Como reagir a um incidente de cibersegurança?
O que é um incidente de cibersegurança?
Vamos começar pelo início: o que é um incidente de cibersegurança? De acordo com o NIST, um incidente de cibersegurança refere-se a: “Uma ocorrência que compromete, de forma real ou potencial, a confidencialidade, integridade ou disponibilidade de um sistema de informação ou das informações que o sistema processa, armazena ou transmite, ou que constitui uma quebra ou ameaça iminente de quebra das políticas de segurança, procedimentos de segurança ou políticas de uso aceitável.”
Ao lidar com um incidente de cibersegurança, a organização deve ser capaz de reagir de forma rápida e adequada. Por outras palavras, é fundamental decidir antecipadamente como lidar com determinadas situações, em vez de esperar até o primeiro confronto durante um incidente. É necessário desenvolver uma estratégia para limitar os danos, reduzir os custos e o tempo de recuperação, bem como comunicar-se com as partes interessadas internas e externas.
O ciclo de vida da resposta a incidentes de cibersegurança
Nesta secção, discutiremos o ciclo de vida da resposta a incidentes. Mas, primeiro, o que é isso exatamente? É a estrutura passo a passo da sua organização para identificar e reagir a uma interrupção do serviço ou ameaça à segurança.
Fase 1: Preparação
Em primeiro lugar, vem a preparação. Esta fase abrange o trabalho que uma organização realiza para estar pronta para responder a incidentes, incluindo a implementação das ferramentas e recursos adequados e a formação da equipa. Esta fase inclui o trabalho realizado para evitar que os incidentes ocorram.
Alguns dos pontos importantes para a fase de preparação são:
📌 Desenvolver um plano de resposta em caso de incidente de cibersegurança e atualizá-lo regularmente
📌 Identificar os seus ativos e potenciais ameaças
📌 Atribuir responsabilidades e criar uma equipa para liderar a resposta a incidentes de cibersegurança
📌 Trabalhar com especialistas externos especializados em incidentes de cibersegurança
Fase 2: Deteção e análise do incidente de cibersegurança
Em segundo lugar, temos de monitorizar os eventos de segurança para detetar, alertar e comunicar potenciais incidentes de segurança
📌Monitorizar os eventos de segurança no seu ambiente utilizando firewalls, sistemas de prevenção de intrusões e prevenção de perda de dados
📌 Detetar potenciais incidentes de segurança correlacionando alertas numa solução SIEM
📌 Os analistas criam um ticket do incidente, documentam as conclusões iniciais e atribuem uma classificação inicial ao incidente
📌 O processo de comunicação deve incluir acomodações para escalonamentos de relatórios regulamentares.
Fase 3: Contenção, erradicação, recuperação
Em terceiro lugar, temos de minimizar o impacto do incidente e mitigar as interrupções do serviço.
Fase 4: Atividade pós-incidente
Por fim, aprender e melhorar após um incidente é uma das partes mais importantes da resposta a incidentes, mas muitas vezes é ignorada. Nesta fase, o incidente e os esforços de resposta ao incidente são analisados. Os objetivos aqui são limitar as chances de o incidente se repetir e identificar maneiras de melhorar as atividades de resposta a incidentes no futuro.
Desafios dos incidentes de cibersegurança
As organizações enfrentam diariamente tentativas de acesso aos seus dados ou sistemas. Isso cria uma nova forma de especialização, que precisa ser implementada nas diferentes equipas para responder ao seguinte:
📌 Gerie asv invasões e incidentes de segurança
📌 Neutralizar ou conter o ataque
📌 Elaborar um plano de resposta a invasões
📌 Reunir informações sobre arquivos maliciosos descobertos
📌 Avaliar os controles em vigor
📌 Avaliar os danos
📌 Manter as provas
📌 Treinar a equipa para lidar com incidentes
📌 Impedir a fuga de dados.
TCS-CERT: Equipa de resposta a incidentes de cibersegurança da Thales
Uma equipa de resposta a incidentes de cibersegurança é um pouco como os bombeiros, só que em vez de apagar incêndios, ajuda as organizações a conter, neutralizar e erradicar intrusões. Tal como os exercícios de incêndio ajudam a salvar vidas em caso de incêndio real. Da mesma forma, uma preparação cuidadosa facilita a deteção, o tratamento e a mitigação de intrusões reais.
Com a experiência da TCS-CERT, pode reagir em tempo real a incidentes de segurança.
A Thales CSIRT ajuda as organizações a responder de forma eficiente a incidentes de IT, fornecendo os seguintes serviços:
📌 Ajudar o cliente no tratamento de incidentes
📌 Análise de malware (Windows, Unix e dispositivos móveis)
📌 Preparar e avaliar o seu plano de resposta a incidentes
📌 Investigações forenses
📌 Análise de documentos maliciosos
📌 Análise de quebras de segurança
📌 Colaboração com o CERT e partilha de informações
📌 «Desativação» do servidor
Competências em segurança:
A TCS-CERT é composta por especialistas em segurança altamente experientes, capazes de lidar com ataques e ameaças sofisticados.
Inteligência:
A TCS-CERT recolhe, agrega, integra e analisa feeds de inteligência.
Além disso, a TCS-CERT também desenvolve ferramentas para identificar ameaças à sua infraestrutura.
Redes:
No que diz respeito a redes, a TCS-CERT é membro da iniciativa CERT.LU e membro acreditado da Trusted Introducer.
Confidencialidade:
A TCS-CERT, tal como a Thales, detém a acreditação PSF desde 2016.
