Hackeado? Saiba como agir em casos de violação e como se recuperar

Resumo:

• Você não pode garantir que uma violação nunca acontecerá em sua organização, mas pode reduzir a probabilidade e mitigar os danos que uma violação pode causar.
• A primeira coisa que você deve fazer se for hackeado é entrar em contato com seu MSSP (provedor de serviços gerenciados de segurança). Os melhores MSSPs geralmente saberão que você foi hackeado antes mesmo de você fazer isso e já estarão trabalhando para remediar a situação.
• Com a ajuda do seu MSSP, você pode descobrir como ocorreu a violação, seguir seu plano de resposta a incidentes, bloquear seu sistema (se necessário) e informar seus usuários, juntamente com quaisquer autoridades relevantes.
• Após o incidente, sempre revise o que aconteceu e tome medidas para melhorar sua postura de segurança cibernética. Se você tiver um MSSP, eles ajudarão com isso; caso contrário, você deve considerar seriamente adquirir um.
• Garanta que todos os funcionários entendam as mudanças que você fez em sua infraestrutura de segurança cibernética e saibam como responder a ameaças futuras. Você também deve testar seu sistema para procurar outras vulnerabilidades.

Quer os criminosos estejam postando conteúdo impróprio ou ilegal no site da sua empresa, dados confidenciais e e-mails tenham sido acessados ​​por usuários não autorizados ou seus dados estejam mantidos como reféns por ransomware, ser hackeado é o pior pesadelo de qualquer organização.

Embora não haja nada que você possa fazer para garantir que uma violação nunca aconteça, há muitas coisas que você pode fazer para minimizar a probabilidade de ocorrência de uma violação e, se isso acontecer, há muito que você pode fazer para conter e mitigar os danos e a interrupção. associado ao incidente.

Entre em contato com seu MSSP

Um bom provedor de serviços de segurança gerenciados (MSSP) o ajudará a responder rapidamente a uma violação assim que você informar que ocorreu um incidente de segurança cibernética. Um bom MSSP estará monitorando seus sistemas de perto e já saberá que ocorreu uma violação, possivelmente antes mesmo de você.

Se, por algum motivo, o seu MSSP ainda não souber da violação, a primeira coisa que você deve fazer é contatá-lo para obter orientação. Seu MSSP avaliará a situação e oferecerá aconselhamento e suporte especializado para ajudá-lo a reparar a violação, minimizar os danos, alertar os usuários e as autoridades relevantes e avaliar a situação posteriormente para que você possa fortalecer suas defesas de segurança cibernética.

Saiba mais: O que é um provedor de serviços de segurança gerenciados?

Descubra como o incidente ocorreu

Antes de poder responder eficazmente ao incidente, você precisa saber exatamente o que aconteceu. O software não foi mantido atualizado? Um funcionário clicou em um link suspeito em um e-mail de phishing ? Um laptop da empresa foi deixado sem vigilância e roubado ? Sua organização foi alvo de ransomware ?

Depois de saber exatamente o que aconteceu e quais sistemas e arquivos foram acessados, você poderá trabalhar rapidamente para resolver o incidente, avaliar minuciosamente os danos e tomar as próximas etapas necessárias.

Implemente seus protocolos de resposta a incidentes

Se você ainda não possui protocolos de resposta a incidentes , comece a elaborar alguns imediatamente. Cada protocolo é um plano que permite responder de forma eficaz a uma ameaça ou incidente específico, como planos de segurança para segurança cibernética. Tal como um plano de segurança contra incêndios descreve detalhadamente o que todos no edifício devem fazer em caso de incêndio, um protocolo de resposta a incidentes bem elaborado deve definir quem deve fazer o quê no caso de um incidente de segurança cibernética.

No entanto, ter um protocolo de resposta a incidentes só é útil se todos os envolvidos souberem exatamente qual é o seu papel e como desempenhar as suas funções de forma eficaz. Para ajudar todos a se familiarizarem com o plano, você deve fazer com que todo o pessoal crítico trabalhe regularmente em cenários de mesa.

Os cenários de mesa são como simulações de incêndio: eles apresentam um cenário hipotético e permitem que seus funcionários trabalhem e refinem suas respostas em um ambiente sem riscos. Quando o cenário estiver concluído, sua equipe se reunirá, de preferência com alguém do seu MSSP, para revisar sua resposta, procurar pontos fracos e fortalecer ainda mais seus protocolos atuais.

