Segurança de dados para empresas: Boas práticas para prevenir ataques

Eduardo Meirelles, diretor comercial da Everest Ridge

  A todo o momento, centenas de ataques são executados às redes e aos servidores ao redor do mundo. A segurança de dados é um tema estratégico na gestão dos negócios e deve sempre ser levado em consideração pelos gestores da área de tecnologia da informação.

  Nenhuma empresa está livre de receber um ataque e, infelizmente, não é possível obter 100% de controle das ameaças à segurança dos dados da companhia. Portanto, é fundamental saber e traçar o que será priorizado na hora da proteção da informação para evitar vazamentos.

  Proteger os dados evita prejuízos financeiros não somente para a empresa, mas também para seus clientes. E há ainda outro ponto fundamental a ser considerado: a imagem da instituição que pode se desgastar.

  Muitas vezes, as companhias querem proteger as informações e sabem dessa importância. Porém, não possuem o know-how necessário para a implementação do processo que melhor se adeque às necessidades da área de TI.

Princípios básicos da segurança da informação

 

  A segurança de dados ou segurança da informação não está ligada somente ao ataque cibernético de hackers, mas também ao comportamento e procedimentos que são adotados para evitar que informações e dados fiquem vulneráveis. Para explicar melhor do que estamos falando, separamos as informações em quatro princípios básicos.

 

Confidencialidade

 

  Garante que as informações somente poderão e/ou serão acessadas por pessoas autorizadas. Ou seja, garante o sigilo dos dados da sua empresa. A principal forma de garanti-lo é por meio de autenticação e criptografia. Ou seja, por meio de controle e restrição de acessos.

 

Autenticidade

 

  Garante o registro e a identificação da pessoa responsável por alimentar ou alterar a informação, ou seja, a veracidade da autoria da informação e também o não-repúdio dela. Vale lembrar que esse princípio diz respeito somente à identidade do usuário e não garante a veracidade das informações alimentadas.

 

Integridade

 

  O princípio da integridade aborda sobre o controle das alterações. Garante que o conteúdo da informação não foi alterado indevidamente, por pessoas que não autorizadas.

 

Disponibilidade

 

  A informação precisa estar disponível a qualquer momento para que pessoas autorizadas tenham acesso. Isso é o princípio da disponibilidade. Portanto, os dados devem ser armazenados em sistemas eficazes e precisam ser à prova de falhas, permitindo que a informação esteja disponível, quando for necessário resgatá-la.

  Os procedimentos adotados para proteger os dados da sua empresa devem estar de acordo com as leis vigentes no país de atuação da instituição.

 Além disso, para definir os processos de gestão de segurança da informação, é preciso ter em mente que não são apenas os ataques de hackers que oferecem risco à empresa. Processos, tecnologias, ambientes e pessoas também devem ser levados em consideração.

 

Boas práticas para prevenir ataques

 

    A base de dados é um dos patrimônios mais importantes que uma empresa pode ter. Portanto, protegê-los é fundamental para a boa gestão de um negócio. Para isso, existe um conjunto de boas práticas que podem ser adotadas pela empresa.

 

Análise de e-mails recebidos

 

  O e-mail é uma das fontes mais utilizadas por hackers para infectar dispositivos e acessar dados sigilosos. Por isso, analise sempre os e-mails recebidos e oriente a todos os funcionários da empresa que façam o mesmo. Ao menor sinal de anormalidade, não abra o conteúdo, que pode vir acompanhando de malwares, que poderão se infiltrar no dispositivo.

 

Backup

 

  Todas as empresas (e até pessoas físicas) devem adotar o backup como medida de proteção aos dados. Isso porque, caso aconteça alguma invasão e as informações da empresa acabarem sendo apagadas, será possível recuperar. Isso reduz o impacto do prejuízo que seria perder os dados da organização.

 

Antivírus

 

  Invista em um bom software de antivírus para garantir a proteção dos dados da sua instituição. Instale em todos os dispositivos que são acessados e com informações relevantes sobre a empresa e os seus dados. É importante também sempre mantê-los atualizados.

 

Criptografia

 

  Mantenha as informações sigilosas sempre criptografadas. Dessa forma, apenas uma pequena quantidade de usuários serão autorizados a acessarem, alimentarem e modificarem dados importantes. A criptografia é a codificação de dados, que impede que qualquer pessoa tenha acesso a informações sigilosas.

 

Armazenamento de informações na rede

 

  Armazenar as informações da sua empresa em uma rede compartilhada — a famosa nuvem — também é considerada uma boa prática e evita que dados sejam vazados. Isso porque esse procedimento evita o compartilhamento de dados por dispositivos removíveis, como pendrive ou até mesmo o e-mail. Dessa forma, somente pessoas

autorizadas têm acesso à informação.

 

Política de segurança de dados

 

É importante que a empresa tenha um documento com as diretrizes que norteiam o comportamento que os colaboradores precisam ter em relação ao acesso dos recursos relacionados à tecnologia da informação.

O documento deve conter todas as regras para evitar um ciberataque, que pode resultar em vazamento de informações ou fraudes.

 

Treinamentos

 

  É importante manter todos os colaboradores treinados de acordo com a política de segurança de dados da instituição. Não basta apenas entregar o documento com as informações; é preciso garantir que todo o conteúdo será assimilado e que não existem dúvidas sobre os processos que devem ser seguidos para a segurança de dados de sua empresa.

