Lidar com a proteção do trânsito de pessoas e informações dentro de um ambiente corporativo tem sido cada vez mais desafiador para o mercado de Cibersegurança. Isso se dá com o uso de métodos cada vez mais sofisticados de invasão de sistemas, envolvendo interação direta com o usuário. Devido a isso, a tendência de se aproximar a Segurança da Informação e a Segurança Física tem oferecido uma solução de controle mais eficiente.
Isso porque não é um processo que envolve apenas a aplicação de tecnologias. Na visão de Longinus Timochenco, CISO na Kabum!, hoje, a informação está em todos os lugares, por conta do trânsito de pessoas pelos ambientes físicos e digitais. Portanto, as corporações precisam tratar de uma proteção harmônica, com vistas a garantir uma linha de proteção dentro e fora da empresa.
“A integração dessas duas áreas precisa começar pelas pessoas. Isso inclui trabalhar a educação de todas as categorias de funcionários, desde o board até as camadas mais baixas. Isso precisa ser aplicado constantemente, de forma que a companhia como um todo possa acompanhar as mudanças diárias do mercado e dos riscos”, disse Timochenco.
Além do aprendizado, segundo o CISO, é essencial também a responsabilização. Isso permite ao usuário sentir-se parte da segurança e responsável pelos dados ativos. É necessário ao usuário ter a consciência de que ele está usando um artigo da companhia, para respeitar as políticas de proteção das informações ali contidas.
Para Ueric Melo, Security Awareness manager na Genetec, o principal ponto dessa convergência é trabalhar as melhores formas de colaboração entre esses dois ambientes. Embora ambos protejam ativos sensíveis ao funcionamento da corporação, um está atuando com os recursos físicos e o outro com os digitais. Entretanto, no fim do dia, ambos têm o mesmo papel: proteger ativos e pessoas.
Apesar disso, são dois discursos e dois pontos de vista bastante distantes entre si. Isso explica por que, até a pouco tempo atrás, havia bastante rejeição à ideia, já que ambos os setores de SI e SF entendiam que suas expertises eram suficientes para cumprir os próprios objetivos.
“Eu diria que isso foi diminuindo naturalmente, até desaparecendo em verticais mais maduras em segurança, conforme as ameaças tanto para um quanto para outro aumentaram e convergiram. Hoje em dia, quase todos os incidentes cibernéticos são causados por alguma questão de fator humano, seja por engenharia social, problemas de configurações, entre outros”, explicou Melo, em entrevista para a Security Report.
Assim, sem um time de Segurança Física treinado em lidar com esses riscos da área cibernética, um simples problema nas configurações de seu sistema pode vencê-lo. Da mesma forma, se o time de SI não tem ação sobre os controles de acesso às dependências físicas, os funcionários da companhia podem acabar expostos a atividades de engenharia social, com potencial de comprometer toda a empresa.
Necessidades exigirão convergência
Apesar de a importância dessa aproximação ser evidente, o assunto tem gerado poucos desdobramentos no mercado brasileiro, indo na contramão da tendência mundial. Isso expõe uma grande possibilidade de risco diante do desenvolvimento de métodos cibercriminosos de invasão, como phishing.
“Ainda vamos passar por duras penas e isso vai fazer o mercado querer correr atrás do prejuízo, até que vire moda no setor, com todos tentando seguir o mesmo caminho. Até porque é bastante comum as verticais de negócio decidirem entrar em ação apenas depois de sentir uma grande dor. Aí sim elas devem investir em infraestrutura para a convergência de proteção Física e Lógica”, afirma Timochenco.
“Imagino que mercados mais maduros no mundo, na América do Norte e Europa, vão puxar essa tendência e os emergentes começarão a acompanhar o ritmo. Dado o potencial de expansão da superfície de ataque, quando o 5G de fato abrir as portas para mais implementação de artigos IoT, logo essas tendências passarão a ser mandatórias”, concordou Melo.