Embora agendar um cenário de mesa agora não ajude na situação atual se você já tiver passado por uma violação ou outro incidente de segurança cibernética, você deve começar a elaborar protocolos robustos de resposta a incidentes e a conduzir cenários de mesa assim que a situação atual for resolvida.

Se necessário, entre no modo de bloqueio

Dependendo da natureza do incidente, pode ser necessário entrar em modo de bloqueio. Se um laptop da empresa tiver sido infectado por malware, esse dispositivo precisará ser isolado da rede principal para evitar a propagação do vírus. Se uma área específica da rede tiver sido comprometida, essa secção também deverá ser isolada da rede maior para evitar que os cibercriminosos acedam a outros sistemas.

Uma maneira de evitar que os cibercriminosos acessem facilmente vários sistemas caso consigam invadir o seu sistema é seguir o modelo de arquitetura de confiança zero . A confiança zero dificulta movimentos laterais dentro do sistema, assumindo automaticamente que cada usuário não está autorizado, mesmo que já tenha verificado sua identidade, e limita o acesso a cada área aos funcionários que realmente precisam dela para desempenhar suas funções.

Se o seu firewall e outras defesas perimetrais são o guarda de segurança na recepção, a arquitetura de confiança zero atua mais como os crachás RFID que seus funcionários usam enquanto se movimentam pelo prédio. Depois que alguém passa além do guarda de segurança na recepção, ele ainda precisa verificar sua identidade antes de poder acessar áreas restritas ou confidenciais, normalmente passando o cartão-chave para destrancar as portas. Essa camada extra de segurança garante que, mesmo que um cibercriminoso passe pelo seu firewall e outras defesas do perímetro (passe furtivamente pelo guarda de segurança), seu acesso seja limitado a sistemas não críticos, onde eles não são capazes de causar tantos danos antes de serem eliminados. descoberto pela segurança e removido.

Informe seus usuários e as autoridades relevantes

Depois de conter a violação, isolar quaisquer sistemas ou dispositivos infectados e começar a reparar os danos causados ​​pelo cibercriminoso, você precisa informar seus usuários ou clientes, bem como as autoridades competentes.

Por exemplo, o GDPR (que se aplica a todas as organizações e empresas cujos clientes incluem cidadãos da UE) exige que as violações sejam divulgadas no prazo de 72 horas após a sua descoberta, e a lei dos EUA exige que as organizações notifiquem os indivíduos afetados se os seus dados de identificação pessoal puderem ter sido comprometidos.

No Brasil, o procedimento adequado para informar os usuários e as autoridades competentes sobre uma violação de dados pessoais é o seguinte:

1. Notificação à Autoridade Nacional de Proteção de Dados (ANPD)

A ANPD é a autoridade responsável pela proteção de dados pessoais no Brasil. A lei brasileira, a Lei Geral de Proteção de Dados Pessoais (LGPD), exige que as organizações notifiquem a ANPD sobre qualquer violação de dados pessoais que possa acarretar risco ou dano relevante aos titulares.

A notificação à ANPD deve ser feita no prazo de 72 horas após a constatação da violação. Deve conter as seguintes informações:

• A identificação da organização responsável pelo tratamento dos dados pessoais;
• A descrição da natureza da violação de dados pessoais;
• As informações sobre os titulares dos dados pessoais afetados pela violação;
• As medidas que foram tomadas para conter a violação e mitigar seus efeitos;
• As medidas que serão tomadas para prevenir novas violações.

Ela pode ser feita por meio do site da ANPD ou por meio de formulário disponibilizado pela ANPD.

2. Notificação aos titulares dos dados pessoais afetados

A LGPD também exige que as organizações notifiquem os titulares dos dados pessoais afetados por uma violação de dados pessoais. A notificação aos titulares deve ser feita de forma clara e concisa, e deve conter as seguintes informações:

• A identificação da organização responsável pelo tratamento dos dados pessoais;
• A descrição da natureza da violação de dados pessoais;
• As informações sobre os dados pessoais afetados pela violação;
• As medidas que foram tomadas para conter a violação e mitigar seus efeitos;
• As medidas que serão tomadas para prevenir novas violações.