 

Contrato de confidencialidade

 

 Muitas vezes, os colaboradores e fornecedores têm acesso a uma série de informações confidenciais referentes a uma empresa. Uma das maneiras de preservar a segurança dos dados é redigir um contrato de confidencialidade, que deve ser assinado por todas as pessoas que têm acesso a essas informações. No contrato, deve conter todas as medidas legais cabíveis para o caso de comprovação do vazamento de informações pelo colaborador ou fornecedor.

 

Gestão de risco pelo setor de TI

 

  O vazamento de dados sigilosos pode comprometer que uma organização consiga alcançar os seus objetivos a curto, médio e longo prazos. Por isso, o setor de tecnologia da informação de uma empresa precisar fazer um bom planejamento para gestão de riscos, levando em consideração, serviços, infraestrutura, políticas e métodos de trabalho da instituição.

 

  Aquisição de produtos e serviços de proteção aos dados

 

  E, por último e mais importante: é extremamente necessário que o setor de TI conte com o apoio de produtos e serviços para garantir a proteção de dados sigilosos, principalmente quando não se tem o know-how necessário por parte da equipe interna. Se este é o seu caso, é recomendado o serviço de alocação de recursos especialistas, a terceirização com profissionais que já trabalham na área.

 

Produtos e serviços para a segurança de dados

 

WAF – Web Application Firewall

 

   O firewall para aplicação na web é um tipo de firewall que funciona respondendo com rapidez às tentativas de invasões e ameaças que um firewall normal não possui capacidade de detectar. O WAF funciona criando uma barreira e impedindo que dados não autorizados sejam expostos.

  Com o WAF é possível personalizar regras para a aplicação e identificar e bloquear uma série de ataques que poderiam ter sido cometidos com a vulnerabilidade das informações. Além disso, é possível identificar todo tráfego originário de fontes maliciosas ou até mesmo fraudulentas. A contratação do WAF reduz consideravelmente os ataques e maximiza as respostas da sua empresa.

 

SOC – Security Operation Center

 

  O SOC, da sigla em Security Operation Center, é um centro de operações de segurança, que garante a segurança dos dados por meio do monitoramento de os todos os elementos da rede, de forma eficaz e contínua. Com este serviço é possível ter um diagnóstico ágil de ataques e a detecção de eventuais falhas na segurança da informação antes que elas sejam atacadas.

  O SOC trabalha realizando atividades de prevenção, com boas práticas de prevenção de ataques, detectando problemas de segurança, solucionando brechas de segurança que tenham sido encontradas e fazendo o monitoramento, de acordo com o risco do negócio.

  O objetivo é garantir a saúde da rede utilizada pela sua organização e a segurança dos dados armazenados da melhor maneira possível.

 

Firewall

 

  O firewall funciona como uma espécie de barreira que bloqueia acessos indevidos ou maliciosos a redes da empresa. Pode ser usado como software, ou seja, por meio de um programa, ou como hardware, com o auxílio de um equipamento ligado à rede de computadores da empresa. Dessa forma, o firewall garante a preservação da segurança da rede de uma empresa, controlando dados que entram ou saem a partir dos computadores da empresa, conectados à Internet. Assim, evita que softwares mal-intencionados invadam as máquinas. É uma ferramenta essencial na segurança de dados de qualquer empresa.

 

Análise de vulnerabilidade

 

  O primeiro passo a ser tomado para garantir segurança de dados em uma empresa é analisar sua vulnerabilidade. Com esse trabalho, é possível identificar falhas e brechas que exponham a rede da empresa às ameaças. Essas falhas podem existir por diversos motivos, tais como erros de programação ou desenvolvimento, má configuração ou falha humana na hora de usar o sistema.

Além de identificar e tratar falhas, com a análise de vulnerabilidade é possível alterar configuração de softwares, bloquear ataques automatizados e promover melhorias no controle de segurança. Tudo isso é feito por meio de relatórios especializados.

 

Pen test

 

  Também conhecido como teste de intrusão ou teste de penetração, o pen test é o conjunto de técnicas, métodos e ferramentas que identificam falhas de segurança nos sistemas e nas redes corporativas por meio da penetração na plataforma digital da corporação.

  O pen test utiliza métodos baseados no pensamento dos hackers, ou seja, ele simula um ataque, porém de forma profissional e ética. Ele não somente escaneia as vulnerabilidades da empresa, como também as explora, identificando as informações que podem ser vazadas por conta de um determinado tipo de falha apresentada.

 

Resposta a incidentes

 

  A resposta a incidentes nada mais é do que a correção dos problemas. Ou seja, é o gerenciamento e a solução para incidentes de segurança, como por exemplo, o vazamento de dados da empresa.

  Todos os problemas são corrigidos para minimizar o máximo possível os danos causados pelo ataque. Como já foi dito, ataques a redes corporativas acontecem o tempo todo e, por isso, é importante contar com soluções que sejam capazes de gerenciar os riscos à segurança da informação e dos dados da empresa.

  O serviço de resposta a incidentes mapeia o processo de vazamento, apresenta instruções de como a organização precisa agir para lidar com um determinado problema de segurança de dados.