Riscos Cibernéticos - Centro de Investigação Jurídica ... · Diretor de Cyber Risk Services ... Perdas anuais de US$1 MM para empresas com receitas entre $100 MM to $1 B. Para

1© 2016. Deloitte Touche Tohmatsu – Todos direitos reservados

Paulo Pagliusi Ph.D., CISM – [email protected]

Diretor de Cyber Risk Services

www.pagliusi.com.br www.deloitte.com

Riscos CibernéticosTendências, Desafios e Estratégia de Defesa


Conteúdo

• Conceitos e Tendências em Cibersegurança – Mercado e Ciberincidentes

• Convergência das Forças a Proteger na 3ª Plataforma da TI – Desafios e Impactos à Segurança

• Estado Atual das Ciberameaças – Novo Cenário e Contexto de Risco Cibernético

• Arquitetura de Defesa Típica Atual: Brechas, Portas de Entrada e Implicações à Segurança

• Três Momentos das Corporações – Reações Típicas de Líderes diante da Inovação Disruptiva

• Estratégia para Maior Maturidade na Gestão do Ciber Risco – Modelo de Ciberinteligência


Segurança da InformaçãoModelo de Negócios & Princípios


Segurança da Informação & Segurança Cibernética

Segurança da

Informação

Segurança

Cibernética ou

Cibersegurança

• Cibersegurança: preservação da

confidencialidade, integridade, disponibilidade e

autenticidade da informação no Ciberespaço

• Ciberespaço: Ambiente complexo, resultante da

interação de pessoas, software e serviços na

Internet, por dispositivos de tecnologia e redes

conectadas

ISO IEC 27000 Series –

Information Security Standards

4

ISO IEC 27032 - Guidelines for

Cybersecurity:

5

Tendências em Cibersegurança

Mercado global de cibersegurança: de US$71 B (2014) a $155+ B (2019): CAGR 10.3%

Gartner

Ciber incidentes: Perdas anuais de US$1 MM para empresas com receitas entre $100 MM to

$1 B. Para empresas maiores (receita > $1+ B), déficit $5+ MM Computerworld, July 14th, 2015

Mercado global de cibersegurança: $75 B em 2015; $170 Billion em 2020 Forbes

http://cybersecurityventures.com/cybersecurity-market-report

http://computerworld.com.br/seguranca-da-informacao-o-que-priorizar-em-epocas-de-crise-economica

http://www.forbes.com/sites/stevemorgan/2015/12/20/cybersecurity%E2%80%8B-%E2%80%8Bmarket-reaches-75-billion-in-2015%E2%80%8B%E2%80%8B-%E2%80%8Bexpected-to-reach-170-billion-by-2020/#50a37c4a2191






Nexus of Forces (Gartner)

3ª Plataforma da TI (IDC)

http://www.gartner.com/technology/research/nexus-of-forces/

http://br.idclatin.com/releases/news.aspx?id=1508


3ª PlataformaForça a proteger - Nuvem


Fonte: Morgan Stanley

3ª PlataformaForça a proteger – Mobilidade


3ª PlataformaForça a proteger – Social Business


3ª PlataformaForça a Proteger – Informação

(Big Data/Analytics)


+Desafios: Internet das Coisas, Deep Web, Malwares

Do PingPong ao StuxNet


Estado atual das Ameaças

12

NOVO CENÁRIO DE AMEAÇAS

Ameaças de Ataques Persistentes Avançados Malwares Dinâmicos e Polimórficos

Ataques Multi-Vetor

Ataques Multi-Staged


Contexto de AmeaçasMapa de possíveis ameaças

Os Ciberataques se multiplicaram drasticamente em termos de frequência, complexidade e propósito.

Ataques a clientes

Roubo de credenciais

Malware

Phishing

Ataques intangíveis

Reputação

Marca

Plantas IndustriaisFiliais de Lojas

Redes ATMSistema

CFTV

Ataques em ativos físicos e

infraestruturas críticas

VoIP/ Videoconferência

Fraude

Fraudes de funcionários ou terceirizados

Fraudes de cartão de crédito

Abuso de redes sociais

Vazamento de informações confidenciais

Roubo de informação

Filtragem de informação

Perda/RouboDispositivo

Ataques a plataformas próprias (web, apps,

móbile)

Hacking

DoSDDoS

Vulnerabilidade em HW e SW


Arquitetura de Defesa Típica de uma Corporação

14

Bloqueio da

conexões IP e porta,

controle no nível de

aplicação, sem

visibilidade de

exploits e ineficazes

contra ataques

direcionados

avançados e de Dia-

0

Firewalls/

NGFWIPS

Detecção baseada em

assinatura, em análise

de aplicação

superficial, alta taxa de

falsos positivos, sem

visibilidade de ataque

avançado ou mesmo o

ciclo de vida do

ataque

Proxy/Filtro de

URLs

Algumas análises

baseadas em

Script, AV,

Categoria de URL.

