Estamos vivendo uma verdadeira guerra cibernética. As inúmeras ameaças que invadem sistemas em todo o mundo demonstram que, mais do que nunca, a cibersegurança é um ponto cada vez mais crítico. O que nos leva à seguinte questão: você está pronto para os ataques cibernéticos? Para discutir esse assunto, o time do podcast The Walking Tech convidou Marcello Zillo, National Security Officer da Microsoft.
Sobre a sua trajetória, Zillo conta que entrou na área de segurança graças a um amigo, algo que viria a ser a sua segunda experiência profissional com tecnologia, em uma época onde os empresários ainda discutiam a implementação da Internet nas empresas. Foi quando em 2020 ele finalmente chegou na Microsoft, onde trabalha até hoje, e segundo Marcello, em um momento interessante, pois “o mercado de cibersegurança está super aquecido, inclusive na região da América Latina”.
Para comprovar esse “aquecimento”, Zillo conta que uma pesquisa feita pela Microsoft no ano passado revelou que uma em cada três empresas perceberam um aumento no volume de ataques cibernéticos. E Marcello traz outros dados, que demonstram que esse aumento vai além de uma impressão.
Segundo o entrevistado, o Secure Operation Center (SOC) da Microsoft sinaliza 8 trilhões de ataques diários – antes da pandemia, esse número era cerca de 2,5 trilhões. Ele traz algumas explicações para isso: “o que eu tenho ouvido de todo mundo é que os ataques aumentaram, porque os fraudadores vão atrás da notícia. Se você analisar, o volume de phishing quando a pandemia foi declarada. Isso acontece porque os fraudadores sabem que as pessoas ficam mais curiosas e susceptíveis em um momento como esse”.
Ele também ressalta que é importante educar as pessoas em relação à segurança e esses ataques cibernéticos de uma forma geral.
Para lidar com esse grande número de ataques, Zillo destaca que a automação é fundamental, até por conta da falta de mão de obra na área de segurança. “Existe um gap profissional estimado de quase 4 milhões de profissionais no mundo, sendo que na América Latina, esse número é de 600 mil”, ele conta, trazendo números de uma pesquisa da (ISC)².
Para Zillo, só a automação é capaz de lidar com o alto número de ataques que uma empresa pode sofrer. “O atacante quer encontrar uma porta, e nós precisamos defender todas”, diz ele.
E o que configura um ataque ou crime cibernético? Zillo explica que essa é uma discussão calorosa, devido a algumas divergências. De um lado, algumas pessoas achavam que os crimes cibernéticos já era algo categorizado; de outro, o pensamento era de que a lei era branda para tratar esses crimes. Mas ele destaca uma boa e recente notícia, que é a aprovação da Lei 14.155. “Agora, a lei quadruplica a punição (antes era de 3 meses a 1 ano)”.
“Além disso, as penas podem ser de até 8 anos de prisão e aplicação de multa, em casos de agravamento, caso os crimes sejam praticados em servidores fora do Brasil ou se a vítima for uma pessoa vulnerável”, complementa Zillo, acrescentando ainda que agora a Lei tipifica melhor o que é um crime. “Se você utilizou informações da vítima para executar algum tipo de atividade, é um crime digital”.
Perguntado sobre o comportamento humano ser o elo frágil na Segurança da Informação, o entrevistado concorda, dizendo que os ataques podem ser muito direcionados – como por exemplo, no caso de uma máquina de um profissional que é sysadmin (um administrador de sistemas, encarregada por manter/operar computadores ou uma rede).
E ele alerta as empresas que não imaginam que estão sendo atacadas: “É preciso saber o que quer ser atacado e o que precisa ser protegido. Existem as empresas que estão sendo atacadas e aquelas que ainda não sabem”.
Por fim, Zillo reflete sobre a falta de investimento na área de Segurança da Informação. Ele relembra a pesquisa feita pela Microsoft no ano passado, que perguntou o quanto da verba de tecnologia era investida em segurança. 49% das empresas responderam que investiam de 0% a 5%. Ele também complementa, lembrando que somente 7% das empresas investiam 15% ou mais – geralmente empresas mais reguladas e que tratam esse tema de forma mais madura.
O entrevistado também diz que o mais interessante é que as empresas façam uma medição do quanto está sendo investido por número de funcionário, para que se tenha uma melhor visibilidade se o que está sendo feito é suficiente.
E ele dá a dica para empresas pequenas, nas quais muitas utilizam algum serviço Cloud: “Comece pelo segundo fator de autenticação, e aproveite os recursos já disponibilizados pela nuvem”.
Ouça a entrevista na íntegra!
Por Adriano Martins Antonio
A BRQ é uma das patrocinadoras do podcast The Walking Tech.