A conversa que os CISO necessitam de ter com o seu conselho de administração sobre ransomware

A maioria dos conselhos de administração não está desinformada sobre ransomware. Estão pouco informados sobre o sistema que o sustenta. Esta desconexão tem consequências no mundo real. É tempo de enquadrar a conversa de outra forma.

Ler o blogue Partilhar

Ilustração abstrata de formas circulares com uma lupa a destacar um segmento sobre um fundo roxo

A conversa sobre ransomware que os CISOs estão a tentar ter com o conselho de administração, e que este deve ter

Neste momento, algures, um conselho de administração está a receber um briefing sobre ransomware. O CISO está a explicar o que aconteceu, quanto custou e o que foi feito em resposta. O briefing está correto. Mas está a ignorar o essencial. A conversa que a maioria dos conselhos de administração tem sobre ransomware começa no sítio errado: no incidente, e não no sistema que o permitiu.

A conversa que os CISO necessitam de ter com o seu conselho de administração sobre ransomware

A conversa mais importante sobre ransomware não está a acontecer nos centros de operações de segurança. Está a acontecer na sala do conselho de administração.

Demasiados briefings sobre ransomware começam no momento da encriptação. Nessa altura, o ataque já está nas fases finais. O acesso inicial provavelmente foi comprado semanas antes. As credenciais foram roubadas. A movimentação lateral ocorreu discretamente. A organização não se tornou subitamente um alvo. Existe um mercado criminal industrializado, concebido para encontrar organizações como a sua e explorá-las.

Esta distinção importa, porque muda onde os conselhos de administração investem.

Quando os conselhos de administração se concentram apenas no evento no ponto final, dão naturalmente prioridade à recuperação após o impacto. A recuperação é fundamental. Mas, por si só, não altera a economia do atacante. As organizações que conseguem antecipar-se ao ransomware não se limitam a pensar em como absorver a disrupção. Investem para interromper a cadeia de ataque antes de surgirem danos.

Essa mudança está a tornar-se crítica, porque o ransomware evoluiu para uma economia criminal madura.

Hoje, ataques sofisticados já não exigem atacantes sofisticados. O acesso inicial pode ser comprado com a mesma facilidade com que se compra uma barra de chocolate numa máquina automática. As plataformas de phishing-como-serviço são vendidas por assinatura, tal como os seus serviços de streaming ou de entretenimento. Os serviços de assinatura de malware ajudam o código malicioso a parecer legítimo. A IA está a acelerar o reconhecimento, a personalização e a engenharia social em todas as fases do ciclo de vida da intrusão.

Os CISOs que conseguem maior impacto junto dos seus conselhos de administração não estão a fazer briefings de ameaça mais detalhados. Estão a enquadrar o ransomware como um problema de risco operacional e económico.

Eis como pode fazê-lo.

Três coisas que todos os CISOs devem dizer ao seu conselho de administração

1. Isto é uma conversa sobre risco de negócio, não apenas sobre risco de segurança.

O ransomware reúne, ao mesmo tempo, risco operacional, financeiro, reputacional e de continuidade. Os conselhos de administração já compreendem o risco da cadeia de abastecimento e o risco de mercado. O ransomware não é diferente. Quando passam a ver a situação dessa forma, a pergunta deixa de ser “como recuperamos mais depressa” e passa a ser “como reduzimos a exposição antes de ocorrer a disrupção”. Ambos são importantes. Mas só um altera a economia do ataque.

2. A economia do ataque mudou. A economia da defesa tem de acompanhar.

Hoje, o ecossistema do ransomware opera com a eficiência de um mercado maduro, com infraestrutura partilhada, fornecedores de serviços especializados e táticas potenciadas por IA a reduzir os custos dos atacantes em todas as fases. A interrupção da Microsoft ao Fox Tempest ilustra isto de forma direta. Não era um agente de ransomware. Era infraestrutura partilhada da qual centenas de operações criminosas dependiam para fazer com que cargas maliciosas parecessem legítimas. A sua interrupção degradou a capacidade de todo o ecossistema em simultâneo. Os defensores precisam de agir da mesma forma, direcionando-se à infraestrutura partilhada dos atacantes a montante, e não apenas respondendo no ponto de impacto.

As organizações que se antecipam a esta situação dão prioridade à proteção da identidade, à deteção de intermediários de acesso, à visibilidade do percurso do ataque e à inteligência contínua que permite interromper o ataque antes da implantação do ransomware, a par dos investimentos em resiliência que garantem a recuperação caso tal venha a ocorrer.