A notificação aos titulares pode ser feita por e-mail, carta, telefone ou outro meio de comunicação adequado.

3. Divulgação pública

Em alguns casos, pode ser necessário divulgar publicamente a ocorrência de uma violação de dados pessoais. A divulgação pública pode ser necessária para proteger os titulares dos dados pessoais afetados ou para evitar que a violação cause danos à reputação da organização.

Deve ser feita de forma clara e concisa, e deve conter as seguintes informações:

• A identificação da organização responsável pelo tratamento dos dados pessoais;
• A descrição da natureza da violação de dados pessoais;
• As informações sobre os dados pessoais afetados pela violação;
• As medidas que foram tomadas para conter a violação e mitigar seus efeitos;
• As medidas que serão tomadas para prevenir novas violações.

Esta divulgação pode ser feita por meio de um comunicado de imprensa, uma postagem no site da organização ou outro meio de comunicação adequado.

Aqui estão algumas dicas para informar os usuários e as autoridades competentes sobre uma violação de dados pessoais:

• Seja transparente e honesto sobre a natureza da violação.
• Forneça o máximo de informações possível sobre os dados pessoais afetados.
• Explique as medidas que foram tomadas para conter a violação e mitigar seus efeitos.
• Assuma a responsabilidade pela violação e informe os usuários sobre o que está sendo feito para prevenir novas violações.

Ao seguir esses procedimentos, as organizações podem ajudar a proteger os titulares dos dados pessoais afetados e evitar danos à sua reputação.

Dependendo dos estados em que você conduz negócios, sua organização provavelmente também estará sujeita a outras leis de denúncia. Se você não tiver certeza do que é exigido de você no caso de um incidente de segurança cibernética de acordo com as leis estaduais, seu MSSP poderá ajudá-lo a revisar as leis estaduais relevantes e garantir que você as cumpra integralmente.

Revise o que aconteceu e melhore seus protocolos de segurança cibernética

Depois que o incidente de segurança cibernética for resolvido, é hora de revisar seus protocolos atuais, identificar quais pontos fracos foram explorados e criar protocolos flexíveis, porém robustos, para fortalecer sua postura de segurança cibernética.

Esta tarefa pode parecer assustadora, mas é aí que entra o seu MSSP. Nem todo mundo é especialista em segurança cibernética, e tudo bem. O trabalho do seu MSSP não é apenas monitorar seus sistemas e ajudá-lo a responder a violações. Eles também estão lá para fornecer conselhos e sugestões de especialistas e ajudá-lo a evitar ou minimizar o impacto dos incidentes de segurança cibernética no futuro.

Pratique o que você aprendeu

Depois que seus atuais protocolos de segurança cibernética forem fortalecidos ou atualizados, é vital que seus funcionários entendam o que mudou, por que essas mudanças foram feitas e como devem responder aos vários incidentes de segurança cibernética no futuro. Certifique-se de que quaisquer alterações ou atualizações sejam claramente comunicadas a todos os funcionários e prestadores de serviços externos relevantes, e que todas as partes interessadas tenham a oportunidade de fazer perguntas e solicitar esclarecimentos, se necessário.

Depois que todos estiverem informados, você deve entrar em contato com um cenário de mesa e, se relevante, com uma caneta (teste de penetração). Um pen test envolve a contratação de um hacker ético para testar seus protocolos atuais de segurança cibernética e tentar acessar dados confidenciais. Depois que o teste é concluído, o hacker conversa com sua organização e detalha a quais sistemas ele conseguiu acessar e como conseguiu ultrapassar suas defesas. Eles também poderão fornecer sugestões para fortalecer sua postura de segurança cibernética.

Um incidente de segurança cibernética pode ser o pior pesadelo de qualquer organização e, quando acontece, as consequências podem ser devastadoras. Ter um ótimo MSSP pode ajudá-lo a se recuperar de forma rápida e eficaz de um incidente de segurança cibernética e a fortalecer suas defesas para evitar incidentes futuros. Com monitoramento 24 horas por dia, 7 dias por semana, 365 dias por ano e um tempo de resposta garantido de 15 minutos , a IMID TI pode ajudá-lo a criar protocolos de segurança cibernética robustos, porém flexíveis, para que você possa proteger melhor os ativos digitais da sua organização.