, podemos dizer: “Sabe de uma coisa? É provável que um incidente aconteça, mas podemos estar

08:02 – 08:03

preparados.

08:03 – 08:05

Há coisas que podemos fazer para ter, hum…

08:05 – 08:12

ferramentas disponíveis, ter processos em vigor, e quanto mais nos prepararmos, mais resilientes seremos.

08:12 – 08:17

Então, é uma forma otimista de encarar algo que é desafiador.

08:18 – 08:26

E, ao lutar em nome das pessoas que estão nessa categoria de 20%, quão difícil é isso?

08:26 – 08:31

Ou até que ponto elas estão preparadas, já que têm um viés na direção oposta?

08:31 – 08:35

Ter um viés contra o otimismo pode, então, ser um desafio por si só.

08:35 – 08:41

Porque você pode pensar: “Bem, coisas ruins sempre vão acontecer, então por que eu deveria me dar ao trabalho?”

08:41 – 08:48

Então, esse tipo de mensagem sobre estar preparado, por mais engraçado que pareça, funciona para os dois lados, o que é bastante útil.

08:48 – 08:53

É, Ricky, tenho certeza de que, quando grandes projetos dão errado, né?

08:53 – 08:55

Onde você já viu isso acontecer?

08:55 – 09:09

Então, veja bem, durante uma crise, muitas vezes não atingimos o nível dos nossos planos de RI ou de quaisquer outros planos. Muitas vezes caímos para o nível da nossa prática de execução, certo? Comportamentos ensaiados costumam superar

09:09 – 09:18

grandes intenções, e a resposta a incidentes — ou, como eu chamo, a resiliência a incidentes — é exatamente isso: é uma meta

09:19 – 09:25

mas sem prática e comportamentos ensaiados nesse modelo mental e nessa memória muscular mental.

09:27 – 09:35

E se o seu primeiro desastre for o momento em que você tiver seu primeiro treino, o resultado não será resiliência, e sim má publicidade.

09:36 – 09:50

Então, para complementar o que a Jessica disse sobre o viés de otimismo, muitas vezes tendemos a esquecer que nós, como seres humanos, precisamos analisar os processos e as ferramentas à nossa disposição, e colocá-las em prática

09:50 – 09:54

todos juntos neste mundo altamente complexo em que vivemos hoje.

09:55 – 10:01

E ouvimos de nossos palestrantes principais nesta manhã que a tecnologia, o panorama, tudo ao nosso redor está se tornando cada vez mais complexo.

10:02 – 10:06

E nesse ambiente diversificado e complexo,

10:06 – 10:17

ter, primeiro, um viés de otimismo e, segundo, essa falsa noção de segurança de que temos planos, mas que na verdade não os ensaiamos nem os colocamos em prática, só está nos levando a mais

10:17 – 10:19

fracassos e sucessos.

10:20 – 10:30

Isso me lembra que, tenho certeza de que, se fizéssemos uma votação por levantamento de mãos ou conversássemos com todos vocês, muitas pessoas diriam: “Ei, olha, eu poderia ser tão otimista quanto quisesse e quero ser…”

10:30 – 10:34

prontos, mas não temos orçamento, não temos tempo, não temos pessoal”.

10:34 – 10:36

Então, vou dar um palpite sobre quando esses

10:36 – 10:41

forças se opuserem ao viés de otimismo, isso também será uma força a ser levada em conta, certo?

10:41 – 10:47

Tipo, eu quero fazer isso, mas a instituição para a qual trabalho não tem recursos para isso, não consegue realizar o projeto.

10:47 – 10:52

Então, talvez a gente possa explorar um pouco isso à medida que avançamos, porque você provavelmente percebe isso, Zak, certo?

10:52 – 10:58

Quero dizer, quando acontecem coisas difíceis, o que acontece com essas pessoas?

10:58 – 11:04

Como elas reagem no meio da situação, sob pressão, por assim dizer?

11:05 – 11:08

Porque você tem que entender que todo mundo ainda é humano.

11:08 – 11:11

Não importa quantas vezes você tenha praticado algo.

11:11 – 11:19

Embora o exercício e a prática ajudem muito, é basicamente assim que você desenvolve sua resiliência.

11:19 – 11:23

Mas as pessoas se escondem quando acontecem incidentes.

11:23 – 11:24

Elas se escondem.

11:24 – 11:27

Elas tentam apagar os rastros

11:28 – 11:33

e verificam se não foi culpa de nenhum deles; depois começam a se culpar e assim por diante.

11h33 – 11h40

E isso, basicamente, decorre do fato de que, inicialmente, não houve testes suficientes.

11:41 – 11:46

Um plano de resiliência cibernética ou de Recovery cibernética: você tem o plano, mas ele não foi testado o suficiente.

11:46 – 11:56

E assim que você incorpora isso, passa a ser uma memória muscular e todos sabem exatamente o que vão fazer a seguir, no momento certo,

11:56 – 12:00

então você não tem mais esse tipo de comportamento.

12:00 – 12:06

O que também é interessante, porque ouvi suas estatísticas e gostaria de ter trazido algumas minhas.

12:07 – 12:10

Mas como o seguro se encaixa nisso?

12:10 – 12:17

Ah, tipo, como você disse, a gente não quer, a gente não quer pagar pelo seguro, certo?

12:17 – 12:20

Estamos com esse tipo de despesa.

12:20 – 12:23

Mas como isso se encaixa no viés de otimismo?

12:23 – 12:25

Porque, hum…

12:25 – 12:28

Porque ainda pagamos pelo seguro do carro, pelo plano de saúde.

12:29 – 12:30

É um ponto interessante.

12:30 – 12:36

Se pensarmos no seguro de saúde ou no seguro de vida, como eles são enquadrados?

12:36 – 12:42

Eles não são enquadrados como seguro contra doenças ou seguro contra morte.

12:42 – 12:49

Portanto, mais uma vez, podemos aprender algo com esses setores e com o fato de que isso não aconteceu por acaso.

12:49 – 12:52

Há um enquadramento em ação ali.

12:52 – 12:54

Para ajudar a atrair as pessoas.

12:54 – 12:56

Em vez de cuidar da sua família.

12:56 – 12:56

Exatamente.

12:56 – 12:57

Passando adiante essa ideia.

12:57 – 12:58

Certo.

12h58 – 12h58

Sim.

12:58 – 12:59

Você pode pensar nos anúncios que vê.

12h59 – 13h02

Pode pensar no contexto em torno de tudo isso.

13:02 – 13:07

É tudo uma abordagem muito otimista e positiva de coisas que, essencialmente, são negativas.

13:07 – 13:08

É.

13:08 – 13:16

Só quero fazer uma pausa rápida pra contar que ligamos o ar-condicionado aqui porque estávamos perdendo libras muito rápido.

13:16 – 13:17

Posso falar por mim mesmo.

13:17 – 13:20

Foi incrível, que milagre acabou de acontecer.

13:20 – 13:21

Ok

13h23 – 13h28

Dá pra imaginar a State Farm? Faça um seguro de vida!

13:28 – 13:29

Como um bom vizinho.

13:29 – 13:36

Nossa, isso sai tão naturalmente da boca.

13:36 – 13:39

Mas, na segurança cibernética, costumamos enxergar as coisas de outra maneira.

13:39 – 13:39

É verdade.

13:39 – 13:40

É mesmo.

13:40 – 13:44

Não estamos seguindo o exemplo de uma empresa já bem estabelecida.

13:44 – 13:44

É.

13:44 – 13:46

E isso não é segredo meu.

13:46 – 13:52

Muitas das coisas que trago para a segurança cibernética, não estou inventando nem reinventando a roda.

