Recomendações de contrainteligência para residências e pequenos negócios (parte 2 - segurança física)

Não adianta investir em segurança cibernética sem se atentar para o risco de acesso indevido a compartimentos físicos onde há informação sendo armazenada ou gerada na sua empresa ou residência, especialmente computadores com dados sensíveis. Não obstante, incêndios e desastres naturais, como vendavais e inundações podem ser tão prejudiciais ou mais do que espiões, paralisando a produção por longos períodos e dando prejuízos por vezes irreparáveis. Além disso, falhas de hardware e software também podem comprometer a segurança e gerar perdas. Assim, chamo atenção para o caso mais recente envolvendo a solução voltada à cibersegurança da empresa CrowdStrike, a ferramenta Falcon, que causou tela azul em milhares de PCs com Windows, dando prejuízos milionários. Contudo, reforço que cada caso é único e que as recomendações aqui escritas são gerais, devendo o leitor adaptá-las para a própria realidade e perfil de ameaça e risco.

Dessa forma, se levarmos em conta que a segurança de um sistema está quase por inteira nas mãos do seu gestor, não podemos vacilar na conscientização, credenciamento para as funções e medidas para acompanhar as atividades dos colaboradores por grau de criticidade. Nesse cenário, as ameaças podem ter natureza não intencional ou intencional, bem como natural ou física, podendo colocar em risco a estrutura tangível dos equipamentos da sua companhia. Posso citar como exemplo de ameaça natural, as enchentes, os incêndios e os cortes de fornecimento de energia causados por vendavais capazes de provocar avarias nos equipamentos. Contudo, embora muitos desses riscos sejam incontroláveis, é possível agir previamente visando reduzir seus danos no intuito de recuperar a operação ou voltar ao estado anterior ao infortúnio em tempo tolerável por intermédio de um plano orientado a desastres.

Ademais, existem ainda ameaças de natureza não intencional derivadas das falhas humanas de manutenção ou operação de sistemas causadas principalmente pela ignorância de seus administradores. No escopo das ameaças intencionais, temos as ações adversas premeditadas por pessoas, como espiões infiltrados, terroristas e crackers. A título de curiosidade, além do risco de computadores ligados acidentalmente à rede por falha humana (já abordada), também há ameaças que exploram radiação elétrica, eletromagnética ou acústica emitidas por equipamentos eletrônicos. Esse conceito é conhecido internacionalmente como TEMPEST ou emanação.

Apesar de estar fora da realidade da maioria das companhias por não ser uma forma usual de invasão, se tratando de emanação, grandes empresas, edifícios e órgãos estatais costumam blindar ambientes, e especialmente datacenters, a fim de evitar emissão de sinais. Além disso, é comum a adoção de salas seguras, isolamento acústico de paredes e portas visando realizar reuniões com o máximo de privacidade. Por conseguinte, tendo em vista todo o exposto, a estrutura voltada ao processamento de informações críticas ou sensíveis devem ser mantidas em áreas protegidas por controles de acesso, barreiras e perímetros de segurança muito bem definidos visando evitar acessos mal-intencionados e acidentes causados por desastres naturais, falhas técnicas ou humanas. Deve conter ainda planos que visem o gerenciamento das crises e resiliência do empreendimento ou mesmo reparação das perdas pessoais.

Não menos importante, são as políticas de segurança para os equipamento fora de casa ou ambiente laboral, como documentos, pendrives, computadores, smatphones, iphones e tablets, levando em consideração os riscos do trabalho externo. Segurança pessoal, residencial, familiar e até mesmo escolta pode ser necessário em caso de recursos humanos altamente sensíveis ou pessoas vulneráveis, tendo em conta os riscos em torno de sequestros visando interrogatórios e até exploração de vulnerabilidades de dispositivos móveis, como celulares ligados à redes inseguras. Perda, furto e roubo desses dispositivos também devem ser considerados e mitigados através de controles de acesso e técnicas de proteção física e criptográfica, além de soluções contra ameaças digitais e backups.

Por fim, dado o crescimento das ameaças cibernéticas que são inclusive impulsionadas por milhares de ataques automatizados via botnet, por mais protegidos que estejam seus ativos de informação, alguma hora o pior irá ocorrer COM CERTEZA. Esse fator dá todo o protagonismo atual à resiliência do sistema de segurança, ou seja, aos planos de gerenciamento de crises e continuidade de negócios que visam limitar a consequência dos danos e garantir o retorno às atividades normais sem prejuízo às operações essenciais para a sobrevivência da companhia, podendo incluir políticas de sucessão de funcionários críticos; backup; recuperação de dados; apólices de seguro para equipamentos avariados ou perdidos; estabelecimento de contratos comerciais de assessoria, suporte, manutenção e substituição de dispositivos.

🚨Leia as postagens anteriores🚨

1️⃣Acesse: Recomendações de contrainteligência para residências e pequenos negócios.

2️⃣Acesse: A mais pura verdade sobre a espionagem.