O que é um incidente?

Um incidente refere-se a um ou mais eventos de segurança da informação relacionados e identificados que podem danificar os ativos de uma organização ou comprometer as suas operações.

Um incidente pode ocorrer devido a causas intencionais (ex.: ataques, sabotagem) ou causas não intencionais (ex.: erros humanos, falhas de software, eventos naturais/externos).

É essencial prevenir incidentes, mas também estar preparado para gerir aqueles que possam inevitavelmente ocorrer.

O Engineering Group publicou um plano de gestão de incidentes de cibersegurança (ISM05_Security Incident Response Plan, em breve em inglês), que inclui informações sobre a classificação de incidentes, prazos e os papéis envolvidos nas várias fases.

Como prevenir incidentes

Aqui estão as melhores ações preventivas que pode adotar para reduzir significativamente o risco de incidentes para a Empresa e os seus Clientes:

• Revise as políticas da empresa, prestando especial atenção aos aspetos relevantes para as suas funções, e certifique-se de que as cumpre. Se encontrar dificuldades no cumprimento de uma política no seu trabalho, comunique o problema ao seu gestor e à estrutura que elaborou a política.
• Participe nos cursos de formação obrigatórios para o seu cargo.
• Leia atentamente os alertas e comunicações de cibersegurança que recebe por e-mail ou encontra no intranet Engage: são uma fonte valiosa para reconhecer as ameaças mais recentes e adotar as contramedidas necessárias para evitar um incidente.

Como agir em caso de incidente

Cada incidente deve ser gerido prontamente e da forma técnica e operacional mais adequada para garantir:

• containment da propagação da ameaça
• preservação dos elementos técnicos sobre o evento e os seus Gatilhos (ex.: rastros deixados pelo atacante)
• comunicação adequada com as partes interessadas afetadas (ex.: clientes, parceiros)
• notificação às autoridades competentes dentro dos prazos exigidos por lei (geralmente 24–72 horas, por vezes apenas 1 hora)
• restauro das operações o mais rapidamente possível

São, portanto, necessárias competências e coordenação para gerir um incidente, sendo imperativo não agir sozinho.

Se detetar um evento que possa representar um incidente, siga sempre estes passos:

1. Informe imediatamente as estruturas competentes para ativar o processo de gestão de incidentes:

• DTI: – Abra um ticket em: https://suporte-dti.engdb.com.br/
• GISO — security@eng.it
• DPO — dpo.privacy@eng.it
• CSIRT — csirt@cybertech.eu
• Information Security Manager (consulte a organização de cibersegurança do seu grupo para o identificar)

Se não tiver acesso a e-mail, contacte o CSIRT por telefone: +39 0687596750

2. Se notar sinais de ataque no seu PC da empresa, num servidor ou noutro dispositivo que gere:

• Desligue-o da rede, mas não o desligue nem o utilize, pois corre o risco de apagar rastos e informações úteis para reconstruir o ataque e recuperar eventuais dados perdidos.
• Aguarde instruções das estruturas competentes alertadas (principalmente o CSIRT).

3. Revise o modelo de Relatório de Eventos (em breve em inglês)

que deve ser preenchido e comece a recolher as informações que precisará de fornecer.

Exemplos de incidentes

Abaixo encontram-se alguns incidentes que impactaram operações, exigiram notificação a autoridades competentes e comprometeram a reputação das empresas envolvidas (com consequências de negócio).

💻 Ransomware

Um atacante obteve acesso remoto explorando uma VPN exposta e não monitorizada durante a sua fase de desativação. Utilizando técnicas de reutilização de palavras-passe numa conta sem autenticação multifator (MFA), o atacante acedeu a um sistema interno sem proteção antivírus. O atacante instalou então ransomware, que se propagou para outros sistemas que também não estavam segregados e não dispunham de antivírus.

➤ O ransomware bloqueou as operações da empresa durante dias, incluindo alguns serviços prestados a clientes. As atividades de análise, remediação e recuperação incorreram em custos muito elevados. Os clientes, com base em cláusulas contratuais, puderam exigir indemnizações da empresa, nalguns casos levando à rescisão do contrato.

🔑 Palavra-passe sincronizada com conta pessoal

Um colaborador armazenou palavras-passe no navegador do seu PC da empresa e ativou temporariamente a sincronização de credenciais com uma conta pessoal. Todas as palavras-passe guardadas foram também propagadas para o navegador do PC familiar do colaborador, onde nunca foram eliminadas. Após abrir descuidadamente um e-mail de phishing, o PC familiar foi infetado com malware que exfiltrou as credenciais guardadas, incluindo as de contas sem MFA que davam acesso a sistemas contendo dados pessoais de clientes.

➤ O evento foi classificado como violação de dados ao abrigo do RGPD. O cliente afetado não renovou o contrato com a empresa do colaborador.

📦 Software não autorizado

Um colaborador descarregou software não autorizado que parecia legítimo, mas provinha de uma fonte não fiável, e instalou-o para atividades não relacionadas com o trabalho. O software continha malware do tipo “infostealer” que exfiltrou todas as credenciais guardadas no navegador do PC da empresa. Essas credenciais eram válidas e permitiam acesso administrativo sem MFA a alguns portais web de um cliente do setor da saúde, contendo dados sensíveis de saúde.

➤ O evento constituiu uma violação de dados ao abrigo do RGPD, foi reportado na imprensa, e a empresa do colaborador foi fortemente multada pela Autoridade de Proteção de Dados.

⚙️ Aplicação desatualizada e sem manutenção

Um cliente que utilizava uma aplicação reportou uma anomalia que permitia a pessoal não autorizado visualizar dados sensíveis de outros utilizadores. A anomalia foi causada por uma falha na aplicação. Análises adicionais revelaram que a aplicação tinha sido lançada sem testes de segurança (Vulnerability Assessment / Penetration Test), e o fornecedor não tinha mantido a aplicação regularmente ao longo do tempo.

➤ O evento constituiu uma violação de dados ao abrigo do RGPD. O cliente submeteu o fornecedor a uma auditoria rigorosa, encontrou falhas de segurança significativas e rebaixou a classificação do fornecedor, excluindo-o efetivamente de um grande concurso para um novo projeto.

O comunicado original está neste link