13:53 – 14:04

Estou pegando conhecimentos já estabelecidos — sabe, pesquisas que já existem e que qualquer pessoa pode utilizar, mesmo em áreas fora da segurança cibernética — e trazendo-os para cá.

14:04 – 14:09

E poderíamos avançar muito se prestássemos mais atenção a essas áreas.

14:09 – 14:14

E acho que vamos fazer isso, mas, seja na neurociência, na psicologia, na sociologia ou no marketing, há muito que podemos aprender.

14:14 – 14:23

Então, nesse sentido, não estou pedindo que você revele todos os seus segredos, porque sei que você ganha uma boa grana, mas e se houvesse algumas

14:23 – 14:34

pontos-chave? Se você tivesse que resumir o que acontece em um evento, quais seriam as principais coisas que você gostaria que seu público levasse consigo ao participar de um de

14:34 – 14:35

dessas?

14:35 – 14:46

Sim, isso varia, mas, no que diz respeito a essa conversa em particular, acho que uma coisa é que, na segurança cibernética, muitas vezes contamos com o medo, não é mesmo, para tentar divulgar nossa mensagem.

14:46 – 14:50

E eu entendo que as pessoas pensem que podemos assustar.

14:51 – 14:53

alguém a adotar um determinado comportamento.

14:53 – 14:55

Na verdade, não funciona assim.

14:55 – 14:58

Usar o medo para tentar mudar um comportamento é muito complicado.

14:58 – 15:01

E nós

15:01 – 15:04

usamos isso como uma espécie de martelo.

15:04 – 15:09

O que podemos pensar, em vez disso, é em como podemos estruturar nossa mensagem.

15:09 – 15:12

Podemos pensar em trabalhar com os preconceitos humanos.

15:12 – 15:14

Porque o preconceito existe.

15:14 – 15:16

Então, como podemos estruturar nossa mensagem?

15:16 – 15:28

Por exemplo, se quisermos que uma diretoria ou uma equipe pratique a resposta a incidentes, em vez de tentar assustá-los para que acreditem que isso é importante, podemos fazer uma apresentação realista

15:28 – 15:29

da ameaça.

15:29 – 15:31

Mas, se praticarmos, isso nos torna mais

15:31 – 15:33

resilientes.

15:33 – 15:35

Essa resiliência vem da repetição.

15:35 – 15:37

Então, pensando nessa perspectiva mais otimista.

15:37 – 15:42

Ok, e a gente conversou um pouco sobre isso, eu me lembro, quando estávamos em Las Vegas.

15:43 – 15:51

Você faz algo tão único e, se alguém disser: “Uau, preciso contratar a Jessica ou alguém assim”.

15:51 – 15:53

Como você vende essa ideia internamente?

15:53 – 15:55

Esse é um conceito tão único.

15:55 – 16:02

Não faz parte do… Provavelmente todo mundo aqui está pensando: “Uau, eu nem imaginava que alguém fizesse isso”, certo?

16:02 – 16:12

Quando você vê formas bem-sucedidas de vender seus serviços e conseguir chegar até a equipe executiva, quais são algumas maneiras de fazer isso acontecer?

16:12 – 16:16

Sim, então, venho fazendo isso há 15 anos.

16:16 – 16:20

No começo, eu certamente tive muito mais dificuldade com isso.

16:21 – 16:31

E acho que uma coisa é que temos visto esse reconhecimento crescente no setor de segurança cibernética de que as pessoas estão no centro da segurança cibernética tanto quanto as ferramentas ou…

16:31 – 16:33

processos.

16:33 – 16:39

Mas, essencialmente, muitas vezes é necessário um certo nível de maturidade cultural na organização.

16:39 – 16:50

E, infelizmente, muitas vezes é preciso passar pela experiência de um incidente — seja diretamente, seja quando uma organização vê isso acontecer em uma organização semelhante —, pois isso rompe a

16:50 – 16:51

viés de otimismo.

16:53 – 16:55

Acho que dá para ver isso como uma faca de dois gumes.

16:55 – 17:03

É lamentável que seja necessário isso, mas, se esse tiver que ser o catalisador — e não for você nem talvez um colega —, siga em frente.

17:03 – 17:04

Certo.

17:04 – 17:05

Fantástico.

17:05 – 17:06

Obrigado.

17:08 – 17:13

Eu não pedi para a Jessica me explicar tudo sobre isso, porque é fascinante.

17:13 – 17:17

Acho que, para todos nós que viemos da área técnica, isso é ótimo.

17:17 – 17:19

Então, sim, com certeza.

17:20 – 17:21

Tudo bem.

17:21 – 17:27

Então, Ricky, quando a gente conversou, você falou sobre o mínimo viável.

17:27 – 17:35

Interessante, ouvimos muito sobre isso na palestra desta manhã, mas não eliminamos esse termo de propósito; ele ficou meio que ofuscado pelo que veio a seguir.

17:35 – 17:38

Então, você quer falar um pouco sobre isso?

17:38 – 17:38

Claro.

17:38 – 17:42

Então, voltando ao ponto de que a prática leva à perfeição, certo?

17:42 – 17:44

Mas como você pratica e no que você pratica?

17:44 – 17:57

Então, se a gente olhar para um grande ecossistema, tem um conjunto tão vasto e heterogêneo de tecnologias em operação que movimenta o seu negócio; como saber por onde começar a praticar?

17:57 – 17:59

e com que frequência você treina, certo?

17:59 – 18:08

Então, na Commvault, discutimos o conceito de “mínimo viável”, e o que isso realmente significa é aproveitar ferramentas como a avaliação de impacto nos negócios (BIA), que vemos realizando há muitos anos.

18:08 – 18:09

anos.

18:09 – 18:11

Você começa a definir o que é essencial para o seu negócio.

18:11 – 18:16

Portanto, o Active Directory pode ser essencial para a missão, um sistema de atendimento ao paciente pode ser essencial para a missão.

18:16 – 18:26

E você define e diz: “Sabe de uma coisa? É por aí que vou começar, porque, se houver uma violação e meu sistema for desativado, é isso que quero restaurar primeiro.”

18:26 – 18:35

E depois, passando dos sistemas de missão crítica para os de importância crítica para os negócios, que podem ser seus e-mails, suas comunicações, seus outros aplicativos e cargas de trabalho.

18:35 – 18:38

E, em seguida, você define os aplicativos de suporte

18:38 – 18:45

assim que estiverem em funcionamento; com os aplicativos de missão crítica, de negócios críticos e de suporte, agora você tem todo o seu ambiente operacional.

18:45 – 18:50

Lembre-se: costumamos falar sobre resposta a incidentes e pensamos em segurança.

18:50 – 18:58

A resposta a incidentes é necessária como um processo ou como conhecimento institucional, não apenas para incidentes de segurança.

18:58 – 19:01

Você pode ter um software defeituoso que pode derrubar seu sistema.

19:01 – 19:08

Você pode ter uma IA, um software de IA autônomo que pode fazer algo, pode ligar

19:08 – 19:10

e desligar seu ambiente.

19:10 – 19:13

Para mim, a resposta a incidentes vai além da simples segurança.

19:13 – 19:17

Isso realmente ajuda a definir a capacidade operacional da sua empresa, certo?

19:17 – 19:27

E é por isso que a noção de protocolo de missão ou de viabilidade mínima entra em cena para ajudar você a definir de fato suas aplicações e suas cargas de trabalho e, então, começar a criar testes e

19:27 – 19:28

procedimentos em torno disso.

