Continua em São Paulo e vai até amanhã (27/10) o Security Leaders, maior evento de Segurança da Informação da América Latina. O primeiro talk show do dia discutiu o tema “Como as empresas deveriam reportar os ataques cibernéticos”?
“Os ataques cibernéticos exigem novas estratégias de defesas. Esse é um assunto muito relevante que deve ser tratado com importância, pois mexe com as informações que fazem toda a diferença no dia a dia das empresas”, diz Graça Sermoud, moderadora do painel e diretora editorial do Security Report.
Para o Thiago Suzano, Gerente LATAM de Arquitetura, Middleware e Technology Standards do McDonald’s, o maior tabu quando se fala em ataque cibernético é como cliente vê a imagem da empresa depois que se comunica um ataque. “Eu sempre reforço que a educação no comportamento digital é muito importante na hora que vamos reportar um ataque. Eu não posso impedir que o meu cliente entre na loja e não utilize o wifi e compartilhe as informações com outras pessoas”, diz.
O tema é ainda mais delicado setor financeiro. Anderson Mota, Cyber Intelligence Specialist do Citibank, ressalta que a questão de compartilhar e publicar um ataque é muito importante para os clientes. “Hoje demora cerca de sete meses para uma companhia saber que foi atacada – e quem reporta essa informação é uma empresa especializada. Por isso que devemos avaliar com muito cuidado o reporte da informação, como o banco vai tratar os dados se for atacado”, explica.
Fernando Zamai, estrategista de Segurança da Informação da Cisco, reforça que se uma empresa for atacada ela tem sim que reportar o ataque. “Muitas empresas estão aumentando consideravelmente seus departamentos de segurança, isso leva o amadurecimento para as companhias em geral”.
Já Alex Aguirre, diretor de segurança da BT, conta que os ataques cibernéticos são variados e acontecem de acordo com os setores da indústria que estão em mais evidência. “Quando ninguém reporta nenhum ataque, parece que a realidade é perfeita. Por isso é preciso ter um estudo detalhado do setor que foi atacado e diferenciar para quem, onde e por que comunicar esse ataque cibernético. De nada adianta fazer uma comunicação generalizada”.
Mas será que as empresas estão preparadas para reportar um ataque? Na opinião de Rodrigo Jorge, gerente de Infraestrutura de TI e SI da ALE Combustíveis, não. “É preciso ter um estudo específico, um departamento de comunicação preparado e estruturado para divulgar esse ataque e gerenciar uma futura crise que pode vir. O que falta é maturidade de gestão na hora de avisar que a empresa sofreu um ataque cibernético. Sem reporte não há crescimento”, finaliza.
Para Salomão Oliveira, IT Governance and Information Security Manager da Brasil Kirin, em primeiro lugar quem tem que ser avisado quando há um ataque cibernético é o usuário e o cliente. “O primeiro a ser afetado é o cliente, por isso ele deve ser o primeiro a ser comunicado. É preciso saber diferenciar um ataque cibernético de um incidente”, finaliza.
