<\/p>\n
Um incidente refere-se a um ou mais eventos de seguran\u00e7a da informa\u00e7\u00e3o relacionados e identificados que podem danificar os ativos de uma organiza\u00e7\u00e3o ou comprometer as suas opera\u00e7\u00f5es.<\/p>\n
Um incidente pode ocorrer devido a causas intencionais<\/strong> (ex.: ataques, sabotagem) ou causas n\u00e3o intencionais<\/strong> (ex.: erros humanos, falhas de software, eventos naturais\/externos).<\/p>\n \u00c9 essencial prevenir incidentes, mas tamb\u00e9m estar preparado para gerir aqueles que possam inevitavelmente ocorrer.<\/p>\n O Engineering Group<\/strong> publicou um plano de gest\u00e3o de incidentes de ciberseguran\u00e7a (ISM05_Security Incident Response Plan<\/strong>, em breve em ingl\u00eas), que inclui informa\u00e7\u00f5es sobre a classifica\u00e7\u00e3o de incidentes, prazos e os pap\u00e9is envolvidos nas v\u00e1rias fases.<\/p>\n Aqui est\u00e3o as melhores a\u00e7\u00f5es preventivas que pode adotar para reduzir significativamente o risco de incidentes para a Empresa e os seus Clientes:<\/p>\n Cada incidente deve ser gerido prontamente e da forma t\u00e9cnica e operacional mais adequada para garantir:<\/p>\n S\u00e3o, portanto, necess\u00e1rias compet\u00eancias e coordena\u00e7\u00e3o para gerir um incidente, sendo imperativo n\u00e3o agir sozinho<\/strong>.<\/p>\n Se detetar um evento que possa representar um incidente, siga sempre estes passos:<\/p>\n Se n\u00e3o tiver acesso a e-mail, contacte o CSIRT<\/strong> por telefone: +39 0687596750<\/strong><\/p>\n que deve ser preenchido e comece a recolher as informa\u00e7\u00f5es que precisar\u00e1 de fornecer.<\/p>\n Abaixo encontram-se alguns incidentes que impactaram opera\u00e7\u00f5es, exigiram notifica\u00e7\u00e3o a autoridades competentes e comprometeram a reputa\u00e7\u00e3o das empresas envolvidas (com consequ\u00eancias de neg\u00f3cio).<\/p>\n Um atacante obteve acesso remoto explorando uma VPN exposta e n\u00e3o monitorizada<\/strong> durante a sua fase de desativa\u00e7\u00e3o. Utilizando t\u00e9cnicas de reutiliza\u00e7\u00e3o de palavras-passe numa conta sem autentica\u00e7\u00e3o multifator (MFA), o atacante acedeu a um sistema interno sem prote\u00e7\u00e3o antiv\u00edrus. O atacante instalou ent\u00e3o ransomware, que se propagou para outros sistemas que tamb\u00e9m n\u00e3o estavam segregados e n\u00e3o dispunham de antiv\u00edrus.<\/p>\n \u27a4 O ransomware bloqueou as opera\u00e7\u00f5es da empresa durante dias<\/strong>, incluindo alguns servi\u00e7os prestados a clientes. As atividades de an\u00e1lise, remedia\u00e7\u00e3o e recupera\u00e7\u00e3o incorreram em custos muito elevados. Os clientes, com base em cl\u00e1usulas contratuais, puderam exigir indemniza\u00e7\u00f5es da empresa, nalguns casos levando \u00e0 rescis\u00e3o do contrato<\/strong>.<\/p>\n Um colaborador armazenou palavras-passe no navegador do seu PC da empresa e ativou temporariamente a sincroniza\u00e7\u00e3o de credenciais com uma conta pessoal. Todas as palavras-passe guardadas foram tamb\u00e9m propagadas para o navegador do PC familiar do colaborador, onde nunca foram eliminadas. Ap\u00f3s abrir descuidadamente um e-mail de phishing, o PC familiar foi infetado com malware que exfiltrou as credenciais guardadas, incluindo as de contas sem MFA que davam acesso a sistemas contendo dados pessoais de clientes.<\/p>\n \u27a4 O evento foi classificado como viola\u00e7\u00e3o de dados ao abrigo do RGPD<\/strong>. O cliente afetado n\u00e3o renovou o contrato<\/strong> com a empresa do colaborador.<\/p>\n Um colaborador descarregou software n\u00e3o autorizado que parecia leg\u00edtimo, mas provinha de uma fonte n\u00e3o fi\u00e1vel, e instalou-o para atividades n\u00e3o relacionadas com o trabalho. O software continha malware do tipo “infostealer”<\/strong> que exfiltrou todas as credenciais guardadas no navegador do PC da empresa. Essas credenciais eram v\u00e1lidas e permitiam acesso administrativo sem MFA a alguns portais web de um cliente do setor da sa\u00fade, contendo dados sens\u00edveis de sa\u00fade.<\/p>\n \u27a4 O evento constituiu uma viola\u00e7\u00e3o de dados ao abrigo do RGPD<\/strong>, foi reportado na imprensa, e a empresa do colaborador foi fortemente multada<\/strong> pela Autoridade de Prote\u00e7\u00e3o de Dados.<\/p>\n Um cliente que utilizava uma aplica\u00e7\u00e3o reportou uma anomalia que permitia a pessoal n\u00e3o autorizado visualizar dados sens\u00edveis de outros utilizadores. A anomalia foi causada por uma falha na aplica\u00e7\u00e3o. An\u00e1lises adicionais revelaram que a aplica\u00e7\u00e3o tinha sido lan\u00e7ada sem testes de seguran\u00e7a (Vulnerability Assessment \/ Penetration Test<\/strong>), e o fornecedor n\u00e3o tinha mantido a aplica\u00e7\u00e3o regularmente ao longo do tempo.<\/p>\n \u27a4 O evento constituiu uma viola\u00e7\u00e3o de dados ao abrigo do RGPD<\/strong>. O cliente submeteu o fornecedor a uma auditoria rigorosa, encontrou falhas de seguran\u00e7a significativas e rebaixou a classifica\u00e7\u00e3o do fornecedor<\/strong>, excluindo-o efetivamente de um grande concurso para um novo projeto.<\/p>\n
\nComo prevenir incidentes<\/h2>\n
\n
\nComo agir em caso de incidente<\/h2>\n
\n
1. Informe imediatamente as estruturas competentes para ativar o processo de gest\u00e3o de incidentes:<\/h3>\n
\n
2. Se notar sinais de ataque no seu PC da empresa, num servidor ou noutro dispositivo que gere:<\/h3>\n
\n
3. Revise o modelo de Relat\u00f3rio de Eventos (em breve em ingl\u00eas)<\/h3>\n
\nExemplos de incidentes<\/h2>\n
\n💻 Ransomware<\/h3>\n
\n🔑 Palavra-passe sincronizada com conta pessoal<\/h3>\n
\n📦 Software n\u00e3o autorizado<\/h3>\n
\n⚙️ Aplica\u00e7\u00e3o desatualizada e sem manuten\u00e7\u00e3o<\/h3>\n
\n