19:28 – 19:37

Outro ponto que gostaria de destacar rapidamente é que, se você analisar a estrutura do NIST para resposta a incidentes, a publicação especial 861,

19:38 – 19:51

frequentemente divide a resposta a incidentes em quatro fases bem definidas: preparação, detecção; depois, passa para contenção, erradicação, Recovery; e, por último, reavaliação e revisão de sua

19:51 – 19:52

linha de base.

19:52 – 19:58

Bem, o problema com toda essa noção de recuperação, como ouvimos hoje cedo, é que ela cria pontos cegos.

19:58 – 19:59

Afinal, o que você está realmente recuperando?

19:59 – 20:01

Até que ponto você confia no que está recuperando?

20:01 – 20:04

Esses dados são totalmente confiáveis?

20:04 – 20:07

Eles incluem verificações de integridade?

20:07 – 20:13

E acho que é por isso que o NIST precisa reavaliar o que está dizendo sobre “recuperação” e talvez pensar em “reconstrução”.

20:13 – 20:19

Porque, sabe, para mim, “recuperar” basicamente parece que você tem uma parede danificada e está remendando a parede.

20:19 – 20:22

Bem, não é tão elegante assim. Você está remendando a parede.

20:22 – 20:25

Reconstruir é, basicamente, reconstruir essa parede a partir de uma planta conhecida.

20:26 – 20:37

E é por isso que, quando você analisa nossas soluções, como o Cloud Rewind e outras, nós, na verdade, ajudamos você a reconstruir toda a pilha de aplicativos, certo, com dados conhecidos, com dados de qualidade.

20:37 – 20:42

E agora você tem um nível de confiança na sua Recovery por meio desse processo metódico.

20:42 – 20:50

Então, no fim das contas, basta dizer: não pense na resposta a incidentes apenas como uma questão de segurança.

20:50 – 20:53

É qualquer coisa que possa tirar sua empresa do ar.

20:53 – 20:57

Não dá para restaurar tudo logo no primeiro minuto, certo?

20:57 – 21:05

O objetivo da resposta a incidentes é, basicamente, detectar em segundos, mitigar em minutos e manter a resiliência para sempre.

21:05 – 21:09

E, para isso, é preciso definir o que é o mínimo viável para a sua empresa.

21:09 – 21:12

Então, nesse sentido…

21:12 – 21:14

só quero fazer uma votação por levantamento de mãos aqui.

21:14 – 21:17

Vamos usar a Wayback Machine, basta escolher 10 anos.

21:17 – 21:23

E a gente andava por aí dizendo a todo mundo: “Ei, temos esse serviço incrível”, não nós, a Commvault, mas o setor.

21:23 – 21:25

Vamos fazer o mapeamento de aplicativos.

21:25 – 21:32

Porque, antes mesmo de avançar para uma discussão mais ampla sobre isso, é preciso primeiro entender o nível de interconectividade.

21:33 – 21:34

E eu estou

21:34 – 21:38

que sou do tipo que vê o copo meio cheio, só para que a Jessica saiba.

21:39 – 21:45

Mas nós nos esforçamos tanto como setor para isso e fracassamos com tantas iniciativas.

21:45 – 21:53

Se vocês perguntarem — na verdade, nem vou perguntar, porque as pessoas vão querer levantar a mão —: “Ei, vocês têm um mapa completo de aplicações?”

21:53 – 21:56

Aposto que não teremos muitas mãos levantadas.

21:56 – 22:04

E tudo bem, talvez, porque agora que levantamos essa questão, podemos recuperar isso em um nível diferente de abstração.

22:04 – 22:09

Mas estou curioso para saber sua opinião sobre isso, porque você provavelmente passou por isso, certo, naquela primeira rodada.

22:09 – 22:10

Isso ajuda?

22:11 – 22:17

Você ainda precisa definir o que é “mínimo viável”, mas será que ajuda o fato de você ter abstraído esse mapeamento mais detalhado da aplicação?

22:17 – 22:20

Não apenas o mapeamento de aplicativos, mas também o mapeamento de dados.

22:20 – 22:23

Suas aplicações são, essencialmente, consumidoras dos dados.

22:23 – 22:31

E, no fim das contas, um malware de ransomware ou qualquer adversário que esteja tentando comprometer você não está fazendo isso porque gosta do seu aplicativo.

22:31 – 22:34

Esses são os esforços das Ferramentas de Potência, que são os dados, certo?

22:34 – 22:39

Portanto, de jeito nenhum são seus dados que decidem, e nossos serviços de ataque estão simplesmente fora de controle.

22:39 – 22:43

E você está perguntando se alguma vez soubemos onde nosso aplicativo está.

22:44 – 22:51

Talvez nos anos 70 e 80, quando havia aplicativos cliente-servidor ou um terminal se conectava a um mainframe.

22:51 – 22:55

Hoje você está desenvolvendo um dos… você está passando de desenvolver

22:57 – 22:59

você está lançando VMs.

22:59 – 23:06

Você tem todo o processo de desenvolvimento, segurança e operações que está lançando aplicativos em tempo real, e os dados residem em todos os lugares.

23:06 – 23:15

E acho que é por isso que é importante ter essa visibilidade de ponta a ponta: quem possui os dados, quem está acessando-os e onde estão os controles.

23:15 – 23:19

E esses princípios básicos de “comer seus vegetais de segurança” já evoluíram bastante.

23:19 – 23:22

Você ainda precisa se certificar de que está cumprindo com as medidas básicas de segurança.

23:22 – 23:26

Controle de acesso a partir do gerenciamento de identidades,

23:26 – 23:32

mostrou que você não tem nenhuma confiança de que todos esses movimentos laterais entre os pontos de dados sejam seguros.

23:32 – 23:43

Porque sua capacidade de resposta a incidentes — ou, como eu chamo, resiliência a incidentes, que é composta por resposta, recuperação e está integrada à resiliência a incidentes — depende de como

23:43 – 23:44

disposto você está a se adaptar ao ambiente.

23:45 – 23:48

Ok, então, Zach, preciso fazer uma pergunta a você.

23:49 – 23:51

Todo mundo está sobrecarregado, né?

23:51 – 23:58

Todos com quem você trabalha, e quando você chega, você complementa com seu incrível conjunto de habilidades, habilidades que eles não têm.

23:58 – 24:00

Será que as pessoas não têm tempo para fazer isso?

24:00 – 24:10

Quero dizer, essas são coisas importantes, como o Ricky está apontando, mas quando a gente realmente entra na prática, o que está acontecendo? Por que não conseguimos fazer pelo menos parte disso?

24:10 – 24:13

O que está impedindo as pessoas de definir isso?

24:13 – 24:16

Bem, porque, na verdade, há várias coisas.

24:16 – 24:20

Na verdade, eu diria que, em primeiro lugar, é a cultura.

24:21 – 24:32

Existem esses departamentos que, especialmente em empresas mais antigas, e quero destacar o mapeamento de aplicativos: se o seu aplicativo tem dois meses,

24:32 – 24:34

você sabe exatamente do que se trata.

24:34 – 24:42

Quando chega a dois anos e está cheio de ramificações por toda parte, aí você não faz mais ideia do que está acontecendo.

24:42 – 24:47

E, assim, nas empresas mais antigas, você encontra essas culturas.

24:48 – 24:53

O cara da segurança, o cara do backup, o cara dos terminais, e eles não se misturam.

24:53 – 24:57

Você se relaciona com o seu próprio pessoal, certo?

24:57 – 25:05

Ontem eu disse a alguém que tenho 30 anos de experiência em TI e que 17 deles foram dedicados à segurança.

25:06 – 25:18

Em nenhum único dia desses 17 anos eu cheguei a conhecer meus colegas de backup, o que é uma loucura, porque, no fim das contas, se você pensar bem, o que eu faço como profissional de segurança?