3. A resiliência e a recuperação são agora investimentos estratégicos, não apenas investimentos de segurança.

Todas as organizações serão alvo. O diferencial não está em saber se ocorre uma intrusão; está em saber se a organização consegue conter a disrupção, manter as operações e recuperar sem impacto empresarial catastrófico. Isso requer investimento em continuidade de negócios e recuperação em caso de catástrofe (BCDR), cópias de segurança imutáveis e segmentadas, estratégias de contenção de identidades e testes de recuperação operacional. E exige medir o que realmente importa: não apenas o tempo de recuperação, mas o intervalo entre a intrusão inicial e a contenção. Essa janela determina se uma intrusão se transforma numa crise empresarial.

Os conselhos de administração já compreendem o risco da cadeia de abastecimento e o risco de mercado. O ransomware não é diferente. Quando passam a ver a situação dessa forma, a pergunta deixa de ser “como recuperamos mais depressa” e passa a ser “como reduzimos a exposição antes de ocorrer a disrupção”.

Terrell Cox, vice-CISO, Gabinete de Gestão da Segurança do Cliente

O que muda quando os conselhos de administração compreendem a economia da ameaça

As prioridades de investimento deslocam-se para montante. As organizações cujos conselhos de administração possuem conhecimentos sobre ameaças tendem a canalizar recursos para a proteção de identidades, a deteção de intermediários de acesso e uma compreensão mais aprofundada da informação sobre ameaças, que vai além da simples identificação da origem das mesmas.
A resiliência torna-se uma capacidade estratégica, e não um exercício de conformidade. O planeamento da continuidade de negócios e da recuperação em caso de catástrofe, as cópias de segurança imutáveis e os testes de recuperação operacional deixam de ser meros requisitos de auditoria e passam a ser fatores de diferenciação competitiva. As organizações que recuperam mais depressa são as que treinaram.
A função de CISO reposiciona-se. A liderança de segurança passa de responsável pela resposta a incidentes a consultor estratégico de risco, com a inteligência e a linguagem necessárias para ajudar a empresa a antecipar e gerir o risco adversário antes de este se tornar disrupção operacional.

O momento em que estamos

A Microsoft tem vindo a acompanhar e a divulgar informações sobre o ecossistema do ransomware-como-serviço desde 2020.

A estratégia de resposta que fazia sentido em 2020 já não é suficiente. E uma conversa com o conselho presa ao panorama de ameaças de 2020 também não é suficiente.

Todas as semanas, até setembro, a Microsoft está a mapear o panorama da cibercriminalidade em tempo real, publicando a inteligência que os nossos analistas de ameaças observam em mais de 65 agentes com motivação financeira que operam num ecossistema criminal coordenado. O Hot Cybercrime Summer foi concebido para dar destaque exatamente a este tipo de inteligência: traduzida na linguagem de que os líderes de segurança precisam para agir e para a levar a quem financia a resposta.

Acompanhe a série. E leve esta inteligência para a sua próxima conversa com o conselho. O mapa está aí. A questão é saber se a sua organização o está a utilizar. Microsoft Security Blog | Inteligência sobre a ameaça ransomware

Os CISOs estão a ser pessoalmente responsabilizados por riscos que os seus conselhos ainda não têm dados para avaliar. Fechar essa lacuna é uma das coisas mais importantes que um líder de segurança pode fazer.”

Terrell Cox, vice-CISO, Gabinete de Gestão da Segurança do Cliente

Ler o blogue

Espaço de trabalho do Office com paredes de vidro a mostrar ícones de segurança hexagonais ligados numa sobreposição de rede.

Expor o Fox Tempest: uma operação de serviço de assinatura de malware

O Fox Tempest assinava malware em segredo para terceiros, até a Microsoft ter exposto a operação e encerrado todo o esquema.

Ilustração de páginas de relatórios empilhadas com as etiquetas threat intelligence, podcast e artigos sobre um fundo azul-escuro.

Receba as informações mais recentes

As histórias da Microsoft Threat Intelligence revelam APTs, cibercrime, malware e investigação nos bastidores que está a moldar o panorama de ameaças em constante evolução.

Obter o CISO Digest

Mantenha-se um passo à frente com informações de especialistas, tendências da indústria e investigação em segurança nesta série bimestral de e-mails.

A conversa que os CISO necessitam de ter com o seu conselho de administração sobre ransomware

A conversa sobre ransomware que os CISOs estão a tentar ter com o conselho de administração, e que este deve ter

A conversa que os CISO necessitam de ter com o seu conselho de administração sobre ransomware

Três coisas que todos os CISOs devem dizer ao seu conselho de administração

O que muda quando os conselhos de administração compreendem a economia da ameaça

O momento em que estamos

Mais como isto

Expor o Fox Tempest: uma operação de serviço de assinatura de malware

Receba as informações mais recentes

Obter o CISO Digest

Seguir o Microsoft Security