O ano de 2021 trouxe um conjunto significativo de desafios à indústria da cibersegurança. De acordo com o relatório “CVE Details”, em 2021 foram descobertas mais vulnerabilidades de software do que nunca, quase mais 10% face a 2020, desde pequenos problemas em aplicações de nicho a eventos críticos que afetaram milhões de activos.
“Temos pela frente um 2022 cheio de desafios para a segurança das empresas e, se os últimos dois anos nos ensinaram alguma coisa, é que a utilização predominante de arquitecturas tradicionais concebidas para proteger redes e ativos locais não servem, de todo, para proteger os novos ambientes de IT dinâmicos e híbridos”, destaca Sergio Pedroche, country manager da Qualys para Espanha e Portugal.
“Definir processos e práticas de segurança adequados, baseados num inventário exaustivo dos activos ligados – desde a cloud e containers aos sistemas OT –, será uma das premissas este ano. Não obstante, para que tudo funcione, as equipas devem colaborar mais do que nunca, pelo que todos esperamos que 2022 seja de “cooperação” definitiva em matéria de cibersegurança”.
Os investigadores da Qualys, Inc. realizaram uma análise abrangente do ecossistema de cibersegurança nos últimos meses e destacam três desafios para 2022:
Mudanças no modelo de gestão de ativos
Quando a pandemia eclodiu em 2020 e as empresas começaram a trabalhar remotamente, “todos os programas de inventário de activos existentes foram diluídos”. Hoje, os colaboradores “já se adaptaram à rotina de trabalho à distância, mas as empresas, em geral, encontram-se no mesmo regime de ‘apaga-fogos’ no que respeita à segurança, e a gestão de activos é uma das principais questões”(…).
Muitas equipas têm vindo a adiar esta tarefa porque esperam “voltar à normalidade”, mas “é cada vez mais óbvio que isso não vai acontecer e, como tal, este será o ano para repensar definitivamente estratégias e processos”.
Optimizar a gestão de atualizações e patches
O aumento dos ataques de ransomware, e os elevados custos associados, “forçará as empresas a abordar esta área, com os conselhos de administração a estabelecerem mais objectivos para garantir que os seus sistemas estão seguros ao longo de 2022”. Segundo a empresa, “tornar os responsáveis das diferentes unidades de negócio responsáveis por áreas como as “actualizações” é uma das formas de apoio a esta abordagem de gestão de riscos, que é cada vez mais necessária”.
Log4Shell, a vulnerabilidade de zero-day mais crítica de 2021, conhecida no passado mês de Dezembro, despertou muitas atenções neste sentido e colocou em alerta toda a indústria da segurança. “A implementação de actualizações na última versão ou mitigações de forma atempada tem sido um ponto de viragem para as empresas que optimizaram os seus processos de segurança em conformidade”.
Mais investimento nos Sistemas de Tecnologia Operacional (OT)
A Gartner prevê que assistiremos a um número cada vez maior de ciberataques em ambientes de Tecnologia Operacional (OT, na sigla original) a superarem com sucesso o desempenho humano em 2025. Os especialistas da Qualys acreditam que isto acontecerá muito antes, já em 2022.
O desafio nesta área é que os ambientes de OT, “tendencialmente, trabalham com tecnologias antigas”.
“São activos dispendiosos e desenhados para durar anos, mas muitos sofrem de problemas de segurança já conhecidos aos quais não foram aplicadas correcções, uma vez que para uma linha de produção para aplicar patches pode custar milhares (ou milhões) de euros em perdas”. Do mesmo modo, “é possível que não haja patches quando o equipamento já se encontrar no final do período de vida útil”.
Tradicionalmente, a abordagem para proteger estes sistemas está baseada em tecnologias de air-gap, que são executadas em redes totalmente separadas e que não estão ligadas à Internet.
No entanto, diz a empresa, “esta já não é uma opção”. As empresas “querem aceder aos seus dados em tempo real para poder competir nos seus mercados, pelo que cada vez mais se estão a ligar a redes OT apesar dos riscos envolvidos”. Paralelamente, os analistas têm, também, descoberto cada vez mais ataques concebidos para superar estas defesas, pelo que os modelos de segurança tradicionais por si só não são suficientes.
A OT foi mantida totalmente separada das funções de IT, pelo que, na prática, está uma década atrasada em relação à segurança informática nos processos de concepção e melhores práticas. Em 2022, a necessidade de se ter cada vez mais dados e o risco de novos ataques vão forçar mais investimentos para melhorar a segurança OT.
Se gosta desta notícia, subscreva gratuitamente a newsletter da Security Magazine.