25:18 – 25:23

Não estou protegendo as pessoas nem seus carros.

25:23 – 25:27

Também estou protegendo os dados, assim como o pessoal do backup.

25:29 – 25:38

Acho que, nas empresas e nas culturas organizacionais, precisamos mudar a maneira como vemos as funções uns dos outros e o que realmente estamos fazendo lá.

25:38 – 25:49

Estou lá para instalar um firewall, IPS, SIM, SOC, todas essas coisas legais, e fazer a análise forense, os testes de vulnerabilidade e a arquitetura.

25:49 – 25:54

A razão para tudo isso se resume ao que cada um está fazendo lá.

25:54 – 26:04

E isso significa gerar esses dados, desenvolver os aplicativos e prestar o serviço para o público em geral,

26:05 – 26:08

Jessica, dei pra perceber que você estava na ponta da cadeira.

26:08 – 26:10

Como você supera isso?

26:10 – 26:17

Quero dizer, mais uma vez, isso precisa ser apresentado de uma maneira totalmente diferente para mudar esse aspecto cultural.

26:17 – 26:19

Adorei que Sark tenha mencionado a cultura.

26:20 – 26:28

E também quanto ao que o Ricky disse sobre quando ocorre um incidente ou sobre a preparação para um incidente: isso vai muito além da segurança.

26:28 – 26:35

E sim, claro, estamos falando de infraestrutura, estamos falando de backups, mas também estamos pensando na organização como um todo.

26:37 – 26:40

Estamos pensando na cultura e em como todos podem ser afetados.

26:40 – 26:46

Então, enquanto o Ricky falava, eu estava pensando no que vem acontecendo no Reino Unido este ano.

26:46 – 26:56

Sou do Reino Unido, agora moro em Las Vegas, mas passei bastante tempo no Reino Unido este ano, e um dos meus lugares favoritos para ir é a Marks & Spencer.

26:57 – 27:03

As lojas da Marks & Spencer são muito grandes, como todo mundo sabe, muito grandes e muito compridas.

27:03 – 27:14

incidente este ano: eu estava lá no primeiro dia, tentando comprar alguns mantimentos com meu cartão, mas ele não funcionava, e eu pensei: “O que está acontecendo aqui?”, e acabou que era o dia

27:14 – 27:20

de um ataque cibernético que derrubou o site deles. Perdi a noção de quanto tempo durou, mas estamos falando de meses.

27:20 – 27:23

Cadeia de suprimentos, nada nas prateleiras.

27:23 – 27:31

Eu estava entrando na Marks & Spencer e as prateleiras estavam vazias, ou havia um único produto ocupando praticamente uma prateleira inteira.

27:31 – 27:35

Então, havia, tipo, cem garrafas de Coca-Cola, em vez da variedade de sempre.

27:35 – 27:39

Então, eu estava conversando com todo mundo que estava lá na área de vendas.

27:39 – 27:42

Entro no café e fico conversando com as pessoas que trabalham lá.

27:42 – 27:46

Não digo a eles que trabalho com segurança cibernética, mas fico tipo, ah…

27:46 – 27:47

vocês não têm abacates.

27:47 – 27:50

Isso tem a ver com o incidente cibernético?

27:50 – 27:53

E achei muito interessante a forma como eles responderam.

27:54 – 28:00

Em primeiro lugar — e isso aconteceu com todas as pessoas com quem conversei —, elas reconheceram o quanto aquilo foi desafiador para elas.

28:00 – 28:02

E disseram: “Nós viemos trabalhar todos os dias.”

28:02 – 28:04

Não sabemos o que vamos encontrar.

28:04 – 28:14

Não sabemos se vamos chegar e não ter estoque para entregar aos clientes, ou se vamos chegar numa situação parecida com a semana antes do Natal, quando estamos sobrecarregados com

28:14 – 28:15

estoque.

28:15 – 28:21

Temos clientes perguntando se temos o produto XYZ e não conseguimos verificar nos sistemas, não sabemos.

28:21 – 28:23

Então, eles reconheciam o quão ruim a situação estava.

28:23 – 28:29

E então diziam: “Mas temos muita sorte porque trabalhamos muito bem em equipe”.

28:29 – 28:31

Estamos todos nos apoiando mutuamente.

28:31 – 28:34

Recebemos notícias da matriz o tempo todo.

28:34 – 28:41

E ouvi, em várias ocasiões diferentes, o quanto eles respeitavam a equipe de segurança.

28:41 – 28:45

Eles diziam coisas como: “A equipe técnica está se esforçando muito para que tudo dê certo”.

28:45 – 28:47

E estão trabalhando sem parar.

28:47 – 28:52

Ouvi dizer que estão dormindo no escritório e pedindo pizza para entregar lá.

28:52 – 28:54

E isso, aliás, ficava bem longe da sede.

28:54 – 28:57

Isso fica no nordeste da Inglaterra, em comparação com Londres.

28:57 – 28:59

E eu pensei que há muito que podemos aprender com isso.

28:59 – 29:02

E fiquei pensando no Wang.

29:02 – 29:03

E pensei: bem, por que eu…

29:03 – 29:04

adoro ir à Marks & Spencer?

29:04 – 29:10

É como se fosse uma marca que inspira confiança e que tem personalidade.

29:10 – 29:17

E só posso concluir disso que isso é algo interno, além de ser projetado externamente.

29:17 – 29:20

Portanto, a comunicação é algo com o qual podemos aprender.

29:20 – 29:27

O respeito que vinha do topo da organização e se estendia por toda a estrutura é, então, retribuído.

29:27 – 29:30

E isso não se constrói em um único incidente.

29:30 – 29:33

Isso se constrói em uma cultura empresarial ao longo dos anos

29:33 – 29:36

quando as coisas vão bem e é posta à prova quando as coisas dão errado.

29:36 – 29:38

Isso é interessante.

29:38 – 29:44

Outro fator que torna tudo isso muito complicado é que hoje vivemos em um mundo de responsabilidade compartilhada, certo?

29:44 – 29:54

Portanto, hoje as empresas não estão apenas enfrentando dificuldades com os silos existentes internamente em suas equipes de TI, suporte jurídico e banco de dados de aplicativos.

29:54 – 29:59

mas agora vocês também estão operando em um ambiente em que as cargas de trabalho são orientadas a custos—

30:05 – 30:09

Além disso, você conta com integradores de sistemas (SIs) que estão ajudando na integração personalizada e coisas do tipo.

30:09 – 30:12

Então, onde realmente começa a responsabilidade?

30:12 – 30:23

Porque é preciso considerar o modelo de responsabilidade compartilhada no qual nos colocamos intencionalmente, no qual temos a segurança da infraestrutura, a segurança das nuvens, da

30:23 – 30:25

aplicativos e do ambiente local.

30:25 – 30:35

E, na matriz de responsabilidade compartilhada, embora todos compreendam a necessidade de construir uma cultura de higiene, esse é o problema conflitante.

30:35 – 30:41

E isso impede que as pessoas realmente elaborem esses planos de resposta a incidentes (IR) e os testem.

30:41 – 30:47

E acho que as empresas que vão vencer essa batalha são aquelas que se empenham deliberadamente em criar um público-alvo comum.

30:47 – 30:54

Então, sabe de uma coisa? É importante que todos os nossos parceiros trabalhem junto conosco para elaborar esses planos e, depois, colocá-los em prática.

30:54 – 30:59

Porque, em momentos de crise, vocês contarão com a matriz de responsabilidade compartilhada.

30:59 – 31:03

E de todos os participantes envolvidos nela para ajudá-los a se recuperar.

31:04 – 31:09

É, um ponto interessante, e, Zach, quando você disse: “Ei, eu não falei com eles”.