Ineficiente contra

ataques

direcionados e de

Dia-0

Anti-Spam

Depende em grande

parte do antivírus,

detecção baseada em

assinatura, alguns por

comportamento,

nenhuma proteção

contra Spear Phishing

Antivírus

Detecção baseada

em assinatura,

alguns por

comportamento,

ineficaz contra

ataques

direcionados


Arquitetura de Defesa Típica – Portas de entrada

15

NGFW FW

IPS

SWG AV

Ataques pela

Web

Vetores de Ataque

Brechas

de

Segurança

Dispositivos

Móveis

Emails

Spear Phishing


Entendendo o Cenário AtualApós análise de recentes brechas e do desenvolvimento ocorrido no underground cibernético, foram

identificadas áreas precisando de melhorias e monitoramento contínuo

Usuários

Privilegiados

Dispositivos

móveis

Supply

chainVulnerabilidades

não corrigidas

• Membros de Conselhos

e Comitês

• Executivos

• Pessoal

• Corporativo

• Tecnologia

• Processamento

de dados

• Serviços e aplicações

• Computadores

Pessoais

Spear

phishing

Mobile

malware

Targeted

exploits Zero day

exploits


Implicações à SegurançaA revolução digital impulsiona a inovação e o crescimento dos negócios, mas também nos expõe a ameaças novas e emergentes

Objetivo do negócio Implicação à segurança

Consumerização(‘Traga o seu’)

“Desperimetrização” e perda de controle de dados

e dispositivos

ColaboraçãoCanais ocultos cross-plataformas, compartilhando

grande volume de informações sensíveis

Inovação da tecnologiaPouco entendimento dos riscos introduzidos pela

nova ferramenta ou processo

Transformação da TI em commodity (ex. cloudcomputing)

As unidades de negócio podem obter serviços de

TI sem segurança e controles adequados

(controles internos)

Confiança de mercadoDano à reputação da organização, após um ataque.

Perda da confiança dos clientes, um fator difícil de

recuperar.

GlobalizaçãoNovas ameaças surgem das expansões de novos

mercados e de novas formas de se trabalhar

© 2016. Deloitte Touche Tohmatsu – Todos direitos reservados

Aquelas que sofreram vazamento e violações de dados

Aquelas que não sofreram – ainda

Aquelas que sofrem mas não sabem

“A maioria dos vazamentos e violações de dados, que se tornaram públicos nos últimos anos, demonstram que as

organizações comprometidas podem passar semanas ou até meses antes de descobrir o que ocorreu.”Fonte: ISF Report e SC Magazine

Empresas divididas em 3 categoriasEmpresas divididas em 3 momentos


Isto é problema da TI...

Reações Típicas de Executivos, Conselhos e Comitês Financeiros – diante dos Cyber Risks da Inovação Disruptiva

Mas... Cibersegurança não é TI


CEO"Eu vi que o nosso principal

concorrente sofreu recentemente um ataque de ativistas hackers.

Estamos vulneráveis a isso também?"

CIO & CISO"Qual é o investimento

necessário para aumentar a nossa capacidade de proteger

nossos ativos de informações?"

Membros do Conselho“Qual é nossa capacidade de

preservar nossa reputação, se formos atacados por hackers?"

Executivos de Negócios"Quais são os pontos fracos

existentes em nosso ambiente de controle

interno?"

Perguntas Fáceis... Respostas Difíceis

4


Tendências: Definindo o Cenário do Ciber RiscoCiber crime mais rápido e mais sofisticado

Maturidade na Gestão do Ciber RiscoEm tempos de crise, é preciso elevar o grau de maturidade da gestão do ciber risco, sem gastar uma

fortuna em tecnologia, investindo também em pessoas & processos

• Resiliente: para conter danos e minimizar

impactos da crise cibernética

• Seguro: transformação provocada pelas boas

práticas de segurança da informação, proteção aos

ativos mais sensíveis ao risco

• Vigilante: capacidade de detecção proativa,

inteligência e consciência situacional a respeito de

ameaças cibernéticas

Três formas de investir melhor, para maior maturidade – adotar um Modelo que seja:

22


Modelo de Inteligência Cibernética

Ameaças Previsíveis

Aprendizagem Baseada na Experiência Consciência Situacional

Monitoramento contínuoConhecimento compartilhado com empresase indústrias participantes

Correlacionar sinais de riscos a indicadoresPráticas líderes em outras indústrias

Resultado

Com inteligência em tempo real, empresas podem gerenciar ameaças cibernéticas

Ameaças Conhecidas Ameaças ImprevisíveisAmeaças Previsíveis

Segurança: Aspectos

preventivos do Programa

Vigilância: Descoberta de novas

ameaças e início de infiltrações

Resiliência: Análise e resposta de

incidentes e processo de recuperação


Gestão de Crise Cibernética - Vídeo

http://link.brightcove.com/services/player/bcpid3167886239001?bckey=AQ~~,AAAAvPktgqk~,aYgpSoLOBoN2uAdziqozpt4VVat-vqhp&bctid=4257272568001

http://link.brightcove.com/services/player/bcpid3167886239001?bckey=AQ~~,AAAAvPktgqk~,aYgpSoLOBoN2uAdziqozpt4VVat-vqhp&bctid=4257272568001


Paulo Pagliusi Ph.D., CISM – [email protected]

Diretor de Cyber Risk Services

www.pagliusi.com.br www.deloitte.com

Riscos CibernéticosTendências, Desafios e Estratégia de Defesa

MuitoObrigado!

“Deloitte” refere-se à sociedade limitada estabelecida no Reino Unido “Deloitte Touche Tohmatsu Limited” e sua rede de firmas-membro, cada qual constituindo uma pessoa jurídica independente e legalmenteseparada. Acesse www.deloitte.com/about para uma descrição detalhada da estrutura jurídica da Deloitte Touche Tohmatsu Limited e de suas firmas-membro.

Documents

Riscos Cibernéticos - Centro de Investigação Jurídica ... · Diretor de Cyber Risk Services ... Perdas anuais de US$1 MM para empresas com receitas entre $100 MM to $1 B. Para