Ciber (In)segurança

Somos seres tendencialmente astutos, hábeis e conhecedores de quais os procedimentos a realizar sempre que identificamos uma ameaça à nossa integridade física e moral, pelo que, rapidamente acionamos os mecanismos de proteção ao nosso dispor – vulgarmente conhecidas por forças de segurança. Ora, quando transitamos para o mundo digital existe, de uma forma generalizada, uma perceção muito limitada face às ameaças existentes, no modo como as deveremos identificar, denunciar e combater.

O mesmo acontece na grande maioria das empresas em Portugal (*), onde a perceção das ameaças existentes é igualmente limitada, podendo expor os seus sistemas de informação, colocando em risco a sua atividade e, no limite, a sua própria continuidade. É fácil de perceber que a falta de recursos financeiros, capacidade de investimento, formação e recursos especializados afundam estas organizações no ranking das organizações melhor preparadas para combater as ditas ciberameaças.

Ironicamente, são as empresas de maior envergadura financeira que são habitualmente alvo de ciberataques. Apesar destas últimas disporem habitualmente de equipas de segurança dedicadas, equipamentos e soluções complexas para mitigar essas ameaças, investem igualmente parte do seu orçamento em ações de formação e sensibilização dos seus colaboradores para a temática da cibersegurança.

É evidente que estas grandes organizações são alvos mais apetecíveis das ações originárias no mundo do cibercrime, permitem dar uma maior visibilidade das suas ações e podem, no limite, ser financeiramente rentáveis aos cibercriminosos em situações de pagamento de resgate. Nesta guerra de demonstração de força e poder, onde ninguém pode afirmar que está a salvo, existe uma sensação de permanente insegurança. Há, inclusivamente no sector, quem diga que existem dois tipos de empresas: as que já foram atacadas e as que simplesmente não sabem que já o foram.

Nunca estivemos tão expostos a este tipo de ameaças como até então, mas é igualmente correto afirmar que nunca estivemos tão bem preparados para as mitigar. As empresas podem contar com o Centro Nacional de Cibersegurança (CNCS) enquanto entidade especializada na matéria da cibersegurança, que disponibiliza instrumentos, conteúdos de boas práticas, ações de formação e de sensibilização para que as organizações possam alcançar maturidade em cibersegurança. Em paralelo, existe uma grande oferta de empresas privadas especializadas em cibersegurança que endereçam serviços de Auditoria, Análise de Risco, Plano de Continuidade de Negócio, Disaster Recovery, SOC/SOC as a Service, Threat Intelligence, etc.

No entanto, nada disto será suficiente se não houver uma consciência generalizada das ameaças existentes, se não houver transparência por parte dos governos e das organizações através da partilha de informação relativamente à forma como foram atacados e como solucionaram essas ameaças. Os profissionais que trabalham em cibersegurança estão conscientes de que nunca poderão garantir a segurança de um sistema a 100%, sendo que o seu principal objetivo é a redução da insegurança dos mesmos. Trata-se de uma atividade vibrante em constante mutação, que obriga a uma atualização técnica e normativa recorrente. Estes profissionais são, por isso, uma peça importante no puzzle da cibersegurança, pelo que a sede de contratação destas competências tem vindo a crescer de forma abrupta nos últimos anos a nível global. Gostaria por isso de deixar uma mensagem de agradecimento e admiração a todos estes profissionais que nos ajudam diariamente a manter o dark side of the Force mais distante de todos nós.

*PME representam mais de 90% do tecido empresarial português.