31:09 – 31:11

Não foi que você não gostasse deles.

31:11 – 31:14

Não era que você tivesse algum preconceito negativo ou algo assim em relação a eles.

31:14 – 31:16

Você só pensava: “Tenho muito trabalho a fazer”.

31:16 – 31:19

É isso que eu faço.

31:19 – 31:25

E isso precisa transcender uma área muito mais ampla dentro da própria organização.

31:25 – 31:26

Pessoal, nós, do setor de segurança.

31:26 – 31:30

Nós pensamos muito em nós mesmos, né?

31:30 – 31:30

Sim

31:33 – 31:33

a linha.

31:33 – 31:35

O melhor da linha.

31:35 – 31:35

Certo.

31:35 – 31:39

E também fico pensando se havia algo incorporado para incentivar você a falar.

31:39 – 31:40

De jeito nenhum.

31:40 – 31:42

Ou para aprendermos juntos.

31:42 – 31:47

Podemos dizer que podemos encarar isso como se não tivéssemos feito isso.

31:47 – 31:49

Mas a organização facilitou isso?

31:49 – 31:53

Isso foi algo planejado para ajudar a incentivar?

31:53 – 31:55

É, de jeito nenhum.

31:55 – 32:01

E é por isso que eu digo às pessoas que vocês precisam…

32:01 – 32:07

reunir seus principais colaboradores de toda a infraestrutura e levá-los para tomar uma cerveja toda semana.

32:07 – 32:10

Eles precisam conversar uns com os outros.

32:10 – 32:19

Mesmo que não seja uma colaboração nem nada do tipo, eles precisam saber o nome, o número de contato e quais são as funções de cada um na organização para que tudo funcione sem problemas.

32:19 – 32:30

Porque você está criando divisões, sem perceber, está separando toda a sua organização de dentro para fora e não há como, não há…

32:30 – 32:34

ligações de comunicação aberta de verdade entre eles.

32:34 – 32:45

Lembro-me de uma organização, durante o lockdown, que estava enfrentando muita dificuldade para fazer com que essas equipes interagissem entre si, especialmente agora que elas não estavam no

32:45 – 32:48

escritório, sabe, e eles fizeram construções com Lego.

32:48 – 32:59

Eles enviaram um pequeno kit de Lego para cada um individualmente, reuniram todos no Zoom, no Teams ou algo do tipo, e todos montaram Lego em casa, separadamente uns dos outros, mas

32:59 – 33:00

juntos.

33:00 – 33:01

E deu certo.

33:01 – 33:04

Simples, preço razoável, promove o trabalho em equipe.

33:04 – 33:05

Que ironia.

33:05 – 33:06

Estamos na palestra principal.

33:06 – 33:09

Há agentes realizando tarefas automaticamente.

33:09 – 33:11

Haverá pessoas em Marte.

33:11 – 33:16

E nós estamos, literalmente, só conversando sobre Legos, pizza e como aproveitar o tempo.

33:16 – 33:18

Mas é real, né?

33:18 – 33:24

A gente pensa em um nível muito mais elevado, mas há algumas coisas básicas às quais precisamos voltar.

33:24 – 33:28

Então, Zach, falando nisso, hum, ouvimos falar sobre res ops.

33:28 – 33:30

Está em alta

33:30 – 33:32

no Twitter ou no X.

33:32 – 33:34

Desculpe, meu Deus, usei o termo antigo.

33:34 – 33:35

Então.

33:35 – 33:37

Fale-nos sobre isso.

33:37 – 33:44

Quero dizer, sei que é algo que está em alta, que estamos tentando criar, mas há algo de verdadeiro por trás disso, certo?

33:44 – 33:54

Porque as ferramentas, a interconexão — chamemos do jeito que quisermos —, ainda assim têm elementos reais por trás que estão tornando as operações de recursos humanos uma realidade.

33:54 – 34:03

Então, talvez sob a perspectiva das ferramentas e de como estamos encarando essas operações de resiliência, você poderia nos dar uma ideia do que isso realmente significa na prática?

34:06 – 34:09

Então, as operações de resiliência são…

34:10 – 34:17

Bem, você tem as ferramentas, as pessoas e os processos, mas se não testar, vou voltar a falar sobre essa questão dos testes, Chris.

34:17 – 34:24

Você precisa continuar… Se você não testar, vai ficar com todas essas ferramentas que você assina há anos e anos.

34:24 – 34:30

É como a minha, hum, assinatura de um, hum, campo de golfe onde…

34:30 – 34:31

uh

34:31 – 34:38

Fui lá duas vezes em dois anos e acabei gastando milhares por essas duas vezes.

34:38 – 34:47

Então você tem todas essas ferramentas pelas quais paga, nas quais faz assinatura e para as quais compra servidores, e elas ficam rodando lá em segundo plano.

34:47 – 34:50

hum

34:50 – 35:00

Se você não souber como usá-las e se deparar com um incidente, elas vão, na verdade, só atrasar sua recuperação.

35:00 – 35:08

Francamente, essas ferramentas também são algo que você precisa restaurar quando a situação der errado, certo?

35:08 – 35:16

Hum… Então, as ferramentas não são nada que você… Francamente, eu diria às empresas: nem se preocupem com as ferramentas no momento, porque

35:17 – 35:24

Porque, se não fizerem isso, se o seu pessoal não souber como agir — tipo, se você estiver enfrentando um incidente agora mesmo —, o que você vai fazer?

35:24 – 35:25

Como você age?

35:25 – 35:27

Qual será a sua próxima ação?

35:27 – 35:30

Bem, eu entendo essa questão do otimismo.

35:30 – 35:40

É só que, para a gente conseguir passar essa mentalidade para o cliente, não dá pra dizer que é tudo apenas…

35:40 – 35:41

hum

35:42 – 35:44

rosas e creme, né?

35:44 – 35:46

Você tem que dizer o que vai acontecer.

35:46 – 35:54

Senão, se você continuar sendo otimista, eles vão simplesmente dizer: “Então parece que não precisamos de nada disso, não é mesmo?”

35:54 – 35:56

É, e eu concordo.

35:56 – 35:59

Não se trata de negar que algo ruim vai acontecer.

35:59 – 36:06

Trata-se de como você fala sobre algo negativo de uma maneira que ainda consiga convencer as pessoas.

36:06 – 36:08

O mesmo vale quando estou alertando sobre ameaças.

36:08 – 36:10

Sabe, eu vou lá e faço trabalho de conscientização.

36:10 – 36:12

Eu elaboro material de conscientização.

36:13 – 36:13

e

36:13 – 36:16

E, obviamente, estou falando das coisas ruins.

36:16 – 36:20

Não posso conscientizar as pessoas sobre segurança cibernética sem falar sobre a ameaça.

36:20 – 36:27

Mas é preciso fazer isso de forma proporcional, para que as pessoas não pensem que você está exagerando para se beneficiar.

36:27 – 36:37

E, então, pensar em como você pode capacitar e empoderar as pessoas, mesmo quando estiver falando sobre algo negativo, para que elas sintam que ainda podem se envolver com o assunto.

36:37 – 36:39

E assim que você…

36:39 – 36:41

bem, obviamente, você não vai ficar esperando o incidente acontecer.

36:41 – 36:43

Mas assim que você fizer algo como um…

36:43 – 36:55

simulação de incidente virtual, como a que temos na área de Recovery, você vai entender, vai ver todas essas 10 ferramentas, 20 a 100 ferramentas, e vai dizer: “Bem, nós…”

36:55 – 37:03

nem sequer usamos nenhuma delas na recuperação do nosso ambiente, certo? Hum, se você chegar a esse ponto

37:04 – 37:16

Então, obviamente, você poderá se livrar de todo esse excesso e, eventualmente, chegar a um ponto em que será um profissional enxuto, do tipo MVC, capaz de realizar recuperações com facilidade.

