Se você quer convencer seus executivos e membros do conselho a financiar adequadamente a cibersegurança, você pode começar com isso: pare de usar histórias de terror e clichês de Hollywood como argumento.
Hackers, hackers, hackers… estão em todo lugar. Roubando milhões dos bancos. Sequestrando dados para forçar a vovó a pagar ou nunca mais ver as fotos de seus netinhos. Pegando e vendendo milhões de logins e senhas na dark web.
Aliás, por quê continuamos chamando eles de hackers? Qual o sentido de não os nomear pelo que eles realmente são: criminosos.
Para muitos, os hackers se tornaram uma caricatura hollywoodiana, que provoca medo e admiração sob a imagem de personagens como o Neo, de Matrix. Um adversário técnico imparável e mestre de kung-fu que pode voar, parar balas com a mente, e acessar qualquer sistema do mundo – não importa o quanto está seguro – simplesmente amassando um teclado.
Tudo começou em 1983 com Jogos de Guerra, quando David, o personagem de Matthew Broderick, acidentalmente invade o NORAD (North American Aerospace Defense), pensando que estava num jogo de vídeo game. Por que ele não poderia apenas jogar uma bela partida de xadrez em vez de começar uma guerra termonuclear intercontinental? O filme assustou o presidente Ronald Reagan o suficiente para questionar o general John W. Vessey Jr., presidente do Estado-Maior, se algo similar poderia acontecer.
A resposta dessa questão, obviamente, foi um “sim”, que resultou na National Security Decision Directive, NSDD-145, intitulada Política Nacional sobre Telecomunicações e Segurança de Sistemas de Informação Automatizados.
Embora este seja certamente um estudo de caso em que Hollywood ajudou a incutir algum medo altamente produtivo e motivador, resultando inclusive no desenvolvimento e implementação de políticas de segurança cibernética, infelizmente esse modus operandi se tornou o modelo de comunicação de riscos da TI para os executivos.
Nos anos seguintes, os nerds de caneta no bolso e óculos fundo de garrafa deram sequência à construção de sistemas supercomplexos que somente eles e os adolescentes com raiva reprimida pareciam aptos a entender como operar, enquanto os executivos corporativos e oficiais do governo passaram a entender cada vez menos a língua desse pessoal.
Os filmes subsequentes sobre cibercriminosos como “Quebra de Sigilo”, “A senha: swordfish”, “Hackers: piratas de computador”, e “A rede”, apenas contribuíram para reforçar a imagem ridícula desse hacker hollywoodiano, o que dificulta para os executivos levar a sério os temas relacionados à computadores e internet.
É isso que, na minha opinião, gerou o cenário confuso que encaramos hoje – no qual não há devida atenção para as verdadeiras ameaças representadas pelos hackers da vida real.
O que mais devemos parar de fazer?
#1 Pare de usar manchetes sensacionalistas em suas apresentações
Abusar das notícias sensacionalistas tornou-se tão clichê que ninguém realmente se importa. De fato, com o passar de poucos anos, o uso desse artifício passou de chocante para chato e entediante.
Uma utilidade muito melhor para essas matérias jornalísticas é adotá-las como cenários hipotéticos. Seja numa reunião do conselho, retiro de executivos ou workshop com a equipe de cibersegurança, explorar alguns desses casos da vida real e desconstruí-los pode ser um exercício interessante – principalmente para entender como sua empresa agiria numa situação dessas.
A cada nível da organização, há muitas lições a serem aprendidas com a aplicação desse método. Não somente por tornar a discussão mais tangível, como também por incentivar os participantes a propor soluções e treinar processos possíveis de serem operacionalizados numa ocorrência real.
Desse modo, na próxima vez que você precisar de um upgrade naquele firewall, as equipes de liderança executiva e o conselho de administração enxergarão com maior relevância e entenderão melhor o contexto da situação para aplicar uma governança mais efetiva nesse processo de decisão.
#2 Livre-se das imagens de hackers disponíveis nos bancos de imagem
Há basicamente cinco imagens desses bancos de imagem que acompanham qualquer apresentação ou artigo sobre cibercrimes: a do “cara sinistro” com capuz; a do bandido vestido de “irmão metralha” fugindo com um laptop; aquela da caveira flutuando numa matrix binária; o famoso cadeado; e a imagem de fundo neutro com a palavra HACKED escrita em vermelho e letras grandes.
Ao invés de apostar em imagens batidas da internet, seria muito melhor ir direto ao ponto, com infográficos apresentando dados reais e relevantes para sua organização estruturar casos de negócio ou requerimentos para a alteração de políticas, por exemplo.
#3 Evite jargões da indústria
O CPA no conselho não pode relatar que um APT utilizou as credenciais de usuários privilegiados para instalar root kits em múltiplos endpoints, contornando o IPS e criptografando mensagens de comando e controle. Porém, é possível dizer que é necessário gastar US$ 100 mil numa coisa chamada firewall, porque criminosos apenas tentaram roubar US$ 20 milhões em dados de crédito dos clientes, o que poderia expor a companhia ao risco de violar leis de conformidade e, consequentemente, sofrer processos de dezenas de milhões.
#4 Deixe de usar o medo e opte pela razão
Se um CFO propôs um novo programa para deter fraudes e identificar roubos que custam milhões de dólares à companhia, tanto em prejuízo de vendas como em queda da confiança dos consumidores, ele não pode sacar uma série de imagens e citações de “Onze homens e um segredo” ou “Saída de mestre” para apimentar sua apresentação ao conselho. Então, novamente: por que nós, de TI, ainda caracterizamos nossos desafios num contexto de personagens e filmes fictícios?
Quando apresentamos histórias assustadoras e clichês hollywoodianos para um executivo, ele passa a consumir essa informação como assiste um filme. Isso porque não é possível entrar em ação com base no medo ou referências fictícias. Por outro lado, quando ele é apresentado a uma análise de risco articulada, acompanhada de uma bela estratégia para gerenciar essa margem de ameaça, a história é outra.
* Kevin Magee é diretor regional de Vendas no Canadá da Gigamon