37:16 – 37:21

Bem, você sabe o que quer fazer e treinou seu pessoal bem o suficiente.

37:21 – 37:27

Não dá, então você não consegue realizar esses exercícios sem a comunicação entre essas equipes.

37:27 – 37:28

E isso é um termo.

37:28 – 37:28

Então.

37:29 – 37:33

Se você não quer mandá-los buscar cerveja, pelo menos traga-os para a sala.

37:33 – 37:42

E comece com aqueles exercícios em que você simula situações em que as coisas dão errado no seu ambiente.

37:42 – 37:44

Depois pergunte: o que vocês vão fazer?

37:44 – 37:45

O que você vai fazer?

37:45 – 37:49

E isso também é mais um exercício de culpar os outros.

37:49 – 37:51

É como se precisássemos colocar as cartas na mesa, certo?

37:52 – 37:56

É preciso tirar as pessoas da zona de conforto delas da maneira certa.

37:56 – 37:59

Elas precisam entender o que são as mesas no parque.

37:59 – 38:03

Quero dizer, a mesa é apenas uma das coisas que você também precisa usar.

38:04 – 38:05

Existem exercícios de simulação.

38:05 – 38:07

Você tem exercícios de remoção.

38:07 – 38:10

Também tem os exercícios da chave vermelha e da chave roxa, certo?

38:10 – 38:12

E cada um deles tem seu lugar na organização.

38:12 – 38:20

Então, digamos que uma organização já tenha alcançado a maioria, esteja estabelecida, saiba como deve ser sua empresa minimamente viável, tenha todos os seus processos em funcionamento, ela

38:20 – 38:27

têm a responsabilidade compartilhada bem definida e também compreenderam que, sabe, sim, precisamos olhar além do corpo humano.

38:27 – 38:30

Como você começa a fazer isso?

38:30 – 38:31

O que ajuda você a se preparar?

38:31 – 38:37

Então, os exercícios de simulação são, essencialmente, exercícios de baixo estresse.

38:37 – 38:38

Não são módulos de treinamento.

38:38 – 38:48

São sessões reais de meio dia ou dia inteiro, nas quais vocês devem se reunir com a responsabilidade compartilhada de fazer com que as pessoas pratiquem um dos cenários mais prováveis que sua

38:48 – 38:51

empresa provavelmente enfrentará.

38:51 – 38:53

E isso ajuda a trazer clareza.

38:55 – 38:57

As equipes vermelhas têm uma natureza totalmente diferente.

38:57 – 38:58

São lutadores incansáveis.

38:58 – 39:02

E as equipes vermelhas, essencialmente, ajudam você a construir uma comunidade.

39:02 – 39:07

Portanto, há uma distinção real entre o que gera clareza e o que gera humildade.

39:07 – 39:08

Gostei disso.

39:08 – 39:11

E, então, os exercícios de reconstrução são, essencialmente, uma fonte de verdade.

39:11 – 39:16

É uma reflexão em que você analisa suas avaliações de maturidade em resiliência cibernética.

39:16 – 39:17

E você diz: “Sabe de uma coisa?”

39:17 – 39:20

Temos todos esses planos que elaboramos com base em nossa avaliação.

39:20 – 39:23

Até que ponto nossos planos vão por água abaixo?

39:23 – 39:27

Essa é a verdade: o exercício de Weibull é completamente diferente.

39:28 – 39:34

Tudo isso precisa se encaixar para que você tenha uma noção real do seu nível de preparação.

39:36 – 39:38

Então você está dizendo que é fácil.

39:38 – 39:40

Deixa eu anotar isso.

39:40 – 39:42

De certa forma, é mesmo.

39:42 – 39:43

Por favor, por favor.

39:43 – 39:44

Vou cortar sua fala.

39:44 – 39:45

Não

39:51 – 39:52

Primeiro,

40:03 – 40:09

Nas outras duas vezes por mês em que nos reunimos, conversamos sobre negócios.

40:09 – 40:13

O que pode acontecer, o que acontece, quem está no comando, com quem entrar em contato.

40:13 – 40:19

E eu estabeleci uma comunicação entre todos eles para que cada departamento tivesse exatamente a mesma visão.

40:19 – 40:25

Cada pessoa sabia, sabe, que ele não é uma pessoa tão ruim assim, mesmo que trabalhe ali ou que ela trabalhe ali.

40:25 – 40:28

Agora sei que somos uma família, somos uma empresa.

40:28 – 40:29

Cada um de nós tem um interesse nisso.

40:29 – 40:31

Se algo der errado…

40:31 – 40:33

Sabemos como resolver isso.

40:33 – 40:34

Confiamos uns nos outros.

40:34 – 40:39

Já trabalhei em empresas onde a pessoa dizia: “esse problema é seu”.

40:39 – 40:40

Isso não é problema nosso.

40:40 – 40:45

E então a empresa começa a bater de frente com um obstáculo. Todos os lucros caem.

40:45 – 40:46

O dinheiro diminui.

40:46 – 40:52

Então, se for um ataque cibernético, a seguradora vai intervir e dizer: “Vocês não estão seguindo o procedimento”.

40:52 – 40:53

Vamos cancelar sua cobertura.

40:54 – 41:00

Eu organizei isso dessa forma para que a gente não acabe bebendo cerveja, porque não vou incentivar o consumo de álcool.

41:03 – 41:04

Vamos almoçar.

41:04 – 41:05

Não fale de trabalho.

41:05 – 41:07

Apenas procurem se conhecer melhor.

41:07 – 41:09

Mantenham a conversa no nível humano, certo?

41:09 – 41:09

Isso mesmo.

41:09 – 41:10

Manter no nível humano.

41:10 – 41:13

e quando você se sentar, eu digo a eles…

41:15 – 41:15

serviço.

41:21 – 41:23

Então, todo mundo é alguém diferente.

41:23 – 41:25

Agora vocês estão todos falando.

41:25 – 41:26

Todos falando.

41:26 – 41:27

E estão se conhecendo melhor.

41:27 – 41:31

Na semana seguinte, quando tivermos a reunião, certo, agora vamos… vamos nos sentar.

41:31 – 41:32

Vamos conversar.

41:36 – 41:40

Eu disse a ele: “Foi isso mesmo?”

41:40 – 41:42

E, hum, o Hospital Lennox Hill.

41:42 – 41:43

O que você acha?

41:43 – 41:48

O que é que eles fizeram de errado que pode nos ajudar a melhorar, que nos ajudou a melhorar?

41:48 – 41:55

Porque agora estamos usando um ataque externo para desenvolver um procedimento que possamos usar para nos tornarmos mais fortes.

41:56 – 41:58

Nos oito meses desde que isso aconteceu…

42:04 – 42:06

sentindo-se bem consigo mesmos.

42:06 – 42:12

Eu disse: “É isso aí, eu gostaria de ter lido o livro da Jessica naquela época”.

42:12 – 42:14

E eu digo a eles que tudo se resume à comunicação humana.

42:14 – 42:18

Porque agora todos estão se comunicando uns com os outros.

42:18 – 42:22

Todo mundo ouviu? Todo mundo ouviu isso?

42:22 – 42:24

Quero dizer, é simples.

42:24 – 42:26

aplicável e repetível, certo?

42:26 – 42:29

Porque você fez isso mês após mês após mês, certo?

42:29 – 42:30

Sim, é isso mesmo.

42:31 – 42:32

Fantástico.

42:32 – 42:34

Eu tinha alguns pontos realmente importantes ali.

42:34 – 42:42

Primeiro, você usa a palavra “confiança”: construir confiança nessas relações, não apenas confiança no sentido profissional, mas confiança no sentido humano.

42:42 – 42:43

E então isso

42:43 – 42:52

cultura de aprendizagem em que, depois de termos construído um pouco dessa confiança, de nos conhecermos e nos sentirmos à vontade uns com os outros, então vamos nos sentar e vamos…

42:52 – 42:53

vamos conversar sobre um incidente.

42:53 – 42:59

Vamos conversar sobre o que talvez tenha dado certo, o que deu errado, e vamos refletir sobre nós mesmos e sobre o que podemos fazer de diferente.

42:59 – 43:05

Como vocês construíram essas relações de confiança, as pessoas vão se sentir mais à vontade para fazer isso.

43:05 – 43:12

Portanto, confiança, aprendizado, cultura e, de fato, construir essa cultura mais ampla de comunicação.

43:12 – 43:13

Acho isso muito importante.

43:13 – 43:23

Além disso, se algo der errado e você, como indivíduo, não souber a quem recorrer, mas conhecer algumas pessoas aqui e ali, você pode ir até elas e dizer: “Ei, aconteceu isso”.

43:23 – 43:24

Estou preocupado com isso.

43:24 – 43:25

O que podemos fazer?

43:25 – 43:27

E juntem suas cabeças.

43:27 – 43:30

Mas muito disso se resume à cultura e ao fato de as pessoas se sentirem seguras.

43:30 – 43:34

uh

43:34 – 43:40

Tenho que dar crédito a alguém aqui, porque o que estou prestes a dizer veio de um podcast que gravei um pouco mais cedo hoje de manhã.

43:40 – 43:49

E o senhor era o engenheiro de proteção de dados e resiliência da Blue Cross Blue Shield da Carolina do Sul, Hillman.

43:49 – 43:49

Ele está aqui.

43:49 – 43:51

Ele é um cara ótimo.

43:51 – 43:58

E, quando estávamos terminando, eu disse: “Ei, tem alguma coisa que você gostaria de deixar para todo mundo neste podcast?”

43:58 – 44:02

Afinal, ele tem 25 anos de experiência em proteção de dados.

44:02 – 44:04

hum

44:04 – 44:05

Ele adora o que faz.

44:06 – 44:14

E ele disse: “Sabe, desde quando comecei, ainda de garoto, recém-saído da faculdade, no suporte técnico, até hoje.”

44:14 – 44:19

Se esforce e coloque-se no meio da situação.

44:20 – 44:24

Não tenha medo, porque você ficaria surpreso com quem vai te seguir.

44:24 – 44:35

E eu pensei que, sabe, não é nada de outro mundo, mas a paixão, não ter medo de entrar na briga, e aí é incrível ver quem você leva junto quando isso

44:35 – 44:36

acontece.

44:36 – 44:45

E se você tem isso além do que já fez, onde as pessoas se encontram e passam a se conhecer, tudo se encaixa perfeitamente

44:45 – 44:47

e coisas boas acontecem, certo?

44:47 – 44:58

Acho que minha única ressalva a isso, e isso provavelmente remete em parte à cultura, é que depende do ambiente em que você está fazendo isso: se as pessoas vão aderir ou…

44:58 – 45:09

se, e se as pessoas vão se sentir à vontade para se colocarem no meio desse ambiente ou se vão achar que, como o Zak disse antes, as pessoas vão apontar o dedo?

45:09 – 45:13

Será que vou me expor e acabar sendo o alvo das críticas?

45:13 – 45:14

ah

45:14 – 45:19

E isso também pode levantar questões relacionadas ao esgotamento.

45:19 – 45:24

Se sou sempre eu quem corre para resolver as coisas, quando é que isso vai começar a me afetar?

45:24 – 45:27

É preciso ter um pouco de companheirismo lá no meio do fogo.

45:28 – 45:32

E se você tem a cultura certa que vai te apoiar, então concordo plenamente.

45:32 – 45:43

Mas em organizações onde não há essa construção de relacionamentos, onde não há essa empatia e confiança, e onde não há essa segurança psicológica de não precisar se preocupar com

45:43 – 45:44

ser culpado,

45:44 – 45:47

acho que esse é um cenário bem diferente.

45:47 – 45:49

É um ótimo argumento.

45:49 – 45:52

Isso requer várias camadas na pirâmide.

45:52 – 45:55

Não quero ser negativo, só estou falando sobre o viés de otimismo.

45:55 – 45:58

Meu Deus, o que aconteceu com os 80 %?

45:58 – 45:59

Lembra?

46:07 – 46:08

ambiente estabilizado.

46:10 – 46:15

de TI que são de responsabilidade da equipe corporativa e da gerência das unidades de negócios.

46:17 – 46:21

serviços ou áreas em que há sobreposição.

46:21 – 46:25

Então, é uma linha muito, muito tênue determinar até que ponto você deseja unificar.

46:28 – 46:31

separar as coisas, porque é algo muito delicado.

46:31 – 46:36

Somos quase como oito unidades de negócios diferentes, cada uma com suas próprias agendas e prioridades.

46:36 – 46:39

O mercado corporativo, que é centralizado, é um só.

46:43 – 46:50

juntos, antes mesmo de você fazer uma única mudança e as coisas darem errado, todo mundo, em seus grupos, já está pronto para atacar você na hora.

46:50 – 46:54

É uma linha muito tênue, quando se trata de respostas compartilhadas, especialmente na nuvem e em tudo mais.

46:54 – 46:58

Por exemplo, se você tiver um locatário com várias assinaturas no Azure.

47:01 – 47:03

e você precisa separar essas coisas, certo?

47:08 – 47:18

É por isso que mencionei toda a questão da responsabilidade compartilhada, porque esse é o ponto crucial em que estamos falhando como setor, e acho que é por isso que enfrentamos tantos obstáculos na

47:18 – 47:23

regulamentações, como a DORA na Europa e todas as outras medidas.

47:25 – 47:38

estão forçando os conselhos a, essencialmente, levar a sério a resiliência e a ter métricas comprováveis para demonstrar que, sim, como organização, estamos fazendo as coisas certas

47:38 – 47:45

no que diz respeito à segurança dos dados e à capacidade de demonstrar resiliência quando ocorrem violações.

47:45 – 47:58

E acho que, à medida que mais e mais regulamentações se tornam mais rigorosas e as penalidades se tornam mais severas, parte dessa população indesejada, mas muito necessária, que atravessa as organizações e

48:03 – 48:16

E talvez não para forçar, sabe, não tentando encaixar o termo IA à força, mas se olharmos para os aspectos positivos, precisamos liberar algum tempo para que as pessoas façam isso.

48:16 – 48:17

Esse é o verdadeiro problema.

48:17 – 48:24

Quero dizer, acho que, nas entrelinhas, não só as coisas podem piorar, como também é preciso distribuir o tempo entre essas equipes.

48:41 – 48:41

Mais alguma coisa?

48:41 – 48:43

Agradeço a vocês dois por darem o pontapé inicial.

48:43 – 48:45

Estávamos indo exatamente nesse sentido, então isso é ótimo.

48:45 – 48:47

Alguma outra pergunta?

48:47 – 48:48

É mesmo?

49:14 – 49:15

assunto.

49:18 – 49:18

Então.

49:31 – 49:32

Posso ver isso?

49:32 – 49:41

Então, sim, o que acontece quando vocês fazem esses exercícios juntos com toda a equipe, certo?

49:41 – 49:50

A confiança que vocês estão construindo ali não é uma confiança que possa ser quebrada por um incidente, porque é exatamente isso que vocês estão testando.

49:50 – 49:54

Vocês estão testando para um incidente que vai acontecer no futuro.

49:54 – 49:58

Então, com esse precursor, então

49:58 – 50:15

por que, tudo bem, isso é só uma pergunta minha, por que algum dos membros da equipe suspeitaria de outra pessoa na equipe se vocês fazem dois desses exercícios por ano e eles recebem informações por não mais do que

50:15 – 50:16

isso.

50:16 – 50:21

Todos se reúnem e veem o incidente acontecer.

50:22 – 50:33

Vocês têm uma reunião virtual em que discutem o que aconteceu, como se desenrolou, o que foi violado e como isso ocorreu.

50:33 – 50:35

E vocês analisam tudo isso com toda a equipe.

50:35 – 50:40

Assim, cada um deles consegue realmente enxergar o ataque, independentemente de onde ele venha.

50:40 – 50:52

Então, quando isso acontecer, quando ocorrer na realidade, duvido muito que essa confiança seja quebrada por causa do acidente.

50:55 – 50:56

Sim, é isso mesmo.

50:56 – 51:01

Ah, mas se você ainda não tiver construído essa confiança…

51:01 – 51:02

Com certeza.

51:02 – 51:05

Então, esse é realmente um ponto muito importante.

51:05 – 51:13

É uma observação muito pertinente: se você não tiver construído essa confiança antes disso, a situação vai ficar muito pior.

51:13 – 51:14

Um problema exponencial.

51:14 – 51:21

Porque, quando estávamos falando sobre isso, eu sei, por uma das empresas com as quais tenho trabalhado…

51:21 – 51:30

Na África do Sul, havia toda uma ala da empresa — estamos falando de cerca de quatro mil e quinhentos funcionários em uma única unidade.

51:30 – 51:44

Toda a ala ficou isolada de qualquer rede e o cara da segurança — eu não era o responsável pela segurança na época, mas ele estava apontando para o técnico de rede, e o técnico de rede estava simplesmente…

51:44 – 51:45

apontando de volta.

51:45 – 51:49

Por alguns dias, toda aquela ala ficou fora do ar porque eles não conseguiram.

51:50 – 51:53

Eles ficam discutindo de quem é a culpa.

51:53 – 52:00

E isso envolve rede e segurança, áreas que, na verdade, você imaginaria que fossem bastante interligadas.

52:00 – 52:01

É mesmo.

52:10 – 52:15

Provavelmente é bom pensar em tentar encontrar uma solução, e acho que isso vem de cima para baixo.

52:15 – 52:21

Então, quando os níveis mais altos da administração estão, de certa forma, apoiando para que você saia dessa situação.

52:30 – 52:34

Da alta administração nos apoiando, nos dando força nessa situação.

52:34 – 52:37

Quero dizer, foi claramente uma falha de segurança na rede.

52:37 – 52:42

Duas empresas diferentes, eram como empresas irmãs dentro da organização matriz.

52:43 – 52:44

Elas tinham um túnel ponto a ponto.

52:45 – 52:49

Qualquer conexão aberta entre as duas empresas, em termos de rede, era feita pela VPN.

52:49 – 52:53

A empresa afiliada precisava de acesso apenas a alguns aplicativos.

53:00 – 53:04

O pessoal da equipe de rede é o mesmo da equipe de segurança.

53:04 – 53:06

Exatamente a mesma situação.

53:10 – 53:21

Ah, e essa é a ideia de uma cultura justa e de ser restaurativa ou retributiva.

53:21 – 53:26

Então, quando algo dá errado, você analisa o que deu errado ou procura quem é o culpado?

53:30 – 53:34

Ah, boa, boa pergunta.

53:34 – 53:36

Acho que é uma boa pergunta.

53:36 – 53:37

Acho que é uma boa pergunta.

53:37 – 53:53

Eu acho bom, eu acho bom, eu acho bom, eu acho que acho que é bom, eu acho que é bom, acho que é bom

53:57 – 54:00

Você está apontando o dedo ou está tentando chegar à causa raiz?

54:00 – 54:05

Acho que todos nós temos falado sobre defesa e profundidade.

54:05 – 54:15

Acho que agora é a hora de mudarmos nossa mentalidade — já que estamos no SHIFT — da defesa e profundidade para a confiança e profundidade.

54:15 – 54:24

O que quero dizer com isso é que você está confiando que seu pessoal fará a coisa certa, está confiando que seus processos se consolidem e também está confiando nas ferramentas tecnológicas à sua disposição

54:24 – 54:25

disposição.

54:25 – 54:28

Para que tudo aconteça da maneira que você planejou.

54:28 – 54:35

Por exemplo, digamos que você esteja recuperando algo, mas e se o ataque de ransomware ou de malware tiver, na verdade, derrubado ou comprometido seu plano de Recovery?

54:37 – 54:42

Digamos que você não tenha uma solução de isolamento físico e agora seu ambiente de Recovery esteja comprometido.

54:42 – 54:45

Então, você está recuperando de um ambiente infectado para um ambiente fraudulento.

54:45 – 54:48

Então, você não pode realmente confiar nesses dados, certo?

54:48 – 54:54

E acho que é por isso que vamos analisar: ótimo, temos todas essas defesas, mas ainda assim ocorre uma violação.

54:54 – 55:00

E se você está retomando a violação, então está dizendo: “Vou confiar em tudo, implicitamente ou explicitamente”.

55:00 – 55:06

E então preciso construir essa noção na minha cabeça de que quero confiar nisso profundamente, o que significa que todo o meu

55:06 – 55:11

processos de apoio devem ser confiáveis para me levar a um estado de confiança.

55:12 – 55:16

E então acho que o que foi pré-estabelecido — e, desculpem-me —, tudo isso deve desaparecer.

55:16 – 55:18

Isso deveria desaparecer, certo?

55:18 – 55:20

Bem, eu,

55:21 – 55:23

temos só mais alguns minutos.

55:23 – 55:24

Agradeço imensamente a todos.

55:24 – 55:25

cantando.

55:25 – 55:26

Agradeço muito pelas perguntas.

55:26 – 55:32

A gente estava torcendo, tipo: “Meu Deus, depois de todos aqueles rolinhos de frango, será que as pessoas ainda vão ter perguntas?”

55:32 – 55:33

E lá vieram elas.

55:33 – 55:36

Então, não poderíamos ter pedido um final melhor.

55:36 – 55:40

Mas quero expressar minha imensa gratidão a dois grupos.

55:40 – 55:41

Primeiro, à Jessica.

55:41 – 55:43

Obrigado, Ricky, Zak.

55:43 – 55:45

Quero dizer, as milhas percorridas até aqui.

55:45 – 55:47

Inacreditável, né?

55:48 – 55:53

Espero que vocês tenham conseguido entender bem o Ricky e eu, apesar dos nossos sotaques.

55:53 – 55:55

Quer dizer, eles têm os melhores.

55:55 – 56:00

Nós só, sabe, Dallas e Phoenix, quer dizer, qual é.

56:00 – 56:02

Mas, mais importante ainda, quero agradecer a você.

56:02 – 56:03

Obrigado por dedicar seu tempo.

56:03 – 56:07

Sei que foi uma sessão longa, especialmente logo após o almoço.

56:07 – 56:12

E, mais importante ainda, obrigado por terem vindo ao SHIFT, por serem clientes da Commvault e por depositarem sua confiança em nós.

56:12 – 56:14

Agradecemos imensamente por isso.

56:14 – 56:15

Então.

56:15 – 56:19

Aproveitem bem o resto das sessões e nos vemos por aí.